Двухэтапная аутентификация в браузере с помощью USB-токена U2F

[ohm]

Проверяет ли Google смену IMSI?

[zhovner]

Насколько мне известно — нет. Но можно убрать телефон в способах восстановления утраченного доступа оставив его только в двухэтапной аутентификации, тогда нельзя будет угнать аккаунт при перевыпуске SIM-карты.

Точно проверяет IMSI Альфабанк и WebMoney.

[evilmind]

Вот самое интересное, что Альфабанк проверяет не всегда, за последнее время 3 раза менял сим карту (смена формата и переход на lte). И ни разу не было никаких проблем, хотя, до этого менял симку и пришлось обращаться в колл-центр.

[zhovner]

Странно. Что по этому поводу скажут представители Альфабанка verybigman RockBee ZTamara denisx

[xforce]

При этом ключи предустановлены при производстве и никогда не покидают токен

А каким образом убедиться, что там нормальные ключи теперь, а не 15 бит энтропии?

[xforce]

И даже более того — у производителя может лежать копия этого ключа. Поломают производителя, угонят базу ключей и абзац безопасности…

[zhovner]

Не знаю. Вот неплохой тред об этом security.stackexchange.com/questions/71316/how-secure-are-the-fido-u2f-tokens
Еще есть разговоры что в используемом алгоритме эллиптических кривых NIST есть закладка classic.slashdot.org/story/13/09/11/1224252

[RZimin]

Правильно ли я прочитал, что U2F умеет только NEO?

[zhovner]

Нет, еще EDGE, EDGE-N, NEO-N и синий. Вот удобная таблица www.yubico.com/products/yubikey-hardware
По запросу «U2F» на amazon можно найти токены по 5 баксов.
Мелкие удобно утапливаются в USB порту и не торчат

[RZimin]

Спасибо, просто не увидел на сайте дистрибьтора Edge. Вот он как раз кажется оптимальным вариантом.

[ErshoFF]

Мелкие на амазоне (поиск по YubiKey,Nano, U2F и комбинации) показал минимальную цену 25 баксов. Дешевле не нашел.

[zhovner]

Ошибся, шесть баксов www.amazon.com/Plug-up-International-U2F-SK-01-FIDO-Security/dp/B00OGPO3ZS/ref=sr_1_3?ie=UTF8&qid=1430118083&sr=8-3&keywords=u2f

[ErshoFF]

Хотелось именно скрыть в порту USB, как на вашей картинке.
Этот будет торчать.

[CAJAX]

Plug-up можно обрезать ножницами или обточить напильником. Схема спрятана непосрественно под контактной площадкой.

[intnzy]

Отличный вариант потерять все и сразу вместе с буком!

[ColorPrint]

У меня такой, очень удобно пользоваться и носить )

[zhovner]

А openPGP тоже уязвим?

[ColorPrint]

Не проверял, не использую openPGP

[la0]

del

[gto]

При выборе Юбикейа имейте в виду, что до версии 1.0.9:

developers.yubico.com/ykneo-openpgp/SecurityAdvisory%202015-04-14.html

[zhovner]

Я об этом написал. Это касается только функционала openpgp.

[gto]

Ага, поздно заметил. Стал искать по 1.0.9 и не нашёл. Пардоньте. Вы, кстати, свою заменили? Долгая процедура?

[zhovner]

В саппорте мне пообещали заменить, правда пока непонятно как, ведь в Украину они не шлют.
Тема на форуме об этом forum.yubico.com/viewtopic.php?f=26&t=1854

[ProRunner]

А какая процедура восстановления доступа ко всем сервисам при потере токена?

[CAJAX]

Это зависит от сервиса. Гугл выдает десяток запасных кодов.

[zhovner]

Это зависит от конкретного сервиса, кто как хочет так и реализовывает.
Например гугл позволяет привязать сразу несколько токенов к одному аккаунту и обязательно требует активировать альтернативный способ авторизации, например OTP или по SMS. Еще есть одноразовые бекап-коды.

[ProRunner]

Тогда не вижу преимуществ над двухэтапной аутентификацией по смс, если через смс же можно восстановить доступ.

[zhovner]

SMS можно полностью отключить и отвязать телефон если выбрать альтернативным вторым фактором OTP, он же Google Authenticatior.

[as1an]

del

[lSDriim]

Здесь вон вообще целый компьютер на линукс предлагают за 49 баксов www.amazon.com/s?marketplaceID=ATVPDKIKX0DER&me=A3V6YOGK9LVOC6&merchant=A3V6YOGK9LVOC6&redirect=true тоже вроде U2F поддерживает

[zhovner]

проверенным динамическим RSA-токеном

Каким например?

[nochkin]

Но ведь RSA token надо тоже покупать дополнительно.
Кстати, если есть от него ключ, то можно установить приложение на тот же смартфон и не таскать с собой токен.

[nochkin]

Часто USB закрыт на запись только для USB flash mass media storage устройств. Клавиатура/мышка обычно сидят на USB в виде HID. Если HID разрешено, то токен в виде HID должен работать.
Я только один раз встречал (да и то по-наслышке), что заблокировали USB полностью физическим отключением на мамке, а клавиатура/мышка были на PS/2.

[nochkin]

Про интернет-клубы не подумал, так как не сталкивался. Я больше про корпоративные решения.

По поводу RSA на смартфонах есть такие приложения:
Android
iOS
BlackBerry 10
Можно добавить RSA токен и пользоваться вместо свеого без страха, что забыл дома (учитывая, что обычно телефон мы забываем намного реже).

[zhovner]

TOTP намного более популярен, стандартизирован. Поддерживается Google, Github, Paypal, Dropbox, Evernote, Amazon, Heroku. Полно реализаций как аппаратных, так и софтовых. Зачем нужен этот secureID в таком случае?

[nochkin]

Как я понял, преимущество проприетарного RSA SecurID в том, что он уже есть на руках у ntfs1984. Это и обсуждается.
RSA SecurID является достаточно популярным токеном в корпоративном мире.

[zhovner]

>то что популярно

Где используется SecureID?

[stansult]

с анализатором рисунка сетчатк

Почти по теме — я недавно купил себе ноутбук с какой-то странной прорезью на корпусе.
Провёл по ней пальцем — оказалось, анализатор отпечатка пальца :)
Всегда считал это каким-то нелепым неудобным пижонством.
А теперь, попробовав, оценил: действительно, удобно!

[gvozd1989]

Кто-нибудь в курсе, возможно ли проводить аутентификацию не нажимая кнопку, а автоматически?

[zhovner]

Токены без кнопки выключаются после авторизации и их нужно вытаскивать и включать заново для каждого раза. Вот этот например www.amazon.com/Plug-up-International-U2F-SK-01-FIDO-Security/dp/B00OGPO3ZS/ref=sr_1_3?ie=UTF8&qid=1430150377&sr=8-3&keywords=U2F

[ColorPrint]

Мне кажется с кнопкой как раз удобнее. Особенно вон та миниатюрная модель выше, утапливаемая в корпус.

[volnov]

Есть ли смысл юзать LastPass с таким ключиком?

[zhovner]

Зависит от уровня паранойи, LastPass умеет OTP, так что можно ограничиться им.

[istui]

Насколько анонимна такая штука — можно ли связать несколько сервисов по использованию одного и того же ключа?

Насколько она надежна — каков шансы, что токен внезапно умрет (от чего, кстати? статика? наработка на отказ?)?
Что делать с аккаунтом в таком случае, вроде бы, уже описали выше…

[zhovner]

можно ли связать несколько сервисов по использованию одного и того же ключа?

Да

каков шансы, что токен внезапно умрет (от чего, кстати? статика? наработка на отказ?)?

Не знаю.

[Iskin]

А можно ли авторизоваться с телефона?

[zhovner]

Где именно? В приложении/сайте на телефоне можно авторизоваться брелком с помощью NFC.
Телефоном как U2F токеном на компьютере, вероятно можно, если сделают SIM-карты с U2F или программную эмуляцию на телефоне.

[Iskin]

А как выглядит авторизация в приложении/сайте?

[zhovner]

Точно так же, как и в десктопном браузере, правда насколько я знаю еще нет ни одной реализации U2F на смартфонах.
Но в теории достаточно будет просто поднести токен к телефону.

Вот типа такого grepular.com/An_NFC_PGP_SmartCard_For_Android

[elfuegobiz]

Спасибо большое за сообщение о баге и замене!

[zqZhil]

Мельком поискал «is it possible to clone Yubikey» — наткнулся на www.yubico.com/faq/backup-yubikey

Получается, если покупать Yubikey из «ненадежного» источника — стоит обязательно перезалить ключи шифрования, чтобы не оказалось, что там залиты ключи злоумышленника?

[zhovner]

Ну например pgp ключей на токене с завода нет, их предполагается либо сгенерировать на устройстве без возможности извлечь, либо залить свой существующий ключ.