IDEE: Für mehr Schutz, den App-Passwörtern -> Funktionen zuordnen

Hallo @Nextcloud-Community,

Ich nutze seit längerem bereits die Nextcloud und seit einiger Zeit auch die 2FA, nun bin ich leider erst jetzt auf die App-Passwörter gestoßen, was ich soweit eine richtig gute Sache finde, nur öffnet man damit meines Erachtens leider ohne einer 2FA die gesamte die gesamte Nextcloud für alle darüber verbundenen Anwendungen?

Es wäre sehr gut, wenn bei den App-Passwörtern eine Einstellungsmöglichkeit drin wäre, auf was man mit dem angelegte App-Passwort überhaupt zugreifen darf, damit man nicht alles für jedes nicht 2FA abgesicherte Passwort freischaltet.

Gruß Matze

Naja das stimmt so nicht. App-Passwörter nutzt man ja für spezielle Anwendungen, die gerade nicht 2FA unterstützen. Das Passwort wird nur einmal in der Nextcloud angezeigt und wird innerhalb der Anwendung dann entsprechend verwaltet. Zudem kann man das App-Passwort jederzeit löschen.

Ich denke das lässt sich gar nicht einschränken. Viel mehr wird es helfen, wenn den Benutzern klar ist, was man mit App-Passwörter machen kann. Sollte genauso zu eine Schulung gehören wie das korrekte Teilen über Nextcloud.

Man könnte überlegen, ob man aus Sicherheitsgründen die Funktion ganz deaktivieren können sollte. Falls man nicht durchgängig 2FA nutzt, ist es sinnlos, da man dem Anwender auch nicht verhindern kann, dass ein Anwender sein Nextcloud-Passwort mit Dritten teilt. Bei 2FA ist es schon etwas sinnvoller. Aber TOTP kann man wahrscheinlich auch auf mehreren Endgeräten einsetzen.

1 Like

Dazu gibt/gab es einige Diskussion im server repo, zB Allow to restrict app password data access · Issue #2866 · nextcloud/server · GitHub

Da wird ja schon etwas länger diskutiert und ob es dafür jemals eine Lösung gibt? Um den Zugriff zu Dateien einzuschränken sehe ich aktuell nur die Möglichkeit einen weiteren Nextcloud-Benutzer nur für diesen Zweck anzulegen, der dann über eine Freigabe vom eigentlichen Anwender oder über einen Gruppenordner Zugriff auf die eingeschränkte Datenmenge erhält. Nicht schön aber effektiv. Bei Kalender und Kontakte sehe ich gar keine Lösung.

Da wird ein extra User selten reichen, denn man müsste ja leider für einen machen, wenn was nur auf den Kalender zugreifen darf, etwas anderes braucht den Zugriff auf die Kontakte und das nächste braucht den Zugriff auf Kalender, Kontakte und Aufgaben, aber alle User sollen nicht auf die Dateien zugreifen. Somit hat man bereits 3 User benötigt und die Spirale wird so weiter gehen.

Grundsätzlich gibt man ja schon der App in die man ein App-Passwort einträgt, schon die Möglichkeit auf alles in dem Cloud-Account zuzugreifen, auch wenn diese App vielleicht dafür nicht gedacht ist.

Auch sollte ein App-Passwort durch ein Datenleck in einer genutzten App in die falschen Hände geraten, so stehen den Verwender der Zugangsdaten doch in der Cloud Tür und Tor zu allen Anwendungen der Cloud offen, bis man diesen Missbrauch entdeckt und selbst reagiert hat oder gibts da bereits andere Vorkehrungen?

Ja da hast du nicht unrecht, und somit bleibt dir nichts anders übrig als den Apps zu vertrauen, dass sie a) sicher programmiert sind, und b) nicht bösartig sind, sprich mit voller Absicht deine Daten abziehen. Heute und morgen wird so ein Rechtemanagementsystem nämlich ganz sicher nicht impementiert sein, falls es überhaupt irgendwann kommt.

Ein paar Dinge kannst du aber natürlich trotzdem tun, um das Risiko zu minimieren.

  • Installiere nur Apps denen du traust und die du unbedingt brauchst.

  • Installiere diese nur auf Geräten, denen du traust und auf denen du sie unbedingt brauchst.

  • Behandle App Passwörter wie dein persönliches Passwort, sprich gib sie nicht an Drittpersonen weiter, bzw. nutze sie nicht um Drittpersonen über eine App Zugriff auf bestimmte Daten in deinem Nextcloud Account zu geben.

  • Halte die Endgeräte, auf denen die Apps laufen, oder die Browser, falls du Browser-Addins verwendest, auf dem neuesten Stand, d.h. benutze keine Apps auf einem China-Billig-Android-Handy von 2014, das noch nie ein Update bekommen hat, oder auf einem Windows 7-PC, weil es das beste Windows aller Zeiten war, oder Add-ins in einer Uralt Version von Firefox, weil dir das neue UI nicht gefällt etc… :wink:

  • Für hochsensible Daten kannst du dir auch überlegen, einen separaten Benutzer auf Nextcloud anzulegen, oder umgekehrt, wenn du z.B. nur ein Backend braucht, um etwas mit einer bestimmten App zu synchronisieren (k.A. Bookmarks, RSS Feeds etc…), auf das du nicht regelmässig wie WebUI Zugriff brauchst, kannst du dir überlegen einen separaten Benutzer nur für diese App anzulegen.

Beim letzten Punkt musst du halt von Fall zu Fall überlegen, ob es nötig und praktikabel ist. Ich habe z.B. einen separaten Account um von meinem MFP in die Nextcloud zu scannen, für Bookmarks nutze ich aber meinen regulären Account.

Übrigens, falls du sensible Geschäftsdaten, Kundendaten oder ähnliches in deinem privaten Nextcloud Account horten solltest, ist natürlich die Tatsache, dass Du das überhaupt tust, der Fehler und nicht das fehlende App-Berechtigungssystem in Nextcloud :wink: