Yubikey. Co to je a co to umí (2) (diskuse)

[Raketa]

Zazálohovat si klíč je dobré nejen kvůli ztracení tokenu, ale i kvůli jeho případné budoucí nefunkčnosti nebo zničení. Yubikey umí generovat klíč i přímo v sobě, ale nejde pak vyexportovat, což zůžuje použitelnost v praktickém životě.

[pavele]

Chtěl bych jenom upozornit, že jsem zkoušel importovat stejný klíč na jiný token (pro případ fyzické poruchy nebo zničení tokenu).

To proběhlo úspěšně, ale následná autorizace pomocí druhého tokenu nefungovala.

Někde tady na ábíčku jsem se ptal na vysvětlení a nemůžu to najít. Vysvětlení se týkalo jiného ID druhého tokenu, takže ta záloha klíče mi byla k ničemu, pozor na to...

[Bystroushaak]

Mělo by to ale stále jít importovat přímo do GPG, ne? Jak jsi ten klíč exportoval?

[pavele]

Normálně jsem si na disku vytvořil klíč, zazálohoval a pak postupně importoval na dva tokeny. Exportoval jsem to na veřejný klíč přes openpgp2ssh (ten první token).

[veveričkaplešatá]

Chválim autora tento článok je už krajší Ešte by som chcel položiť otázku k YubiKey 4 Nano funguje tak isto ze sa potvrdzuje dotykom ? alebo nie ?

[alkoholik]

A na co bys tam chtel sahat? Vzdyt to zabere tak akorat USB konektor.

[Bystroushaak]

Zadní strana afaik funguje pořád jako kapacitní snímač. Alespoň podle toho jejich prohlášení:

Other than size, there is no difference between the keychain and nano version of the YubiKey 4.

[Michal Kubeček]

Tady se taky píše "S využitím obyčejného dotyku Vašeho prstu…". Ale to mohli klidně zkopírovat z popisu "dospělé" varianty.

[Filip Jirsák]

Na dotyk reaguje ta hrana (oblouk), který čouhá z USB portu. Alespoň to tak bylo u předchozích verzí.

[veveričkaplešatá]

ano svoju lenivost som si podcenil , pravdepodobne to funguje kukal som nato videa na tube , a malo by ist potvrdzovanie , aspon na novom kluci :) tak pravdepodobne si to do mesiaca kupim :) ale este si to budem musiet nastudovat budem to sledovat co a ako , vyzera to byt uz zaujmavesie ..

[alkoholik]

Po par pokusech s Ubikey 4 jsem dospel k zaveru, ze pro vzdaleny pristup je rozumnejsi pouzivat PKI applet misto GPG.
Stejny A klic se pak da pouzit pro OpenVPN i SSH, muzes pouzivat i EC klice a GPG emulovat pres gnupg-pkcs11-scd.
BTW: o tvrzeni "zatím jsou podporované pouze 2048bitové klíče" by se dalo s uspechem pochybovat.

[Bystroushaak]

BTW: o tvrzeni "zatím jsou podporované pouze 2048bitové klíče" by se dalo s uspechem pochybovat.

Ten článek jsem psal v lednu. Vycházel jsem z: THE BIG DEBATE, 2048 VS. 4096, YUBICO’S POSITION, kde je doslova uvedeno:

Both the NEO and the NEO-n implement OpenPGP and support RSA up to 2048 bits. This is not a constraint from Yubico, but rather a hardware limitation of the NXP A700x chip used within the YubiKeys.

Docela mě to zarazilo, tak jsem hledal informace o Yubikeyi 4, ale všude co jsem našel opakovali tu samou informaci, kterou jsem v tu dobu nenašel nikde vyvrácenou.

Máš ale pravdu a nyní se mi podařilo najít: YUBIKEY 4(096): YOU ASKED, WE DELIVERED.

[Bystroushaak]

+ mě teda zarazilo to

Key attributes ...: 2048R 2048R 2048R

z gpg2 --card-status.

[rkapl]

Nicmene 4096 bitu je podporovano jen v PGP modu, ne v PIV/PKCS11.

[alkoholik]

Jo, abych nezapomnel. Pro PAM auth v Ubuntu pekne funguje balikovy libpam-poldi.

[nitro]

FYI: alternativa NitroKey https://www.nitrokey.com/ OSS SW i HW zni hezky. Mohl by nekdo vysvetlit, jestli "chci" (nevim, co chci :P) tu Pro/HSM verzi? dik

[Bystroushaak]

Tam ale není to hardwarové tlačítko, ne? Tzn to funguje jen jako smartcarda bez autorizace fyzickou akcí.

[nitro]

zda se mi, ze ano (tlac. neni). Coz je skoda. Mozna by se dalo misto fyz. akce tlacitkem dat akci "USB je/neni zasunute"

[Bystroushaak]

Jo, to mě napadlo, ale nepřijde mi to moc praktické. Hlavně to má ten problém, že jak to jednou zasuneš a útočník si sniffne heslo, tak může dešifrovat / podepisovat co hrdlo ráčí. U toho yubikeye by k tomu potřeboval vždycky další dotek.

[Jiří VALENTA]

Koupit se dají s českou zárukou a slušnou cenu na www.yubikeys.cz

Osobně vyzkoušeno.

[Bystroushaak]

Jop. To už někdo upozorňoval v diskuzi, bohužel v době psaní článku ten obchod ještě neexistoval, tak jsem to musel objednávat z amazonu.