Zwei Faktor Authentifizierung bei erneut angelegten Usern

🌐 Non-english support đŸ‡©đŸ‡Ș Deutsch (german)
1

Hallo zusammen,

ich habe ein seltsames Verhalten mit der Zwei Faktor Authentifizierung.

Umgebung:
Ubuntu Linux Version 22.04.1 LTS
PHP: 8.1
Nextcloud: 24.0.4

Zugriff als Admin habe ich, auch auf die Konsole.

Folgendes Problem:
Ich habe einen Testuser erstellt und diesem die TOTP Zwei Faktor Authentifizierung zugewiesen (Google Authenticator). Alles hat so weit funktioniert und der User hat auch Zugriff erhalten.

Da ich mir nun noch ein paar Screenshots fĂŒr Dokumentationszwecke erstellen wollte, habe ich diesen User wieder gelöscht und neu erstellt.
Nun kommt jedoch nach dem festlegen des Kennwortes immer noch die Abfrage nach dem Zwei Faktor Code. Ich benötige jedoch die Anzeige des QR-Codes fĂŒr den User.

Auch wenn ich im Admin Bereich unter Sicherheit die Zwei Faktor Authentifizierung komplett deaktiviere, kommt die Abfrage nach dem Code.

Wie kann ich diesen User komplett zurĂŒcksetzen, so dass dieser komplett neu angelegt wird?

2

Du kannst 2FA via OCC command deaktivieren fĂŒr den User:

sudo -u www-data php occ twofactor:disable <uid> <provider_id>

Die <uid> ist der Username und die <provider ID> findest du mit folgendem Befehl heraus:

sudo -u www-data php occ twofactor:status <uid>

Du erhÀlst dann eine Ausgabe die ungefÀhr so aussieht:

Enabled providers:
- backup_codes
- webauthn
Disabled providers:
- totp
- u2f

In deinem Fall ist der “Enabled” Provider ziemlich sicher totp, was dann folgenden Befehl ergeben wĂŒrde:

sudo -u www-data php occ twofactor:disable username totp

https://docs.nextcloud.com/server/latest/admin_manual/configuration_server/occ_command.html#two-factor-authentication

1 Like
3

@RocknRollMan
Das ist aber schon komisch, dass beim Löschen eines Benutzers scheinbar nicht die Konfiguration fĂŒr 2FA gelöscht wird. Das hĂ€tte ich so nicht erwartet. Das halte ich fĂŒr einen Fehler. Mag das jemand mal nachvollziehen? Dann könnte man vielleicht einen Issue erstellen.

4

@bb77

Danke!!!
Genau das war die Lösung. Trotz löschen des Users und neu anlegen war bei dem User der Status:
“Two-factor authentication is enabled for user XY”

Ich habe nun den Status auf disabled gesetzt, anschließend den User noch einmal gelöscht, dann im Admin Verwaltungsbereich fĂŒr die Gruppe die Zwei Faktor authentifizierung eingeschalten und den User neu angelegt.

Jetzt wird er auch wieder wie ein ganz neuer User behandelt.

Dennoch ein sehr komisches Verhalten.

5

Schön, dass es geklappt hat. :slight_smile:

Ja keine Ahnung ob das “working as designed ist” oder ein Bug. Es wĂ€re sicher auch möglich, die entsprechenden Tables in der Datenbank manuell zu löschen, aber ich bin kein Datenbankexperte.

6

@bb77
Ich hÀtte erwartet, dass wenn man einen Benutzer löscht, alles was zu einem Benutzer gehört, auch gelöscht wird. Dazu gehört auch die Information zu 2FA.

Vielleicht mag es jemand nochvollziehen oder mal die Issues durchsuchen.

7

@devnull Es ist ein “Rabbit Hole”
 Es gibt ein paar offene Issues wie diesen hier, die teilweise gelöst sind (der Teil mit den Anmeldeinformationen, aber nicht der 2FA-Teil), und dann mit weiteren Issues verlinkt sind, und so weiter
 was mich zu der Annahme bringt, dass wahrscheinlich noch viel mehr in der Datenbank zurĂŒckbleibt, als nur das 2FA-Zeugs. :wink:

Ich habe es auch mit der “twofactor_webauthn”-App auf meiner Testinstanz getestet, die bereits auf NC25 beta 6 lĂ€uft, und das Problem besteht auch dort nachwievor


Ich habe einen Testbenutzer erstellt und twofactor_webauthn fĂŒr diesen Benutzer aktiviert. Dann habe ich den Benutzer gelöscht und einen neuen Benutzer mit demselben Namen hinzugefĂŒgt. Ich konnte dann das webauthn-GerĂ€t gleich bei der ersten Anmeldung wieder verwenden, ohne es erst hinzufĂŒgen zu mĂŒssen.

8

Hopefully the username and other credentials are deleted.
If not Nextcloud is maybe not DSGVO compliant. :wink:

9

Ja k.A. FĂŒr meine private Cloud, ist das nicht wirklich ein Problem, aber ja wenn noch andere Dinge drinnbleiben, ist es vielleicht fĂŒr kommerzielle Anbieter ein Problem


btw: Bin etwas durcheinandergekommen mit der Sprache, und habe meinen Beitrag noch mal auf Deutsch (zurĂŒck)ĂŒbersetzt. :roll_eyes: :wink:

10

@devnull Übrigens


Die U2F-App habe ich schon vor lĂ€ngerer Zeit deinstalliert und durch webauthn ersetzt, und trotzdem taucht bei meinem User u2f noch als “Disabled provider” auf. Ich denke es sind vorallem Daten, die durch irgendwelche Apps erstellt wurden, die in der Datenbank zurĂŒckbleiben. Warscheinlich gibt es keine einheitliche Methode (oder gar keine), die der Userverwaltung sagt, welche durch Apps erstellte Tables, sie löschen mĂŒsste. Und die Apps selbst löschen ihre Tables offenbar auch nicht, wenn man sie deinstalliert.

11

Vielleicht hĂ€lt es ja jemand fĂŒr sinnvoll hier einen Issue zu erstellen. Ich kann das nicht abschĂ€tzen. Vielleicht gibt es ja auch schon eine Issue in die Richtung.