[Feature request] 2FA uitbreiding

[slijkie]

Beste Tweakers,

Sinds ongeveer 2012 gebruik ik al hier en daar Yubikeys voor en dat werkte tot nu toe erg fijn. Recent maar eens 2 Yubikey's van het nieuwste model gekocht om eens een serieuze upgrade uit te voeren, aangezien er nu steeds meer en meer grote websites/diensten de Yubikey (U2F & FIDO) supporten.

De huidige Yubikey 5 ondersteund echter maar 32 TOTP codes, ze staan dan ook daadwerkelijk op de chip van de sleutel. Erg weinig naar mijn mening, maar goed.

Ik zie dat Tweakers tot op heden alleen de TOTP optie bied. Mijn vraag (of feature request eigenlijk) is of er plannen zijn om U2F/FIDO toe te voegen zodat er support is voor hardware keys.

Implementatie-linkje voor de Devs

Naast de Yubico Authenticator gebruik ik nog wel LastPass Authenticator, aangezien 32 TOTP codes veelste weinig zijn (heb er 100+), en ben nu dus al die diensten aan het af gaan of ik TOTP kan vervangen voor de U2F/FIDO optie, elke TOTP minder scheelt dus weer.

En mede-tweakers, wat zijn jullie idee'n en/of suggesties hierover?

Mvg,
slijkie

[ Voor 6% gewijzigd door slijkie op 08-02-2022 12:46 ]

[GarBaGe]

Volgens mij is dit al eens gevraagd, maar kost de Yubikey implementatie geld per call en daarom te duur.
Ik heb zelf een Yubikey, dus ik ben voor.
Wist trouwens niet dat je ook TOTP codes IN de Yubikey kon opslaan. Toch eens naar kijken.

[AW_Bos]

Zeker weten dat dit geld kost? Ik heb zelf geen Yubi, maar op de demo-site van hun kan ik ook kiezen voor een registratie met mijn patroonvergrendeling op mijn telefoon.
Er staat verder niks vermeld onder de verplichting van een Yubikey, maar toch krijg ik daar een error terug. Interessant

[slijkie]

Nee, het kost geen geld, dit is kostenloos te implementeren. En ja je kan de TOTP keys in de yubikey opslaan, maar zoals vermeld wel maar 32 :’( selectief zijn dus!

Ik vond inderdaad een topic die gesloten is. Vandaar dacht ik, nieuw jaar, nieuwe kansen!

Tweakers loopt voorop met heel veel toffe features, dus zou gewoon tof zijn om zijn ‘harde kern’ met hardware keys te kunnen laten inloggen toch?

[DaFeliX]

GarBaGe schreef op dinsdag 8 februari 2022 @ 13:01:
Volgens mij is dit al eens gevraagd, maar kost de Yubikey implementatie geld per call en daarom te duur.
Ik heb zelf een Yubikey, dus ik ben voor.
[...]

YubiKey implementatie kost geen geld per call. Als je de implementatie goed doet, dan ondersteun je allerlei soorten keys, en niet alleen YubiKey. Je kunt een implementatie kiezen die alleen YubiKey ondersteund, maar dan sluit je alle andere merken uit.

Zelf ben ik erg enthousiast over solokey, een open-source key (en heb ik beide projecten gebacked), maar er zijn nog veel meer bedrijven die FIDO2 hardwarekeys maken.

Het ontwikkelen van de functionaliteit binnen Tweakers kost echter wel tijd (en dus geld). Het plan was initieel om dit met 2FA direct op te leveren, maar helaas bleek 't toch wat meer werk. Er is wel voorwerk gedaan, en ik blijf iedereen er hier op attenderen dat we deze kans moeten oppakken. De vraag is alleen wanneer we hier tijd voor hebben (want we willen natuurlijk nog veel meer doen).

Ergo: Wat mij betreft komt het er, maar durf ik niet te zeggen wanneer dit zal zijn

[DaFeliX]

slijkie schreef op dinsdag 8 februari 2022 @ 12:41:
[...]

Implementatie-linkje voor de Devs

[...]

U2F is een trouwens een legacy implementatie, het is niet verstandig dit te doen voor nieuwe projecten. Tegenwoordig is er webauthn. Die vereist welliswaar browserondersteuning, maar die ondersteuning is er tegenwoordig vrij breed (sowieso op Chrome en Firefox). Bovendien is webauthn een stuk degelijker dan U2F (het cross-browser compatible krijgen van U2F was moeilijk).

[slijkie]

DaFeliX schreef op dinsdag 8 februari 2022 @ 19:44:
[...]


YubiKey implementatie kost geen geld per call. Als je de implementatie goed doet, dan ondersteun je allerlei soorten keys, en niet alleen YubiKey. Je kunt een implementatie kiezen die alleen YubiKey ondersteund, maar dan sluit je alle andere merken uit.

Zelf ben ik erg enthousiast over solokey, een open-source key (en heb ik beide projecten gebacked), maar er zijn nog veel meer bedrijven die FIDO2 hardwarekeys maken.

Het ontwikkelen van de functionaliteit binnen Tweakers kost echter wel tijd (en dus geld). Het plan was initieel om dit met 2FA direct op te leveren, maar helaas bleek 't toch wat meer werk. Er is wel voorwerk gedaan, en ik blijf iedereen er hier op attenderen dat we deze kans moeten oppakken. De vraag is alleen wanneer we hier tijd voor hebben (want we willen natuurlijk nog veel meer doen).

Ergo: Wat mij betreft komt het er, maar durf ik niet te zeggen wanneer dit zal zijn

Die solokey kwam ik ook al tegen, zeer veel potentie inderdaad.

[JerryBrok]

Ik zou graag zien dat ik ipv ieder keer mijn 2FA uit te moeten schakelen, en dan weer alle YubiKeys moet toevoege, als ik een nieuwe YubiKey krijg, gewoon de optie heb er steeds 1 toe te voegen. Zoals op veel websites het geval is. Nu moet ik eerst 2FA uitzetten, en daarna aan zetten om ze op alle YubiKeys opnieuw te configureren.

Ik zie zo dus ook niet WAT mijn 2FA methodeS zijn. En welke Keys ik gekoppeld heb.
Kunnen jullie dit niet aanpassen? Dit is erg bijzonder. Bij veel andere sites kan ik gewoon Keys toevoegen zonder eerst alles opnieuw in te moeten stellen.

Graag jullie mening hierover.

Ook ondersteunen jullie alleen 6 cijferige Time Based PassCodes, ipv de aanraakmogelijkheid van Yubikey.
Deze kun je beveiligen met een Pin. Je hebt dan dus:
Username
Password
Pincode Yubikey
Yuibkey aanraken.

Just my thoughts......tnx.

[DaFeliX]

Bij het starten van het 2FA project was het de bedoeling om ook hardware keys te gaan ondersteunen, naast de TOTP manier die we nu aanbieden. Je zou dan zelf kunnen kiezen of en hoeveel hardware keys je configureerd, en per key ook een eigen naam kunt opgeven zodat je ze zelf kunt herkennen. Je zou wat mij betreft ook de mogelijkheid moeten krijgen om dan geen TOTP te gebruiken; enkel hardware keys.

De wens vanuit mij om deze keys te gaan ondersteunen is er nog steeds, maar het is er helaas nog nooit van gekomen; waarschijnlijk omdat er andere zaken belangrijker zijn. Dit komt mede doordat we verwachten dat er maar weinig gebruikers zijn die hier om verlegen zitten.

Laten we dus vooral dit topic duimpjes geven, zodat we inzien dat de vraag toch groter is dan gedacht en we het (weer) op de agenda kunnen krijgen om 't daadwerkelijk te gaan uitvoeren.

[JerryBrok]

DaFeliX, helemaal top. Dank voor je reactie. Ik denk idd dat ondersteuning van hardware keys een goede keuze is, vooral voor TWEAKERS......zijn veelal toch techneuten die vaak ook verlegen zitten om veiligheid.

Of er tenminste van bewust zijn. Zo moeilijk moet het niet zijn dit te implementeren lijkt mij!?
Ik zeg: kom maar op met die duimpjes!!!

[JerryBrok]

Aardig wat duimpjes. Dat mogen er best meer zijn hoor. Maar eh, blij dat er meer mensen hetzelfde denken over dit onderwerp. Ik hoop oprecht dat Tweaker hier naar gaat kijken!!

[barrymossel]

DaFeliX schreef op donderdag 9 februari 2023 @ 07:39:
De wens vanuit mij om deze keys te gaan ondersteunen is er nog steeds, maar het is er helaas nog nooit van gekomen; waarschijnlijk omdat er andere zaken belangrijker zijn. Dit komt mede doordat we verwachten dat er maar weinig gebruikers zijn die hier om verlegen zitten.

Lijkt me juist dat op een site als Tweakers dit toch wel belangrijk is. En duimpjes is lastig als men dit topic niet kent...

[slijkie]

Is er na ruim een jaar al wat meer info hierover? Staat dit misschien nog/weer op de development roadmap van Tweakers?

[Cambionn]

Oef oud topic, maar ik zat hier eigenlijk ook naar te kijken en het is helaas wel de recentste die ik vond. Zeker een site als Tweakers zou toch genoeg mensen moeten hebben die hierin geïnteresseerd zijn.

spoiler:

Zeker nu de elite-abbo's net een Yubikey hebben gekregen van jullie.

Enige update @DaFeliX?

[DaFeliX]

slijkie schreef op donderdag 11 mei 2023 @ 18:16:
Is er na ruim een jaar al wat meer info hierover? Staat dit misschien nog/weer op de development roadmap van Tweakers?

Cambionn schreef op donderdag 28 november 2024 @ 14:42:
[...]

Enige update @DaFeliX?

Nee, helaas.

Mijn standpunt is in elk geval ongewijzigd; ik vind 't nog steeds een goed idee om hier iets mee te gaan doen. De moeilijkste drempel hebben we volgens mij al genomen met TOTP, en 2FA met behulp van een Yubikey zou een logische vervolgstap zijn. En misschien de stap daarna om passkeys te ondersteunen.

Maar helaas ben ik niet diegene die de keuzes maakt, dat doen we als volledig team. Tot nu blijft dit punt bovenin de lijstjes hangen, maar steeds net buiten de boot vallen. Daar baal ik zelf (elke dag) ook van, maar weet dat ik mij blijf inzetten om dit hoog op de agenda te houden. Hopelijk breekt dan straks een mooie zonnige dag aan waarin we om ons heen kijken en tot de conclusie komen dat we dan echt tijd kunnen besteden om dit te gaan doen.