Passwörter waren seit ihrer Einführung die Schwachstelle der Sicherheit.
Zum Glück ist der Yubico YubiKey 5 NFC hier, um unsere wichtigsten Konten und vieles mehr zu schützen.
Die fünfte Generation des YubiKey unterstützt FIDO U2F für eine sichere Zweitfaktorauthentifizierung und verwendet NFC für die Arbeit mit Ihrem Telefon.
Aber das ist erst der Anfang dessen, was dieses bemerkenswert leistungsstarke und bemerkenswert kleine Gerät leisten kann.
Wenn Sie nur nach einer einfachen U2F-Hardwareoption suchen, ist der YubiKey 5 NFC wahrscheinlich übertrieben - ziehen Sie stattdessen den günstigeren Sicherheitsschlüssel von Yubico oder die Google Titan-Sicherheitsschlüssel in Betracht.
Aber wenn Sie bereits in Sicherheitsfragen versunken sind, werden Sie das Angebot des 5 NFC lieben.
Ehrliche, objektive Bewertungen
Daxdi.com ist eine führende Technologiebehörde und liefert Labs-basierte, unabhängige Überprüfungen der neuesten Produkte und Dienstleistungen.
Unsere Branchenanalysen und praktischen Lösungen helfen Ihnen, bessere Kaufentscheidungen zu treffen und mehr aus der Technologie herauszuholen.
Funktionsweise der Zwei-Faktor-Authentifizierung
Mit einem Hardware-Sicherheitsschlüssel wie dem YubiKey können Sie zwar viel tun, seine Hauptaufgabe ist jedoch ein zweiter Authentifizierungsfaktor.
In der Praxis bedeutet die Zwei-Faktor-Authentifizierung (2FA), dass Sie nach Eingabe Ihres Kennworts eine zweite Aufgabe ausführen müssen, um zu beweisen, dass Sie es sind.
Die Theorie hinter 2FA kombiniert jedoch zwei verschiedene Authentifizierungssysteme aus einer Liste von drei:
- Etwas, das du weißt,
- Etwas, das du hast, oder
- Etwas was du bist.
Zum Beispiel: Ein Passwort ist etwas, das Sie kennt, und es sollte nur in Ihrem Kopf (oder in einem Passwort-Manager) existieren.
Biometrie - Dingk-Fingerabdruck-Scans, Retina-Scans, Herzsignaturen usw.
- zählt als etwas, das Sie tun sind.
Yubico YubiKeys und ihre Art sind etwas, was Sie haben.
Die Verwendung von zwei Faktoren aus dieser Dreierliste bietet eine größere Sicherheit dafür, dass Sie der sind, von dem Sie sagen, dass Sie es sind, und dass Sie die Berechtigung haben, auf das Objekt zuzugreifen, auf das Sie zugreifen möchten.
Es ist auch schwieriger für böse Jungs zu brechen.
Ein Angreifer kann Ihr Passwort im Dark Web kaufen, aber er wird wahrscheinlich auch nicht in der Lage sein, Ihren Sicherheitsschlüssel zu erhalten.
Die von 2FA bereitgestellte Authentifizierung ist ebenfalls kurzlebig: Sie funktioniert nur einmal und normalerweise nur für eine begrenzte Zeit, um die Sicherheit zu erhöhen.
Diese Überprüfung befasst sich hauptsächlich mit Hardware 2FA, aber es gibt viele Möglichkeiten, einen zweiten Faktor hinzuzufügen.
Viele Websites senden Ihnen Codes per SMS, um Ihre Identität zu überprüfen.
Apps wie Duo (Free at Duo) und Authy basieren auf Push-Benachrichtigungen, die (theoretisch) schwerer abzufangen sind als SMS-Nachrichten.
Unabhängig davon, ob Sie sich für eine Hardware- oder Softwarelösung oder eine Mischung aus beiden entscheiden, fügen Sie 2FA hinzu, wo immer Sie können.
Als Google 2FA-Schlüssel intern bereitstellte, fielen erfolgreiche Kontoübernahmen auf Null.
Es ist so gut.
[embed]https://www.youtube.com/watch?v=AMOtB7XkTT4[/embed]
Die vielen Aromen von YubiKey
Yubico hat immer verschiedene Größen und Variationen seiner Sicherheitsschlüssel angeboten, um nahezu jedem Bedarf gerecht zu werden.
Das ist großartig, denn Verbraucher und IT-Experten können zu unterschiedlichen Preisen genau das bekommen, was sie brauchen.
Der Nachteil ist, dass das Stöbern im Yubico Store eine häufig überwältigende Erfahrung ist.
Ich werde mein Bestes geben, um die Grundlagen zusammenzufassen.
Es gibt vier Varianten von Geräten der YubiKey 5-Serie, darunter das hier getestete YubiKey 5 NFC im Wert von 45 USD sowie drei weitere Formfaktoren: das YubiKey 5 Nano im Wert von 50 USD, das YubiKey 5C im Wert von 50 USD und das YubiKey 5C Nano im Wert von 60 USD.
Der 5 NFC ist der einzige YubiKey, der drahtlose Kommunikation bietet.
Abgesehen davon besteht der einzige Unterschied zwischen diesen Geräten in Größe, Preis und USB-Anschluss.
Die beiden Nano-Geräte sind die kleinsten Geräte in der Gruppe und befinden sich in Ihren USB-A- oder USB-C-Steckplätzen.
Sie sind leicht zu erreichen, wenn Sie sie häufig benötigen.
Der YubiKey 5C verwendet einen USB-C-Anschluss, ist etwas kleiner als der 5 NFC und kann neben dem 5 NFC an Ihrem Schlüsselbund hängen.
Es fehlt die drahtlose Kommunikation.
Sie können jedoch entweder den YubiKey 5C oder den 5C Nano direkt an Ihr Android-Gerät anschließen.
Was den YubiKey 5 Series von der Konkurrenz abhebt, ist nicht nur die Vielfalt der Formfaktoren.
Diese Geräte sind echte digitale Sicherheitsmesser der Schweizer Armee.
Jeder kann als Smart Card (PIV) fungieren, Einmalkennwörter generieren, sowohl OATH-TOTP als auch OATH-HOTP unterstützen und für die Challenge-Response-Authentifizierung verwendet werden.
Alle vier Geräte unterstützen drei kryptografische Algorithmen: RSA 4096, ECC p256 und ECC p384.
Diese Geräte können oft gleichzeitig in so viele verschiedene Rollen passen - vorausgesetzt, Sie wissen, was Sie tun.
Während der YubiKey 5 NFC im Mittelpunkt dieses Tests steht, habe ich in der Vergangenheit die Geräte der YubiKey 4-Serie getestet, die physikalisch mit den USB-C- und Nano-Varianten der YubiKey 5-Serie identisch sind.
Alle sind gut verarbeitet, mit schwarzem Kunststoff verkleidet, der Verschleiß verbirgt, und mit versteckten grünen LEDs ausgestattet, um Sie darauf aufmerksam zu machen, dass sie angeschlossen sind und funktionieren.
Die USB-A-Geräte haben je nach Größe des Geräts entweder einen goldenen Streifen oder eine Festplatte, auf die Sie tippen.
Die USB-C-Geräte verfügen über zwei winzige Metalllaschen, auf die Sie zur Authentifizierung tippen.
Das USB-A Nano-Gerät ist schwerer aus einem Steckplatz zu entfernen als das USB-C Nano-Gerät, aber der USB-A Nano YubiKey hat ein winziges Loch, sodass er während des USB-C Nano an einer Schnur oder einem Kabel aufgehängt werden kann nicht.
Welches YubiKey-Gerät Sie kaufen, hängt weitgehend davon ab, in welchem ??Kontext Sie es verwenden möchten.
Die Nano-Geräte sind nützlich, wenn Sie sie mit einem vertrauenswürdigen Computer verwenden möchten und wissen, dass Sie häufig auf den YubiKey zugreifen müssen.
Die Schlüssel in voller Größe eignen sich besser zum Aufhängen an einem Schlüsselring und zum Halten in der Nähe.
Mit dem YubiKey 5 NFC zum Anfassen
Um Ihnen den Einstieg zu erleichtern, hat Yubico einen praktischen Leitfaden für neue Benutzer erstellt.
Wählen Sie einfach das YubiKey-Gerät aus, das Sie haben, und die Site zeigt eine Liste aller Orte und Kontexte an, die Sie mit Ihrem YubiKey verwenden können.
Einige dieser Links verweisen direkt auf die Onboarding-Seite einer Website oder eines Dienstes, während andere Anweisungen enthalten, denen Sie selbst folgen müssen.
Das Einrichten des YubiKey als zweiten U2F-Faktor ist sehr einfach.
Befolgen Sie die Anweisungen der Site oder des Dienstes und stecken Sie den YubiKey in den entsprechenden Steckplatz ein, wenn Sie dazu aufgefordert werden.
Tippen Sie einfach auf die goldene Scheibe (oder die Metalllaschen, je nach Modell), und der Dienst registriert Ihren Schlüssel.
Wenn Sie sich das nächste Mal anmelden, geben Sie Ihr Passwort ein und werden aufgefordert, Ihren Schlüssel einzugeben und auf zu tippen.
Das ist es!
Dashlane, Google und Twitter sind einige der vielen Websites, die U2F unterstützen und Geräte der YubiKey 5-Serie akzeptieren.
Bei meinen Tests habe ich es als zweiten Faktor für ein Google-Konto registriert.
Bei der Anmeldung an einem Desktop-Computer habe ich meine Anmeldeinformationen eingegeben und Google hat mich aufgefordert, meinen Sicherheitsschlüssel einzufügen und darauf zu tippen.
Das ist kein Problem, obwohl ich den Chrome-Browser verwenden musste, um mich anzumelden.
Auf meinem Android-Gerät ist der Vorgang genauso einfach.
Beim Anmelden beim Testen habe ich meine Anmeldeinformationen eingegeben und mein Telefon hat mich aufgefordert, meinen Sicherheitsschlüssel zu verwenden.
Ich habe NFC aus einem Menü unten ausgewählt und dann die 5 NFC gegen die Rückseite meines Telefons geschlagen.
Es dauerte einige Versuche, aber irgendwann summte das Telefon positiv und ich war eingeloggt.
Die YubiKey 5-Serie kann Sie auf verschiedene Arten authentifizieren, nicht nur über U2F.
Mit LastPass registrieren Sie beispielsweise den YubiKey, um mit einem Fingertipp Einmalkennwörter (insbesondere HMAC-basierte Einmalkennwörter, aber ich werde der Kürze halber OTP verwenden) zu generieren.
Dies unterscheidet sich von U2F, aber in der Praxis fühlt es sich sehr ähnlich an.
Melden Sie sich bei LastPass an, navigieren Sie zum entsprechenden Teil des Einstellungsmenüs, klicken Sie auf das Textfeld und tippen Sie auf den YubiKey.
Eine Reihe von Buchstaben spuckt aus, und das war's! Wenn Sie sich jetzt bei LastPass anmelden möchten, werden Sie aufgefordert, Ihren YubiKey anzuschließen, damit er weitere OTPs ausspuckt.
Die meisten von Ihnen kennen wahrscheinlich Google Authenticator, eine App, die alle 30 Sekunden sechsstellige Passwörter generiert.
Diese Technologie wird allgemein als zeitbasierte Einmalkennwörter (TOTPs) bezeichnet und ist eine der häufigsten Formen für 2FA, die heute verwendet werden.
Zusammen mit einem begleitenden Desktop oder einer mobilen App verleiht Yubico dem TOTP-System eine interessante Wendung.
Schließen Sie Ihren YubiKey an, starten Sie die Yubico Authenticator-App und navigieren Sie zu einer Website, die Google Authenticator oder einen ähnlichen Dienst unterstützt.
Um beispielsweise ein Google-Konto zu sichern, habe ich auf die Option zum Registrieren eines neuen Telefons bei der Authentifizierungs-App geklickt.
An dieser Stelle wird normalerweise ein QR-Code angezeigt, und die Site fordert Sie auf, ihn mit der entsprechenden Authentifizierungs-App zu scannen.
Stattdessen habe ich in der Yubico Authenticator-Desktop-App eine Menüoption ausgewählt, die den QR-Code von meinem Bildschirm erfasst.
Nach einigen weiteren Klicks stellte die App alle 30 Sekunden eindeutige sechsstellige Codes bereit.
Der Trick ist, dass die Yubico-App ohne den YubiKey keine TOTPs generieren kann.
Anstatt die zum Erstellen dieser Codes erforderlichen Anmeldeinformationen auf Ihrem Computer zu speichern, speichert der Yubico Authenticator diese Daten direkt auf Ihrem YubiKey.
Ziehen Sie es heraus, und die Authenticator-App kann keine neuen TOTPs erstellen.
Dies ist praktisch, wenn Sie sich Sorgen machen, dass jemand das Gerät stiehlt, mit dem Sie Ihre TOTPs generieren.
Sie können Ihren YubiKey auch mit einem Passwort sperren.
Selbst wenn er Ihnen gestohlen wurde, kann er nicht zum Generieren von TOTPs verwendet werden.
Yubico bietet auch eine TOTP-generierende Android-App an, die mit dem YubiKey 5 NFC zusammenarbeitet, um Ihre TOTPs auf Reisen zu bringen.
Wenn Sie die App öffnen, ist sie leer, aber schlagen Sie Ihre 5 NFC gegen die Rückseite und es beginnt, Codes zu generieren.
Beenden Sie die App und die Codes verschwinden.
Sie müssen erneut auf die 5 NFC tippen.
Das ist weniger bequem als das Speichern der Informationen in der App selbst, aber weitaus sicherer.
Dies waren die Szenarien, die ich mir angesehen habe, aber die YubiKey 5-Serie kann noch viel mehr.
Sie können es als Smartcard verwenden, um sich bei meinem Desktop-Computer anzumelden.
Sie können es verwenden, um sich bei SSH-Servern anzumelden.
Sie können sogar einen PGP-Schlüssel generieren und dann den YubiKey zum Signieren oder Authentifizieren verwenden.
Ehrlich gesagt war es jedoch schwierig genug, meinen Kopf nur um die TOTP-Schlüssel zu wickeln.
Obwohl Yubico über eine Vielzahl von Dokumentationen und drei separate Desktop-Apps (und drei weitere mobile Apps) verfügt, ist es sehr schwierig, jede Facette des YubiKey ohne ein gutes Wissen zu nutzen.
Yubico hat eine Website bereitgestellt, um Kunden darüber zu informieren, wofür sie ihren Schlüssel verwenden können, und um sie zu den erforderlichen Informationen zu führen.
Diese Anleitung ist großartig, aber es ist nur eine Anleitung, nicht das Händchenhalten, das normalerweise von technischen Produkten bereitgestellt wird.
Die Verwendung Ihres YubiKey für U2F ist ebenfalls sehr einfach, aber für einen Anfänger - oder sogar einen Sicherheitsjournalisten - ist es nicht einfach, das Beste aus Ihrem YubiKey herauszuholen.
YubiKeys gegen den Google Titan-Sicherheitsschlüssel
Yubico hat mit dem YubiKey 5 Series eine Lösung für nahezu jede Situation, aber ...
