Universal Second Factor: Gute/schlechte Erfahrungen? Nutzbar? Frickelig

[Michael Heerdegen]

Hallo,

da Zwei-Faktor-Authentifizierung ja inzwischen verbreitet ist überlege
ich, ob ich mir jetzt so einen Token kaufe der mit FIDO als Universal
Second Factor dienen kann - bekannt ist zum Beispiel der YubiKey. In
erster Linie für meinen Debian-Laptop.

Ist sowas frustrationsarm nutzbar, etwa zusammen mit Firefox um sich bei
Diensten zu authentifizieren? Funktioniert das out-of-the-box mehr oder
weniger reibungsfrei, oder ist es frickelig? Irgendwas was man
vermeiden sollte?

Ich nutze Openbox als wm und kann oder möchte mich dabei nicht auf
Dienste von KDE oder Gnome verlassen.

Ich frage nur um zu vermeiden die Sache am Ende genervt nach Recherche
und Zeit-/Geldinvestitionen aufzugeben.

Danke,

Michael.

[Michael Heerdegen]

ich hatte das mal mit einem Yubikey und KeepassXC als Tresor für
Passwörter ausprobiert. Das funktioniert auch im Zusammenspiel mit
Firefox oder Chrome sehr gut, die entsprechende Browsererweiterung
vorausgesetz.

Das ist schon mal gut.

Ist aber dann natürlich kein zweiter Faktor. Ich würde gern den zweiten
Faktor "Smartphone" eliminieren - also solche Sachen wo man sonst ne SMS
oder nen Anruf bekommt

Dafür muß der Browser ja irgendwie mit Javascript oder was auch immer
selbst auf den Stick zugreifen (oder lokale Software anfragen), wenn ein
Onlinedienst solche Keys als zweiten Faktor implementiert hat.

Wichtig dabei ist, dass Du Dir auf alle Fälle zwei
Yubikeys zulegst und identisch konfigurierst. Falls einer plötzlich
nicht mehr geht hättest Du sonst ein Problem.

Noted!


Danke,

Michael.

[Christoph Schmees]

Moin Michael,

Post by Michael Heerdegen
...
Ich würde gern den zweiten
Faktor "Smartphone" eliminieren - also solche Sachen wo man sonst ne SMS
oder nen Anruf bekommt
...

2FA mit Smartphone ist heute lange nicht mehr nur SMS oder Anruf.
Schon mal von TOTP gehört?
Das nutze ich reichlich, von E-Mail Konten (nur bei Webmail) über Website-Admin bis hin zu bitwarden.
Würde dir so etwas helfen?
Nachdem ich verschiedene FOSS TOTP ausprobiert habe, ist mein Favorit Aegis.

hth
Christoph

--
Bitte keine Mails von USA-Providern wie AOL, me.com(icloud (Apple),
gmail (Google), hotmail/outlook.com (Microsoft) oder yahoo.
Solche Mails werden ohne Rückmeldung gelöscht.

[Michael Heerdegen]

Post by Christoph Schmees
2FA mit Smartphone ist heute lange nicht mehr nur SMS oder Anruf.
Schon mal von TOTP gehört?
Das nutze ich reichlich, von E-Mail Konten (nur bei Webmail) über
Website-Admin bis hin zu bitwarden.
Würde dir so etwas helfen?

Leider nein: ist mir zu viel Arbeit, da drauf ein sinvolles System
aufzusetzen und zu verwalten. Und es muß ja auch verläßlich
funktionieren.

Ich würde meines gerne loswerden oder durch was sehr unsmartes ersetzen.

Trotzdem danke!

Micha.

[Martin Steigerwald]

Hi Christoph

Post by Christoph Schmees
2FA mit Smartphone ist heute lange nicht mehr nur SMS oder Anruf.
Schon mal von TOTP gehört?
Das nutze ich reichlich, von E-Mail Konten (nur bei Webmail) über
Website-Admin bis hin zu bitwarden. Würde dir so etwas helfen?
Nachdem ich verschiedene FOSS TOTP ausprobiert habe, ist mein Favorit Aegis.

Ist Aegis auch freie Software? Naja scheint so, gibt es zumindest auf F-
Droid. Es sieht so aus, als ob sich die Datei mit den Tokens wie bei
AndOTP mit einem Passwort verschlüsseln lässt. Zusätzlich dazu bietet
Aegis offenbar eine Backup-Funktion. Das wäre praktisch, nachdem AndOTP
glaub nicht mit SeedVault zusammen arbeitet.

Hast Du AndOTP probiert? Irgendwelche anderen Gründe aus Deiner Sicht,
die für einen Wechsel sprechen?

Ciao,

[Christoph Schmees]

Post by Martin Steigerwald
Hi Christoph

Post by Christoph Schmees
2FA mit Smartphone ist heute lange nicht mehr nur SMS oder Anruf.
Schon mal von TOTP gehört?
Das nutze ich reichlich, von E-Mail Konten (nur bei Webmail) über
Website-Admin bis hin zu bitwarden. Würde dir so etwas helfen?
Nachdem ich verschiedene FOSS TOTP ausprobiert habe, ist mein Favorit Aegis.

Ist Aegis auch freie Software? Naja scheint so, gibt es zumindest auf F-
Droid. Es sieht so aus, als ob sich die Datei mit den Tokens wie bei
AndOTP mit einem Passwort verschlüsseln lässt. Zusätzlich dazu bietet
Aegis offenbar eine Backup-Funktion. Das wäre praktisch, nachdem AndOTP
glaub nicht mit SeedVault zusammen arbeitet.
Hast Du AndOTP probiert?

auch, ja. WIMRE konnte das nicht so elegant ex- und importieren.
Ich nutze Aegis seit einigen Jahren. Dank der durchdachten Backup/Export-Funktion (verschlüsselt!) hat es bei mir schon etliche Neuinstallationen von Custom-ROMs begleitet und es läuft parallel auf zwei Smartphones - null Problemo.
Übrigens ist auch der Support super (außer dass er eine gmail-Adresse verwendet :-( ).
Ich hatte anfangs ein Problem mit leeren Exporten.
Der Autor fand schnell heraus, dass das an einer bestimmten Einstellung lag, die ich vorgenommen hatte - abweichend vom default. Es sollte so funktionieren, tat es aber nicht. Seitdem verwende ich die Einstellung nicht mehr. Ob das Problem in Aegis inzwischen gelöst ist, habe ich nicht mehr verfolgt.

Post by Martin Steigerwald
Irgendwelche anderen Gründe aus Deiner Sicht,
die für einen Wechsel sprechen?

Wenn du eine andere TOTP App hast, die deine Wünsche erfüllt: nein.
In allen anderen Fällen: FOSS, funktioniert 1a, Support 1a.
Brauchst du mehr? :-)

LG Christoph

--
Bitte keine Mails von USA-Providern wie AOL, me.com(icloud (Apple),
gmail (Google), hotmail/outlook.com (Microsoft) oder yahoo.
Solche Mails werden ohne Rückmeldung gelöscht.

[Alexander Reichle-Schmehl]

Hi!

Post by Christoph Schmees

Post by Martin Steigerwald
Hast Du AndOTP probiert?

auch, ja. WIMRE konnte das nicht so elegant ex- und importieren.
Ich nutze Aegis seit einigen Jahren. Dank der durchdachten
Backup/Export-Funktion (verschlüsselt!) hat es bei mir schon etliche
Neuinstallationen von Custom-ROMs begleitet und es läuft parallel auf
zwei Smartphones - null Problemo.

Nur der Vollständigkeit Halber: Das hat AndOTP inwzischen auch.
Plaintext, AES Verschlüsselt mit Passwort oder mit gpg verschlüsselt.
Bei den ersten beiden Methoden kann ich sogar berichten, dass es
funktioniert.


Mit besten Grüßen,
Alexander

[Helge Reimer]

KeepassXC kann doch von Hause aus TOTP, wenn man erstmal den Seed ins
das entsprechende Passwortfeld verfrachtet hat. Was habe ich verpennt?

Wie funktioniert das in der Praxis?
Hast du mal ein Beispiel?

[Michael Heerdegen]

Post by Helge Reimer

KeepassXC kann doch von Hause aus TOTP, wenn man erstmal den Seed ins
das entsprechende Passwortfeld verfrachtet hat. Was habe ich verpennt?

Wie funktioniert das in der Praxis?
Hast du mal ein Beispiel?

Und wo kann man es ggf. nutzen?

Michael.

[Hilmar Preuße]

Moin,

Post by Helge Reimer

KeepassXC kann doch von Hause aus TOTP, wenn man erstmal den Seed ins
das entsprechende Passwortfeld verfrachtet hat. Was habe ich verpennt?

Wie funktioniert das in der Praxis?
Hast du mal ein Beispiel?

Um den TOTP einzurichten, gibt es "Setup TOTP" am Eintrag. Hier muß man
den Seed eintragen und sagen, welche Settings der TOTP haben soll,
zumeist sollte der Default (RFC 6238) zutreffen. Wo kriegt man den Seed
her? Meist wird einem ein QR Code angezeigt, in dem alles drin steht.
Wenn man sich den im Klartext anzeigt, steht dann da:
otpauth://toptp/<string>?secret=<string2>&... <string2> ist dann der
Seed für KeepassXC bzw. für Keepass2 mit Plugin. Meist kann sich den
aber auch direkt im Klartext anzeigen lassen.

Mit YubiKey habe ich keine Erfahrung, ich nutze TOTP meist aus der
KeepassDb heraus. Und ja, man kann sich streiten, ob sich die Sicherheit
erhöht, wenn beide Secrets in derselben Quelle liegen. Zumindest eines
von Beiden erblickt ja (außer bei der Einrichtung) nie das Licht der
Welt. Bei mir gewinnt die Bequemlichkeit, weil man das Ganze auch im
AutoType verwursten kann.

Wo ich das verwende? Es gibt einige Web-Seiten da draußen, die das
anbieten: gitlab, github, Deutsche Bahn.... Die Fritz!Box bietet an
Config Export nur gegen TOTP zu machen.

Hoffe, ich war nicht allzu weit am Thema vorbei.

Hilmar
--
Testmail

[Helge Reimer]

Post by Hilmar Preuße
Um den TOTP einzurichten, gibt es "Setup TOTP" am Eintrag. Hier muß man
den Seed eintragen und sagen, welche Settings der TOTP haben soll,
zumeist sollte der Default (RFC 6238) zutreffen. Wo kriegt man den Seed
her? Meist wird einem ein QR Code angezeigt, in dem alles drin steht.

Aus meiner Sicht wird meist gar nichts angezeigt.
Deswegen fragte ich nach einem Beispiel.

Post by Hilmar Preuße
Mit YubiKey habe ich keine Erfahrung, ich nutze TOTP meist aus der
KeepassDb heraus. Und ja, man kann sich streiten, ob sich die Sicherheit
erhöht, wenn beide Secrets in derselben Quelle liegen. Zumindest eines
von Beiden erblickt ja (außer bei der Einrichtung) nie das Licht der
Welt. Bei mir gewinnt die Bequemlichkeit, weil man das Ganze auch im
AutoType verwursten kann.

Die Bequemlichkeit ist natürlich definitiv ein Argument für einen
Passwortspeicher. Egal ob es nun KeePass oder was anderes ist.
TOTP unterstützen aber scheinbar die wenigsten Dienste.

Post by Hilmar Preuße
Wo ich das verwende? Es gibt einige Web-Seiten da draußen, die das
anbieten: gitlab, github, Deutsche Bahn.... Die Fritz!Box bietet an
Config Export nur gegen TOTP zu machen.

Deutsche Bahn ist da wohl eher weniger kritisch. Es sei denn du hast da deine
Kreditkartendaten hinterlegt.
Und wenn ein fremder Zugriff auf deine FritzBox hat hast du eh verloren. Der
braucht dann kein Export deiner Konfiguration mehr.

Post by Hilmar Preuße
Hoffe, ich war nicht allzu weit am Thema vorbei.

Gar nicht.
Interessant wofür das sinnvoll oder weniger sinnvoll genutzt wird.

[Hilmar Preuße]

Am 25.06.2022 um 17:03 teilte Christoph Schmees mit:

Moin,

Post by Christoph Schmees
2FA mit Smartphone ist heute lange nicht mehr nur SMS oder Anruf.
Schon mal von TOTP gehört?
Das nutze ich reichlich, von E-Mail Konten (nur bei Webmail) ÃŒber
Website-Admin bis hin zu bitwarden.
WÃŒrde dir so etwas helfen?
Nachdem ich verschiedene FOSS TOTP ausprobiert habe, ist mein Favorit Aegis.

KeepassXC kann doch von Hause aus TOTP, wenn man erstmal den Seed ins
das entsprechende Passwortfeld verfrachtet hat. Was habe ich verpennt?

Hilmar
--
sigfault

[Helge Reimer]

Post by Michael Heerdegen
Ich frage nur um zu vermeiden die Sache am Ende genervt nach Recherche
und Zeit-/Geldinvestitionen aufzugeben.

Ich frage mich für welche Dienste man das nutzen könnte.
Vielleicht bin ich nicht die Zielgruppe, aber weder für PayPal, eBay oder
Anazon kann man das nutzen. Die haben ihr eigenes 2FA Verfahren, genauso wie
Banken.
Auch diverse Foren oder Shops bei denen ich angemeldet bin unterstützen keine
2FA auf diese Art, wenn überhaupt.

Mir fällt nur das Googlekonto ein und man könnte den Login am Rechner so
absichern.
Was macht man also sinnvolles mit YubiKey und Konsorten?

[Michael Heerdegen]

Ich frage mich für welche Dienste man das nutzen könnte. Vielleicht
bin ich nicht die Zielgruppe, aber weder für PayPal, eBay oder Anazon
kann man das nutzen. Die haben ihr eigenes 2FA Verfahren, genauso wie
Banken.

Sicher? Ich dachte wenigstens Paypal als eines der Gründungsmitglieder
der FIDO-Allianz würde es anbieten.

Auch diverse Foren oder Shops bei denen ich angemeldet bin
unterstützen keine
2FA auf diese Art, wenn überhaupt.
Mir fällt nur das Googlekonto ein und man könnte den Login am Rechner so
absichern.
Was macht man also sinnvolles mit YubiKey und Konsorten?

Wenn das so stimmt - nix, wahrscheinlich. Das wäre wirklich schade.

Ich hatte gehofft nach den Lobpreisungen in c't wäre es zumindest
teilweise nutzbar.

Michael.

[Helge Reimer]

Post by Michael Heerdegen
Sicher? Ich dachte wenigstens Paypal als eines der Gründungsmitglieder
der FIDO-Allianz würde es anbieten.

Ja OK, bei PayPal kann man es einrichten.
Aber da ist die 2FA per SMS wohl praktischer. Das funktioniert immer. Auch
wenn man an einem fremden Rechner sitzt wo der Token vielleicht nicht
funktioniert oder die Software nicht installiert ist.

Ich sehe den größten Nutzen nur bei einem Notebook wo man die Verschlüsselung
und den Login absichert. Aber ansonsten?

[Michael Heerdegen]

Post by Helge Reimer
Ja OK, bei PayPal kann man es einrichten.
Aber da ist die 2FA per SMS wohl praktischer. Das funktioniert immer.

Für mein Nutzerverhalten wäre der Stick praktischer, ehrlich gesagt.
Ich sehe aber ich bin eher Teil ner Randgruppe.

Michael.

[Andre Tann]

Post by Helge Reimer
Mir fällt nur das Googlekonto ein und man könnte den Login am Rechner so
absichern.
Was macht man also sinnvolles mit YubiKey und Konsorten?

Mir fallen da noch Microsoft und Salesforce ein. Und auch das 2FA-Plugin
bei der Nextcloud, das funktioniert bestens.

Es sind nicht viele Anwendungsmöglichkeiten, das stimmt. Aber dort, wo
es funktioniert, ist es sehr praktisch.

[Michael Heerdegen]

Post by Andre Tann
Es sind nicht viele Anwendungsmöglichkeiten, das stimmt. Aber dort, wo
es funktioniert, ist es sehr praktisch.

Du nutzt es mit Debian?

Michael.

[Andre Tann]

Post by Michael Heerdegen

Post by Andre Tann
Es sind nicht viele Anwendungsmöglichkeiten, das stimmt. Aber dort, wo
es funktioniert, ist es sehr praktisch.

Du nutzt es mit Debian?

Ja, aber hat mit Debian nix zu tun. Der Browser muß es können, bzw. die
Webseite muß auch der Meinung sein, daß der Browser es kann.

Beispielsweise funktioniert Salesforce neuerdings mit Chrome und
Firefox, bis vor kurzem war SF der Meinung, daß Firefox das nicht
beherrscht, und hat die Authentifizierung per Yubi nur via Chrome angeboten.

Google und auch das Nextcloud-Plugin hingegen konnten es immer schon
(seit ich es probiere) auch über Firefox.

Microsoft ist dagegen heute noch der Meinung, Firefox könne es nicht,
und bietet es nur bei Chrome an. Chromium geht kurioserweise auch nicht,
oder ich bin zu doof das zu konfigurieren.


Weiter oben im Thread wurde empfohlen, sich sicherheitshalber zwei
Yubikeys einzurichten. Kann man machen, bin aber der Meinung daß das
nicht nötig ist. Dafür reicht auch eine Authenticator-App als Zweit-Weg.
Oder viele bieten auch ein 2FA-Deaktivierungs-Paßwort an, das reicht auch.

Einen zweiten Yubi braucht man also mE nicht unbedingt. Einen zweiten
Login-Weg natürlich schon.

[Michael Heerdegen]

Post by Andre Tann
Ja, aber hat mit Debian nix zu tun. Der Browser muß es können,
bzw. die Webseite muß auch der Meinung sein, daß der Browser es kann.

Hmm - aber der Browser implementiert ja sicher nicht selbst den Zugriff
über USB auf den Key, da ist doch sicher das Betriebsystem und/oder der
Kernel involviert...? Meine Frage war, ob da was schief gehen kann
oder frickelig ist, oder ob ich was installieren muß, ober ob es
tatsächlich out-of-the-box funktioniert. Also letzteres?

Zweite Frage wäre noch, ob es evtl. Unterschiede bei der Unterstützung
verschiedener Hersteller gibt. Man hört ja viel von YubiKey (warum
eigentlich?), aber es gibt wohl (https://de.wikipedia.org/wiki/YubiKey)
Konkurrenzprodukte mit offener Hardware (was beim YubiKey laut Aussage
der Seite nicht der Fall ist).

Ist es für Browser und Betriebssystem mehr oder weniger egal welchen
Hersteller man nimmt und alle werden gleich gut unterstützt?

Danke und Grüße,

Michael.

[Ulf Volmer]

Post by Michael Heerdegen

Post by Andre Tann
Ja, aber hat mit Debian nix zu tun. Der Browser muß es können,
bzw. die Webseite muß auch der Meinung sein, daß der Browser es kann.

Hmm - aber der Browser implementiert ja sicher nicht selbst den Zugriff
über USB auf den Key, da ist doch sicher das Betriebsystem und/oder der
Kernel involviert...? Meine Frage war, ob da was schief gehen kann
oder frickelig ist, oder ob ich was installieren muß, ober ob es
tatsächlich out-of-the-box funktioniert. Also letzteres?

Ich habe hier einen OnlyKey, für den man noch eine udev Rule hinlegen
musste. Ansonsten geht das ohne weitere Aktivitäten. Ich meine,
verbreitetere Systeme ala YubiKey sollten sofort gehen.

Viele Grüße
Ulf

[Michael Heerdegen]

Post by Ulf Volmer
Ich habe hier einen OnlyKey, für den man noch eine udev Rule hinlegen
musste. Ansonsten geht das ohne weitere Aktivitäten. Ich meine,
verbreitetere Systeme ala YubiKey sollten sofort gehen.

Wen es interessiert wie es ausging:

Ermutigt von euren Antworten - vielen Dank dafür - habe ich mich ein
bißchen umgesehen und mir letztlich den Nitrokey FIDO2 gekauft. Offen
und relativ günstig weil macht ausschließlich FIDO2, mehr wollte ich
nicht. Die Herstellerseite hat auch nen oken Eindruck gemacht.

Jedenfalls funktioniert er hier tatsächlich out-of-the-box, ohne
udev-Regel hinzufügen oder irgendwelcher zusätzlicher Abhängigkeiten, in
Firefox. Sehr schön.

Also Danke und Grüße,

Michael.

[Helge Reimer]

Post by Michael Heerdegen
Jedenfalls funktioniert er hier tatsächlich out-of-the-box, ohne
udev-Regel hinzufügen oder irgendwelcher zusätzlicher Abhängigkeiten, in
Firefox. Sehr schön.

Sehr schön. Freut mich für dich.
Uns was genau macht der Nitrokey jetzt für dich? Wofür setzt du den ein?

[Michael Heerdegen]

Post by Helge Reimer
Uns was genau macht der Nitrokey jetzt für dich? Wofür setzt du den ein?

Ich persönlich? Ausschließlich als Zweitfaktor bei Anmeldungen "im
Internet" anstelle z.B. des Smartphones. Leider ist FIDO2 lange kein
Standard, aber es gibt schon einige Seiten wo man es inzwischen nutzen
kann - hier ist ne Übersicht (jeweils letzte Spalte):

https://www.dongleauth.com/


Ich bin ungern von meinem Smartphone abhängig, und der Stick ist auch n
bißchen bequemer und sicherer.

Gibt auch Sticks die andere Sachen können (Daten besonders sicher
speichern, RSA-Keys ablegen, PGP encryption, ...) - hab ich aber nicht
wirklich Bedarf, ich wollt nur das FIDO2 haben.

Michael.

[Helge Reimer]

Post by Michael Heerdegen
Ich persönlich? Ausschließlich als Zweitfaktor bei Anmeldungen "im
Internet" anstelle z.B. des Smartphones. Leider ist FIDO2 lange kein
Standard, aber es gibt schon einige Seiten wo man es inzwischen nutzen

Ja, du persönlich.
Wo "im Internet" nutzt du das jetzt?
Gib mir doch mal bitte ein paar Beispiele.

Post by Michael Heerdegen
https://www.dongleauth.com/

Hatte ich mir schon öfter mal angesehen.
Finde dort aber auch nichts für meine Zwecke.

[Michael Heerdegen]

Post by Helge Reimer
Wo "im Internet" nutzt du das jetzt?
Gib mir doch mal bitte ein paar Beispiele.

Bis jetzt nur Paypal. Beachte: Hab den Stick heute nachmittag das erste
mal rangesteckt und hab auch sonst keine große Ahnung davon. Weiß nicht
ob ich noch Einsatzzwecke finde.

Paypal ist das einzige wofür ich bisher das Smartphone gebraucht habe,
welches damit jetzt obsolet ist. Das war eines der Dinge die ich
erreichen wollte.

Post by Helge Reimer

Post by Michael Heerdegen
https://www.dongleauth.com/

Hatte ich mir schon öfter mal angesehen.
Finde dort aber auch nichts für meine Zwecke.

Tja, das ist sicher sehr ausbaufähig, keine Frage. Ich hoffe ja, daß,
je mehr Leute so was haben und benutzen oder nachfragen, sich mehr
Dienste entschließen FIDO2 zu implementieren. Wenn nichts in der Liste
ist was du nutzt ist es wahrscheinlich Quatsch so was zu kaufen.

Wenn ich das Teil ne Weile benutzt habe und dran denke werde ich noch
mal n kleines Update geben ob sich noch irgendwelche
Anwendungsmöglichkeiten ergeben haben, ok?

Grüße,

Michael.

[Ulf Volmer]

Post by Michael Heerdegen
Hallo,
Kann man den Nitrokey auch dazu verwenden bei seinem lokalen Gerät
anzumelden? Ich denke gerade an den Laptop oder Taplet braucht einen 2.
Faktor da solche Geräte auf mal verloren gehen.

Als zweiten Faktor gibt es pam_u2f.so. Aber das ist dann u2f, kein FIDO2.

Viele GRüße
Ulf

[Helge Reimer]

Post by Ulf Volmer
Als zweiten Faktor gibt es pam_u2f.so. Aber das ist dann u2f, kein FIDO2.

Es gibt auch libpam-google-authenticator, das ist dann OATH und man braucht
wieder ein Smartphone oder ein anderes Gerät.
Man muss beim Einrichten von pam aufpassen dass man sich nicht aussperrt. Ist
mir nämlich selbst schon mal fast passiert.
Zum Glück war noch ein kleines Türchen offen.

[Michael Heerdegen]

Post by Michael Heerdegen
Hallo,
Kann man den Nitrokey auch dazu verwenden bei seinem lokalen Gerät
anzumelden? Ich denke gerade an den Laptop oder Taplet braucht einen
2. Faktor da solche Geräte auf mal verloren gehen.

Also ich hab davon keine große Ahnung. Viele von den Sticks können auch
anderes als FIDO2, z.B. der Nitrokey3:

| Authentication standards: WebAuthentication (WebAuthn), CTAP2/FIDO2,
| CTAP1/FIDO U2F 1.2, HMAC-Based One-Time Password (RFC 4226), Time-Based
| One-Time Password (RFC 6238)

(das gleiche uf2 wie hier erwähnt wurde?)

oder Nitrokey Pro 2

| One-time passwords: 3 x HOTP (RFC 4226), 15 x TOTP (RFC 6238), 1 x
| HOTP validation

aber wie gesagt, du weißt sicher mehr als ich vor zwei Wochen, und in
denen hab ich mir den günstigsten dieser Sticks bestellt und zwei mal
drangesteckt, ich kenn die anderen Protokolle alle nicht wirklich.

Michael.

[Andre Tann]

Post by Michael Heerdegen
Hmm - aber der Browser implementiert ja sicher nicht selbst den Zugriff
über USB auf den Key, da ist doch sicher das Betriebsystem und/oder der
Kernel involviert...? Meine Frage war, ob da was schief gehen kann
oder frickelig ist, oder ob ich was installieren muß, ober ob es
tatsächlich out-of-the-box funktioniert. Also letzteres?

Kann ich Dir nicht sagen. Bei mir hats immer einfach funktioniert, ohne
weiteres.

Ich hab einen Yubikey, und wie Ulf nebenan gesagt hat, evtl.
funktionierts bei dem besonders gut, weil er weit verbreitet ist.

[Robert Stephan]

Post by Andre Tann


Weiter oben im Thread wurde empfohlen, sich sicherheitshalber zwei
Yubikeys einzurichten. Kann man machen, bin aber der Meinung daß das
nicht nötig ist. DafÌr reicht auch eine Authenticator-App als Zweit-Weg.
Oder viele bieten auch ein 2FA-Deaktivierungs-Paßwort an, das reicht auch.
Einen zweiten Yubi braucht man also mE nicht unbedingt. Einen zweiten
Login-Weg natÃŒrlich schon.

Also wenn der achtfach veriegelte Haupteingang rumzickt, liegt der SchlÌßel
fÃŒr die KellertÃŒr unter der Fußmatte?
Wie sind vor ein paar Jahren die Konten einiger Prominenter geknackt worden?

[Alexander Reichle-Schmehl]

Hi!

Post by Robert Stephan

Post by Andre Tann
Einen zweiten Yubi braucht man also mE nicht unbedingt. Einen zweiten
Login-Weg natürlich schon.

Also wenn der achtfach veriegelte Haupteingang rumzickt, liegt der
Schlüßel
für die Kellertür unter der Fußmatte?
Wie sind vor ein paar Jahren die Konten einiger Prominenter geknackt worden?

Nein, wenn man den Sicherheits-Schlüssel zum Haupteingang abgebrochen
hat, nimmt
man eben den Sicherheits-Schlüssel zur Hintertür.

Sprich: Wenn mein Yubikey/Wasauchimmer kaputt geht, nehme ich als
zweiten Faktor
die OTP-Passwörter aus der otp App meiner Wahl.


Mit besten Grüßen,
Alexander