Erfahrung mit YubiKey etc. gesucht

[johndoe049]

Juhu,

der erste Kunde, der eine Zwei Faktor Authentifizerung will - und dann noch mit YubiKey.



Spass beiseite. Hat jemand Erfahrung, wie man YubiKey etc. einbindet?

Welche Bibliothekten sollte man nehmen und welche besser nicht
Was ist zu beachten
Welche Anfängerfehler sind üblich


So eine Art Tutorial für alle, die sich damit mal befassen wollen/sollen/dürfen/müssen.

[freimatz]

Wir haben Yubikey. Aber was meinst Du mit Einbindung? Du fragst hier in "Algorithmen, Datenstrukturen und Klassendesign". Bei uns wird aber nur die exe am Schluss signiert.

[Uwe Raabe]

Zitat von freimatz:

Aber was meinst Du mit Einbindung?

Ich vermute es geht um die Authentifizierung des Users gegenüber der Applikation?

[johndoe049]

Zitat von Uwe Raabe:

Zitat von freimatz:

Aber was meinst Du mit Einbindung?

Ich vermute es geht um die Authentifizierung des Users gegenüber der Applikation?

Richtig.
Wie kann man es einrichten, bzw. was muss man einrichten, damit ein Benutzer per YubiKey Authentifiziert wird.

[Phoenix]

Die einfachste Variante ist per WebAuthN.


Aber wir reden hier, befürchte ich, von Desktop-Anwendungen?

Der Yubikey (ist ja ein USB-Device) meldet sich als HID (Human Interface Device) an, und kann sozusagen wie eine Tastatur funktionieren.
Wenn Du ihn einsteckst und drauf drückst, generiert er Dir einen OTP (One-Time Password) und gibt ihn sozusagen als Keypresses an Deine Anwendung.

Das OTP basiert zum einen auf der ID des Keys, und zum anderen aus einem Shared Key, den Deine Applikation auf den Yubikey programmiert (bzw. auf einen sogenannten "Slot" setzt).
Wenn Du nun den User Authentifizieren willst, dann suchst Du den Shared Key zu dem User (und dessen Yubkey Key-ID).
Den Zeichensalat den der Yubikey an Deine Anwendung "tippt" kannst Du nun gegen diese zwei Werte validieren (steckt auch alles im Yubikey SDK drin), und das sagt Dir dann ob das wirklich von dem Key kam oder nicht.

Siehe auch: https://docs.yubico.com/yesdk/users-...redential.html
und
https://docs.yubico.com/yesdk/users-...onse-code.html

[johndoe049]

Zitat von Phoenix:

Aber wir reden hier, befürchte ich, von Desktop-Anwendungen?

Es geht um eine Desktopanwendung. Genauer die Konfiguration einer Maschinensteuerung.

Kann ich davon ausgehen, dass Yubikey eher für Webanwendungen konzipiert ist?

Ist das dann überhaupt so ein Sicherheitsgewinn, wie unser Kunde sich das Vorstellt, oder geht der von eine falschen Annahme aus?

Im Moment haben wir Passwort und RFID Karten für den Kunden geplant. Das ist dem aber nicht sicher genug.