2FA und E-Mail Versand

[teddyid]

Ich habe eine Frage zu 2FA bei immer mehr E-Mail Providern. Gibt es für Lazarus eine Komponente für den E-Mail Versand, mit der ich die 2FA Authentifizierung umsetzen kann? Was verwendet Ihr oder wie geht Ihr damit um?

[Warf]

Du kannst theoretisch einfach E-Mails mit einer SMTP Komponente wie aus Indy senden. Praktisch akzeptieren die meisten e-Mail server aber nur E-Mails von anderen E-Mail servern und nicht random SMTP Anfragen. Du brauchst also einen E-Mail Server für die Addresse von der du die Mails senden willst und musst dann über dessen SMTP Server deine E-Mails senden.

Aber die Frage ist warum willst du E-Mail als "2FA" haben? Die meisten Nutzer nutzen überall das selbe Passwort, d.h. wenn du E-Mail 2FA hast muss der Angreifer der dein Passwort abgreift, kann er mit dem selben Passwort deine E-Mail abgreifen. Der Grund warum Websites E-Mails als 2FA benutzen ist um sicher zu stellen das der Nutzer eine E-Mail Addresse hat. Das ist eher Spam schutz das nicht Nutzer sich hunderte Accounts machen, weil sie für jeden Account eine E-Mail brauchen

[Stevie]

Aber die Frage ist warum willst du E-Mail als "2FA" haben?

Na ja, das Problem ist halt, dass die Mail Provider zunehmend auf einen zweiten Faktor setzen und in der interaktiven Benutzung verlangen, dass man zusätzlich zu seinem Passwort auch eine Zahl eingibt, die man per SMS zugeschickt bekommen hat. Da das nicht wahlfrei ist, muss man sich damit beschäftigen.

Allerdings ist auch Google & Co. klar, dass das nicht im automatisierten Versandt funktioniert und daher gibt es meistens API-Keys, die man sich zu seinem Mail Account registrieren kann und die dann im Falle von Skripten oder Programmen an die Stelle des Passworts treten. Die Übertragung der Mails zwischen Client und Mailserver wird dann nicht mehr per SMTP gemacht, sondern über eine REST-API.

Was als Anregung zum Lesen:

https://developers.google.com/workspace ... ding?hl=de

... und ...

https://cloud.google.com/docs/authentic ... -use?hl=de


Und wenn die Frage lautet, wie man damit umgeht, so würde ich sagen: Provider suchen, der eine gute durchdachte REST API anbietet und API Keys erlaubt und die dann mit dem fphttpclient ansprechen...