meine Nextcloud läuft auf einem Synology NAS im heimischen LAN. Um die Sicherheit zu erhöhen, habe ich beim Adminkonto die 2-Faktor-Authentifizierung eingeschaltet (erzwingen) und dabei nicht bedacht, dass ich das Adminkonto nur am Browser betreibe, aber an keiner App.
Jetzt wollte ich mich dort wieder einloggen, kann es aber nicht mehr, da ich den Login auf einer App bestätigen solle. Da es aber keine App gibt, kann ich mich nicht mehr einloggen.
Wie kann ich die 2FA wieder deaktivieren, damit ich mich wieder einloggen kann?
Was für eine Paketversion soll dies sein, die offiziellen Nextcloud-Version lauten 29.x, 30.x oder 31.x?
Zur Anmeldung kannst Du natürlich die Backup-Codes verwenden, die Du hoffentlich vor der Abmeldung des Accounts erzeugt und gespeichert hast.
Alternativ kannst Du die “Two-Factor Admin Support” App verwenden um eine One-Time-Token auf der Konsole zu erzeugen - falls Du diese installiert hast.
Abschließend bleibt Dir noch die Möglichkeit die 2FA-App auf der Konsole zu deaktivieren, sodass Du dich dann wieder normal anmelden können solltest.
Backupcodes hab ich natürlich nicht erstellt… Es bleibt wohl nur der Weg über die Konsole. Allerdings bin ich da ein blutiger Anfänger, vor allem weil die Nextcloud auf einem Synology NAS läuft. Soweit ich weiß muss SSH im DSM aktiviert sein. Wie finde ich da den richtigen Pfad?
Hallo @Nasivin ,
dies ist leider das Nextcloud-Support-Forum und nicht das Synology-NAS Support Forum, sodass Du hier kaum Tipps zu dieser Umgebung erhalten wirst. Ich empfehle die Suche mittels Google, welches mir z.B. folgenden Artikel zeigt, wenn ich nach “nextcloud synology Konsole” suche:
Falls ja, und falls man dem Screenshot im Link glauben kann, bleibt dir wohl wirklich nur die Konsole übrig.
Btw. falls du es geschafft hast, deaktiviere diese App, und nutze TOTP oder WebAuthn. Eine 2FA Methode, die ein anderes Gerät voraussetzt, in dem man noch eingeloggt ist, ohne Möglichkeit irgendwelche Backup Codes einzugeben, scheint mir keine besonders gute Idee zu sein, zumindest nicht als einzige 2FA Methode.
Es sei denn, man sucht nach einer besonders effektiven Methode, um sich aus seinem Account auszusperren.
Übrigens habe ich es in der Zwischenzeit ausprobiert und es scheint mit dieser App tatsächlich keinerlei Möglichkeit zu geben, Backup-Codes einzugeben oder erst zu erzeugen. Wenn also die andere 2FA-Methode, mit der du deine Backup-Codes erzeugt hast, nicht mehr aktiv ist, ist occ deine einzige Rettung.
Wenn du herausgefunden hast, wie du auf der Synology occ commands ausführen kannst:
Man kann also in der Nextcloud eine “shipped” App aktivieren, wo man sich durch das einfache Betätigen eines einzelnen “Toggles” aus seinem Account aussperren kann, ohne Netz und doppelten Boden.
So etwas kann man doch nicht einfach so auf die Leute loslassen, ohne Backup Codes zu erzwingen, oder zumindest eine fette rote Warnung einzublenden, die einem über die möglichen Folgen aufklärt. Ich weiss das klingt jetzt polemisch (ja ich kann das auch), aber da wäre eine rote Warnung mal wirklich sinnvoll (im Gegensatz zu einem fehlenden Talk High Performance Backend)
@Nasivin Erstmal eine grundsätzliche Anmerkung:
Nextcloud ermöglicht verschiedene Arten der 2 Faktor Authentifizierung. Bei deinem Beitrag musste ich erst einmal lange lesen, um herauszubekommen, dass du nicht 2FA TOTP nutzt, wie ich. Die von dir verwendete Methode nutze ich nicht, daher dazu kein konkreter Beitrag von mir.
Bei 2FA TOTP (oft auch Google Authenticator genannt) gäbe es die von dir benannten Probleme jedoch nicht. Zum einen weil man die 2FA für jeden User einzeln aktivieren muss, zum anderen weil es erst dann scharf geschaltet wird, wenn man vorab im Webinterface für jeden USER der Nextcloud, der es nutzen soll, einen QR-Code gescannt hat und mit einer 2FA TOTP App (muss nicht die App von Google sein, gibt bessere Alternativen) einen erzeugten Freischaltqode eingegeben hat. Auch Backup Codes werden dabei erzeugt. Die muss man aber noch selbst sicher irgendwo abspeichern.
Vor allem aber ist 2FA TOTP auch deshalb im Vorteil, weil es eben mit den Apps funktioniert, die man eh hat, etwa um sich bei web.de/gmx.net, Paypal, Amazon und wo auch immer mit 2FA sicher einzuloggen. Selbst bei manchen Behörden wird 2FA TOTP inzwischen angeboten. Es ist also ein Quasi-Standard geworden.
Insofern würde ich dir anraten die 2FA Methode zu wechseln, sobald du wieder in den Admin-Account kommen kannst
Genau das wollte ich ja und hatte ich auch so verstanden. Mein Gedanke dabei war, wenn ich es aktiviere, müsste dann die Aufforderung zur Registrierung in einer 2FA App wie zB. dem Google Authentifikator kommen. Nachdem es dann nicht kam, dachte ich, es kommt dann bei der nächsten Anmeldung.
Leider war dem nicht so. Es kam zwar der Hinweis, dass ich die Anmeldung in einer App bestätigen solle, aber da keine App da ist, komme ich nicht mehr rein.
Das kann gut sein, dass du im richtigen Pfad warst. Aber zum einen glaube ich ja nicht so richtig, dass du auch 2FA TOTP aktiviert hast, denn es gibt ja auch andere Methoden. Die, auf die @bb77 verlinkt hat, verweist ja auf die Methode über die Nextcloud-App, nicht auf die Methode über die Google (oder kompatible) App.
Ich würde mal denken, dass das Deaktivieren via occ auch zur tatsächlich verwendeten Methode passen muss. Und die ist mir (und womöglich sogar dir) unklar.
Hast du dir auch die Links von @wwe angesehen. Die verweisen auch auf TOTP. Ich bin denen mal kurz gefolgt und letztlich bei Lost access to TOTP on admin user gelandet. Das half 2018 bei TOTP.
