Frag zum 2. Faktor bei Auth am Beispiel Nextcloud

[LORDNIKON1]

Servus zusammen, habe mich dazu durchgerungen bei allen meinen Webanwendungen/Webzugriffe einen 2. Faktor einzuführen (über 2FAS mit App).

Der gilt ja dann immer für den Webseitenzugriff. Die Apps, die auf die jeweilige Ressource zugreifen, laufen ja aber weiterhin mit einem Faktor durch - oder irre ich mich da? Bei Nextcloud kann man einer App ein Passwort zuweisen - mir ist aber nicht klar was die Konsequenz ist.

Weitere Beispiele: Beide Synos, Wordpress, Plex Medienserver, Vaultwarden...

Meine Frage ist also: Ist der 2. Faktor tatsächlich nur für den Webzugriff einzurichten? Wie macht Ihr das?

 

[metalworker]

Grüße ,

na die 2FA musst dann für jede Anwendung einzeln machen . Da die ja alle auch eigene Anmeldungen haben.


im übrigen würde ich es tunlichst vermeiden auf deiner Produktiv Synology webportale wie Wordpress ins Internet freizugeben.
Die gefahr ist da nicht unerheblich darüber angegriffen zu werden.

 

[alexhell]

Wie/Was richtest du denn ein für 2FA?
Wenn du die direkt in den Anwendungen konfigurierst, dann greifen die auch in den Apps. Bei Vaultwarden z.B. ist es auch in der App nötig. Plex ebenfalls.... Wenn du sowas wie Authelia nutzt, dann geht das nur bei den Webseiten. Die Apps funktionieren dann aber auch nicht mehr. Da bräuchte man mehr Infos was du genau machst.
Ansonsten kann ich @metalworker nur zu stimmen. Ich würde NIEMALS Wordpress auf meiner Synology hosten. Wordpress bzw. die Plugins haben sehr oft Sicherheitslücken. Taucht regelmäßig in den Medien auf, weil was geknackt wurde.

 

[LORDNIKON1]

Danke Dir für die schnelle Reaktion, @metalworker
Mir ist nicht ganz klar wie das funktioniert. Ein Beispiel: Meine Kalender, die über die Syno gehostet werden, sind in die iOS App Kalender eingebunden. Da müsste dann ja jedes Mal eine Abfrage des 2. Faktors erfolgen, was kaum funktionieren dürfte.

Ich verstehe die Möglichkeit mit dem App-Passwort bei Nextcloud so, dass das als zweiter Faktor in der App hinterlegt und abgeglichen wird.

 

[metalworker]

nein ein App Passwort hebelt quasi die 2FA aus und sorgt dafür das z.b. eine App ohne 2FA arbeiten kann.

Ist also ne halbgahre lösung.

Darum genau überlegen ob du dir das wirklich zutraust das selbst zu machen.
Und obs das Wert ist.

 

[LORDNIKON1]

Du meinst jetzt in Bezug auf das Wordpress Beispiel?

 

[metalworker]

allgemein , je mehr Dienste und Ports man öffnet umso höher ist halt die Gefahr.

 

[LORDNIKON1]

Das ist mir schon bewusst. Die Dienste machen nur keinen Sinn, wenn ich sie nicht über das Internet nutzen kann. Für die Wordpress Instanz habe ich einen Passwort-Schutz. Allerdings ließe sich wirklich überlegen, ob die Seite öffentlich stehen muss. Ist nichts kritisches drauf…

 

[alexhell]

Es geht ja nicht um den Inhalt sondern Wordpress an sich ist eine Sicherheitslücke auf dem Server.

 

[LORDNIKON1]

Verstanden. Ich überlege mir das tatsächlich noch einmal. Danke nochmal für den Hinweis.

 

[metalworker]

Ich hatte früher auch viel selbst gehostet.
Aber bin auch davon weg .den dafür gibt's Anbieter im netzt .auch sowas wie Kalender und co .
Da steht der Aufwand sein system zu härten in keiner relation zum nutzen .