FIDO2 / WebAuthn

[KWOAD]

Sinds vandaag ben ik in het bezit van een Yubico Security Key NFC, maar tot nu krijg ik 'm nog niet zover dat ik met deze sleutel kan inloggen op internetdiensten zonder wachtwoord. Andere mensen hier ervaring mee?

Met Fido2 / WebAuthn zou je moeten kunnen inloggen op webservices zonder het invoeren van een wachtwoord. Alleen je gebruikersnaam en de key is dus voldoende. Dat is het grootste verschil met U2F en dat is voor mij de meerwaarde. Volgens diverse sites zouden al diverse systemen zoals Google, Dropbox en Microsoft deze standaard accepteren.

Google
Sleutel goed kunnen installeren, alleen functioneert deze nu al U2F. Oftewel, ik moet mijn wachtwoord invoeren én de sleutel indrukken voordat ik wordt ingelogd. Bij de instellingen wordt ook nergens FIDO2 of WebAuthn genoemd.

Dropbox
Net als bij Google kan de sleutel geïnstalleerd worden, maar net als bij Google vraagt Dropbox nog steeds om een wachtwoord. Wel wordt in de handleiding (https://www.dropbox.com/n...-verification#securitykey) concreet WebAuthn genoemd.

Windows Hello
Op dit moment krijg ik Windows Hello niet aan de praat op mijn desktop. Volgens sommige websites moeten daarvoor de drivers van biometrische apparaten goed werken, maar aangezien ik een desktop heb, heb ik ook geen webcam of vingerafdrukscanner. Andere websites vermelden dat de hardware moet zijn goedgekeurd, wat met mijn zelfbouw-pc waarschijnlijk niet het geval is. Oftewel: niet echt een uniforme methode als een actuele windows10 met edge niet voldoende is.

Op dit moment kom ik dus niet verder dan een werkende demo op https://webauthn.org/.
Weet iemand of FIDO2 / WebAuthn nu al wel ergens werkt bij internetdiensten? Of is de techniek nog te nieuw en zijn bedrijven al blij wanneer ze reguliere two-factor authentication kunnen aanbieden?

Wellicht dat we dit topic ook kunnen gebruiken voor een actueel overzicht voor (web)diensten die FIDO2 ondersteunen.

[ Voor 5% gewijzigd door KWOAD op 07-02-2019 22:05 ]

[Demonitzu]

Voor zover ik weet is Google de enige die inloggen zonder wachtwoord met U2F ondersteund, maar dan moet je wel tweestapsverificatie uitschakelen. Althans, met Windows Hello ben ik niet bekend mee.

Ik denk dat het nog te nieuw is. Het wordt voorlopig alleen ondersteund door Chrome, al is het via een flag wel in te schakelen op Firefox. Afhankelijk van de implementatie is het gevaar ook dat je toegang zou kunnen verliezen als er geen fatsoenlijke backup optie is. Ik kan me ook voorstellen dat men ook nog een beetje sceptisch erover is, omdat het geprezen wordt als phishingproof, maar dat de techniek nog niet echt op de proef is gesteld.

Van sommige dinosaurus bedrijven hoef je niet te verwachten dat ze dit spoedig zullen ondersteunen als ze niet eens een fatsoenlijke tweestapsverificatie kunnen aanbieden (bv. onveilige sms methode als enige optie). En dat de termen door elkaar heen gebruikt worden, is niet nieuw. Zie tweestapsverificatie / tweestapsauthenticatie /tweefactorauthenticatie / tweefactorverificatie/ inlogverificatie.