2FA: Fakor-Abfrage in parallelen Sitzungen bei Aktivierung

gn5VmUKCtv6ekrMf · Nov 15th 2021

Aktiviert man 2FA (explizit deaktiviert > aktiviert), wird der Faktor in parallelen Sitzungen nicht benötigt, die Sitzungen werden auch nicht automatisch beendet.

Die Sitzungen sollten a) terminiert werden um einen vollständigen Login zu erzwingen oder b) für eine bessere UX beim nächsten Aufruf in parallelen Sitzungen der Faktor angefordert werden, um sicher zu stellen, dass das Passwort nicht gestohlen wurde und durch den Unbefugten die Sitzungen bis auf Weiteres weiter vollständig nutzbar sind.

**Tim Düsterhus** · Nov 15th 2021

Hallo,

Quote from MysteryCode

b) für eine bessere UX beim nächsten Aufruf in parallelen Sitzungen der Faktor angefordert werden

diese Option ist nicht möglich: Kernbestandteil des Sicherheitskonzeptes der Mehrfaktor-Authentifizierung ist, dass eine Session bis zur Authentifizierung mit dem zweiten Faktor eine Gastsitzung ist. Eine MFA-Abfrage für Sessions mit userID !== null ist nicht definiert.

(a) wäre hingegen eine Option. An der Liste von bereits bestehenden Sitzungen muss man zur Aktivierung der MFA aber „ohnehin dran vorbei“, sodass man etwaige Fremd-Sitzungen auch prüfen kann. Diese haben sich ja zumindest mit dem aktuell gültigen Kennwort authentifiziert (bei Kennwort-Wechsel werden alle anderen Sitzungen bereits jetzt beendet).

Syntafin · Nov 25th 2021

Quote from Tim Düsterhus

(a) wäre hingegen eine Option. An der Liste von bereits bestehenden Sitzungen muss man zur Aktivierung der MFA aber „ohnehin dran vorbei“, sodass man etwaige Fremd-Sitzungen auch prüfen kann. Diese haben sich ja zumindest mit dem aktuell gültigen Kennwort authentifiziert (bei Kennwort-Wechsel werden alle anderen Sitzungen bereits jetzt beendet).

Da muss ich leider sagen, das ich aus Erfahrung lernen musste.

Das wird getrost ignoriert, also so wie es Vorgeschlagen wird das alle Sitzungen beendet werden, ist eigentlich "Gang und gebe".

2FA: Fakor-Abfrage in parallelen Sitzungen bei Aktivierung

Participate now!

Share