Authentifizierung und Sitzungen

Multi-Faktor-Authentifizierung ist Pflicht

Jedes Konto braucht ein Passwort und einen zweiten Faktor, bevor es einen Tresor öffnen kann. MFA lässt sich in der Oberfläche nicht abschalten.

Unter Einstellungen → Authentifizierung legt ein Super-Admin fest, welche Methoden Benutzer einrichten dürfen:

• Authenticator-App (TOTP), mit einmal verwendbaren Offline-Wiederherstellungscodes.
• E-Mail-Code: ein sechsstelliger Code, der nach vier Minuten abläuft, mit begrenztem erneuten Senden.

Mindestens eine Methode ist immer erlaubt; nur E-Mail ist zulässig. Jeder Benutzer hat genau eine Methode. Sind beide erlaubt, wählen Benutzer eine und können später wechseln.

Konten, die nur E-Mail-Codes nutzen, haben keine Offline-Wiederherstellungscodes. Verlieren sie den Zugang zu ihrem Postfach, muss ein Admin ihren Faktor zurücksetzen.

Passwörter

Außerhalb der lokalen Entwicklung müssen Passwörter mindestens 15 Zeichen lang sein und dürfen in keinem bekannten Datenleck vorkommen. Eine Änderung von Passwort oder Faktor widerruft alle anderen Sitzungen.

Dieses Gerät merken

Setzt ein Admin einen Zeitraum für Dieses Gerät merken größer als null, bietet die Code-Abfrage ein Kontrollkästchen an. Ein gemerkter Browser überspringt für die eingestellte Anzahl Tage nur den Schritt des zweiten Faktors; das Passwort bleibt erforderlich.

Gemerkte Geräte werden widerrufen durch jede Änderung von Passwort, Faktor oder Kontostatus, durch Alle anderen Sitzungen abmelden und einzeln über die Liste Vertrauenswürdige Geräte im Profil. Wird der Zeitraum auf null gesetzt, werden alle gemerkten Geräte widerrufen; ein kürzerer Zeitraum gilt auch für bereits gemerkte Geräte. Ein gemerktes Gerät zählt nie für sensible Bestätigungen.

Sitzungsgrenzen

Unter Einstellungen → Sitzungssicherheit:

• Inaktivitäts-Timeout, Standard 15 Minuten.
• Maximale Sitzungsdauer, Standard und Höchstwert 12 Stunden.

Beide werden bei jeder Anfrage durchgesetzt, auch für bereits angemeldete Sitzungen.

Erneute Authentifizierung für sensible Aktionen

Aktionen mit hohem Risiko verlangen auch innerhalb einer aktiven Sitzung Ihr Passwort und einen frischen Code: Faktoren ändern, Faktoren anderer Benutzer zurücksetzen, Schlüsselrotation, Notfallzugriff und Ähnliches.

Zugang wiederherstellen

Situation	Vorgehen
Ein Benutzer hat seinen Authenticator verloren	Einen unbenutzten Wiederherstellungscode verwenden oder einen Super-Admin um Authentifizierung zurücksetzen bitten.
Ein E-Mail-Benutzer hat sein Postfach verloren	Ein Super-Admin setzt den Faktor zurück.
Einer von mehreren Admins ist ausgesperrt	Ein anderer Super-Admin setzt dessen Faktor zurück.
Der einzige Super-Admin ist ausgesperrt	Den lokalen Wiederherstellungsbefehl auf dem Server ausführen (siehe unten).

Den einzigen Administrator wiederherstellen

Es gibt keinen Weg über das Web. Eine Person mit Shell-Zugang zum vertrauenswürdigen Host führt aus:

php artisan vaultigen:recover-admin [email protected]

Bei Docker Compose: docker compose exec web php artisan vaultigen:recover-admin [email protected].

Geben Sie bei der verdeckten Abfrage ein temporäres Passwort ein. Der Befehl widerruft Sitzungen, Remember-Tokens, Reset-Tokens, gemerkte Geräte und alte Faktoren und protokolliert ein Sicherheitsereignis. Bei der nächsten Anmeldung müssen ein neues Passwort gesetzt und ein Faktor eingerichtet werden. Verlorene Installationsschlüssel ersetzt der Befehl nicht.

Halten Sie mindestens zwei unabhängige Wege zurück bereit: zwei Administratoren plus gespeicherte Wiederherstellungscodes.

Genaue Uhrzeit

Authenticator-Codes hängen von der Serveruhr ab. Werden Codes abgelehnt, prüfen Sie, ob der Server NTP verwendet und die Uhr des Telefons stimmt.