• mal ne technische/grundsaetzliche Frage zu so Sicherheitsschluesseln wie Yubikey etc.

    aktuell ist ja auch in der c't dieses FIDO2 etc. zum passwortlosen Anmelden/Authorisieren bei unterschiedlichsten Diensten, Webseiten, use. aktuell. Und jetzt ganz aktuell gibt es so nen Key auch mit USB-C und Lightning-Anschluss fuer iPhones: https://www.heise.de/mac-and-i/meldung/YubiKey-5Ci-Erster-Sicherheitsschluessel-mit-Lightning-Stecker-4501863.html

    eine grundsaetzliche Frage hab ich, die die c't irgendwie nicht wirklich beantwortet: das Teil funktioniert ohne weiteres zweites Sicherheitssystem!? Sprich wenn ich den am Schluesselbund hab und mir den jemand klaut, kommt der dann in alle Accounts usw. von mir rein? Denn so ein Teil hat ja nicht noch nen Fingerabdruck-Sensor oder irgendwas drauf, richtig?

    So ein Teil ist ja nur sinnvoll wenn man es auch moeglichst immer dabei hat und nicht daheim im Tresor liegen hat. Aber dann find ich das irgendwie doch recht unsicher in Sachen Diebstahl. Oder ueberseh ich das was?

    Merci, Abraham
    ----------
    Das Wahlvolk will betrogen werden, aber einen gewissen Qualitätsanspruch wird man doch haben dürfen. (Georg Schramm)

    • Man benötigt zwei Faktoren.

      D.h. normalerweise, man gibt wie gehabt sein Passwort ein, muss jedoch nun zusätzlich den Dongle besitzen.

      Oder falls ohne Passwort, muss man einen Zweiten Faktor (PIN, Fingerabdruck) beibringen können, um den Dongle lokal öffnen.

      Der Grundgedanke ist: man benötigt zwei Dinge. Der eine ist der Besitz des Dongles, der andere ist ein Passwort, PIN, Fingerabdruck, ein weiteres Gerät ... Eines allein ist nicht genug.

      Gruß
      Schlaefer

      • hm, aber im Rahmen von FIDO2 wird doch immer von "passwordless" gesprochen ...

        als Zwei-Faktor-Authenifizierung versteh ich es. Aber gerade in der aktuellen c't geht es ja um FIDO2 und WebAuthn usw. und da wird ja explizit vom "Abschied vom Passwort" gesprochen und der Token/Key als Ersatz fuer das Passwort erwaehnt. Deswegen bin ich etwas irritiert.
        ----------
        Das Wahlvolk will betrogen werden, aber einen gewissen Qualitätsanspruch wird man doch haben dürfen. (Georg Schramm)

        • Der Dongle wird mit dem entfernten Konto verbunden und generiert dann zukünftig ein sehr sicheres "Passwort",

          mit dem die Gegenstelle den Dongle wiedererkennt. Dieses wird über die potentiell unsichere Verbindung wie bspw. das Internet für den "Login" gesendet.

          Mit diesem "Passwort" kommt man als Nutzer jedoch nicht mehr in Berührung. Man selbst authentifiziert sich statt dessen lokal gegenüber den Dongle mit bequemeren Maßnahmen wie PIN oder Fingerabdruck.

          Im Prinzip wie eine verlorene IC-Karte. Die Karte allein nützt nichts, wenn man nicht den PIN kennt (oder sehr viel Glück beim Raten hat).

          • klingt schlau, nur ...

            sorry wenn ich da pingelig nachfrage, ist nicht gegen Dich gemeint sondern tatsaechlich weil ich das Prinzip nicht verstehe:
            denn all diese Keys die ich mir jetzt grad so angeschaut habe (also Yubikey als bekanntester aber auch der Opensource von Solo) haben eben keine PIN-Abfrage oder eben nen Fingerabdruck-Sensor, sofern ich das richtig verstehe. Da steht immer nur dass man den Key anschliessen soll (bzw. bei NFC na dranhalten) und dann nen einfachen Knopf druecken. Das ist aber wohl kein Fingerabdruck-Sensor.

            Klar kann man sagen dass mir ja eben auch ein Passwort 'verloren' gehen kann (durch Phishing usw.), aber wenn das Entwenden von so nem physischen Teil ist ja doch irgendwo noch einfacher. Erst recht im Falle von Strafverfolgung durch Hausdurchsuchung der Behoerden usw. Wenn dann nix mehr von mir persoenlich abgefragt wird, sondern einfach durch Einstecken des Keys in ein System der Zugang moeglich ist, klingt das ja eher wie ein Rueckschritt fuer mich.
            ----------
            Das Wahlvolk will betrogen werden, aber einen gewissen Qualitätsanspruch wird man doch haben dürfen. (Georg Schramm)

            • Die Varianten, wo man einen Knopf drückt, bieten keine lokale Authentifizierung,

              und damit auch kein "passwordless"-Features. D.h. man muss sein Password wie gehabt eingeben und beweisen, dass man den Dongle besitzt, indem man ihn einsteckt und je nach Modell explizit noch durch Knopfdrücken "ja, jetzt bitte" zustimmt.

              Bei einer Hausdurchsuchung ist der physische Faktor kompromittiert. Die Dongles helfen nicht, wenn jemand mit Knüppel vor einem steht und sagt "Ich habe dein Dingens, nun mach mal". In dem Fall kann man nur noch den Mund halten und das Passwort nicht rausrücken.

              Falls das Passwort jedoch durch Pishing, Datenbank-Diebstahl, Raten, ... verloren geht, kann niemand unbemerkt aus Timbuktistan deinen Account übernehmen. Woher auch immer dem Angreifer das Passwort bekannt ist, das Online an verschiedenen Stellen herumschwirren kann, dem entfernten Angreifer fehlt das einmalige und nur lokal vorhandene "Dingens". Das ist der Hauptvorteil.

              > sorry wenn ich da pingelig nachfrage, ist nicht gegen Dich gemeint sondern tatsaechlich weil ich das Prinzip nicht verstehe

              Kein Problem, ich muss mich auch immer wieder aktiv reindenken, selbst wenn man das Thema bereits mehrmals zuvor zumindest halbwegs gefühlt verstanden hatte. Nach vier Wochen degeneriert es dann wieder Cargo-Kult.

              • Also man authentifiziert sich in dem Fall schon irgenwie lokal, aber nicht gegenüber dem Dongle. Besser: Man authorisiert den Dongle,

                dass er sich gegenüber der Gegenstelle authentifiziert. *seufz*

                Das ganze Thema ist durch die verschiedenen Standards und Hardware-Optionen so komplex, dass man entweder Informatik studiert hat, der Arbeitgeber einen dazu zwingt, man als Nerd geboren wurde oder das Zeug einfach kauft und so lange lange damit rumspielt, bis es funktioniert und wie Magie wirkt.

                Die Yubikey-Herstellerseite ist ebenfalls eine Marketing-Buzzword-Katastrophe.

                PS: Wenn man wissen will, warum sich allgemeine Email-Verschlüsselung nicht durchgesetzt hat, hier gleich das nächste Beispiel. Am Ende werden die Leute das eingebaute Apple-ID, Google-<Whatever They Call It> und vielleicht noch Windows Hello nutzen, und das wars.

      • Siehe unten in dem Heise Artikel.

        Die humane Lösung beim Phone ist NFC, d.h. man hält das Phone nur kurz gegen den Schlüssel.

        Apple beschränkt jedoch den NFC Zugriff für Entwickler, so dass nicht alle NFC Features nutzbar sind. Zudem besitzen iPads kein NFC. Deshalb ein Model mit Lightning-Port.

      • neben dem Urheberrechtsproblem durch C&P

        ist der Artikel bzw. die Artikelreihe mMn etwas zu wohlwollend. Denn das Hauptproblem bleibt immer noch der Mensch. Und dieser ist bequem. So wird der Schlüssel bei der Mobilgeneration auf dem Smartphone verwahrt werden. Und bisher galt es z.B. beim Banking immer Anwendung und Authentifizierung zu trennen. Desktop mit der Bankinganwendung, Phototan App als Schlüssel auf dem Handy. Wer beides auf dem Handy macht und sich die Tan direkt an die Bankingapp schickt, gilt als Risiko seines Konto. Und nun wird das als eine tolle Lösung stilisiert? Und bei der Einreise in die USA gebe ich meinen Schlüssel bei der Einreisekontrolle ab? "Entsperren sie das Telefon"....na super.