2FA in een batch bestand?

[Verwijderd]

Ik ben momenteel bezig met een batch bestand om via vpn mijn networkshare te koppelen.
Nou werkt hij prima, maar lijkt het me handig om 2FA in te stellen. Het liefst dat ik een sms of een bericht krijg. Het is ook best als ik gewoon iets zoals lastpass gebruik


Hieronder staat mijn batch script (ik heb het om privacyredenen iets aangepast, maar het komt hier wel op neer)

@echo off
set /p gebruiker=Gebruikersnaam:
set /p password=Wachtwoord:
rasdial "Homeserver" %gebruiker% %password%
net use G: \\192.168.1.250\D /user:%gebruiker% %password%


Al de software die ik kan vinden werkt met linux.

Heeft iemand ervaring met dit soort gedoe?

[HKLM_]

Waarom 2FA je zit toch al in je vpn tunnel?

[Room42]

En waar wil je die 2FA nou op inzetten? Op de network share?
En wat voor software heb je gevonden dan? En wat zocht je?

[Squ1zZy]

Batch

PowerShell

Wat @HKLM_ zegt. Je zit toch al in een VPN tunnel met MFA?

[ Voor 3% gewijzigd door Squ1zZy op 31-01-2019 06:38 ]

[Verwijderd]

Ik snap jullie reacties. Sorry ik was wat onduidelijk.

Het komt er dus op neer dat je overal met thuis kan verbinden.
Mijn vader vindt dat niet zo'n fijn gevoel, dat iemand zo kan verbinden.
Daarom zij hij dat het veel beter is om bijvoorbeeld 2FA in te stellen, zodat er niemand ONGEMERKT bij onze data kan.

Ik zoek dus eigenlijk een programma of iets waardoor ik met vpn kan verbinden, maar dat ie eerst een verificatie naar mn telefoon stuurt.

Ik heb oathtools ofzo al geprobeerd, maar dat is voor linux

[ Voor 6% gewijzigd door Verwijderd op 31-01-2019 16:57 . Reden: laatste zin toegevoegd ]

[MAX3400]

Verwijderd schreef op donderdag 31 januari 2019 @ 16:56:
Mijn vader vindt dat niet zo'n fijn gevoel, dat iemand zo kan verbinden.

Want?

Wat is de kans dat een random persoon de volgende gegevens achterhaalt zonder je direct te kennen: welk VPN-protocol, welk IP-adres, welke VPN-username, welk VPN-password, eventueel welke key die op het endpoint aanwezig moet zijn?

En dan, dan heeft iemand misschien heeeel toevallig connectie met je VPN-server. Gezien je batch-file, heb je er dus zelf al voor gekozen om de routing tussen de VPN-server en je LAN statisch in te stellen want je zet eenvoudig een net-use uit naar een 192-adres (en die zijn vaak niet bekend op een goede / geisoleerde VPN-server).

[Verwijderd]

Dat snap ik. Ik heb mijn vader daarmee ook al over te halen.
We hebben heel gevoelige data van klanten, waarvan niets maar dan ook niets gelekt mag worden, zeker niet met de nieuwe privicywet (AVG). Misschien is de data wel gelekt zonder dat we er ooit achter zullen komen.

Is er dan een andere oplossing, gewoon iets dat er voor zorgt dat je een berichtje krijgt?

[RobIII]

Verwijderd schreef op donderdag 31 januari 2019 @ 17:41:
Is er dan een andere oplossing, gewoon iets dat er voor zorgt dat je een berichtje krijgt?

Ik snap er de balle van; hoe dacht je dat in een batch op te lossen? Je denkt toch niet dat een aanvaller jouw batchfile gebruikt (en als dat al zo was is de regel waarin je die 'notificatie' verstuurt natuurlijk zo uitgecomment). Je zult dit aan de server kant moeten 'oplossen'.

Misschien is 't ook een idee even te vermelden waar je precies mee verbindt? Is de server een Windows machine? Linux? BSD? Synology? ...? En wat is / zijn de client(s)?

KirovAir schreef op donderdag 31 januari 2019 @ 17:45:
Wat er gevaarlijker is: Je username/password in een batch bestand bewaren..

You beat me to it

[ Voor 27% gewijzigd door RobIII op 31-01-2019 17:46 ]

[KirovAir]

Wat er gevaarlijker is: Je username/password in een batch bestand bewaren..

[Verwijderd]

KirovAir schreef op donderdag 31 januari 2019 @ 17:45:
Wat er gevaarlijker is: Je username/password in een batch bestand bewaren..

Dat heb ik niet gedaan, dat was ook al te link.
Als je naar mijn batch-file kijkt, dan zie je dat ik variabelen gebruik.
Hij moet eerst een gebruikersnaam en een wachtwoord intypen, en die worden niet opgeslagen.

en Roblll, daar heb ik inderdaad over nagedacht. Het is echter al genoeg dat mijn vader een berichtje krijgt, meer niet. Ik weet, het is makkelijk te omzeilen, maar dat maakt voor ons even niet uit. Het is meer een bevestiging dat er zojuist iemand verbonden en dat we weten dat wij dat zelf waren.

Ik heb een computer met een AMD FX 6300 en 16 gb ddr3 RAM staan waar windows 10 op draait, die we gewoon 'server' noemen, met een gewone windows share.

[ Voor 9% gewijzigd door Verwijderd op 31-01-2019 17:50 ]

[DukeBox]

Die variabelen staan dan gewoon plain text in het geheugen van je pc. En gewoon in te zien met jet commando set zonder argumenten.

Je zou hoe dan ook je nas credentials in cmdkey kunnen opslaan dan zijn deze tenmiste encrypted en niet zichtbaar.

[ Voor 37% gewijzigd door DukeBox op 31-01-2019 17:51 ]

[Verwijderd]

Je zou hoe dan ook je nas credentials in cmdkey kunnen opslaan dan zijn deze tenmiste encrypted en niet zichtbaar.
[/quote]

Ik gebruik in mijn batch bestand een regel die het wachtwoord onzichtbaar maakt als je hem intypt, maar om het makkelijk te houden heb ik hem bovenaan vervangen door een gewone set /p

Dus kort gezegd komt het er op neer dat het in precipe niet nodig is om 2FA in te stellen.

Heeft iemand nog wel een idee of een programma waarmee je een notificatie naar je telefoon kan versturen?

[ Voor 24% gewijzigd door Verwijderd op 31-01-2019 17:59 ]

[DukeBox]

@Verwijderd er is in batch naar mijn weten middels een niet interactieve manier van een share connecten géén mogelijkheid het password encrypted mee te geven.

Ik ben dan ook erg benieuwd hoe je dat dan gedaan hebt.

[arvidbeheerder]

Windows 10 zal geen 2fa op een Windows share ondersteunen gok ik zo. Wat je wilt gaat niet, en als het al gaat lijkt me het niet de beste oplossing. Als die data echt zo gevoelig is, dan is het vader het ook waard om een professional in te huren om dit goed in te richten.

[Verwijderd]

oké, ik heb het beste antwoord gemarkeerd.
Bedankt allemaal!

[Radiant]

Als je Windows RRAS gebruikt voor VPN kan je Duo Security gebruiken: https://duo.com/docs/rras