Arch Linux

Verdammte 2FA für den Bugtracker

Andy@Arch

Ich bin ja gerne bereit mein kleinen Anteil zu Linux dazu zu tun, auch wenn ich nicht programmieren kann so würde ich doch gerne Fehler melden.
E-Mail Adresse und Passwort für den Bugtracker hab ich noch, scheitere aber an der verfickten 2-Schritte-Verifizierung. Wie soll man denn an den One-Time-Code kommen? Bekomme weder eine E-Mail damit noch eine bekomme ich eine QR-Code oder ähnliches angezeigt!
Kann mich dunkel erinnern das ich da extra mal eine App auf dem Tablet installiert habe, die gibt es aber nicht mehr, weil Android meinte ich brauche sie nicht mehr.

Martin-MS

Andy@Arch Wie soll man denn an den One-Time-Code kommen?

Ich lasse mir den TOTP immer mit KeePassDX erzeugen; gibt es als Desktop-Anwendung oder App für das Smartphone

Andy@Arch Bekomme weder eine E-Mail damit noch eine bekomme ich eine QR-Code oder ähnliches angezeigt!

Der QR-Code für die Einrichtung wurde dir bei der 2FA-Einrichtung angezeigt.

Andy@Arch Kann mich dunkel erinnern das ich da extra mal eine App auf dem Tablet installiert habe, die gibt es aber nicht mehr, weil Android meinte ich brauche sie nicht mehr.

Wenn du den QR-Code noch hast, kannst du ihn für die erneute Einrichtung einer App verwenden. Wenn du ihn nicht mehr hast ist der Account verloren, denn im Gegensatz zu anderen Diensten geben sie bei Arch keine Recovery-Codes raus, mit denen man seinen Account wiederherstellen könnte.

Andy@Arch

Also eine klare Botschaft mithilfe ist nicht erwünscht, Probleme werden konsequent ignoriert.

Martin-MS

Andy@Arch Also eine klare Botschaft mithilfe ist nicht erwünscht, Probleme werden konsequent ignoriert.

Das sehe ich etwas anders… natürlich ist Mitarbeit erwünscht, aber was kann Arch denn dafür, wenn du den dir bei der Registrierung zur Verfügung gestellten QR-Code nicht mehr hast? Was soll Arch denn deiner Meinung nach noch machen, wenn du trotz des eindringlichen Hinweises

Warning: For security reasons, we may not be able to restore access to accounts with two-factor authentication enabled If you lose your two-factor authentication credentlals. For this reason, It Is highly recommended that you backup your credentials.

deine Zugangsdaten trotzdem nicht gesichert hast? Was kann Arch dafür, wenn du die notwendige App entfernst weil Android dir einredet, dass du sie nicht mehr brauchst, nur weil sie längere Zeit nicht geöffnet wurde?

Registriere dich einfach neu und alles wird gut!

schard

Die 2FA beim Bug Tracker geht mir auch gehörig auf den Geist.
Hatte damit anfangs auch Probleme, welche allerdings nach Kontaktaufnahme durch mich an den zuständigen Admin schnell behoben wurden.
Es ist zwar nervig, aber eine freundliche E-Mail an die richtige Adresse bewirkt hier Wunder.
Auch wenn ich 2FA für einen Bug Tracker nach wie vor für Overkill halte.

Martin-MS

schard Auch wenn ich 2FA für einen Bug Tracker nach wie vor für Overkill halte.

Das ist erst seit dem Umzug des Bugtrackers auf GitLab so, seitdem kann man sich nur noch über den "Arch Linux SSO" anmelden, der Zugang zu mehr als nur dem Bugtracker ermöglicht und deshalb wohl durch eine 2FA-Authentifizierung zusätzlich gesichert wurde.

Andy@Arch

I. Putz Android(9) selbstständig, hatte das schon ein paar mal mit anderen Apps.

Sollte man diesen two-factor Mist im Account abschaltbar machen bzw sollte das nach dem freischalten abgeschaltet werden. Es sollte doch genügen wenn einmal festgestellt wurde das man kein Bot ist.

Martin-MS

Andy@Arch Es sollte doch genügen wenn einmal festgestellt wurde das man kein Bot ist.

Bei der 2-Faktor-Authentifizierung geht es nicht um eine Bot-Erkennung sondern um eine zusätzliche Absicherung deines Accounts, wenn die Zugangsdaten aus Benutzernamen und Kennwort ausgespäht oder anderweitig erbeutet wurden; ohne die 2-Faktor-Authentifizierung sind diese wertlos, da die Anmeldung erst nach Eingabe des individuellen und zeitlich begrenzten Einmalkennworts möglich ist.

tuxnix

Martin-MS Bei der 2-Faktor-Authentifizierung geht es

........Microsoft, Google & Co. darum, zusätzlich zu deiner E-Mail Adresse auch noch deine Telefonnummer zu erbeuten.

Jedenfalls sind das meine 2 Cent zum Thema.

niemand

tuxnix
Bei TOTP taucht die Telefonnummer allerdings nicht einmal auf. Tatsächlich ist das nicht an an Telefon gebunden – kann man genausogut von einem Yubi- oder Nitrokey, einem besseren Passwortmanager oder auch einem kurzen selbstgestrickten Pythonscript generieren lassen. Ist ansich schon nicht verkehrt – wenn man das konsequent nutzt, ist der Code eh nur einen Klick/Tastendruck entfernt, sodass sich der Aufwand in Grenzen hält, auch wenn der Nutzen hier eher fragwürdig ist.

Da würde mir dieser SSO-Kram von Google, MS und Co. mehr Sorgen machen, der einem anstelle der „alten“ Mail/Passwort-Kombi überall aufgedrängt wird.

Andy@Arch

Ich hol den Thread mal aus'm Keller, Frage hat sich denn da in den letzten 2 Jahren beim Verfahren was getan? Bei Github bekomme ich neuerdings einen Verification code per Mail, gibt es das Verfahren auch beim Arch Bugtracker?

GerBra

Also hier - ohne weitere Einstellungen gemacht zu haben - geht das über Login/PW und TOTP. Alternativ würde mir ein Login über einen GitHub-Account angeboten, habe ich nicht.

Das Ganze ist IMHO halt das Problem, wenn man sich der Infrastruktur des "Providers" bedienen will/muß. Der Account jedes Users zum Melden/Behandeln eines (simplen!) Bugreports mündet halt in einen - teils wohl "abgespeckten" - kompletten GitLab-Account. Totaler Overkill um nur einen Bugreport zu melden/behandeln IMHO.

Mein "Account" sieht z.B. dann eingeloggt diese Möglichkeiten (zumindest teilweise) vor bzgl. Login-Daten. Ich werde allerdings einen Teufel tun da was zu ändern, da aktuell wenigstens das Bugreporten funktioniert. Ich will damit allerdings auch kein GitLab-Repo "managen"...
Screenshots:

Wenn es nicht "besser" geht (ich vermisse Flyspray!) dann kann ich damit leben. Diese 2FA ist ja per PW-Manager eh obsolet handhabbar, und ob mein Account "gehackt" würde ist mir sowas von schnuppe...

Andy@Arch

kann man den inzwischen den Account wieder freischalten lassen nach verlorenen TOTP?

GerBra

Das wirst du wohl nur durch Kommunikation mit accountsupport@archlinux.org klären können - wie seit Anfang des Threads...

Sorry. aber ich glaube nicht das dir hier jemand diesen Schritt (oder eben keinen "Schritt") abnehmen kann/wird. Wenn dir was dran liegt - bei allen "negativen Begleitumständen" - mußt du den richtigen Ansprechpartner wählen.