Allvarlig säkerhetsbrist – Yubikey kan klonas

Kostar låset (nyckeln) 115 000kr, kan det bara betyda en sak: den skyddar någonting mycket mer prisvärt, om man kommer åt det.

Fysisk access är fortfarande en ganska stor grej att överkomma, så det lär inte vara en attack som kommer gå brett på många användare

Dock bör det såklart sabba deras trovärdighet och möjlighet till användning i större säkerhetslösningar

https://youtu.be/jHbyxG6Cc74?si=QQGgDYUVr_Dr6zqW

Känns som en redig storm i ett vattenglas.

Med tanke på hur dåliga lösenord som har visat sig användas skarpt i kritiska system, så skulle jag inte känna mig så lugnad av det.

En YubiKey kommer på vift en fredagskväll som hamnar i farliga händer, nyckeln extraheras och kopieras ut till distruberade attackvektorer, några matchar konton med läckta lösenord, info sammanställs och när personen är tillbaka på jobbet så upptäcks det att nyckeln är borta tillsammans med ett utpressningsbrev i brevlådan. Alternativt upptäcks originalnyckeln i vad som ser ut som överkört tillstånd på parkeringen.

Inte så otänkbart scenario. Liknande attack går naturligtvis att göra med bara en stulen YubiKey men då är man begränsad till exakt en kopia av nyckeln som behöver lämnas tillbaka.

Korrekt, och sidan måste tillåta många upprepade försök för att extrahera nödvändig data.

Kul pryl. Antar att det måste finnas mjukvara installerad på den enhet man vill använda nyckeln?

Bökigt om jag vill logga in på ett av mina konton från någon annans dator, kompis eller på jobbet typ?

Och de mest kritiska ligger väl ändå i intranät? Annars är det väl inte speciellt säkert...

Så om jag får fråga:
Med en sån här nyckel, typ den billigaste "Security Key C NFC" så kan jag göra så att min mejl inte går att logga in på utan att också fysiskt använda nyckeln genom att stoppa in den i telefonen eller datorn?

Är det alltså möjligt att ställa in det så att det helt enkelt inte går att logga in på något annat sätt om man vill?
Såklart pratar jag om en mejl som finns med under "Works With YubiKey"

För det låter ju väldigt bra att ha till en mejl som man kanske använder till känsliga uppgifter som att ha kontakt med myndigheter, sjukvården och liknande!
Åtminstone så hade det känts skönt för en själv

Du lär ju ha minst två eller tre i så fall. Ganska lätta att tappa bort eller annat

Om tjänsten faktiskt stöder ett sådant läge: ja!
Det är ju själva grejen med denna typ av enheter, men det är ju även väldigt beroende av att tjänsten faktiskt nyttjar funktionen på ett bra och konsekvent sätt.

Det som är värt att notera är ju att många tjänster snarast anpassar sig ju efter den stora massans ointresse för säkerhet, då faktiskt höjd säkerhet brukar kräva att användaren tar eget ansvar, vilket ju inte går hem.
Det hela brukar då yttra sig i form av att man avsiktligt bygger bakvägar för att ändå ge åtkomst till kontot om användaren "låst sig ute". En sådan bakväg blir då ofta det enklaste sättet för vem som helst att kunna logga in, oavsett hur säker den vanliga inloggningen gjorts.

Värt att betänka, just så att det inte blir den här typen av lösning i praktiken:

Ja, OM det är en tjänst som faktiskt är konsekvent vad gäller säkerheten så bör man ju inte göra sig helt beroende av en enda nyckel. Antingen då att ha flera, eller om man får någon återställningskod på förhand t.ex, så får man se till att verkligen ha den sparad på ett säkert och välbackupat sätt.

Svarar båda här:

Det är det jag tänkte på också att jag undrar om det skulle gå att ha så att man verkligen enbart kunde öppna med nyckeln och ingen bakväg alls.
Men det känns farligt också som medbor säger.

Min sista tanke då som skulle, för mig, kännas både smidig och säker är att den enda bakvägen är ett sms med en kod tex.

I min hjärna, utan att ha testat, känns det smidigare att bara stoppa in nyckeln och ha den där medans man sitter vid datorn tex, eller när man kollar mejl på telefonen, än att varenda gång på en kod på sms som man ska skriva in.
Men att om man tappar bort nyckeln så kan man då låsa upp den med sms-kod.

Vet inte om det är säkrare än något annat men det känns smidigt för min del om jag vill ha den specifika mejlen stängd jämt!

Å andra sidan förtar detta lite av poängen med en andra faktor, om någon stjäl din laptop och lyckas komma in på den...

Tack!

Men så du menar alltså att jag inte kan göra det jag hoppades på med just protonmail?
Alltså att i första hand låsa upp bara med nyckel men att om man tappar bort nyckeln så behöver jag kunna logga in med sms-kod eller authenticator tex?

Det är ju jättedåligt isåfall men jag kanske missuppfattade exakt vad du menade gällande just protonmail!

Jag har inte en bärbar dator som jag tänkte ha nyckeln i hela tiden utan vad jag menar är att jag ska ha en nyckel som jag sätter i datorn när jag sitter vi den på kvällarna och sen på dagarna så har jag med den nyckeln, eller en annan, så jag kan sätta in den i telefonen för att öppna min mejl!

Okej jag förstår!

Jag får helt enkelt läsa på lite mer om just det jag vill använda det till innan jag köper så jag inte gör det i onödan!

Jag hoppades ju på att enbart kunna använda nyckeln och då en kod just efter man satt i nyckeln!

Ja en webläsare tex. FIDO/webauthn är en standard som funkar i windows, mac, iphones, android och i stort sett alla webbläsare, ingen mer mjukvara krävs.

Jag skulle säga att det tom är enklare. Sure du behöver ha nyckeln med dig, men det är lite som dina andra nycklar eller telefonen för 2FA. Men om du kör passkey med den så behöver du bara nyckeln och en pinkod, inga lösenord. Det är även nätfiske säkrat i stor mån* eftersom datorn och nyckeln bara låter dig logga in på samma sida som skapade den.

Motsatsen är ju att skriva av ett långt lösenord från telefon är omständigare tycker jag, förutsatt att man kommit så långt att man har unika och långa lösenord på alla tjänster.

*Det finns fortfarande en risk att logga in på tvivelaktiga datorer som tex kan sno dina sessions kakaor. Tex bibliotek eller internet cafeer.

Dom fysiska nycklar jag hanterat är också endast för att accessa det du behöver fysiskt, inte så att man kan sitta hemma med nyckeln och VPN för att accessa dom burkarna. då snackar vi ordentligt skalskydd innan, även om X kommer åt nyckeln och kan klona den kommer ju hen inte en cm in på lokationen där hårdvaran finns.
Problemet är väl i såfall slappa IT muppar som klonar för att slippa hämta nyckeln i nåt kassaskåp el liknande.

Så man kan alltså om man har fysisk access till nyckeln och en bra lång stund och dyr utrustning att kopiera den sen komma åt mina konton, istället för att bara sno nyckeln rakt av?

Känns inte direkt som något som påverkar vanliga användare särskilt mycket. Man lär ju vara varse om nyckeln försvunnit för kopiering på samma sätt som man lär vara varse om att den blivit stulen.

Känns som risken att den blir stulen är betydligt större och dessutom enklare för den kriminella.

Det här är stöld med extra steg.

Det krävs att man touchar nyckeln fysiskt. Det går alltså inte att hämta information från nyckeln om man tagit över datorn, med typ ett "virus", root kit etc.. Enda nackdelen är väl i så fall att nyckeln följer med datorn när man snor den och tjuven slipper leta i dina fickor också. Men sen ska man inte glömma att Yubikey är 2FA. De behöver fortfarande ditt lösenord.

Därav det jag skrev: om någon - som råddes i inlägget jag svarade på - alltid har MFA-nyckeln sittande i sin laptop, så betyder en stöld av laptopen att tjuven i praktiken har enkelfaktorinloggning till allt man säkrat med den fysiska nyckeln.