Wir empfehlen Hardware-Sicherheitsschlüssel wie Yubicos YubiKeys und Googles Titan-Sicherheitsschlüssel. Aber beide Hersteller haben kürzlich Schlüssel wegen Hardwarefehlern zurückgerufen, und das klingt ein wenig besorgniserregend. Was ist das Problem? Sind diese Schlüssel noch sicher?
Inhaltsverzeichnis
Was sind Hardware-Sicherheitsschlüssel?
Physische Sicherheitsschlüssel wie der Titan Security Key von Google und YubiKeys von Yubico verwenden den WebAuthn-Standard, den Nachfolger von U2F, um Ihre Konten zu schützen. Sie fungieren als eine andere Art der Zwei-Faktor-Authentifizierung: Anstelle eines Codes, den Sie eingeben, ist es ein physischer Sicherheitsschlüssel, den Sie in einen USB-Anschluss stecken – oder er kann drahtlos über NFC (Nahfeldkommunikation) oder Bluetooth kommunizieren.
Sie können Ihren Schlüssel als Hardware-Sicherheitstoken verwenden, um sich bei Konten wie Ihren Google-, Facebook-, Dropbox- und GitHub-Konten anzumelden. Mit dem optionalen erweiterten Schutzprogramm von Google können Sie sogar einen physischen Sicherheitsschlüssel benötigen, um sich bei Ihrem Konto anzumelden.
Warum haben Google und Yubico Schlüssel zurückgerufen?
Sowohl Yubico als auch Google waren in letzter Zeit in den Nachrichten. Jeder musste aufgrund von Hardwarefehlern einige Sicherheitsschlüssel zurückrufen.
Das Problem von Yubico betrifft nur Geräte der YubiKey FIPS-Serie – keine Verbrauchergeräte. Wie Sicherheitshinweise von Yubico erklärt, dass diese Schlüssel nach dem Einschalten des Geräts nicht ausreichend zufällig sind, was ihre Verschlüsselung angreifbar machen könnte. Diese Geräte sind nur für Regierungsbehörden und Auftragnehmer bestimmt. Wir empfehlen FIPS nicht, es sei denn, Sie sind gesetzlich dazu verpflichtet. Yubico sind keine Angriffe bekannt, die dies missbraucht haben, aber das Unternehmen tauscht proaktiv betroffene Geräte aus.
Noch schlimmer war das Problem mit dem Titan Security Key von Google, das zu einem Rückruf und Austausch betroffener Schlüssel führte. Die Bluetooth-Version des Titan-Sicherheitsschlüssels, die Bluetooth Low Energy für die drahtlose Kommunikation verwendet, war anfällig für Angriffe aufgrund einer von Google so genannten „Fehlkonfiguration.“ Ein Angreifer innerhalb von 9 m Entfernung von jemandem, der sich mit einem Sicherheitsschlüssel anmeldet, könnte den Fehler ausnutzen, um sich bei seinem Konto anzumelden. Oder der Angreifer könnte den Computer der Person dazu bringen, sich mit einem anderen Bluetooth-Dongle anstatt mit dem Sicherheitsschlüssel zu koppeln. Die Sicherheitslücke betrifft auch die Sicherheitsschlüssel von Feitan – Feitan ist das Unternehmen, das die Titan-Schlüssel für Google herstellt.
Microsoft hat auch ein Windows Update Dies verhindert, dass diese anfälligen Google Titan- und Feitan-Schlüssel über Bluetooth mit Windows 10 und Windows 8.1 gekoppelt werden.
Yubico hat nie einen Bluetooth-Schlüssel angeboten. Als Google seinen Titan-Schlüssel ankündigte, Yubico sagte, dass es zuvor die Einführung eines eigenen Bluetooth Low Energy (BLE)-Schlüssels untersucht habe, aber dass „BLE nicht die Sicherheitsstufen von NFC und USB bietet“. Googles Bemühungen bestätigten anscheinend Yubicos Ansatz, sich auf USB und NFC statt auf Bluetooth zu konzentrieren.
Sowohl Google als auch Yubico haben betroffene Schlüssel kostenlos zurückgerufen und ersetzt.
Empfehlen wir diese Schlüssel immer noch?
Trotz der Mängel und Rückrufe empfehlen wir weiterhin physische Sicherheitsschlüssel. Yubico hatte ein Problem mit Zufälligkeit in einer Produktlinie speziell für die Regierung und ersetzte es. Google hatte Probleme mit Bluetooth, aber selbst dieses Problem konnte nur von Angreifern im Umkreis von 9 m um Sie herum ausgenutzt werden. Selbst ein fehlerhafter Bluetooth-Titan-Schlüssel schützte Sie definitiv vor Angreifern aus der Ferne.
Diese Schlüssel erfüllen nach wie vor hohe Sicherheitsstandards. Die Tatsache, dass sowohl Yubico als auch Google proaktiv Fehler aufdecken und kostenlosen Ersatz für betroffene Hardware anbieten, ist ermutigend. Die Probleme haben niemals Standard-USB- oder NFC-basierte Sicherheitsschlüssel für normale Verbraucher beeinflusst.
Das größte Problem bei diesen Schlüsseln ist das Problem mit allen Zwei-Faktor-Authentifizierungen. Bei den meisten Onlinediensten können Sie den Sicherheitsschlüssel einfach mit einer weniger sicheren Methode wie SMS entfernen. Ein Angreifer, der einen Telefonport-out-Betrug ausgeführt hat, könnte sich Zugriff auf Ihr Konto verschaffen, selbst wenn Sie einen physischen Schlüssel angeschlossen haben. Davor können Sie nur mit sehr hohen Sicherheitsdiensten wie dem Advanced Protection-Programm von Google geschützt werden.