USB Dongle für 2FA (Bitwarden)

[GlockMane88]

Hey Leute,

ich würde gerne den zweiten Faktor bei Bitwarden etwas einfacher und möglicherweise auch sicherer gestalten, als mit Authy und meinem Smartphone, zumal ich mich ja auf dem selben Smartphone auch bei Diensten einlogge und dann beide Faktoren auf dem selben Gerät sind.

Nun habe ich neulich schon die Aktion bei YubiKey verfolgt, hatte aber zu der Zeit Bitwarden erst getestet und nun kosten die Dinger wieder richtig Kohle..

Jetzt bin ich auf Token2 gestoßen, z.B. diesen hier:

https://www.token2.com/shop/product/token2-t2f2-typec-fido2-and-u2f-security-key

Könnt ihr mir sagen, was der Unterschied ist? Der preisliche Unterschied ist ja stattlich und der verlinkte kann z.B. U2F und WebAuthn, beides von Bitwarden unterstützt..

Vielen Dank!

 

[n8mahr]

Naja, du hast es ja schon selbst gesagt - er unterstützt weniger Protokolle und ist damit nicht überall verwendbar, wo der yubikey passt.

Dann hat der yubikey noch das touch-feld, was unbeabsichtigte auslösung verhindert, und der kann updates erhalten etc pp..
yubikey ist "mächtiger", aber der token2 sollte es auch tun, da er die für bitwarden relevanten protokolle unterstützt.

PS: nutze selbst yubikey, aber sehe jetzt nicht, warum man nicht erstmal andere keys nutzen sollte. kaufe aber auf jeden fall mindestens zwei, ohne backup ists alles essig

 

[GlockMane88]

@n8mahr

Jetzt wo du es sagst, der von mir verlinkte hat ja gar nichts um einen Vorgang zu bestätigen..

Hier schaut es so aus, als ob er einen Button hätte, allerdings finde ich keine Info dazu.. Ob der Button dann gedrückt werden muss, um einen Login zu bestätigen? Das wäre ja nach meiner Auffassung ein relativ wichtiges Feature, wenn man das Teil während einer längeren Computer-Session nicht ständig ab und wieder anstecken möchte..

https://www.token2.com/shop/product/token2-t2f2-alu-fido2-u2f-totp-security-key

Ergänzung (23. Mai 2022)

Zudem hat man dann einen Token um Bitwarden abzusichern, aber was macht man mit den anderen Diensten, die man auch besser mit 2FA absichern sollte und man kein Smartphone mit Authy o.Ä. verwenden möchte?

Einen weiteres Gerät kaufen, wie dieses hier?

https://www.token2.com/shop/product/molto-2-v2-multi-profile-totp-programmable-hardware-token

Wie macht ihr das denn bei euch?

 

[n8mahr]

wieso, du kannst doch den schlüssel auch mit anderen diensten verknüpfen? die sicherheit ist doch, dass man den schlüssel (oder eben den backup-schlüssel) braucht, sonst kommt man nicht ran. ich persönlich sehe (derzeit) kein problem darin, einen schlüssel bei mehreren diensten zu verwenden.

das von dir verlinkte gerät ist ein totp generator, also quasi eine "authenticator app" in hardware gegossen, das ist noch mal was anderes als ein schlüssel.

der von dir verlinkte t2f2 alu hat einen knopf und da steht auch in der beschreibung was von "touch to authenticate".. von daher..

 

[BrollyLSSJ]

Interessant. Ich kannte Token2 noch nicht. Danke für die Erwähnung. Da ich die nicht kannte, habe ich mal gegooglet und bin auf ein deutsches ThinkPad Forum gestoßen. Dort werden, neben YubiKey und Token2, noch weitere Hardware Token genannt. Als Open Source Variante wurden dort SoloKeys und NitroKey (NitroKey kommt aus Berlin) genannt, wobei NitroKey sogar auf Open Hardware basiert. Die beiden Firmen unterstützen je nach Modell auch Fido U2F. Sind also eventuell auch Alternativen.

 

[GlockMane88]

@n8mahr

Also würde das wie folgt aussehen:

1) Stick anstecken
2) Bitwarden mit Passwort entsperren und mit Button-Klick auf dem Stick bestätigen
3) Passwort auf Webseite mit Bitwarden ausfüllen und dort ebenfalls mit Button-Klick auf dem Stick bestätigen

Ist das so korrekt?

@BrollyLSSJ

Danke, hatte ich auch schon gehört, aber da man auch mehrere davon braucht und wenn man nicht alleine ist noch mehr finde ich die Preise bei token2 noch am humansten..

 

[n8mahr]

@GlockMane88 ja, sollte so aussehen, ja.
wobei ich dir für bitwarden empfehlen kann, den yubikey für die erstmalige öffnung auf neuen geräten zu verwenden und ab dann einen fingerabdruck-sensor mit windows hello verknüpfen. nutze am pc dafür den kensington verimark it

 

[GlockMane88]

@n8mahr

Okay, allerdings suche ich nach einer einheitlichen Lösung für Android, Chromebook und Windows PC..

 

[n8mahr]

@n8mahr

Okay, allerdings suche ich nach einer einheitlichen Lösung für Android, Chromebook und Windows PC..

ja, yubikey oder anderen tokenkey zum "harten" entsperren, ab dann mit fingerabdruck. sollte auf jedem gerät möglich sein.
steht dir natürlich frei, den key nicht nur für die einrichtung / hartes entsperren , sondern auch für den täglichen login zu nutzen. MIR persönlich ist das zu umständlich, aber probiere es einfach aus.

 

[BrollyLSSJ]

Preise bei token2 noch am humansten

Das stimmt. Ist echt günstig.

 

[GlockMane88]

Teste jetzt auch mal DUO, ist etwas hakelig einzurichten, aber nun kann ich mich bei Bitwarden einloggen und bekomme eine Push-Benachrichtigung aufs Smartphone, mit der ich den Login bestätigen kann..

 

[BrollyLSSJ]

Teste jetzt auch mal DUO

Die hatte ich auch gefunden, aber die wurden im Vergleich zu Yubikey zumindest etwas negativ gesehen im Sinne von, dass man die nicht offline nutzen kann (alles andere soll ähnlich wunderbar oder besser als mit dem Yubikey laufen). Kannst du eventuell testen, ob das stimmt? Also nicht offline nutzbar?

 

[GlockMane88]

@BrollyLSSJ

Geht wohl tatsächlich nicht, dachte er bietet dann wenigstens eine SMS Option an, macht er aber nicht.. Dass er die Push-Nachricht ohne Internet am Telefon nicht senden kann, ist ja klar.. Allerdings kann man dann unterhalb dem Cancel Button auf eine andere Methode wie Authy umschalten.. Ich denke am Ende wird es für mich eh auf einen USB Dongle hinauslaufen, ist denke ich einfach sicherer als mein Alltagssmartphone und ein weiteres Smartphone ist mir zu sperrig.. Aber für den Moment ist es eine praktische Geschichte und ich bin ja eh noch in der Experimentierphase..

Was ich gerade noch installiert habe:

https://github.com/anonymous1184/bitwarden-autotype

Das ist nämlich aktuell das einzige, was mir bei Bitwarden im Vergleich zu KeePass fehlt und das Autotype wurde quasi von KeePass "ausgeliehen" und funktioniert auch mit Webseiten inkl. Autotype Obfuscation.

 

[BrollyLSSJ]

Geht wohl tatsächlich nicht

Danke für den Test. Bei reddit klang es so, als wenn es diese DUO auch als USB Dongle gibt und die ebenfalls nicht offline nutzbar sind. Daher die Frage, ob du es testen kannst. Aber laut deren Website sieht es so aus, als wenn man Yubikey und Co. mit DUO nutzen kann.