Google titan sikkerhed og nøgle bundt gennemgang og vurdering

Det viser sig, at folk faktisk er meget dårlige til at oprette og huske adgangskoder, og meget gode til at opfinde nye måder at bryde ind i adgangskodebeskyttede systemer. Google sigter mod at løse mindst et af disse problemer med dets Titan Security Key-bundt. Produktet består af to enheder, der, når det bruges korrekt, gør det markant sværere for onde at bryde ind på dine online-konti ved at kræve både en adgangskode og en fysisk nøgle til at logge ind på et websted eller en tjeneste.

Hvordan det virker

To-faktor-godkendelse (2FA) er ikke kun et andet trin efter indtastning af en adgangskode - selvom det ofte er sådan, det spiller ud i praksis. I stedet kombinerer 2FA to forskellige godkendelsesmekanismer (dvs. faktorer) fra en liste over tre muligheder:

• Noget du ved,
• Noget du har, eller
• Noget du er.

Et kodeord er for eksempel noget, du kender . I teorien skal det kun findes i dit hoved (eller sikkert inde i en adgangskodemanager). Biometrisk autentificering - såsom fingeraftryksscanninger, retina-scanninger, hjertesignaturer og så videre - regnes som noget, du er . Titan sikkerhedstaster og produkter som det er noget, du har .

En angriber kunne få dit kodeord på afstand, måske ved at slå det op på en liste med adgangskoder fra en dataforbrydelse eller ved at sende en phishing-e-mail, der får dig til at udlevere din adgangskode. Men med 2FA ville den samme angriber på en eller anden måde nødt til at komme til dig personligt og stjæle dine Titan-nøgler (eller fingeraftryk) ud over dit kodeord. Det kunne gøres, men det er meget sværere, som beskytter dig mod langt de fleste angreb, der er afhængige af lækkede eller let gættede adgangskoder.

Der er mange andre måder at få den beskyttelse, som 2FA yder. Tilmelding til at modtage engangskodekoder via SMS er måske den mest almindelige måde, men at bruge Google Authenticator og tjenester som Duo er populære alternativer, der ikke kræver en SMS-besked.

Men telefoner kan stjålet, og SIM-jacking er tilsyneladende en ting, vi skal bekymre os om nu. Derfor er fysiske enheder som Titan-nøglerne så attraktive. De er enkle og pålidelige, og Google har opdaget, at implementering af dem internt udslettet phishingangreb og kontoovertagelser.

Hvad er der i kassen?

Inde i Titan Security Key Bundle er ikke en enhed, men to: en slank, USB-nøgle og en Bluetooth-drevet nøglefod. Begge er støbt i elegant hvid plast og har en behagelig, robust fornemmelse. USB-nøglen giver især en meget tilfredsstillende lyd, når den kastes på et bord. Jeg har gjort dette flere gange bare for glæden ved det.

Bluetooth-tasten har en enkelt knap og tre LED-indikatorer til at vise godkendelse, Bluetooth-forbindelse, og at det enten er opladning eller har brug for en opladning. En enkelt mikro USB-port i bunden er til opladning og / eller tilslutning af Bluetooth-nøglen til din computer. USB-nøglen er flad med en gylden disk på den ene side, der registrerer dit tryk og afslutter godkendelsen. USB-nøglenheden har ingen bevægelige dele, kræver ingen batterier. Ifølge Google er begge enheder vandafvisende , så du kan måske holde dem ude af poolen.

Begge er beregnet til at blive lagt på en nøglering og holdes på din person (eller tæt ved hånden), hvilket betyder, at dejlig hvid finish kan bevise et ansvar. Rattling rundt på en nøglering er sikker på at lægge en mærkbar slid på de uberørte Titan-enheder. Jeg har brugt en Yubico YubiKey 4 i flere år, og det begynder at se temmelig slidt ud, selvom det er støbt i sort plast. På min korte tid med at teste Titan-tasterne begyndte USB-A-stikket allerede at se lidt skrabet ud.

I kassen findes også nogle stilfuldt designede - hvis en smule vage - instruktioner sammen med et micro USB til USB-A-kabel og en USB-C til USB-A adapter. Micro USB oplader Titan Bluetooth-nøglen, som i modsætning til USB-nøglen kan løbe ned. En batteriindikator blinker rødt, når det er tid til at oplade. Titan USB-nøglen, ligesom YubiKey, kræver ikke et batteri. Du kan også bruge mikro-USB-adapteren til at forbinde din Bluetooth-nøgle til en computer, hvor den kan fungere på samme måde som Titan USB-nøglen.

Både Bluetooth- og USB-A-tasterne er kompatible med FIDO Universal Two-Factor standard (U2F). Dette betyder, at de kan bruges som en 2FA-mulighed uden yderligere software. Dette er den eneste protokol, der understøttes af Titan-nøglerne, hvilket betyder, at de ikke kan bruges til andre godkendelsesformål.

Da Titan-tasterne først blev annonceret, opdagede en journalist, at komponenterne i mindst Bluetooth-nøglen var fra en kinesisk producent. Google bekræftede for mig, at virksomheden kontrakter en tredjepart for at fremstille nøglerne til virksomhedens specifikationer. Nogle i sikkerhedskredse betragtede dette som en potentiel risiko i betragtning af, at Kina er blevet beskyldt for at have udført digitale angreb på amerikanske institutioner. Men efter min mening, hvis du ikke har tillid til Google til korrekt veterinær på dens hardwarepartnere, har du sandsynligvis ikke tillid til Google nok til at bruge dens sikkerhedsprodukter i første omgang, og du skal se andre steder.

Drejning af nøglen

Før Titan-nøglerne kan bruges, skal de først tilmeldes et websted eller en service, der understøtter FIDO U2F. Google gør det selvfølgelig, men det gør Dropbox, Facebook, GitHub, Twitter og andre også. Da Titan-nøglerne er et Google-produkt, startede jeg med at konfigurere dem for at sikre en Google-konto.

Det er let at konfigurere Titan-nøglerne med din Google-konto. Gå over til Googles 2FA-side, eller besøg dine sikkerhedsindstillinger for din Google-konto. Rul ned til Tilføj sikkerhedstast, klik, og stedet beder dig om at indsætte og trykke på din USB-nøgle til sikkerhed. Det er det! Tilmelding af Bluetooth-nøglen kræver kun det ekstra trin at tilslutte den til din computer via det medfølgende micro USB-kabel.

Når jeg var tilmeldt, gik jeg ind på min Google-konto. Efter indtastning af min adgangskode blev jeg bedt om at indsætte og trykke på min sikkerhedsnøgle. Når du sætter USB-nøglen i en port, får den grønne LED til at blinke en gang. LED'en lyser konstant, når du får en anmodning om at trykke på tasten.

Da jeg testede ved hjælp af en ny konto, der aldrig havde brugt 2FA, krævede Google først, at jeg opsatte SMS-engangskoder. Du kan fjerne SMS-koder, hvis du foretrækker det, men tilmelding til Googles 2FA-program kræver, at du mindst bruger SMS-koder eller Google Authenticator-appen eller en Google-godkendelses push-meddelelse sendt til din enhed. Det er ud over de andre 2FA-indstillinger, du vælger. Bemærk, at Google Titan-nøglen ikke kræver SMS eller nogen anden service for at fungere, men mange tjenester (inkluderet Twitter) opfordrer dig til at bekræfte et telefonnummer for at bevise, at du er en rigtig person.

Hvis du vælger flere 2FA-indstillinger, kan du vælge den, der fungerer for dig i et givet scenario. Det er også en god ide at have en back-up-godkendelsesmetode, i tilfælde af at du mister dine nøgler eller din telefon går i stykker. SMS-underretninger er fine, men jeg bruger også papirtaster, som er en række engangskoder. Disse koder understøttes bredt og kan skrives ned eller gemmes digitalt (men forhåbentlig krypteret!). Dog bemærkede jeg, at for at foretage ændringer i mine 2FA-indstillinger, efter at jeg tilmeldte min Titan-nøgle, var det kun den og push-meddelelser til min telefon via Google-appen, som var godkendte godkendere.

I henhold til boksen er Titan-tasten og Bluetooth-nøglen begge NFC-kompatible, men jeg var ikke i stand til at få dem til at arbejde på den måde. Da jeg blev bedt om at bruge en 2FA-enhed på min Android-telefon, fulgte jeg instruktionerne og slå tasten bagpå telefonen, men til ingen nytte. Google bekræftede for mig, at enhederne er i stand til NFC, men at support vil blive tilføjet til Android-enheder i de kommende måneder.

Jeg havde ingen problemer med at logge ind på min Google-konto på en Android-enhed ved hjælp af Bluetooth-nøglen. Igen blev jeg bedt om at præsentere min nøgle efter indtastning af min adgangskode. En mulighed i bunden af ​​skærmen lader mig vælge en NFC-, USB- eller Bluetooth-autentificering. Da jeg valgte Bluetooth første gang, blev jeg bedt om at parre Bluetooth-tasten med telefonen. Det meste af dette blev håndteret automatisk af Google, selvom jeg skulle indtaste serienummeret på bagsiden af ​​Bluetooth-nøglen. Tilmelding af enheden på denne måde, dette skal kun gøres én gang; hver anden gang skal du bare klikke på knappen Bluetooth-nøglen for at godkende dig selv. Interessant nok så jeg ikke Bluetooth-nøglen på telefonens liste over nylige Bluetooth-enheder, men den fungerede stadig fint.

Bare for at gøre det, forsøgte jeg også at logge ind ved hjælp af den inkluderede USB-C-adapter og USB-sikkerhedsnøglen. Det fungerede som en charme.

Ud over sin 2FA login-ordning tilbyder Google også Advanced Protection Program til personer, der kan være i særlig risiko for angreb. Jeg prøvede ikke Advanced Protection i min test, men det kræver især to sikkerhedsnøgleenheder, så Titan Security Key Bundle er også klar til at arbejde med dette login-skema.

Titan-tasterne skal fungere med enhver tjeneste, der understøtter FIDO U2F. Twitter er et sådant eksempel, og jeg havde ingen problemer med at tilmelde Titan USB-nøglen med Twitter eller bruge den til at logge ind senere.

Sådan sammenlignes Google Titan Security Key

Der er en voksende liste over hardware-godkendelsesenheder, der kan sammenlignes med Titan Security Keys, men branchens førende er sandsynligvis Yubicos linje med YubiKey-produkter. Disse er næsten identiske med Titan USB-A-nøglen: slank, robust plastik og designet til at sidde på en nøglering med en lille grøn LED og en guldskive, der registrerer dit touch uden bevægelige dele.

Mens Yubico ikke tilbyder noget som Titan Bluetooth-nøglen, har den flere forskellige formfaktorer at vælge imellem. YubiKey 4-serien har for eksempel to nøgler i sammenlignelig størrelse som Titan USB-nøglen: YubiKey 4 og YubiKey NEO, hvoraf sidstnævnte er NFC-aktiveret. Yubico tilbyder også USB-C-taster, der fungerer med enhver enhed, der sporter den pågældende port, og der kræves ingen adapter.

Hvis taster ikke er din stil, kan du vælge YubiKey 4 Nano eller dens USB-C søskende, YubiKey 4C Nano. Enhederne i Nano-stil er meget mindre - kun 12 mm til 13 mm - og er designet til at blive liggende inde i enhedens porte.

Alle YubiKey 4-enheder ovenfor koster mellem $ 40 og $ 60, og det er bare for en nøgle. Dette er dog alle enheder med flere protokoller, hvilket betyder, at du ikke kun kan bruge dem som FIDO U2F-enheder, men også til at udskifte et smartcard til computer login, til kryptografiske signaturer og til en række andre funktioner. Nogle af disse er tilgængelige via den valgfri klientsoftware leveret af Yubico. Dette giver dig mulighed for at ændre, hvad YubiKey gør, og hvordan den opfører sig, hvilket er sikker på at kildre enhver sikkerhedsvinders fantasi. Titan-tasterne understøtter bare U2F og W3C WebAuthn-standarden og har ingen tilknyttet klientsoftware til at ændre deres funktionalitet.

Den billigste YubiKey er også den, der ser ud til at være tættest på funktionen til Google Titan-nøglen. Den blå sikkerhedsnøgle fra Yubico fungerer overalt hvor U2F accepteres, men understøtter ikke de andre protokoller som YubiKey 4-serien. Det understøtter også FIDO2-protokollen. Den har ikke Bluetooth-nøglen inkluderet i Google Titan-bundtet, men den koster også mindre end halvdelen til blot $ 20.

Mens Yubicos produkter er mindst lige så teknologisk dygtige og holdbare som Titan-nøglen, har virksomhedens svaghed forklaret, hvilken af ​​dens nøgler der gør hvad, og hvor de understøttes. Yubico-webstedet har flere svimlende diagrammer fyldt med akronymer, der får mine øjne til at glaser over. På den anden side favoriserer Titan-tasterne en næsten Apple-lignende enkelhed og ubrugelig brugervenlighed.

Der er softwareløsninger til 2FA også. Jeg har nævnt Duo, og både Google og Twilio Authy tilbyder også engangskoder via apps, ligesom LastPass også gør via en dedikeret app. Softwaregodkendere er nyttige og måske mere praktisk, hvis du altid har din telefon praktisk. Men hardware 2FA-enheder som Titan-nøglen er mere holdbare end en telefon, løber aldrig tør for strøm og kræver blot et tryk i stedet for at indtaste engangskoder, der er genereret af en app. En hardwarenøgle er også sværere at angribe end en app, der lever på din telefon, selvom telefoner er temmelig sikre i disse dage. I sidste ende vil valg af en hardware eller software 2FA-løsning sandsynligvis komme til personlige præferencer.

Problemet med support

På trods af navnet er FIDO Universal To-Factor standard support langt fra universal. Hvis du vil bruge dine Titan-nøgler med dine Google- eller Twitter-konti, skal du logge ind via Chrome. Ingen held med Firefox (i øjeblikket). Det samme var tilfældet, da jeg brugte Titan-nøglen med Twitter.

Jeg har brugt en YubiKey til at beskytte min LastPass-konto i årevis og var overrasket over at se, at min valg af adgangskodeadministrator ikke understøtter Titan-nøglerne. Selv med min YubiKey kan jeg kun bruge den som min anden faktorgodkender til min Google-konto via Chrome.

Udviklere og folkene bag FIDO er nødt til at arbejde tættere på at bringe bredere støtte til Titan, YubiKey og U2F generelt. Jeg har endnu ikke fundet en bank, der f.eks. Accepterer en hardware 2FA. Det er frustrerende at prøve at registrere din sikkerhedsnøgle til en tjeneste, kun for at finde ud af, at du er i den forkerte browser, eller at denne specifikke sikkerhedsnøgle ikke understøttes af tjenesten. Uden bredere støtte bliver disse enheder ikke brugt til meget og vil sandsynligvis gøre mere for at forvirre de uindviede end hjælp.

En industri titan

Google Titan Security Key Bundle har alt, hvad der kræves for at sikre din Google-konto mod tyveri af adgangskode, phishing og en række andre angreb. Opsætning er let, og det er ofte lettere at tilslutte en nøgle eller tappe på en Bluetooth-enhed end at slå op (og muligvis forkert indtaste) en engangskode fra en app. Bluetooth-nøglen har et lille, teoretisk sikkerhedsansvar, idet den transmitterer trådløst, men af ​​større bekymring er, at batteriet simpelthen kunne dø.

Med disse to enheder er du klar til at sikre din Google-konto og enhver anden understøttet service. Priset på $ 50 er godt tjent med to smarte, holdbare enheder. Du går ikke galt med disse. Det kræver en top score, men vi tilbageholder en Editors 'Choice-pris for denne kategori, indtil vi kan gennemgå flere konkurrerende produkter.