Aws-cli: U2F समर्थन

AFAIK, U2F आमतौर पर केवल एक वेब ब्राउज़र में काम करता है। आप सीएलआई से इसके उपयोग की अपेक्षा कैसे करेंगे? एक ब्राउज़र को फायर करें?

@JensRantil नहीं, किसी भी प्रकार का एप्लिकेशन U2F टोकन के साथ इंटरैक्ट कर सकता है।

स्रोत: मैं डेबियन में libu2f-* और pam-u2f बनाए रखता हूं;)

ऐसा लगता है कि U2F अभी तक API एक्सेस के लिए

आप U2F सुरक्षा कुंजियों के साथ MFA-संरक्षित API एक्सेस का उपयोग नहीं कर सकते हैं।

उस ने कहा, मैंने निश्चित रूप से इस फीडबैक को सर्विस टीम को पास कर दिया है। मेरा अपना अनुभव रहा है कि U2F किसी अन्य दूसरे कारक की तुलना में 100000x अधिक उपयोग योग्य है, इसलिए मैं इसे अपने स्वयं के उपयोग के लिए भी देखना पसंद करूंगा।

एक चेतावनी यह है कि इसे V2 सुविधा की आवश्यकता होगी क्योंकि मुझे पूरा यकीन है कि हमें u2f टोकन के साथ बातचीत करने के लिए c निर्भरता में खींचना होगा।

@JordonPhillips FYI करें, Python U2F होस्ट लाइब्रेरी है; यह स्वयं 100% पायथन है, लेकिन hidapi पर निर्भर करता है, जो आईआईआरसी libusb और libudev ।
OTOH, यह पहले से ही सभी प्रमुख वितरणों में उपलब्ध है, इसलिए यह कोई बड़ी बात नहीं होनी चाहिए?

इसके लिए यह भी आवश्यक होगा (जैसे U2F के किसी भी उपयोग की तरह) कि उपयोगकर्ता U2F डिवाइस के साथ इंटरैक्ट कर सके; यूबिको libu2f-host में udev नियमों को अपस्ट्रीम बनाए रखता है, जिसे मैंने डेबियन में libu2f-udev रूप में शिप किया था (इसलिए उन्हें सी लाइब्रेरी में खींचे बिना स्थापित किया जा सकता है), जो कि task-desktop निर्भरता है। (डेबियन 10 "बस्टर" से शुरू), इसलिए अधिकांश उपयोगकर्ताओं ने इसे बॉक्स से बाहर स्थापित किया होगा; विस्तार में (वर्तमान डेबियन स्थिर), हमने udev पैकेज में U2F के लिए udev नियम भेज दिए हैं, इसलिए यह वहां भी उपलब्ध है।
TL; DR: डेबियन के पास jessie में U2F उपकरणों के लिए सही अनुमतियाँ होनी चाहिए (एक साल पहले रिलीज़ हुई), और इसलिए सभी डेबियन डेरिवेटिव्स (जब तक कि वे U2F को तोड़ने के लिए अपने रास्ते से बाहर नहीं गए ...)

यह मेरे लिए बेहद मददगार होगा। टीओटीपी को कॉपी करने के लिए दिन में 10-20 बार अपना फोन निकालना मजेदार नहीं है। 😅 अगर मैं इसके बजाय सिर्फ अपनी युबिकी को टैप कर पाता, तो मेरा aws-cli अनुभव _so_ और अधिक सुखद होता।

@nbraud ऐसा लगता है कि वे जिस पायथन इंटरफ़ेस का उपयोग करते हैं वह लिनक्स व्हील प्रदान नहीं करता है, इसलिए इसे स्थापित करने के लिए उपयोगकर्ता के पास एक कंपाइलर स्थापित होना चाहिए। यह वर्तमान में क्ली स्थापित करने की आवश्यकता नहीं है, इसलिए उस पुस्तकालय को जोड़ना कई उपयोगकर्ताओं के लिए एक महत्वपूर्ण परिवर्तन होगा।

@JordonPhillips एक ब्रेकिंग परिवर्तन शुरू करने के संबंध में ... मैं कुछ दृष्टिकोणों की कल्पना कर सकता हूं जो उत्साही उपयोगकर्ताओं को कम साहसी उपयोगकर्ताओं के लिए चीजों को तोड़ने के बिना जल्दी से इसका लाभ उठाने देंगे:

1. इसे v1 में एक वैकल्पिक निर्भरता बनाएं, और फिर जो लोग वास्तव में इसकी परवाह करते हैं वे इसे सक्षम करने के लिए एक विशेष ध्वज के साथ संकलित कर सकते हैं। इस तरह वे "पूर्वावलोकन" करने का विकल्प चुनते हैं जो अंततः डिफ़ॉल्ट रूप से v2 क्लाइंट का हिस्सा होगा।

2. U2F टुकड़े को एक अलग बाइनरी में विभाजित करें, और रनटाइम पर इसकी उपस्थिति का पता लगाएं। फिर जो उपयोगकर्ता U2F के साथ AWS CLI का उपयोग करने का प्रयास करते हैं, उन्हें इसे काम करने के लिए "इस अन्य उपकरण को स्थापित करें" कहा जाएगा। तो, मैक पर, उदाहरण के लिए, मैं आनंद से एक brew install aws-cli-u2f दूर रहूंगा। मैं

हाँ, मुझे इस कार्यक्षमता को प्राप्त करने के लिए वैकल्पिक संकलन-से-स्रोत मॉड्यूल स्थापित करने में खुशी होगी। इसकी आवश्यकता केवल डेवलपर मशीनों पर होगी - जिसमें लगभग हमेशा पहले से ही एक कंपाइलर होगा - और वैसे भी सर्वर पर नहीं।

Python-u2f-host का एक विकल्प होगा python-fido2 जो आपको USB HID के लिए C लाइब्रेरी की आवश्यकता से बाहर निकालता है और इसका मतलब है कि आपको केवल क्रिप्टोग्राफी लाइब्रेरी की आवश्यकता है जो पहियों को शिप करती है ...

मैं इसके लिए अपनी सांस रोकूंगा

जहां तक ​​मैं इस मुद्दे को समझता हूं एसटीएस/आईएएम को इसके साथ आगे बढ़ने से पहले एमएफए टोकन के रूप में सुरक्षा कुंजी के लिए एपीआई समर्थन प्राप्त करना होगा?

जहां तक ​​मैं इस मुद्दे को समझता हूं एसटीएस/आईएएम को इसके साथ आगे बढ़ने से पहले एमएफए टोकन के रूप में सुरक्षा कुंजी के लिए एपीआई समर्थन प्राप्त करना होगा?

क्या कोई इसे स्पष्ट कर सकता है? निश्चित रूप से अगर यह पहले से समर्थित नहीं है तो यह बस कोने के आसपास है...?

संपादित करें:

कृपया इसे उन गंभीर मामलों में से एक न बनने दें जहां एक कंपनी मानती है कि उनके ग्राहकों में से कोई भी एक सुविधा के बारे में परवाह नहीं करता है, क्योंकि उन्होंने सुपर-उपयोगी संस्करण को लागू नहीं किया और फिर किसी ने इसका इस्तेमाल नहीं किया।

मैं Amazon कंसोल में लॉग इन करने के लिए कभी भी वेब UI का उपयोग नहीं करता। यह सब मेरे लिए सीएलआई-संचालित है, क्योंकि मेरे पास कई खाते हैं जिनसे मुझे निपटने की आवश्यकता है (आदि)। और यहां तक ​​कि अगर मैं लॉग इन करने के लिए वेब UI का उपयोग करता हूं, तो जैसा कि यह खड़ा है मुझे U2F के साथ उपयोग के लिए अपने सभी मौजूदा खातों के _डुप्लिकेट खातों_ के बारे में बताना होगा, क्योंकि मुझे अभी भी अपने पुराने Google/LastPass का उपयोग करने की आवश्यकता होगी /सभी aws-cli सामान के लिए जो भी प्रमाणक।

तो... AWS के U2F समर्थन में _potential_ कुछ ऐसा बनने की क्षमता है जिसके बारे में मैं _वास्तव में_ उत्साहित होऊंगा, लेकिन CLI समर्थन के बिना यह अभी तक छूने लायक नहीं है। मुझे लगता है कि एक ही नाव में बहुत सारे लोग हैं।

@jeffparsons पूरी तरह से सहमत हैं कि सीएलआई/एसडीके के लिए

बीटीडब्ल्यू आप दूसरे खाते पर एक भूमिका मानकर वेब कंसोल में खातों को बहुत आसानी से स्विच कर सकते हैं
पसंद:
https://signin.aws.amazon.com/switchrole?roleName=SomeAdminRole&account=YourAccountNumberOrAlias
देख:
https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html

फिर आप पृष्ठ के ऊपरी दाएं भाग में अपने उपयोगकर्ता/खाता ड्रॉपडाउन में भूमिका स्विचर देख सकते हैं

यह आदमी भी कुछ पर हो सकता है... https://gist.github.com/woowa-hsw0/caa3340e2a7b390dbde81894f73e379d

यहाँ भी एक बहुत अच्छा समाधान है https://github.com/kreuzwerker/awsu

उन सभी के साथ एक ही U2F का उपयोग करते हुए एक अलग आईडीपी के साथ कई बहु-खाता सेटअप के साथ काम करना मेरे लिए कठिन परिश्रम का एक बड़ा उन्मूलन होगा।
पूर्वावलोकन के रूप में v1 में इसे प्राप्त करने के लिए मुझे अतिरिक्त निर्भरता को स्थापित/संकलित करने में कोई समस्या नहीं होगी।

चीजों के एडब्ल्यूएस पक्ष पर मुद्दों पर कोई आंदोलन?

इसके लायक क्या है, aws-vault U2F समर्थन में विलय के काफी करीब लगता है: https://github.com/99designs/aws-vault/pull/316

उस ने कहा, मैं आधिकारिक AWS CLI टूल में मूल U2F समर्थन जोड़ने के पक्ष में हूं।

इसके लायक क्या है, Aws-vault U2F समर्थन में विलय के काफी करीब लगता है:

नहीं, यह सिर्फ युबिकी का उपयोग करके TOTP टोकन बना रहा है। यह एक समाधान है जो आपको अपने Yubikey का उपयोग करने की अनुमति देता है लेकिन यह U2F नहीं है।

(यह वही है जो awsu करता है, ऐसा लगता है।)

awscli में संपूर्ण MFA सेटअप के लिए एक दर्द है और yubikey समर्थन की कमी मदद नहीं करती है।
2019 में एमएफए एक अत्याधुनिक विशेषता नहीं होनी चाहिए।

इस पर कोई प्रगति?

बस इसमें भाग गया। यदि आप cli में इसका समर्थन करने की योजना नहीं बनाते हैं, तो कृपया वेब कंसोल से Yubikey के लिए समर्थन हटा दें। इस सामान को गूगल करने और यह पता लगाने के लिए कि AWS इसका समर्थन नहीं करता है, यह एक बहुत बड़ा समय बर्बाद करने वाला है

यह बहुत ही हास्यास्पद है कि यह मुद्दा 440 दिनों से खुला है और अभी तक हल नहीं हुआ है।

जैसा कि पहले कहा गया था, सीएलआई समर्थन की अत्यधिक सराहना की जाएगी

नमस्ते, हम https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_users-self-manage-mfa-and-creds.html के साथ सभी मानव उपयोगकर्ताओं के लिए एमएफए लागू करना चाहते हैं (एक की कमी के लिए) बेहतर समाधान) लेकिन अब यह पता चला है कि हमें या तो यह करना होगा:

ए) विचार को पूरी तरह से छोड़ दें, या
b) सभी को U2F से TOTP में डाउनग्रेड करने के लिए बाध्य करें।

तथ्य यह है कि आईएएम कई एमएफए उपकरणों का समर्थन नहीं करता है, यह भी एक बुरा मजाक है ...

यह लगभग वर्ष 2020 है। सुविधाजनक और सुरक्षित (पढ़ें: U2F) एमएफए समाधान एक जरूरी है, मेरी राय में एक विलासिता नहीं है। विशेष रूप से उन क्षेत्रों में जहां दुर्भावनापूर्ण अभिनेता गंभीर वित्तीय क्षति पहुंचा सकते हैं।

एडब्ल्यूएस, कृपया, कृपया, कृपया, अपने कार्य को एक साथ करें और अपने पूरे पारिस्थितिकी तंत्र में अपने एमएफए समर्थन को बढ़ाने पर काम करें (सीएलआई, मोबाइल ऐप, एडब्ल्यूएस एसएसओ - जो यू 2 एफ का भी समर्थन नहीं करता है!)

तथ्य यह है कि आईएएम कई एमएफए उपकरणों का समर्थन नहीं करता है, यह भी एक बुरा मजाक है ...

ये वाकई शर्मनाक है. केवल एक डिवाइस को पंजीकृत करना वास्तव में एक बुरा अभ्यास है, इसलिए अमेज़ॅन पर आएं, इस ASAP को ठीक करें!

यह बहुत ही हास्यास्पद है कि यह मुद्दा 440 दिनों से खुला है और अभी तक हल नहीं हुआ है।

यह उससे भी बुरा है। 2013 में Amazon के किसी व्यक्ति ने लिखा:

दुर्भाग्य से इस समय प्रति खाता केवल एक एमएफए होना संभव है।
हालाँकि मैंने इसे अपनी विकास टीम के साथ भविष्य के विकास के लिए एक विशेषता के रूप में माना है।
https://forums.aws.amazon.com/thread.jspa?threadID=137055

मैं समझूंगा कि टीम व्यस्त हो सकती है या अन्यथा, लेकिन यह तथ्य कि कोई भी इस मुद्दे का जवाब देने की जहमत नहीं उठाता, मुझे चिंतित करता है। यह कुछ नासमझ, कम भुगतान वाला ओपन-सोर्स प्रोजेक्ट नहीं है, जहां इसे माफ किया जा सकता है, लेकिन AWS ही।

४९१ दिन, चलो ५०० पर शैंपेन खोलते हैं! शैंपेन: :confetti_ball:

मुझे लगता है कि अमेज़ॅन वास्तव में जीओवी परियोजनाओं पर केंद्रित है जहां $ है। यह धागा इस बात का एक उदाहरण है कि मैं आमतौर पर किसी को एडब्ल्यूएस का उपयोग करने की सलाह क्यों नहीं देता।
ज़रूर, एक समय था जब वे अत्याधुनिक थे, लेकिन आजकल .. इसमें बुनियादी सुविधाओं की कमी है। मुझे पता है कि यह विषय से बाहर है, लेकिन एक और उदाहरण है रूट 53 अभी भी DNSSEC का समर्थन नहीं करता है, इसलिए आप यहां जाएं। अरे हाँ, और एमएफए को एसएफए कहा जाना चाहिए क्योंकि एडब्ल्यूएस कार्यान्वयन में कोई "मल्टी" नहीं है।

शेख़ी के लिए खेद है, लेकिन सुरक्षा लोगों को छोड़कर शायद कोई भी इस धागे को नहीं देखता है जो वास्तव में सुविधा चाहते हैं।
५०० तक पहुँचने तक बस कुछ ही दिन :)!

मैं वास्तव में इसे जोड़ना चाहूंगा। मुझे लगता है कि सेलफोन बेहद विचलित करने वाला है और जब मैं AWS सेवाओं के साथ बातचीत कर रहा होता हूं तो मुझे प्रति घंटे कई बार अपना फोन बाहर नहीं निकालना पड़ता।

इसे कुछ दिन पहले अपडेट किया गया था - https://aws.amazon.com/premiumsupport/knowledge-center/authenticate-mfa-cli/

क्या यह किसी की मदद करता है?

क्या यह किसी की मदद करता है?

दुख की बात है नहीं। IMHO यह एक और समस्या है कि AWS को टोकन कोड का उपयोग करने के लिए कुछ जटिल स्क्रिप्ट की आवश्यकता होती है। मैं इसके आसपास जाने के लिए तीसरे पक्ष aws-mfa अजगर स्क्रिप्ट PyPi मॉड्यूल का उपयोग करता हूं।
लेकिन विचार के लिए धन्यवाद @ क्रिस-बेटमैन!

इसे कुछ दिन पहले अपडेट किया गया था - https://aws.amazon.com/premiumsupport/knowledge-center/authenticate-mfa-cli/

उस लेख के नीचे एक "कुछ भी हम सुधार सकते हैं? हमें बताएं" बटन है जिसे मैं निश्चित रूप से दबाऊंगा।

मैंने अपना काम किया और "हमें भाग बताएं" में एक टिप्पणी छोड़ दी। अगर यह सुविधा लागू हो जाती है तो मुझे भी बहुत खुशी होगी।

@steinybot पोस्ट करने के लिए धन्यवाद

एक दुखद टिप्पणी जोड़ना कि इसे अभी तक लागू नहीं किया गया है

2 महीने से भी कम समय में दो साल की सालगिरह आ रही है। यह अब करीब आ रहा होगा, है ना? सही?

अच्छी खबर: यदि आप aws-vault का उपयोग नहीं करते हैं, तो आपको करना चाहिए। उन्होंने अभी-अभी Yubikey सपोर्ट पेश किया है। यदि आपके पास एक yubikey है जो TOTP को सपोर्ट करता है तो आप MFA कोड को अंदर जोड़ सकते हैं। जबकि अमेज़ॅन से इसकी उम्मीद करना आदर्श होगा, हम सभी इस बात से सहमत हो सकते हैं कि जेफ के अमीर होने के दौरान उन्हें कोई परवाह नहीं है।
भूमिकाओं के लिए इसका बहुत समर्थन है और इस तरह, मेरा एक हिस्सा दुखी है कि यह एक तीसरा पक्ष उपकरण है, लेकिन मुझे ओपन सोर्स के बारे में यही पसंद है: आपके पास विकल्प हैं।
लिंक: https://github.com/99designs/aws-vault/blob/master/USAGE.md#using -a-yubikey

जबकि aws-vault बढ़िया है, यह TOTP को सपोर्ट करता है, U2F को नहीं।

सदियों के इंतजार के बाद अब मैं https://github.com/kreuzwerker/awsu . का उपयोग करता हूं

@nbraud ऐसा लगता है कि वे जिस पायथन इंटरफ़ेस का उपयोग करते हैं वह लिनक्स व्हील प्रदान नहीं करता है, इसलिए इसे स्थापित करने के लिए उपयोगकर्ता के पास एक कंपाइलर स्थापित होना चाहिए। यह वर्तमान में क्ली स्थापित करने की आवश्यकता नहीं है, इसलिए उस पुस्तकालय को जोड़ना कई उपयोगकर्ताओं के लिए एक महत्वपूर्ण परिवर्तन होगा।

जबकि @jeffparsons ने कुछ उचित संभावित वर्कअराउंड की ओर इशारा किया है यदि आप अधिक निर्भरता वाले अन्य बड़े पुस्तकालयों में से एक का उपयोग करते हैं, तो मैं यह भी बताऊंगा कि एक छोटी पायथन लाइब्रेरी है जिस पर विचार किया जाना चाहिए: six । यह MacOS, Linux और Windows के साथ संगत OS HID कॉल के लिए अपने स्वयं के ctypes -आधारित बाइंडिंग को पैक करता है और संभवतः "पर्याप्त" उपयोग के मामलों को कवर करेगा।

क्या हमारे पास अभी तक इस पर काम करने वाला कोई है? क्या aws-cli टीम इस कार्यक्षमता के किसी भी प्रोटोटाइप के लिए पैच स्वीकार करेगी?

संपादित करें: IAM उपयोगकर्ता मार्गदर्शिका से अधिक पढ़ने के बाद ऐसा लगता है कि U2F API स्तर पर असमर्थित है, इसलिए भले ही aws-cli ने इंटरैक्टिव U2F टोकन प्रमाणीकरण का समर्थन किया हो, यह GetSessionToken और AssumeRole जैसा नहीं दिखता है

एपीआई संचालन के लिए एमएफए सुरक्षा के निम्नलिखित पहलुओं को समझना महत्वपूर्ण है:

• MFA सुरक्षा केवल अस्थायी सुरक्षा क्रेडेंशियल के साथ उपलब्ध है, जिसे AssumRole या GetSessionToken के साथ प्राप्त किया जाना चाहिए।
• आप U2F सुरक्षा कुंजियों के साथ MFA-संरक्षित API एक्सेस का उपयोग नहीं कर सकते हैं।

साथ ही, @kiwimato की सामाजिक टिप्पणी के संबंध में:

जबकि अमेज़ॅन से इसकी उम्मीद करना आदर्श होगा, हम सभी इस बात से सहमत हो सकते हैं कि जेफ के अमीर होने के दौरान उन्हें कोई परवाह नहीं है।

कृपया महसूस करें कि यह एक सॉफ्टवेयर डेवलपमेंट थ्रेड है, न कि पूंजीवाद बहस मंच। AWS टीमों में वास्तविक इंसान होते हैं जो मेरे अनुभव में botocore में चीजों को ठीक करने के लिए काफी प्रतिक्रियाशील रहे हैं। अगर कुछ आपको परेशान कर रहा है, तो इसका मतलब है कि आप इसे ठीक करने में मदद कर सकते हैं या कम से कम कुछ विकल्पों पर विचार-मंथन करने में मदद कर सकते हैं।

हालाँकि, जबकि अंतर्निहित AWS API स्वयं MFA के लिए TOTP से परे किसी भी चीज़ का समर्थन नहीं करता है, ऐसा लगता है कि यह समस्या aws-cli से बड़ी समस्या हो सकती है, जो केवल क्लाइंट कार्यक्षमता का समर्थन नहीं करती है। उम्मीद है कि एक बार एपीआई U2F का समर्थन करने के बाद AWS इस टिकट को टक्कर दे सकता है ताकि हम क्लाइंट सपोर्ट रोलिंग प्राप्त कर सकें।

कम से कम इस तरह का एक समाधान आपकी मशीन और आपके फोन के बीच संदर्भ स्विच करने में मदद करेगा
https://authy.com/

क्या इस पर कोई ईटीए है? यह बहुत चिंताजनक है कि जाहिर तौर पर दुनिया में कोई भी अपने एडब्ल्यूएस क्ली उपयोग के लिए अच्छी एमएफए प्रथाओं का उपयोग नहीं कर रहा है।

यह बहुत चिंताजनक है कि जाहिर तौर पर दुनिया में कोई भी अपने एडब्ल्यूएस क्ली उपयोग के लिए अच्छी एमएफए प्रथाओं का उपयोग नहीं कर रहा है।

@ जेम्स-कैलाहन यह सच नहीं है। हम केवल उन्हीं भूमिकाओं तक पहुंच को प्रतिबंधित करते हैं जिन्होंने एमएफए के साथ प्रमाणित किया है। जैसे:

AssumeRolePolicyDocument:
  Version: '2012-10-17'
  Statement:
    - Effect: Allow
      Principal:
        AWS: !Sub
          - arn:aws:iam::${Account}:root
      Action:
        - sts:AssumeRole
      Condition:
        Bool:
          aws:MultiFactorAuthPresent: 'true'

फिर हम एसटीएस से अस्थायी क्रेडिट प्राप्त करने और हमारी एडब्ल्यूएस क्रेडेंशियल फाइलों को अपडेट करने के प्रबंधन के लिए

यह टिकट विशेष रूप से U2F के लिए समर्थन जोड़ने पर केंद्रित है।

@ जेम्स-कैलाहन यह सच नहीं है। हम केवल उन्हीं भूमिकाओं तक पहुंच को प्रतिबंधित करते हैं जिन्होंने एमएफए के साथ प्रमाणित किया है।

यह केवल TOTP के साथ काम करता है; जिसे फ़िशिंग TOTP क्रेडेंशियल आदि में आसानी के कारण उच्च गुणवत्ता वाला दूसरा कारक नहीं माना जाना चाहिए।
यह इस तथ्य से और भी खराब हो जाता है कि AWS आपको U2F और TOTP डिवाइस दोनों को एक IAM उपयोगकर्ता के लिए नामांकित करने की अनुमति नहीं देता है, इसलिए यदि आप UI एक्सेस के लिए U2F का उपयोग करना चाहते हैं, तो आप cli से किसी भी MFA का उपयोग नहीं कर सकते।

उन उपयोगकर्ताओं के लिए जिन्हें इसकी आवश्यकता है, हम दो खाते बनाते हैं:

1. कंसोल के लिए उपयोगकर्ता, जहां वे U2F को सक्षम करते हैं या कुछ भी एक्सेस नहीं कर सकते हैं।
2. क्ली एक्सेस के लिए उपयोगकर्ता, जहां वे एक्सेस कुंजी जोड़ते हैं और एमएफए सक्षम करते हैं या कुछ भी एक्सेस नहीं कर सकते हैं।

केवल क्ली एक्सेस वाले खाते से TOTP को फ़िश करना बहुत कठिन है।

@craighurley
वर्कअराउंड आईएमओ के लिए यह थोड़ा अधिक दिखता है। कंसोल पर U2F रखने के लिए आपको AWS संगठन के सुरक्षा प्रबंधन के लिए 2 खाते बनाए रखने होंगे।
मैं इसे किसी भी कंपनी के लिए उचित समाधान के रूप में नहीं देखता जो U2F का उपयोग करना चाहती है।