Biometrische USB Storage Sticks

[BSeB]

Inleiding:
In mijn familie worden tantes/ooms en ouders elk jaar weer een dagje ouder. Tegelijkertijd wordt het internet/online een steeds "onveiligere" omgeving. Waar we vroeger wachtwoorden van 8 tekens lang vonden gebruik ik zelf inmiddels veelvouden hiervan met behulp van een password manager.

Echter een masterwachtwoord van 60 tekens zie ik mijn familieleden niet onthouden... Dus probleem. Nu is er uiteraard ook een mogelijkheid om gebruik te maken van een keypass/hash. Dit is een mooie oplossing, maar als je die los naast je database zet heb je hier nog steeds niet veel aan.
Aangezien ik mijn familie ook graag hun wachtwoorden veilig wil laten beheren en dus niet in een xls, dacht ik aan een usb fingerprint storage.
Wat mij opvalt is dat deze door de jaren heen mondjesmaat zijn uitgebracht en niet zeer uitvoerig besproken worden. Om deze reden wil ik voordat ik mijn familie iets aanraad eerst hier eens kijken wat jullie gebruiken/denken.

Mijn vraag
Welke veilig zijn USB fingerprint storage sticks?
Hoe goed zijn de "bekende" merken?

• Apacer AH650
• Lexar F35

Zijn er betere alternatieven (zowel qua device als oplossing)?

Relevante software en hardware die ik gebruik
Mijn vraag is niet om een discussie te houden of mijn familie een lang wachtwoord kan onthouden. Dit kan namelijk niet. En uiteraard geld elke beveiliging is zo goed als de zwakste schakel, maar ik heb liever dat de nieuwe oplossing in ieder geval uitsluit dat dit de USB key is...
Voordeel van een beveiligde key is dat als deze kwijt is, deze niet "direct" misbruikt kan worden.

Als laatste nog:
- van de key wil ik een printed copy in een kluis off-site leggen en een onbeveiligde usb key op een andere plaats in een andere kluis off-site andere plaats in NL. (Dus 2 backup methoden in geval dat)

Wat ik al gevonden of geprobeerd heb:
https://consumer.apacer.com/eng/content.php?sn=939
https://www.lexar.com/por...-f35-usb-3-0-flash-drive/

[kevinl]

Misschien snap ik het niet hoor. Maar als je oude ooms en tantes niet iets kunnen onthouden. Wat kan je met die USB key doen?

[Ernemmer]

Bij wachtwoord managers heb ik altijd het gevoel dat het wachten is op de eerste grote hack.
Gewoon opschrijven en thuis op een goede plaats neerleggen is een stuk makkelijker en als er ooit iets met je gebeurt dan kunnen familieleden ook nog bij de wachtwoorden.

Voor belangrijke sites gebruik ik altijd lange wachtwoordzinnen en schrijf ik ze op. Het enige wachtwoord wat ik nooit opschrijf is van de bank, de rest is voor een ander niet echt aantrekkelijk.
Voor simpelere sites heb ik kortere wachtwoordzinnen zodat het iets minder typen is.

Bijvoorbeeld

Tweakers: Hierkomikomtehobbien

Bank: HierDoeIkMijnBankzakenEnDeServiceIsErgSlechtEnDeKostenErgHoog

Om die laatste te kraken kost 376 septenvigintillion years
https://howsecureismypassword.net/

[ Voor 26% gewijzigd door Ernemmer op 08-02-2019 10:45 ]

[mcDavid]

BSeB schreef op vrijdag 8 februari 2019 @ 09:55:
Inleiding:
In mijn familie worden tantes/ooms en ouders elk jaar weer een dagje ouder. Tegelijkertijd wordt het internet/online een steeds "onveiligere" omgeving. Waar we vroeger wachtwoorden van 8 tekens lang vonden gebruik ik zelf inmiddels veelvouden hiervan met behulp van een password manager.

Echter een masterwachtwoord van 60 tekens zie ik mijn familieleden niet onthouden... Dus probleem. Nu is er uiteraard ook een mogelijkheid om gebruik te maken van een keypass/hash. Dit is een mooie oplossing, maar als je die los naast je database zet heb je hier nog steeds niet veel aan.

Dit is beiden, niet persé een probleem. Het idee van een keyfile is dat je deze alléén lokaal opslaat en nooit deelt via cloudopslag of whatever. De toegang van deze file kun je beperken tot één gebruiker. De kans dat die uitlekt is dus erg klein.

Daarnaast is een "makkelijk" masterpassword voor je wachtwoordklus, nog altijd een stuk beter dan makkelijke wachtwoorden op duizend-en-een websites gebruiken. De attack-surface is namelijk een stuk kleiner. Het betreffende wachtwoord wordt nooit via internet verstuurd, je hebt er niets aan zolang je niet ook de database en keyfile hebt, en ipv 1001 plekken waar het kan uitlekken, is er nog maar één.

Dus ja tuurlijk, een master key van 10 random woorden is veiliger, maar ook met een relatief simpele master key ben je al een heel stuk veiliger, puur doordat je een passwordmanager gebruikt.

Aangezien ik mijn familie ook graag hun wachtwoorden veilig wil laten beheren en dus niet in een xls, dacht ik aan een usb fingerprint storage.
Wat mij opvalt is dat deze door de jaren heen mondjesmaat zijn uitgebracht en niet zeer uitvoerig besproken worden. Om deze reden wil ik voordat ik mijn familie iets aanraad eerst hier eens kijken wat jullie gebruiken/denken.

Mijn vraag
Welke veilig zijn USB fingerprint storage sticks?
Hoe goed zijn de "bekende" merken?

• Apacer AH650
• Lexar F35

Zijn er betere alternatieven (zowel qua device als oplossing)?

Relevante software en hardware die ik gebruik
Mijn vraag is niet om een discussie te houden of mijn familie een lang wachtwoord kan onthouden. Dit kan namelijk niet. En uiteraard geld elke beveiliging is zo goed als de zwakste schakel, maar ik heb liever dat de nieuwe oplossing in ieder geval uitsluit dat dit de USB key is...
Voordeel van een beveiligde key is dat als deze kwijt is, deze niet "direct" misbruikt kan worden.

Als laatste nog:
- van de key wil ik een printed copy in een kluis off-site leggen en een onbeveiligde usb key op een andere plaats in een andere kluis off-site andere plaats in NL. (Dus 2 backup methoden in geval dat)

Wat ik al gevonden of geprobeerd heb:
https://consumer.apacer.com/eng/content.php?sn=939
https://www.lexar.com/por...-f35-usb-3-0-flash-drive/

Ik vraag me af of je je bewust bent van de schijnveiligheid die vingerafdrukken bieden. Zo'n beetje alle veiligheidsexperts ter wereld zijn het er over eens dat je vingerafdrukken moet vergelijken met een gebruikersnaam, niet een wachtwoord. Je vingerafdruk laat je immers gemakkelijk overal achter (op dingen die je aanraakt, op foto's, etc) en ze zijn niet te veranderen.

Desalniettemin kan een usb-key ('iets dat je hebt') wel degelijk een toegevoegde waarde hebben. Het gaat er dan vooral om dat je die key nooit kwijtraakt. Zulke keys zijn gewoon kant en klaar te koop, zoek maar eens op yubikey.
Het mooiste is natuurlijk als je die key gebruikt náást een sterk wachtwoord ('iets dat je weet') zodat je multifactor authenticatie hebt. Maar afhankelijk van het gewenste beveiligingsniveau kun je uiteraard keuzes maken tussen gemak en veiligheid.

[ Voor 3% gewijzigd door mcDavid op 08-02-2019 10:57 ]

[mcDavid]

Ernemmer schreef op vrijdag 8 februari 2019 @ 10:39:
Bij wachtwoord managers heb ik altijd het gevoel dat het wachten is op de eerste grote hack.
Gewoon opschrijven en thuis op een goede plaats neerleggen is een stuk makkelijker en als er ooit iets met je gebeurt dan kunnen familieleden ook nog bij de wachtwoorden.

Voor belangrijke sites gebruik ik altijd lange wachtwoordzinnen en schrijf ik ze op. Het enige wachtwoord wat ik nooit opschrijf is van de bank, de rest is voor een ander niet echt aantrekkelijk.
Voor simpelere sites heb ik kortere wachtwoordzinnen zodat het iets minder typen is.

Bijvoorbeeld

Tweakers: Hierkomikomtehobbien

Bank: HierDoeIkMijnBankzakenEnDeServiceIsErgSlechtEnDeKostenErgHoog

Om die laatste te kraken kost 376 septenvigintillion years
https://howsecureismypassword.net/

Sorry maar deze methode is in mijn ogen toch echt ondergeschikt aan échte random wachtwoorden.

Je aanname dat je zo'n hoge entropie haalt is ten eerste al verre van juist. In een wachtwoordzin gelden andere regels dan voor een random gegenereerd wachtwoord, want de opeenvolging van letters is verre van random. Je moet daarom de entropie per woord berekenen. Daarnaast maak je de fout om zinnen met een logische zinsopbouw te gebruiken (en zelfs nog met relevantie tot hetgeen waarop je inlogt), waardoor de entropie nóg verder afneemt. Een goeie wachtwoordzin bevat alléén maar random geselecteerde woorden zonder logische opbouw (een ezelsbruggetje verzinnen om ze te onthouden mag natuurlijk wel). Wachtwoordmanagers ondervangen dit probleem door werkelijk random wachtwoorden te genereren, en zo de menselijke factor uit te sluiten. Zelfs random op je toetsenbord rammen is minder random dan de randomness van een goede wachtwoordgenerator.
edit: zie https://www.eff.org/dice voor meer info over echt random wachtwoordzinnen.

Op zich is het opslaan van wachtwoorden op papier, op een veilige locatie (bijv. in een kluis) waarvan je kan controleren dat niemand deze gejat heeft (dat zou immers schade aan de kluis opleveren) helemaal geen slecht idee. Het probleem met deze methode is alleen, dat het verre van werkbaar is om iedere keer je wachtwoorden uit een kluis te moeten halen en deze weer netjes op te bergen. Waardoor het risico bestaat dat je ze een keer laat slingeren op een bureau, of toch vervalt op niet-random wachtwoorden zodat je ze kunt onthouden. Ook dit probleem ondervangt een wachtwoordmanager, wat in feite een digitale kluis is die wél gebruiksvriendelijk is.

De kans op "een grote hack" van een passwordmanager is nihil. Ze gebruiken stuk voor stuk state-of-the-art encrytpiemethoden die zelfs door geheime diensten als veilig beschouwd worden. En mocht een dergelijk doemscenario zich toch voordoen, dan heb je in ieder geval het voordeel dat je een compleet overzicht van je accounts hebt. Je kunt dan simpelweg van al die accounts je wachtwoord veranderen en opslaan in een andere/veiligere manager, zonder dat je bang hoeft te zijn dat je ergens een obscure webshop waar je één keer iets besteld hebt gemist hebt, en zonder dat je wéér tig nieuwe wachtwoorden uit je hoofd hoeft te leren.
Daar heb je overigens rustig de tijd voor. Want zelfs als jouw wachtwoordkluis in theorie gekraakt zou kunnen worden, zal deze eerst uit moeten lekken voordat iemand daar daadwerkelijk aan kan beginnen.

[BSeB]

Bedankt voor je duidelijke uitleg. Kende de stick van Tweakers, maar niet meer aan gedacht. Verder duidelijk over de fingerprint!

Zojuist een YubiKey 5 NFC gekocht om zelf eens mee te testen en experimenteren.
Bij Keepass 3 ondersteunde methoden:
- Static Password Mode
- One-Time Password Mode
- Challenge-Response Mode

Moet hierover nog verder inlezen over gebruiksvriendelijkheid. Ik denk zeer bruikbaar.