Google Authenticator hat keinen Effekt

[PotatoCarl]

Hi,

wenn ich mit der aktuellen Version 16.1.15 nach Anleitung ein one-time-token einfüge, kann sich der Account prima ohne Token einloggen, d.h. das hinterlegte Passwort genügt.

Das erscheint mit ein Bug zu sein...

Gruss

[franco]

Hallo PotatoCarl,

Neu mit 16.1.15 war die explizite Auswahl des "Fallbacks" im selbigen Menü wo man vorher nur die OTP-Auth auswählte.

Dieser Fallback war schon vor dem Forken von OPNsense so im Code versteckt, eingestellt auf die lokale Datenbank. Erst im Zuge von Hinzufügen von  OTP in 16.1.14 ist uns das überhaupt aufgefallen.

Leider können wir den Standard für 16.1.x nicht umstellen, aber es kann sein, dass der Fallback für 16.7 standardmäßig ausgestellt wird, wie es sinnvoll wäre.

Auf der anderen Seite wissen wir ja was passiert wenn AD im Büro streikt ohne Fallback. Gar nicht so einfach alles...


Grüße
Franco

[PotatoCarl]

Okay, verstanden.
Meine Idee war ja einen Account nur mit Passwort für das Interne LAN (also da wo der Admin im Büro sitzen muss) und einen Adminaccount für das VPN. D.h. wenn der Admin unterwegs ist und ranmuss. In dem Fall wäre es gut, den Fallback zu verhindern. Auch Admins sind faul und wenn ein Tablet/PC geklaut wird und das Passwort sollte erratbar sein (warum auch immer), dann ist das ganz schön doof...

Gruss

TB