Kaksivaiheinen vahvistus | Two-/Multi-factor authentication

[Lazzu]

Piti ostaa Yubikey, mutta nyt Yubicon nettisivuille ei pääse. Ovatko he jonkin hyökkäyksen kohteena, vai mistähän moinen? Etusivukin vaatii kirjautumisen google tunnuksella, ja vielä sen että tunnus on tuossa heidän organisaatiossaan.

 

[Mco]

Piti ostaa Yubikey, mutta nyt Yubicon nettisivuille ei pääse. Ovatko he jonkin hyökkäyksen kohteena, vai mistähän moinen? Etusivukin vaatii kirjautumisen google tunnuksella, ja vielä sen että tunnus on tuossa heidän organisaatiossaan.

Alisivut näyttää toimivan normaalisti, jos sinne menee suoraan esim. Googlen tuloksista.

Buy YubiKeys at Yubico.com | Shop hardware authentication security keys

www.yubico.com

Etusivu näyttää uudelleenohjaavan jollekin testipalvelimelle:

location: https://www.stage.yubico.com/

joka sitten ohjaa Google-kirjautumiseen:

location: https://accounts.google.com/o/oauth2/v2/auth?...

Eli veikkaan, että joku on vaan mokannut sivuston asetusten määrittelyssä.

 

[Paapaa]

Piti ostaa Yubikey, mutta nyt Yubicon nettisivuille ei pääse.

Saksan Amazonistakin noita voi ostaa ainakin kun ostaa Yubico DE:ltä.

 

[Lazzu]

Saksan Amazonistakin noita voi ostaa ainakin kun ostaa Yubico DE:ltä.

Saahan noita toki myös verkkiksestäkin, ehkä tilaan sieltä.

Alisivut näyttää toimivan normaalisti, jos sinne menee suoraan esim. Googlen tuloksista.

Buy YubiKeys at Yubico.com | Shop hardware authentication security keys

www.yubico.com

Joo näköjään tuo store sivu toimii. Mutta esim products sivu ei toimikaan: Products

 

[jad]

Näyttäisi passkeysiä vaivaavan sama hypeähky kuin lähes kaikkea muutakin uutta tekologiaa. FidoAlliancen passkeys- sivustolla on käytännössä pelkkää hypetystä siitä kuinka elämä muuttuu helpoksi ja kaikilla on kivaa kun otat passkey:n käyttöön. On hyvin hankala löytää lyhyttä yksinkertaistettua kuvausta siitä miten passkeys toimii. Toki voi kahlata huiman määrän kehittäjädokumentaatiota läpi, mutta jos ei itse ole toteuttamassa passkeysiä käyttävää verkkopalvelua, niin tuossa on kohtuuttoman paljon vaivaa.
Muistan joskus vuosia sitten, kun ensimmäisen kerran kiinnostuin Dockerista, niin silloinen Docker sivusto yhtälailla keskittyi kertomaan kuinka elämä on helpompaa Dockerin kanssa, mutta mistään selvinnyt, että mikä se Docker on. (chroot ympäristö steroideila)

Lieneekö tämä nyt oikea (ykisnkertaistettu) käsitys passkeysistä:
* webpalvelu kertoo käyttäjälle tukevansa passkeysiä
* käyttäjän laite generoi autentikointia varten avainparin
* julkinen avain tallennetaan webpalveluun
* salainen avain tallennetaan laitteelle biometrisen tai muun vahvan suojauksen taakse
* kun käyttäjä yrittää kirjautua palveluun, lähettää käyttäjä kirjautumispyynnön
* palvelu vastaa kirjautumishaaseteella
* käyttäjä lähettää salaisella avaimella allekirjoitettun vastauksen
* palvelu varmistaa annetun vastauksen käyttäjän julkisella avaimella

Kuten tässä jo aieminkin on keskusteltu, niin akilleen kantapääksi muodostuu tuo laitekohtainen avainpari. Turvallisuuden kannalta tuon salaisen avaimen synkronointi jonnekin on huono asia, mutta vastaavasti taas jokaiseen palveluun pitäisi rekisteröidä vähintään kaksi laitetta, jotta ei lukitse itseään pihalle laitteen hajotessa tai kadotessa.

Onko tällä hetkellä olemassa ratkaisua, jossa nuo salaiset avaimet saisi tallennettua ulkoiseen (joku fido dongle?) laitteeseen sen puhelimen tai tietokoneen sijaan ? Käyttötapauksena esim. joltakin vieraalta (työläppäri, kaverin kone, kirjasto, ...) koneelta kirjautuminen.

 

[Paapaa]

Onko tällä hetkellä olemassa ratkaisua, jossa nuo salaiset avaimet saisi tallennettua ulkoiseen (joku fido dongle?) laitteeseen sen puhelimen tai tietokoneen sijaan ?

Esim. Yubikeylle mahtuu 25 avainta. Ne kulkevat sitten taskussa ja niillä voi kirjautua Passkey:tä tukeviin palveluihin.

 

[user9999]

Twilio on ilmoittanut lopettavansa Authy-työpöytäsovelluksensa elokuussa 2024. Muutos vaikuttaa Authy-sovelluksiin Windowsille, Linuxille ja macOS:lle.

Authy authenticator apps for desktop are being discontinued in August 2024 - gHacks Tech News

Twilio has announced that the Authy authenticator apps for desktop will reach end of life in August 2024. Here's what you can do.

www.ghacks.net

MacOS käyttäjät (Apple Silicon) voivat käyttää iOS versiota. Itse olen siirtynyt tuosta Authysta jo pois, mutta iOS versio pyörii vielä iOS, iPadOS ja Maceissa varalla.

 

[Sommite]

Turvallisuuden kannalta tuon salaisen avaimen synkronointi jonnekin on huono asia, mutta vastaavasti taas jokaiseen palveluun pitäisi rekisteröidä vähintään kaksi laitetta, jotta ei lukitse itseään pihalle laitteen hajotessa tai kadotessa.

Pääsyavaimissa on metadata, joka välitetään palvelulle. Metadatassa on muun muassa merkintä, onko avain varmuuskopioitu vai laitteeseen sidottu. Jos palvelussa on rekisteröity vain yksi laitteeseen sidottu avain, palvelun tulisi suosituksen mukaisesti muistuttaa, että avaimia tarvitaan varalle lisää. Varmuuskopioituja avaimia sen sijaan voi yksikin riittää.

Googlen ja Applen toteutuksissahan avaimen yksityistä osaa käsitellään eristetyssä ympäristössä, joka voi olla erillinen turvasiru tai hypervisor-ratkaisu. Varmuuskopiot salataan niin, että yksityinen avain voidaan siirtää vain toiseen laitteeseen, jossa on vastaava eristetty ympäristö. Tässä on hyviä ja huonoja puolia. Hyvä puoli, että ratkaisu on turvallisempi kuin pelkkä ohjelmistototeutus. Huono puoli on, että avaimet on sidottu ekosysteemiin: esim. Applen laitteilla luodut avaimet pitää käyttää Applen laitteilla. Salasananhallintaohjelmissa on sitten ohjelmistopohjaisia pääsyavaimia, jotka siirtyvät esteettä ekosysteemien välillä.

Onko tällä hetkellä olemassa ratkaisua, jossa nuo salaiset avaimet saisi tallennettua ulkoiseen (joku fido dongle?) laitteeseen sen puhelimen tai tietokoneen sijaan ? Käyttötapauksena esim. joltakin vieraalta (työläppäri, kaverin kone, kirjasto, ...) koneelta kirjautuminen.

Ulkoisen donglen käyttäminen (ns. roaming authenticator) on toki vaihtoehto, mutta pääsyavaimissa on ratkaisuna myös avaimen välittäminen Bluetoothin kautta. Eli pääsyavainta säilytetään yleensä puhelimessa, ja vieras kone näyttää QR-koodin, joka skannataan puhelimella. Puhelin kertoo, että toinen laite haluaa käyttää tiettyä pääsyavainta, minkä käyttäjä sitten hyväksyy. Näin puhelin vahvistaa kirjautumisen vieraalle koneelle. Vaihtoehtona voi olla myös kyseisen puhelimen tallentaminen, jotta sen avaimia voi jatkossa käyttää myös ilman QR-koodia.

QR-koodin kautta kirjautuminen vaatii nimenomaan Bluetooth-yhteyden, eli se ei toimi pelkästään verkon kautta toisin kuin jotkut muut palvelut, joissa pääsyoikeuksia voi jakaa skannaamalla QR-koodeja. Tämä on kalasteluntorjuntaa varten tehty valinta: kun pääsyavaimen käyttäminen toisella laitteella vaatii laitteiden läheisyyden, tunnusten kalastelu on vaikeampaa, eli huijaussivu ei voi noin vain tyrkyttää QR-koodia, joka antaa pääsyn huijarille.

Päinvastainen operaatio on tuettu myös, eli vieraalla koneella voi haluta lisätä palveluun pääsyavaimen, ja QR-koodin skannaamalla pääsyavain luodaankin puhelimeen eikä kyseiselle koneelle.

 

[user9999]

Twilio on ilmoittanut lopettavansa Authy-työpöytäsovelluksensa elokuussa 2024. Muutos vaikuttaa Authy-sovelluksiin Windowsille, Linuxille ja macOS:lle.

Authy authenticator apps for desktop are being discontinued in August 2024 - gHacks Tech News

Twilio has announced that the Authy authenticator apps for desktop will reach end of life in August 2024. Here's what you can do.

www.ghacks.net

MacOS käyttäjät (Apple Silicon) voivat käyttää iOS versiota. Itse olen siirtynyt tuosta Authysta jo pois, mutta iOS versio pyörii vielä iOS, iPadOS ja Maceissa varalla.

Nyt tuosta löytyy ilmoitus.

https://support.authy.com/hc/en-us/articles/17592416719003

 

[Lammas]

Uutisissa ja eri puolella nettiä on viime aikoina ollut kiihtyvässä määrin esillä SIM swap -menetelmä ja sillä aiheutetut vahingot. Tässä siis käytännössä varastetaan puhelinnumero, minkä jälkeen varas voi ongelmitta vastaanottaa kaikki uhrille lähetetyt puhelut ja tekstiviestit. En tiedä onko Euroopassa tai Suomessa jotain, joka teke SIM swappingin vaikeammaksi, mutta ainakin täällä USA:ssa se tuntuu onnistuvan todella helposti. On hyvin rajalliset mahdollisuudet vaikuttaa itse siihen, joutuuko uhriksi. Puhelimen fyysisellä varastamisella voi tietysti olla samat seuraukset, ainakin jos puhelin napataan kädestä silloin, kun se ei ole lukittuna.

Olin jo aloittamassa keskustelua otsikolla "Puhelimen tai puhelinnumeron varastamisen seuraukset ja niiltä suojautuminen", mutta kuten tuossa wikipedia-artikkelin alussa lukee, SIM swapping liittyy läheisesti tämän ketjun aiheeseen eli 2FA:han. SIM swappingista seuraa katastrofi esim. silloin, kun palvelun salasanan resetointi onnistuu pelkän puhelinnumeron avulla. 2FA muuttu tällöin pelkäksi "1FA":ksi, mikä on aika naurettavaa, koska esim. omalla kohdalla pidän puhelimen tai puhelinnumeron varastamista paljon todennäköisempänä kuin salasanojeni päätymistä vääriin käsiin, mutta puhelimeen perustuva 2FA auttaa vain jälkimmäiseen.

En löytänyt selvää vastausta siihen, onnistuuko google-tilin palautus pelkällä puhelinnumerolla silloin, kun sekä puhelinnumero ja sähköpostiosoite on annettu recovery-optioihin. Jos onnistuu, niin silloinhan puhelimen tai puhelinnumeron varastamalla saa täyden pääsyn niihin palveluihin, joissa kyseinen puhelinnumero ja gmail-osoite toimivat 2FA-välineinä, vaikka näissä palveluissa itsessään ei salasanan resetointi onnistuisi pelkällä puhelinnumerolla.

Facebookin ohjesivuilla luki erikseen, että jos 2FA:n enabloi, niin salasanaa ei voi resetoida pelkällä puhelinnumerolla. Toisaalta jos 2FA:ta ei enabloi (mikä on toki hieman offtopiccia tässä ketjussa), mutta puhelinnumeron on antanut Facebookille, niin silloinhan varas pääsee triviaalisti käsiksi puhelimen haltijan Facebook-tilillle, koska puhelinnumero toimii automaattisesti myös käyttäjätunnuksena.

En täysin ymmärrä, mikä nykyään on paras tapa pitää kaikki tärkeät tunnarit (esim. sähköposteihin ja pankkeihin) turvassa kyber- ja fyysisiltä hyökkäyksiltä, mutta kuitenkin siten, että uloslukittumisen vaaraa ei ole.