[Feature Request] OTP Information aus LDAP abfragen

[fuero]

Servus,

beim Einrichten der LDAP Anbindung mit TOTP drängt sich die Frage auf, warum das Abrufen der TOTP Information nicht aus LDAP (wahlweise) möglich ist.
Unterstützung für die Ablage der Daten bietet z.B. OpenLDAP:

https://man7.org/linux/man-pages/man5/slapo-otp.5.html

Wie ist sonst bei aktiviertem TOTP mit LDAP ein Hinterlegen der TOTP Information für einen User gedacht? Ich habs nur mit temporärem Deaktivieren hingkriegt, dass ein User OTP Daten einstellen kann.

 

[devaux]

Ich kann nichts zu dem Feature-Request sagen, aber der Ablauf bei einem AD/LDAP-User ist, dass sich der User mit den Credentials einloggt und dann oben rechts beim "User-Menue" ueber TFA 2FA fuer sich selbst aktiviert.
Dies wird dann lokal auf dem Proxmox-Server hinterlegt. Meiner Meinung nach ist dies aus dem Sicherheitsaspekt sogar ein Feature, da 2FA fuer jede "Applikation" unterschiedlich sein sollte.

 

[fuero]

Ich kann nichts zu dem Feature-Request sagen, aber der Ablauf bei einem AD/LDAP-User ist, dass sich der User mit den Credentials einloggt und dann oben rechts beim "User-Menue" ueber TFA 2FA fuer sich selbst aktiviert.
Dies wird dann lokal auf dem Proxmox-Server hinterlegt. Meiner Meinung nach ist dies aus dem Sicherheitsaspekt sogar ein Feature, da 2FA fuer jede "Applikation" unterschiedlich sein sollte.

Genau dann besteht aber das Henne-Ei Problem - ein Login ist nicht möglich, wenn 2FA erzwungen wird, wie soll ein User dann seinen 2. Faktor eintragen?

 

[devaux]

Genau dann besteht aber das Henne-Ei Problem - ein Login ist nicht möglich, wenn 2FA erzwungen wird, wie soll ein User dann seinen 2. Faktor eintragen?

Ah verstanden was Du meinst. Alles klar. Ja, wenn vom Admin 2FA für die User erzwungen wird, sollte beim Erstlogin der 2FA-Assistent beim jeweiligen User kommen. Hab nicht getestet ob dem so ist. Aber falls nicht, dann waere dies ein Bug.

 

[fuero]

Dies wird dann lokal auf dem Proxmox-Server hinterlegt. Meiner Meinung nach ist dies aus dem Sicherheitsaspekt sogar ein Feature, da 2FA fuer jede "Applikation" unterschiedlich sein sollte.

Ich kanns nachvollziehen. Es sollte meiner Ansicht nach dem Admin überlassen werden ob die OTP Secrets am Host hinterlegt oder aus LDAP abgeholt werden.

 

[fuero]

Siehe https://bugzilla.proxmox.com/show_bug.cgi?id=5517