YubiKey am Smartphone

[enrico]

Wenn man mit einem kompromittierten PC,
auf eine Webseite eingeloggt ist,
z.B. web.de/mail ist doch alles unsicher in dem Account auf der Seite?
Möglich wäre wohl, von einem Angreifer, Trojaner... eine E-Mail von dort abzusenden?
Wenn ich mit der Sitzung fertig bin und mich auslogge,
ist denn der Account auf der Webseite wieder sicher?
Vorausgesetzt man wird während der Sitzung nicht auf eine Kopie der Seite Umgeleitet,
also es kommt einem nur so vor als hätte man sich ausgeloggt,
und die Sicherheitseinstellungen der Seite wurden nicht deaktiviert.

 

[Toms]

Vermutlich würden die Angreifer aber mittels Keylogger Nutzername und Passwort ausgespäht haben

 

[enrico]

Das wäre egal, wenn die Webseite und ich den Zugang mittels YubiKey verschlossen haben.
Ein Angreifer kann nicht auf den YoubiKey drücken um diesen Kryptografischen Code zu senden.

Die Frage ist, in wie weit kann ein Angreifer Schaden anrichten.
Und ist der Account sicher wenn ich auslogge,
und während der Sitzung wurden die Sicherheitseinstellungen nicht deaktiviert.

Klar am sichersten ist es wohl von einem schreibgeschützten jungfräulichen (linux-liveCD) System aus zu arbeiten.
Aber ich möchte auch mal schnell mal zwischen durch vom Smartphone oder Tablet Zugang.

 

[Forum-Fraggle]

Ist zwar etwas her und ich bin wegen einer anderen Frage hier gelandet, aber vorsichtshalber hier mal was ergänzend gesagt:

Das wäre egal, wenn die Webseite und ich den Zugang mittels YubiKey verschlossen haben.
Ein Angreifer kann nicht auf den YoubiKey drücken um diesen Kryptografischen Code zu senden.

trifft nur zu, wenn es sich um ein One Time Password handelt. Wird ein statisches Paßwort auf dem Yubikey verwendet, kann es per Keylogger ausgelesen werden.

 

[enrico]

Ist zwar etwas her und ich bin wegen einer anderen Frage hier gelandet, aber vorsichtshalber hier mal was ergänzend gesagt:

trifft nur zu, wenn es sich um ein One Time Password handelt. Wird ein statisches Paßwort auf dem Yubikey verwendet, kann es per Keylogger ausgelesen werden.

Ist immer ein anderes Ergebnis zu sehen, wenn den Yubikey betätigte.

 

[Forum-Fraggle]

Ok, dann nutzt Du die OTP Funktion.

 

[enrico]

Kann sein.
Was auch immer das bedeutet.
Auf jeden Fall benutze ich Bankix + yubikey.