Die Zwei-Faktor-Authentifizierung wird Pflicht im System von Mews - warum das so wichtig is

Hey @Julia Kock 

ein sehr wichtiges Thema und auch ein richtiger Schritt diesen Standard einzuführen. Auch im Hinblick auf Datenschutz und Sicherheit. Ist bei uns als Standard bereits aktiviert.

Die Einrichtung ist auch sehr leicht und sollte jedem bekannt sein der ein Handy bedienen kann :-)

Empfehle dies bereits vorher umzusetzen bevor später kein Login mehr möglich ist 

Grüße

Linus

Hallo!

Für alle die es interessiert, beachtet auch den englischen thread dazu:

Damit nicht evtl. ähnliche Kommentare / Ideen auf deutsch erneut diskutiert werden müssen ;-)

LG, JP.

Gibt hierzu auch die Opt-Out Möglichkeit?

@River House 

Du kannst als Admin gewisse User davon ausschließen. Zumindest aktuell noch 

Ganz ehrlich, wie soll man das denn im täglichen Doing an der Rezeption umsetzen. 

Vielleicht sollte Mews mal die Nutzer fragen bevor sie so etwas einführen. Bzw. jedes Haus selbst entscheiden lassen ob sie das nutzen möchten. 

Ich bitte dringen darum, die Ausschlussmöglichkeit beizubehalten.

Als kleiner KMU in den Bergen ist es einfach ein Overkill. Eine Opt Out Lösung wäre schon angebracht. Es verursacht nur Mehrarbeit für uns. 

Machen wir uns nichts vor: Es wird einfach bescheiden aussehen, wenn Mitarbeiter an der Rezeption das private Handy neben dem Arbeitsplatz liegen haben und erst mal darauf rum tippen, wenn Gäste vor ihnen stehen. (Die Teile sind ja teilweise auch nicht sehr ansehnlich)

Es gibt auch Hotels, da bewegen sich die Rezeptionsmitarbeiter während der Schicht. Ohne eine Ausnahmeregel ist diese Lösung absoluter Käse.
Sicherheit hin, Sicherheit her. Dann besser eine Passwortwechselpflicht nach X-Tagen. Alles was nicht an der Front steht, von mir aus.

Hallo!

ja, ich bin auch dafür, dass es weitere besser verwendbare 2FA Lösungen gibt - siehe englischer Thread dazu! Aber bitte keine Passwortwechselpflicht !!! Das ist totaler Unsinn, macht nichts sicherer und nervt noch viel mehr!

LG,

JP.

Ich habe eben einen längeren Text zu diesem Thema geschrieben, vor allem wenn es um “Gasthof!2023”-Passwortkombinationen geht, mich dann aber doch dazu entschieden es etwas kürzer zu halten …

Schaut euch mal ReinerSCT oder vergleichbare Geräte an (mehr dazu im englischen Post) und vergesst auch die “Session sperren”-Funktion von Mews nicht 😉.

Ich habe die 2F-Authentifizierung bereits getestet und kann nur sagen, mit einer App auf dem privaten Handy ist das totaler Scheiss!!

Nur ein Beispiel: Ich kam zum Dienst und es standen bereits ein paar Gäste an der Rezeption, die auschecken wollten und warteten, weil mein Kollege schon an einem Check-out dran war. Ich mich also schnell an meinem PC angemeldet, damit die anderen Gäste nicht länger warten müssen und den Kollegen zu unterstützen. Als ich dann Mews geöffnet habe, fragte es mich nach dem 2FA-Code (obwohl ich am Tag vorher am selben PC gearbeitet und da schon den Code eingegeben hatte), den ich natürlich auf meinem Handy in der Handtasche im Büro hatte. Somit musste der Gast weiterhin warten, ich erst ins Büro rennen und mein Handy holen und den Code raussuchen... was ja total professionell beim Gast ankommt (-Sarcasm off-), besonders wenn er/sie in Eile ist!!!! Geht gar nicht!!!😡

Überlegt Euch bitte eine andere Lösung.

Geschichten die das Leben schreibt… :-)

Hi Krischu,

Sitzungen sind 24 Stunden lang gültig. Wenn sich Benutzer also 24 Stunden lang an einem Bildschirm aufhalten, sind die Auswirkungen dieser Änderung minimal. Falls sich mehrere Benutzer am selben Bildschirm befinden, können Benutzer mithilfe der Funktion „Sitzung sperren“ zwischen Konten wechseln. Als letzten Ausweg verfügen wir über eine 2FA-Ausschlusslistenfunktion. Wir untersuchen aktiv andere 2fa-Methoden, um allen Benutzern die Arbeit zu erleichtern und gleichzeitig eine hohe Sicherheit zu gewährleisten.

Hallo Lief,

Vielen Dank, dass Sie uns Ihre 2FA-Bedenken mitgeteilt haben.

Wenn Sie befürchten, dass Rezeptionsmitarbeiter ihre Privattelefone verwenden, könnten Sie die Verwendung eines Browser-Plugins wie "1password" in Betracht ziehen, dieses übernimmt dann die Generierung eines Codes über den Browser.

Einige Hotels verfügen auch über „Hoteltelefone/Tablets“ an der Rezeption, die sie für 2FA nutzen. Dadurch wird sichergestellt, dass die Telefone vorzeigbar sind 😉

Wir arbeiten auch daran, die E-Mail-Authentifizierung zu ermöglichen und werden sie hoffentlich vor September fertig haben, sodass Sie Ihr Telefon dann nicht mehr bei sich haben müssen.

Hi,

Wir haben keine Pläne, eine Funktion zum Ablaufen von Passwörtern zu implementieren. Es hat sich gezeigt, dass dies nur begrenzte oder keine Sicherheitsvorteile bietet. Es wird eine Passwortüberprüfung geben und wir werden die Benutzer dringend bitten, schwache Passwörter auf stärkere zu migrieren, die unserer neueren Passwortrichtlinie entsprechen (12 Zeichen, Zahlen, Buchstaben und Symbole).

Hallo Natalie,

Es tut mir leid zu hören, dass Sie mit 2FA negative Erfahrungen gemacht haben. Wir versuchen, Sicherheit und Benutzerfreundlichkeit in Einklang zu bringen.

Anstatt Ihr persönliches Mobiltelefon zu verwenden, wären Browser-Plugins wie 1password eine weitere Option, mit denen ein Code über den Browser generiert werden kann.

Einige Hotels verfügen zu diesem Zweck auch über „Hoteltelefone/Tablets“ an der Rezeption.

Wir arbeiten auch daran, die E-Mail-Authentifizierung zu ermöglichen und werden sie hoffentlich vor September fertig haben, sodass Sie Ihr Telefon dann nicht mehr bei sich haben müssen.

Hi Marc,

danke für die Tipps.

Ich hätte nur mal gern eine Lösung, die nicht wieder zusätzliche Kosten generiert.

Das mit den Tablets kann ich nicht ganz nachvollziehen, braucht es dazu keine Mobilnummer? Oder wie melde ich ein Tablet für die Funktion an? 

Hauptsache, es gibt die Ausnahmeliste. Bei allem Sicherheitsverständnis, sehe ich aktuell für uns sonst keine praktikable Lösung. Vielleicht geht es mit der Email, wenn wir sicher sein können, dass die Accounts damit wirklich 24h laufen.
Aber ich verstehe das richtig, 2FA pro Gerät, also bei 3 Geräten an der Rezeption melde ich mich 3x mit der 2FA an und bin 24h safe, so lange ich nur das Konto sperre? Denn aktuell fliegen die Accounts gern trotz mal raus. Bislang konnten wir nicht nachvollziehen, woran das liegt.

Viele Grüße

Leif

Hallo @Leif Penning 

2FA ist einw TOTP Lösung, dafür brauchst Du keine Mobilnummer, es güngt ein App wie zB. 2FAS Auth (https://2fas.com/ ). Da kannst Du auch die TOTP Tokens für mehrere Accounts hinzufügen. Und du kannst die App auch auch mehreren Geräten mit den gleichen Tokens anlegen. Also das ist natürlich eine Möglichkeit. Aber optimal finde ich das trotzdem nicht, denn was passiert denn … das Windows-PW ist irgend ein einfaches vermute ich mal, weil der PC vermutlich von mehreren Personen geteilt wird, das MEWS Passwort und Benutzername wird im Browser gespeichert, damit man es nicht eintippen muss, und der 2FA wird dann am geteilten iPad gespeichert für alle Mitarbeiter. Bei kleinen Teams geht das vielleicht noch, aber gut skalieren tut das nicht … und wenn man Zugang zum iPad hat, hat man praktisch auch zu allen Accounts Zugang.

Da ist die Verwendung der privaten Smartphones mit App noch besser, denn dann kommt kein anderer rein und die Nachvollziehbarkeit ist gewährleistet, und es gibt auch keinen single point of failure (Zugang zu gemeinsam genutzen iPad).

Ich wäre ja dafür, dass wenn man sich aus einem vertrauten Netzwerk aus anmeldet, man nur jede Woche oder jeden Monat die volle 2FA durchlaufen muss, und sich sonst nur mit Benutzername und PIN anmeldet (wie wenn die Session gesperrt ist). Bei Microsoft Office 365 muss man sich zB. auch nur alle 60 Tage mit 2FA anmelden… außer man wechselt das Gerät/Browser/App.

Weriters sollten als 2. Faktor folgende Varianten zulässig sein:

• Passkey
• TOTP (wie bisher, als App oder Hardware)
• FIDO2 Authentifizierung (zB Hardwaretoken, yubikey, o.ä.)

Ich meine MEWS muss und soll das Rad nicht neu erfinden - aus den verfügbaren Standards und Verfahren kann man möglichst alle bereitstellen. Ich denke alle wären froh wenn es gelingt hier eine praktikable uns sichere Lösung zu finden.

Wenn wir schon bei “sicher” sind:

• auch in der Pro-Variante von MEWS kann man die Notfallreports (für den Fall das MEWS ausfällt) nur per Email zustellen lassen. In diesen Reports sind auch sensible Daten enthalten, die munter quer übers Internet gesendet werden. Da sollte es dringend auch die Möglichkeit geben eine sichere Übermittlungsmethode für ALLE Kunden bereitzustellen, wie zB. SFTP, SCP oder ein ähnliches sicheres Dateitransferprotokoll hin zu Servern der Kunden (Oder auf ein Cloud-Account eines Cloud-Providers der NICHT der gleiche ist wie der Cloud-Provider auf dem MEWS läuft ;-) ). Sonst vernageln wir uns den Haupteingang so dass wir selbst nicht mehr rein kommen und lassen die Hintertüre offen…
• Es sollte auch für Admins eine Möglichkeit geben zu überwachen von wo aus Anmeldungen erfolgen, oder auch IP Ranges gesperrt werden können. Man hat momentan keinen Überblick darüber von wo aus sich Mitarbeiter anmelden, oder ob vielleicht verdächtige Anmeldungen aus ungewöhnlichen Orten erfolgen. Evtl. auch mit automatisierten Warnungen bei ungewöhnlichen Anmeldungen, oder bei Anmeldungen die nicht der Firmen-Policy entsprechen.

Natürlich ist es wichtig die Daten abzusichern! Das möchte ich gleich außer Diskussion stellen!

Da keine Zahlungskartendaten direkt in MEWS zugänglich sind (nur Tokens) und somit ein Eindringling zumindest in der Hinsicht nicht viel anrichten kann, ist das größte Risiko die Verwendung abgeschöpfter Daten für gezieltes Phishing oder Scam, denke ich, evtl. auch Identitätsdiebstahl und Erpressung. Insofern könnte man sich überlegen den Zugriff auf die Daten überhaupt (ausgenommen Management und Admins mit besser geschützten Konten) zu limitieren, auch die Speicherdauer der Profile sollte limitiert werden bzw. eine Anonymisierung der persönlichen Daten durchgeführt werden, wenn die Profile/Gästedaten eine Zeitlang nicht mehr genutzt wurden. Usw.

Was ich damit sagen will, Zugangssicherung ist nicht alles! Damit ist es nicht getan! MEWS hat noch sehr viele Hausaufgaben in Bezug auf Datenschutz und Sicherheit zu tun, denke ich. Und das wird nicht durch  2FA gelöst - 2FA ist nur ein wichtiger Baustein, aber bei weitem nicht der wichtigste.

Ist jetzt länger geworden, als geplant … sorry :-)

LG,

JP.

Hallo @Mark Legge !

Bei 1password sollte man dann aber nicht auch die Benutzernamen und Passwörter speichern! Dann sind die Usernamen/Passwörter UND die 2FA Tokens in 1password gespeichert, wass das Konzept des zweiten Faktors irgendwie ad absurdum führt, praktisch bedeutet das nur, das damit das Passwort komplexer wird (statisches Passwort+ausdem Token abgeleitetes Passwort) aber der 2. Faktor der getrennt von Username+PW gegeben ist, ist dann eigentlich nicht mehr gegeben, oder? Wenn also jemand (alle Rezeptionsmitarbeiter zB, oder Phishing auf einen Mitarbeiter) Zugang zum Passwortmanager erhält ist “game over”… oder?
Dann sollte man zumindest darauf achten, dass die Benutzernamen/Passwörter nicht in der 1Password (cloud Datenbank) gespeichert sind, sondern lokal am PC in einem Passwortmanager, oder im PW-Manager des Browsers…

LG, JP.

Moin zusammen,

@ JP. vielen Dank für die Erklärung. Da hast Du wohl recht, dass das so keinen Sinn ergibt. 

Ich kann der ganzen Sache aktuell immer noch wenig abgewinnen. Bei uns werden übrigens keine Passwörter von Usern gespeichert, wenn der Rechner von mehr als einer Person genutzt wird. Das wäre doch auch Blödsinn. Ich habe schon nicht verstanden, warum eine IT manche Passwörter in einem Netzwerk auslesen kann. Dann brauche ich auch kein persönliches Passwort. Was für ein Unsinn.

Vom aktuellen Stand gesehen, finde ich das das Konzept zu kurz gedacht und im daily business nicht praktikabel ist. 

Viele Grüße

Leif

Ja das war ja wohl nix.

Es hieß doch immer es gibt eine Ausnahmeliste. Die gibt es auch, hilft aber nichts, weil alle User der Ausnahmeliste nicht mehr arbeiten können. Vielen Dank für nichts. Das war mehr als bescheiden kommuniziert!

Liebes Mews-Team, hier habt Ihr Euch nicht mit Ruhm bekleckert.

Und den Termin für ein Update von diesem Ausmaß kündigt man früher an, nicht ein paar Stunden vorher!