Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 18 replies
  • Subscribers 0 subscribers
  • Views 4785 views
  • Users 0 members are here
Options
Suggested

[9.186][BUG] OTP questions / confusion

BarryG
Hi,

1. the documentation for OTP is a little hard to find. I found it by using the 'search' function, but even then, from
Definitions & Users > Authentication Services > One-time Password 

If I go up one level in the docs (to  Definitions & Users > Authentication Services), I cannot find OTP on that page.


2. When I first setup OTP, before turning on the "power switch", I disabled "All users must use one-time passwords", and added a user to the box.

However, it wouldn't let me continue, saying something like "All webadmin users must be configured for OTP" or something like that.

So, I enabed "All users must use one-time passwords", and got it working.

THEN, I disabled "All users must use one-time passwords", and it still works as expected.

So, I don't understand why it didn't let me proceed the first time.

Thanks,
Barry
Parents
  • 0
    Hi,

    I think I've reproduced the message, and I think I understand it now.

    I did a factory reset, and added a user, 'barry', and added 'barry' to the superadmins group.
    Then, I configured OTP (see screenshot) and hit 'Apply' at the bottom.
    When I tried to turn on the 'power switch' for OTP, I get the message in the screenshot.

    I'm not 100% certain it's the same message as before, but it probably is.
    The message is somewhat confusing as I've unchecked the 'all users' option, but I am warned that all admins need to have a OTP token, which seems like a contradiction.
    Also, it is not very clear how to resolve the problem, but checking the 'auto-create' option seems to work.

    Let me know if you need any other info.

    Thank you,
    Barry
  • 0 in reply to BarryG
    Thanks for the effort reproducing the issue. However, all this is intended behavior.

    You experienced the check that tries to prevent admins from locking themselves out from WebAdmin. When you enabled OTP for the WebAdmin facility, disabled automatic token creation and required "barry" (your admin-user) to use OTP, you set the condition for the error to show when you enable OTP.

    All admin users (who are configured for OTP) need to have a token assigned. This is required in the believe that the token is also configured in the admins token then. Best we can do here. In your case this check prevented you from locking out yourself by enabling auto token creation, so the job was done. =)

    You could ask why this is necessary since "admin" was still able to log in to WebAdmin. As a matter of fact the check previously tested if at least one admin is still able to log into WebAdmin, but that was changed, because determining that one admin could be a problem, she may be on a 3 month vacation in the Taklamakan desert or whatever. I changed it so that all admin OTP users need to have a token assigned. It's just safer and more user friendly that way.

    Could the error message be more clear? It needs to be brief. Any suggestions from you as a native speaker?
Reply
  • 0 in reply to BarryG
    Thanks for the effort reproducing the issue. However, all this is intended behavior.

    You experienced the check that tries to prevent admins from locking themselves out from WebAdmin. When you enabled OTP for the WebAdmin facility, disabled automatic token creation and required "barry" (your admin-user) to use OTP, you set the condition for the error to show when you enable OTP.

    All admin users (who are configured for OTP) need to have a token assigned. This is required in the believe that the token is also configured in the admins token then. Best we can do here. In your case this check prevented you from locking out yourself by enabling auto token creation, so the job was done. =)

    You could ask why this is necessary since "admin" was still able to log in to WebAdmin. As a matter of fact the check previously tested if at least one admin is still able to log into WebAdmin, but that was changed, because determining that one admin could be a problem, she may be on a 3 month vacation in the Taklamakan desert or whatever. I changed it so that all admin OTP users need to have a token assigned. It's just safer and more user friendly that way.

    Could the error message be more clear? It needs to be brief. Any suggestions from you as a native speaker?
Children
No Data
Unfiltered HTML