Vi anbefaler maskinvaresikkerhetsnøkler som Yubicos YubiKeys og Googles Titan-sikkerhetsnøkkel. Men begge produsentene har nylig tilbakekalt nøkler på grunn av maskinvarefeil, og det høres litt bekymringsfullt ut. Hva er problemet? Er disse nøklene fortsatt trygge?
Innholdsfortegnelse
Hva er maskinvaresikkerhetsnøkler?
Fysiske sikkerhetsnøkler som Googles Titan Security Key og Yubicos YubiKeys bruker WebAuthn-standarden, etterfølgeren til U2F, for å beskytte kontoene dine. De fungerer som en annen type tofaktorautentisering: I stedet for en kode du skriver inn, er det en fysisk sikkerhetsnøkkel du setter inn i en USB-port – eller den kan kommunisere trådløst via NFC (nærfeltskommunikasjon) eller Bluetooth.
Du kan bruke nøkkelen din som et maskinvaresikkerhetstoken for å logge på kontoer som Google-, Facebook-, Dropbox- og GitHub-kontoene dine. Med Googles valgfrie Advanced Protection-program kan du til og med kreve en fysisk sikkerhetsnøkkel for å logge på kontoen din.
Hvorfor har Google og Yubico tilbakekalt nøkler?
Både Yubico og Google har vært i nyhetene i det siste. Hver av dem har måttet tilbakekalle noen sikkerhetsnøkler på grunn av maskinvarefeil.
Yubicos problem påvirker bare enheter i YubiKey FIPS-serien – ikke noen forbrukerenheter. Som Yubicos sikkerhetsrådgivning forklarer at disse nøklene har utilstrekkelig tilfeldighet etter oppstart av enheten, noe som kan gjøre krypteringen deres sårbar. Disse enhetene er kun for offentlige etater og entreprenører – vi anbefaler ikke FIPS med mindre du er lovpålagt å bruke den. Yubico er ikke klar over noen angrep som har misbrukt dette, men selskapet erstatter proaktivt berørte enheter.
Googles Titan Security Key-problem, som førte til tilbakekalling og erstatning av berørte nøkler, var verre. Bluetooth-versjonen av Titan Security Key, som bruker Bluetooth Low Energy til å kommunisere trådløst, var sårbar for angrep på grunn av det Google kalte en «feilkonfigurasjon.» En angriper innen 30 fot fra noen som bruker en sikkerhetsnøkkel for å logge på, kan utnytte feilen til å logge på kontoen sin. Eller angriperen kan lure personens datamaskin til å pare med en annen Bluetooth-dongle i stedet for sikkerhetsnøkkelen. Sårbarheten påvirker også Feitan-sikkerhetsnøkler – Feitan er selskapet som produserer Titan-nøklene for Google.
Microsoft har også rullet ut en Windows-oppdatering som vil forhindre disse sårbare Google Titan- og Feitan-nøklene fra å pares med Windows 10 og Windows 8.1 via Bluetooth.
Yubico tilbød aldri en Bluetooth-nøkkel. Da Google annonserte sin Titan-nøkkel, Yubico sa at de tidligere hadde utforsket lanseringen av sin egen Bluetooth Low Energy-nøkkel (BLE), men at «BLE gir ikke sikkerhetsnivåene til NFC og USB.» Googles kamp rettferdiggjorde tilsynelatende Yubicos tilnærming til å fokusere på USB og NFC i stedet for Bluetooth.
Både Google og Yubico tilbakekalte og erstattet berørte nøkler gratis.
Anbefaler vi fortsatt disse nøklene?
Til tross for feilene og tilbakekallingene, anbefaler vi fortsatt fysiske sikkerhetsnøkler. Yubico opplevde et problem med tilfeldighet i en linje med produkter spesielt for myndighetene og erstattet den. Google fikk problemer med Bluetooth, men selv det problemet kunne bare utnyttes av angripere innenfor 30 fot fra deg. Selv en defekt Bluetooth Titan-nøkkel beskyttet deg definitivt mot eksterne angripere.
Disse nøklene oppfyller fortsatt høye sikkerhetsstandarder. Det faktum at både Yubico og Google proaktivt avslører feil og tilbyr gratis erstatninger av berørt maskinvare er oppmuntrende. Problemene har aldri påvirket noen standard USB- eller NFC-baserte sikkerhetsnøkler for vanlige forbrukere.
Det største problemet med disse nøklene er problemet med all tofaktorautentisering. Med de fleste nettjenester kan du ganske enkelt bruke en mindre sikker metode som SMS for å fjerne sikkerhetsnøkkelen. En angriper som utførte en telefonport-out-svindel kan få tilgang til kontoen din selv om du har en fysisk nøkkel vedlagt. Bare svært høysikkerhetstjenester – som Googles Advanced Protection-program – kan beskytte deg mot det.