Security

..oder: Endlich Ende mit dem Passwortgefummel beim QTS

Hidiho, liebe Community. Heute als Beitrag mal nur ein „Quickie“ – aber ich wollte es nicht unerwähnt lassen, denn ich hatte vor Monaten beim QNAP – Support angemäkelt, dass es für User nicht möglich war, bei den NAS von QNAP mit dem QTS ein Passwort Reset per email durchzuführen.

Die Administratoren, die das QTS 4 kennen, wissen es: Named User muss man per Hand anlegen und die Berechtigungen für das System und die Erlaubnis einzelne Ordner zu sehen, zuweisen. Es ist also für Besucher nicht möglich – und auch nicht gewünscht (wie man es bei WordPress, Webshops, o.ä. kennt) sich zu registrieren und ein Passwort zu erstellen.

(Bild links: QNAP hat auf meinen Hinweis – ich denke aber, dass ich nicht der einzige war, der dies vorgeschlagen hat – reagiert und eine automatische Passwortanforderung per mail implementiert. Ich finde das Feature sehr sinnvoll, weil es die Arbeit des Administrators entlastet)

Es ist zwar in den Einstellungen möglich, den User nach einer definierten Anzahl von Tagen zu zwingen sein Passwort zu ändern – aber dafür muss er natürlich zuerst sein altes Passwort eingeben um sich anzumelden. Dumm, wenn man es vergessen hat, denn dann musste immer der Admin im entsprechenden Account des Users rumfummeln und zeitaufwändig ein neues Passweort versenden.

Das ist Vergangenheit, denn QNAP hat im QTS in dem Bereich ordentlich nachgebessert und dies automatisiert (und ebenfalls sinnvoll ist, dass zusätzlich die 2-Faktor Authentifizierung mittels mehrstelligem Code und alternativ durch eine Sicherheitsfrage aktiviert werden kann).

QNAP QTS Passwort Reset für User (und Admins)..

(Bild rechts: Um dem User zu ermöglichen, sich ein Passwort zuschicken zu lassen, muss man in der Systemsteuerung der QNAP in den bereich „Rechte“ und dort auf „Benutzer/User“ klicken)

So war das leider auch bei mir: Ständig musste ich neue Passwörter vergeben, weil die User ihres vergessen hatten, wenn Sie sich nach Monaten Inaktivität auf der NAS anmelden wollten um auf freigegebene Dateien zugreifen zu können.

Ich kenne keine Webseite, bei der so etwas nicht möglich ist. WordPress hat dies ja auch by Design – kennt man ja schon lange. Auch im Betriebssystem der härtesten Konkurrenz von QNAP, den SYNOLOGY NAS ist es implementiert. Nur bei meiner NAS, der QNAP  TVS-473e (mein Test hier) musste jedesmal der Administrator (also ich) bemüht werden, wenn ein User sein Passwort nicht mehr wusste  (was relativ häufig vorkommt, wie man sehr schnell bemerkt!) um es dann neu zu generieren.

Bei QNAP fand man die Idee gut..

(Bild links: Hier sind wir nun in den Benutzerprofilen. Und interessiert der 2. – rot umrandete – Eintrag: Kontoprofil bearbeiten. Dort vergeben wir das Passwort)

Man fand meine Idee beim QNAP-Support ganz reizvoll und wollte über einen QNAP QTS Passwort Reset nachdenken und es in eines der nächsten Updates einbauen. Und tatsächlich ist in einem der letzten Updates eher unbemerkt in das QTS implementiert worden (vielleicht ist es sogar schon länger umgesetzt worden und ich habe es erst jetzt bemerkt..).

Wenn ein User eine email-Adresse angegeben hat (die muss natürlich gültig sein und stimmen) kann er sich selber ein neues Passwort anfordern. Dies setzt nur voraus, dass man bei Anlage des Users diese Option aktiviert hat. In dem Bild habe ich für euch den entsprechend zu setzenden Haken markiert.

(Bild rechts: Hier müssen wir im Feld „email-Adresse“ eine gültige email-Adresse eintragen. Ist die vergeben, wird automatisch bei einer Falscheingabe des Passwortes die Möglichkeit angeboten, sich das Passwort zusenden zu lassen.  Auf die 2-Faktor Authorisierung will ich hier nicht eingehen. Ich habe Sie bei mir aktiviert, da ich dieses Sicherheits-Feature als sinnvoll erachte.)

Dazu macht es nur bei “Named Usern” Sinn und nicht bei Gast-Accounts. Da würde eine Passwort-Anforderung wahrscheinlich an die falsche email-Adresse gehen (sofern bei diesen Accounts überhaupt eine Mail-Adresse hinterlegt ist).

(Bild links: Das Passwort wurde falsch eingegeben. Kein Problem – die QNAP bietet nun an, dem User das vergessene Passwort zu zusenden, bzw. sich ein neues anzulegen. Nach Klick auf den unterstrichenen Text „Passwort vergessen?“ versendet die QNAP den Link für ein neues Passwort an die hinterlegte Mail-Adresse und quittiert den Vorgang mit einem Hinweis)

Ich finde das Feature jedenfalls längst überfällig und freue mich, dass es endlich auch im QTS vorhanden ist.

Im folgenden erkläre ich noch kurz das vorgehen: Anmelden an seiner NAS als User mit Admin-Rechten (ich habe den Standard-Admin deaktiviert, um Einbruchsversuche zu verhindern) und aufrufen der Systemsteuerung > als nächstes dort im Bereich „Rechte“ auf den Eintrag „Benutzer“ klicken > man wechselt nun in die Benutzerverwaltung. Dort sucht man nun in der Liste den entsprechenden User und geht in der entsprechenden Spalte auf den Eintrag „Kontoprofil bearbeiten“ (die Beschreibung wird angezeigt, wenn man etwas länger mit der Maus auf dem Icon bleibt > nun werden die Sicherheitseinstellungen des Kontos angezeigt. In das Feld „email (optional)“ kann nun die entsprechende Mail-Adresse eingetragen werden. Das war es schon > Wenn der User nun ein falsches Passwort bei der Anmeldung eintippt wird sofort der entsprechende Hinweis mit dem Link zur Passwort-Rücksetzung angezeigt.

Ist man angemeldet, kann man die Option ob ein Passwort zugeschickt werden soll, kontrollieren und bei Bedarf aktivieren oder deaktivieren. Dazu einfach oben Rechts auf sein Profil klicken und auf Optionen gehen. Dort kann man auf dem Reiter „Passworteinstellungen“ sehen, ob der Haken gesetzt ist oder nicht. Ebenso kann man noch auf diversen anderen Reitern weitere email-Adressen vergeben,  um Benachrichtigungen der QNAP zu empfangen, uvm..

Und wie steht es bei euch? Hattet Ihr das auch gewusst oder bemerkt?