Zitat:
Das sind doch schon 2 Faktoren.
Wenn ich jetzt einem Benutzer das Passwort abluchse ist es mir vollkommen egal ob ich ihm noch eine RFID-Karte, einen Yubikey oder im Zweifel einfach beides aus der Tasche klauen muss um an das System zu kommen.
Ist auch unsere Meinung. Beim Kunden ist jemand in der Qualitätssicherung, der da eine andere Meinung hat und Fan vom Jubikey ist. Argumenten ist der nicht zugängig. Ist einer vom Typ "Ich will aber!".
Kann man ja eigentlich parallel zu jeder anderen Art von Account betrachten.
Eine RFID-Karte kann man kopieren (bis auf wenige Ausnahmen, aber hier wurde nichts spezielles erwähnt), evtl. sogar separat im Vorbeigehen "belauschen" und Kopie erstellen.
Den Yubikey nicht.
Bei Angst vor reinem Diebstahl des Tokens ist es egal ob Karte oder Yubikey. Hat man aber Angst vor Industriespionage, wo jemand schlauer vorgeht und den zweiten Faktor kopieren möchte, um erstmal unentdeckt zu bleiben, ist der Yubikey halt deutlich überlegen.
Auch besser als Fingerabdrücke oder Gesichtsscans, solange die nicht wirklich gut sind (vielleicht sogar dann).