Sicherheit: Google unterstützt ab sofort FIDO U2F Sicherheitsschlüssel
von caschy | 18 Kommentare
Sicher ist sicher – das wissen einige Dienste und bieten dem Kunden neben dem normalen Login auch die Möglichkeit an, eine Zwei-Faktor-Authentifizierung zu nutzen. Hier wird dann oftmals als zusätzliche Instanz ein Code vorausgesetzt, der in einer Authenticator-App generiert wird oder per SMS kommt. Aber es gibt auch Token-Lösungen, wie sie beispielsweise PayPal oder LastPass unterstützen.
Und auch Google unterstützt nun den Security Key, hierbei handelt es sich um eine Lösung, die via USB funktioniert. Statt einem Code nimmt man den Schlüssel, um sich bei Google anzumelden. Google setzt hier auf das offene Universal 2nd Factor (U2F) Protokoll der FIDO Alliance.
In Chrome ab Version 38 funktioniert das Ganze, Google selber hofft, dass auch andere Browser das System unterstützen werden. Ein FIDO U2F Security Key kostet beispielsweise bei Amazon 5,99 Euro, der Schlüssel kann im Google Setup hinterlegt werden. Heißt: Statt Username, Passwort und Code werden auf Wunsch nur Username, Passwort und Schlüssel fällig.
Wird geladen ...
Super. Gibt’s eigentlich auch noch andere Dienste, die das unterstuetzen?
Wenn ich so ein Teil registriere, kann ich dann trotzdem noch normal via Benutzername/PW mich einloggen? Oder wird dann der Token bzw. 2-Factor-Auth vorrausgesetzt?
Wie HerrTaschenbier schon schrieb, kann ich mich dann an anderen Geräten (Smartphone, Tablet) noch mit dem Username Passwort und Code aus der Authenticator App anmelden? Oder muss dann alles mit dem Token gemacht werden?
Interessant.
Mir kam sofort die selbe Frage wie meinen beiden Vorrednern:
Geht das auch im parallelbetrieb?
Zuhause: User + Passwort + USB-Token
Unterwegs: User + Passwort + Google Auth-App Token (alternativ SMS)
Backup: User + 1-Mal-Passwort (der aktuelle Ausdruck mit Notfalldaten)
@HerrTaschenbier 2FA ist Voraussetzung. Unter Android ist er atm noch nicht nutzbar.
Nachtrag: Antwort gefunden in der Google Hilfe:
„Ein Bestätigungscode kann in der Regel auf allen Geräten eingesetzt werden, auch auf Geräten, die keinen Sicherheitsschlüssel unterstützen.“
Quelle: https://support.google.com/accounts/answer/6103523?hl=de#
Ich würde gerne Kommentare editieren können… @Carsten: kannst Du meine Beiträge zusammenführen?
Die engl. Fassung ist noch aussagekräftiger: „In general, you’ll still be able to use a verification code the way you normally do on any device that doesn’t support Security Key.“
–> es geht wohl auch parallel.
Gibt es eine Möglichkeit so einen Stick zur Windows Anmeldung zu nutzen?
@Hans: So was gibt es z.B. hier:
http://www.tecchannel.de/sicherheit/tools/2039400/usblogon_windows_anmeldung_per_usb_stick/
Gute Neuerung. Momentan habe ich ein paar „Ersatz-Keys“ ausgedruckt, für den Fall, dass das Handy mal den Geist aufgibt. Der Stick ist da natürlich praktischer.
Gibt’s sowas auch mit NFC?
Supersache, v.a. da es keine zusätzlichen Daten (Tel.nummer o.Ä.) benötigt und den offenen Standard verwendet statt etwas proprietäres zu bauen (wie Apple-Pay -.-)
Scheint irgendwann auch noch mit NFC und Bluetooth Unterstützung zu kommen:
„The U2F working group is currently developing specifications for NFC and Bluetooth, allowing easy and contactless communication with all devices and platforms in a near future.“
Quelle: https://www.yubico.com/applications/fido/
Was mich nur wundert, dass der Key von Yubico mindestens 50 Dollar kostet und der auf Amazon von einer anderen Firma nur 5,99 EUR (Lieferung aus Frankreich).
https://store.yubico.com/store/catalog/index.php?cPath=21
@Tim: der YubiKey NEO kann auch n bisserl mehr 😉 ich hab den hier bestellt: https://store.yubico.com/store/catalog/product_info.php?products_id=112
Hier ist noch ein offizieller Reseller aus Deutschland. Jetzt weiß ich auch warum 50 Dollar, diese Version beherrscht NFC also auch mit Android kompatibel. https://www.mtrix.de/shop/
Hier wird die Funktionsweise noch erklärt:
https://docs.google.com/presentation/d/16mB3Nptab1i4-IlFbn6vfkWYk-ozN6j3-fr7JL8XVyA/edit#slide=id.g19c09a112_2_0
Ich bin jetzt gerade mit dem Handy unterwegs deswegen kann ich mir die ganzen Links nicht ansehen.
Klingt gut, aber ich finde es noch nicht so ganz praktikabel.
Am Schlüsselbund bringt mir das Teil nur was wenn ich unterwegs bin.
Zuhause habe ich meinen Schlüssel nicht am Mann.
Und wie funktioniert das Zwei Faktor dann wenn ich wie jetzt am Handy bin?