2FA und E-Mail Versand

[teddyid]

Ich habe eine Frage zu 2FA bei immer mehr E-Mail Providern. Gibt es für Lazarus eine Komponente für den E-Mail Versand, mit der ich die 2FA Authentifizierung umsetzen kann? Was verwendet Ihr oder wie geht Ihr damit um?

[Warf]

Du kannst theoretisch einfach E-Mails mit einer SMTP Komponente wie aus Indy senden. Praktisch akzeptieren die meisten e-Mail server aber nur E-Mails von anderen E-Mail servern und nicht random SMTP Anfragen. Du brauchst also einen E-Mail Server für die Addresse von der du die Mails senden willst und musst dann über dessen SMTP Server deine E-Mails senden.

Aber die Frage ist warum willst du E-Mail als "2FA" haben? Die meisten Nutzer nutzen überall das selbe Passwort, d.h. wenn du E-Mail 2FA hast muss der Angreifer der dein Passwort abgreift, kann er mit dem selben Passwort deine E-Mail abgreifen. Der Grund warum Websites E-Mails als 2FA benutzen ist um sicher zu stellen das der Nutzer eine E-Mail Addresse hat. Das ist eher Spam schutz das nicht Nutzer sich hunderte Accounts machen, weil sie für jeden Account eine E-Mail brauchen

[Stevie]

Aber die Frage ist warum willst du E-Mail als "2FA" haben?

Na ja, das Problem ist halt, dass die Mail Provider zunehmend auf einen zweiten Faktor setzen und in der interaktiven Benutzung verlangen, dass man zusätzlich zu seinem Passwort auch eine Zahl eingibt, die man per SMS zugeschickt bekommen hat. Da das nicht wahlfrei ist, muss man sich damit beschäftigen.

Allerdings ist auch Google & Co. klar, dass das nicht im automatisierten Versandt funktioniert und daher gibt es meistens API-Keys, die man sich zu seinem Mail Account registrieren kann und die dann im Falle von Skripten oder Programmen an die Stelle des Passworts treten. Die Übertragung der Mails zwischen Client und Mailserver wird dann nicht mehr per SMTP gemacht, sondern über eine REST-API.

Was als Anregung zum Lesen:

https://developers.google.com/workspace ... ding?hl=de

... und ...

https://cloud.google.com/docs/authentic ... -use?hl=de


Und wenn die Frage lautet, wie man damit umgeht, so würde ich sagen: Provider suchen, der eine gute durchdachte REST API anbietet und API Keys erlaubt und die dann mit dem fphttpclient ansprechen...

[Mathias]

Aber die Frage ist warum willst du E-Mail als "2FA" haben?

Dieses 2FA nervt einem nur überall, Dies macht einem nur noch mehr abhängig von Handy. Und wehe eines dieser Geräte funktioniert nicht, dann sperrt man sich selbst raus. Ich meide wo es nur geht 2FA.
Von der Bank habe ich auch so ein 2FA Kasten, wen das Ding nicht funktioniert, geht nichts mehr. Da war die alte Streichliste einiges besser.

[BoraBora]

Ich benutze einen Reiner SCT Authentificator, da ich
im Firmenumfeld kein Freund von 2FA per Handy bin.

Gruss BB

[Mathias]

Code: Alles auswählen

im Firmenumfeld kein Freund von 2FA per Handy bin.

Apropos Handy und 2FA. Was nützt einem das 2FA, wen ein Handypflücker dir daas Handy kaut, welches gerade offen ist. Der Dieb guckt schön, das das Handy nicht ausschaltet und kann dir das ganze Bankkonto plünder. Bank App öffnnen, warten bis die 2FA SMS kommt und dann zschüss Geld.

[af0815]

Wenn dir der Dieb ein aktuell offenes Handy klaut, kommt er maximal bis zur ersten Biometrischen Abfrage. 2FA Apps kann man immer mit Biometrie schützen und bei den Bankapps die ich kenne ist es ebenso. Wenn nicht, solltest du die Bank wechseln.