Yubico (diskuse)

[Odin1918]

Wow, pekny popis, moc dekuji. Libila by se mi demonstrace pouziti s pgp a pripadne ssh.

[pavell]

Mám YubiKey 5 NFC, mám ho na klíčích, ale popravdě nevím, co s ním, resp. jsem líný hledat po fórech, trápit se proč a jak to (ne)funguje.

Vlastně ani nevím, k čemu bych to využil - všude, kde se přihlašuji, tak buď mi chodí SMS kódy (banky, pojišťovna, eBay, eIdentita), nebo mám v mobilu potvrzovací aplikaci (google, MojeID).

Pro využití v SSH je potřeba nejnovější SSH ( https://www.root.cz/clanky/bezpecne-prihlasovani-na-ssh-s-hardwarovym-u2f-tokenem/ ), což je absolutně nereálné mít tam, kde bych to potřeboval (např. Mikrotiky).

Takže to vypadá, že mám jen pěkný přívěšek na klíče, který zastará dřív, než ho vůbec využiju.

[Michal Kubeček]

Pro využití v SSH je potřeba nejnovější SSH (…)

To se ale týká jen toho, když budete chtít používat SSH s U2F. Pokud nemáte klíč jen pro U2F (a případně FIDO2), má spíš smysl používat pro SSH autentizační openpgp klíč uložený v tokenu, viz např. tady.

Vlastně ani nevím, k čemu bych to využil - všude, kde se přihlašuji, tak buď mi chodí SMS kódy (banky, pojišťovna, eBay, eIdentita), nebo mám v mobilu potvrzovací aplikaci (google, MojeID).

Oproti SMS je token rozhodně praktičtější, ale člověk je samozřejmě odkázán na to, aby tuto variantu web podporoval. Smartphone aplikace má smysl pro toho, kdo je zvyklý tak jako tak mít smartphone permanentně online.

V každém případě je ale pro mne podpora U2F nebo FIDO2 spíš vedlejší funkce, mnohem zajímavější je použití pro autentizaci, podpis a (de)šifrování s openpgp klíčem, ať už s gpg nebo ssh.

[ET]

Nekolik mesicu pouzivam Yubi 5 NFC a mam na nem cert do VPN (chraneny PINem) a zde nekolik mych poznatku k pouzivani:

* klic/csr jsem generoval na yubi, ale zatim neumeji RSA klice > 2048 (umi nejaky EC* alg.)

* pri importu certifikatu do yubi se zobrazi ve slotu vzdy jen posledni naimportovany cert, takze pak neni videt, co vsechno je importovane (CA chain jsem importoval jako posledni, takze vidim ve slotu jen "korenac", zadne info o priv. klici)

* na Win (nevim jak v 10) neni nativne driver, takze je potreba instalovat driver rucne...

* na nekterych USB portech mi Yubi nefunguje, takze je obcas potreba najit spravny USB port (USB 3.++?)

* GUI appka na administraci Yubi je pekelna, obcas zasekava, nebo nezobrazi nic, lajna je trochu lepsi...

Po rozbehnuti uz vse jede OK nekolik mesicu a az bude cas, zkusim i SSH klice, ale zatim jsem zkousel jen z widli. Je tam par failu, ale za me OK.

[hz]

Mam 5 NFC vic nez rok a denne to pouzivam jako ssh klic (pres gnupg klic ulozeny v tokenu), pres gnupg tim podepisuju commity, par sluzeb ma i FIDO takze tam je to jako druhy faktor a zbytek sluzeb casto podporuje HOTP (google authenticator), takze tam mam v mobilu tu appku od yubika. Takze i to potvrzovani od googlu se tim da nahradit, kdyby nic jinyho ;)

[Bystroushaak]

Kdysi jsem tu publikoval: Yubikey. Co to je a co to umí (1), možná by tě to mohlo zajímat.

[Bystroushaak]

Teda není moc vidět, že redakce to tenkrát rozdělila na tři díly:

• Yubikey. Co to je a co to umí (1)
• Yubikey. Co to je a co to umí (2)
• Yubikey. Co to je a co to umí (3)

[Ondrej 'SanTiago' Zajicek]

Chtělo by to občas číst a ne všude bezmyšlenkovitě lepit selfpromo

[Ondrej Santiago Zajicek]

Tak sem po nejake dobe zavitam, a co nevidim - falesny Ondrej 'SanTiago' Zajicek.

[Ondrej 'Santiago Zajicek]

Tak sem po nejake dobe zavitam, a co nevidim - 2 lide s mym jmenem.

[Ondrej 'Santiago Zajicek]

Kdyby jen dva

[Marek]

Nutno dodat, že skutečně je potřeba přidat PPA; balíky sice jsou v distribuci, ale staré a nový Yubikey 4 nevidí, za což může stará verze libyubikey0.

Nemuze byt zkompromitovane PPA?

[Michal Kubeček]

Řekl bych že zajímalo, když to zmínil hned v prvním odstavci. :-)

[Bystroushaak]

Ah, ok, to jsem přehlédl, pardon.

[kralyk z abclinuxu]

Taky mam nějakou dobu přívěšek a vysírá mě, jak málo webů/služeb má pro to podporu. Třeba u internetovýho bankovnictví bych to ocenil, ale zřejmě mam smůlu.

[alf]

Sorry jako..
Jinak nechápu, proč to potřebuješ třeba u eshopu... Dvaceti znakové heslo ti pro pocit bezpečí nestačí? Jestli si tam ukládáš číslo kreditky, tak ti nějakej HW token fakt nepomůže, protože hlavní riziko je, že jim to někdo naboří.

[afl]

Ah, pardon, překoukl jsem se. Oni by prostě mohli rozdávat HW tokeny generující časově omezený hesla. Vyrábí se technologie, které stojí pár korun, a zvedlo by to bezpečnost všech.

[marbu]

Přesně. Ptal jsem se na to kdysi podpory u Fio banky, a odpověď byla, že podporu U2F tokenů neplánují. Přitom to je paradoxně poslední služba, kde musím používat sms jako druhý autentizační faktor.

[Michal Kubeček]

Je to paradox. Když u nás internet banking začínal, bylo použití šifrovací/autentizační karty často nabízeno, někde i jako jediná možnost (aspoň pro citlivější transakce jako platební příkaz). A to přesto, že tehdy to v praxi znamenalo, že banka musela klientovi prodat/pronajmout kartu i se čtečkou a fungovalo to na jednom OS v jednom prohlížeči s jednou verzí Javy (v horším případě přes ActiveX).

Dnes máme autentizační tokeny relativně dostupné, máme otevřené a přenositelné standardy jak pro komunikaci se serverem, tak pro komunikaci s tokenem. Přesto tuhle možnost zavrhly i banky, které ji dříve nabízely, a všichni se omezují na SMS a smartphone aplikace. A navíc ještě některé banky přesvědčují zákazníky k používání smartphone aplikace jako náhrady internet bankingu, přestože se tam o dvoufaktorové autentizaci dá mluvit jen s hodně velkou dávkou fantazie (ale PSD2 to splňuje, tak co řešit, že).

[-]

Protože málokdo chce u sebe nosit nějaký nesmyslný jednoúčelový bazmek, zatímco telefon mají všichni. I platební karty jsou nahrazované smartphonem a peněženku nenosím skoro 4 roky. Mám jen telefon a nůž, jiné krámy po kapsách tahat nepotřebuji.

[Michal Kubeček]

Neříkám, že to má být jediný způsob, ale mohla by to být jedna z možností.

zatímco telefon mají všichni

Ani mobil obecně, natož smartphone. A ne každý, kdo ho má, mu věří dost na to, aby mu svěřil zabezpečení finančních transakcí.

[-]

Tak tedy dobře, mobil schopný přijímat SMS má 99% obyvatel. 99.9% těch, které lze považovat za příčetné a sociálně integrované.

[Michal Kubeček]

Prostě klasická logika "Já to používat nepotřebuju, takže to nemůže potřebovat nikdo."

SMS nejsou ani praktické ani bezpečné a navíc mají svá omezení - jsou např. země, kde SMS prostě nedostanu, protože tamní síť není kompatibilní s naší.

[-]

To je prostě trh, pokud něco potřebuje jen pár nelukrativnich exotů...

[kralyk z abclinuxu]

Prosímtě, běž radši přepisovat náhodný stringy z esemesk do počítače, když tě to tak baví, a netroll tady, kthx...

[-]

Já tady trollit o nesmyslném bazmeku nezačal. Zkus před těmi autistickými výlevy vždy nějaký reality check.

[kralyk z abclinuxu]

O tom bazmeku je ten blog, to je tady téma. Pokud tě to nezajímá nebo to považuješ za zbytečnost, tak běž jinam.

Chápu, že seš asi brutálně triggered tím, že někdo má podle tebe zbytečně autistický standard bezpečnosti, ale zkus to řešit jinak.

PS. Jeden z důvodů, proč ten bazmeg mam, je, že jeho použití vyžadují změstnavatelé pro práci s některými jejich daty.

[Bystroushaak]

Tak tedy dobře, mobil schopný přijímat SMS má 99% obyvatel. 99.9% těch, které lze považovat za příčetné a sociálně integrované.

GSM Cracking: SMS w/ Kraken – Software Defined Radio Series #16

https://github.com/J4r3tt/osomcom_sms_decode

[-]

Píšu si tě mezi paranoiky.

[Bystroushaak]

Někdy si nech udělat od Jendy tour brmlabem, třeba ti to ukáže na živo.

[-]

A co z toho? Reálně je to méně pravděpodobné než sežrání tygrem ve Stromovce. Ano, i to se může stát, nedaleko je zoo. Ale pušku si kvůli tomu do Stromovky neberu.

[roboteksihonemyl]

bavíš se o někom kdo si jako největší retard stříka dezinfekci na potraviny kvůli koronaviru, měl jsi ho mít na seznamu dávno.

[Bystroushaak]

Reálně je to méně pravděpodobné než sežrání tygrem ve Stromovce. Ano, i to se může stát, nedaleko je zoo. Ale pušku si kvůli tomu do Stromovky neberu.

To zní velmi sofistikovaně a hustě, dokud si člověk neuvědomí, že používáš slovo „pravděpodobnost“ bez jakéhokoliv použití pravděpodobnosti samotné. Je to pro tebe řečnický obrat a nikoliv nástroj na dělání rozhodnutí.

Ona teda celá ta analogie úplně zcestná, kde si prvně definuješ tygra a pak ho vyvracíš a tím si jako dokazuješ, že technologie SMS, o které očividně vůbec moc nevíš, má nějaké vlastnosti. Přitom tvoje ignorance a neschopnost jí nedělají bezpečnější, pouze vedou ve falešný pocit bezpečí.

[_]

Jsi prostě paranoik. Že se takové věci v reálu nedějí tě prostě nezajímá.

[marbu]

Že se takové věci v reálu nedějí tě prostě nezajímá.

Pravda, v reálu totiž útočníkům stačí mnohem snadnější typy útoků, jako např. phishing kombinovaný s malwarem.

[-]

Nebo sociální inženýrství. A na obranu proti těmto věcem ti stačí běžný mobil a mozek, bazmek netřeba.

[marbu]

A na obranu proti těmto věcem ti stačí běžný mobil a mozek, bazmek netřeba.

Jo, a proto banky neustále vydávají upozornění ve stylu:

• Pozor na podvodné telefonáty a SMS, pomocí kterých se podvodníci snaží vyzrát na zabezpečení internetového bankovnictví a ukrást nepozorným klientům peníze z účtu.
• Mobilní operační systém Androidu má závažnou bezpečnostní mezeru, na kterou zatím není záplata. Chyba pojmenovaná Strandhogg umožňuje útočníkům získat vaše citlivé údaje nebo vás odposlouchávat, aniž byste si něčeho všimli.

Používat sms jako druhý autentizační faktor je dost nešťastné nejen kvůli útokům na gsm, útokům na operátora a přenesení čísla, ale taky protože mobil lidi používají k mnoha věcem a nejsnáze se útočí přímo na něj.

Banky to pak řeší radami jako::

Pokud vám na telefon chodí zprávy z banky s SMS kódem, nepovolujte žádné aplikaci přístup k SMS.

Což pochybuju, že většina lidí reálně dodržuje. Případně si vytváří vlastní autentizační mobilní aplikace. A to ještě ignoruju problém, že spousta lidí na mobilu má dlouhodobě děravý a neaktualizovatelný systém.

[Bystroushaak]

Jsi prostě paranoik.

Slovo paranoik v kontextu (informační) bezpečnosti nemá takové negativní konotace, jak si očividně myslíš.

Že se takové věci v reálu nedějí tě prostě nezajímá.

Já si myslím že víš kulové o tom co se v reálu děje a neděje. Zatím jsi rozhodně nedokázal opak.

[-]

Přesně tohle slychávám od paranoidních pacientů. Často mají neprůstřelnou logiku. A rozhodně jim nic nejde vyvrátit argumenty. Takže pokračuj, dokud se to týká tvého mobilu, nikoho tím neohrožuješ.

[kralyk z abclinuxu]

A for effort.

[Michal Kubeček]

To je jako rychlostí na dálnici: kdo jede rychleji než já, je nebezpečný šílenec, pirát a (sebe)vrah, kdo jede pomaleji, je neschopný trouba, který tam nemá co dělat. Tady je to podobné: kdo je opatrnější než já, je blázen a paranoik, kdo je opatrný méně, je nezodpovědný hazardér. :-)

[Ondřej J]

To je dost přesné

[_]

Ano, zatímco většina lidí jede 130, pár magorů 250, tak Bystrousaak s Kubeckem 50.

[Michal Kubeček]

Podstata mého komentáře byla v tom, že téměř každý má představu, že "jede 130" (tj. že jeho úroveň je tak akorát). Ale ne každý si dokáže uvědomit, že když má někdo jiný "svých 130" jinde, neznamená to automaticky, že je úplně mimo a vůbec tomu nerozumí. Třeba se jen pohybuje v jiném prostředí, má jiné informace a riziko v případě kompromitace je pro něj větší (nebo naopak menší).

[-]

Jenže 130 je jen jedna.

[Michal Kubeček]

Představa, že "tak akorát" je vždy, všude a za kterýchkoli okolností přesně tolik, kolik je povoleno značkami, je velmi nebezpečný blud. Jsou situace, kdy není na 150 km/h naprosto nic nebezpečného a stejně tak jsou situace, kdy je i 80 km/h na dálnici za hranicí přijatelného rizika.

S bezpečností je to podobné. Jiné nároky na zabezpečení svého klíče bude mít člověk, který ho používá jen tak občas pro zábavu, jiné maintainer významného softwarového projektu.

[-]

A statistiku, kolik lidí trpí technologickou paranoiou, neznám. Znám dost případů, kdy lidé přišli o peníze svou chybou (špatné heslo, pin napsaný na kartě, sociální inženýrství apod.) ale ani z doslechu (mezi lidmi, ne co se někde píše na netu) neznám jediný případ, kdy by a ztrátu peněz z účtu mohl smartphone jako takový.

[Filip Jirsák]

To je jednoduché., Pro každou takovou možnost si spočítejte:

náklady na vývoj a provoz takové možnosti : počet uživatelů

Podle této hodnoty si banka jednotlivé možnosti setřídí a někde v tom seznamu udělá čáru – co je nad čarou, to se jí vyplatí a implementuje to, co je pod čarou, to se nevyplatí.

[kralyk z abclinuxu]

Jo, bohužel to tak je. Blbý je, že z toho pak je feedback loop, tzn. (lidi to nepoužívaj) ⇒ (banky to neimplementujou) ⇒ (lidi to nepoužívaj) ...

[Michal Kubeček]

Navíc to není jen ano/ne, zájem uživatelů hodně ovlivní i to, jak banka (nebo obecně poskytovatel služby) danou funkci propaguje, jak moc ji uživatelům zpříjemní nebo naopak znepříjemní atd. Takže to rozhodně není tak, že by byli jen trpným pozorovatelem, tu poptávku do značné míry i sami ovlivňují.

Názorně je to třeba vidět na neustálých průzkumech na téma "jak si Češi oblíbili (bezpinové) bezkontaktní platby". Ještě že se aspoň nepodařilo pod záminkou koronaviru protlačit to zvýšení univerzálního limitu.

[Petr]

Jo není nad to stát ve frontě za kokotem, který musí zdržovat kontaktní platbou za jednu mrkev a indulonu.

[Josef Kufner]

Ještě je druhá cesta, kdy si banka spočítá, kolik by ušetřila, kdyby to lidi používali. Pokud to vyjde dobře, tak to banka lidem vnutí.

[Michal Kubeček]

To je jen speciální případ, kdy jsou provozní náklady záporné. :-)

Ve skutečnosti to ale nefunguje tak, jak to bylo napsané, dělit náklady počtem uživatelů je nesmysl. Pro banku je v tomto případě podstatné, kolik zákazníků jim funkce může přilákat resp. kolik jich může její absence odradit.

Proto se, zejména v oligopolním prostředí jako jsou mobilní operátoři, často stává, že nějaká funkce nebo featura se v nabídce vůbec neobjeví, přestože by o ni uživatelé stáli. Prostě proto, že když to nenabízí nikdo, nehrozí, že by kvůli ní někdo utekl ke konkurenci. Ale jakmile se jeden rozhodne ji zavést, prakticky okamžitě změní názor i ostatní. Což je problém, protože chybí motivace zavést to jako první, když z toho stejně bude konkurenční výhoda jen na chvíli.

[trekker.dk]

Pro banku je v tomto případě podstatné, kolik zákazníků jim funkce může přilákat resp. kolik jich může její absence odradit.

Nejde jen o odrazení - když se někomu povede prostřelit zabezpečení (tj. ukradne vám přihlašovací údaje a zároveň zaviruje smartphone, aby se dostal k potvrzovací SMS) a vyluxuje vám účet, tak je to chyba banky a banka vám musí ty peníze vrátit ze svého. Jedině by prokázali, že jste se choval tak nebezpečeně, že si za to prozrazení údajů můžete sám.

Tj. ušetřené peníze, když lidi budou funkci používat, svoji roli hrají také.

[j]

Presne takhle to zadna, ani jedna jedina banka nedela, ale co cekat od jirsaka ... zalez na ruut.

Banka implementuje to, co se libi jejimu vrchnimu managorovi, i kdyby to byla totalni kravina kterou nebude pouzivat vubec nikdo. A naopak, primitivne trivialni veci, ktery by vyuzili prakticky vsichni zasadne temer zadny banky neimplementujou, protoze by se pak ten managor musel chlubit leda tim, ze dodavaji auto i s motorem ...

A pak to presne podle toho vypada. V nasem pripade jsou extraspecielni pripady trebas KB ... kdy kvuli importu csvcka musi mit zakaznik nainstalovanych par GB M$SQL a jejich sileny appky, a pokazdy kdyz se to nekde zprovoznuje, tak to je woodoo instalace 20 vsemoznych opravnych a pomocnych balicku a pak to mozna nekdy zacne fungovat.

---

Bezte s tim guuglem dopice!