Kontosicherheit — Zwei-Faktor-Authentifizierung und Notfallzugang

Das Castreon-Panel startet und stoppt Kanäle, deshalb muss das Administratorkonto so geschützt sein wie der Zugang zum Server. Kurz: ein langes Passwort, eingeschaltete Zwei-Faktor-Authentifizierung und sicher aufbewahrte Wiederherstellungscodes.

Verfügbar ab Castreon 1.6.0 in allen Plänen.

Passwort

• Neue Passwörter haben mindestens 15 Zeichen — oder 12, wenn die Zwei-Faktor-Authentifizierung eingeschaltet ist. Ziffern oder Sonderzeichen sind nicht vorgeschrieben: Es zählt die Länge (wie in den NIST-Empfehlungen von 2025).
• Häufige oder aus Datenlecks bekannte Passwörter, der Kontoname und „castreon“ werden abgelehnt. Das Formular zeigt sofort, was fehlt; Passwort ändern wird erst mit einem guten Passwort aktiv.
• Bestehende Passwörter bleiben gültig. Ein Konto mit einem von einem anderen Administrator erzeugten (oder über die Konsole zurückgesetzten) Passwort wählt bei der ersten Anmeldung ein neues.

Zwei-Faktor-Authentifizierung

Mein Konto → Zwei-Faktor-Authentifizierung:

1. Scannen Sie den QR-Code mit Ihrer Authenticator-App (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden …) oder geben Sie den darunter angezeigten Code ein. Der QR-Code entsteht im Browser — das Geheimnis verlässt ihn nicht.
2. Geben Sie den 6-stelligen Code aus der App ein, um zu bestätigen, dass App und Server übereinstimmen.
3. Sie erhalten 10 Wiederherstellungscodes. Speichern Sie sie jetzt — Herunterladen (.txt), in den Passwortmanager kopieren oder ausdrucken — nicht auf demselben Handy. Sie werden nur einmal angezeigt.

Danach verlangt jede Anmeldung den Code aus der App. Ein bereits benutzter Code funktioniert kein zweites Mal.

Wiederherstellungscodes

• Haben Sie das Handy nicht zur Hand, geben Sie einen Wiederherstellungscode statt des App-Codes ein. Jeder funktioniert nur einmal; nach der Anmeldung sehen Sie, wie viele übrig sind.
• Neue Codes (mit Passwort) erzeugt 10 neue — die alten funktionieren nicht mehr.
• Jede Verwendung erscheint im Audit.

Organisationen, die 2FA für alle Administratoren verlangen, schalten sie unter Einstellungen → Anmeldung → 2FA für alle Administratoren verlangen ein. Die Seite zeigt, wie viele Administratoren schon 2FA haben und wer nicht; vor dem Speichern nennt sie diese noch einmal und fragt nach einer Bestätigung. Ein Administrator ohne 2FA sieht dann nur Mein Konto, bis er sie einschaltet; Operatoren und Nur-Lesen-Benutzer sind nicht betroffen. Die Regel lässt sich nur von einem Konto einschalten, das selbst schon 2FA hat. Dort wählen Sie auch die Dauer einer Anmeldung (standardmäßig 12 Stunden, höchstens 720 = 30 Tage), nach der das Panel erneut Passwort und Code verlangt. Über die API: PUT /api/v1/settings mit security.totp_required_for_admins und security.session_hours.

Ich habe keinen Zugang mehr

• Ein anderer Administrator kann Ihnen ein neues Passwort erzeugen: Benutzer → Ihre Zeile → Generieren (das Passwort ist vorläufig — Sie ändern es bei der ersten Anmeldung). Für das eigene Konto funktioniert das nicht: Ihr eigenes Passwort ändern Sie unter Mein Konto.
• Handy verloren: Melden Sie sich mit einem Wiederherstellungscode an und schalten Sie 2FA mit dem neuen Handy wieder ein.
• Sie sind der einzige Administrator (oder niemand kann sich mehr anmelden): Notfallzugang über die Serverkonsole, als root:

sudo /opt/castreon/bin/castreon -list-users
sudo /opt/castreon/bin/castreon -reset-password admin

Das Passwort wird zweimal eingegeben, ohne auf dem Bildschirm zu erscheinen (oder -generate erzeugt eines und zeigt es einmal an). -disable-2fa schaltet zusätzlich 2FA aus (Handy und Codes verloren). Vor der Änderung wird eine Kopie der Datenbank angelegt; die Sitzungen des Kontos werden beendet, und alles erscheint im Audit („Serverkonsole“). Laufen mehrere Castreon-Dienste auf dem Server, wählen Sie einen mit -config <Pfad>.

Der letzte aktive Administrator kann nicht deaktiviert, herabgestuft oder gelöscht werden — das Panel bleibt nie ohne jemanden, der es verwalten kann.