Security Professionals - ipfw add deny all from eindgebruikers to any

Yubikey uit 2009 OTP geprogrameerd, saved & upload naar yubiserver plus getest op https://demo.yubico.com/ = OK op alle tests, maar werkt uiteindelijk(vind hem niet) niet op google, dropbox etc.

13-09-2017, 17:19 door Digidokter, 5 reacties
LS,

@yubikey ervaringsdeskundigen:
Ik heb mijn yubikey's uit 2009 gerest, geprogrameerd, saved en upload naar yubiserver en getest op https://demo.yubico.com/ en daar waren alle test 3x als inlog demo en ww=demo plus keypress OK(groen en succesvol!)

Nu wil ik op google, dropbox, wordpress etc mijn yubikey's ter waarde van 2 maal 40eur = 80eur gebruiken:
Maar zowel google, dropbox als wordpress vinden de key's niet?!

Wat doe ik verkeerd??
Voorbeeld
Ik setup in google de key:
Google zegt wanneer de key moet worden ingevoerd en dan op gouden cirkel klikken.
Dan gebeurd er niets en hij is onvindbaar?!

Bij dropbox idem, maar als ik op key klik dan kom ik op helppagina?!

Is deze key's niet geschikt meer of is er iets foutgegaan bij setup? De https://demo.yubico.com/ zegt dat alles goed werkt?!

Dus wie heeft het verkeerd/fout?!
Ik, sites waar ik aanmeld of yubi?! :(
Reacties (5)
13-09-2017, 20:32 door Bitwiper
Ik heb geen idee of dit er iets mee te maken heeft, maar minstens 1 ouder type Yubikey is niet veilig, zie https://www.yubico.com/2015/04/yubikey-neo-openpgp-security-bug/.
13-09-2017, 20:49 door Anoniem
Door Bitwiper: Ik heb geen idee of dit er iets mee te maken heeft, maar minstens 1 ouder type Yubikey is niet veilig, zie https://www.yubico.com/2015/04/yubikey-neo-openpgp-security-bug/.
Ik heb werkelijk geen idee waar je het over hebt. Digidokter <> Digibeet
Kun je het in stappen met bronnen uitleggen?
13-09-2017, 21:18 door Bitwiper
Uhh als je digibeet bent, waarom post je dan in het forum voor security professionals?

Los daarvan: ik bedoel dat als jouw type Yubikey een bekende kwetsbaarheid heeft, Google deze wellicht daarom niet accepteert. Terecht, want dat zou een vals gevoel van veiligheid kunnen geven.

In de bron die ik noemde kun je trouwens vinden hoe je jouw Yubikey kunt omruilen - als deze kwetsbaar is (of dit nu nog kan en nog gratis is, weet ik niet).
14-09-2017, 06:35 door Anoniem
Yubikey ondersteunt verschillende protocollen, maar niet allemaal in alle apparaten. Als ik op "dropbox yubikey" zoek vind ik deze pagina:
https://www.yubico.com/why-yubico/for-individuals/dropbox-for-individuals/
En daar hebben ze het over een protocol dat U2F heet, een open standaard voor "universal 2nd factor"-authenticatie. Dat is nog vrij nieuw en Yubico ondersteunt dat pas sinds 2015. Jij hebt het over modellen uit 2009 dus die zullen het nog niet ondersteunen en kennelijk gebruikt Dropbox niet Yuboico's eigen protocol maar U2F. Er zijn meer fabrikanten dan alleen Yubico die daar apparaatjes voor maken, en Yubico zelf ondersteunt het in sommige modellen, en ze hebben er een die alleen maar U2F ondersteunt. Het model doet er dus toe.

Ik heb niet verder gekeken dan Dropbox, maar ik zet je hopelijk op het juiste spoor: je moet nagaan welk authenticatieprotocl een dienst eigenlijk gebruikt en welke apparaten dat ondersteunen. En welke webrowser ook, trouwens, U2F wordt nog niet door alle browsers ondersteund, op dit moment heb je Chrome of Opera nodig om het te kunnen gebruiken op het web.

Door Anoniem: Ik heb werkelijk geen idee waar je het over hebt. Digidokter <> Digibeet
Kun je het in stappen met bronnen uitleggen?
Digidokter is een slecht gekozen naam als je een digibeet bent, die suggereert dat je wél met het soort reacties dat Bitwiper gaf uit de voeten kan. En hij noemde een bron, zie de hyperlink in zijn reactie.

Ik weet niet wat je precies verwachtte, maar als je mensen vraagt om de inspanning te leveren om jou met een probleem te helpen, sta dan ook niet raar te kijken als die mensen op hun beurt enige inspanning van jou verwachten om zelf weer dingen uit te zoeken op basis van wat zij aangeven. Bij Bitwiper's reactie had je je af kunnen vragen of de diensten die je noemt iets met OpenPGP doen, bijvoorbeeld, en daar kan je naar zoeken.

Die link die ik hierboven opnam is het eerste resultaat op zoekopdracht "dropbox yubikey" in verschillende zoekmachines. Had je dat werkelijk niet zelf kunnen vinden? De tekst begint met "Yubico’s U2F-compliant YubiKeys...". Ik kan me voorstellen dat je niet weet wat U2F is, maar als ze dat noemen op die pagina is dat niet voor niets en zou het zomaar relevant kunnen zijn voor Dropbox en dus voor jouw probleem. En met een beetje rondsnuffelen op de website van Yubico (vergelijk eens specificaties van verschillende modellen, die blijken dan niet allemaal U2F te ondersteunen), Wikipedia (de Engelstalige heeft een korte pagina over U2F) en wat hyperlinks in die pagina's en zoekmachines verder nog opleveren kan je een aardig beeld opbouwen.

Kennis kost inspanning. Mensen die niet in het digibeet-stadium blijven hangen komen verder omdat ze de neiging hebben dingen op te zoeken en omdat ze moeite willen doen dingen te begrijpen. Maar nogmaals: dat kost inspanning, het komt ze niet aanwaaien zonder dat het een hoop energie en tijd kost. Jouw reactie op Bitwiper suggereert dat je niet eens een begin van die inspanning wilt leveren en antwoorden die bij jouw kennisniveau aansluiten verwacht zonder dat je zelfs maar de moeite had gedaan om dat niveau duidelijk te maken. Geen wonder dat Bitwiper een beetje geërgerd reageerde. Dat mensen bereid zijn om de kennis en het inzicht dat ze hebben opgebouwd gratis en voor niets te delen impliceert niet dat ze nog eens een hoop extra inspanning willen leveren voor een wildvreemde die van zijn kant geen moeite wil doen. En zo kwam jij over.
14-09-2017, 12:13 door Anoniem
Voor Google en Dropbox moet je in je Google/Dropbox beveiligings instellingen je Yubikey registreren als bij jouw horend. hier wordt de U2F standaard van de FIDO alliance gebruikt.

Dit is een ander mechanisme dan de OTP.. OTP is in andere scenario's te gebruiken (lees hiervoor de documentatie op de Yubico.com site en de leverancier van het platform waar je het wil gebruiken ..

U2F is wel het meest makkelijk te configureren en gebruiken (de reden waarom Google, Facebook, github, dropbox.... deze aanbieden)

success
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.