2FA mit mit Hardware key

[Riccardo Fulmi]

Hallo,
ich würde gerne einige Applikationen durch einen zweiten Faktor absichern, idealerweise mit einem Hardwarekey wie z.B. Yubikey. Leider fällt es mir schwer abzuschätzen wie es mit meinen Anforderungen bzgl. Kompatibilität aussieht.

Zwingende Rahmenbedingungen:

• Keepass Datenbank per 2. Faktor entsperren (also master passwort + 2FA) unter
  • Windows 10/11 (derzeit das native Keepass)
  • MacOS (derzeit mit Macpass)
  • Android (derzeit Keepass2Android)
• USB-C

Nice-to-have:

• NFC
• Linux support
• Fingerprint support
• OS direkt mit entsperren (hier in erster Linie Windows)
• Online-Dienste entsperren (Google, Dropbox, etc.)

In erster Linie will ich also meine KeepassDB weiter absichern, um sich z.B. gegen Keylogger zu schützen. Insbesondere für MacOS habe ich auf die Schnelle keine Lösung gefunden.

Hat hier jemand Erfahrungen?

 

[konkretor]

Hier schon mal durch geschaut?

https://www.techradar.com/best/best-security-key


So viele Alternativen gibt es nicht meistens landest du bei Yubico

 

[Helge01]

Für den YubiKey in Verbindung mit KeePass benötigst du ein Plugin, mit KeePassXC geht das standardmäßig unter Linux, Mac und Windows.
Ich nutze für IOS Strongbox, aber Keepass2Android scheint auch mit dem YubiKey umgehen zu können. Hast du einen YubiKey mit NFC, dann funktioniert das mit dem Smartphone auch kontaktlos.

Online-Dienste gehen meist auch mit FIDO U2F, oder du speicherst die Keys von TOTP auf dem YubiKey.

Wichtig ist nur das du mindestens 2 identische YubiKeys hast, damit du dich bei einem Defekt oder Verlust nicht selbst aussperrst.

 

[Mickey Mouse]

Wichtig ist nur das du mindestens 2 identische YubiKeys hast, damit du dich bei einem Defekt oder Verlust nicht selbst aussperrst.

das klingt etwas verwirrend/missverständlich...
man braucht eine "Fallback" Lösung, das muss nicht ein identischer Stick sein.

 

[Helge01]

man braucht eine "Fallback" Lösung, das muss nicht ein identischer Stick sein.

So war das auch gemeint, ich nutze alle möglichen Ausführungen vom YubiKey. Die Daten sollten identisch sein.

 

[Riccardo Fulmi]

Für den YubiKey in Verbindung mit KeePass benötigst du ein Plugin, mit KeePassXC geht das standardmäßig unter Linux, Mac und Windows.
Ich nutze für IOS Strongbox, aber Keepass2Android scheint auch mit dem YubiKey umgehen zu können. Hast du einen YubiKey mit NFC, dann funktioniert das mit dem Smartphone auch kontaktlos.

Online-Dienste gehen meist auch mit FIDO U2F, oder du speicherst die Keys von TOTP auf dem YubiKey.

Wichtig ist nur das du mindestens 2 identische YubiKeys hast, damit du dich bei einem Defekt oder Verlust nicht selbst aussperrst.

Super, vielen Dank. Ich denke mit KeePassXC unter MacOS könnte ich mich anfreunden. Ich hatte es mal vor einer ganzen Weile ausprobiert und leider hat das Autotype damit nicht vernünftig nicht funktioniert. Aber darauf könnte ich nötigenfalls auch verzichten da ich MacOS inzwischen nicht mehr so häufig brauche.

FIDO U2F scheint das Standard-Protokoll zu sein?! TOTP habe ich noch nie gehört, was ist das?

Ergänzung (17. Oktober 2021)

So war das auch gemeint, ich nutze alle möglichen Ausführungen vom YubiKey. Die Daten sollten identisch sein.

Das ist also problemlos möglich unterschiedliche Yubikeys zu verwenden wovon einer (oder mehrere) jeweils als Fallback für die jeweils andere dienen?

Oder könnte man beispielsweise auch einfach zwei unterschiedliche parallel verwenden? Z.B. einen mit NFC für das Android und einen der neuen Bio-Serie mit Fingerprint für den Desktop?

 

[Mickey Mouse]

(T)OTP = Timebased/Temporary One Time Password
das wird einmal "konfiguriert" und dann wird immer ein nur kurzfristig gültiger Code errechnet. Das funktioniert mit Google/Microsoft Authenticator usw. Dafür braucht man aber keinen Yubikey, das kann KeepassXC alleine.

meines Wissens nach kann man nicht mehrere Yubikey für EINE Konfiguration nutzen (ich habe nur einen ). Du musst also für eine Anwendung mehrere Konfigurationen (jede mit dem jeweiligen Stick) anlegen.
da kann man dann aber auch genauso gut zusätzlich noch z.B. SMS als weiteren Faktor konfigurieren. Daher finde ich den Hinweis auf mehrere Yubikey so verwirrend (immer noch).

 

[Riccardo Fulmi]

(T)OTP = Timebased/Temporary One Time Password
das wird einmal "konfiguriert" und dann wird immer ein nur kurzfristig gültiger Code errechnet. Das funktioniert mit Google/Microsoft Authenticator usw. Dafür braucht man aber keinen Yubikey, das kann KeepassXC alleine.

Ah, ja sowas verwende ich bereits überall wo es unterstützt wird. Mit Authy. Wieder was gelernt, d.h. wenn meine Keepass-App auch TOTP unterstützt oder ein Plugin dafür existiert, dann kann ich diese Tokens auch direkt erzeugen lassen ohne, dass ich ne extra App wie Google Authentikator oder Authy benötige?

meines Wissens nach kann man nicht mehrere Yubikey für EINE Konfiguration nutzen (ich habe nur einen ). Du musst also für eine Anwendung mehrere Konfigurationen (jede mit dem jeweiligen Stick) anlegen.
da kann man dann aber auch genauso gut zusätzlich noch z.B. SMS als weiteren Faktor konfigurieren. Daher finde ich den Hinweis auf mehrere Yubikey so verwirrend (immer noch).

Okay, aber wenn ich jetzt als Fallback SMS einrichte, dann kann ich mir den Yubi-Zirkus doch gleich sparen oder nicht? Denn ein Angreifer könnte ja somit den Yubi gleich überspringen. Auf der Yubi-Seite wird ja auch empfohlen gleich einen zweiten Key zu bestellen um dem Verlust des ersten vorzubeugen.

 

[-Razzer-]

Der Anbieter muss mehrere Yubikeys unterstützen, da jeder ein eigenes Device ist, dann kannst du mehrere hinterlegen.

Normalerweise muss man ein Support Ticket erstellen, wenn der Yubikey nicht mehr erkannt wird oder verloren geht, ein Fallback auf SMS oder andere Authentifizierung ist dann nicht möglich - ergibt ja auch sonst keinen Sinn, dass man extra einen Hardware Key hat.

 

[Mickey Mouse]

kann man so oder so sehen...
auf jeden Fall bieten "die meisten" (alle mir bekannten) Dienste zusätzlich zum Yubikey immer noch andere Methoden an.
Beispiel: ich habe meinen Google Account mit dem Yubikey abgesichert. Wenn ich den aber nicht dabei habe (warum auch immer), dann kann ich mir auch eine SMS auf das Handy schicken lassen.
und man kann es natürlich auch genau anders herum sehen: falls das Handy/SIM kaputt/verloren geht, dann kann ich mich mit dem Yubikey einloggen.

genauso führt es natürlich das 2FA Konzept etwas ad absurdum, wenn man sein Passwort (erster Faktor) zusammen mit dem TPTP Setup im Keepass(XC) speichert...

alles Ansichtssache

 

[-Razzer-]

SMS ist das schwächste Authentifizierungsverfahren - wenn man damit bei dir den Yubikey umgehen kann, dann verstehe ich nicht wieso du überhaupt einen Hardware Key nutzt?