DSM 6.x und darunter 2-Faktor Authentifizierung incl. "Vertrautem Gerät" nur bei einem Account?

[Storagejunkie]

Hallo allerseits!
Hab gestern für meinen Admin-Account die 2-Faktor-Authentisierung aktiviert (mit Google Authentikaor). Klappte wunderbar. Konnte auch mein Laptop als vertrauenswürdiges Gerät einstufen, hab die entsprechenden Cookies als "nicht zu löschen" gekennzeichnet - alles wunderbar.

Nun dachte ich mir: Warum nicht auch den "Daily-Use-Account", mit dem ich normalerweise auf der DS arbeite (nicht admin-Rechte) auf 2 Faktor umstellen? Gesagt getan - alles wie oben. Prächtig.

Aber: Login mit dem ADMIN-Account erfordert wieder die 6-stellige Pin. Gebe ich sie ein und kennzeichne mein Laptop wieder als vertrauenswürdiges Gerät geht es fortan wieder ohne Pin. Dafür muss ich die Pin beim anderen Account eingeben. Mist.

Scheinbar kann ein Endgerät nur mit einem Account als vertrauenswürdiges Gerät registriert werden. Hat jemand die gleiche Erfahrung gemacht? Soll das so sein?

Gruß Storagejunkie

 

[jahlives]

Ich denke das macht schon Sinn. Wobei in deinem Fall vielleicht etwas weniger, aber stell es dir umgekehrt vor: zuerst den non-admin Login als vertrauenswürdig und schon könnte man sich am admin Account ohne 2Faktor austoben. Das wäre imho sicherheitstechnisch sehr bedenklich

 

[Storagejunkie]

Mmm - kann schon sein. Ich dachte eigentlich, die "Vertrauenswürdigkeit" ergibt sich aus Usernamen+Gerät/Browser/Cookie. Hab aber keine Erfahrungen. Vielleicht kann noch jemand etwas genaueres berichten...

 

[jahlives]

So wie ich "vertrauenswürdigkeit" von anderen Anwendungen her kenne spielt der Browser keine Rolle. Denn diesen kann der Server nur anhand eines durch den Client leicht zu manipulierenden Headers ermitteln. Könntest du testen indem du den Keks mal in einen anderen Browser übernimmst und schaust ob du mit dem auch vertrauenswürdig bist. Zudem ist es so dass der Keks einen eindeutigen Namen hat über den er abgerufen werden kann. Daher kann er gar nicht zweimal mit unterschiedlichen Werten existieren. Das zweite Vorkommen überschreibt immer das erste

 

[Andy14]

... aber stell es dir umgekehrt vor: zuerst den non-admin Login als vertrauenswürdig und schon könnte man sich am admin Account ohne 2Faktor austoben...

Aber es sollte doch technisch eigentlich auch möglich sein die Vertrauenswürdigkeit eines Gerätes auch mit dem Konto zu verknüpfen.

 

[jahlives]

technisch ginge das mit Sicherheit. Würde aber u.A. mehrere Cookienamen erfordern