Hilfe Diskussion:Zwei-Faktor-Authentifizierung

Zum Geleit

Diese Hilfeseite wurde im absoluten Blindflug erstellt, basierend auf dem englischsprachigen MW-Material, ohne jede praktische Erfahrung.

Ich übernehme keinerlei Verantwortung für die Richtigkeit der Angaben.

LG --PerfektesChaos 14:27, 17. Nov. 2016 (CET)

Nur mal so eine Idee: Am beta-system (https://de.wikipedia.beta.wmflabs.org/ ) sollten sich erste praktische Versuche gut machen lassen, damit Interessierte das Verfahren gefahrenlos kennelernen können. Auch das Rückgängigmachen von 2FA, die Verwendung dieser Einmalpasswörter, etc.. Ohne bei diesen ersten Schritten immer so ein wenig Angst haben zu müssen sich selber bei einem Fehler dauerhaft mit dem regulären Wikimedia-Konto auszusperren. Das beta-system hat in diesem Zusammenhang auch den Vorteil, nicht am SUL teilzunehmen. Allerdings ist auch am Beta der Admin-Status nötig. Besteht eine Möglichkeit, dass auf Beta jeder Test-User das OATH-TOTP freigeschalten bekommt?--wdwd (Diskussion) 17:15, 18. Nov. 2016 (CET)

Schnark war zu diesem Zweck bereits mit 2FA-Testaccount und dessen Admin-Rechten für einen Tag unterwegs.

Wer sich gemäß WP:BETA auf einer hiesigen Seite verifiziert, kann gern als echter Admin auch Admin-Rechte dort bekommen, und sich dann drei weitere Testaccounts für 2FA anlegen und auch diese be- und entknopfen lassen.

LG --PerfektesChaos 17:59, 18. Nov. 2016 (CET)

2FA: Für normale Wikipedia Benutzer

ich finde die Zwei-Faktor-Authentifizierung sollte auch für normale Wikipedia Benutzer zugänglich sein. --Micressor (Diskussion) 12:26, 14. Nov. 2017 (CET)

+1 fundriver _{Was guckst du?!} ^Winterthur! 10:03, 4. Mai 2018 (CEST)

Hinweis: Für die Nutzung der Zwei-Faktor-Authentifizierung (2FA) in der (derzeitigen) Erprobungsphase für das eigene Konto ist Admin auf irgendeinen WMF-Projekt via SUL Anmeldung z.b. auf dem test wiki, ausreichend. Die 2FA ist im Rahmen der WMF, obwohl nun schon seit mehr als 1 Jahr im Probebetrieb, scheinbar noch nicht so wirklich ausgereift oder man hat Bedenken, daher vermutlich auch nicht für alle Benutzer verfügabr.

Zum Beispiel setzt Wikimedia für TOTP bei 2FA auf server-seite derzeit auf den Google-Authenticator, welcher aber gerade bei Erstellung der 2FA-Daten standardmässig nur 80 Bit für das TOTP-secret verwendet. Mag für praktischen Einsatz hier ausreichend sein, diese Implementierung verstösst damit aber gegen die Anforderung aus RFC 4226, welche google als Grundlage referenziert, wo für das TOTP-secret mindestens 128 Bit zwingend und 160 Bit empfohlen sind. Diese 2FA-Implementierung auf serverseite ist also offensichtlich noch "etwas mit der heißen Nadel gestrickt". Am Rande: Die TOTP-client-seite und auch die android-client-app vom Google-Authenticator bzw. free-OTP ist in diesem Punkt ok, die kann auch mehr als 256 Bit lange TOTP-secrets verarbeiten)--wdwd (Diskussion) 21:26, 4. Mai 2018 (CEST)

@Fundriver: 2FA kann nun von allen interessierten Benutzern auf Meta beantragt werden, siehe dazu Hilfe-Text.--wdwd (Diskussion) 10:31, 11. Mai 2018 (CEST)

@Wdwd:Danke fürs Feedback und die Möglichkeit der Aktivierung und auch betreffend der technischen Seite - in dem Fall ist verständlich, dass man evt. noch wartet. Rein aus Security-Sicht finde ich halt, dass Two-Factor-Authentication wo es nur geht Einzug erhalten soll. fundriver _{Was guckst du?!} ^Winterthur! 15:33, 11. Mai 2018 (CEST)

Falsches Lemma?

Huhu, Sollte man das Lemma nicht wie im Artikel Zwei-Faktor-Authentisierung beschrieben in "Zwei-Faktor-Authentisierung" anstatt "Zwei-Faktor-Authentifizierung" umbenennen? --Keks um 14:31, 14. Sep. 2018 (CEST)

Der Rechtschreibduden kennt erstmal beides:

1. authentifizieren (die Echtheit bezeugen; beglaubigen; EDV einen Benutzer identifizieren)
2. authentisieren (gehoben für glaubwürdig, rechtsgültig machen)

Die auf der Hilfeseite gewählte Form „Authentifizierung“ ist in der deutschsprachigen IT gebräuchlicher. Wobei es im Englischen mit den Bedeutungsebenen komplizierter ist; authenticate ist dort die Stammform und authentificate gibt es dort so eher nicht.

Pech für das Lemma „Zwei-Faktor-Authentisierung“ im ANR.

• Authentisiert wird ein Dokument, eine Unterschrift, ein Gemälde. Ein Interview wird autorisiert.
• Ein sicherheitskritisches Element in der IT wird authentifiziert. Richtige Verbindung, korrekter Benutzer, keine Raubkopie, korrekter PIN-Code, passende Lizenznummer. Das ist der Vorgang aus Sicht des Servers; derjenige, der das beabsichtigt, versucht seine Identität zu authentisieren – probiert sich einzuloggen. Im Ergebnis wurde er dann hoffentlich vom Online-Banking-System authentifiziert.

LG --PerfektesChaos 16:39, 14. Sep. 2018 (CEST)

Perfektes Chaos also :D Ja ich hatte dem Artikel jetzt einfach mal vertraut... --Keks um 13:20, 15. Sep. 2018 (CEST)

Nur für's Archiv: (diff) --Keks um 13:23, 15. Sep. 2018 (CEST)

Weitere Standards

Kann mir jemand sagen, ob es für die Anmeldung bei den MediaWikis schon oder demnächst möglich sein wird, die Standards U2F oder WebAuthn als zweiten Faktor für die Authentifikation einzusetzen ? --Bautsch 16:13, 30. Jan. 2020 (CET)

Webauthn scheint ist verfügbar, bisher noch nicht testen können mangels Hardware. Siehe m:Special:Manage_Two-factor_authentication --Keks Ping mich an! 17:50, 30. Jan. 2020 (CET)