yubikey

[mad-proffessor]

Θα ήθελα την άποψη κάποιου που χρησιμοποιεί ή έχει στη κατοχή του κάποιο yubikey ή άλλο u2f/otp κλειδί. Ακόμα και σε εταιρεία κτλ.

Επεξ/σία 29 Μαρτίου 2016 από mad-proffessor

[Ψιτ]

Χρησιμοποιούσα για 4 χρόνια, είναι ένας επιπλέον τρόπος ταυτοποίησης. Για το χρήστη, απλά είναι μια συσκευή σε usb που την ενεργοποιεί όταν του χρειαστεί, χαϊδεύοντάς την.

[mad-proffessor]

Γνωρίζω τι κάνει. Σε τι λειτουργικό το χρησιμοποιούσες και επίσης ήσουν σε εταιρεία ή απλά για σένα;

[Ψιτ]

Σε Windows και Linux για να συνδεθώ σε UNIX server.

 

Ήμουν σε μεγάλο οργανισμό, που είχε 3 βήματα ταυτοποίησης, απο τους οποίους οι δύο ήταν μεταβλητοί (δεν υπάρχουν και πολλοί οργανισμοί που ακολουθούν το συγκεκριμένο πρωτόκολλο).

Μου φαίνεται υπερβολικό να το βάλει κάποιος στον προσωπικό του υπολογιστή. Σκέψου ότι αν κάποιος θέλει μπορεί να βγάλει το σκληρό δίσκο ή να ξεκινήσει τον υπολογιστή απο usb με κάποια διανομή λινουξ και να έχει πρόσβαση σε όλα τα αρχεία. Η χρήση yubi, έχει περισσότερο νόημα σε απομακρυσμένη σύνδεση.

[mad-proffessor]

Ευχαριστώ για τη πληροφόρηση. Μου έκανε εντύπωση η google που χρησιμοποιεί τα απλά u2f  για τους εργαζομένους της. Βέβαια δε ξέρω κατα πόσο είναι ασφαλές να χρησιμοποιείται απομακρυσμένο https  έστω και κρυπτογραφημένο για τη παραγωγή one time passwords. Τώρα προφανώς μια εταιρεία σα τη google  θα είχε δικό της  otp server και δε θα βασιζόταν σε εξωτερικό. Οπως και να έχει κάθε παραπάνω βήμα σε αυθεντικοποίηση/εξουσιοδότηση είναι σημαντικό. Σκεφτόμουνα να πάρω και εγω το απλό για δοκιμες αλλά δε νομίζω να έχω χρόνο να ασχοληθώ πλέον.

[mad-proffessor]

Τελικά το πήρα και μου έχει έρθει εδω και κάποιες μέρες. Συνοπτικά αν ενδιαφέρει κάποιους έχει δυο slots το πρωτο είναι προπρογραμματισμένο απο τη yubico και είναι σε OTP mode με το yubicloud. Το δεύτερο ήθελα να το προγραμματίσω σα smartcard αλλά τελικά το προγραμματισα σε challenge-response mode.

Στα συν: Τα σλοτς είναι write-only, δηλαδή το AES key δε μπορει να διαβαστεί παρα μόνο να γραφτει. Επίσης είναι αδιαβροχο και έχει πιστοποίηση σε σκόνη.

Στα μείον: Θα ήθελα να είναι usb type-c γιατι δε βολευει αν και έχω ήδη παραγγείλει usb hub. Επίσης θα ήθελα να είναι περισσοτερο ανθεκτικό σα κατασκευη, τώρα το πλαστικό θέλει προσοχη όπως το βάζεις στη usb γιατι μπορει καταλάθος να σπάσει ή να στραβώσει. Ένα ακόμα μείον είναι ότι δεν έχει γινει κάτι να δουλευει με bluetooth pairing, ενω αντίθετα δουλευει στο λιγότερο διαδεδομένο nfc.

Στα ουδέτερα: Δε γνωρίζω αν είναι πραγματικά unhackable όπως διατείνονται οι κύριοι της yubico.

Αν κάποιος θέλει περαιτέρω πληροφορίες, ευχαρίστως.

 

Υ.Γ: Ξέχασα να γράψω οτι νομίζω οτι η πιο ασφαλής μέθοδος είναι σα smartcard που δε γίνονται καθόλου https requests σε εξωτερικούς servers, γίνεται offline validation. Προσωπικά ψάχνω έναν αψεγάδιαστο how to, αλλά δε βιάζομαι, θα γίνει όταν αναβαθμίσω το ρουτερ μου σε ssd, γιατι τώρα χρησιμοποιώ το yubikey μόνο στο desktop μου.

Επεξ/σία 24 Μαΐου 2016 από mad-proffessor

[jemadux]

θα πω στο θεμα δεν εχει σημασια αμα ειναι hackable ... απο τεχνικης πλευρας μπορει να ειναι unhackable αλλα μην ξεχνας τον ανθρωπινο παραγοντα

[tritonas00]

Ηρθε κι εδεσε...

[Rightman]

Στα μείον: Θα ήθελα να είναι usb type-c γιατι δε βολευει αν και έχω ήδη παραγγείλει usb hub. Επίσης θα ήθελα να είναι περισσοτερο ανθεκτικό σα κατασκευη, τώρα το πλαστικό θέλει προσοχη όπως το βάζεις στη usb γιατι μπορει καταλάθος να σπάσει ή να στραβώσει. Ένα ακόμα μείον είναι ότι δεν έχει γινει κάτι να δουλευει με bluetooth pairing, ενω αντίθετα δουλευει στο λιγότερο διαδεδομένο nfc.

 

Θα αναφέρεσε στο NEO. Το 4C έιναι USB-C.

 

 

Οσον αφορά τη σύνδεση κινητού γίνετε με Type-C USB OTG Cable.

 

If NFC is not required, or if the smaller Nano form factor is preferred, we recommend customers purchase the YubiKey 4 or YubiKey 4 Nano, our latest generation YubiKey, which include stronger and faster crypto.

NFC SECURITY KEY

 

Εμένα η απορία μου είναι αν μπορούμε να έχουμε σαν δεύτερο backup USB U2F Key διαφορετική μάρκα.

[mad-proffessor]

Θα αναφέρεσε στο NEO. Το 4C έιναι USB-C.

 

 

Οσον αφορά τη σύνδεση κινητού γίνετε με Type-C USB OTG Cable.

 

NFC SECURITY KEY

 

Εμένα η απορία μου είναι αν μπορούμε να έχουμε σαν δεύτερο backup USB U2F Key διαφορετική μάρκα.

Έχεις κάποιο yubikey απο όλα και το χρησιμοποιείς σα u2f? To fido της yubico?

[Rightman]

Οχι ακόμα. Αλλά σκέφτομαι την περίπτωση που χαθεί το πρώτο. Μήπως έχω ένα δεύτερο φτηνότερο. 

[mad-proffessor]

Απο το site της yubico

 

Secure recovery — It is recommended that users register at least two U2F devices with every service provider should a U2F device be misplaced. Services may also provide the user with a backup code that they store in a safe place.

https://www.yubico.com/about/background/fido/

 

Αν χρησιμοποιείς λίνουξ πάντως μπορώ να σου πω ότι αρκετά εως πολλά υποστηρίζει ο πυρήνας(όλα της yubico), σίγουρα κάποια μη yubico, αν θες πες μου να ψάξω περαιτέρω.

[Rightman]

Απο το site της yubico

https://www.yubico.com/about/background/fido/

 Αρα σε κάθε site καταχωρώ δύο U2F USB keys.

 

 

Αν χρησιμοποιείς λίνουξ πάντως μπορώ να σου πω ότι αρκετά εως πολλά υποστηρίζει ο πυρήνας(όλα της yubico), σίγουρα κάποια μη yubico, αν θες πες μου να ψάξω περαιτέρω.

Εχω τα 17.3 Mint (kernel 3.19, Ubuntu 14.04). Αλλά ουτως η άλλος λειτουργεί στο chrome.

 

Easy to use — Works out-of-the-box thanks to native support in platforms and browsers (starting with Chrome, and Opera, with Mozilla coming in 2017) enabling instant authentication to any number of services. No codes to type, or drivers to install.

No separate software required (beside of Chrome browser)

https://shop.nitrokey.com/shop/product/nitrokey-u2f-5

 

Και στα υπόλοιπα αναφέρει για Linux. https://is.gd/KWQ6xp           https://is.gd/NoiwQ9

 

 

 

General Information

By simulating a USB keyboard (HID), YubiKeys don't require any installation of client software, and work with all modern operating systems.

 

 

 

http://keepass.info/help/kb/yubikey.html

 

Σε κάποια Plugins του KeePass να θέλει στο linux περαιτέρω ρυθμίσεις.  (KeeChallenge) 

 

Πάντως ακόμα και το tresorit (cloud-sync) που έχει zero-knowledge encryption δεν υποστηρίζει U2F!

Επεξ/σία 4 Μαρτίου 2017 από Rightman

[Rightman]

-Deleted-