В OpenSSH добавлена двухфакторная аутентификация

FIDO

...

https://en.wikipedia.org/wiki/FIDO_Alliance

Зачем исправили стоимость на 100 евро?

Устройство контроля доступа yubico YubiKey FIDO - 2099 рублей.

https://www.syssoft.ru/Kernel/usb-klyuch-security-key/

Неплохо, учитывая что клон юбика делается на восьмой атмеге за два вечера.

https://store.softline.ru/yubico/u2f-214465/

Интересно, что в syssoft токен продается только юрикам и ИП.

А это как сделать?

«уникальный защищенный чип, который, по прикосновению к кнопке, выполняет криптографические функции. Данное устройство не является биометрическим. Ключ использует емкостной сенсор, который активируется малыми электрическими зарядами вырабатываемыми человеческим телом.»

FIDO

Это не тот FIDO. Это Fast IDentity Online – альянс, вырабатывающий протоколы для аутентификации.

Но да, на хабре про это три года назад уже шутили. И по неоднородности аббревиатуры есть подозрение, что кто-то из создателей альянса её подгонял специально. :)

Перевожу с маркетинго-буллшитского на инженерный: Микроконтроллер с зашитыми от ридбэка прошивки фьюзами, который шифрует таймстемп и номер сессии AES’ом при нажатии на кнопку и выплёвывает результат в комп прикидываясь клавиатурой.

А как он работает без батареек?

годный перевод)

Элементарно. Там два таймера в еепром. Номер сессии (инкремент, когда подали очередной раз питание) и сколько оно уже включено в рамках данной сессии. Номер сессии в еепром сохраняется.

Интересно. Там же кстати и версию nfc продают за 2600руп.

Это не то фидо, на которое ты возбудился, кек

От твоего поста где-то в горах плачет Эдик (известный avr-ненавистник).

случаем ссылкой не поделишься? как вариант для вечернего рукоблудия весьма интересно

Стоп. SSH это разве не удаленка ? Или это про то чтобы опен-кей с флешки читать ?

ОК. А это по итогу будет более безопасно, чем двухфакторная аутентификация, реализованная в приложении?

В прмложении двухфакторная нужна чтобы узнать номер телефона и продать его спамщикам. Там не про безопасность.

очень дешевые 100 евро.

?

я понимаю 1 евро, ну 5. Вот это очень дешевые. Может ТС двумя нулями ошибся?

Это второй фактор, а не первый.

На то фидо возбуждается обычно только saahriktu.

В принципе да, с TOTP у тебя один ключ на всех девайсах и тебе его ещё надо передать по защищенному каналу.

С U2F у тебя несколько ключей, при утере ключа момжно просто его разрегистрировать.

Ошибка перевода. В оригинале имелось в виду, что это одно из самых простых и дешевых средств из существующих. А не просто очень дешевое.

Ну и 100 евро тоже перебор, в РФ он стоит около 30 евро. Хотя и это не назовешь очень дешевым…

Не прошло и недели, как отрелизилась KeePassXC с такой же фичей. Неспроста?

очень дешевые аппаратные ключи… стоят около 100 евро

Реакция

да, вот сразу возник такой же вопрос. зачем люди платят столько денег за аппаратные ключи?

Потому что сделать устройство, которое носишь в кармане и оно не ломается и выглядит не как груда элементов на куске макетной платы не так то просто?

А еще потому что это ответственность. Банку безопаснее и дешевле продать лицензию на криптопро и рутокен, чем ваять тоже самое на колене…

в системах с PAM она есть уже много лет, в том числе для OpenSSH.

Security Key with Bluetooth

Выглядит очень безопасно, надо брать.

да, но оно, по сути, ничего не стоит. потому что кто-то другой может сделать аналог твоего ключа на макетной плате. и в чём тогда смысл?

главное же, чтобы было красиво и в кармане таскать удобно. а не какая-то макетная плата :)

100 евро

Ну очень дёшево.

Трудно сказать. Я бы некроманта позвал. Сам в этой технологии плаваю, как они добиваются уникальности каждого стика и насколько легко его перехватить и подделать.

https://store.softline.ru/yubico/u2f-214465/

Только для юр. лиц и ИП

Удалите этот маркетоидный спам. Реклама говнища на лоре. Небось еще и проприетарное.

Только для юр. лиц и ИП

Удалите этот маркетоидный спам.

Удалите это 4.2

Продают и физлицам. На этапе оформления заказа есть вкладка и для юрлиц и вкладка для физлиц.

А изначальные данные какие (дефолтное значение счётчика, AES ключ) и откуда они берутся?

Это второй фактор, а не первый.

Ну хорошо другой пример, берем ssh делаем проверку по ключу и если прошел то требуем пароль, сколько факторов ?

Я про то что усб и 2х факторная ни каким боком не связано.

В прмложении двухфакторная нужна чтобы узнать номер телефона и продать его спамщикам. Там не про безопасность.

Ты о мобильных приложениях? Они и без того прекрасно выуживают номер телефона. Что до банков и прочих финансовых организаций, сомневаюсь, что им это нужно. Зачем Яндекс.Деньгам шквариться, сливая данные уездному таксопарку или убогой языковой школе? Если бы рыбешке покрупнее — там, где анализ больших данных, таргетированная реклама, шпионаж, наконец — я бы еще понял.

Я имел в виду веб-приложения, где второй фактор нужно руками вводить (SMS — в топку, но есть еще генерация по закрытому ключу и пуш). Чуть выше некто Gary объяснил, что к чему, за что ему спасибо.

P.S. Лично меня спамеры начинают задалбывать после публикации номера в открытых источниках. Обычно их парсят по соцсетям и доскам объявлений. Возможно, еще и на сайтах для поиска работы.

да более чем связано. один фактор это ключ. А второй аппаратный ключ. Каналы разные. В чем проблема?

Формально, ключ на диске - тоже второй фактор, ведь его нельзя запомнить как пароль. Но это довольно плохая его реализация, потому что он легко поддается копированию.

Что до банков и прочих финансовых организаций, сомневаюсь, что им это нужно.

Ах-ха-ха. Очень смешно.

Согласен. Просто это упоминание про усб мне напоминает распознавание лиц в телефоне которое срабатывает от фотки ;)

Написали бы проще сделали поддержку таких то ключей а уж для одинарной или двойной это уже про другое.

P.S. А ключ и утащить могут ;)

кстати про банки и т.д. Насколько я помню всякие банки онлайн и типа госулуги давно юзают усб-кей для одинарной автоверификации.

В прмложении двухфакторная нужна чтобы узнать номер телефона и продать его спамщикам. Там не про безопасность.

Я думаю, имелось в виду TOTP, там нет номеров телефона.

Там про небезопасность, потому что много откуда этот номер телефона можно сопоставить с аккаунтами. Как и почту.

Я думаю, имелось в виду Ты живёшь на сайтике с обширной сектой свидетелей безопасного телеграма, так что так думать не надо.

возбудился

а почему это openssh должен уметь, а не агент связки ключей?

рожа как и мозги

Потому что это новый тип ключа. называется ecdsa+sk

Поэттому и клиент и сервер должны о нем знать. И агент тоже, если он используется. По ссылке из новости все это объясняется.