Wachtwoorden zijn het zwakke punt van beveiliging geweest sinds ze voor het eerst werden geïntroduceerd.
Gelukkig is de Yubico YubiKey 5 NFC hier om onze belangrijkste accounts te beschermen en nog veel meer.
De vijfde generatie van de YubiKey ondersteunt FIDO U2F voor een veilige tweedefactorauthenticatie en gebruikt NFC om met je telefoon te werken.
Maar dat is nog maar het begin van wat dit opmerkelijk krachtige en opmerkelijk kleine apparaat kan doen.
Als u alleen op zoek bent naar een eenvoudige hardware U2F-optie, is de YubiKey 5 NFC waarschijnlijk overdreven.
Overweeg in plaats daarvan de meer betaalbare beveiligingssleutel van Yubico of de Google Titan-beveiligingssleutels.
Maar als u al doordrenkt bent van beveiligingswaanzin, zult u genieten van wat de 5 NFC te bieden heeft.
Hoe tweestapsverificatie werkt
Hoewel u veel kunt doen met een hardwarebeveiligingssleutel zoals de YubiKey, is de primaire rol die van een tweede authenticatiefactor.
In de praktijk betekent tweefactorauthenticatie (2FA) dat u een tweede ding moet doen nadat u uw wachtwoord hebt ingevoerd om te bewijzen dat u het bent.
Maar de theorie achter 2FA combineert twee verschillende authenticatiesystemen uit een lijst van drie:
- Iets wat je weet,
- Iets wat je hebt, of
- Iets wat je bent.
Bijvoorbeeld: een wachtwoord, is iets wat jij weten, en het zou alleen in je hoofd moeten bestaan ??(of in een wachtwoordbeheerder).
Biometrie - dingk-vingerafdrukscans, retinascans, harthandtekeningen, enzovoort - tellen als iets dat u zijn? Yubico YubiKeys en hun soortgenoten zijn iets voor jou hebben?
Het gebruik van twee factoren uit deze lijst van drie geeft meer zekerheid dat u bent wie u zegt dat u bent en dat u bevoegd bent om toegang te krijgen tot datgene waartoe u toegang probeert te krijgen.
Het is ook moeilijker voor slechteriken om te breken.
Een aanvaller kan uw wachtwoord van het Dark Web kopen, maar hij zal waarschijnlijk ook uw beveiligingssleutel niet kunnen bemachtigen.
De authenticatie die door 2FA wordt geboden, is ook kortstondig: het werkt maar één keer, en meestal maar voor een beperkte tijd, voor extra veiligheid.
Deze recensie kijkt voornamelijk naar hardware 2FA, maar er zijn veel manieren om een ??tweede factor toe te voegen.
Veel sites sturen u codes via sms om uw identiteit te verifiëren.
Apps zoals Duo (gratis bij Duo) en Authy vertrouwen op pushmeldingen die (in theorie) moeilijker te onderscheppen zijn dan sms-berichten.
Of u nu kiest voor een hardware- of softwareoplossing of een combinatie van beide, voeg 2FA toe waar u maar kunt.
Toen Google intern 2FA-sleutels implementeerde, zag het succesvolle accountovernames terugvallen tot nul.
Het is zo goed.
[embed]https://www.youtube.com/watch?v=AMOtB7XkTT4[/embed]
De vele smaken van YubiKey
Yubico heeft altijd verschillende maten en variaties van zijn beveiligingssleutels aangeboden om aan vrijwel elke behoefte te voldoen.
Dit is geweldig, omdat consumenten en IT-professionals precies kunnen krijgen wat ze nodig hebben tegen verschillende prijzen.
Het nadeel is dat het bladeren door de Yubico-winkel een vaak overweldigende ervaring is.
Ik zal mijn best doen om de basis samen te vatten.
Er zijn vier soorten YubiKey 5-serie-apparaten, waaronder de $ 45 YubiKey 5 NFC die hier wordt besproken, evenals drie andere vormfactoren: de $ 50 YubiKey 5 Nano, de $ 50 YubiKey 5C en de $ 60 YubiKey 5C Nano.
De 5 NFC is de enige YubiKey die draadloze communicatie biedt, maar daarnaast is het enige verschil tussen deze apparaten de grootte, prijs en USB-connector.
De twee Nano-apparaten zijn de kleinste apparaten in de groep en nestelen zich in uw USB-A- of USB-C-sleuven, gemakkelijk binnen handbereik als u ze vaak nodig hebt.
De YubiKey 5C maakt gebruik van een USB-C connector, is iets kleiner dan de 5 NFC, en kan naast de 5 NFC aan je sleutelbos hangen; het ontbreekt aan draadloze communicatie.
U kunt echter de YubiKey 5C of 5C Nano rechtstreeks op uw Android-apparaat aansluiten.
Wat de YubiKey 5-serie onderscheidt van de concurrentie, is niet alleen de verscheidenheid aan vormfactoren.
Deze apparaten zijn echte Zwitserse zakmessen voor digitale beveiliging.
Elke kaart kan functioneren als een smartcard (PIV), kan eenmalige wachtwoorden genereren, ondersteunt zowel OATH-TOTP als OATH-HOTP en kan worden gebruikt voor verificatie op vraag en antwoord.
Alle vier de apparaten ondersteunen drie cryptografische algoritmen: RSA 4096, ECC p256 en ECC p384.
Deze apparaten kunnen in zoveel verschillende rollen passen, vaak tegelijkertijd, op voorwaarde dat u weet wat u doet.
Hoewel de YubiKey 5 NFC de focus is van deze review, heb ik de YubiKey 4 Series-apparaten in het verleden getest, en deze zijn fysiek identiek aan de USB-C- en Nano-varianten van de YubiKey 5 Series.
Ze zijn allemaal goed gemaakt, bekleed met zwart plastic dat slijtage verbergt, en uitgerust met verborgen groene LED's om u te laten weten dat ze verbonden zijn en functioneren.
De USB-A-apparaten hebben een gouden strip of schijf waarop u tikt, afhankelijk van de grootte van het apparaat.
De USB-C-apparaten hebben ondertussen twee kleine metalen lipjes waarop u tikt om te verifiëren.
Het USB-A Nano-apparaat is moeilijker te verwijderen uit een sleuf dan het USB-C Nano-apparaat, maar de USB-A Nano YubiKey heeft een klein gaatje, zodat het kan worden opgehangen aan een touwtje of koord, terwijl de USB-C Nano doet niet.
Welk YubiKey-apparaat u aanschaft, hangt grotendeels af van de context waarin u het wilt gebruiken.
De Nano-apparaten zijn handig als u van plan bent ze met een vertrouwde computer te gebruiken en u weet dat u de YubiKey vaak moet gebruiken.
De sleutels van normaal formaat zijn beter om aan een sleutelring te hangen en binnen handbereik te houden.
Hands-on met de YubiKey 5 NFC
Om je op weg te helpen, heeft Yubico een handige gids gemaakt voor nieuwe gebruikers.
Kies gewoon het YubiKey-apparaat dat je hebt en de site toont een lijst met alle plaatsen en contexten waar je je YubiKey kunt gebruiken.
Sommige hiervan linken rechtstreeks naar de onboardingpagina van een site of service, terwijl andere instructies bevatten die u zelf moet volgen.
Het instellen van de YubiKey als een U2F-tweede factor is heel eenvoudig.
Volg de instructies van de site of service en steek de YubiKey in de juiste sleuf wanneer daarom wordt gevraagd.
Tik gewoon op de gouden schijf (of metalen lipjes, afhankelijk van het model) en de service registreert uw sleutel.
De volgende keer dat u zich aanmeldt, voert u uw wachtwoord in en wordt u gevraagd uw sleutel in te voeren en op te tikken.
Dat is het!
Dashlane, Google en Twitter zijn enkele van de vele sites die U2F ondersteunen en YubiKey 5-serie-apparaten accepteren.
Tijdens mijn tests heb ik het als een tweede factor voor een Google-account aangemeld.
Toen ik me aanmeldde op een desktopcomputer, heb ik mijn inloggegevens ingevoerd en vervolgens vroeg Google me om mijn beveiligingssleutel in te voeren en erop te tikken.
Dat is geen probleem, al moest ik wel de Chrome-browser gebruiken om in te loggen.
Op mijn Android-apparaat is het proces net zo eenvoudig.
Bij het testen van het inloggen heb ik mijn inloggegevens ingevoerd en toen werd ik op mijn telefoon gevraagd mijn beveiligingssleutel te gebruiken.
Ik koos NFC uit een menu onderaan en sloeg de 5 NFC tegen de achterkant van mijn telefoon.
Het kostte nogal wat pogingen, maar uiteindelijk zoemde de telefoon bevestigend en was ik ingelogd.
De YubiKey 5-serie kan u op een aantal manieren authenticeren, niet alleen via U2F.
Met LastPass, bijvoorbeeld, registreert u de YubiKey om eenmalige wachtwoorden te genereren (met name op HMAC gebaseerde eenmalige wachtwoorden, maar ik gebruik OTP voor beknoptheid) met een tik.
Dit verschilt van U2F maar voelt in de praktijk erg op elkaar.
Log in op LastPass, navigeer naar het betreffende deel van het menu Instellingen, klik op het tekstveld en tik op YubiKey.
Er komt een reeks letters uit, en dat is alles! Als u zich nu wilt aanmelden bij LastPass, wordt u gevraagd om uw YubiKey in te pluggen zodat deze meer OTP's uitspuugt.
De meesten van jullie zijn waarschijnlijk bekend met Google Authenticator, een app die elke 30 seconden zescijferige toegangscodes genereert.
Deze technologie wordt, meer in het algemeen, Time-based One-time Passwords (TOTP's) genoemd en het is een van de meest gebruikte formulieren voor 2FA die tegenwoordig worden gebruikt.
Samen met een bijbehorende desktop- of mobiele app geeft Yubico een interessante draai aan het TOTP-systeem.
Sluit uw YubiKey aan, start de Yubico Authenticator-app en ga naar een site die Google Authenticator of een vergelijkbare service ondersteunt.
Om een ??Google-account te beveiligen, klikte ik bijvoorbeeld op de optie om een ??nieuwe telefoon in te schrijven met de authenticator-app.
Op dit punt verschijnt meestal een QR-code en de site vraagt ??u om deze te scannen met de juiste authenticator-app.
In plaats daarvan heb ik een menuoptie in de Yubico Authenticator-desktop-app geselecteerd en de QR-code van mijn scherm vastgelegd.
Na nog een paar klikken begon de app elke 30 seconden unieke zescijferige codes te verstrekken.
De truc is dat de Yubico-app geen TOTP's kan genereren zonder de YubiKey.
In plaats van de inloggegevens op te slaan die nodig zijn om die codes op uw computer te maken, slaat de Yubico Authenticator die gegevens rechtstreeks op uw YubiKey op.
Trek het eruit en de Authenticator-app kan geen nieuwe TOTP's maken.
Dat is handig als u zich zorgen maakt dat iemand het apparaat steelt dat u gebruikt om uw TOTP's te genereren.
Je kunt je YubiKey ook vergrendelen met een wachtwoord, dus zelfs als het van je werd gestolen, kon het niet worden gebruikt voor het genereren van TOTP's.
Yubico biedt ook een TOTP-genererende Android-app die werkt met de YubiKey 5 NFC, om je TOTP's mee op pad te nemen.
Wanneer je de app opent, is deze leeg, maar sla je 5 NFC tegen de achterkant en hij begint codes te genereren.
Sluit de app en de codes verdwijnen; je moet opnieuw op de 5 NFC tikken.
Dat is minder handig dan het opslaan van de informatie in de app zelf, maar veel veiliger.
Dit waren de scenario's waar ik naar keek, maar de YubiKey 5-serie kan veel meer.
U kunt het gebruiken als een smartcard om in te loggen op mijn desktopcomputer.
U kunt het gebruiken om in te loggen op SSH-servers.
U kunt zelfs een PGP-sleutel genereren en vervolgens de YubiKey gebruiken om te ondertekenen of te verifiëren.
Eerlijk gezegd was het al moeilijk genoeg om mijn hoofd om de TOTP-toetsen te wikkelen.
Hoewel Yubico veel documentatie en drie aparte desktop-apps heeft (en nog drie mobiele apps), is het erg moeilijk om elk facet van de YubiKey te gebruiken zonder een flinke dosis bestaande kennis.
Yubico heeft een website geïmplementeerd om klanten te informeren over waar ze hun sleutel voor kunnen gebruiken en om hen naar de nodige informatie te leiden.
Die begeleiding is geweldig, maar het is slechts begeleiding, niet het vasthouden van de hand dat gewoonlijk wordt geboden door technische producten.
Het gebruik van uw YubiKey voor U2F is ook heel eenvoudig, maar het meeste uit uw YubiKey halen is niet gemakkelijk voor een beginneling - of zelfs voor een beveiligingsjournalist.
YubiKeys versus de Google Titan-beveiligingssleutel
Yubico heeft voor zowat elke situatie een oplossing met de YubiKey 5 Serie, maar de kosten zijn een probleem.
Elk afzonderlijk apparaat kost tussen $ 40 en $ 60 voor slechts één YubiKey.
De Titan-beveiligingssleutelbundel van Google biedt daarentegen twee apparaten voor $ 50: een USB-A-sleutel en een Bluetooth / Micro USB-sleutelhanger.
Dat geeft je meteen een reserve.
Op de...
