Maakt YubiKey authenticatie in twee stappen minder irritant?

Aangezien het aantal hackincidenten elke dag toeneemt, moet iedereen tweestaps / twee-factor-authenticatie (2FA) gebruiken. Wat is twee-factorenauthenticatie en waarom zou u het moeten gebruiken Wat is twee-factorenauthenticatie en waarom zou u dit moeten doen? Use It Two-factor authenticatie (2FA) is een beveiligingsmethode die twee verschillende manieren vereist om uw identiteit te bewijzen. Het wordt vaak gebruikt in het dagelijks leven. Bijvoorbeeld betalen met een creditcard vereist niet alleen de kaart, ... Lees meer. Het voegt een kogelvrije laag rondom uw online account toe, waardoor het extreem moeilijk, zo niet onmogelijk, is voor een hacker om binnen te dringen.

Maar veel mensen zijn afgeschrikt van het gebruik van 2FA, simpelweg vanwege het ongemak. Kan tweestapsverificatie minder irriterend zijn? Vier geheime hacks Gegarandeerd om de beveiliging te verbeteren Kan tweestapsverificatie minder irriterend zijn? Vier geheime hacks Gegarandeerd om de beveiliging te verbeteren Wilt u bulletproof accountbeveiliging? Ik raad u ten zeerste aan om de zogenaamde "two-factor" -verificatie in te schakelen. Lees Meer over het hebben van een tweede code van hun telefoon, elke keer dat ze willen inloggen. Dus mensen schakelen de functie uit, of doen niet de moeite om het in de eerste plaats op te zetten. Maar dat zou u moeten doen, omdat veel bedrijven nu aan boord komen met het idee.

Als je jezelf meetelt in de “gemakkelijk hinderlijk” groep, dan zul je blij zijn om te horen dat er een andere optie is in plaats van 2FA. Deze optie houdt je account net zo veilig, maar je hoeft alleen maar op een knop te drukken en je bent binnen. Het heet de YubiKey en na een paar dagen gebruik ben ik al geconverteerd. Schat, je hebt me gedag gezegd.

Wat is een YubiKey?

Een YubiKey is een USB-achtige stick, gemaakt door het bedrijf Yubico. Ze maken verschillende producten, die allemaal hetzelfde werk doen. Maar voor de toepassing van dit artikel ga ik focussen op de Fido U2F, (Universal 2-Factor) die ik heb ontvangen. Het is gemakkelijk in te stellen en te gebruiken, en is blijkbaar onverwoestbaar.

Van de site:

“Alle YubiKeys zijn bijna onverwoestbaar. De standaard YubiKey (zoals de YubiKey-standaard, YubiKey NEO, YubiKey Edge en FIDO U2F beveiligingssleutel) is gemaakt van spuitgegoten plastic dat de circuits omhult, terwijl de blootgestelde elementen uit gehard goud van militaire kwaliteit bestaan. Waterdicht en drukvast, de standaard YubiKey wordt bevestigd aan uw sleutelhanger naast uw huis- en autosleutels”.

Het is een vrij klein, delicaat ogend ding, en je zou vergeven zijn als je twijfelt aan het “onverwoestbaar” conclusies. Met een gewicht van slechts 3 gram zijn de afmetingen slechts 18 mm x 45 mm x 3 mm. Maar deze kleine sleutel, samen met het opslaan van al mijn wachtwoorden in KeePass, heeft plotseling het inloggen op accounts pijnloos en zonder ergernis gemaakt. Google en Facebook gebruiken de YubiKey voor medewerkersreferenties, dus het concept heeft een aantal zeer zware hitters achter zich en maakt er een back-up van. Google introduceerde het voor hun gebruikers in 2014.

Hoe werkt het?

De YubiKey is een stuk hardware dat ondersteuning biedt voor eenmalige wachtwoorden, codering van openbare sleutels en authenticatie, en het Universal 2nd Factor (U2F) -protocol dat is ontwikkeld door de FIDO Alliance. U kunt het gebruiken om veilig in te loggen bij uw ondersteunde accounts met behulp van een eenmalig wachtwoord of een FIDO-gebaseerd publiek / privaat sleutelpaar. Hoe werkt versleuteling en is het echt veilig? Hoe werkt versleuteling en is het echt veilig? Meer lezen gegenereerd door het apparaat. Nadat u de sleutel hebt ingevoerd, drukt u op de gouden knop en geeft de aanraking van uw vinger een kleine elektrische lading af die het apparaat activeert.

Hoe stel je het in?

Een YubiKey is heel eenvoudig in te stellen, zoals je hieronder zult zien. Een U2F-sleutel werkt voor Google Accounts, Dropbox, Github Wat is Git en waarom zou je versiebeheer moeten gebruiken als je een ontwikkelaar bent Wat is Git en waarom zou je versiebeheer moeten gebruiken als je een ontwikkelaar bent Als webontwikkelaar, een heleboel de tijd dat we de neiging hebben om op lokale ontwikkelsites te werken, upload dan gewoon alles wanneer we klaar zijn. Dit is prima als je alleen bent en de wijzigingen zijn klein, ... Lees meer, en Dashlane Dashlane - Een gladde nieuwe wachtwoordmanager, formulieraanvuller en online winkel-assistent Dashlane - Een gladde nieuwe wachtwoordmanager, formulierenvuller en online winkel-assistent Als je Ik heb eerder een paar wachtwoordbeheerders geprobeerd, je hebt waarschijnlijk geleerd wat ruwheid aan de randen te verwachten. Het zijn solide, nuttige toepassingen, maar hun interfaces kunnen te complex en ongemakkelijk zijn. Dashlane vermindert niet alleen ... Lees meer. Voor de toepassing van dit artikel ga ik met Google-accounts, maar de anderen zullen min of meer dezelfde procedure volgen. Gewoon verschillende screenshots.

Ga naar de authenticatiepagina van Google voor authenticatie in twee stappen en klik op de Beveiligingssleutels tab.

Dit brengt u vervolgens naar de instellingenpagina. Volg de instructies zoals uiteengezet op de pagina. Het is allemaal erg eenvoudig en duidelijk.

Wanneer de sleutel met succes is geregistreerd, de “Registreren” toets onderaan wordt groen en weergegeven “Geregistreerd”. Als dit niet het geval is, begint u opnieuw vanaf het begin totdat dit het geval is.

U kunt controleren om te zien of de sleutel succesvol is geregistreerd door terug te gaan naar de Beveiligingssleutels tab.

En dat is het, dames en heren.

Wat als u zich aanmeldt met een smartphone of tablet?

Dit was een van de eerste dingen die in me opkwamen. Ik log in op al mijn Google-accounts veel op mijn iOS-apparaten. Mijn iDevices zijn geweldig en allemaal, maar de enige zwakte die ze hebben, is dat ze geen USB-poort hebben. Dus waar gaat de YubiKey naartoe als hij het mij vraagt?

Na controle bij het bedrijf, lijkt het erop dat als u inlogt op uw account via een telefoon of tablet, de YubiKey dit detecteert en het inlogscherm automatisch wordt ingesteld op de 2-factor authenticatiemethode (SMS, Authy of Google Authenticator Google Recommends 2 -Step-proces om uw account te beschermen [Nieuws] Google beveelt tweetrapsproces aan om uw account te beschermen [Nieuws] De meeste slimme internetgebruikers hebben waarschijnlijk minimaal één Google-account - vooral omdat Google, voor goed of slecht, paden kruist met zoveel andere websites die moeilijk te vermijden zijn door de ... Lees meer) te gebruiken. De YubiKey zelf wordt alleen gevraagd als deze detecteert dat u een desktopcomputer of laptop gebruikt, iets dat een USB-poort heeft.

Het is ook vermeldenswaard dat als u uw e-mail door een lokale klant zoals Apple Mail of Outlook leidt, dan noch de YubiKey of 2FA wordt ondersteund. In dit geval zou u een speciaal app-wachtwoord moeten gebruiken van de betreffende app.

De voordelen

Laten we nu een paar voordelen bespreken van het gebruik van een sleutel als deze.

Het is extreem eenvoudig te gebruiken

Er is echt geen manier om zoiets te verprutsen. Zodra het correct is geconfigureerd, steekt u de sleutel gewoon in de USB-poort en drukt u eenmaal op de oplichtende knop. Dat is het. Hoe kan iemand dat misschien verkeerd krijgen??

Uw account heeft extra beveiliging zonder de ergernis

Zoals ik eerder al zei, 2FA is goed - maar het kan vervelend zijn. Als ik met iemand praat die geen 2FA heeft, is het normale excuus onveranderlijk “het is teveel gedoe“. Maar mijn tegenargument is altijd “en hoeveel moeite heeft het om een ​​gehackt account op te halen?“. Maar toch snap ik het nog steeds. 2FA houdt in dat je je aanmeldt bij je telefoon, de code ontvangt en deze invoert. Een keer doen is geen probleem, maar als je het regelmatig doet, wordt het vervelend. Zelfs ik ben meerdere keren in de verleiding gekomen om het hele ding uit te zetten en het kan me niet schelen dat iemand in mijn rekeningen kan inbraken, en ik ben niet de enige in deze.

Een YubiKey verwijdert die ergernis en maakt je meer geneigd om de extra bescherming te gebruiken. U hebt echter nog steeds 2FA-instellingen nodig als u uw online accounts opent via een smartphone of tablet. Je kunt dus 2FA niet helemaal ontsnappen.

Het is goedkoop

De verschillende aangeboden YubiKeys hebben allemaal een variërende prijs ($ 40- $ 50), omdat elke een bepaalde taak uitvoert (zie de “nadelen” sectie voor meer hierover). De U2F is echter erg goedkoop ($ 18 op Amazon), omdat hij minder werkt dan de andere toetsen. Om je voeten nat te krijgen met het apparaat, is het starten met de U2F ideaal. Zie het als leerlingwielen op de fiets van een kind.

Het is onmogelijk om door een virus besmet te raken

Een van de dingen die ik het meest heb gemerkt, wanneer ik over YubiKeys lees, is dat mensen gillen “en het geïnfecteerd krijgen in een openbare internetterminal? NEE BEDANKT!“. Ten eerste moet u geen openbare internetverbindingen gebruiken. 5 manieren om ervoor te zorgen dat openbare computers die u gebruikt veilig zijn 5 manieren om ervoor te zorgen dat openbare computers die u gebruikt veilig zijn Openbaar WiFi is gevaarlijk, ongeacht op welke computer u zich bevindt, maar buitenlandse apparaten eis nog meer voorzichtigheid. Als u een openbare computer gebruikt, volgt u deze richtlijnen om uw privacy en veiligheid te garanderen. Meer lezen om veiligheidsredenen, en ten tweede kunnen de YubiKeys geen virussen krijgen omdat het onmogelijk is om er bestanden naartoe te verplaatsen. Het is niet zo'n USB-apparaat. Voeg daar nog aan toe dat de informatie op de sleutel allemaal schrijfbeveiligd is, en de computer herkent de sleutel als een toetsenbord. U hoeft zich dus geen zorgen te maken over die score.

De nadelen

Hoewel de YubiKey naar mijn mening een geweldig apparaat is, zijn er nog enkele opmerkelijke nadelen waar u zich bewust van moet zijn.

Het werkt alleen in Chrome

Vanaf dit moment werkt YubiKey alleen op Google Chrome, versie 38 of hoger. Dus tegenslaggebruikers van Firefox, Safari, Opera en Edge 10 redenen waarom je Microsoft Edge nu zou moeten gebruiken 10 redenen waarom je Microsoft Edge nu zou moeten gebruiken Microsoft Edge markeert een volledige onderbreking van de merknaam van Internet Explorer en doodt een 20-jarige -oude stamboom in het proces. Dit is waarom je het zou moeten gebruiken. Lees verder . Het is heel goed mogelijk dat ze in de toekomst aan boord komen, maar op dit moment ondersteunen ze de YubiKey niet. Voor het leven van mij begrijp ik niet waarom alleen Chrome wordt ondersteund. Het vervreemdt een groot aantal browsergebruikers.

Verschillende accounts vereisen verschillende sleutels

Yubico maakt 7 verschillende producten en ze doen allemaal verschillende dingen. Mijn sleutel, de Fido U2F, opent bijvoorbeeld alleen accounts op wachtwoordmanagers van Google, Dropbox, Github en Dashlane (alleen premium-accounts).

Maar - en hier is het echt heel, maar - als u uw besturingssysteem, Paypal, Evernote of WordPress-accounts wilt beveiligen, dan heeft u verschillende YubiKeys nodig. Als alles wat je nodig hebt echter iets is om je Gmail-account te ontgrendelen, dan is de U2F voldoende. Al het andere is als het gebruik van een tank om een ​​vlieg te meppen.

De YubiKey 4 doet vrijwel alles, maar voor $ 50 is het misschien een beetje te duur voor iemand die gewoon in zijn e-mail wil stappen.

Als iemand uw sleutel- en accountwachtwoord ontvangt, is uw account in gevaar

Het probleem met 2FA is dat elke indringer fysieke toegang tot je telefoon nodig heeft om de sms of Google Authenticator-code te krijgen. Als je een wachtwoord hebt op je telefoon (wat je zou moeten doen, vooral in het licht van de confrontatie tussen Apple en de FBI FBI Backdoors zal niemand helpen - zelfs de FBI FBI Backdoors helpen niemand - zelfs niet de FBI De FBI wil technologiebedrijven dwingen om beveiligingsdiensten in staat te stellen te snuffelen over instant messaging. Maar dergelijke achterdeurtjes voor beveiliging bestaan ​​niet echt en als ze dat zouden doen, zou u dan uw regering met hen vertrouwen? Lees meer), dan zou toegang tot uw 2FA-codes mogelijk zijn onmogelijk voor een niet-geautoriseerde derde partij. Tenzij je code iets heel voor de hand liggend is (zoals je verjaardag), en de indringer je goed genoeg kent om dat te raden.

Maar als iemand uw YubiKey in handen krijgt en ook uw accountwachtwoord kent, dan zijn ze sneller in het account dan een warm mes door boter. Ze zouden geen toegangscode voor smartphones hebben om te omzeilen. Dat gaat ervan uit dat je een wachtwoord hebt op je telefoon om mee te beginnen. Zo niet, dan is er geen verschil tussen het gebruik van 2FA en het gebruik van een YubiKey.

De beste manier om dit probleem te verhelpen is om een ​​zeer lang, moeilijk te raden accountwachtwoord te gebruiken Wachtwoordbeheer Gids Wachtwoordbeheer Gids Voel je niet overweldigd door wachtwoorden of gebruik eenvoudig dezelfde op elke site zodat je het onthoudt hen: ontwerp uw eigen strategie voor wachtwoordbeheer. Lees meer (en bewaar het in een versleutelde wachtwoordbeheerder Wachtwoordmanager Battle Royale: wie komt er terecht? Wachtwoordmanager Battle Royale: wie komt er bovenaan? Lees meer). Op die manier zou het uitzoeken van het wachtwoord van de account uiterst moeilijk, zo niet onmogelijk zijn, zelfs als de sleutel in verkeerde handen zou vallen. Zonder het wachtwoord zou de sleutel een nutteloos stuk plastic worden.

Zijn er alternatieven voor YubiKey?

Na rond te kijken lijkt het enige alternatief voor YubiKey Nitrokey te zijn. Ongeveer dezelfde prijs als de YubiKey, NitroKey is gemaakt in Duitsland en is er trots op open-source te zijn. Het lijkt ook veel meer te doen dan een YubiKey, waardoor ik overweeg er een te kopen en het te vergelijken. Het product heette voorheen Crypto-Key en werd in 2012 beoordeeld door Danny. De Duitse Privacy Foundation Crypto Stick - Hoe en waarom het veiliger is De Duitse Privacy Foundation Crypto Stick - Hoe & Waarom is het veiliger Er worden voortdurend nieuwe technologieën gemaakt om de veiligheid te vergroten, en veel van die technologieën verdwijnen uiteindelijk vanwege mazen in de wet en andere problemen die uiteindelijk worden ontdekt. Geen enkele vorm van beveiliging is vrijgesteld ... Lees meer .

Maar het is goed om te zien dat ten minste één ander bedrijf een concurrerend product maakt en daarbij het hele concept van een beveiligingssleutel doorzet. Rivaliteit bevordert onderzoek en onderzoek eindigt in betere producten (meestal).

Gemoedsrust of gemak?

De hele verkenning van het YubiKey-concept heeft, voor mij althans, de hele kwestie aan het licht gebracht van wat we in naam van de veiligheid zouden moeten accepteren. Authenticatie met twee factoren is een uitstekende manier om ervoor te zorgen dat uw account wordt geblokkeerd, maar zoals ik al zei, kan het een echte pijn in de roos zijn. Dit brengt veel mensen ertoe om te zeggen “doe het, ik zet dit uit!”.

Aan de andere kant maakt zoiets als een YubiKey of een NitroKey het hele proces handig. Druk op een knop en je bent in. Maar als je de sleutel verliest en iemand je wachtwoord gemakkelijk kan raden, dan zul je een heel slechte dag hebben. Dus gemoedsrust (en ga een paar extra stappen van gedoe) of druk op de knop op een toets en bespaar 60 seconden? In welk kamp val je? Vertel ons in de reacties.

Ontdek meer over: Computerbeveiliging, wachtwoord, twee-factorenauthenticatie.