YubiKey
Der YubiKey ist ein Security-Token der Firma Yubico, der mit Schnittstellen wie Lightning[1], Near Field Communication (NFC) oder USB und vielfältigen Protokollen zur Identifizierung und Authentifizierung von Benutzern an Computersystemen verwendet wird. Er erlaubt unter anderem die sichere passwortlose Authentifizierung. Yubico verwendet dabei Open-Source-Software wie OpenPGP und offene Standards wie U2F zur Zwei-Faktor-Authentisierung für die Betriebssysteme Microsoft Windows, macOS und Linux.[2] Aus Sicherheitsgründen kann Software auf YubiKey weder ausgelesen noch verändert werden. Bei einem Update muss das Gerät durch ein neues Modell ersetzt werden.[3] Geheime private Schlüsseldaten können am Token erzeugt oder auf das Token geschrieben werden, aber nachfolgend nicht ausgelesen werden.
| Yubico Inc. | |
|---|---|
| Rechtsform | Corporation |
| Gründung | 2007 |
| Sitz | Palo Alto, USA |
| Leitung | Stina Ehrensvärd (Gründer und CEO) Jakob Ehrensvärd (CTO) |
| Branche | Software |
| Website | www.yubico.com |
Da die YubiKey-Hardware – im Unterschied zu Konkurrenzprodukten wie der Nitrokey-Familie von Nitrokey[4] oder der Solo-Familie von SoloKeys[5] – nicht quelloffen ist, sind unabhängige Prüfungen nach Hintertüren oder Sicherheitslücken kaum möglich.
Aufbau
YubiKeys sind in wasserdichten Gehäusen manipulationsgeschützt vergossen. Sie enthalten als primäre Schnittstelle einen USB-Port mit USB-A-Stecker oder den neueren USB-C-Stecker. Der für manche Betriebsarten notwendige Taster am Security-Token für die Bestätigung einer Aktion ist als Sensortaste ohne mechanisch bewegte Teile ausgeführt. YubiKey Neo und YubiKey 5 umfassen eine berührungslose NFC-Schnittstelle, wobei auch die Stromversorgung für den YubiKey via NFC erfolgt. Der Funktionsumfang ist bei beiden Schnittstellen identisch.
Die Modelle YubiKey 4 und YubiKey NEO verwenden einen Mikrocontroller der Firma NXP Semiconductors. Im Nachfolgemodell YubiKey 5 ist die Anzahl der Bauelemente reduziert. Der verwendete Kryptoprozessor von Infineon vom Typ SLE 78CLUFX5000PH erlaubt eine Sicherheitszertifizierbarkeit bis zur Stufe EAL6. Er ist gegen ein Auslesen gesicherter Speicher und aller Schnittstellen wie USB-Anschluss und NFC-Schnittstelle geschützt.[6]
Protokolle
Über die USB-Schnittstelle können YubiKeys drei verschiedenartige und virtuelle USB-Geräte emulieren und damit vielfältige Funktionen anbieten: OTP, FIDO und CCID. Die drei Optionen lassen sich je miteinander kombinieren oder, wenn nicht benötigt, auch deaktivieren.[7]
Das One-Time-Password (OTP), nicht zu verwechseln mit dem identisch abgekürzten, kryptografischen Begriff One-Time-Pad, stellt das ursprüngliche Verfahren für Security-Token dar. Hierbei werden einmal gültige und sich ändernde Zahlen- und/oder Buchstaben-Folgen zur Authentifizierung abgeglichen. Es erlaubt am YubiKey die Konfiguration von zwei sogenannten Slots, deutsch etwa Speicherpositionen. Jeder Slot kann unabhängig eine Funktion samt den dafür notwendigen Daten wie geheime Schlüssel aufnehmen. Jedem Slot im YubiKey4 kann eine der folgenden Funktionen zugewiesen werden:
- Yubico OTP, ein proprietäres One-Time-Passwort-Verfahren von Yubico.
- Challenge-Response-Authentifizierung mittels HMAC-SHA1.
- Statisches Passwort. Dabei wird vom YubiKey eine virtuelle USB-Tastatur emuliert und gestattet es so, das Passwort ohne zusätzliche Software in der jeweiligen Anwendung in das Passwortfeld direkt einzugeben.
- HOTP nach der Initiative For Open Authentication (OATH).
Die jeweilige OTP-Funktion kann oder muss mit der Sensortaste verknüpft werden, d. h. man drückt zur Auslösung sein Einverständnis durch Tasten-Betätigung aus. Je nachdem wie lange man die Taste drückt, löst man die Funktion vom Slot 1 oder Slot 2 aus.
Mit dem Verfahren FIDO (für Fast IDentity Online; siehe FIDO-Allianz), stellt der YubiKey den Universal Second Factor (U2F) zur Verfügung. Das Modell Yubico FIDO bietet nur dieses Verfahren an. Das Verfahren U2F setzt zwingend die Bestätigung des Benutzers am Token voraus, da andernfalls das Token die U2F-Antwort verweigert. Diese Funktion übernimmt die Sensortaste, die bei jeder U2F-Aktion einmalig zu drücken ist. Im Rahmen von U2F werden, im Gegensatz zu anderen Betriebsdaten, keine benutzerspezifischen Daten am Token gespeichert. YubiKey 5 unterstützt auch den W3C-Standard WebAuthn, welcher Teil des Projektes FIDO2 ist und auf U2F und UAF (englisch Universal Authentication Framework) aufbaut.[8]
Mit der dritten Option CCID emuliert der YubiKey einen Chipkartenleser am USB-Anschluss und bietet vom Hersteller programmierte unveränderliche Smart-Card-Anwendungen an, die dem Chipkartenstandard ISO 7816 entsprechen. Am YubiKey 4 sind unter anderem folgende CCID-Anwendungen verfügbar (diese erfordern eine entsprechende Software am Host-System):
- OATH HOTP: identisch mit der Basisfunktion OTP, doch sind bis zu 32 Konfigurationen möglich
- OATH TOTP. Da YubiKey keine Uhr zur Einmalpasswort-Berechnung enthält, wird die aktuelle Systemzeit via CCID an das emulierte Chipkartenprogramm OATH TOTP übertragen. Es sind bis zu 32 Konfigurationen möglich.
- OpenPGP Smart Card in der Version 2.0[9]
- Eine Personal Identity Verification nach FIPS 201, die unter anderem US-Behörden zur Identitätsfeststellung verwenden.
Sicherheitsprobleme
Im Oktober 2017 wurde bekannt, dass die unter anderem beim YubiKey 4 eingesetzte CCID-Applikation OpenPGP auf der fehlerhaften Softwarebibliothek RSALib von Infineon basiert, wodurch die Erzeugung von RSA-Schlüsselpaaren direkt am Token anfällig für die ROCA-Verwundbarkeit ist.[10] Betroffene Geräte ersetzte Yubico kostenfrei durch neue YubiKeys.[11]
Das Kunststoffgehäuse der ersten YubiKey-Versionen wie YubiKey Neo ließ sich in siedendem Aceton leicht chemisch auflösen. Dadurch war die Leiterplatte zerstörungsfrei zugänglich. Obwohl aus den integrierten Schaltkreisen von NXP Semiconductors keine Daten auszulesen waren, wurde in späteren Generationen wie YubiKey 5 ein anderer Kunststoff verwendet.[12]
Weblinks
Einzelnachweise
- Leo Becker (heise online): YubiKey 5Ci: Erster Sicherheitsschlüssel mit Lightning-Stecker. In: heise online / Mac & i. Heise Medien, 21. August 2019, abgerufen am 27. Januar 2021.
- Free and Open Source Tools. Abgerufen am 29. Dezember 2018.
- Upgrading YubiKey Firmware. Abgerufen am 29. Dezember 2018.
- Nitrokey | Secure your digital life. Abgerufen am 30. Januar 2020.
- Solo – SoloKeys. Abgerufen am 24. Dezember 2019 (englisch).
- Inside Yubikey 5 Neo. Abgerufen am 30. Dezember 2018.
- YubiKey 4 Technical Specifications. Abgerufen am 29. Dezember 2018.
- Introducing the YubiKey 5 Series with New NFC and FIDO2 Passwordless Features. Abgerufen am 31. Dezember 2018.
- The OpenPGP card. Abgerufen am 29. Dezember 2018.
- ROCA: Vulnerable RSA generation (CVE-2017-15361) [CRoCS wiki] (en) In: crocs.fi.muni.cz. Abgerufen am 19. Oktober 2017.
- Infineon RSA Key Generation Issue - Customer Portal. In: www.yubico.com. Abgerufen am 19. Oktober 2017.
- Inside Yubikey Neo. Abgerufen am 29. Dezember 2018.