Anwendungsfall
Eine geteilte Authenticator-App für Ihr Team
Ein Ort für die 2FA-Codes Ihres Teams. Jeder liest die Codes, die er braucht, niemand hält das Geheimnis, und jeder Zugriff wird protokolliert.
Eine gewöhnliche Authenticator-App lebt auf einem Telefon. Sie hält die Geheimnisse Ihrer Konten, macht daraus offline sechsstellige Codes und zeigt sie demjenigen, der das Gerät in der Hand hat. Dieser Entwurf ist Absicht, und für eine einzelne Person ist er richtig.
Ein Team ist keine einzelne Person. Sobald zwei Menschen den Code desselben Kontos brauchen, ist eine App rund um ein einziges Gerät keine Lösung mehr, sondern das, was alle umgehen.
Was eine geteilte Authenticator-App ist
Dieselbe Aufgabe, für mehr als eine Person. Die Geheimnisse liegen in einem Tresor statt auf einem Gerät, dort entstehen die Codes, und wer sie braucht, liest den aktuellen Code, ohne je zu sehen, woraus er entstanden ist.
Alles Weitere folgt aus dieser Trennung. Das Geheimnis ist die dauerhafte Anmeldeinformation und lässt sich nicht widerrufen; der Code ist dreißig Sekunden und eine Verwendung wert. Das Zweite zu teilen kostet fast nichts. Das Erste zu teilen ist endgültig.
Warum eine gewöhnliche Authenticator-App im Team scheitert
Nichts in TOTP hindert zwei Geräte daran, denselben Code zu erzeugen, und genau deshalb improvisieren Teams. In der Improvisation geht es schief.
- Der QR-Code wird herumgereicht. Sobald jemand ihn gescannt hat, hält er das Geheimnis dauerhaft. Ein Austritt aus dem Unternehmen holt es nicht zurück, und das Konto vermerkt die Kopie nirgends.
- Ein Telefon wird zum Nadelöhr. Wer das Konto eingerichtet hat, ist dafür in Rufbereitschaft, auch im Urlaub, und sein Weggang wird zur Wiederherstellungsaktion.
- Codes wandern durch den Chat. Sie landen in Slack, in WhatsApp, in einer geteilten Notiz, und bleiben dort lange nach ihrem Ablauf, neben dem Kontonamen, der erklärt, wofür sie waren.
- Nichts wird protokolliert. Wenn am Konto etwas schiefgeht, gibt es keine Möglichkeit zu beantworten, wer den Code gelesen hat und wann.
Den Code teilen, nicht das Geheimnis
Share Auth bewahrt jedes TOTP-Geheimnis verschlüsselt auf und erzeugt die Codes auf seiner Seite. Ein Mitglied öffnet den Tresor, sieht den aktuellen Code eines Kontos und kopiert ihn. Das Geheimnis wird nicht angezeigt, nicht an den Browser gesendet und nicht als QR-Code exportiert.
Weil niemand eine Kopie hält, entzieht ein entzogener Zugriff tatsächlich den Zugriff. Das ist die eine Zusicherung, die ein gescannter QR-Code nie geben kann.
Was das Team davon hat
- Rollen. Legen Sie fest, wer nur Codes liest, wer Konten anlegt und wer das Team verwaltet. Ein neues Mitglied beginnt mit den Konten, die es braucht, nicht mit allen.
- Ein Zugriffsprotokoll. Jede gelesene Code-Anzeige wird mit Person und Zeitpunkt festgehalten, sodass ein Vorfall an einem Konto eine Antwort findet statt eines Schulterzuckens.
- Ein Tresor je Team. Konten liegen dort, wo die Menschen ohnehin arbeiten, die sie benutzen, statt in einer persönlichen App, die man erst fragen muss.
- Dieselben Konten wie zuvor. TOTP ist ein Standard. Was sich in Google Authenticator oder Microsoft Authenticator einrichten lässt, kommt hier aus demselben QR-Code oder Schlüssel hinein.
Was es ersetzt
Den Screenshot im Teamkanal. Die Kollegin, die um elf Uhr abends wegen sechs Ziffern angeschrieben wird. Den Eintrag im geteilten Passwortmanager, in dessen Notizfeld jemand das Geheimnis eingefügt hat, was das QR-Code-Problem im besseren Anzug ist. Die Tabelle, zu der sich niemand bekennt.
Nichts davon ist Nachlässigkeit. Es ist das, was übrig bleibt, wenn das Werkzeug eine Person annimmt und die Arbeit vier betrifft.
Der Anfang
Fügen Sie ein Konto so hinzu wie in jeder Authenticator-App: Scannen Sie den QR-Code, den der Dienst anzeigt, oder fügen Sie den Einrichtungsschlüssel ein. Laden Sie die Beteiligten ein, geben Sie ihnen eine Rolle, und sie lesen ab diesem Moment Codes.
Konten, die bereits auf einem Telefon eingerichtet sind, funktionieren weiter. Sie hierher zu holen bedeutet, sie beim Anbieter noch einmal einzurichten, was zugleich der Moment ist, jene zurückzusetzen, deren Geheimnis herumgereicht wurde.
Häufige Fragen
Die App auf einem Telefon nicht, sie ist für eine Person gebaut. Teilen lässt sich der Tresor, aus dem die Codes kommen: die Geheimnisse bleiben an einem Ort, und jedes Mitglied liest den aktuellen Code der Konten, für die es berechtigt ist.
Es sind zwei Blickwinkel auf dieselbe Sache. Geteiltes TOTP ist der Mechanismus, ein Geheimnis, das Codes für mehrere Personen erzeugt. Die geteilte Authenticator-App ist der Ort, an dem dieser Mechanismus läuft, damit niemand das Geheimnis auf sein eigenes Gerät kopieren muss.
Sicherer als die Behelfslösungen, bei denen Teams sonst landen. Ein Code gilt rund dreißig Sekunden und für eine Verwendung, ihn weiterzugeben kostet wenig. Ein Geheimnis ist dauerhaft und lässt sich nicht widerrufen, und genau deshalb bleibt es im Tresor.
Sie entziehen den Zugriff, und damit ist es erledigt, denn die Person hat nie ein Geheimnis besessen. Das ist der Unterschied zum gescannten QR-Code, dessen Kopie auf dem Telefon bleibt und dessen einzige echte Abhilfe ein Zurücksetzen der 2FA am Konto ist.
Mit denselben Konten wie diese. TOTP ist ein Standard: Jedes Konto, das sich in einer dieser Apps einrichten lässt, lässt sich stattdessen hier hinzufügen, aus demselben QR-Code oder Einrichtungsschlüssel.