zhovner Apr 27 2015 at 08:01

Двухэтапная аутентификация в браузере с помощью USB-токена U2F

13 min

86K

Information Security*Cryptography*Google Chrome

+36

Comments 59

ohm Apr 27 2015 at 09:02

Проверяет ли Google смену IMSI?

zhovner Apr 27 2015 at 09:06

Насколько мне известно — нет. Но можно убрать телефон в способах восстановления утраченного доступа оставив его только в двухэтапной аутентификации, тогда нельзя будет угнать аккаунт при перевыпуске SIM-карты.

Точно проверяет IMSI Альфабанк и WebMoney.

intelligence Apr 27 2015 at 10:57

Вот самое интересное, что Альфабанк проверяет не всегда, за последнее время 3 раза менял сим карту (смена формата и переход на lte). И ни разу не было никаких проблем, хотя, до этого менял симку и пришлось обращаться в колл-центр.

zhovner Apr 27 2015 at 11:01

Странно. Что по этому поводу скажут представители Альфабанка verybigman RockBee ZTamara denisx

xforce Apr 27 2015 at 09:10

При этом ключи предустановлены при производстве и никогда не покидают токен

А каким образом убедиться, что там нормальные ключи теперь, а не 15 бит энтропии?

xforce Apr 27 2015 at 09:19

И даже более того — у производителя может лежать копия этого ключа. Поломают производителя, угонят базу ключей и абзац безопасности…

zhovner Apr 27 2015 at 09:21

Не знаю. Вот неплохой тред об этом security.stackexchange.com/questions/71316/how-secure-are-the-fido-u2f-tokens
Еще есть разговоры что в используемом алгоритме эллиптических кривых NIST есть закладка classic.slashdot.org/story/13/09/11/1224252

UFO just landed and posted this here

RZimin Apr 27 2015 at 09:19

Правильно ли я прочитал, что U2F умеет только NEO?

zhovner Apr 27 2015 at 09:29

Нет, еще EDGE, EDGE-N, NEO-N и синий. Вот удобная таблица www.yubico.com/products/yubikey-hardware
По запросу «U2F» на amazon можно найти токены по 5 баксов.
Мелкие удобно утапливаются в USB порту и не торчат

RZimin Apr 27 2015 at 09:45

Спасибо, просто не увидел на сайте дистрибьтора Edge. Вот он как раз кажется оптимальным вариантом.

ErshoFF Apr 27 2015 at 10:00

Мелкие на амазоне (поиск по YubiKey,Nano, U2F и комбинации) показал минимальную цену 25 баксов. Дешевле не нашел.

zhovner Apr 27 2015 at 10:01

Ошибся, шесть баксов www.amazon.com/Plug-up-International-U2F-SK-01-FIDO-Security/dp/B00OGPO3ZS/ref=sr_1_3?ie=UTF8&qid=1430118083&sr=8-3&keywords=u2f

ErshoFF Apr 27 2015 at 10:04

Хотелось именно скрыть в порту USB, как на вашей картинке.
Этот будет торчать.

CAJAX Apr 27 2015 at 11:21

Plug-up можно обрезать ножницами или обточить напильником. Схема спрятана непосрественно под контактной площадкой.

intnzy Apr 27 2015 at 10:54

Отличный вариант потерять все и сразу вместе с буком!

ColorPrint Apr 28 2015 at 12:29

У меня такой, очень удобно пользоваться и носить )

zhovner Apr 28 2015 at 13:37

А openPGP тоже уязвим?

ColorPrint Apr 28 2015 at 14:29

Не проверял, не использую openPGP

la0 Apr 27 2015 at 09:46

del

gto Apr 27 2015 at 10:05

При выборе Юбикейа имейте в виду, что до версии 1.0.9:

developers.yubico.com/ykneo-openpgp/SecurityAdvisory%202015-04-14.html

zhovner Apr 27 2015 at 10:06

Я об этом написал. Это касается только функционала openpgp.

gto Apr 27 2015 at 10:10

Ага, поздно заметил. Стал искать по 1.0.9 и не нашёл. Пардоньте. Вы, кстати, свою заменили? Долгая процедура?

zhovner Apr 27 2015 at 10:13

В саппорте мне пообещали заменить, правда пока непонятно как, ведь в Украину они не шлют.
Тема на форуме об этом forum.yubico.com/viewtopic.php?f=26&t=1854

ProRunner Apr 27 2015 at 11:20

А какая процедура восстановления доступа ко всем сервисам при потере токена?

CAJAX Apr 27 2015 at 11:22

Это зависит от сервиса. Гугл выдает десяток запасных кодов.

zhovner Apr 27 2015 at 11:23

Это зависит от конкретного сервиса, кто как хочет так и реализовывает.
Например гугл позволяет привязать сразу несколько токенов к одному аккаунту и обязательно требует активировать альтернативный способ авторизации, например OTP или по SMS. Еще есть одноразовые бекап-коды.

ProRunner Apr 27 2015 at 11:30

Тогда не вижу преимуществ над двухэтапной аутентификацией по смс, если через смс же можно восстановить доступ.

zhovner Apr 27 2015 at 11:31

SMS можно полностью отключить и отвязать телефон если выбрать альтернативным вторым фактором OTP, он же Google Authenticatior.

as1an Apr 27 2015 at 15:23

del

lSDriim Apr 27 2015 at 15:40

Здесь вон вообще целый компьютер на линукс предлагают за 49 баксов www.amazon.com/s?marketplaceID=ATVPDKIKX0DER&me=A3V6YOGK9LVOC6&merchant=A3V6YOGK9LVOC6&redirect=true тоже вроде U2F поддерживает

UFO just landed and posted this here

zhovner Apr 27 2015 at 18:57

проверенным динамическим RSA-токеном

Каким например?

UFO just landed and posted this here

nochkin Apr 27 2015 at 19:49

Но ведь RSA token надо тоже покупать дополнительно.
Кстати, если есть от него ключ, то можно установить приложение на тот же смартфон и не таскать с собой токен.

UFO just landed and posted this here

nochkin Apr 27 2015 at 19:47

Часто USB закрыт на запись только для USB flash mass media storage устройств. Клавиатура/мышка обычно сидят на USB в виде HID. Если HID разрешено, то токен в виде HID должен работать.
Я только один раз встречал (да и то по-наслышке), что заблокировали USB полностью физическим отключением на мамке, а клавиатура/мышка были на PS/2.

UFO just landed and posted this here

nochkin Apr 27 2015 at 22:44

Про интернет-клубы не подумал, так как не сталкивался. Я больше про корпоративные решения.

По поводу RSA на смартфонах есть такие приложения:
Android
iOS
BlackBerry 10
Можно добавить RSA токен и пользоваться вместо свеого без страха, что забыл дома (учитывая, что обычно телефон мы забываем намного реже).

zhovner Apr 27 2015 at 22:56

TOTP намного более популярен, стандартизирован. Поддерживается Google, Github, Paypal, Dropbox, Evernote, Amazon, Heroku. Полно реализаций как аппаратных, так и софтовых. Зачем нужен этот secureID в таком случае?

nochkin Apr 27 2015 at 23:07

Как я понял, преимущество проприетарного RSA SecurID в том, что он уже есть на руках у ntfs1984. Это и обсуждается.
RSA SecurID является достаточно популярным токеном в корпоративном мире.

UFO just landed and posted this here

zhovner Apr 27 2015 at 23:16

>то что популярно

Где используется SecureID?

UFO just landed and posted this here

stansult Apr 28 2015 at 06:31

с анализатором рисунка сетчатк

Почти по теме — я недавно купил себе ноутбук с какой-то странной прорезью на корпусе.
Провёл по ней пальцем — оказалось, анализатор отпечатка пальца :)
Всегда считал это каким-то нелепым неудобным пижонством.
А теперь, попробовав, оценил: действительно, удобно!

gvozd1989 Apr 27 2015 at 18:50

Кто-нибудь в курсе, возможно ли проводить аутентификацию не нажимая кнопку, а автоматически?

zhovner Apr 27 2015 at 19:07

Токены без кнопки выключаются после авторизации и их нужно вытаскивать и включать заново для каждого раза. Вот этот например www.amazon.com/Plug-up-International-U2F-SK-01-FIDO-Security/dp/B00OGPO3ZS/ref=sr_1_3?ie=UTF8&qid=1430150377&sr=8-3&keywords=U2F

ColorPrint Apr 28 2015 at 12:36

Мне кажется с кнопкой как раз удобнее. Особенно вон та миниатюрная модель выше, утапливаемая в корпус.

volnov Apr 27 2015 at 21:08

Есть ли смысл юзать LastPass с таким ключиком?

zhovner Apr 27 2015 at 22:35

Зависит от уровня паранойи, LastPass умеет OTP, так что можно ограничиться им.

istui Apr 27 2015 at 23:20

Насколько анонимна такая штука — можно ли связать несколько сервисов по использованию одного и того же ключа?

Насколько она надежна — каков шансы, что токен внезапно умрет (от чего, кстати? статика? наработка на отказ?)?
Что делать с аккаунтом в таком случае, вроде бы, уже описали выше…

zhovner Apr 28 2015 at 13:39

можно ли связать несколько сервисов по использованию одного и того же ключа?

Да

каков шансы, что токен внезапно умрет (от чего, кстати? статика? наработка на отказ?)?

Не знаю.

Iskin Apr 28 2015 at 02:47

А можно ли авторизоваться с телефона?

zhovner Apr 28 2015 at 13:43

Где именно? В приложении/сайте на телефоне можно авторизоваться брелком с помощью NFC.
Телефоном как U2F токеном на компьютере, вероятно можно, если сделают SIM-карты с U2F или программную эмуляцию на телефоне.

Iskin Apr 28 2015 at 14:47

А как выглядит авторизация в приложении/сайте?

zhovner Apr 28 2015 at 14:49

Точно так же, как и в десктопном браузере, правда насколько я знаю еще нет ни одной реализации U2F на смартфонах.
Но в теории достаточно будет просто поднести токен к телефону.

Вот типа такого grepular.com/An_NFC_PGP_SmartCard_For_Android

elfuegobiz Apr 28 2015 at 20:39

Спасибо большое за сообщение о баге и замене!

zqZhil Jun 17 2015 at 01:32

Мельком поискал «is it possible to clone Yubikey» — наткнулся на www.yubico.com/faq/backup-yubikey

Получается, если покупать Yubikey из «ненадежного» источника — стоит обязательно перезалить ключи шифрования, чтобы не оказалось, что там залиты ключи злоумышленника?

zhovner Jun 17 2015 at 12:10

Ну например pgp ключей на токене с завода нет, их предполагается либо сгенерировать на устройстве без возможности извлечь, либо залить свой существующий ключ.

Show the best of all time