Yubico yubikey 5 nfc anmeldelse & vurdering

Adgangskoder har været det svage punkt i sikkerhed, siden de først blev introduceret. Heldigvis er Yubico YubiKey 5 NFC her for at beskytte vores vigtigste konti og meget mere derudover. Den femte generation af YubiKey understøtter FIDO U2F til en sikker andenfaktor-godkendelse og bruger NFC til at arbejde med din telefon. Men det er bare begyndelsen på, hvad denne bemærkelsesværdigt kraftfulde og bemærkelsesværdigt lille enhed kan gøre. Hvis du bare leder efter en enkel U2F-hardwareindstilling, er YubiKey 5 NFC sandsynligvis overdreven - overvej den mere overkommelige sikkerhedsnøgle fra Yubico eller Google Titan Security Keys i stedet. Men hvis du allerede er gennemsyret af sikkerhedskonkurrence, vil du elske, hvad 5 NFC har at byde på.

Sådan fungerer tofaktorauthenticering

Selvom der er meget, du kan gøre med en hardwaresikkerhedsnøgle, såsom YubiKey, er dens primære rolle som en anden faktor for godkendelse. I praksis betyder tofaktorautentisering (2FA) at skulle gøre en anden ting, når du har indtastet din adgangskode for at bevise, at det er dig. Men teorien bag 2FA kombinerer to forskellige autentificeringssystemer fra en liste over tre:

• Noget du ved,
• Noget du har, eller
• Noget du er.

For eksempel: en adgangskode, er noget, du kender , og det bør kun findes i dit hoved (eller inde i en adgangskodemanager). Biometri - tingk-fingeraftryksscanninger, retina-scanninger, hjertesignaturer og så videre - tælle som noget du er . Yubico YubiKeys og deres lignende er noget, du har .

Brug af to faktorer fra denne liste over tre giver større sikkerhed for, at du er den, du siger, du er, og at du har autoritet til at få adgang til det, du prøver at få adgang til. Det er også sværere for onde fyre at bryde. En angriber kan købe din adgangskode fra Dark Web, men hun er sandsynligvis ikke i stand til at hente din sikkerhedsnøgle. Autentificeringen, der leveres af 2FA, er også flyktig: den fungerer kun én gang, og normalt kun i en begrænset periode, for øget sikkerhed.

Denne anmeldelse ser primært på hardware 2FA, men der er mange måder at tilføje en anden faktor. Mange sider sender dig koder via SMS for at bekræfte din identitet. Apps som Duo og Authy er afhængige af push-meddelelser, som (i teorien) er sværere at opfange end SMS-beskeder.

Uanset om du går med en hardware- eller softwareløsning eller en blanding af begge dele, tilføj 2FA hvor du kan. Da Google distribuerede 2FA-nøgler internt, så den succesrige kontoovertagelse falde til nul. Det er så godt.

De mange smag af YubiKey

Yubico har altid tilbudt flere størrelser og variationer af sine sikkerhedsnøgler, så de passer til næsten ethvert behov. Dette er fantastisk, fordi forbrugere og it-fagfolk kan få nøjagtigt det, de har brug for til forskellige priser. Ulempen er, at browsing i Yubico-butikken er en ofte overvældende oplevelse. Jeg gør mit bedste for at koge det grundlæggende ned.

Der er fire varianter af YubiKey 5-serienheder, inklusive $ 45 YubiKey 5 NFC, der er gennemgået her, samt tre andre formfaktorer: $ 50 YubiKey 5 Nano, $ 50 YubiKey 5C og $ 60 YubiKey 5C Nano. 5 NFC er den eneste YubiKey, der tilbyder trådløs kommunikation, men desuden er den eneste forskel mellem disse enheder størrelse, pris og USB-stik.

De to Nano-enheder er de mest reducerende enheder i gruppen og ligger inden i dine USB-A- eller USB-C-slots, let inden for rækkevidde, hvis du ofte har brug for dem. YubiKey 5C bruger et USB-C-stik, er lidt mindre end 5 NFC og kan hænge på din nøglering ved siden af ​​5 NFC; det mangler trådløs kommunikation. Du kan dog tilslutte enten YubiKey 5C eller 5C Nano direkte til din Android-enhed.

Det, der adskiller YubiKey 5-serien fra konkurrencen, er ikke kun forskellige formfaktorer. Disse enheder er ægte digitale sikkerhedskniver fra Swiss Army. Hver enkelt kan fungere som et Smart Card (PIV), kan generere engangskodeord, understøtte både OATH-TOTP og OATH-HOTP og kan bruges til autentificering af udfordringssvar. Alle fire enheder understøtter tre kryptografiske algoritmer: RSA 4096, ECC p256 og ECC p384. Disse enheder kan passe til så mange forskellige roller, ofte på samme tid - forudsat at du ved, hvad du laver.

Mens YubiKey 5 NFC er i fokus i denne gennemgang, har jeg testet YubiKey 4-serie enheder i fortiden, og disse er fysisk identiske med USB-C- og Nano-variationerne i YubiKey 5-serien. Alle af dem er godt lavet, beklædt i sort plast, der skjuler slid, og udstyret med skjulte grønne LED'er, så du ved, at de er tilsluttet og fungerer. USB-A-enhederne har enten en guldstrimmel eller -disk, du trykker på, afhængigt af enhedens størrelse. USB-C-enhederne har i mellemtiden to små metalflig, som du trykker på for at godkende. USB-A Nano-enheden er sværere at fjerne fra en slot end USB-C Nano-enheden, men USB-A Nano YubiKey har et lille hul, så den kan hænges på en streng eller ledning, mens USB-C Nano gør ikke.

Hvilken YubiKey-enhed, du køber, afhænger i vid udstrækning af, hvilken kontekst du planlægger at bruge den. Nano-enhederne er nyttige, hvis du planlægger at bruge dem med en betroet computer, og du ved, at du ofte har brug for at få adgang til YubiKey. Tasterne i fuld størrelse er bedre til at hænge på en nøglering og holde dem tæt på.

Hænderne på med YubiKey 5 NFC

For at hjælpe dig med at komme i gang har Yubico oprettet en praktisk guide til nye brugere. Vælg bare den YubiKey-enhed, du har, og stedet viser en liste over alle de steder og sammenhænge, ​​du kan bruge din YubiKey. Nogle af disse linker direkte til et websted eller services onboarding-side, mens andre indeholder instruktioner, du skal følge dig selv.

Det er meget simpelt at indstille YubiKey som en U2F anden faktor. Følg webstedets eller tjenestens instruktioner, og indsæt derefter YubiKey i det relevante slot, når du bliver bedt om det. Bare tryk på guldskiven (eller metalfligene, afhængigt af modellen), og tjenesten tilmelder din nøgle. Næste gang du går til at logge ind, indtaster du din adgangskode, og du bliver bedt om at indsætte din nøgle og trykke på. Det er det!

Dashlane, Google og Twitter er et par af de mange websteder, der understøtter U2F og accepterer YubiKey 5 Series-enheder. I min test tilmeldte jeg det som en anden faktor for en Google-konto. Da jeg loggede på en stationær computer, indtastede jeg mine loginoplysninger, og derefter bad Google mig om at indsætte og trykke på min sikkerhedsnøgle. Det er ikke noget problem, selvom jeg skulle bruge Chrome-browseren til at logge ind.

På min Android-enhed er processen lige så enkel. Når jeg loggede på test, indtastede jeg mine legitimationsoplysninger, og derefter bad min telefon mig om at bruge min sikkerhedsnøgle. Jeg valgte NFC fra en menu nederst og slap derefter 5 NFC mod bagsiden af ​​min telefon. Det tog ganske mange forsøg, men til sidst brød telefonen bekræftende, og jeg var logget ind.

YubiKey 5-serien kan autentificere dig på en række måder, ikke kun via U2F. Med LastPass, for eksempel, tilmelder du YubiKey for at generere engangsadgangskoder (specifikt HMAC-baserede engangsadgangskoder, men jeg skal bruge OTP til kortfattethed) med et tryk. Dette er forskelligt fra U2F, men det i praksis føles det meget ens. Log ind på LastPass, naviger til den relevante del af menuen Indstillinger, klik på tekstfeltet, og tryk på YubiKey. En streng bogstaver spydes ud, og det er det! Når du nu vil logge ind på LastPass, bliver du bedt om at tilslutte din YubiKey for at få den til at spytte ud flere OTP'er.

De fleste af jer er sandsynligvis kendt med Google Authenticator, en app, der genererer sekscifrede adgangskoder hvert 30. sekund. Denne teknologi kaldes mere generelt tidsbaserede engangsadgangskoder (TOTP'er) og det er en af ​​de mest almindelige former for 2FA, der bruges i dag. Sammen med en ledsager desktop eller mobil app sætter Yubico en interessant spin på TOTP-systemet.

Tilslut din YubiKey, affyr Yubico Authenticator-appen, og naviger derefter til et sted, der understøtter Google Authenticator eller en lignende service. For at sikre en Google-konto klikkede jeg f.eks. På muligheden for at tilmelde en ny telefon til autentificeringsappen. En QR-kode vises normalt på dette tidspunkt, og webstedet beder dig om at scanne den med den relevante autentificeringsapp. I stedet valgte jeg en menuindstilling i skrivebordsappen Yubico Authenticator, og den fanger QR-koden fra min skærm. Efter et par flere klik startede appen med unikke sekscifrede koder hvert 30. sekund.

Tricket er, at Yubico-appen ikke kan generere TOTP'er uden YubiKey. I stedet for at gemme de legitimationsoplysninger, der er nødvendige for at oprette disse koder på din computer, gemmer Yubico Authenticator disse data direkte på din YubiKey. Træk det ud, og Authenticator-appen kan ikke oprette nye TOTP'er. Det er praktisk, hvis du er bekymret for, at nogen stjæler den enhed, du bruger til at generere dine TOTP'er. Du kan også låse din YubiKey med en adgangskode, så selvom den blev stjålet fra dig, kunne den ikke bruges til at generere TOTP'er.

Yubico tilbyder også en TOTP-genererende Android-app, der fungerer med YubiKey 5 NFC, for at tage dine TOTP'er på vej. Når du åbner appen, er den tom, men klap din 5 NFC mod bagsiden, og den begynder at generere koder. Luk appen, og koderne forsvinder; skal du trykke på 5 NFC igen. Det er mindre praktisk end at gemme informationen i selve appen, men langt mere sikker.

Dette var de scenarier, jeg kiggede på, men YubiKey 5-serien kan gøre meget mere. Du kan bruge det som et smartcard til at logge på min stationære computer. Du kan bruge det til at logge på SSH-servere. Du kan endda generere en PGP-nøgle og derefter bruge YubiKey til at underskrive eller autentificere. Helt ærligt var det bare vanskeligt at få mit hoved indpakket omkring TOTP-tasterne.

Selvom Yubico har masser af dokumentation og tre separate desktop-apps (og tre flere mobile apps), er det meget vanskeligt at bruge alle aspekter af YubiKey uden en god dukke af eksisterende viden. Yubico har distribueret et websted for at hjælpe kunderne med at informere om, hvad de kan bruge deres nøgle til, og til at vejlede dem mod de nødvendige oplysninger. Denne vejledning er stor, men det er bare vejledning, ikke håndholdningen, der normalt leveres af tech-produkter. Brug af din YubiKey til U2F er også meget enkel, men at få mest muligt ud af din YubiKey er ikke let for en novice - eller endda en sikkerhedsjournalist.

YubiKeys vs. Google Titan Security Key

Yubico har en løsning til næsten enhver situation med YubiKey 5-serien, men omkostninger er et problem. Hver enkelt enhed er prissat mellem $ 40 og $ 60 for kun én YubiKey.

Googles Titan Security Key Bundle leverer på den anden side to enheder til $ 50: En USB-A-nøgle og en Bluetooth / Micro USB-nøglefodbold. Det giver dig en ekstra ret væk fra flagermus. På den anden side har YubiKey bare mere sikkerhedsangreb til din bukke (forudsat at du puslespil ud, hvordan du bruger det hele). Begge Titan-enheder kan bruge NFC, men fra denne skrivning er support ikke aktiveret på Android-enheder. Google leverer også en USB-C-adapter, så du kan bruge din Titan-nøgle til næsten enhver enhed. Titan-tasterne understøtter dog kun FIDO U2F. Det vil fungere for næsten alle websteder eller tjenester, men de kan ikke bruges til TOTP'er, OTP'er, Smart Card-adgang og de andre protokoller, der understøttes af YubiKey 5 Series.

Prisbevidste læsere, der primært leder efter bare en U2F-enhed, foretrækker sandsynligvis $ 20-sikkerhedsnøglen af ​​Yubico. Denne USB-A-nøgle har den samme silhuet som YubiKey 5 NFC, men kan identificeres ved dets smukke blå plastindkapsling, en nøgleklyph på midterste knap og nummer to ætset på toppen. Som navnet antyder understøtter denne enhed FIDO U2F og FIDO2, men det er det. Sikkerhedsnøglen understøtter ikke alle protokoller i YubiKey 5-serien, så du kan ikke bruge den med LastPass eller som et smart card, og den kan heller ikke kommunikere trådløst. Det koster også mindre end halvdelen af ​​Titan-nøglepakken eller 5 NFC.

Yubi-nøglen til succes?

YubiKey 5-serien er en bemærkelsesværdig familie af enheder, der fylder et blændende antal nicher. Dens mest basale anvendelse er som en FIDO U2F-autentificering eller en OTP-generator, men det kan gøre så meget mere. De problemer, vi altid har haft med YubiKeys, og Yubico generelt, er simpelthen udfordringen med at finde ud af, hvilken YubiKey der skal vælges, blandt det halvt dusin, som virksomheden i øjeblikket tilbyder. At finde ud af, hvad du kan gøre med det ud over U2F, er dobbelt udfordrende. Yubico-enhederne er fremragende, og deres dokumentation forbedres, men de er bestemt designet med sikkerhedsvinduer og it-fagfolk i tankerne.

Hvis du kigger på vaskeristen over muligheder, YubiKey kan prale af og forstår dem, eller i det mindste er nysgerrig efter dem, så er dette enheden til dig. Du vil ikke blive skuffet over denne robuste lille enhed. Hvis du ved, at du ønsker at sikre dine online konti bedre, men ikke er sikker på, hvordan du gør det, er du sandsynligvis bedre stillet med Google Titan Security Keys eller den langt mere overkommelige Security Key fra Yubico.

YubiKeys er en etableret og moden teknologi, men vi undersøger stadig dette rum. Som sådan giver vi YubiKey 5 NFC fire stjerner, men tilbageholder en Editors 'Choice-pris, indtil vi har undersøgt flere muligheder.