Tech News

Technik & Digital

So verwenden Sie Ihren YubiKey für TOTP-Codes


YubiKeys sind eine der besten Möglichkeiten, Ihr Online-Leben zu sichern. Diese Hardware-Tokens werden seit ihrer Einführung in den späten 1990er-Jahren sowohl von Unternehmen als auch von Verbrauchern gleichermaßen genutzt. Sie können dabei helfen, die Zwei-Faktor-Authentifizierung (2FA) von Ihrem anfälligen Mobiltelefon zu entfernen und bieten gleichzeitig die Sicherheit, die ein physischer Schlüssel bietet. Die Unterstützung für YubiKeys ist jedoch nicht allgegenwärtig, und obwohl viele wichtige Apps und Websites FIDO-YubiKey-Unterstützung anbieten, ist dies nicht bei allen der Fall. Glücklicherweise gibt es eine andere Möglichkeit, sie zu nutzen.


So verwenden Sie Ihren YubiKey für TOTP-Codes

TOTP-Codes sind normalerweise Barcodes oder QR-Codes, die Sie scannen

So verwenden Sie Ihren YubiKey für TOTP-Codes

Quelle: Unsplash

Sie wissen vielleicht nicht, dass Sie Ihren YubiKey für TOTP-Codes verwenden können, und ich würde Ihnen keine Vorwürfe machen. Man fragt sich leicht, wie um alles in der Welt man einen QR-Code auf einem YubiKey bekommen könnte. Bei den QR-Codes, die Sie sehen, handelt es sich eigentlich nur um ein verschlüsseltes Geheimnis, das als Wert in einem Algorithmus verwendet wird, der eine Schlüsselfolge generiert. Diese Sequenz basiert auf der Zeit und liefert Ihnen alle 30 Sekunden die Informationen, die Sie zum Ändern der Authentifizierungscodes in einer App wie Authy oder Google Authenticator benötigen. Dies wird als OATH-TOTP bezeichnet.


Ihr YubiKey unterstützt dies, und alles, was wir tun müssen, ist, diesen geheimen Wert zu extrahieren und ihn zur späteren Verwendung auf Ihren YubiKey zu laden. Sie können diese Token dann auf Anfrage mit Ihrem YubiKey generieren und benötigen zusätzlich eine physische Hardware-Berührung, um zu verhindern, dass ein kompromittiertes Gerät Ihre TOTP-Codes preisgibt.

Leider unterstützen nicht alle YubiKeys das Laden von OATH-TOTP-Codes. Sie müssen daher die Kompatibilität Ihres Schlüssels auf der Website von YubiKey überprüfen.

Welche Websites unterstützen OATH-TOTP?

Die meisten regulären 2FAs, die für einen Code nicht auf E-Mail oder Textnachrichten angewiesen sind, verwenden TOTP. Sie werden aufgefordert, eine maßgeschneiderte App herunterzuladen (wie Facebook, Google Authenticator oder Microsoft Authenticator) oder eine generische Zwei-Faktor-TOTP-App (wie Authy) zu verwenden, um einen QR-Code zu scannen. Einige dieser Apps stellen die im QR-Code enthaltenen Daten direkt zur Verfügung und stellen Ihnen eine Zeichenfolge zur Verfügung, die Sie in Ihre App einfügen können, wenn Sie den Code nicht scannen können, andere jedoch nicht.


Richten Sie Ihren YubiKey für TOTP-Codes ein

Wir werden diesen Vorgang heute unter macOS durchführen, aber unter Windows ist der Vorgang weitgehend ähnlich. Sie benötigen einen unterstützten YubiKey und die heruntergeladene Yubico Authenticator-App. Beachten Sie, dass es auch mobile Versionen für unterstützte YubiKeys mit Lightning oder USB-C gibt. Die mobile Version würde sich von der YubiKey Manager-App unterscheiden, die wir zuvor verwendet haben, um die Anmeldung bei Ihrem Desktop mit Ihrem YubiKey einzurichten.

Führen Sie die folgenden Schritte aus, um TOTP-Codes auf Ihrem YubiKey einzurichten.

  1. Laden Sie YubiKey Authenticator für Ihre Plattform von der YubiKey-Website herunter. Sie können es auch über den macOS- oder Windows-App-Store oder Ihren mobilen App-Store installieren.
    Yubico-Authenticator

    Quelle: Yubico

  2. Öffnen Sie nach dem Herunterladen den YubiKey Authenticator und verbinden Sie Ihren YubiKey.
    Yubikey-totp-setup

  3. Wählen Sie in der Seitenleiste aus Konten gefolgt von Konto hinzufügen.
    Screenshot, der zeigt, wo Sie Ihrem Yubico Authenticator ein Konto hinzufügen können.

    Quelle: Yubico

  4. Anschließend werden Sie gefragt, ob Sie einen QR-Code scannen oder manuell einen Schlüssel hinzufügen möchten. Wenn Sie ein Mobilgerät verwenden, können Sie einen QR-Code scannen. Alternativ können Sie Ihren Code auch manuell einfügen.
    Yubikey-totp-setup

    Yubico Authenticator hat hier einen coolen Partytrick für macOS- und Windows-Benutzer. Wenn Ihr QR-Code auf Ihrem Computerbildschirm sichtbar ist, können Sie drücken QR-Code scannen und es wird es tatsächlich von Ihrem Bildschirm lesen. Alternativ können Sie Ihren Code in einer Datei speichern (oder einen Screenshot davon erstellen) und das Bild in das Fenster ziehen. Beide Methoden haben bei mir unter macOS hervorragend funktioniert.

  5. Sie werden aufgefordert, einige Details zu bestätigen. Wenn Sie einen Code manuell eingeben, werden Sie aufgefordert, einen Kontoaussteller und einen Kontonamen anzugeben. Die Funktion Ihres QR-Codes wird dadurch nicht beeinträchtigt.
    Yubio-Authenticator-3

  6. Wir empfehlen Ihnen auch, das Häkchen zu setzen Erfordern Berührung An dieser Stelle für zusätzliche Sicherheit. Wenn Sie fertig sind, drücken Sie Speichern.
    Screenshot, der das Require-Touch-Element von TOTP hervorhebt.

  7. Ihr Konto wird nun in Ihrer Kontenliste angezeigt. Wählen Sie Ihr Konto aus und drücken Sie Berechnung um einen neuen Code zu generieren.
    Yubico-totp

  8. Zur Authentifizierung werden Sie aufgefordert, Ihren YubiKey zu berühren.
    Yubico-Touch

  9. Anschließend erscheint ein zeitlich begrenzter Schlüssel. Geben Sie dies in Ihre Anwendung ein, um Ihren Token zu validieren und Ihren TOTP-Schlüssel zu speichern.
    Yubico-TOTP-2


Die Anzahl der Konten, die Ihr YubiKey registrieren kann, ist begrenzt. Beispielsweise ist der YubiKey 5 auf 32 begrenzt. Das sollten Sie also im Hinterkopf behalten, wenn die Fehlermeldung „Kein Speicherplatz verfügbar“ angezeigt wird. Sie können zusätzlich bis zu 25 FIDO2-Hardware-Passkeys registrieren.

Ist das Speichern Ihrer TOTP-Codes auf Ihrem YubiKey sicherer?

Das Speichern Ihrer TOTP-Codes auf Ihrem YubiKey bietet einen erheblichen Sicherheitsvorteil, insbesondere wenn Sie Erfordern Berührung beim Einrichten. Da Ihr YubiKey eine Berührung erfordert, schützt er Ihre TOTP-Codes vor einem kompromittierten Computer, im Gegensatz zu herkömmlichen Authentifizierungs-Apps, die auf den zweiten Faktor verzichten, wenn das Host-Gerät kompromittiert ist. Wenn Sie beispielsweise Authy lokal auf Ihrem Laptop verwenden und ein Angreifer Ihren Computer kompromittieren konnte, könnte er alle durch zwei Faktoren geschützten Konten weiter gefährden, indem er Ihr Passwort stiehlt und Ihr lokales Authy zum Generieren von TOTP-Codes verwendet. Dies wäre mit einem YubiKey, der eine Berührung erfordert, unmöglich, da der Angreifer nicht in der Lage wäre, physisch eine Berührung zu erzeugen, um den YubiKey auszulösen.


Dieses Szenario mag weit hergeholt erscheinen, aber wenn Sie in bestimmten Hochrisikobranchen tätig sind, können die Gefahren hier sehr real sein. Eine ähnliche Kompromittierung mit einem Mitarbeitercomputer führte letztes Jahr tatsächlich zu einem LastPass-Verstoß.

Yubico Authenticator bietet großartige mobile Unterstützung

Das Schöne an einem YubiKey ist, dass viele von ihnen eine mobile Unterstützung haben. Wenn Sie einen Lightning- oder USB-C-Schlüssel (oder auch nur einen Dongle) haben, können Sie Yubico Authenticator für Ihr Mobilgerät herunterladen und dort TOTP-Codes speichern. Dies eignet sich hervorragend zum Schutz Ihrer wichtigen Konten, und es gibt viele YubiKey-Modelle, die gut an einem Schlüsselbund befestigt werden können, weisen jedoch auf einige Risiken bei der Verwendung eines YubiKey hin.

Verwandt

Hier sind fünf großartige Verwendungsmöglichkeiten für Ihren YubiKey

Denken Sie darüber nach, Ihre Sicherheit mit einem YubiKey zu erhöhen? Hier erfahren Sie, wie Sie den maximalen Nutzen erzielen.

Yubico Authenticator ist großartig – aber bewahren Sie Ihre Backup-Codes auf!

Yubico Authenticator ist großartig und stellt eine spürbare Verbesserung der Sicherheit dar. Außerdem können Sie Ihr Hauptgerät sicher als zweiten Faktor verwenden, ohne sich Gedanken über eine Kompromittierung machen zu müssen, die möglicherweise alle Ihre TOTP-Codes offenlegen könnte. Es gibt jedoch einige Gefahren, die Sie beachten sollten. Es ist wichtig, dass Sie Sicherungs- und Wiederherstellungscodes für Ihren Authenticator speichern, denn wenn Sie einen YubiKey verlieren oder kaputt machen, gibt es keine Möglichkeit, diese Codes wiederherzustellen. Ebenso ist es wichtig sicherzustellen, dass die Sicherheit des Geräts, das Ihren YubiKey verwendet, gut geschützt ist. Stellen Sie sicher, dass Ihr Computer, auf dem Yubico Authenticator ausgeführt wird, über ein sicheres Passwort verfügt, und legen Sie optional für jeden Ihrer TOTP-Codes ein Passwort oder einen Passcode fest, um die Sicherheit zu erhöhen.


YubiKeys sind eine großartige Ergänzung für Ihre Sicherheit und können eine relativ günstige Investition sein, die wir jedem empfehlen würden. Stellen Sie einfach sicher, dass Sie auf das Schlimmste vorbereitet sind und sichern Sie Ihre TOTP-Codes und Wiederherstellungscodes an einem sicheren, zugänglichen Ort.



Source link