Yubikey, passkeys en best-practice

[ouweklimgeit]

Beste lezer,

Jaaaaren geleden ooit mijn eerste Yubikeys gekocht en nu de hele passkeys (en passwordless) dagen lijken aan te breken heb ik deze week twee nieuwe Yubikeys besteld, de 5C Nano en 5C NFC. Twee stuks, want net als bij reguliere backups; 1 backup is geen backup.

Al enige tijd maak ik gebruik van Vaultwarden, draait in Docker op een eigen server en dat bevalt prima. Binnenkort zal het bij Bit/Vaultwarden mogelijk worden om het hoofdwachtwoord te vervangen voor een passkey (Fido2 / Webauthn). Dat lijkt me een fantastische ontwikkeling daar het hoofdwachtwoord toch gewoon de zwakste schakel is in een wachtwoordmanager.

Waar het bij mij (en waarschijnlijk 99% van de mensen) mis gaat is het gemak om de 2FA codes op te slaan in dezelfde wachtwoordmanager. Gewoon uit gemak, want na het automatisch invullen van gebruikersnaam en wachtwoord volstaat een cmd-v / ctrl-v om de 6-cijferige code in te voeren en dat is natuurlijk handig, al vergaat daarmee tevens het hele 2FA principe van 'iets weten en iets hebben'. Ok, niet helemaal nutteloos, want een gelekt wachtwoord van 1 account betekent daarmee niet dat iemand zomaar kan inloggen, maar verre van 'best practice'.



Daar de nieuwe Yubikeys ook 32 2FA accounts kunnen opslaan ben ik bezig om alle 2FA codes te verhuizen van Vaultwarden naar beide Yubikeys. Maar nu zit ik even met een brainfart; op de Yubikeys kunnen naast de passkeys en 2FA functionaliteit óók 2 slots worden ingericht met diverse functies;



Je kunt dus met 1 (korte of lange) druk op de Yubikey automatisch een veelgebruikte 2FA (HOTP) laten invullen, maar ook een statisch wachtwoord. En die laatste zit ik een beetje over te twijfelen.

Wat zou het grote gevaar zijn wanneer ik bij alle websites die 2FA ondersteunen een zeer complex wachtwoord instel en datzelfde wachtwoord in de Yubikey programmeer?

Dus ik log ergens in;
- voer gebruikersnaam in
- tik op de Yubikey voor het complexe wachtwoord
- vervolgens kopieer en plak ik de 2FA vanuit de Yubikey

Stel dat iemand mijn gebruikersnaam en complexe wachtwoord weet te achterhalen, dan is de 2FA altijd maar 30 seconden geldig dus is de kans verwaarloosbaar dat iemand de juiste code gokt. Het gemak is evident, je hebt bij dergelijke websites geen wachtwoordmanager meer nodig en kunt overal inloggen als je maar je Yubikey bij je hebt.

Let wel; voor alle websites waar geen 2FA of passkeys beschikbaar zijn gaat dit verhaal natuurlijk niet op, ik doel echt op websites waar 2FA verplicht in te schakelen is.

[BytePhantomX]

Als ik het zo lees heb ik een paar bedenkingen:
- Je gaat een wachtwoord hergebruiken, wat zeker geen best practice is. Daarbij maakt het niet uit of het een complex of eenvoudig wachtwoord is.
- Als je MFA/2fa gebruik is een sterk wachtwoord eigenlijk niet zo relevant meer, je kun dan ook af met een eenvoudiger wachtwoord.
- Als het om gebruiksgemak gaat, dan is een wachtwoord manager op een telefoon m.i. handiger dan een key. Dat zal echter per persoon afhangen. Als ik thuis ben dan heb ik bijvoorbeeld nooit de key bij me, maar wel de wachtwoordmanager op mijn telefoon. Ook het eventueel delen van wachtwoorden met anderen is met een ww kluis veel handiger als met een key.

Al enige tijd maak ik gebruik van Vaultwarden, draait in Docker op een eigen server en dat bevalt prima.

Persoonlijk wordt ik hier altijd een beetje ongemakkelijk van. Zelf een server thuis beveiligen is kneiter moeilijk om echt goed te doen. Dan moet je niet alleen denken aan alles dicht zetten, maar ook monitoren op verdacht gedrag. Misschien ben je die uitzondering, maar ik zou het nooit zelf doen. Risico dat jouw server gehackt wordt en je database daarmee ook zou mij te groot zijn.

[ouweklimgeit]

Dank voor je reactie, je hebt helemaal gelijk dat een complex wachtwoord in deze use-case niet nodig is. Misschien iets beter tegen dictionary attacks, maar inderdaad, als 2FA de veiligheid biedt dan maakt alles voor die stap niet uit.

Uiteindelijk gaat het om de scheiding van zaken, een telefoon met wachtwoord manager en aparte 2FA app is in principe een probleem omdat je met alleen die telefoon weer overal toegang tot hebt. De Yubikey aan je sleutelbos is weer een extra obstakel om te bemachtigen.

Vaultwarden zit wel goed, draait thuis op een aparte machine, achter een Nginx proxy die alleen requests vanaf mijn interne subnet toestaat, daarachter een Unifi UDM Pro die weer alleen 80/443 verkeer toestaat vanaf Cloudflare IP's voor overige services waar ik wel van buitenaf bij wil kunnen. Komt er dus op neer dat ik alleen vanaf mijn eigen netwerk bij de kluis kan en dat werkt voor mij prima.

[CAPSLOCK2000]

De belangrijkste stap heb je gelukkig al genomen: nadenken

Je hebt helemaal gelijk dat het samenvoegen van OTP en wachtwoorden in 1 kluis niet handig is.
In principe wil je alles zo veel mogelijk scheiden. Hoe minder er gedeeld wordt hoe beter.
Maar het is altijd een balans tussen veiligheid en gemak.

Ik hanteer zelf de regel dat alle "kluisjes" met tenminste twee verschillende middelen beveiligd moet zijn en dat het nooit dezelfde twee middelen mogen zijn. Het is wel toegestaan om één middel te delen. Hoe meer een middel gedeeld wordt hoe minder zwaar het telt en dan moet er iets anders bij om weer bij "twee hele middelen" te komen. Daarbij geef ik de voorkeur aan meerdere lichte maatregelen boven een enkele zware maatregel.

Die twee middelen zijn typisch een yubikey en een wachtwoord of pincode.
Ik heb dus verschillende kluisjes die dezelfde yubikey gebruiken maar een ander wachtwoord.
Maar omdat het dezelfde yubikey is moet er nog iets bij, bv een versleutelde disk of een IP-firewall of zo iets.


Een voorbeeld van een minder zwaar middel is de vergrendeling van mijn telefoon. Alles wat op mijn telefoon draait is nog een keer extra beveiligd doordat je eerst mijn telefoon moet stelen en ontgrendelen. Dat is op zich een vrij sterk middel maar het wordt wel gedeeld met alles wat er op die telefoon doet, en m'n telefoon heb ik altijd bij en ontgrendel ik 100 keer per dag.

Een telefoon kan je op verschillende manieren beveiligen (pincode, vingerafdruk, etc..) en daarbij kun je ook weer nadenken over hoe zich tot verhoudt tot andere dingen. Een vingerafdruk is handig in het gebruik maar ook makkelijk te stelen je laat ze overal achter. Het kan echter weer een extra aanvulling zijn om samen met andere middelen de juiste balans tussen veiligheid en gemak te vinden.