Las contraseñas se filtran. Se reutilizan en otro sitio que sufre un robo, se apuntan donde no deben, se adivinan. Si la contraseña de quien gestiona tus servidores basta para pararlos o borrar sus copias, el problema no es si pasará, sino cuándo. AWS lo sabe y recomienda MFA en la consola; lo que no cubre es a las personas de tu equipo que no tienen cuenta de AWS y a las que les has dado acceso de otra forma.
En Simplio el doble factor es un código de seis cifras que genera una aplicación en tu móvil (Google Authenticator, Microsoft Authenticator o cualquiera compatible). Se pide para entrar y, además, en cada acción delicada: detener o reiniciar una máquina, borrar ficheros, instantáneas o copias, subir código a una función Lambda, quitar un registro DNS, abrir una terminal, usar la llave de repuesto. Una contraseña robada, sola, no sirve para tocar nada.
So funktioniert es
Jeder Benutzer aktiviert sie in seinem Profil
Scannen Sie einen QR-Code mit der Handy-App und bestätigen Sie mit dem ersten Code. Ab diesem Moment verlangt die Anmeldung den Code.
Heikle Aktionen verlangen ihn immer
Stoppen, Neustarten, Löschen, Code hochladen, Terminal öffnen, eine Maschine retten. Auch wenn Sie sich gerade erst angemeldet haben. Auch wenn Sie Administrator sind.
Ohne lästig zu werden
Nach einem korrekten Code fragt Simplio zehn Minuten lang nicht erneut; ab dem dritten in derselben Sitzung zwei Stunden lang. Dieses Vertrauen gilt nur in Ihrer Sitzung: Es endet beim Abmelden, bei Ablauf durch Inaktivität, bei einer Änderung Ihrer IP-Adresse oder wenn jemand einen falschen Code eingibt. Das Löschen von Cloud-Objekten verlangt weiterhin die Eingabe ihres Namens. Wenn Sie den Computer verlassen, sperren Sie ihn.
Wenn Sie das Handy verlieren, verlieren Sie nicht das Konto
Bei der Aktivierung erhalten Sie acht Einmal-Wiederherstellungscodes zur sicheren Aufbewahrung: Jeder davon meldet Sie anstelle des Handy-Codes an, und im Profil richten Sie das neue Handy ein. Haben Sie auch diese nicht, kann ein Administrator Ihres Unternehmens Ihre Zwei-Faktor-Authentifizierung entfernen, oder Sie beantragen es selbst mit Ihrem Passwort und einem Code aus Ihrer E-Mail: In diesem Fall gibt es zwei Tage Wartezeit mit Benachrichtigung aller Administratoren, die es abbrechen können. Nichts davon geschieht sofort oder allein per E-Mail.
Wer die Benutzer verwaltet, sieht, wer sie hat
In der Benutzerliste sieht man, wer die Zwei-Faktor-Authentifizierung aktiviert hat und wer nicht, um bei den Fehlenden nachzuhaken.
Welche Sicherheit es bietet
Keine Ausnahmen für Administratoren
Heikle Aktionen verlangen den Code von allen. Je mehr jemand tun kann, desto wichtiger ist es.
Einmalcodes
Jeder Code gilt einmal und nur für wenige Sekunden. Ein über die Schulter erspähter nützt eine Minute später nichts mehr.
Die E-Mail ersetzt nie das Handy
Die Passwortwiederherstellung per E-Mail verlangt weiterhin den Handy-Code, wenn Sie ihn aktiviert haben. Wer Ihr Postfach liest, kommt dadurch nicht hinein.
Aktivierungen und Deaktivierungen werden protokolliert
Im Aktivitätsprotokoll, mit Wer und Wann. Die Zwei-Faktor-Authentifizierung von jemandem zu deaktivieren, bleibt nicht unbemerkt.
Dasselbe, in AWS und in Simplio
| Auf eigene Faust in AWS | In Simplio | |
|---|---|---|
| Wer die Maschinen bedient, schützen | MFA in IAM, Benutzer für Benutzer, sofern jeder einen IAM-Benutzer hat | Im Profil aktivieren, mit einem QR-Code |
| Einen Code verlangen, bevor eine Maschine gestoppt wird | Gibt es nicht: Bei geöffneter Sitzung stoppt die Konsole ohne Rückfrage | Immer, bei jeder heiklen Aktion |
| Wissen, wer sie aktiviert hat | IAM-Anmeldeinformationsbericht | Benutzerliste |
Häufige Fragen
Welche App brauche ich?
Jede TOTP-Code-App: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden … Es ist derselbe Mechanismus, den auch Banken und Google verwenden.
Und wenn ich das Handy verliere?
Wer die Benutzer verwaltet, kann Ihre Zwei-Faktor-Authentifizierung entfernen, damit Sie sie auf dem neuen Handy neu einrichten. Diese Deaktivierung wird in der Aktivität protokolliert.