Вікіпедія

YubiKey

YubiKey — апаратний пристрій автентифікації, виготовлений компанією Yubico, для захисту доступу до комп'ютерів, мереж і онлайн-сервісів, який підтримує одноразові паролі (OTP), криптографію з відкритим ключем і автентифікацію, а також протоколи Universal 2nd Factor (U2F) і FIDO2.[1] розроблено Альянсом FIDO . Це дозволяє користувачам безпечно входити у свої облікові записи, вводячи одноразові паролі або використовуючи пару відкритих/приватних ключів на основі FIDO, згенеровану пристроєм. YubiKey також дозволяє зберігати статичні паролі для використання на сайтах, які не підтримують одноразові паролі.[2] Google, Amazon, Microsoft, Twitter і Facebook використовують пристрої YubiKey для захисту облікових записів співробітників, а також облікових записів кінцевих користувачів.[3][4][5] Деякі менеджери паролів підтримують YubiKey.[6][7] Yubico також виробляє ключ безпеки, аналогічний недорогий пристрій із підтримкою лише FIDO2/WebAuthn і FIDO/U2F.

Yubico Inc.
Тип Private
Галузь Цифрова електроніка
Засновано 2007
Штаб-квартира Пало-Альто, США
Ключові особи Stina Ehrensvärd (CEO and founder)
Jakob Ehrensvärd (CTO)
yubico.com/products
CMNS: YubiKey у Вікісховищі
Перший USB-токен YubiKey стандарту FIDO в 2014 році.

YubiKey реалізує алгоритм одноразового пароля на основі HMAC (HOTP) і алгоритм одноразового пароля на основі часу (TOTP), а також ідентифікує себе як клавіатуру, яка передає одноразовий пароль через протокол USB HID . YubiKey також може представляти себе як картку OpenPGP, використовуючи 1024, 2048, 3072 і 4096-бітний RSA (для розміру ключа понад 2048 бітів потрібна версія GnuPG 2.0 або новіша) і криптографію на еліптичній кривій (ECC) p256, p384 і більше залежно від версії, що дозволяє користувачам підписувати, шифрувати та розшифровувати повідомлення, не відкриваючи приватні ключі зовнішньому світу. Також підтримується стандарт PKCS#11 для емуляції смарт-картки PIV . Ця функція дозволяє підписувати код образів Docker, а також автентифікацію на основі сертифіката для Microsoft Active Directory і SSH .[8][9][10][11]

Заснована в 2007 році генеральним директором Стіною Еренсвард, Yubico є приватною компанією з офісами в Пало-Альто, Сіетлі та Стокгольмі .[12] Технічний директор Yubico, Якоб Еренсвард, є головним автором оригінальної специфікації сильної автентифікації, яка стала відомою як Universal 2nd Factor (U2F).[13]

YubiKey випустила серію YubiKey 5 у 2018 році, яка додає підтримку FIDO2 .[14]

Історія ред.

Компанія Yubico була заснована в 2007 році і в листопаді того ж року почала пропонувати Pilot Box для розробників.[15] Оригінальний продукт YubiKey був показаний на щорічній конференції RSA у квітні 2008 року[16][17], а більш надійна модель YubiKey II була випущена в 2009 році.[18] Yubico пояснює назву «YubiKey» тим, що вона походить від фрази «ваш всюдисущий ключ», а «юбі» — японське слово, що означає палець.[19]

YubiKey II і новіші моделі мають два доступні «слоти» для зберігання двох різних конфігурацій з окремими секретами AES та іншими налаштуваннями. Під час аутентифікації перший слот використовується лише коротким натисканням кнопки на пристрої, тоді як другий слот використовується при утриманні кнопки від 2 до 5 секунд.

У 2010 році Yubico почала пропонувати моделі YubiKey OATH і YubiKey RFID. YubiKey OATH додала можливість генерувати 6- та 8-символьні одноразові паролі за допомогою протоколів від Initiative for Open Authentication (OATH) на додачу до 32-символьних паролів, які використовуються у власній схемі автентифікації Yubico OTP. Модель YubiKey RFID містила функцію OATH, а також мікросхему радіочастотної ідентифікації MIFARE Classic 1k[20], хоча це був окремий пристрій у комплекті, який не можна було налаштувати за допомогою звичайного програмного забезпечення Yubico через USB-з'єднання.[21]

Yubico анонсувала YubiKey Nano у лютому 2012 року, мініатюрну версію стандартного YubiKey, яка була розроблена таким чином, щоб вона майже повністю містилася в порту USB і відображала лише невелику сенсорну панель для кнопки. Більшість пізніших моделей YubiKey також були доступні як у стандартному, так і в «нано» розмірі.

У 2012 році також був представлений YubiKey Neo, який покращив попередній продукт YubiKey RFID, реалізувавши технологію зв'язку ближнього поля (NFC) та інтегрувавши її з USB-портом пристрою.[22] YubiKey Neo (і Neo-n, «нано» версія пристрою) можуть передавати одноразові паролі на зчитувачі NFC як частину налаштованої URL-адреси, що міститься в повідомленні NFC Data Exchange Format (NDEF). Neo також може спілкуватися за допомогою протоколу смарт-картки CCID на додаток до емуляції клавіатури USB HID (пристрій людського інтерфейсу). Режим CCID використовується для підтримки смарт-карт PIV і OpenPGP, тоді як USB HID використовується для схем автентифікації з одноразовим паролем.[23]

У 2014 році YubiKey Neo було оновлено з підтримкою FIDO Universal 2nd Factor (U2F). Пізніше того ж року Yubico випустила ключ безпеки FIDO U2F, який зокрема включав підтримку U2F, але жодних інших одноразових паролів, статичних паролів, смарт-карт або функцій NFC попередніх YubiKeys. На момент запуску він відповідно продавався за нижчою ціною лише за 18 доларів порівняно з 25 доларами за YubiKey Standard (40 доларів за версію Nano) і 50 доларів за YubiKey Neo (60 доларів за Neo-n).[24] Деякі з попередніх версій пристроїв, випущених Google під час розробки FIDO/U2F, позначалися як «Yubico WinUSB Gnubby (gnubby1)».[25]

У квітні 2015 року компанія випустила YubiKey Edge як у стандартному, так і нано форм-факторі. За функціями це було проміжне місце між продуктами Neo та FIDO U2F, оскільки було розроблено для обробки автентифікації OTP та U2F, але не включало підтримку смарт-карт чи NFC.

Сімейство пристроїв YubiKey 4 було вперше представлено в листопаді 2015 року з моделями USB-A стандартного та nano-розміру. YubiKey 4 містить більшість функцій YubiKey Neo, включаючи збільшення дозволеного розміру ключа OpenPGP до 4096 біт (порівняно з попередніми 2048), але не підтримує NFC у Neo.

На CES 2017 Yubico оголосила про розширення серії YubiKey 4 для підтримки нового дизайну USB-C . YubiKey 4C був випущений 13 лютого 2017 року.[26] В ОС Android через підключення USB-C лише функція одноразового пароля підтримується ОС Android і YubiKey, а інші функції наразі не підтримуються, зокрема Universal 2nd Factor (U2F).[27] Версія 4C Nano стала доступною у вересні 2017 року.[28]

У квітні 2018 року компанія випустила ключ безпеки від Yubico, свій перший пристрій, який реалізує нові протоколи автентифікації FIDO2, WebAuthn (який отримав статус рекомендованого W3C Candidate Recommendation у березні[29]) та протокол клієнта до автентифікатора (CTAP). На момент запуску пристрій доступний лише у «стандартному» форм-факторі з роз'ємом USB-A. Як і попередній ключ безпеки FIDO U2F, він блакитного кольору та на кнопці містить значок ключа. Його вирізняє цифра «2», вигравірувана на пластику між кнопкою та отвором для ключів. Він також дешевший, ніж моделі YubiKey Neo та YubiKey 4, коштуючи 20 доларів США за одиницю на момент запуску, оскільки в ньому відсутні функції одноразового пароля та смарт-карти, як у попередніх пристроях, хоча він зберігає можливість FIDO U2F.

Особливості продукту ред.

Перелік основних функцій і можливостей продуктів YubiKey.[30]

Модель YubiKey VIP YubiKey Plus YubiKey Nano YubiKey NEO-n YubiKey 4 Nano YubiKey Edge-n YubiKey Standard YubiHSM1 FIDO U2F Security Key Security Key by Yubico YubiKey NEO YubiKey 4C Nano YubiKey 4C YubiKey 4 Nano YubiKey 4 YubiKey C Nano FIPS YubiKey C FIPS YubiKey Nano FIPS YubiKey FIPS YubiHSM 2 Security Key NFC by Yubico YubiKey 5C Nano YubiKey 5C YubiKey 5 Nano YubiKey 5 NFC YubiKey 5Ci YubiKey 5C NFC
Роки продажу 2011–2017 2014–2015 2012–2016 2014–2016 2016–2017 2015–2016 2014–2016 2015–2017 2013–2018 2018–2020 2012–2018 2017–2018 2017–2018 2015–2018 2015–2018 2018–тепер 2018–тепер 2018–тепер 2018–тепер 2017–тепер 2019–тепер 2018–тепер 2018–тепер 2018–тепер 2018–тепер 2019–тепер 2020–тепер
OATH OTP Так Так
Безпечні статичні паролі Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так
Yubico OTP Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так
OATH: HOTP (подія) Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так
OATH: TOTP (час) Так Так Так Так Так Так Так Так Так Так Так Так
Смарт-карта (PIV-сумісна) Так Так Так Так Так Так Так Так Так Так Так Так Так Так
OpenPGP Так Так Так Так Так Так Так Так Так Так Так Так Так Так
FIDO U2F Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так
FIDO2 Так Так Так Так Так Так Так Так
HSM загального призначення Так Так
FIPS 140-2 Так Так Так Так
NFC Так Так Так Так
USB-A Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так Так
USB-C Так Так Так Так Так Так Так Так
Lightning Так

ModHex ред.

При використанні для одноразових паролів і збережених статичних паролів YubiKey видає символи за допомогою модифікованого шістнадцяткового алфавіту, який максимально не залежить від налаштувань системної клавіатури. Цей алфавіт, який називають ModHex або Modified Hexadecimal, складається з символів «cbdefghijklnrtuv», що відповідають шістнадцятковим цифрам «0123456789abcdef».[31] Через те, що YubiKeys використовує необроблені коди сканування клавіатури в режимі USB HID, можуть виникнути проблеми під час використання пристроїв на комп'ютерах, на яких налаштовано іншу розкладку клавіатури, наприклад Dvorak . Рекомендується використовувати функції операційної системи для тимчасового переходу на стандартну американську розкладку клавіатури (або подібну) під час використання одноразових паролів, хоча YubiKey Neo та новіші пристрої можна налаштувати за допомогою альтернативних кодів сканування для відповідності розкладкам, які несумісні з набором символів ModHex .[32]

Автентифікація U2F у YubiKeys і Security Keys обходить цю проблему за допомогою альтернативного протоколу U2FHID, який надсилає та отримує необроблені двійкові повідомлення замість скан-кодів клавіатури.[33] Режим CCID діє як зчитувач смарт-карт, який взагалі не використовує протоколи HID.

Проблеми безпеки ред.

YubiKey 4 має проблеми із закритим кодом ред.

У прикладі безпеки через невідомість більшість коду, який працює на YubiKey, є закритим. Незважаючи на те, що Yubico випустила певний код для галузевих стандартних функціональних можливостей, таких як PGP і HOTP, було виявлено, що, починаючи з 4-го покоління продукту, це не той самий код, який постачають нові пристрої.[34][35] Оскільки прошивка нових пристроїв постійно заблокована на заводі, неможливо скомпілювати відкритий вихідний код і завантажити його на пристрій вручну, користувач повинен вірити, що код на новому ключі є автентичним і безпечним.

Код для інших функцій, таких як U2F, PIV і Modhex, є повністю закритим кодом.

16 травня 2016 року технічний директор Yubico Якоб Еренсвард відповів на занепокоєння спільноти відкритим кодом, написавши в блозі повідомлення про те, що «ми, як продуктова компанія, зайняли чітку позицію проти реалізацій на основі готових компонентів і далі віримо, що щось на кшталт контролера AVR або ARM комерційного рівня непридатне для використання в продукті безпеки».[36]

Засновник Techdirt Майк Маснік різко розкритикував це рішення, сказавши: «Шифрування — це складно. Майже завжди є вразливості та помилки — останнім часом ми часто звертаємо увагу на це. Але найкращий спосіб виправити це — отримати якомога більше досвідчених очей на код. А це неможливо, коли це закрите джерело».[37]

Уразливість ROCA в деяких пристроях YubiKey 4, 4C і 4 Nano ред.

У жовтні 2017 року дослідники безпеки виявили вразливість (відому як ROCA) у реалізації генерації пари ключів RSA в криптографічній бібліотеці, яка використовується великою кількістю мікросхем безпеки Infineon, яка використовується в широкому діапазоні ключів безпеки та продуктів токенів безпеки (включаючи YubiKey). Вразливість дозволяє зловмиснику реконструювати закритий ключ за допомогою відкритого ключа.[38][39] Усі пристрої YubiKey 4, YubiKey 4C і YubiKey 4 Nano у версіях від 4.2.6 до 4.3.4 були уражені цією вразливістю.[40] Yubico вирішила цю проблему на всіх пристроях YubiKey 4, переключившись на іншу функцію генерації ключів і запропонувавши безкоштовну заміну будь-яких ключів, які постраждали. Пропозиція заміни закінчилася 31 березня 2019 року. У деяких випадках проблему можна обійти, згенерувавши нові ключі поза YubiKey та імпортувавши їх на пристрій.[41]

Захист OTP паролем на YubiKey NEO ред.

У січні 2018 року Yubico виявила помірну вразливість, через яку за певних умов можна було обійти захист паролем для функції OTP на YubiKey NEO. Проблему було виправлено з версії мікропрограми 3.5.0, і Yubico запропонувала безкоштовні заміни ключів усім користувачам, які постраждали від неї.[42]

Зменшено початкову випадковість на певних пристроях серії FIPS ред.

У червні 2019 року Yubico випустила рекомендації щодо безпеки, повідомляючи про зменшення випадковості на пристроях із сертифікацією FIPS із мікропрограмою версій 4.4.2 і 4.4.4 (версії 4.4.3 немає) невдовзі після ввімкнення.[43] Ключі безпеки зі зниженою довільністю можуть легше виявити та зламати ключі, ніж очікувалося. Проблема торкнулася лише серії FIPS, а потім лише певних сценаріїв, хоча використання FIPS ECDSA було «підвищеним ризиком». Компанія запропонувала безкоштовну заміну будь-яких пошкоджених ключів.

Громадська активність ред.

Yubico надала 500 ключів YubiKeys протестувальникам під час протестів у Гонконзі 2019—2020 років . Компанія заявляє, що це рішення засноване на їхній місії щодо захисту вразливих користувачів Інтернету та співпрацює з прихильниками свободи слова.[44][45]

Дивитися також ред.

Примітки ред.

  1. ↑ Specifications Overview. FIDO Alliance. Процитовано 4 грудня 2015.
  2. ↑ What Is A Yubikey. Yubico. Процитовано 7 листопада 2014.
  3. ↑ McMillan (3 жовтня 2013). Facebook Pushes Passwords One Step Closer to Death. Wired. Процитовано 7 листопада 2014.
  4. ↑ Diallo, Amadou (30 листопада 2013). Google Wants To Make Your Passwords Obsolete. Forbes. Процитовано 15 листопада 2014.
  5. ↑ Blackman, Andrew (15 вересня 2013). Say Goodbye to the Password. The Wall Street Journal. Архів оригіналу за 3 січня 2014. Процитовано 15 листопада 2014.
  6. ↑ YubiKey Authentication. LastPass. Процитовано 15 листопада 2014.
  7. ↑ KeePass & YubiKey. KeePass. Процитовано 15 листопада 2014.
  8. ↑ Launching The 4th Generation YubiKey. Yubico. Процитовано 20 листопада 2015.
  9. ↑ With a Touch, Yubico, Docker Revolutionize Code Signing. Yubico. Процитовано 20 листопада 2015.
  10. ↑ Setting up Windows Server for YubiKey PIV Authentication. Yubico (амер.). Процитовано 6 червня 2021.
  11. ↑ SSH user certificates. developers.yubico.com. Процитовано 6 червня 2021.
  12. ↑ The Team. Yubico. Процитовано 12 вересня 2015.
  13. ↑ History of FIDO. FIDO Alliance. Процитовано 16 березня 2017.
  14. ↑ Yubico launches new YubiKey 5 Series 2FA keys, supports passwordless FIDO2 and NFC. Android Police. 24 вересня 2018. Процитовано 7 жовтня 2019.
  15. ↑ Yubico launches YubiKey Pilot Box. Yubico. 26 листопада 2007. Архів оригіналу за 21 лютого 2008. Процитовано 6 травня 2018.
  16. ↑ Steve Gibson (April 2008). Security Now! Notes for Episode #141. Security Now!. Gibson Research Corporation. Процитовано 5 травня 2018.
  17. ↑ Leo Laporte and Steve Gibson (24 квітня 2008). Episode #141 - RSA Conference 2008. Security Now!. Gibson Research Corporation. Процитовано 5 травня 2018.
  18. ↑ Mike (27 серпня 2009). Yubikey II – got it. Read My Damn Blog. Процитовано 5 травня 2018.
  19. ↑ Company Information. Yubico (амер.). Процитовано 30 листопада 2020.
  20. ↑ RFID YubiKey. Yubico Store. Архів оригіналу за 29 серпня 2011. Процитовано 5 травня 2018.
  21. ↑ RFID YubiKey. IDivine Technology. Процитовано 5 травня 2018.
  22. ↑ Clark, Sarah (22 лютого 2012). Yubico introduces one-time password token that secures access to the contents of NFC phones. NFC World. Процитовано 5 травня 2018.
  23. ↑ Maples, David (26 грудня 2012). YubiKey NEO Composite Device. Yubico. Процитовано 5 травня 2018.
  24. ↑ YubiKey Hardware. Yubico. Архів оригіналу за 7 листопада 2014.
  25. ↑ pamu2fcfg doesn't support test devices.
  26. ↑ NEW YubiKey 4C featuring USB-C revealed at CES 2017 | Yubico. Yubico. 5 січня 2017. Процитовано 14 вересня 2017.
  27. ↑ Can the YubiKey 4C be plugged directly into Android phones or tablets with USB-C ports? | Yubico. Yubico. Архів оригіналу за 14 вересня 2017. Процитовано 14 вересня 2017.
  28. ↑ Our Family is Growing! YubiKey 4C Nano Unveiled at Microsoft Ignite. Yubico. 25 вересня 2017. Процитовано 5 травня 2018.
  29. ↑ Jones, Michael (20 березня 2018). Candidate Recommendation (CR) for Web Authentication Specification. W3C Web Authentication Working Group. Процитовано 6 травня 2018.
  30. ↑ What YubiKey Do You Have. Процитовано 11 лютого 2021.
  31. ↑ E, Jakob (12 червня 2008). Modhex - why and what is it?. Yubico. Архів оригіналу за 16 листопада 2017. Процитовано 6 листопада 2016.
  32. ↑ Toh, Alvin (24 липня 2013). Expanding YubiKey Keyboard Support. Yubico. Процитовано 5 травня 2018.
  33. ↑ FIDO U2F HID Protocol Specification. FIDO Alliance. 11 квітня 2017. Процитовано 6 травня 2018.
  34. ↑ A comparison of cryptographic keycards. LWN.net. Процитовано 21 вересня 2020.
  35. ↑ Bad News: Two-Factor Authentication Pioneer YubiKey Drops Open Source PGP For Proprietary Version. techdirt. Процитовано 21 вересня 2020.
  36. ↑ Secure Hardware vs. Open Source. Yubico.com. Процитовано 18 вересня 2022.
  37. ↑ Masnick, Mike (16 травня 2016). Bad News: Two-Factor Authentication Pioneer YubiKey Drops Open Source PGP For Proprietary Version. Techdirt. Процитовано 27 березня 2020.
  38. ↑ ROCA: Vulnerable RSA generation (CVE-2017-15361) [CRoCS wiki]. crocs.fi.muni.cz. Процитовано 19 жовтня 2017.
  39. ↑ NVD - CVE-2017-15361. nvd.nist.gov. Процитовано 19 жовтня 2017.
  40. ↑ Infineon RSA Key Generation Issue - Customer Portal. Yubico.com. Процитовано 11 червня 2019.
  41. ↑ Yubico Mitigation Recommendations. Yubico.com. Архів оригіналу за 21 листопада 2018. Процитовано 11 червня 2019.
  42. ↑ Security advisory YSA-2018-01. Yubico (амер.). Процитовано 4 січня 2021.
  43. ↑ Security Advisory YSA-2019-02 Reduced initial randomness on FIPS keys. Процитовано 14 червня 2019.
  44. ↑ Swedish tech firm Yubico hands Hong Kong protesters free security keys amid fears over police tactics online. South China Morning Post. 10 жовтня 2019. Процитовано 18 жовтня 2019.
  45. ↑ Yubico 贊助香港抗爭者世上最強網上保安鎖匙 Yubikey | 立場新聞. 立場新聞 Stand News (кит.). Процитовано 18 жовтня 2019.

Посилання ред.

Отримано з https://uk.wikipedia.org/w/index.php?title=YubiKey&oldid=42444556