YubiKey Overkill?

[accountfuerdown]

Hallo zusammen,

in letzter Zeit habe ich mich verstärkt mit Sicherheit im Web außereiandergesetzt. Hier hattet ihr mir schon mal geholfen, in dem mir dankenswerterweise aufgezeigt wurde, dass VPN keine Sicherheit bringt.

Ich hatte in der Vergangenheit meine Passwörter etwas schlampig behandelt. Ich habe mir jetzt DashLane geholt und verwende nur noch sichere Passwörter. Des Weiteren erlaube ich den Zugriff auf Dashlane etc. nur mittels 2FA.

Ich würde gerne ein weiteres Sicherheitslevel hinzufügen! Ich möchte, dass DashLane und meine wichtigsten online Konten mittels YubiKey geschützt werden.

Ist dies zu empfehlen, oder ist das too much?

 

[tollertyp]

Ist dies zu empfehlen, oder ist das too much?

Musst du wissen, wie wichtig dir die Sicherheit ist. 2FA ist ja schon mal generell zu empfehlen. Da aber viele der von mir genutzten Seiten vermutlich gar keine YubiKey unterstützen, verzichte ich da dankbar. Hast du dich denn schon mal darüber schlau gemacht?

Also wenn du nur DashLane damit schützen willst, dann halte ich es für Overkill irgendwie, aber wie gesagt, das musst du wissen. Wenn ich halt noch die Bank-Anmeldung damit absichern könnte usw, dann würde ich schon eher darüber nachdenken.

Bietet DashLane nicht auch andere 2FA an, die dir sicher genug wären?

Offtopic:

dass VPN keine Sicherheit bringt.

Die Aussage würde ich so nicht stehen lassen. Es hängt auch hier davon ab. Aber einfach NordVPN zu nutzen, ne, das bringt nicht unbedingt Sicherheit.
Aber wenn du eine VPN-Verbindung zur Firma für Remote-Arbeit, oder du dich via VPN mit deinem lokalen Netz zuhause verbindest, dann bringt das schon Sicherheit. Aber egal.

 

[accountfuerdown]

Musst du wissen, wie wichtig dir die Sicherheit ist. 2FA ist ja schon mal generell zu empfehlen. Da aber viele der von mir genutzten Seiten vermutlich gar keine YubiKey unterstützen, verzichte ich da dankbar. Hast du dich denn schon mal darüber schlau gemacht?

Ja habe es mir grob durchgelesen und habe nur drei Use-Cases für mich gesehen.

1. Sichere Microsoft Account
2. Sichere Google Account
3. Sichere Dashlane

Weil diese 3 Accounts sind für mich die Wichtigsten und diese möchte ich so sicher wie möglich halten.
Die Frage, die mir stelle: Erhalte ich damit nur einen kleinen Benefit, aber der Aufwand wächst proportional oder wäre hier nochmal echt mehr Schutz gegeben? Meine größte Angst beim YubiKey ist, dass ich diesen verlieren könnte.

Die Aussage würde ich so nicht stehen lassen. Es hängt auch hier davon ab. Aber einfach NordVPN zu nutzen, ne, das bringt nicht unbedingt Sicherheit.

Da hast du sicherlich recht, aber ich meine für den privaten Einsatz: also das Internet surfen.

 

[andy_0]

Einige zentrale Systeme (der PC, Google Account, Passwort Manager) können sehr sinnvoll mit einem Hardwareschlüssel abgesichert werden. Damit stellst du z.B. sicher, dass jemand den Key hat UND zeitgleich physisch präsent ist (d.h. ein Angreifer über das Internet kann nicht so einfach Zugriff auf den Passwort Manager erhalten).

Es stellt sich halt die Frage nach dem "was ist wenn".:
Was machst du, wenn du den Yubikey verlierst? Wie greifst du auf X zu, wenn der Yubikey noch Zuhause ist? Wie häufig willst du den Zugriff mit dem Yubikey sichern?

Das sind Punkte wofür du Antworten finden musst. Wenn du dir die Fragen erst stellst, wenn es soweit ist, ist es zu spät.

 

[tollertyp]

Meinen MS-Account habe ich halt mit dem Microsoft Authenticator abgesichert. Diese Sicherheit reicht mir persönlich. Und dann ist halt die Frage, ob du nicht dein DashLane ähnlich absichern kannst.

Du müsstest den YubiKey halt vermutlich schon "ständig" mitführen (Reisen). Am Schlüsselbund wäre das also gut aufgehoben wohl? Mein Handy hab ich halt eh immer dabei eigentlich.

Edit: ich versuche nicht abzuraten, auch wenn es sich so anhört, aber du musst dir ja sicher sein, dass du es möchtest, deshalb bin ich etwas kritisch.

 

[Tenchi Muyo]

Gab es einen besonderen Grund warum Du Dich für Dashlane entschieden hattest?

Bitwaren bekommt man für 10$ im Jahr und wüsste gerne was Dash besser macht?
Danke

 

[accountfuerdown]

Es stellt sich halt die Frage nach dem "was ist wenn".:
Was machst du, wenn du den Yubikey verlierst? Wie greifst du auf X zu, wenn der Yubikey noch Zuhause ist? Wie häufig willst du den Zugriff mit dem Yubikey sichern?

Genau das sind meine zwei größten Bedenken beim Einsatz des Keys. Wenn ich ihn verliere oder zu Hause vergesse. Ich finde beide Szenarien nicht unrealistisch. Daher ja auch die Frage: Aufwand/Nutzen?

Aber von dem was ich weiß: muss ich eine alternative Authentifizierung anwenden in diesem Fall. Auch möchte ich ihn nicht immer mitschleppen. Daher hätte ich eher gesagt: ich hole mir keinen Key, wollte jedoch verschiedene Meinungen hören.

Ergänzung (14. August 2022)

Gab es einen besonderen Grund warum Du Dich für Dashlane entschieden hattest?

Bitwaren bekommt man für 10$ im Jahr und wüsste gerne was Dash besser macht?
Danke

Habe einfach in Tests gelesen, dass er mega simpel zu nutzen ist. Das war der einzige Grund. Da ich allgemein zwischen den ganzen Password-Managern keinen großen Unterschied gesehen habe.

 

[madmax2010]

Genau das sind meine zwei größten Bedenken beim Einsatz des Keys. Wenn ich ihn verliere oder zu Hause vergesse. Ich finde beide Szenarien nicht unrealistisch. Daher ja auch die Frage: Aufwand/Nutzen?

kauf 2 keys.
Richte wo immer es geht, 2 keys ein - oft kannst du nur einen als U2F und einen als TOTP quekke konfigurieren (mit faellt da gerade Paypal, Linkedin, und Amazon ein
Recovery codes bekommst du immer. Druck sie aus und hefte sie ab.

Gab es einen besonderen Grund warum Du Dich für Dashlane entschieden hattest?

Bitwaren bekommt man für 10$ im Jahr und wüsste gerne was Dash besser macht?
Danke

Auch bitwarden wuerde ich nur selfhosted trauen. Abgesehen von Marketinggebrabbel sagt Dashlane nichts substantielles dazu, wie sie die Daten ihrer Kunden verschluesseln. Ja, da steht was von AES, aber da sind keine Audits, sie sagen nciht welche Bibliotheken sie nutzen.. Ist fuer mich auf eienr Stufe mit password.txt in der Dropbox.. Ein einfaches "Yoo, wir nutzen libcrypt, schau, hier ist der quellcode und wir beweisen dir das" Wuerde mir schon fast reichen.

 

[Mickey Mouse]

also...
2FA per YubiKey macht wenig Sinn, wenn man parallel dazu einen "Notfaktor" aktiviert.

Beispiel: du sicherst deinen MS Account mit dem Yubikey ab, richtest aber "nebenbei" auch noch eine Wiederherstellung per SMS ein. Dann kann ein Angreifer eben genau darüber (SMS) ansetzen und der Yubikey nutzt dir GAR NIX!
WENN man die Sicherheit eines Yubikey (oder jedes andern Systems) ausnutzen möchte, dann muss es das EINZIGE System sein oder alle anderen müssen genauso sicher sein (das schwächste Glied der Kette ist entscheidend).
-> du brauchst mindestens zwei Yubikeys oder ein weiteres, sehr sicheres Verfahren!

und klar, der sicherste Key nutzt dir gar nichts, wenn du ihn nach Feierabend auf dem Schreibtisch liegen lässt!
was dann auch die Frage aufwirft: wo/wie bewahrst du den Reserve-Yubi auf (falls du dich für zwei entschieden hast)?

aus meiner Sicht sind Yubikeys sinnvoll, aber man muss die Sache auch wirklich komplett bis zu Ende durchdenken!

 

[Paddy0293]

Auch bitwarden wuerde ich nur selfhosted trauen.

Stimme ich voll zu, wenn du schon Wert auf Sicherheit legst

 

[accountfuerdown]

Ok, also zwei YubiKeys wären eine Möglichkeit. Wenn ich den einen YubiKey verliere kann ich ja immer, diesen deaktivieren und den zweiten nutzen. Den zweiten würde ich wohl in ein Bankschließfach packen, inklusive der Wiederherstellungsschlüssel.

 

[DrCox1911]

Ich habe bei mir Yubis im Einsatz und bin mehr als begeistert davon. Ich würde dir aber direkt zu 3 Stück raten. Einen habe ich bei mir daheim am PC quasi dauerhaft griffbereit. Einer ist am Schlüsselbund und einer ist sicher verwahrt (wo, will ich im Internet nicht preisgeben). Habe dann bei all meinen Diensten alle drei Keys hinterlegt, kommt also einer abhanden, kann ich mich mit den anderen noch einloggen und den entsprechend verlorenen entfernen (dafür konnte ich bei meinen Diensten einen Namen vergeben, den kann ich den Keys zuordnen).

 

[accountfuerdown]

Ok, dann brauche ich vier Keys. Das passt gut. Bei mir ist auf jedem Account nur 2FA erlaubt und keine SMS. Das habe ich bewusst ausgeschlossen. Kann ich mir auch neue Sicherheitsschlüssel geben lassen, bevor ich auf YubiKey wechsle?

 

[PHuV]

Da hast du sicherlich recht, aber ich meine für den privaten Einsatz: also das Internet surfen.

Was surfst Du denn, daß Du VPN benötigst? Und VPN ist mitnichten sicher, schau in meine Signatur. Ansonsten kannst Du den TOR Browser verwenden.
Ansonsten Lesestoff:
https://www.computerbase.de/forum/threads/filmfirmen-verklagen-vpn-anbieter.2040212/
https://www.computerbase.de/forum/threads/vpn-anbieter.2049724/#post-26191496
https://www.computerbase.de/forum/threads/kennt-jemand-gute-kostenlose-vpn-programme.2014434/

Hinweis: Du bist nicht anonym im Netz, sobald Du irgendwo in der EU bist.

 

[andy_m4]

Und VPN ist mitnichten sicher, schau in meine Signatur.

So fett wie Deine Signatur ist kann man also nicht sagen, das VPN automatisch für Datensparsamkeit sorgt oder was sollte uns der Hinweis sagen? :-)

 

[Retrocloud]

Ich hatte einen + Backup, definitiv Overkill für einen 0815 Nutzer

Da ist ne Smartphone App um Welten besser.

Mach dir das Leben nicht schwerer.

Sehr gute 2FA Apps: Android - andOTP, iOS - Raivo OTP

 

[PHuV]

So fett wie Deine Signatur ist kann man also nicht sagen, das VPN automatisch für Datensparsamkeit sorgt oder was sollte uns der Hinweis sagen? :-)

Ja, leider ist der Platz schon erschöpft, siehe VPN Services.
https://gist.github.com/joepie91/5a9909939e6ce7d09e29

Da muß ich leider Buchstaben sparen.😣

 

[accountfuerdown]

Ich hatte einen + Backup, definitiv Overkill für einen 0815 Nutzer

Da ist ne Smartphone App um Welten besser.

Mach dir das Leben nicht schwerer.

Sehr gute 2FA Apps: Android - andOTP, iOS - Raivo OTP

Was spricht gegen Microsoft Authenticator?

 

[Retrocloud]

Was spricht gegen Microsoft Authenticator?

Nix der ist auch gut, bevorzuge jedoch die anderen beiden da open source

 

[accountfuerdown]

Ah alles klar. Ich werde vermutlich wenn das so weiter geht meinen Microsoft Account komplett aufgeben 🙈 und auch ios (zurück zu android - damn you linux 😂)