Vi anbefaler hardwaresikkerhedsnøgler som Yubicos YubiKeys og Googles Titan-sikkerhedsnøgle. Men begge producenter har for nylig tilbagekaldt nøgler på grund af hardwarefejl, og det lyder lidt bekymrende. Hvad er problemet? Er disse nøgler stadig sikre?
Indholdsfortegnelse
Hvad er hardwaresikkerhedsnøgler?
Fysiske sikkerhedsnøgler som Googles Titan Security Key og Yubicos YubiKeys bruger WebAuthn-standarden, efterfølgeren til U2F, til at beskytte dine konti. De fungerer som en anden type to-faktor-godkendelse: I stedet for en kode, du indtaster, er det en fysisk sikkerhedsnøgle, du indsætter i en USB-port – eller den kan kommunikere trådløst via NFC (nærfeltskommunikation) eller Bluetooth.
Du kan bruge din nøgle som et hardwaresikkerhedstoken til at logge ind på konti som dine Google-, Facebook-, Dropbox- og GitHub-konti. Med Googles valgfri program Avanceret beskyttelse kan du endda kræve en fysisk sikkerhedsnøgle for at logge ind på din konto.
Hvorfor har Google og Yubico tilbagekaldt nøgler?
Både Yubico og Google har været i nyhederne på det seneste. Hver har været nødt til at tilbagekalde nogle sikkerhedsnøgler på grund af hardwarefejl.
Yubicos problem påvirker kun YubiKey FIPS-serien enheder – ikke nogen forbrugerenheder. Som Yubicos sikkerhedsrådgivning forklarer, at disse nøgler har utilstrækkelig tilfældighed efter opstart af enhed, hvilket kan gøre deres kryptering sårbar. Disse enheder er kun til offentlige myndigheder og entreprenører – vi anbefaler ikke FIPS, medmindre du er lovligt forpligtet til at bruge det. Yubico er ikke bekendt med nogen angreb, der har misbrugt dette, men virksomheden udskifter proaktivt berørte enheder.
Googles Titan Security Key-problem, som førte til en tilbagekaldelse og udskiftning af berørte nøgler, var værre. Bluetooth-versionen af Titan Security Key, som bruger Bluetooth Low Energy til at kommunikere trådløst, var sårbar over for angreb på grund af, hvad Google kaldte en “fejlkonfiguration.” En angriber inden for 30 fod fra en person, der bruger en sikkerhedsnøgle til at logge ind, kan udnytte fejlen til at logge ind på deres konto. Eller angriberen kan narre personens computer til at parre med en anden Bluetooth-dongle i stedet for sikkerhedsnøglen. Sårbarheden påvirker også Feitan-sikkerhedsnøgler – Feitan er virksomheden, der fremstiller Titan-nøglerne til Google.
Microsoft har også udrullet en Windows opdatering der forhindrer disse sårbare Google Titan- og Feitan-nøgler i at parre med Windows 10 og Windows 8.1 via Bluetooth.
Yubico tilbød aldrig en Bluetooth-nøgle. Da Google annoncerede sin Titan-nøgle, Yubico sagde, at det tidligere havde undersøgt at lancere sin egen Bluetooth Low Energy (BLE) nøgle, men at “BLE ikke leverer sikkerhedsniveauerne for NFC og USB.” Googles kampe bekræftede tilsyneladende Yubicos tilgang til at fokusere på USB og NFC frem for Bluetooth.
Både Google og Yubico tilbagekaldte og erstattede de berørte nøgler gratis.
Anbefaler vi stadig disse nøgler?
På trods af fejlene og tilbagekaldelserne anbefaler vi stadig fysiske sikkerhedsnøgler. Yubico oplevede et problem med tilfældighed i en linje af produkter specifikt til regeringen og erstattede den. Google løb ind i problemer med Bluetooth, men selv det problem kunne kun udnyttes af angribere inden for 30 fod fra dig. Selv en defekt Bluetooth Titan-nøgle beskyttede dig bestemt mod fjernangribere.
Disse nøgler opfylder stadig høje sikkerhedsstandarder. Det faktum, at både Yubico og Google proaktivt afslører fejl og tilbyder gratis erstatninger af berørt hardware, er opmuntrende. Problemerne har aldrig påvirket nogen standard USB- eller NFC-baserede sikkerhedsnøgler til almindelige forbrugere.
Det største problem med disse nøgler er problemet med al to-faktor-godkendelse. Med de fleste onlinetjenester kan du blot bruge en mindre sikker metode som SMS til at fjerne sikkerhedsnøglen. En angriber, der foretog en telefonport-out-svindel, kan få adgang til din konto, selvom du har en fysisk nøgle tilknyttet. Kun tjenester med meget høj sikkerhed – som Googles program for avanceret beskyttelse – kan beskytte dig mod det.