Säkerhetsnycklar: Är de fortfarande ett säkert val?
Vi förordar användning av hårdvarusäkerhetsnycklar, som Yubicos YubiKeys och Googles Titan-säkerhetsnyckel, för att öka säkerheten online. Det är dock anmärkningsvärt att båda dessa tillverkare nyligen har genomfört återkallelser på grund av brister i hårdvaran, vilket kan väcka oro. Låt oss undersöka vad dessa problem innebär och hur det påverkar säkerheten med dessa enheter.
Vad är säkerhetsnycklar?
Hårdvarubaserade säkerhetsnycklar, som Google Titan Security Key och YubiKeys från Yubico, nyttjar WebAuthn-standarden, en vidareutveckling av U2F, för att skydda digitala konton. De fungerar som en form av tvåfaktorsautentisering; istället för en lösenordsskod, använder de en fysisk nyckel som ansluts via USB, eller kommunicerar trådlöst via NFC (near-field communication) eller Bluetooth.
Dessa nycklar möjliggör säker inloggning på en rad plattformar som Google, Facebook, Dropbox och GitHub. Med Googles program för avancerat skydd, kan en fysisk säkerhetsnyckel vara ett obligatoriskt krav för att komma åt kontot, vilket höjer säkerhetsnivån betydligt.
Anledningen till återkallelserna
Både Yubico och Google har fått uppmärksamhet den senaste tiden. Båda företagen har behövt återkalla säkerhetsnycklar på grund av hårdvarufel.
Yubicos problem berörde enbart enheter i YubiKey FIPS-serien, som är avsedda för statliga organisationer och deras entreprenörer, och inte konsumentmodeller. Enligt Yubicos säkerhetsmeddelande, hade dessa nycklar bristfällig slumpmässighet vid uppstart, vilket potentiellt kunde äventyra krypteringen. Yubico har inte observerat några attacker relaterade till detta problem, men ersätter berörda enheter proaktivt.
Googles problem med Titan Security Key, resulterade i en återkallelse av berörda enheter, var mer omfattande. Bluetooth-versionen av Titan Security Key, som använder Bluetooth Low Energy för trådlös kommunikation, var sårbar på grund av en ” felkonfiguration ” enligt Google. En potentiell angripare inom 10 meter från en användare som loggar in med en säkerhetsnyckel via Bluetooth kunde utnyttja bristen för att få tillgång till kontot, eller manipulera användarens dator att koppla sig till en falsk Bluetooth-enhet. Problemet gällde också Feitans säkerhetsnycklar, som tillverkas av Feitan för Googles räkning.
Microsoft har också introducerat en uppdatering för Windows som förhindrar de sårbara Google Titan- och Feitan-nycklarna från att ansluta via Bluetooth till Windows 10 och Windows 8.1.
Yubico har aldrig utvecklat en Bluetooth-nyckel. När Google lanserade sin Titan-nyckel, meddelade Yubico att de tidigare undersökt möjligheten att lansera sin egen Bluetooth Low Energy (BLE)-nyckel men kommit fram till att ”BLE inte uppfyller samma säkerhetsnivå som NFC och USB”. Googles utmaningar tycks bekräfta riktigheten i Yubicos strategi att prioritera USB och NFC över Bluetooth.
Både Google och Yubico ersatte de påverkade nycklarna utan extra kostnad.
Är dessa nycklar fortfarande rekommenderade?
Trots de noterade bristerna och återkallelserna, fortsätter vi att rekommendera fysiska säkerhetsnycklar. Yubicos problem gällde en specifik produktlinje för myndighetsbruk och åtgärdades. Googles Bluetooth-relaterade utmaningar kunde endast exploateras av en angripare som befann sig inom 10 meters räckvidd. Även en defekt Bluetooth Titan-nyckel erbjöd skydd mot attacker på distans.
Dessa nycklar upprätthåller fortsatt höga säkerhetsstandarder. Det faktum att både Yubico och Google proaktivt identifierar fel och erbjuder kostnadsfria ersättningar för påverkade enheter är positivt. Problemen har aldrig påverkat USB- eller NFC-baserade säkerhetsnycklar för konsumenter.
Den största utmaningen med dessa nycklar är samma som med all tvåfaktorsautentisering: med de flesta onlinetjänster är det möjligt att kringgå säkerhetsnyckeln genom att använda en mindre säker metod, som SMS. En angripare som använder en så kallad ”port-out” attack kan komma åt ett konto trots att en fysisk nyckel används. Endast de mest säkerhetsmedvetna tjänsterna – som Googles program för avancerat skydd – kan erbjuda fullständigt skydd mot sådana scenarier.