Software-update: Yubico Authenticator 7.1.0

Yubico heeft versie 7.1.0 van Authenticator uitgebracht. Met dit programma kunnen de beveiligingssleutels van het bedrijf worden beheerd. Zo kunnen instellingen van de sleutel zelf en de daarop opgeslagen accounts worden aangepast, en kan de OTP-code worden gekopieerd om deze vervolgens in een programma te plakken. De software is beschikbaar voor Android, Linux, macOS en Windows, maar niet voor iOS. In deze uitgave zijn de volgende veranderingen en verbeteringen aangebracht:

Changes in Yubico Authenticator version 7.1.0::

• Improved support for YubiKey Bio - Multi-protocol Edition.
• Improved support for YubiKey 5.7 FIPS:
  • Use secure messaging (SCP11b) when needed over NFC.
  • Add FIPS status information to Home screen and application pages.
  • Disable locked features in UI while not in FIPS approved mode.
• Android: Improve UI for NFC communication.
• Android: Improve error messages shown in UI.
• FIDO: Add button to enable Enterprise Attestation on supported devices.
• UI: Add instructions for enabling NFC for NFC-restricted devices.
• UI: Display PIN complexity info on Home screen for applicable devices.
• UI: Add grid views for OATH and Passkey credential lists.
• UI: Add toggling of visibility to the right sidebar menu.

Versienummer	7.1.0
Releasestatus	Final
Besturingssystemen	Android, Linux, macOS, Windows 10, Windows 11
Website	Yubico AB
Download	https://github.com/Yubico/yubioath-flutter/releases/tag/7.1.0
Licentietype	GPL

Reacties (20)

[GarBaGe]

Kan ik hiermee nu (eindelijk) een lijst van passkeys op mijn Yubikey krijgen?
Dat miste ik al een tijd.
Dan maak je wel een passkey, maar gezien de schaarse ruimte op de Yubikey wil ik graag een overzicht van alle passkeys, zodat ik oude of minder belangrijke ook weer kan opruimen...

[RiDo78]

Dat kon al even:
https://www.reddit.com/r/...y_passkeys_fido2_private/

[ralphm]

Maar enkel als de firmware van je key 5.2.3 of hoger is. Pas vanaf die versie is credential management beschikbaar voor discoverable credentials (resident keys).

Verder zijn er ook nog non-discoverable credentials (non-resident keys). Hierbij wordt de key pair voor een bepaalde site niet op de hardware key opgeslagen, maar op de server van die site, versleuteld met een enkele private key voor alle sites. Dat maakt het mogelijk om met een onbeperkt aantal sites the authenticeren, maar omdat de hardware key niets opslaat dan die enkele secret key, kun je ze dus ook niet opvragen.

[evers97]

Kan al een jaar of langer zelfs…

[zordaz]

Kun je de OTP keys exporteren cq. backuppen? Wat anders heb je een vervelende lock-in als je om wat voor reden dan ook wat anders wil / moet gaan gebruiken (zie hoe dat met Authy ging...). Ook is het vervelend als het apparaat met de app erop stuk gaat of kwijt raakt...

[GarBaGe]

Nee, natuurlijk niet.
Dat is echt een enorm groot security risico.
Als je wilt, kunt je OTP keys opschrijven op papier (als backup) of tegelijkertijd enrollen op een andere device danwel software app.
Bovendien, met ALLE 2FA moet je altijd zorgen voor meerdere factoren / backups.
Als je je OTP kwijt bent, dan authenticeren met SMS of email code of backup code of....

[zordaz]

Dat hoeft helemaal geen security risico te zijn. Ligt eraan hoe het is geïmplementeerd en hoe je er zelf mee omgaat. Ik heb inmiddels circa 30 OTP tokens, ik ben blij dat ik die niet allemaal handmatig opnieuw hoef in te voeren in mijn OTP-app als ik een nieuw toestel heb (of als ik mijn toestel kwijt zou raken etc.).

[Reactie gewijzigd door zordaz op 25 september 2024 16:22]

[SirLenncelot]

De export kan natuurlijk encrypted zijn of op een beveiligde locatie opgeslagen. Genoeg applicaties bieden zo prima de mogelijkheid om een backup van OTP’s te maken.

[beerse]

De lock-in valt wel mee: Er zijn meer OTP systemen. Het wordt pas een lock-in als de beveiligde partij jouw dwingt naar 1 partij te gaan voor de OTP.

De backup of export van de OTPkeys wil je maar in 2 gevallen gebruiken: Als de key in storing is of als je de key kwijt bent. Met een storing snap ik dat je de OTP keys op een nieuwe key zou willen instellen. Maar als je de key kwijt bent dan is er mogelijk een ander die er gebruik van wil maken. In dat geval zou ik alle OTP keys willen resetten.

Daarmee heeft yubi er voor gekozen geen export/backup constructie te leveren. Yubi gaat voor de beveiliging en de veiligheid.

[Zezura]

Yubico is echt tof, ergens wel goed dat de firmware niet kan worden bijgewerkt maar ook niet fijn want kwetsbaarheden kan je er niet uit patchen.

[michaelkamen]

Dat weerhoudt mij er op dit moment van om er een aan te schaffen. (en de beperkte opslagruimte).
Als er een security flaw in gevonden wordt heb je potentieel een hele dure sleutelhanger..

[Zezura]

ja klopt er pas geleden een CVE gevonden maar die is nog erg moeilijk te misbruiken want je hebt fysieke toegang nodig tot de sleutel. je geeft niet zomaar je Yubikey af aan iemand.

Maar er zijn vast situaties te verzinnen waarbij bijvoorbeeld malware aanwezig is op het systeem en je private keys kan stelen.

[grimson]

Voor iets meer dan €30 zou ik persoonlijk een FIDO2 Security Key aanschaffen om in ieder geval zonder wachtwoord te kunnen werken. Je gegevens zijn naar mijn mening meer waard dan die €30. Ik raad je aan om toch je keuze te heroverwegen als ik zo vrij mag zijn.

[Xm0ur3r]

Altijd erg blij met deze sectie, aantal fijne applicaties aan overgehouden. Keep it up!

[HertogJan]

Dit gelezen?

review: Zo schrijft Tweakers over Downloads

[Xm0ur3r]

Ja haha. En omdat hij aangeeft ook de reacties te lezen vond ik het wel leuk om een reactie te plaatsen

[AibohphobiA BoB]

Ik heb nog een Security Key C NFC over, misschien is hier nog iemand die ik daar mee kan blij maken?
Een beetje off topic, maar een tijdje geleden had ik hem op VA staan en dat leest niet iedereen.

[Zezura]

misschien een goed idee om een link te plaatsen naar de VA?

[Orthodroom]

Ik zou met zoiets het nooit 2e hands kopen van een onbekend. Wie weet is er mee gerommeld.

[AibohphobiA BoB]

Daarom geef ik hem ook weg.
Er zit natuurlijk een Russische hacker in verstopt die eruit springt zodra je hem ergens instopt.

Ik kreeg hem van Tweakers vanwege mijn abonnement, maar voor mij is het compleet nutteloos, temeer omdat ze op de website waarschuwen dat je er minimaal twee moet hebben omdat je anders nergens meer inkomt als er een stuk is.
Toen dacht ik, wat een leuke sigaar uit eigen doos waarbij ik nóg een eigen sigaar moet kopen ook.