Ein Passwort allein kann erraten, per Phishing abgefangen oder mehrfach verwendet werden. Ein zweiter Faktor macht ein gestohlenes Passwort nutzlos. Hermetry unterstützt Passkeys und Einmalcodes, kann für jedes Mitglied einen zweiten Faktor verlangen und fordert ihn bei einigen Aktionen mit hohen Auswirkungen erneut an. Diese Seite erklärt jeden Teil.
Zweite Faktoren
| Faktor | Funktionsweise | Stärke |
|---|---|---|
| Passkey | Ein Fingerabdruck, das Gesicht, eine Geräte-PIN oder ein Hardware-Sicherheitsschlüssel. Phishing-resistent: Er funktioniert nur auf der echten Adresse von Hermetry. | Höchste. Eine Anmeldung mit Passkey zählt allein als abgeschlossener zweiter Faktor. |
| Authenticator-App | Ein zeitbasierter Code (TOTP) aus einer App auf Ihrem Telefon, mit Backup-Codes. | Hoch. |
| E-Mail / SMS | Ein Einmalcode, der an Ihre Adresse oder Telefonnummer gesendet wird. | Niedriger: E-Mail-Konten und Telefonnummern können übernommen werden. |
Bei der Anmeldung erhält ein Konto mit Code-Faktor den Schritt Two-step verification: Wählen Sie die Verification method (Authenticator app, Email oder SMS), wählen Sie wo nötig Send code, geben Sie den Code ein und wählen Sie Verify.
| Meldung | Bedeutung |
|---|---|
| „That code did not work. Try again.“ / „That code is not correct. Check it and try again.“ | Falscher Code. |
| „This code has expired. Send a new one.“ | E-Mail- und SMS-Codes sind nur kurz gültig. |
| „Too many wrong codes. Please wait a few minutes and try again.“ | Der Faktor wird nach wiederholten falschen Codes für eine Weile gesperrt. |
| „This organization requires two-step verification. Sign in again and complete it.“ | Ihre Organisation verlangt einen zweiten Faktor, und diese Sitzung hat keinen. |
In Entwicklung: Das Einrichten einer Authenticator-App sowie von E-Mail- oder SMS-Codes über My Profile ist in Entwicklung. Heute kann jedes Mitglied selbst einen Passkey hinzufügen; verwenden Sie ihn als zweiten Faktor.
Passkeys
Passkey hinzufügen
- Öffnen Sie My Profile > Passkeys („Biometric or hardware key authentication“).
- Wählen Sie Add Passkey und folgen Sie den Schritten Ihres Browsers.
- Geben Sie ihm einen Namen, zum Beispiel „work laptop“ (Rename, 1 bis 64 Zeichen).
Jede Person kann bis zu 10 Passkeys registrieren. Der Authenticator muss mit PIN, Fingerabdruck oder Gesicht bestätigen, dass Sie es sind; einer, der das nicht kann, wird abgelehnt: „This authenticator cannot confirm it is you with a PIN, fingerprint or face, so it cannot be registered.“
Backup-Passkey hinzufügen
Mit nur einem Passkey zeigt die Seite die Warnung Add a backup passkey: „You have one passkey. If you lose that device you could be locked out — register a second passkey on another device or a hardware key.“ Wählen Sie Add backup passkey.
Mit einem Passkey anmelden
Wählen Sie auf der Anmeldeseite Sign in with a passkey. Sie können sich ohne Passwort oder sogar ohne Ihre E-Mail-Adresse anmelden, wenn Ihr Passkey auf dem Gerät gespeichert ist. Die Seite zeigt „Signed in with a passkey“.
Die Liste zeigt, wann jeder Passkey Added wurde und wann er Last used zuletzt verwendet wurde. Remove löscht einen: „You won’t be able to use it to sign in.“
Zwei-Schritt-Verifizierung für alle verlangen
Ein Owner kann für jedes Mitglied einen zweiten Faktor verlangen:
- Stellen Sie sicher, dass Ihr eigenes Konto einen zweiten Faktor hat und dass Sie sich damit angemeldet haben. Andernfalls zeigt die Seite: „Set up a second factor for your own account first (an authenticator app or a passkey, on your account page), then sign in with it. Requiring it for everyone without one would lock you out.“
- Öffnen Sie Settings > Sign-in Policy: „Who may open this workspace: two-step verification for every member, and the IP addresses allowed or blocked“.
- Aktivieren Sie Require two-step verification for every member und bestätigen Sie Require it: „From now on every member must complete a second factor at sign-in. Members who have none set up cannot open this workspace until they add one.“
Ab dann muss jede Anfrage aus einer Sitzung stammen, die einen zweiten Faktor abgeschlossen hat. Mitglieder ohne zweiten Faktor können sich weiterhin anmelden, einen Passkey unter My Profile hinzufügen und sich damit erneut anmelden.
Informieren Sie Ihre Mitglieder, bevor Sie es einschalten.
Bestätigung von Aktionen mit hohen Auswirkungen (Step-up)
Manche Aktionen verlangen, dass Sie erneut beweisen, dass Sie es sind, auch in einer Sitzung, die bereits einen zweiten Faktor verwendet hat: Confirm it is you — „This action needs a second factor. The confirmation is valid for this one action for five minutes.“ Wählen Sie Confirm with a passkey oder geben Sie den Code from your authenticator app ein. „Backup codes cannot confirm an action.“
Wenn Sie keines davon haben: „No confirmation method is available. Set up a passkey or an authenticator app in your security settings.“
Die Betreiber von Hermetry können außerdem einen Step-up für eine Sitzung verlangen, die verdächtig wirkt: Die Sitzung bleibt angemeldet, aber nichts funktioniert, bis der zweite Faktor erneut bestätigt ist.
Backup-Codes
Wenn eine Authenticator-App eingerichtet ist, gibt Hermetry vier Backup-Codes der Form 1234-5678 aus. Jeder funktioniert einmal bei der Anmeldung anstelle eines App-Codes. Bewahren Sie sie offline auf. Mit ihnen lassen sich keine Aktionen mit hohen Auswirkungen bestätigen.
Faktor verloren
- Verwenden Sie einen anderen Passkey oder einen Backup-Code.
- Wenn keiner mehr vorhanden ist, bitten Sie den Owner Ihrer Organisation, den Hermetry-Support zu kontaktieren. Das Zurücksetzen der Zwei-Faktor-Einrichtung einer Person erfolgt durch Hermetry und wird im Audit-Log protokolliert (
auth.two_factor_reset_by_admin).
Verwandt
- Sitzungen, Sperre und vertrauenswürdige Geräte
- Single Sign-on
- Zugriffsrichtlinien: Eine Aktion verweigern, sofern die Sitzung keinen zweiten Faktor und keinen Passkey verwendet hat (
subject.acr)