[Frage] FB7590 (und andere Boxen ab OS:7.50) Bestätigungen deaktivieren ?

[Exodus88]

Die 3. 2FA-Variante würde dieses Problem lösen.

Wenn ich die Wahlmöglichkeit hätte, gäbe es kein Problem

 

[NDiIPP]

[…] gäbe es kein Problem

Dachten die Schafe…

 

[Exodus88]

Wie bereits geschrieben, habe ich nichts gegen eine zusätzliche Bestätigung, und ist auch sinnvoll.

Nur man muss unterscheiden, wo und wie die Box eingesetzt wird.

Da sehe ich schon noch einen großen Unterschied, ob ich diese in einem 3-Personen-Haushalt nutze, oder auf einer Schafweide, wo täglich ein Schaf verschwindet

Das Zauberwort heißt nach wie vor "Auswahlmöglichkeit", die mir eine freie Entscheidung darüber ermöglicht, ob ich diese Option haben will oder nicht.
Ich gehe mal davon aus, dass ich alt und schlau genug bin, dass ich diese Entscheidung selbst treffen kann und auch mit den Konsequenzen leben muss.

 

[erik]

Mein lokaler FB-Editor funktioniert noch. Dazu muß meine Einstellungsdatei den heimischen Rechner nicht verlassen.

 

[Exodus88]

@erik

ich hatte >>>gelesen<<< das es nicht funktioniert, wenn "two_factor_auth_enabled = yes" bereits aktiviert ist. Und in meinem Fall konnte ich das nicht ausschalten.

Oder habe ich da etwas verwechselt?

Gruß

Roland

 

[NDiIPP]

Oder habe ich da etwas verwechselt?

Ja. Man muss den FBEditor schließlich nicht zum exportieren und importieren der Konfiguration verwenden:

BTW:
Da ich erst jetzt die späteren Beiträge gelesen habe (bzgl. FBEditor):
Man kann den FBEditor so verwenden, dass er kein Benutzername oder Passwort benötigt (die entsprechenden Anfrage beim Start einfach ignorieren). Man kann ja schließlich die Sicherung selbst über das Webinterface der Fritzbox auslesen und die geänderte Sicherung (mit neu berechneter Prüfsumme) auch wieder selbst über das Webinterface importieren. Damit umgeht man auch gleich einige potentielle Probleme.

Und zum berechnen der neuen Prüfsumme (nach dem editieren) wird weder Username noch Password benötigt! Dazu einfach die bearbeitete Sicherung mit dem FBEditor öffnen (die evtl. Nachfrage nach dem Passwort der Fritzbox o.ä. einfach ignorieren/schließen inkl. der darauf folgenden Fehlermeldung) und wieder abspeichern. Das war es schon.

Edit:

Da sehe ich schon noch einen großen Unterschied, ob ich diese in einem 3-Personen-Haushalt nutze, oder auf einer Schafweide, wo täglich ein Schaf verschwindet

Ja, wenn eine Person im einem 3-Personen-Hauhalt verschwindet ist der Schaden im vgl. zu einem verschwundenen Schaf auf einer Schafweide vermutlich wesentlich größer…

 

[Exodus88]

Ja, wenn das auch geht, ist es gut das diese Info jetzt im Thread steht... Ich hatte das eben auf der Seite gelesen und mich direkt nach einer anderen Lösung umgesehen.

Aber egal, mehrere Wege führen nach Rom Wichtiger ist, dass das angestrebte Ziel erreicht wird.

Naja, wenn da einer weniger ist, ist mehr Ruhe im Haus und die Bandbreite muss nur noch durch zwei geteilt werden

 

[RollinCHK]

Ist das Exportieren der Fritz!Box Sicherung und das Bearbeiten der Config und abspeichern mit dem FBEditor die einzige Möglichkeit, die 2FA wieder zu deaktivieren?

 

[NDiIPP]

Nein, zumindest bzgl. FBEditor.

Wenn man keinen Konsolenzugriff hat und auch nicht den Weg über ein temporäres Downgrade gehen will/kann (bei neuen/zukünftigen Modellen eh nicht mehr möglich) dann ist "Exportieren der Fritz!Box Sicherung, bearbeiten der Config, Prüfsumme dieser neu berechnen (bspw. per FBEditor, decoder, Fritz!Box Tools usw…) und Config importieren" tatsächlich die einzig verbliebene Möglichkeit.

Tipp:
Ich habe bei allen (neueren) Fritzbox-Modellen in meinem Umfeld mittlerweile die 2FA per TOTP aktiviert, auch wenn noch gar kein FRITZ!OS 7.5x installiert ist. So ist man vorbereitet und braucht weder Telefon noch Taste drücken (lassen). Ausnahme: Modelle mit FRITZ!OS <7.0x denn TOTP wird (leider) erst seit FRITZ!OS 7.00 unterstützt. Von daher verzichte ich (leider) bei Modellen wie der 7272, 7390, 7412 usw. auf die Aktivierung der 2FA.

Da ich die Passwörter eh in KeePassXC verwalte (und somit bei Zugriff auf die entspr. Fritzboxen sowieso darauf zurückgreifen muss) realisiere ich die 2FA per TOTP für die entspr. Fritzboxen auch gleich mit KeePass. Der Mehraufwand hält sich somit in Grenzen.

 

[RollinCHK]

Die 2FA per App kommt nicht in Betracht. Zugriff per Konsole heißt Telnet? Lässt sich der Telnet Zugang noch über die Tastenkombination an einem Mobilteil (temporär) aktivieren? Wie geht man dann weiter vor?

 

[NDiIPP]

Lässt sich der Telnet Zugang noch über die Tastenkombination an einem Mobilteil (temporär) aktivieren?

Nein, nicht mit originaler Firmware.

Wie geht man dann weiter vor?

Ist in Beitrag #5 verlinkt…

 

[RollinCHK]

OK danke, also FBEditor...

 

[PeterPawn]

Ich habe inzwischen feststellen können (nachdem mit der 07.56 nun die finalen Versionen des Entwicklungszweigs erschienen sind, schaue ich da auch wieder etwas genauer hin), daß sich AVM bei der Deaktivierung der 2FA noch eine Hintertür offengelassen hat.

Damit funktioniert das Deaktivieren auch ohne Editieren und (Re-)Import einer Sicherungsdatei - man braucht nur eine Session-ID für eine Sitzung, in der die 2FA bereits erfolgreich ausgeführt wurde (ohne 2FA funktioniert das nach meinen Tests GLÜCKLICHERWEISE nicht, denn das wäre wieder ein riesiges Security-Problem).

Dann muß man nur (von derselben IP-Adresse, von der die verwendete sid stammt) einen HTTP-POST-Request zusammenbasteln, der in den Formulardaten folgende Werte enthält:

xhr=1
page=support
twofactor=1
sid=<hier kommt die SID hin>

oder als einzelne Zeile:

xhr=1&page=support&twofactor=1&sid=<sid>

Das sendet man dann - wie erwähnt, als POST-Request(!) - an die Box, z.B. mit curl oder - unter Windows - auch einfach mit der PowerShell:

PS C:\Users\PeH> Write 'xhr=1&page=support&twofactor=1&sid=<sid>' | Invoke-RestMethod -Method 'Post' -Uri 'http://fritz.box/data.lua'

Dabei muß man natürlich seine eigene SID angeben und ggf. auch die URL noch ändern, falls die eigene Box auf fritz.box nicht kann.

BTW ... falls sich jemand über das twofactor=1 wundern sollte ... der Wert an sich ist egal, wichtig ist nur die Existenz eines Parameter-Namens twofactor. Für das AKTIVIEREN der 2FA auf diesem Weg, müßte man noch ein twofactor_auth_enabled=on hinzufügen zum Request.

Ob bzw. wann AVM das wieder entfernt bzw. besser "absichert", weiß ich aber auch nicht - möglicherweise funktioniert das schon mit der nächsten Version nicht länger.

 

[DDD]

Was ist das Ergebnis davon? 2fa wird damit dauerhaft in der 7.56 deaktiviert?

 

[PeterPawn]

Was verstehst Du denn unter "dauerhaft"? Das kann danach natürlich auch wieder über "Zusätzliche Bestätigung..." erneut eingeschaltet werden - insofern ist das eben NICHT dauerhaft (nach meinem Verständnis). Aber galt bzw. gilt das nicht ebenso für die Variante, bei der man das über die Sicherungsdatei wieder DEaktiviert? Ich verstehe halt nicht so ganz, wo Du da einen Unterschied sehen oder machen willst. Die 2FA wird einfach wieder deaktiviert ... was danach passiert, kann weder der Request wissen, noch ich selbst.

 

[DDD]

Es überlebt also die Session und einen reboot

 

[PeterPawn]

Natürlich - sonst wäre die 2FA ja nur "vorübergehend außer Funktion" und nicht DEAKTIVIERT.

EDIT: Im Prinzip macht der Request nichts anderes als das, was beim Deaktivieren der 2FA VOR 07.39/07.5x auch passierte ... nur hat AVM den Code dafür eben jetzt in der Support-Seite stehen - daher wird die dann auch "angezeigt" (bzw. ausgegeben), wenn man das Ergebnis des Requests auch zu Gesicht bekommt (hängt halt davon ab, wie man das aufruft - ich habe ja nur ein Beispiel bzw. eine "Anregung" gegeben in meinem Beitrag oben).

 

[Max_07]

Vollzitat gemäß Boardregeln https://www.ip-phone-forum.de/threads/ip-phone-forum-regeln.297224/ entfernt by stoney

Hallo,
habe den o.g. Code über die Powershell mit Ergänzung meiner SID eingegeben. FB-Name passt. Allerdings kommt nach Eingabe Enter u.a. ein langer, unübersichtlicher Fließtext, indem auch etwas von "Fehlender Berechtigung" steht. Im FB-Menü sieht der Pkt. "Zusätzliche Bestätigung" unverändert aus.
Es hat also leider nicht funktioniert.

Da ich der Einzige User an meinem PC bin, war ich immer davon ausgegangen, dass ich auch alle Admin-Rechte habe. Oder was ist der Grund des Scheiterns?

Gruß
Max

 

[PeterPawn]

Die Session muss ZUVOR mittels 2FA autorisiert sein, z.B. durch manuellen Aufruf der Sicherung für die Einstellungen.

EDIT:
Das Vollzitat wäre sicherlich auch nicht nötig, da reicht auch ein Link auf den Beitrag als Verweis. Der Beitrag hier hat sich mit meinem in dem anderen Thread dann überschnitten: https://www.ip-phone-forum.de/threa...h-nicht-rückgängig-machen.317754/post-2538421

 

[Max_07]

Die Session muss ZUVOR mittels 2FA autorisiert sein, z.B. durch manuellen Aufruf der Sicherung für die Einstellungen.

Sorry, aber welche Sicherung für die Einstellung meinst Du?