🛡️ Desktop-2FA

Ein sicherer, offline arbeitender Zwei-Faktor-Authentifizierungs-Manager (2FA) für Desktop-Umgebungen. Entwickelt mit Python, mit starker Verschlüsselung und ohne Cloud-Abhängigkeiten.

🌐 Landingpage: desktop-2fa.org

---

✨ Funktionen

Funktion	Beschreibung
🔐 Tresor-Sicherheit	AES-256-GCM-Verschlüsselung mit Argon2id-Schlüsselableitung
⏱️ TOTP-Generierung	RFC-6238-konforme Codegenerierung
💻 Vollständige CLI	Vollständige Befehlszeilenschnittstelle zur Verwaltung von Tokens
📋 Zwischenablage-Unterstützung	Automatisches Kopieren von TOTP-Codes in die Zwischenablage
🔓 Zustandsloses Design	Jeder Befehl erfordert eine explizite Passwortauthentifizierung
🛡️ Passwortrichtlinie	Konfigurierbare Durchsetzung der Passwortstärke mit zxcvbn
🧪 Gut getestet	289 erfolgreiche Tests mit umfassender Abdeckung
📖 Sicherheitsmodell	Detaillierte Bedrohungsanalyse und Dokumentation des kryptografischen Designs

---

📸 Screenshots

Hinzufügen eines neuen TOTP-Eintrags interaktiv

Generieren eines TOTP-Codes für einen Eintrag

Umbenennen eines Eintrags mit Duplikaterkennung

Anzeigen der Versionsinformationen und Auflisten aller Einträge

---

🚀 Schnellstart

Installation

pip install desktop-2fa

Installation überprüfen:

python -c "import desktop_2fa; print(desktop_2fa.__version__)"
# Output: 0.8.1dev

Grundlegende Verwendung

# Initialize a new vault
d2fa vault init

# Add a new TOTP token
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP

# List all entries
d2fa vault list

# Generate a code
d2fa code GitHub

Nicht-interaktive Verwendung

# Provide password via command line
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password mypassphrase

# Provide password via file
d2fa vault add GitHub GitHub JBSWY3DPEHPK3PXP --password-file /path/to/passphrase.txt

---

📁 Lebenszyklus des Tresors

Der Tresor ist eine verschlüsselte Speicherdatei unter ~/.desktop-2fa/vault.

Erstellung des Tresors

Wenn ein Befehl einen Tresor benötigt und keiner vorhanden ist:

1. Die CLI fragt nach einem neuen Passwort (interaktiver Modus) oder erfordert --password/--password-file (nicht-interaktiver Modus)
2. Ein leerer, verschlüsselter Tresor wird erstellt
3. Eine Bestätigungsmeldung wird immer ausgegeben: Vault created at <path>

Laden des Tresors

Wenn ein Befehl einen Tresor benötigt und dieser vorhanden ist:

1. Die CLI fragt nach dem vorhandenen Passwort (interaktiver Modus) oder erfordert Anmeldedaten (nicht-interaktiver Modus)
2. Der Tresor wird entschlüsselt und geladen
3. Ist das Passwort ungültig, beendet sich die CLI mit typer.Exit(1)

Behandlung doppelter Einträge

Der Befehl rename erzwingt deterministisches Verhalten, wenn mehrere Einträge auf den Zielnamen passen:

• Wenn mehrere Einträge auf den angegebenen Namen passen (issuer oder account_name), wird die Umbenennung abgebrochen
• Fehlermeldung: Error: Multiple entries named '<name>' exist. Operation aborted. Resolve duplicates first.
• In diesem Fall wird kein Eintrag umbenannt
• Diese Prüfung erfolgt vor jeder Änderung

---

📖 CLI-Befehle

Kernbefehle

Befehl	Beschreibung
d2fa vault add <name> <issuer> <secret>	Einen neuen TOTP-Eintrag hinzufügen
d2fa vault list	Alle gespeicherten TOTP-Einträge auflisten
d2fa vault rename <old> <new>	Einen Eintrag umbenennen
d2fa vault remove <name>	Einen Eintrag entfernen
d2fa code <name> [--copy|--copy-only]	TOTP-Code mit Optionen zum Kopieren in die Zwischenablage generieren

Tresorverwaltung

Befehl	Beschreibung
d2fa vault init [--force]	Einen neuen Tresor initialisieren
d2fa vault unlock	Tresor mit Warnung bei schwachem Passwort öffnen (falls konfiguriert)
d2fa vault change-password	Das Tresor-Passwort ändern
d2fa vault backup	Ein verschlüsseltes Backup des Tresors erstellen
d2fa vault export <path>	Tresor in eine Datei exportieren
d2fa vault import <path> [--force]	Tresor aus einer Datei importieren

Globale Optionen

Option	Beschreibung
--password <pwd>	Tresor-Passwort direkt angeben
--password-file <path>	Tresor-Passwort aus einer Datei lesen
--json	Ausgabe im JSON-Format
--raw	Rohe Ausgabe (ohne Formatierung)
--quiet	Nicht unbedingt notwendige Ausgaben unterdrücken
--copy	TOTP-Code in die Zwischenablage kopieren und anzeigen
--copy-only	TOTP-Code nur in die Zwischenablage kopieren
--force	Operation erzwingen (Bestätigungen überspringen)

---

🔒 Sicherheit

Der Tresor verwendet:

• AES-256-GCM für authentifizierte Verschlüsselung
• Argon2id für die Schlüsselableitung (time_cost=4, memory_cost=128MiB, parallelism=2)
• zxcvbn für die Bewertung der Passwortstärke
• Versionierten Header für Vorwärtskompatibilität

Jeder Befehl erfordert eine explizite Passwortauthentifizierung. Kein sitzungsbasierter Zugriff.

Bewertung der Passwortstärke

Desktop-2FA verwendet zxcvbn, um die Passwortstärke beim Erstellen oder Ändern von Tresor-Passwörtern zu bewerten:

• Score 0-2 (Schwach): Leicht zu erratende Passwörter (z. B. „password123")
• Score 3-4 (Stark): Widerstandsfähig gegen gängige Angriffe (empfohlen)

Beispiele:

• ❌ Schwach: password, 123456, qwerty, admin2024
• ✅ Stark: Battery-Horse-Staple-Correct, Mountain@River*2024, MySecureVault#42

Konfiguration (~/.config/d2fa/config.toml):

[security]
# Require strong passwords (score >= 3)
reject_weak_passwords = false  # warn but allow | true: reject weak passwords

Wenn reject_weak_passwords = false gilt:

• Schwache Passwörter lösen eine gelbe Warnung aus
• Der Benutzer wird aufgefordert, die Fortsetzung zu bestätigen
• Die Annahme des Passworts ist nicht blockierend

Wenn reject_weak_passwords = true gilt:

• Schwache Passwörter werden sofort abgelehnt
• Der Befehl wird mit einem Fehler beendet
• Der Benutzer muss ein stärkeres Passwort wählen

Rückwärtskompatibilität: Wenn in Ihrer Konfiguration min_password_entropy gesetzt ist (Legacy-Option), wird dies erkannt und wie die Anforderung eines zxcvbn-Scores >= 3 behandelt.