2要素認証によるログインに失敗する

[PYU224]

💡 Summary

アプリと物理キーによるログインが以下のようなエラーを返してきて通らない

{"id":"cdf1235b-ac71-46d4-a3a6-84ccce48df6f"}

🥰 Expected Behavior

なし

🤬 Actual Behavior

なし

📝 Steps to Reproduce

なし

💻 Frontend Environment

* Model and OS of the device(s):PCとiPhone13
* Browser:ChromeとOpera
* Server URL:misskey.puyuyu.com
* Misskey:2023.12.2

🛰 Backend Environment (for server admin)

* Installation Method or Hosting Service:systemd
* Misskey:2023.12.2
* Node:20.10
* PostgreSQL:15
* Redis:最新
* OS and Architecture:Ubuntu22.04

Do you want to address this bug yourself?

• Yes, I will patch the bug myself and send a pull request

[PYU224]

二段階認証時の日本語でのエラーメッセージは「サーバー内部で予期せぬエラーが発生しています」です。

提案なんですが、管理者や本人のログインできている端末から2段階認証をストップさせる機能が必要では？と思っています。

[PYU224]

同じgoogleアカウントのものが2つ表示されるようになってしまいました。
メアドは同じなのに、それぞれ違う6桁の数字が表示されています。
https://support.google.com/accounts/thread/218177930/google-authenticator%E3%81%AE6%E6%A1%81%E3%82%B3%E3%83%BC%E3%83%89%E3%81%AE%E5%89%8A%E9%99%A4%EF%BC%88%E7%AE%A1%E7%90%86%EF%BC%89?hl=ja
これが起きていました。

[PYU224]

せめて2段階認証のQRコードの再表示機能があればと思います。

[Kur0den]

一度二段階認証を解除して再度登録しなおすのではだめなのでしょうか…?

[PYU224]

それが2段階認証の解除にも2段階認証が必要で、解除すらできない状態なんです。

[PYU224]

2要素認証の解除は精々パスワード程度で良くない？と思いますが・・・

[Kur0den]

二段階認証セットアップ時に表示されるバックアップコードを入力するのはどうでしょうか?

[syuilo]

2要素認証の解除は精々パスワード程度で良くない？と思いますが・・・

パスワードが漏れた場合の砦となるのが2faだと思ってるので、パスワードだけで2faの解除が行えるとすると機能の意味が全くなくなりそうな気がしたけど認識間違ってるかしら

[PYU224]

セットアップ時にバックアップコードが出なかった記憶があります。

パスワードだけで2faの解除が行えるとすると機能の意味が全くなくなりそうな気がした
そのシチュエーションはログインできる端末を他人に手にされているという事なので、その時点でダメなような気がします。

[Kur0den]

バックアップコードは必ず出てくる気が…?

バックアップコードを控えてないのであれば二段階認証の解除時に複数あるワンタイムトークンを一つづつ試してみるのはどうでしょうか?
登録ができているということは恐らくどれかは正常正しいトークンだと思うのですが…

[syuilo]

あー2fa解除APIを叩くにはログインしている必要がある=叩けるということは(少なくとも過去1度は)2faクリアしているということだからパスワード認証だけでもセキュリティは担保されるかも…？

[u1-liquid]

あー2fa解除APIを叩くにはログインしている必要がある=叩けるということは(少なくとも過去1度は)2faクリアしているということだからパスワード認証だけでもセキュリティは担保されるかも…？

iなどトークンが漏えいされているケースがあるので担保されていません

[PYU224]

複数あるワンタイムトークンを一つづつ試してみる
問題に陥る前に間違えて片方を削除してしまいました。

iのトークンか。難しいですね。

[PYU224]

勘違いと手違いに対するリカバリー策はもう少し欲しいです。

[Kur0den]

問題に陥る前に間違えて片方を削除してしまいました。

リカバリーとかもできない感じですかね…?
トークンを失くしたのであればもうログインする手段はないかと…

[PYU224]

google authenticatorを使っていますが、削除した二段階認証のキーを復帰させる事ができればそれはそれで問題は解決するんですが、方法が見当たりません。
管理者がサーバーを新設して早々にこれはまずい。

[Kur0den]

サーバー管理者で新設したばかりならサーバーを建て直すのはどうでしょうか?

[PYU224]

どうにもならないのでしたらそうします。

[Kur0den]

トークンを削除してしまってリカバリーコードも控えてないのであればMisskey自体にセキュリティガン無視のウルトラCがない限りもうどうしようもないかと

[PYU224]

分かりました。
では立て直します。

[Kur0den]

次二段階認証をセットアップする際はバックアップコードを控えるのを忘れないようにしてくださいね…

[PYU224]

そうします・・・後は不必要に認証アプリのキーを削除しない事も意識します。

[samunohito]

これ以上はissueが動かなさそうなのでcloseとさせていただきます。