2FA mit FIDO2 Key: Alternativ-Zugang per TOTP funktioniert nicht

[anderl1969]

Ich will mein PayPal Konto auf 2FA (ohne SMS) umstellen und habe dazu einen Yubikey angeschafft. Beim Einrichten des Sicherheitsschlüssel will PayPal, dass zuerst eine alternative Authentifizierung konfiguriert wird. Hier will ich TOTP und richte es entsprechend ein, im Anschluss richte ich den Sicherheitsschlüssel ein.

Das Anmelden per Sicherheitsschlüssel (FIDO2) klappt anschließend auch.

Nur die Alternative mittels TOTP funktioniert nicht - der Code wird nicht akzeptiert.

Wenn ich nur TOTP einrichte als primäre 2FA-Option (ohne Alternative), dann klappt die Anmeldung per TOTP auch. Aber sobald auch der Sicherheitsschlüssel eingerichtet ist, funktioniert TOTP nicht mehr. Hat dazu jemand eine Lösung?

[PayPal_Josi]

Ahoi anderl1969,

vielen Dank für deinen Beitrag in unserer Online-Community.

Ärgerlich, dass es bei der Hinterlegung deines Sicherheitsschlüssels zu Schwierigkeiten gekommen ist.

Leider können kontospezifische Angelegenheiten nicht über die sozialen Medien geklärt werden. Wir würden dir empfehlen, unsere Kollegen direkt zu kontaktieren.

Liebe Grüße

Josi

[sebibob]

Ja, wie denn? Der Link ist nicht hilfreich. Das hab ich durchgespielt. Der Paypal Chat Assistent ist eine Maschine der nicht weiterhelfen kann, wenn man anruft ist auf der anderen Seite ein Mitarbeiter aus dem CallCenter der sich nicht auskennt und eine Möglichkeit jemanden zu schreiben der für das Unternehmen arbeitet und sich auskennt, also, so richtig mit Ticket System, gibt es nicht. Zugegeben. Ich kann hier ins Forum schreiben. Aber die Antwort auf die ich Stoße ist, mach die Dinge, die ich schon ausprobiert habe, und du kommst der Lösung deines Problem näher.

Ähm... Kurze Pause, bevor ich Nein schreibe.

Nein. Das ist leider nicht der Fall. Aber du hättest jetzt die Möglichkeit mich zu korrigieren.

PS: Und wer zur Hölle hat sich dieses recaptcha Ding ausgedacht? Unglaublich!

[matze26]

Ja, ich kann das nur bestätigen, habe es heute mal wieder getestet.
Ärgerlicherweise kann man auch nur einen Sicherheitskey hinterlegen, obwohl einem immer empfohlen wird grundsätzlich zwei einzurichten, damit man einen Ersatz hat.
Immerhin ist es besser geworden, vor einem Monat noch hat die UI suggeriert, dass man auch noch einen 2. FIDO-Schlüssel hinterlegen kann, beim Einrichten dann aber immer einen "Unbekannter Fehler ist aufgetreten, versuchen sie es später noch einmal" zur Anzeige gebracht.
Die API hat aber witziger weise schon im Hintergrund gemeldet, dass die "maximale Anzahl von Securitykeys erreicht" wurde.
Jetzt kann man über die Oberfläche gar nicht mehr in die Verlegenheit kommen, weil man beim zweiten Mal den Securitykey nicht mehr als Option auswählen kann.

Ägerlicher ist aber, dass die angebotenen alternativen Methoden sobald man einen Securitykey eingerichtet hat, alle nicht mehr funktionieren, auch SMS nicht. Obwohl das beim Einrichten erst noch alles brav bestätigt wird. Der Securitykey scheint das zu überschreiben.
Und auch ein Löschen im Anschluss aktiviert die alternativen Methoden nicht mehr.
Zuletzt hat bei mir nur noch der Sprachanruf funktioniert, um den Zugriff auf das Konto wieder zu erlangen.

Einzige Lösung aktuell ist halt einfach keinen Securitykey nutzen, bzw. "nur" die TOTP-Funktion der Keys zu nutzen, traurig aber wahr.

[sebibob]

Ich hatte gerade eine nette Dame am Telefon, die mir leider auch nicht weiterhelfen konnte. Weder kann man einen Backup für den YubiKey hinzufügen, noch funktioniert das TOTP mit App danach. Sehr unschönes Verhalten des Portals. Für ein so sensiblen Bereich irgendwie unfein. Egal. Was mich aber ärgert, dass ich keinen Support eine Nachricht via Text hinterlassen kann. So mit Ticket System, wie es eigentlich üblich sein sollte. Naja. Hoffen wir das Beste. 

[MrSmuggles]

Also ich versuche gerade die zweite Möglichkeit der 2FA abzuschalten, weil das ja kein Sinn macht, ein Yubikey ist soooo viel sicherer als alle anderen angebotenen Möglichkeiten.  Deine Sicherheit ist aber nur so sicher wie das schwächste Glied und diese Stelle würde ein smarter Hacker ja auch angreifen... das macht deinen Yubikey quasi nutzlos. (paypal zwingt mich aber SMS oder Authenticator app noch einzurichten ...) Zumindest aus meiner Sicht.

Klar ist das dann ganz übel, wenn du den Yubikey verlierst (ich habe übrigens einen Trezor, aber das ist ja hier egal) und nicht wieder herstellen kannst, aber das ist ein anderes Thema.

Falls jemand weiss, wie ich die 2te 2FA los werde, möge er das doch bitte posten, danke, bzw vielleicht auch warum eine zweite 2FA Methode die enorm unsicherer ist, Sinn macht.

[sebibob]

Dein Einwand mit dem verlorenen YubiKey ist doch der Punkt. Solange ich keine Möglichkeit habe einen zweiten zu hinterlegen, würde ich gar nicht auf die Idee kommen die anderen Verfahren abschalten zu wollen. Das FIDO Verfahren zu nutzen und die anderen "unsicheren" Wege deaktivieren zu können ist aber der Weg.

Also, da ist auf der Seite von Paypal noch ne Menge Luft nach oben. Und das ist mir unverständlich. Klar, es ist erstmal etwas Nerdig. Aber den Anspruch auch das bedienen zu können sollte das Unternehmen schon haben. Meine Meinung.

[Cyberrob90]

es ist so traurig und witzig zugleich.
Paypal ist Gründungsmitglied der FIDO2 Alliance und schafft es nicht, deren Empfehlungen (die sie ja dann mitgestaltet haben) umzusetzen.
Ich habe auch YubiKeys angeschafft, bislang aber aufgrund solcher technischer Hürden einfach nirgends im Einsatz.
Die TOTP-Geschichte der YubiKeys ist ja derart umständlich (zusätzliche App unter windows, zusätzliche App unter Android), dass man da beim klassischen GAuth bleibt. Auch wenn das datenschutztechnisch vielleicht nicht die beste Lösung sein mag.
Dass bei Paypal das Forum von den Mods nur nach Lust und Laune gelesen wird, nämlich dann, wenn man einen "dummen Ratschlag" a la: ruf uns doch mal an; ansonsten aber gar nicht geantwortet wird, ist auch bezeichnend.
Zum Glück schaffens die deutschen Banken so langsam mal, ein Konkurrenzprodukt auf den Markt zu werfen. Aber dass hier die entsprechenden Sicherheitsstandards zeitnah kommen, wage ich leider auch noch zu bezweifeln.

[PP-Nutzer]

Guten Tag.
Auch wenn, oder gerade weil, es nun 2 Jahre weiter ist ... am aufgezeigten Sachverhalt KEINEN zweiten Schlüssel auf PayPal anmelden zu können um dann die unsichere 2FA per SMS-Übermittlung abschalten zu können, gibt es nach wie vor NICHT!
Warum nicht?
Inzwischen wurden durch den CCC auch neue Methoden zum Abfischen des per SMS übermittelten Codes aufgezeigt.
Reaktion???

Ich würde mir hierzu zeitnahe Information bzw. zu mehr Sicherheit führende Kommunikation seitens PayPal wünschen.