Re: Yubico YubiKey Passwords weiter melden?

DANKE!

"Bin ich den IT-Angestellten dieser company für ewig und +3 Tage ausgeliefert" wäre die bessere, treffende Frage gewesen. Aber eigentllich nicht, denn wenn dieser Konzern absandelt, dann ist das Passwort auch abgesandelt mitsamt dem URL link.

GL

Nein, bist du nicht, weil der Yubikey auch für rein lokale Nutzung konfiguriert werden kann.

/ralph

Theoretisch. Praktisch hat es Infineon mal wieder verkackt und es gibt eine side channel attack auf YubiKey Serie 5:

Die Grundidee ist, dass der YubiKey eine Implementation eines "secure element" ist. Man kann Schlüsselmaterial laden, dass dann nicht mehr extrahierbar ist (sofern man nicht die Implementation vergeigt, siehe oben) und das dann innerhalb des "secure elements" zur Verschlüsselung und Signierung verwendet wird.

Guter Witz, siehe oben. Infineon halt.

Man liest sich, Alex.

Meine Verwirrung exponenziert sich mit jedem Klick.

Fremde sind sowohl Hacker im Internet als auch Leute im Haus in der Nacht, die an meine Computer dran greifen können während ich mit Medikamenten (Tranquilizern) schlafe und nichts mitbekomme.

Und zwar so, dass diese *Fremden* auch keinen Zugang auf die Speicherplatten haben, nichts löschen und nichts ändern können.

Das Password ist nicht sicher weil diese Hacker im Raum irgendwo eine Kamera haben, die das Eintippen des Passwords mitlesen können. Dafür brauche ich keinen *Verfolgungswahn* die Hacker spielen ja damit, dass sie mir den andichten.

GL

Eine Sicherheitslösung wie ein Yubikey kann immer nur vor bestimmten Szenarien schüzten, ein magisches rundum-sorglos-Paket gibt es nicht. Ein Yubkey schüzt im wesentlichen davor, dass jemand anderer dein Passwort abgreift oder (bedingt) dass dich jemand soweit austrickst das Passwort an falscher Stelle einzutippen.

Vor grundsätzlich anderen Szenarien schützt dich ein Yubikey nicht. Ja, eventuell hab ich noch ein paar ähnliche Dinge vergessen die man mit dem Yubikey erreichen kann, aber das von dir genannte Szenario gehört nicht dazu.

/ralph

Also nichts weiter als höchst theoretische Angriffe auf all die höchst empfindlichen Daten des OP - ganz sicher, ja!

Solche Beiträge sind wirklich eine große Hilfe für jemanden, der unter einer schweren Paranoia leiden dürfte... Muss das denn wirklich sein?

MfG Rupert

Am 09.12.24 um 08:32 schrieb Franz Glaser:

Bei Webauthtn speichert der Yubikey den privaten Schlüssel eines (vom Yubikey selbst generierten) public-key Schlüsselpaars, während der Webserver den öffentlichen Schlüssel kennt. Zur Anmeldung schickt der Server eine Challenge, der Yubikey signiert diese mit dem privaten Schlüssel, der Server prüft mit dem öffentlichen Schlüssel, ob die Signatur passt. Der private Schlüssel verlässt *NIEMALS* den Yubikey, niemand kennt diesen, nicht mal du.

Wie der Name schon verrät, ist das zur Absicherung von Webservern gedacht. Lokal würde man zu Fido2 greifen, welches technisch das Selbe ist, nur halt ohne Browser dazwischen.

Hacker nutzen zumeist Sicherheitslücken im Betriebssystem oder den installierten Standardanwendungen. Dagegen nutzt dir auch die allerbeste Zugangssicherung exakt gar nichts.

Also: Kirche im Dorf lassen.

Wenn du davon ausgehst, das böse Jungs in deinen Privaträumen unterwegs sind und Kameras montieren, ist der Zugang zum Computer deine allerkleinste Sorge.

Und: Eine physische Sicherung wie ein Yubikey nutzt die in diesem Szenario überhaupt nichts, denn den kann der "Leut im Haus" sich ja auch einfach nehmen und benutzen. Gegen DIESES Szenario ist das Passwort in deinem Kopf die beste Lösung.

Am 08.12.24 um 15:29 schrieb Alexander Schreiber:

Kirche im Dorf lassen. Man braucht schon physikalischen Zugang zu dem Yubikey, um ihn zu zerlegen und Labor-Equipment und Ahnung, um den Fehler auszunutzen. Remote über's Netz geht da gar nichts.

Marcel

Erfahrungsgemäss wird aus einem theoretischen Angriff schnell ein realer, wenn sich die Beute lohnt oder man es mit gelangweilten Spielkindern zu tun hat.

Um L0pht zu zitieren:

(Das war IIRC damals das Brechen von NT/Lanman hashes mit L0phtCrack in < 1 Woche) wo MS meinte, das würde Milliarden von Jahren dauern ...

Ich bin Techniker, nicht Arzt. Und die Probleme des OP wurden erst in späteren Postings im Thread klar.

de.alt.pinke-wolke.alles.wird.gut ist woanders ...

Man liest sich, Alex.

Erfahrungsgemäß wird aus den meisten theoretischen Angriffen überhaupt nichts, weil sie etwas zu kompliziert und damit zu aufwändig oder auch garnicht auf die praktische Anwendung zu übertragen sind.

Ach, das hat M$ tatsächlich behauptet?

Die Probleme des OP kehren hier in regelmäßigen Abständen wieder...

Da hast du freilich recht. Aber dennoch könnten ja etwas Realitätssinn und etwas Empathie auch nicht schaden

MfG Rupert

Franz ist, bei allem Respekt, ein pensionierter Ingenieur aus dem Mühlviertel[1], kein Geheimagent, Ölscheich oder CEO eines multinationalen Konzerns. Das wird auch eine eher beschauliche Gegend sein, wo er wohnt.

/ralph

Yup. Theoretisch hatten sie ja auch recht - das war IIRC DES und ein brute force Angriff auf einem damals üblichen Desktopcomputer hätte vermutlich unrealistisch lange (vermutlich mindestens 10E6 Jahre) gedauert. Dummerweise hatte das NT/Lanman Hash Design aber ein paar Fehler, die den relevanten Schlüsselraum _drastisch_ verkleinert haben, und L0pht hat die gefunden.

Das war auch die Zeit, wo MS einen "Man kann NT-Server mit einem Paket übers Netzwerk crashen" Bug als "rein theoretisch" abgetan hat. Bis die Leute halt im Minutentakt per cronjob die MS Webserver (die mit NT liefen) abgeschossen haben ... dann gabs es auf einmal innert Wochen einen Patch. MS hatte in der Zeit einige solche Sachen, deswegen auch der Kommentar in

Man liest sich, Alex.

Nun, ich bin vor der Rente auch anderswo als im Mühlviertel gewesen :-)

Die Kinder: "Ba da oan Oma hoaßt d'Müch Muich"

Wenn schon ad-hominem...

GL

War nicht ad-nominem gemeint. Mehr als die Hälfte meiner Familie stammt aus dem Mühlviertel (Steyregg, Hagenberg, Traberg, St. Georgen/Gusen ...).

Was ich sagen wollte ist: Szenarien, die für CIA-Chefs und Bundeskanzler relevant sind sind es für dich, für uns alle, nicht.

/ralph

Das werde ich nicht hier°° ausbreiten, allerdings als Erklärung für meine Verhaltensweise habe ich es hier her geschrieben:

GL