YubiKey und security by obscurity

[Marco Moock]

Hallo zusammen!

Da bei uns aktuell 2FA diskutiert wird, habe ich mich näher mit dem
Yubikey befasst.
Was mir daran extrem suspekt ist: Das Ding ist wohl security by
obscurity der feinsten Art.

Zitat aus Wikipedia:
|YubiKeys sind in wasserdichten Gehäusen manipulationsgeschützt
|vergossen.

|Er ist gegen ein Auslesen gesicherter Speicher und aller
|Schnittstellen wie USB-Anschluss und NFC-Schnittstelle geschützt.

|Das Kunststoffgehäuse der ersten YubiKey-Versionen wie YubiKey Neo
|ließ sich in siedendem Aceton leicht chemisch auflösen. Dadurch war die
|Leiterplatte zerstörungsfrei zugänglich.

Was ist der Grund dafür?
Basiert deren Sicherheit darauf, dass das niemand ausliest?

Haben die Hintertüren verbaut, die sie verstecken müssen?

Jedenfalls ist das alles andere als vertrauenserweckend für mich.

[Georg Schwarz]

Post by Marco Moock
Basiert deren Sicherheit darauf, dass das niemand ausliest?

Die Sicherheit basiert darauf, dass kein Angreifer eine Kopie herstellt,
also ihn nicht ausliest.
Das könnte man natürlich auch dadurch gewährleisten, dass er keinem
Dritten in die Hände fällt. Falls das doch geschieht, soll das (vor
allem unbemerkte) Auslesen eben so schwer wie möglich gemacht werden.
(Stichwort Evil Maid Attack).

[Marco Moock]

Post by Georg Schwarz
Die Sicherheit basiert darauf, dass kein Angreifer eine Kopie
herstellt, also ihn nicht ausliest.
Das könnte man natürlich auch dadurch gewährleisten, dass er keinem
Dritten in die Hände fällt. Falls das doch geschieht, soll das (vor
allem unbemerkte) Auslesen eben so schwer wie möglich gemacht werden.
(Stichwort Evil Maid Attack).

Könnte man das nicht dadurch erreichen, dass man den verschlüsselt und
nur der Eigentümer das Passwort kennt?
Der Angreifer bräuchte das dann auch, um an die Daten zu kommen.

[Peter J. Holzer]

Post by Marco Moock

Post by Georg Schwarz
Die Sicherheit basiert darauf, dass kein Angreifer eine Kopie
herstellt, also ihn nicht ausliest.
Das könnte man natürlich auch dadurch gewährleisten, dass er keinem
Dritten in die Hände fällt. Falls das doch geschieht, soll das (vor
allem unbemerkte) Auslesen eben so schwer wie möglich gemacht werden.
(Stichwort Evil Maid Attack).

Könnte man das nicht dadurch erreichen, dass man den verschlüsselt und
nur der Eigentümer das Passwort kennt?

Würde den Zweck verfehlen. Es soll "something you have" sein, nicht
"something you know".

hp

[Arno Welzel]

Post by Marco Moock

Post by Georg Schwarz
Die Sicherheit basiert darauf, dass kein Angreifer eine Kopie
herstellt, also ihn nicht ausliest.
Das könnte man natürlich auch dadurch gewährleisten, dass er keinem
Dritten in die Hände fällt. Falls das doch geschieht, soll das (vor
allem unbemerkte) Auslesen eben so schwer wie möglich gemacht werden.
(Stichwort Evil Maid Attack).

Könnte man das nicht dadurch erreichen, dass man den verschlüsselt und
nur der Eigentümer das Passwort kennt?

Dazu müsste der Eigentümer halt auch ein Passwort eingeben. Genau das
ist ja die Idee bei Yubikey - man verwendet das Ding *statt* eines
Passworts. Außerdem wäre die Eingabe des Passworts unsicher, wenn dafür
eine Software nötig ist, die dem Ding die Eingabe via USB übermitteln muss.

Betrachte den Yubikey einfach wie einen Haustürschlüssel - die
Sicherheit entsteht dadurch, dass er bei bestimmungsgemäßem Gebrauch und
ohne physischen Zugriff durch Dritte nicht kopierbar ist.

[Christian Weisgerber]

Post by Marco Moock
Da bei uns aktuell 2FA diskutiert wird, habe ich mich näher mit dem
Yubikey befasst.
Was mir daran extrem suspekt ist: Das Ding ist wohl security by
obscurity der feinsten Art.

Nein. Bei „security by obscurity“ sind die Verfahren geheim. Ein
Geheimnis wie ein Passwort oder ein privater Schlüssel fallen nicht
darunter. Und die Yubikeys kombinieren wohlbekannte, standardisierte
Verfahren mit nicht auslesbaren Geheimnissen.

Post by Marco Moock
|Er ist gegen ein Auslesen gesicherter Speicher und aller
|Schnittstellen wie USB-Anschluss und NFC-Schnittstelle geschützt.
Basiert deren Sicherheit darauf, dass das niemand ausliest?

Ja! Das ist ja der Sinn von solchen Authentifikatoren.

Post by Marco Moock
Jedenfalls ist das alles andere als vertrauenserweckend für mich.

Wenn dir an einer offenen Implementierung liegt, dann schau dir die
Konkurrenz von SoloKeys an. (Meine Güte, ist der V2 denn immer noch
nicht erhältlich??)

[Enrik Berkhan]

Post by Christian Weisgerber
Wenn dir an einer offenen Implementierung liegt, dann schau dir die
Konkurrenz von SoloKeys an. (Meine Güte, ist der V2 denn immer noch
nicht erhältlich??)

$ lsusb
Bus 003 Device 008: ID 1209:beee Generic Solo 2 Security Key
Bus 003 Device 002: ID 0483:a2ca STMicroelectronics Solo 4.1.2

Leider bin ich seit Monaten nicht dazu gekommen, den aktiv in Betrieb zu
nehmen. Die 1er tun ja noch ...

Gruß,
Enrik

[Takvorian]

Post by Marco Moock
Jedenfalls ist das alles andere als vertrauenserweckend für mich.

Die Realität spricht aber offensichtlich eine andere Sprache:
| Keiner der 85.000 Google-Angestellten fiel im vergangenen Jahr
| im Internet auf Betrüger rein — dank eines simplen 20-Dollar-Produkts
https://www.businessinsider.de/tech/googles-angestellte-entgehen-phishing-mihilfe-von-yubikey-security-key-2018-7/
Das ist doch eine gute und somit vertrauenserweckende Bilanz.

[Arno Welzel]

Post by Marco Moock
Da bei uns aktuell 2FA diskutiert wird, habe ich mich näher mit dem
Yubikey befasst.
Was mir daran extrem suspekt ist: Das Ding ist wohl security by
obscurity der feinsten Art.
|YubiKeys sind in wasserdichten Gehäusen manipulationsgeschützt
|vergossen.
|Er ist gegen ein Auslesen gesicherter Speicher und aller
|Schnittstellen wie USB-Anschluss und NFC-Schnittstelle geschützt.
|Das Kunststoffgehäuse der ersten YubiKey-Versionen wie YubiKey Neo
|ließ sich in siedendem Aceton leicht chemisch auflösen. Dadurch war die
|Leiterplatte zerstörungsfrei zugänglich.

Ja - hier dokumentiert:

<http://www.hexview.com/~scl/neo/>

Ein Zugriff auf die Chips und insbesondere deren Inhalt, wurde aber
nicht demonstriert.

Post by Marco Moock
Was ist der Grund dafür?

Der obige Bericht. Zitat:

"It looks like Yubico took criticism well and redesigned the case. The
key ring hole is now more robust and Yubikey 5 uses chemical-resistant
plastic. Good!"

Post by Marco Moock
Basiert deren Sicherheit darauf, dass das niemand ausliest?

Korrekt. In Ding ist ein Schlüssel gespeichert, der über USB nicht
auslesbar ist. Darüber hinaus will man es Angreifern so schwer wie
möglich machen, unter Umgebung von USB direkt auf die Hardware zugreifen
zu können.

Post by Marco Moock
Haben die Hintertüren verbaut, die sie verstecken müssen?

Nein. Das Teil wurde bewusst anders gestaltet, damit Angreifer es nicht
ganz so leicht haben, an die Elektronik zu kommen.

Post by Marco Moock
Jedenfalls ist das alles andere als vertrauenserweckend für mich.

Du missverstehst offenbar das Prinzip. Yubikey ist ein zweiter Faktor
für "ich besitze etwas" - eben den Key, den niemand anderer haben kann,
weil er nicht kopierbar ist. In der Theorie kann ein Angreifer mit viel
Aufwand vielleicht den Chip auslesen - aber das wird ihm das so schwer
wie möglich gemacht. Wenn Du als Eigentümer des Dings außerdem darauf
achtest, es mindestens so sorgfältig zu behandeln wie den Schlüssel zu
deiner Wohnung, Auto etc. dann ist das schon sehr sicher.

Das Protokoll U2F ist ebenfalls nicht geheim:

<https://de.wikipedia.org/wiki/U2F>

<https://fidoalliance.org/specifications/download/>