Welche App nutzt ihr für die zwei Faktor Authentifizierung?
Da Lemmy im nächsten Update auch die Möglichkeit haben wird, seinen Account mit einem TOTP zu sichern, wollte ich einfach mal fragen, was ihr dafür benutzt.
Nachdem ich eine Zeit lang Authy benutzt habe, benutze ich jetzt Aegis. Es ist Open Source und erlaubt Backups über Google, aber auch über Nextcloud. Sieht schick aus und man kann sogar ein Icon pack in die App laden.
Kann der auch die Push Benachrichtigungen von Microsoft? Hab den von Microsoft weil ich Microsoft mit Abstand am meisten brauche und das echt praktisch finde.
Nachdem ich diverse Apps ausprobiert habe, bin ich auch bei Aegis gelandet. Kann alles, was ich brauche – und kommt wie viele andere Apps, die ich nutze, aus dem F-Droid-Store und nicht von Google.
Ich geh da über Synchting vor und habe eine Kopie der Datenbank auf dem Rechner und eine auf dem NAS. Nicht sonderlich katastrophensicher aber als Endnutzer ausreichend.
Ja, das Repo ist archiviert und unmaintained. Gibt nicht viel zu entwickeln, aber neue Android-Versionen werden nicht mehr unterstützt und Sicherheitslücken nicht gefixt.
Weißt du, wie du SSH mit einer authorized_keys Datei absicherst? Wenn ja dann solltest du auf der sicheren Seite sein und kannst dir auf jedem beliebigen V-Server einen Docker Container hochfahren. Bitwarden und Vaultwarden bringen schon alles notwendige an Sicherheit mit, nur der Host muss natürlich noch abgesichert sein
Ich habe hier zu Hause einen Server mit Proxmox stehen und mit Hilfe des Helper Scripts von tteck Vaultwarden installiert: https://tteck.github.io/Proxmox/
Stimmt, hab da auch mal eine Weile mit ein paar Kollegen diskutiert. Aber wenn der Bitwarden Account durch ein 30+ Zeichen PW abgesichert ist und dazu auf nicht authentifizierten Geräten man noch mein YubiKey benötigt wird, mach ich mir da weniger Sorgen.
Wenn jemand meinen Bitwarden Account hat, hast du völlig recht, für jeden einzelnen Dienst unabhängig von bitwarden gibt es aber dennoch eine zusätzliche Hürde. Das ust für mich der realistischste Angriffsvektor.
Naja, im besten Fall ist Bitwarden ja ebenfalls durch TOTP abgesichert. Sprich man kommt nur an BW ran, wenn auch die TOTP-App/Gerät kompromittiert ist, auf dem die Bitwarden TOTPs laufen. Und in diesem Fall wären dann sowieso alle TOTPs in den Händen des Angreifers.
KeePass. Hab viele der hier genannten Apps durch und finde es mit Abstand am besten. Gibt verschiedene Mobile Apps und mit KeepassXC auch einen top Desktop Client für alle Plattformen.
Sync funktioniert mit ungefähr allen Cloudanbietern reibungslos.
Trenne dabei zwischen meiner Passwortdatenbank und meiner TOTP Datenbank und habe zwei verschiedene Apps dafür, weil mir die eine für OTPs besser gefällt.
Edit: Finde besonders Toll, dass die Passwörter einfach in Form einer Datei gespeichert werden. So kann man das eigentliche Passwort-Management, aka KeePass Datei, vom Cloud Anbieter zum Synchronisieren trennen. Wechsel der KeePass App bzw. des Cloudanbieters wird dadurch trivial. Fast kein Lock-In.
Bin von andotp zu aegis, nachdem ersteres abgekündigt war. export der keys, import drüben, klappte.
Beide haben den Vorteil das sie sich die DB mit otpclient auf dem Desktop teilen können.
Heute auf lemmy gelesen, dass es momentan wohl nicht weiterentwickelt wird. Viele nehmen jetzt wohl stattdessen Aegis.
Aegis sieht gut aus, aber momentan bin ich noch nicht bereit auf etwas neues zu wechseln. Wer sagt denn, dass andOTP überhaupt Probleme hat? Oder dass Aegis automatisch sicherer ist? Manche Software ist irgendwann auch einfach "fertig"🤷
Andotp hat keine export funktion und du musst über Umwege dein vault exportieren. Aegis hat dann aber mit dem Import keine Probleme. Backup und Export geht da auch dann ganz easy.
Das habe ich nicht weiter verfolgt weil nur eine begrenzte Anzahl gespeichert werden kann.
Ich weiß nicht mehr genau wie viele, 45 oder so. Hab jetzt schon mehr.
Ich muss für die Arbeit den Microsoft Authenticator benutzen und nehme den jetzt auch einfach für alles andere. Zumindest solange, bis mir irgendein internet-nerd sagt, dass das ganz schlimm ist und alle meine Kontodaten irgendwo im darknet hochlädt
Microsoft Authenticator ist echt etwas seltsam. Nutzen wir auch auf der Arbeit, aber wenn ich Backup machen will, brauche ich einen privaten Microsoft Account.
Ich nutze Authy, muss aber warnen: Wenn "Multi-Device" aktiviert ist, genügt einem Fremden der Zugriff auf die Rufnummer (z.B. indem er sich bei der Telekom für euch ausgibt und um eine Ersatz-SIM bittet) um ein fremdes Smartphone mit dem Account zu synchronisieren, und so die 2FA Codes zu stehlen.
3x Yubico (1x Mobil, 1x Desktop, 1x Backup) + Selfhosted Vaultwarden -> irgendwie werde ich garantiert an den key kommen, außer das haus brennt mit mir drin ab
Das Ding von Microsoft. Bin mal vom Google Authenticator weg, weil da keine Backups möglich waren. Microsoft regel das über ihre Server. Ich hab auch einige wenige bei Aegis, bin aber einfach zu faul den Rest umzuziehen.
... immer noch deutlich besser als nur ein Passwort, da es nicht reicht das Passwort von irgendeinem schlecht gesicherten nicht-gehashten Server zu klauen.
... meiner Meinung nach trotzdem schlechter als 2FA getrennt vom Passwort Manager zu verwalten. Denn dann reicht das Wissen des Masterpassworts, um Passwort und OTP eingeben zu können.
Finde, das 2FAS Auth auch nett ist. Wenn man eine App auf dem Laptop/Rechner mit WIndows braucht (was imho aber den Sinn von 2FA etwas kaputt macht), kann man noch 2fast empfehlen. Aegis ist eh mein Standard Tool.
Ich nutze Authy, weil das synchronisiert die OTPs schön auf alle meine Geräte. Bin Apple Nutzer, kann gut sein, dass das nicht unter Android funktioniert.
Eine open source Lösung würde mir aber auch gut gefallen.
Wie heißt der genau? Ich hab letztens versucht 2FA für jemand mit einem iPhone einzurichten und mich gefragt, ob es eine Apple App gibt oder man da auch den Google Authenticator nutzt.
Eine eigene App hat das iPhone dafür nicht. Das findest du alles in den Einstellungen unter der Rubrik Passwörter. Dort kannst du Zugänge speichern und auch 2FA direkt für jeden Zugang mit hinterlegen.
Edit:
Bzw. Anders formuliert, bevor ich Verwirrung stifte… Natürlich gibt es fürs iPhone auch Google Authenticator und co, nur direkt von Apple selbst gibt’s keine gesonderte App, da die Passwortverwaltung inkl. 2FA Funktion direkt in den Einstellungen untergebracht ist.
Hab mir den MA auch durch die Arbeit angewöhnt. Kompetentere Kollegen empfehlen aber eher FreeOTP. Habs schon mal installiert, bin nur zu faul um zu wechseln.
Google Authenticator, nachdem es inzwischen das Sync-Feature unterstützt und ich bei Authy von einem Tag auf den anderen nach einem App-Update alle Einträge verloren hatte und diese erst manuell wieder herstellen musste.
Alles, was Pushnachrichten benutzt, lässt sich nicht ersetzen, denn die Pushnachrichten müssen ja in der richtigen App ankommen.
Wenn du sechsstellige Codes eintragen musst, ist es wahrscheinlich TOTP oder HOTP und es lässt sich ersetzen.