Ergebnis 1 bis 7 von 7

Thema: FIDO-Sticks im Test

  1. #1
    in Schwarz

    Moderator

    Avatar von LadyRavenous
    Registriert seit
    Dec 2016
    Ort
    hello world
    Beiträge
    2.420
    ngb:news Artikel
    69

    FIDO-Sticks im Test

    Golem hat vier verschiedene FIDO-Sticks getestet [1]. FIDO [2] ist eine Allianz für starke Authentifizierung, die verschiedene Standards und Technologien herausgebracht hat. FIDO UAF ist der Standard für passwortlose Authentifizierung, beispielsweise über einen Fingerabdruck. FIDO U2F beschreibt, wie man einen zweiten Faktor benutzerfreundlich und zugleich sicher einsetzen kann. Am neuesten ist FIDO2, eine W3C Web Authentifizierung Spezifikation mit den Client-to-Authenticator-Protocols (CTAP) der FIDO Allianz. Verschiedene Security Keys und Sticks sind FIDO-zertifiziert.

    Manche Anwendungen, wie Google und Facebook, unterstützen einen zweiten Faktor. Zudem muss der Browser mitspielen. Chrome/Chromium und Edge unterstützen U2F von Haus aus, bei Firefox muss dies erst aktiviert werden (in about:config security.webauth.u2f = true). Für manche Dienste kann der Schlüssel trotzdem nicht hinterlegt werden.

    Golem hat Security Keys von Yubico, Google, Nitrokey und Solokeys getestet, die 2018 auf dem Markt kamen und allesamt U2F können sollen. Solokeys kam aus einer Kickstarter-Kampagne hervor. Googles Security Key heißt Titan und ist bisher nur in den USA verfügbar.

    Im Test konnte keiner der zweiten Faktoren abgefangen oder gephisht werden. Unter Linux müssen für Nitrokey und Solokeys Udev-Regeln gesetzt werden. Solokeys und Yubico Security Key unterstützen FIDO2, Googles Titan und Nitrokey unterstützen passwortloses Anmelden nicht. Auch wird dies nur unter Windows 10 ab Version 1809 und im Browser Edge unterstützt. Solokeys und Nitrokeys werben mit offener Hard- und Software. Die Pläne gibt es auf GitHub. Bei Googles und Yubicos Security Keys lässt sich die Firmware hingegen nicht aktualisieren (was bereits bei nicht zufälligen Zufallszahlen in der Vergangenheit für eine Tauschaktion gesorgt hat).

    Prinzipiell tun die Sticks was sie sollen. Es nutzt aber nichts, wenn die verwendeten Dienste den Standard nicht unterstützen. Wichtig ist es immer Ersatz zu haben, da ein Stick schon einmal verloren oder kaputt gehen kann. Zumindest ist mit einem Stick der zweite Faktor nicht auf ein und demselben Gerät wie der erste Faktor (auch wenn das theoretisch realisierbar wäre).


    Quellen:
    [1] https://www.golem.de/news/fido-stick...03-139953.html
    [2] https://fidoalliance.org
    "Das Internet? Gibts diesen Blödsinn immer noch?"
    Homer Simpson, Sicherheitsinspektor im Kernkraftwerk Springfield

    Hasenbraten-Rezepte

  2. #2
    Bot #0384479 Avatar von BurnerR
    Registriert seit
    Jul 2013
    Beiträge
    3.950
    ngb:news Artikel
    1

    Re: FIDO-Sticks im Test

    Ich will mir demnächst yubikeys anschaffen.
    Dieses FIDO-U2F leuchtet mir aber nicht so recht ein. Man kann ja kein Backup erstellen, sondern muss den Backup-Key seperat registrieren. Das muss ich dann ja aber für jeden Dienst erledigen oder nicht? D.h. ich müsste sowieso beide Keys immer mit mir herum schleppen, was das ganze dann überflüssig macht.

    Oder verstehe ich das falsch?

  3. #3
    in Schwarz

    Moderator

    (Threadstarter)

    Avatar von LadyRavenous
    Registriert seit
    Dec 2016
    Ort
    hello world
    Beiträge
    2.420
    ngb:news Artikel
    69

    Re: FIDO-Sticks im Test

    Du kannst den Backup-Stick ja in n Safe legen oder was weiß ich.
    "Das Internet? Gibts diesen Blödsinn immer noch?"
    Homer Simpson, Sicherheitsinspektor im Kernkraftwerk Springfield

    Hasenbraten-Rezepte

  4. #4
    Lone Gunman Avatar von Shodan
    Registriert seit
    Jul 2013
    Ort
    Citadel Station
    Beiträge
    432

    Re: FIDO-Sticks im Test

    warte.. wenn man passwortlose Authentifizierung mit einem USB-Dongle macht... was ist dann der andere Faktor?


    Zitat Zitat von Golem
    Nach langer Suche finden wir einen Dienst, der das passwortlose Anmelden unterstützt. Unter accounts.microsoft.com
    Art. 6 der Richtlinie 2006/24 ist mit den Art. 7 und 52 Abs. 1 der Charta der Grundrechte der Europäischen Union unvereinbar, soweit er den Mitgliedstaaten vorschreibt, sicherzustellen, dass die in ihrem Art. 5 genannten Daten für die Dauer von bis zu zwei Jahren auf Vorrat gespeichert werden.
    Generalanwalt Pedro Cruz Villalón - Europäischer Gerichtshof

  5. #5
    ♪♪♫♪♫♫♪ Avatar von KaPiTN
    Registriert seit
    Jul 2013
    Beiträge
    9.207
    ngb:news Artikel
    9

    Re: FIDO-Sticks im Test

    Der Dongle könnte der andere Faktor sein, im Rahmen von multi-factor authentication(MFA) (Oberbegriff mit der Teilmenge two-factor authentication (2FA)). Oder es gibt keinen. WebAuthn ist ein single factor passwordless Verfahren.
    J'irai pisser sur votre bombes
    You can educate a fool, but you cannot make him think

  6. #6
    Bot #0384479 Avatar von BurnerR
    Registriert seit
    Jul 2013
    Beiträge
    3.950
    ngb:news Artikel
    1

    Re: FIDO-Sticks im Test

    Zitat Zitat von LadyRavenous Beitrag anzeigen
    Du kannst den Backup-Stick ja in n Safe legen oder was weiß ich.
    Den muss ich dann ja aber jedes mal raus holen, wenn ich mich für einen neuen entsprechenden Dienst registriere. Und dann meinen Haupt-Stick beim Dienst bekannt machen. Dann den Backup Stick bekannt machen. Dann den Backup Stick zurück legen...
    Ich habe außerdem keinen Safe bei mir zuhause und müsste entsprechend jedes mal vor die Tür gehen dafür. Extrem unkomfortabel .

  7. #7
    Mitglied Avatar von phre4k
    Registriert seit
    Mar 2015
    Beiträge
    5.454
    ngb:news Artikel
    4

    Re: FIDO-Sticks im Test

    Ich hab so'n Ding zu Hause und es verstaubt einfach nur. Nach der anfänglichen Euphorie fiel mir auf, dass ein OTP-Generator auf dem Handy in Kombination mit sicheren Passwörtern genauso gut funktioniert, wenn man einen Passwortmanager hat.
    *mit Linux wäre das natürlich nicht passiert™
    Arguing that you don't care about the right to privacy because you have nothing to hide is no different than saying you don't care about free speech because you have nothing to say. – Edward Snowden
    tilde.fun – dein kostenloser Linux-Account in der Cloud | Inoffizielle ngb-Telegram-Gruppe
    GCM/S/TW d s+:- a-----? C++$ UL+++$ P-- L+++ E---- W++++ !N ?K w- M-- !P[A-Z] Y++ PGP R* tv-- b++>++++ DI++\:\( G+ e+>++++ h*

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •