[Frage] modfs um 2FA zu deaktivieren

[Insti]

Wenn das mit Telnet gehen würde, bräuchte ich garnicht das dauerhaft zu deaktivieren.

Warum wird sich eigentlich so vehement gegen TOTP gewehrt?

Das funktioniert bei mir nur mit der FB als Master. Für meine 2 x 7530AX als Mesh Repeater geht nur Telefoncode oder Tastendruck.

Nein, das wäre absolut nicht genial, sondern die größtmögliche Dummheit!

Denke das was für dich „Dummheit“ ist, muss nicht für alle gelten.

 

[Ldwg2002]

@Insti:

Nein, das wäre absolut nicht genial, sondern die größtmögliche Dummheit!

oder

die elegante Lösung für das NTP-Problem einer FritzBox die ein LAN ohne Internetanschluss erzeugt.

dann muss es halt ssh (verschlüsselte Übertragung) sein.

Paranoia vs. Komplexität.

TOTP ? Antwort der KI
TOTP steht für "Time-based One-Time Password" (zeitbasiertes Einmalpasswort). Es ist eine Methode zur Erzeugung von Einmalpasswörtern, die nur für eine kurze Zeitspanne gültig sind und zur Authentifizierung verwendet werden, oft als zweiter Faktor bei der Zwei-Faktor-Authentifizierung (2FA).
@chrsto muss man sich vielleicht doch mal anschauen anstatt zum Experten werden zu müssen. Der initiale QR-Code ist sicher auch nur eine Zahl (die man menschenlesbar speichern kann), das "seed" für das Einmalpasswort.

 

[Insti]

dann muss es halt ssh (verschlüsselte Übertragung) sein.

Solange du den Telnet Port nicht für das WAN öffnest passiert auch nix.
Nochmal zur „Dummheit“ Telnet zu installieren. Ich probiere jede inhouse/labor auf meiner 7530AX aus und gehe dann immer mit Telnet und linux_fs_start zurück auf die aktuelle 8.02. Ohne Telnet wäre der Aufwand viel höher zwischen den Partitionen zu wechseln.

 

[ole258]

Leute, die das tatsächlich überfordert (und nicht nur weil sie bisher vielleicht einfach nur "zu faul" waren sich einfach mal mit dieser einfachen und schnellen Methode zu beschäftigen), sollten sich imo mehr als dreimal überlegen ob sie wirklich die 2FA abschalten wollen…

Davon abgesehen, dass Dein Grundton nach wie vor und bei fast jedem Post grundlos ziemlich unfreundlich ist, kannst Du natürlich Deine Meinung kund tun.

Ich habe versucht, mich mit dem Thema POST-Request auseinander zu setzen und ich checke es NULL, KOMMA, NULL ich bin da schlichtweg nicht intelligent genug, zu doof oder wie Du es auch immer bezeichnen möchtest. Mein Freizeitinhalt besteht auch nicht nur aus irgendwelchen Technik-und-Fritzbox-Nerd-Themen und sicherlich habe ich da dann aus Sicht mancher, Defizite. Aber damit muss und kann ich leben.

Und Ich bewirb die Methode auch nicht, sondern gebe freundliche Tipps. Es gibt keine Verpflichtung, den/die umzusetzen. Ich selber verstehe diese Methode mit dem config-File einfach gut. Aber um Dich zu beruhigen: Ich habe die 2FA nicht abgeschaltet.

 

[Ldwg2002]

Das ist sogar mir als Laie soweit klar und verständlich.

Solange du den Telnet Port nicht für das WAN öffnest passiert auch nix.

"Experten" hier scheinen einem (anderen) Mantra zu huldigen (Erklärung der KI) oder haben sie keine Ahnung?

Nachdem was du tust, bist du aus meiner Sicht ein "Experte"! Alle "FritzBoxen nutze ich wie sie sind" ("use as it is" __KI__) als "dummer Verbraucher" und das hat mind. einen juristischen Grund. Auf manuelles Gefrickel als "Experte" habe ich schon lange keine Lust (mehr). Leider vergeht mir allmählich zunehmend die Lust die vielen Hürden der GUI und die Paranoia des Herstellers AVM zu überwinden. Da zählt auch TOTP hinzu. Im IP-Client-Modus?

OffTopic: Es macht allmählich keinen Spaß mehr ein (consumer) LAN an einer FritzBox zu verwalten, insb. "static leases" für MAC-Adressen einzutragen. Jeder neue administrative Eintrag wird von der GUI verhindert, wenn der host mit seiner hardware-MAC schon aktiv ist/war (hier insb. 7490_07.60 und allg. ab 08.x). Das ist schon heute nur noch über das "grenzwertige" Editieren der CFG.export-Datei und Wiederherstellen/Import zu praktizieren ( __FritzBox-JSTool__ ) und einem Verbraucher (consumer) auch nicht zumutbar (die Schmerzgrenze drückt).

Bereits in __#10__ wurde von @NDiIPP richtigerweise (meine grundsätzliche Zustimmung) der auch von @ole258 in __#7__ beschriebene Weg kritisiert. Ob NDiIPP aus einem juristischen Grund argumentiert entzieht sich meiner Kenntnis. Ich vermute jedenfalls die Argumentation aus einem anderen "technischen" Grund, die Fehleranfälligkeit, hier bekannt als KKK. KKK kann ich ebenfalls bestätigen. Schnell schießt man beim Import die komplette CFG ins Jenseits. Bestenfalls bootet die FB dann mit Werkseinstellungen, anderenfalls passiert irgendwas (KKK). Die Fehlersuche in der nicht dokumentierten ar7-Datei beginnt. (Erst kürzlich leidvoll erlebt, weil dann die Präsenz lokal vor der FB erforderlich war.) Es wird von AVM sicher keine vollständige Konsistenzprüfung beim Import der ar7.export Datei geben. Das passiert auf der GUI. Ein "consumer" editiert die ar7.export-Datei nicht. Das macht vielleicht ein "Halbexperte" der nicht weiß er tut, ich z.B. Meinst du das, @NDiIPP?

Mein Ansinnen für die Zukunft beschreibe ich so: Back to the roots! Die FritzBox ist ein Router als "eierlegene Wollmilchsau" und "Ein Router ist ein Router!" zum WAN (ganz im Sinne von @Peter_Lehmann ). Zukünftig wird das (consumer) LAN anders erzeugt (administriert: DHCP, NTP und DNS), dann wird (das) mein consumer-Leben wieder einfach, so die Hoffnung. Bisherige Exkurse mit einem https://pi-hole.net/ (mit aktivem DHCP-Dienst) sind sehr vielversprechend. Schwierigkeiten mit anderer Consumerhardware konnten bisher gelöst werden. Das in der Übergangsphase unsaubere und holprige Konzept kann noch verbessert werden. Für den Router nur eine statische Route für "das einfach und anders administrierte (consumer) LAN" (DHCP, NTP und DNS) hätte das aufgetauchte Problem mit einem Magenta TV Stick (2. Generation) wohl vermieden ( __ein Link__ ). Was noch zu beweisen wäre.

Sorry, back to topic. Telefoncodes mit modfs Telnet (ohne Telefon) eingeben.
Nur im LAN, z.B. für FritzBoxen im IP-Client-Modus, für die Experten.

 

[Novize]

Bitte mal etwas cool down... Draußen sind doch angenehme Temperaturen, warum zeigt der eine und andere User solch erhitze Gemüter?
Rein formell ist eine Fritzbox ein solch lupenreines Consumer-Gerät, da kann man mit recht einfachen Mitteln vieles machen, zur Sicherheit per 2FA.
Danach kann man schon immer noch recht großzügig austoben, was der normale Konsument niemals machen wird, daher ist es schon ok, nicht blind alles freizugeben. Manche muss man eben zu ihrem Glück zwingen.
Was den Anlass dieses Threads angeht - einmal mit erwähntem (Krück-) Stock den Taster drücken geht auch ohne Klimmzüge und da das nicht stündlich passieren sollte, sehe ich darin auch keine unüberwindliche Hürde.

Ansonsten hier noch eine moderatorische Anweisung, speziell bei den letzten paar Beiträgen:
Geht euch nicht gegenseitig an, bleibt sachlich beim Thema

 

[PeterPawn]

Hat jetzt schon jemand die Frage beantwortet, warum/wann man das (Deaktivieren der 2FA) mehr als einmal (pro Gerät) machen muß?

Und das einzige wirkliche Hindernis, das einer Benutzung von TOTP entgegenstehen könnte (anstelle irgendwelcher Eingaben in einer Shell - warum macht man dann nicht gleich auch alles andere über die direkte Eingabe von passenden Kommandos?), ist (m.W.) der Umstand, daß das entsprechende Gerät über keine aktuelle Uhrzeit verfügt (was so ein Gerät dann soll, wäre die nächste Frage, die sich da anschließt) … alles andere (bis hin zu fehlenden Gerätschaften wie Smartphone oder Tablet) läßt sich irgendwie lösen; schließlich BRAUCHT man ein weiteres Gerät, um eine FRITZ!Box einzurichten, solange es keine "FRITZ!Box Show" mit eingebautem Touchscreen gibt. Und auf diesem anderen Gerät läßt sich dann garantiert auch ein entsprechender TOTP-Generator nutzen …

Wenn das auf einer FRITZ!Box als Repeater (trotz AVM-Mesh) nicht funktionieren sollte (ohne Mesh muß man halt auf JEDEM Repeater TOTP für den verwendeten Benutzer GETRENNT aktivieren, was ohne Manipulation der ar7.cfg auch zu unterschiedlichen TOTP-Parametern führt, denn die werden "just in time" generiert), ist das ein Fehler in der Firmware. Wenn es eine gemeinsame Benutzerverwaltung im Mesh gibt und ein "Mesh-Konto" für die Konfiguration eines Repeaters verwendet wird (was konfiguriert man da dann eigentlich auf einem solchen Repeater gesondert, abgesehen vom "Einmeshen"?), dann sollte auch die 2FA (samt TOTP, wie für den "Master" konfiguriert) für dieses Mesh-Konto bei Aktionen am (Mesh-)Repeater funktionieren.

Wenn dann etwas tatsächlich nicht funktionieren sollte, wenn man mit den "Eigenarten" des AVM-Mesh herumspielt (Einstellungsübernahme erst an, dann wieder aus und irgendwas anders einstellen für einen einzelnen Repeaters), dann sollte man allerdings wissen, was man macht oder zumindest mehrmals(!) überlegen, ob ein unerwartetes Verhalten jetzt an der Firmware oder einem selbst liegt. Wer z.B. die Einstellungen zuerst übernehmen läßt, dann die Übernahme wieder ausschaltet und erst danach den "Hauptbenutzer" im Mesh-Master für TOTP konfiguriert, darf sich nicht wundern, wenn das dann nicht wirksam wird auf den anderen Clients im Mesh.

EDIT: Ach ja … und auch noch mal die Frage (in anderen Threads auch schon aufgeworfen), wie oft man (im täglichen und für den Einsatzbereich der Boxen angedachten Umgang) überhaupt mit der 2FA in Verbindung kommt. Wer da "täglich" antwortet, hat vermutlich nur wenige andere Hobbys … oder er macht vielleicht doch etwas falsch und könnte mit geänderten "Gewohnheiten" auch auf anderen Wegen zu einem passenden Ergebnis gelangen.