Hardwarové tokeny na TOTP (diskuse)

[tom]

totp slo na telefony nainstalovat jako java aplikaci asi uz pred 20 lety.

[Max]

Banky používají nepřenosné push ověření podobně jako MS Authenticator pro MS služby, kde nelze přenést tento druhý faktor jinam (je nutné se přihlásit do správy účtu a přidat druhé zařízení a vygenerovat pro něj nový kód).

Ano, běžné TOTP má nevýhodu, že nemáš pod kontrolou, kdo vše má k druhému faktoru přístup, jelikož jde kopírovat. Toto částečně řeší (minimalizuje riziko zneužití) proces prvotního skenu. Google Auth umožňuje export, ale pak ti týden, nebo měsíc, svítí červeně, že došlo k exportu a varuje o tom.

Další možnost je skenovat někam, co ti nedovolí export, tj. třeba Yubi, nebo nějaký password manager.

Problém s hw TOTP tokenem jako např. Yubi je, že když ho ztratíš, jsi druhej. Já používám TOTP k asi 28 službám a stále to narůstá. Kdybych nějak přišel o token, tak je to pak na několik dní si všechno poobnovovat přes různé recovery klíče apod. Já třeba skenuji TOTP vždy do více cílů, aby když se něco pokazí, jsem mohl sáhnout po druhém zařízení. Skenuji do yubi a skenuji do pw manageru, do kterého mám také přístup přes MFA :D.
Zdar Max

[Max]

Jinak řešením by bylo používat služby jako Duo (nebo české řešení Monet+, ale to je spíše na naroubování na vlastní systémy), které podporují mraky řešení, push, kontrolu apod. a člověk nemá v telefonu milion zaregistrovaných služeb.
Zdar Max

[Bubak]

Banky by mohly nabidnout CTAN (nejaka v Nemecku to snad nabizi, rikal jsem si, ze mnrknu, jak to funguje, ale nejak neni cas )

[Lenny_]

Na hraní dobrý, ale i těch 10 slotů je fakt málo.

Proč si vlastně nepořídit celej Yubikey a nemít all-in-one? UF2, Fudo, TOTP, PIV, GnuPG card - na jednom tokenu

Zrovna k TOTP mají fajn appku taky https://www.yubico.com/products/yubico-authenticator/

[Tomáš]

Taky používám, už docela dlouho. Jenom mám trochu výhrady k aplikaci v Linuxu, i když se to lepší.

Ale když chci jenom TOTP, tak je Yubico vlastně docela dost drahé, ty věcičky od Token2 stojí do 30 Eur za kus.

[nadtržítko]

Proč si vlastně nepořídit celej Yubikey

Protoze nam BFU kurva nikdo neumi jednou rozvitou vetou popsat co ten kram je a nac ho mit. Furt se to zvrhne na sahodlouhy clanek plny zkratek uplne mimo reality BFU

[Bubak]

Ja pouzivam authenticator-mini.

Mit totp aplikaci na kompu, ze ktereho se prihlasuju, mi prijde, hm, ne uplne chytre

Smatlaplacky nepouzivam, to je porad vybite, ale mel jsem jednu na testovani VOIP a tak, tak jsem ji na to pouzil - bez simky a vsechno vypnute to vydrzelo asi 10 dni, ale stejne to bylo moc casto vybite, kdyz jsem potreboval.

Tuhle vec jsem koupil v zari, bylo to nabite na 50% (nedobil jsem to, coz jsem asi udelat mel), a ted to zatim hlasi asi 16 - 20%. Takze to vypada, ze az to doleze k deseti procentum, budu mit asi mesic na to, abych to nekde nekdy strcil do nabijecky a mel zase na dlouho vystarano.

S qr kody je to asi podobne, jak pises, nejlepe mi fungovalo zvetsit a fotit z vetsi dalky.

Da se tam nastavit PIN s tim, ze po, myslim, peti chybnych pokusech se to vymaze a zresetuje do tovarniho nastaveni.

[RealJ]

Ty zijes v chatce nekde v lese ze nemas elektrinu k dobyti cehokoliv? Se ptam pro kamarada…

[Bubak]

Ne, ale obvykle ji s takovymi uzranymi pristroji potrebuju, kdyz zrovna po ruce neni. Kdyz smatlaplacka rika, ze ma 5 procent baterky, muzu si bejt jistej, ze do par hodin chcipne. Muj stary telefen s peti procenty v poho vydrzi jeste den i s nejakym volanim.

[AraxoN]

Obavy z úniku súkromných údajov pri TOTP podľa RFC 6238 môžeš kľudne pustiť z hlavy. Ide o shared secret, tzn. nemáš ho len ty, ale aj tá služba, do ktorej sa prihlasuješ. Ten tajný kód, na základe ktorého sa generujú jednorázové heslá, sa proste nachádza na oboch stranách (u Teba, aj na serveri). Takže žiaden súkromný kľúč. To vysvetľuje aj dôvod, prečo sa nedá jeden TOTP kľúč zdieľať pre viac nezávislých služieb. Technicky to možné je, ale zásadne by to oslabilo bezpečnosť.

[Tomáš]

Tak hlavně druhá strana by to taky měla mít schované v něčem obdobném. Průmyslové HSM (HW security module) stojí docela dost peněz, tak doufám, že aspoň velcí hráči to dělají pořádně.

[_]

Staci pouzit bitwarden a mas tyhle klice jako plugin v prohlizeci.

[karkar]

fakt je to v tom prohlížeči bezpečný? Co když nějaká stránka podvodně ty hesla nebo klíče vyláká? - například tím, že ta správná stránka bude napadená?

[_]

a jak to vyláká? Máš něco hmatatelného nebo si jen kadíš do kalhot? 2 faktor je ochrana před kompromitací hesla od uživatele. Když někdo zjistí heslo. HW tokeny mají svůj smysl, ale to rozhodně není běžný use case. Pro ochranu klientů je certifikát.

[karkar]

nee, kadím do kalhot, děsí mě den kdy můj telefon, na kterém mám všechny faktory včetně bankovní aplikace, napíchne nějaký bot a online mi vysajou konto když se otiskem do toho bankovnictví přihlásím abych poslal peníze za nájem.

[_]

tohle všechno je fajn, ale co v situaci, kdy přijedete o všechno a potřebujete někde “pokračovat v životě”?

Třeba (určitě hypotetická situace - oni by to nikdy neudělali) - rusko napadne Ukrajinu a ty během chvíle musíš zmizet a nestihneš si vzít sebou nic

Tzn pak někde dostaneš nový telefon, možná si vzpomeneš na heslo k apple id, nebo google, ale nepřejdeš přes nějakým takovým způsobem zajištěný druhý faktor.

Co pak?

[RealJ]

V tom lepsim pripade to resis pres podporu… nekdo chce poslat obcanku, ucet,… ja to takhle resil vzdy u stehovani kdy jsem u par malo pouzivanych sluzeb zapomel zmenit cislo

[karkar]

Například bitwarden, v tom můžeš mít uložené v podstatě cokoliv, krom hesel, tak i textové poznámky, je to online, má to multiplatformní klienty, stačí ti znát jedno master heslo... Plus mám na klíčích token. Akorát usb A mi nepříjde moc durable, asi pořídím ten s usb c. Ale 2F v telefonu to neřeší.

[Tomáš]

Pro podobné případy máš samozřejmě hesla a klíče vytištěné hexadecimálně na papíře (záznam na papíře vydrží staletí a je nezávislý na platformě) a máš je zabalené v evakuačním zavazadle. Kromě toho máš kopie v trezorech v několika geografických lokacích.

[karkar]

pozor, některé moderní záznamy na papíře nepřežijou ani pár dní na plném slunku...

[Tomáš]

Samozřejmě musíš použít nějakou rozumnou technologii. Nemusí to být zrovna tiskařská čerň na ručně vyráběném papíru, i laserový tisk na běžném kancelářském papíru vydrží věky.

Termopapír není vhodný na žádné vážnější použití, přesto se používá, a účetní je musejí stále kopírovat.

[karkar]

A pozor i na propisky, některé dnešní "inkousty" v náplních jsou dost UV a tepelně sensitivní.

[cryptanarchizm]

Mate odporuceni na diy reseni na adruinu. Neco, kde nemusim premyslet, koupim display, vytisknu na 3D tiskarne kryt a jedu. Hledat dovedu, ale chci referenci.

[karkar]

To ti možná bude fungovat, ale nebude to bezpečné, protože proprietální drivery, programovací prostředí, chyby, kdokoliv ti to za pár sekund vykopíruje a hackne. Vlastnímu bastlu bych svoje tajemství potažmo bitcoiny fakt nesvěřoval, hlavně když existuje něco jako trezor. Ale good luck.

[a1bert]

https://www.picokeys.com/

[👻]

taková jakoby kalkulačka která nemá knofliky na matematický voperace :D