Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > ger.ct > #610507 > unrolled thread

Fido2, Passphrase: Fragen zum Verständnis

Back to article view | Back to ger.ct

Contents

  Fido2, Passphrase: Fragen zum Verständnis t.r.h@gmx.net (Torsten Rüdiger Hansen) - 2023-11-16 16:13 +0100
    Re: Fido2, Passphrase: Fragen zum Verständnis Lothar Kimmeringer <news201705@kimmeringer.de> - 2023-11-16 21:18 +0100
      Re: Fido2, Passphrase: Fragen zum Verständnis Dietz Proepper <dietz.usenet@rotfl.franken.de> - 2023-11-17 08:24 +0100
        Re: Fido2, Passphrase: Fragen zum Verständnis Lothar Kimmeringer <news201705@kimmeringer.de> - 2023-11-17 09:19 +0100
          Re: Fido2, Passphrase: Fragen zum Verständnis Dietz Proepper <dietz.usenet@rotfl.franken.de> - 2023-11-17 09:44 +0100
          Re: Fido2, Passphrase: Fragen zum Verständnis Michael Bode <m.g.bode@web.de> - 2023-11-17 20:41 +0100
            Re: Fido2, Passphrase: Fragen zum Verständnis Dietz Proepper <dietz.usenet@rotfl.franken.de> - 2023-11-18 10:12 +0100
              Re: Fido2, Passphrase: Fragen zum Verständnis Michael Bode <m.g.bode@web.de> - 2023-11-18 12:18 +0100
                Re: Fido2, Passphrase: Fragen zum Verständnis Dietz Proepper <dietz.usenet@rotfl.franken.de> - 2023-11-18 12:41 +0100

#610507 — Fido2, Passphrase: Fragen zum Verständnis

Hallo,

vor ca. einem Jahr waren mehrere Artikel in der c't wie man
FIDO2-Schlüssel verwenden kann. Irgendwie war mir das aber doch noch
nicht alles "durchsichtig" genug, ich habe einen FIDO2-Schlüssel als USB
für den Rechner gekauft und einen als NFC-Verson fürs Händie. Nun aber
lese ich in der aktuellen c't, das diese Schlüssel "nur" 25 Passworte
bzw. Zugänge speichern können. Das soll nun u.a. durch Passphrasen
"verbessert" werden. 

Wie soll das in der Praxis ablaufen? Am Desktoprechner kann ich ja den
FIDO2-Schlüssel dauerhaft einstecken. Der öffnet denn ein Passwortsafe,
wo die Passphrasen für div. Anwendungen (div. Emailkonten, Webseiten)
hinterlegt sind? 

Interessant wird es bei Mobilgeräten: Neben dem MacOS auf dem
Heimrechner habe ich noch ein Händie mit NFC, ein Tablett ohne NFC und
ein TUX-Notebook im Gebrauch. Der NFC-Schlüssel hat ja zusätzlich einen
"normalen" USB-Anschluß, aber mit blanken Kontakten (ungeschützter
Stecker). Hält so ein Schlüssel den jahrelangen Gebrauch am dicken
Schlüsselbund aus ohne mechanisch beschädigt zu werden? (YubiKey 5 NFC)
Oder braucht der wieder einen (weiteren, mechanischen) Schutz? Mit NFC
stelle ich mir das einfach vor, einfach Händie an die Hosentasche
halten. Aber beim Tablett, wo das Teil eingesteckt werden muß? Reicht
es, bei aufwecken des Tabletts einmal einzustecken oder muß der dann
wackelig (wegen zusätzlichem Adapter USB-A auf USB-C) die ganze Zeit im
Gerät stecken? 

Hat da schon jemand Erfahrungen die mehrere Monate abdecken? 

-- 
Antworten auf öffentlich gestellte Fragen bitte NUR öffentlich. 
Ich wohne nicht im Rechner, Antworten könnten ein paar Tage 
dauern.                                              Grüße von T.R.H.

[toc] | [next] | [standalone]

#610545

Torsten Rüdiger Hansen wrote:

> vor ca. einem Jahr waren mehrere Artikel in der c't wie man
> FIDO2-Schlüssel verwenden kann. Irgendwie war mir das aber doch noch
> nicht alles "durchsichtig" genug, ich habe einen FIDO2-Schlüssel als USB
> für den Rechner gekauft und einen als NFC-Verson fürs Händie. Nun aber
> lese ich in der aktuellen c't, das diese Schlüssel "nur" 25 Passworte
> bzw. Zugänge speichern können. Das soll nun u.a. durch Passphrasen
> "verbessert" werden. 

Irgendwie werden da Begriffe durcheinandergewuerfelt. FIDO2
(bzw. Webauthn) kann man mit einer Public-Key-Authentication
vergleichen, d.h auf dem Stick befindet sich ein fest in die
Hardware gebrannter Privater Schluessel und ein oeffentliches
Zertifikat, das einem Server, an dem man sich damit in
Zukunft anmelden will bekannt macht.

Da braucht es keinen Platz fuer Passwoerter oder Passphrases,
auch wenn manche FIDO2/Webauthn-Sticks das als zusaetzliches
Feature anbieten.

> Interessant wird es bei Mobilgeräten: Neben dem MacOS auf dem
> Heimrechner habe ich noch ein Händie mit NFC, ein Tablett ohne NFC und
> ein TUX-Notebook im Gebrauch. Der NFC-Schlüssel hat ja zusätzlich einen
> "normalen" USB-Anschluß, aber mit blanken Kontakten (ungeschützter
> Stecker). Hält so ein Schlüssel den jahrelangen Gebrauch am dicken
> Schlüsselbund aus ohne mechanisch beschädigt zu werden? (YubiKey 5 NFC)

Habe hier zwei YubiKey 5 NFC an jeweils einem Bund haengen und nutze
den fuer die Zweifaktoranmeldung an Windows (mittels Yubikey-
Authenticator, d.h. es wird die FIDO2/Webauthn-Funktion genutzt - 
so ein YubiKey kann ja noch einiges mehr). Die haengen da jetzt
schon mehrere Jahre dran, werden pro Tag mehrfach genutzt (der eine
zumindest, der andere ist ja nur Backup), um den Rechner zu
entsperren und werden in Hosentaschen, etc. aufbewahrt. Bisher gab
es keinerlei Probleme.

> Reicht
> es, bei aufwecken des Tabletts einmal einzustecken oder muß der dann
> wackelig (wegen zusätzlichem Adapter USB-A auf USB-C) die ganze Zeit im
> Gerät stecken? 

Wuerde sagen, es kommt darauf an, wie du das konfigurierst. Ich kann
ihn nach der Anmeldung/Entsperrung abziehen, aber wenn man will, geht
auch automatisch sperren, sobald der USB-Stick abgezogen wird. Zumindest
in der Linuxgemeinde habe ich mal Loeungen gesehen, wo so ein USB-Stick
an einem "Aufroller" befestigt war, wie er auch fuer Skipaesse verwendet
wird, so dass sich der USB-Stick selbstaendig "rankuschelt", sobald man
sich vom Rechner entfernt.

> Hat da schon jemand Erfahrungen die mehrere Monate abdecken?

Monate nicht, aber wie gesagt Jahre.


Gruesse, Lothar
-- 
Lothar Kimmeringer                E-Mail: spamfang@kimmeringer.de
               PGP-encrypted mails preferred (Key-ID: 0x8BC3CD81)

Always remember: The answer is forty-two, there can only be wrong
                 questions!

[toc] | [prev] | [next] | [standalone]

#610554

Lothar Kimmeringer <news201705@kimmeringer.de> wrote:

> Torsten Rüdiger Hansen wrote:
> 
> > vor ca. einem Jahr waren mehrere Artikel in der c't wie man
> > FIDO2-Schlüssel verwenden kann. Irgendwie war mir das aber doch noch
> > nicht alles "durchsichtig" genug, ich habe einen FIDO2-Schlüssel
> > als USB für den Rechner gekauft und einen als NFC-Verson fürs
> > Händie. Nun aber lese ich in der aktuellen c't, das diese Schlüssel
> > "nur" 25 Passworte bzw. Zugänge speichern können. Das soll nun u.a.
> > durch Passphrasen "verbessert" werden.   
> 
> Irgendwie werden da Begriffe durcheinandergewuerfelt. FIDO2
> (bzw. Webauthn) kann man mit einer Public-Key-Authentication
> vergleichen, d.h auf dem Stick befindet sich ein fest in die
> Hardware gebrannter Privater Schluessel und ein oeffentliches
> Zertifikat, das einem Server, an dem man sich damit in
> Zukunft anmelden will bekannt macht.

Und damit das Ganze auch praktisch verwendbar wird gibt es idR. eine
Möglichkeit, den privaten Schlüssel zu exportieren. Du willst deinen
neuen Key nicht bei 100 Gegenstellen neu registrieren.

> Da braucht es keinen Platz fuer Passwoerter oder Passphrases,
> auch wenn manche FIDO2/Webauthn-Sticks das als zusaetzliches
> Feature anbieten.

Spätestens bei einem exportiertbaren Schlüssel wäre sowas irgendwie
nicht sinnfrei, oder?

-- 
+++ATH

[toc] | [prev] | [next] | [standalone]

#610563

Dietz Proepper wrote:

> Lothar Kimmeringer <news201705@kimmeringer.de> wrote:
>> Irgendwie werden da Begriffe durcheinandergewuerfelt. FIDO2
>> (bzw. Webauthn) kann man mit einer Public-Key-Authentication
>> vergleichen, d.h auf dem Stick befindet sich ein fest in die
>> Hardware gebrannter Privater Schluessel und ein oeffentliches
>> Zertifikat, das einem Server, an dem man sich damit in
>> Zukunft anmelden will bekannt macht.
> 
> Und damit das Ganze auch praktisch verwendbar wird gibt es idR. eine
> Möglichkeit, den privaten Schlüssel zu exportieren. Du willst deinen
> neuen Key nicht bei 100 Gegenstellen neu registrieren.

Hm, habe dieses Szenario bisher noch nicht gehabt, daher habe ich
da nicht danach gesucht, aber das Schluesselpaar fuer FIDO2/Webauthn
(zumindest bei YubiKey) ist meines Wissens "fest" drin und du kommst
da auch nicht dran, vergleichbar einer HSM, bei dem es ja gerade
zum Grundkonzept gehoert, dass man nicht an ihn herankommt.

Neben dem FIDO2/Webauthn-Schluessel gibt es beim YubiKey aber
zusaetzliche Slots fuer weitere Schluessel und Zertifikate
fuer PGP/SMIME/etc., wo das eventuell geht (benutze ich in dem
Zusammenhang nicht). Eventuell beziehst du dich bei deiner
Aussage auf diese.


Gruesse, Lothar
-- 
Lothar Kimmeringer                E-Mail: spamfang@kimmeringer.de
               PGP-encrypted mails preferred (Key-ID: 0x8BC3CD81)

Always remember: The answer is forty-two, there can only be wrong
                 questions!

[toc] | [prev] | [next] | [standalone]

#610569

Lothar Kimmeringer <news201705@kimmeringer.de> wrote:

> Dietz Proepper wrote:
> 
> > Lothar Kimmeringer <news201705@kimmeringer.de> wrote:  
> >> Irgendwie werden da Begriffe durcheinandergewuerfelt. FIDO2
> >> (bzw. Webauthn) kann man mit einer Public-Key-Authentication
> >> vergleichen, d.h auf dem Stick befindet sich ein fest in die
> >> Hardware gebrannter Privater Schluessel und ein oeffentliches
> >> Zertifikat, das einem Server, an dem man sich damit in
> >> Zukunft anmelden will bekannt macht.  
> > 
> > Und damit das Ganze auch praktisch verwendbar wird gibt es idR. eine
> > Möglichkeit, den privaten Schlüssel zu exportieren. Du willst deinen
> > neuen Key nicht bei 100 Gegenstellen neu registrieren.  
> 
> Hm, habe dieses Szenario bisher noch nicht gehabt, daher habe ich
> da nicht danach gesucht, aber das Schluesselpaar fuer FIDO2/Webauthn
> (zumindest bei YubiKey) ist meines Wissens "fest" drin und du kommst
> da auch nicht dran, vergleichbar einer HSM, bei dem es ja gerade
> zum Grundkonzept gehoert, dass man nicht an ihn herankommt.

Ich verwende nur eine gpg-Smartcard. Die /kann/ man so betreiben. Hat
aber den Nachteil, dass bei Hardwareversagen eben /alles/ Cryptat
unentschlüsselbar wird.

Gut, bei Authentifizierung ein etwas anderes Szenario. Aber auch da,
*NATÜRLICH* will ich eine Möglichkeit um das Keymaterial in einem
anderen Authentifikator verwenden zu können.

> Neben dem FIDO2/Webauthn-Schluessel gibt es beim YubiKey aber
> zusaetzliche Slots fuer weitere Schluessel und Zertifikate
> fuer PGP/SMIME/etc., wo das eventuell geht (benutze ich in dem
> Zusammenhang nicht). Eventuell beziehst du dich bei deiner
> Aussage auf diese.

Ich habe irgendwo auch noch einen Yubikey von 2019 herum liegen. Bin
nur nie dazu gekommen, mir wirklich den Aufwand anzutun.

Wenn der aber bei FIDO2 /wirklich/ nur den von Dir beschriebenen Modus
erlaubt dann würde /ich/ ihn nicht verwenden wollen.


-- 
+++ATH

[toc] | [prev] | [next] | [standalone]

#610629

Lothar Kimmeringer <news201705@kimmeringer.de> writes:

> Dietz Proepper wrote:
>
>> Lothar Kimmeringer <news201705@kimmeringer.de> wrote:
>>> Irgendwie werden da Begriffe durcheinandergewuerfelt. FIDO2
>>> (bzw. Webauthn) kann man mit einer Public-Key-Authentication
>>> vergleichen, d.h auf dem Stick befindet sich ein fest in die
>>> Hardware gebrannter Privater Schluessel und ein oeffentliches
>>> Zertifikat, das einem Server, an dem man sich damit in
>>> Zukunft anmelden will bekannt macht.
>> 
>> Und damit das Ganze auch praktisch verwendbar wird gibt es idR. eine
>> Möglichkeit, den privaten Schlüssel zu exportieren. Du willst deinen
>> neuen Key nicht bei 100 Gegenstellen neu registrieren.
>
> Hm, habe dieses Szenario bisher noch nicht gehabt, daher habe ich
> da nicht danach gesucht, aber das Schluesselpaar fuer FIDO2/Webauthn
> (zumindest bei YubiKey) ist meines Wissens "fest" drin und du kommst
> da auch nicht dran, vergleichbar einer HSM, bei dem es ja gerade
> zum Grundkonzept gehoert, dass man nicht an ihn herankommt.

Das ist, soweit ich weiß, genau das Prinzip bei FIDO2. Und der Grund für
Passkey, wo diese Hardwarebindung aufgehoben ist. Dafür hat man dann
seinen nicht-mehr-so-private Key bei Apple, Google oder Microsoft
liegen.

[toc] | [prev] | [next] | [standalone]

#610640

Michael Bode <m.g.bode@web.de> wrote:

> Lothar Kimmeringer <news201705@kimmeringer.de> writes:
> > Dietz Proepper wrote:
> >> Lothar Kimmeringer <news201705@kimmeringer.de> wrote:  
> >>> Irgendwie werden da Begriffe durcheinandergewuerfelt. FIDO2
> >>> (bzw. Webauthn) kann man mit einer Public-Key-Authentication
> >>> vergleichen, d.h auf dem Stick befindet sich ein fest in die
> >>> Hardware gebrannter Privater Schluessel und ein oeffentliches
> >>> Zertifikat, das einem Server, an dem man sich damit in
> >>> Zukunft anmelden will bekannt macht.  
> >> 
> >> Und damit das Ganze auch praktisch verwendbar wird gibt es idR.
> >> eine Möglichkeit, den privaten Schlüssel zu exportieren. Du willst
> >> deinen neuen Key nicht bei 100 Gegenstellen neu registrieren.  
> >
> > Hm, habe dieses Szenario bisher noch nicht gehabt, daher habe ich
> > da nicht danach gesucht, aber das Schluesselpaar fuer FIDO2/Webauthn
> > (zumindest bei YubiKey) ist meines Wissens "fest" drin und du kommst
> > da auch nicht dran, vergleichbar einer HSM, bei dem es ja gerade
> > zum Grundkonzept gehoert, dass man nicht an ihn herankommt.  
> 
> Das ist, soweit ich weiß, genau das Prinzip bei FIDO2.

Nein. FIDO2 ist Webauthn+CTAP. Dahinter /kann/ irgendeine Form von
Hardwaretoken (YUBI-Key o.ä.) oder sicherer Speicher ("TPM") stehen,
muss aber nicht.
Unter https://de.wikipedia.org/wiki/FIDO2#Zertifizierungen findest Du
Details.

> Und der Grund für Passkey, wo diese Hardwarebindung aufgehoben ist.

Nein - Passkeys bedeutet, dass Du für "jede" URI einen separaten
Schlüssel vereinbarst - im Prinzip nach dem gleichen Verfahren wie bei
FIDO2. Neu ist, dass "automagisch" unterschiedliche Pubkeys(bzw.
entsprechend signierte Datenfitzel) für unterschiedliche Dienste
verwendet werden.

Darüber, wie Dein privater Key gespeichert bzw. verteilt wird trifft
der Standard keine Aussagen.

> Dafür hat man
> dann seinen nicht-mehr-so-private Key bei Apple, Google oder Microsoft
> liegen.

Im Idealfall allerdings stark verschlüsselt. Und, fun fact, dafür gibt
es ebenfalls Protokolle, bei denen Du Dir keine Passwörter merken musst.

-- 
+++ATH

[toc] | [prev] | [next] | [standalone]

#610646

Dietz Proepper <dietz.usenet@rotfl.franken.de> writes:

> Michael Bode <m.g.bode@web.de> wrote:
>
>> Lothar Kimmeringer <news201705@kimmeringer.de> writes:
>> > Dietz Proepper wrote:
>> >> Lothar Kimmeringer <news201705@kimmeringer.de> wrote:
>> >>> Irgendwie werden da Begriffe durcheinandergewuerfelt. FIDO2
>> >>> (bzw. Webauthn) kann man mit einer Public-Key-Authentication
>> >>> vergleichen, d.h auf dem Stick befindet sich ein fest in die
>> >>> Hardware gebrannter Privater Schluessel und ein oeffentliches
>> >>> Zertifikat, das einem Server, an dem man sich damit in Zukunft
>> >>> anmelden will bekannt macht.
>> >> 
>> >> Und damit das Ganze auch praktisch verwendbar wird gibt es idR.
>> >> eine Möglichkeit, den privaten Schlüssel zu exportieren. Du willst
>> >> deinen neuen Key nicht bei 100 Gegenstellen neu registrieren.
>> >
>> > Hm, habe dieses Szenario bisher noch nicht gehabt, daher habe ich
>> > da nicht danach gesucht, aber das Schluesselpaar fuer
>> > FIDO2/Webauthn (zumindest bei YubiKey) ist meines Wissens "fest"
>> > drin und du kommst da auch nicht dran, vergleichbar einer HSM, bei
>> > dem es ja gerade zum Grundkonzept gehoert, dass man nicht an ihn
>> > herankommt.
>> 
>> Das ist, soweit ich weiß, genau das Prinzip bei FIDO2.
>
> Nein. FIDO2 ist Webauthn+CTAP. Dahinter /kann/ irgendeine Form von
> Hardwaretoken (YUBI-Key o.ä.) oder sicherer Speicher ("TPM") stehen,
> muss aber nicht.  Unter
> https://de.wikipedia.org/wiki/FIDO2#Zertifizierungen findest Du
> Details.

Sowas wie "Der FIDO-Standard wurde 2013[2] von der FIDO-Allianz und dem
W3C ins Leben gerufen. Es ist eine sogenannte starke Authentisierung
weil der Schlüssel an eine Hardware gebunden ist, das ist ein
Sicherheitschip im PC, Smartphone oder Security-Token."?


>> Und der Grund für Passkey, wo diese Hardwarebindung aufgehoben ist.
>
> Nein - Passkeys bedeutet, dass Du für "jede" URI einen separaten
> Schlüssel vereinbarst - im Prinzip nach dem gleichen Verfahren wie bei
> FIDO2. Neu ist, dass "automagisch" unterschiedliche Pubkeys(bzw.
> entsprechend signierte Datenfitzel) für unterschiedliche Dienste
> verwendet werden.
>
> Darüber, wie Dein privater Key gespeichert bzw. verteilt wird trifft
> der Standard keine Aussagen.

Aber darüber, wie er nicht mehr gespeichert werden muss:

"Die Schlüssel sind nicht mehr an ein einzelnes Gerät gebunden; optional
werden sie verschlüsselt über die Cloud synchronisiert. Apple, Google
und Microsoft bewerben das Verfahren.[9]"

[toc] | [prev] | [next] | [standalone]

#610649

Michael Bode <m.g.bode@web.de> wrote:

> Dietz Proepper <dietz.usenet@rotfl.franken.de> writes:
> > Nein. FIDO2 ist Webauthn+CTAP. Dahinter /kann/ irgendeine Form von
> > Hardwaretoken (YUBI-Key o.ä.) oder sicherer Speicher ("TPM") stehen,
> > muss aber nicht.  Unter
> > https://de.wikipedia.org/wiki/FIDO2#Zertifizierungen findest Du
> > Details.  
> 
> Sowas wie "Der FIDO-Standard wurde 2013[2] von der FIDO-Allianz und
> dem W3C ins Leben gerufen. Es ist eine sogenannte starke
> Authentisierung weil der Schlüssel an eine Hardware gebunden ist, das
> ist ein Sicherheitschip im PC, Smartphone oder Security-Token."?

Nein. Sowas wie "Die Stufe 1 ist generell das einfachste Niveau,
welches unter anderem Lösungen in einem mobilen Gerät, wie dem Android
keystore oder TouchID unter iOS umfasst, aber auch oder reine
Softwareimplementierungen, welche auf einem PC ausgeführt werden fallen
in diese Stufe" aus obiger URL.

> >> Und der Grund für Passkey, wo diese Hardwarebindung aufgehoben
> >> ist.  
> >
> > Nein - Passkeys bedeutet, dass Du für "jede" URI einen separaten
> > Schlüssel vereinbarst - im Prinzip nach dem gleichen Verfahren wie
> > bei FIDO2. Neu ist, dass "automagisch" unterschiedliche Pubkeys(bzw.
> > entsprechend signierte Datenfitzel) für unterschiedliche Dienste
> > verwendet werden.
> >
> > Darüber, wie Dein privater Key gespeichert bzw. verteilt wird trifft
> > der Standard keine Aussagen.  
> 
> Aber darüber, wie er nicht mehr gespeichert werden muss:
> 
> "Die Schlüssel sind nicht mehr an ein einzelnes Gerät gebunden;
> optional werden sie verschlüsselt über die Cloud synchronisiert.
> Apple, Google und Microsoft bewerben das Verfahren.[9]"

*Seufz*. Auch vorher waren die Keys nicht (zwangsläufig) an ein Gerät
gebunden.

Aber Du musst mir das natürlich nicht glauben.

-- 
+++ATH

[toc] | [prev] | [standalone]

Back to top | Article view | ger.ct

csiph-web