Oddbean

Es ist daher nie notwendig, für einen Firmenaccount TOTP Seeds irgendwo hin zu synchen. Eigentlich aber ist es auch nie notwendig, für einen Firmenaccount TOTP zu verwenden. Weil TOTP Codes von allem und jedem erzeugt werden können, beweist die Eingabe eines TOTP-Codes in einer Firmenumgebung recht wenig. Beispiel: https://blog.koehntopp.info/2017/07/27/zero-factor-authentication.html Hier hat eine Firma einen Host ssh.firma.de, in den man sich einloggen muß, um einen signierten 24-Stunden-Key für den Zugang zur Produktion zu bekommen.

Das Login erfordert Username, Paßwort und die Eingabe eines TOTP-Keys, ist also mit 2FA geschützt. Was wir sehen ist ein Expect-Script, das diesen Dialog automatisiert. Es wartet auf Prompts, und antwortet automatisch mit dem Paßwort und dem TOTP-Seed, das es mit oath-toolkit's oathtool erzeugt hat. Effektiv haben wir also Null-Faktor-Authentisierung. Das Script wurde unter dem Namen $HOME/bin/good-morning installiert und hat den User so morgens einmal vollautmatisch geautht. Für Prod.

Der Hauptzweck des Scriptes war, die betreffende Firma von der Schwäche von TOTP zu überzeugen und flächendeckend physische Yubikeys für Mitarbeiter mit Zugang zu Prod auszurollen. Das eigentliche System – zeitbegrenzte beschränkte SSH-Keys, die nie persistiert werden – war gut. Der zweite Faktor im Firmenkontext schwach und ein Resultat falscher Pfennigfuchserei. Der Autor des Scripts hat nach Einsendung des Programms an security@... einen Yubikey erhalten und TOTP wurde global abgeschaltet.

Der Report von Retool und der Kommentar von Golem haben Recht – TOTP ist kein adequates Werkzeug im Firmenkontext. Das Problem ist aber weniger der Sync, wie Authy und Google Authenticator ihn machen. Das Problem ist, an der Sicherheit auf dem letzten Meter zu knausern und keine Yubikeys auszuteilen, weil jeder ja schon ein Handy hat.

@87c98d39 ich hab das leider schon häufig erlebt, dass Firmen glauben sie seien sicher vor Phishing, weil sie MFA haben. Aus irgendeinem Grund glauben die alle, dass der Nutzer seinen 2. Faktor nicht auf einer Seite eingeben würde, auf der er schon den Ersten eingegeben hat.