Experts willen meer openheid over veiligheid Google-beveiligingssleutels

Drie beveiligingsexperts, onder wie voormalig Facebook-beveiligingshoofd Alex Stamos, uiten hun bedenkingen bij de veiligheid van Googles Titan-beveiligingssleutels en willen daarom meer informatie. Een Chinees bedrijf maakt de sleutels, wat risico's met zich mee zou brengen.

Google bevestigt aan Motherboard dat het de onlangs aangekondigde FIDO-sleutels door het Chinese bedrijf Feitian laat maken. Het is zelf van mening dat dit op een veilige manier gebeurt, door gebruik te maken van zijn eigen firmware. Aan de hand daarvan moet ook te verifiëren zijn dat er geen aanpassingen aan de sleutels hebben plaatsgevonden. Die firmware is aanwezig in een trusted environment op de chips voordat deze aan Feitian worden geleverd, aldus Google.

Voor Stamos, die zijn bedenkingen uit tegenover de site, zijn deze waarborgen echter niet genoeg. Hij zou graag willen dat Google meer informatie over zijn supply chain-proces naar buiten brengt. In een tweet raadde hij dan ook het gebruik van de sleutels af. Een tweede expert, die anoniem wil blijven en volgens Motherboard het 'beveiligingsteam van een miljardenbedrijf leidt', zegt dat de supply chain in China vaak wordt bepaald door overheidsbeleid. Daardoor zou Feitian mogelijk onder druk gezet kunnen worden door de overheid.

Dan Guido, ceo van het beveiligingsbedrijf Trail of Bits, zegt tegen Motherboard dat hij wil weten of de sleutels gebruikmaken van aangepaste Feitian-firmware of dat Google volledig eigen firmware heeft ontwikkeld. In dat laatste geval wil hij ook weten op welke manier 'een veilige uitkomst' behaald kan worden. Volgens Guido speelt ook de vraag mee of het mogelijk is de firmware te updaten. Ook al zou dit het geval zijn, raadt hij de sleutels waarschijnlijk niet aan. "Ik zou niet tot het volgende Black Hat-evenement hoeven te wachten om van een derde partij antwoord op deze vragen te krijgen." Google wilde geen aanvullende informatie geven, aldus Motherboard.

Google kondigde de sleutels in juli aan en inmiddels zijn ze in de Amerikaanse Store te vinden. Europa volgt later. Het gaat om sleutels op basis van de FIDO-standaard, die mensen als tweede factor kunnen inzetten bij het inloggen op een account. Alle 85.000 Google-medewerkers maken verplicht gebruik van de sleutels. Toen Google zijn Advanced Protection-programma voor gevoelige accounts aankondigde, raadde het ook al het gebruik van Feitian-sleutels aan.

Reacties (53)

[mikesmit]

Om ze betaalbaar te maken moeten ze wel in China gemaakt worden. We leven in een “alles mag niks kosten” maatschappij momenteel en Google wil deze dingen ook aan consumenten verkopen

[mrdemc]

Onzin, deze soortgelijke producten worden al door meerdere fabrikanten gemaakt. Bijv. Yubikey welke in Zweden en de VS worden geproduceerd:
https://www.yubico.com/products/manufacturing/

En die zijn prima betaalbaar en die uit China zijn nog duurder ook... Snap ook niet dat Google zn eigen hardware ook hierin weer moet uitbrengen.

[Reactie gewijzigd door mrdemc op 23 juli 2024 06:28]

[Jerie]

De Feitian heeft 3 communicatie protocollen: USB-A, NFC (RFID), en Bluetooth. Er is geen enkel produkt op de markt dat die alledrie heeft, en het aantal produkten met 2 van die 3 is miniem. Sterker nog, ik ken er geen die Bluetooth gebruikt. Dat alles zegt nog niets over welke authenticatie standaard er wordt gebruikt (U2F, OTP, enz).

Er zijn zat manieren om je produkten te onderscheiden. Open source firmware is er een van, open hardware is er nog eentje. Een andere is de kosten (U2F-only is relatief goedkoop). Heb ook zo'n key gezien die iets van 10 knopjes heeft. Een standaard YubiKey (de marktleider AFAIK) heeft 1 knopje voor authenticatie, welke je kort of lang in kunt drukken. En klaarblijkelijk kan men zich ook onderscheiden dmv de hardware wel/niet in China te laten maken. Maar dat is zeer zeker niet de enige manier waarop men zich kan onderscheiden.

Snap ook niet dat Google zn eigen hardware ook hierin weer moet uitbrengen.

Mbt de USB-A/USB-C dat is waarschijnlijk een kosten/baten analyse waarbij het goedkoper was om het in-house te produceren. Ze produceren het eigenlijk voor zichzelf intern, en bieden het dan ook te koop aan voor de liefhebber. Uit de hand gelopen intern product.

Mbt de Feitian. Dat is niet hun eigen hardware; het draait hun eigen firmware.

[PostHEX]

De Feitian heeft 3 communicatie protocollen: USB-A, NFC (RFID), en Bluetooth. Er is geen enkel produkt op de markt dat die alledrie heeft, en het aantal produkten met 2 van die 3 is miniem. Sterker nog, ik ken er geen die Bluetooth gebruikt. Dat alles zegt nog niets over welke authenticatie standaard er wordt gebruikt (U2F, OTP, enz).

De reden waarom Yubico nog geen Bluetooth model heeft uitgebracht, is omdat ze er op dit moment geen vertrouwen in hebben dat Bluetooth security keys veilig genoeg zijn.

Google’s offering includes a Bluetooth (BLE) capable key. While Yubico previously initiated development of a BLE security key, and contributed to the BLE U2F standards work, we decided not to launch the product as it does not meet our standards for security, usability and durability. BLE does not provide the security assurance levels of NFC and USB, and requires batteries and pairing that offer a poor user experience.

Bron: https://www.yubico.com/2018/07/the-key-to-trust/

De Feitian sleutels met Google firmware zullen als het goed is qua prijs dicht in de buurt liggen van Yubicos Yubikeys. Dus rond de 50$ USD. En tot zover ik kan zien zullen het geen 3-in-1 keys worden; voor USB en BT & NFC moet je aparte keys gebruiken.

Overigens kan je U2F keys op alle apparaten op de iPhone na tegenwoordig via USB gebruiken. Voor Android moet je daarvoor Google Authenticator app installeren, die voor de U2F communicatie zorgt tussen je browser en key.

Zelf prefereer ik dat mijn authenticatie over USB gaat, omdat dat simpelweg op afstand in mijn proximity niet te manipuleren is. Ik vind USB daarom een betere balans hebben tussen veiligheid en gemak (een hardware key in je systeem prikken kost minder tijd en moeite dan een TOTP code overtypen).

[Jerie]

Wat betreft de reden van Yubico: bedankt, dat is exact wat ik eerder ook had gelezen.

En tot zover ik kan zien zullen het geen 3-in-1 keys worden; voor USB en BT & NFC moet je aparte keys gebruiken.

Eerste review op de Amazon.de link:

Dieser FIDO U2F-Key kann alles. Er besitzt Bluetooth, NFC und USB.

Dus dan wijkt die van Google af qua firmware, om alleen Bluetooth te kunnen?

Ik persoonlijk gebruik geen GMS dus ook geen Google Authenticator maar heb wel interesse om m'n YubiKeys op m'n smartphone te gebruiken. Zijn er nog andere Android applicaties die U2F ondersteunen?

[PostHEX]

Eerste review op de Amazon.de link:
"Dieser FIDO U2F-Key kann alles. Er besitzt Bluetooth, NFC und USB."
Dus dan wijkt die van Google af qua firmware, om alleen Bluetooth te kunnen?

Ik heb het mis over de form factor. Ik ging uit van deze illustratie, waarbij je een charge logo ziet op de USB poort, en ik er van uit ging dat die poort uitsluitend bedoeld is om op te laden. Dus misschien als je een USB kabel aansluit dat je zo de key ook kan gebruiken over USB? Geen idee.

Titan Security Keys are compatible with browsers (including Chrome) that support FIDO standards, and are available in two form factors (USB/NFC and USB/NFC/Bluetooth).

https://cloud.google.com/titan-security-key/

Ik persoonlijk gebruik geen GMS dus ook geen Google Authenticator maar heb wel interesse om m'n YubiKeys op m'n smartphone te gebruiken. Zijn er nog andere Android applicaties die U2F ondersteunen?

Ja; Google Chrome voor Android. Overigens authenticeer je niet met Google Authenticator, maar je gebruikt Google Authenticator als een soort van proxy tussen je key en de browser, zodat de browser en de key met elkaar kunnen communiceren.

[Jerie]

Mja dat houdt in dat die andere een soort van YubiKey NEO is (USB-A + NFC). En ook die is redelijk uniek in z'n soort. Dus geen overbodig produkt van Google. Het verschil tussen Google's en Feitian's officiele apparaat is me niet geheel duidelijk. "Eigen firmware" zegt mij weinig. Wat is er anders aan? En is de firmware open? Wanneer je bij Google werkt maakt dat laatste geen drol uit. Maar voor anderen wel degelijk.

[murkienl]

Volgens mij is het de Titan en wordt deze gefabriceerd door Feitian. Maar dat doet verder niet af aan je verhaal overigens.

[Jerie]

Hoe dan ook hij ziet er precies hetzelfde uit als de al bestaande Feitian Multipass FIDO U2F Security Key. Welke Google al eerder aanraadde voor 2FA wanneer men geen USB tot beschikking heeft en Bluetooth wel een optie is (heb helaas zo gauw de bron niet).

[murkienl]

Ah dat maakt de verwarring nog voor de handliggender.

[Sandor_Clegane]

Google heeft erg last van een Not Invented Here syndroom.

[stftweaker]

Helemaal waar we willen alles voor niks daarom zijn winkels als de action zo populair. Maar ik denk dat mensen het niet erg vinden om iets meer te betalen als het om veiligheid gaat. Een slot op de deur is tastbaar een "USB stick" zegt consumenten niks en al helemaal de techniek niet.

[SuperDre]

En dat de hardware uit een ander land zou komen zou het meteen veiliger maken?

[stftweaker]

Het is maar net hoe je het verpakt. Draait niet om de inhoud maar om hoe je het verpakt bij consumenten.

[LegendaryNr14]

lol ja geef de schuld maar aan de maatschappij..... terwijl het eigenlijk gaat om zoveel mogelijk winst te maken. Het probleem ligt dus bij de bedrijven en niet bij de mensen die het kopen.

[mikesmit]

Deels wel deels niet. Kijk eens naar de grote opmars van Chinese telefoons en de populariteit van alieexpres.

De portomonee van de consument bepaalt hoe bedrijven hun strategieën maken. Het is ook overduidelijk dat als je tegenwoordig succesvol wilt zijn dat je alles zo goedkoop mogelijk moet maken

[El_Bartholomew]

Het is niet alleen om goedkoop waar het om draait maar ook om het uitbuiten en bestelen van de mensen die vaak niet beter weten.

Mijn vader bestelde bv. regelmatig via USA of China bepaalde onderdelen voor zijn auto omdat die dan niet eventjes een paar tientjes goedkoper waren maar een paar honderd EUR.

Wordt tijd dat daar ook eens iets aan wordt gedaan.

[SuperDre]

Uhhh, het probleem ligt wel degelijk ook bij de mensen die het kopen. En een bedrijf is geen sociale instelling, er moet gewoon winst gemaakt worden, en je vraagt dan dus de prijs wat de consument er nog voor wil betalen. Niet elk bedrijf vraagt woekerprijzen voor het grootste deel van hun producten zoals bv Apple. En omdat iets bv niet in china geproduceert wordt, garandeerd dat het dan veiliger/beter is.

[jpsch]

Veel betalen voor iets garandeert niet dat het veiliger is. Dure auto's worden ook makkelijk gestolen..

[Athome]

Wij werden en worden opgevoed om alles wat niet van ons "eigen soort" is te wantrouwen. De media speelt daarin nog steeds een zeer belangrijk rol.
Dus omdat Google het in China laat produceren nu gelijk te wantrouwen omdat het regime lekker vaag is, vind ik ook wat kort de bocht. Onze eigen diensten (FBI, CIA, AIVD, MIVD, etc, etc) zijn ook niet de meest transparante en hebben een voorliefde voor dezelfde dingen als het Chinese regime

[dasiro]

ik weet niet of je 2 nationaliteiten hebt, maar als je over "eigen" diensten spreekt, dan kan je niet die van 2 verschillende landen opnoemen. Ga er maar van uit dat de grootste en ergste spion nog altijd de VS is die world domination wil/tracht te behouden met dit soort bangmakerij en afleidingsmanouvres.

[Athome]

Dat bedoel ik dus.
Ik ben geboren en getogen in Nederland dus 1 nationaliteit.
Het is altijd het westen (Europa en VS) tegen de rest van de wereld. Vandaar ook het benoemen van meerdere diensten.
Rusland is de boeman en China is boeman en VS is de grote vriendelijke reus als we puur op onze overheid afgaan. Dat gelooft helemaal niemand

[ajolla]

Ik ben bang dat dat laatste niet klopt, helaas.

[Xander2]

Wij werden en worden opgevoed om alles wat niet van ons "eigen soort" is te wantrouwen. De media speelt daarin nog steeds een zeer belangrijk rol.

Dit is intrinsiek aan naast elkaar bestaande sociale systemen en de onderliggende natuur van de mens, een vorm van zelfbescherming binnen de sociale groep.

Met "onze" opvoeding suggereer je dat de oplossing aan onze kant ligt.

De motivatie voor wantrouwen is terecht gezien de (gesloten) opbouw van China, er is een handelsrelatie geen globaal sociaal systeem.

[Athome]

Dat is ook zo.

Dat mij meer stoort, is dat Google het vuur aan schenen gelegd wordt omdat ze het in China laten maken.
Hadden ze het in USA had laten maken was er waarschijnlijk niets aan de hand geweest. Alsof dat perse veiliger is, gezien Big Brother een enorme vinger in de pap heeft.

[Xander2]

Dat mij meer stoort, is dat Google het vuur aan schenen gelegd wordt omdat ze het in China laten maken.

Gewoon toekijken hoe die 2 privacy-schenders Facebook en Google elkaar lastigvallen en meer openheid eisen, is beter voor ons

[Jerie]

Die Feitian maakt gebruik van Bluetooth, maar op welke manier precies? Bluetooth HID profile? Is dat wel veilig?

[Verwijderd]

Bij goede encryptie maakt het niet uit of het transportkanaal onveilig is.

[Luinwethion]

Maar gebruikt Google zelf niet die sleutels? Of tenminste soortgelijke die van de zelfde ODM komt? Zouden ze de risico nemen om in zee te gaan met een bedrijf die niet betrouwbaar is?

[locke960]

Ik moet eerlijk zeggen dat ik die FIDO standaard niet ken, maar zorgen over een Chinese fabrikant is niet het eerste probleem dat bij me op komt. Het hele idee dat een browser een stukje hardware dat aan mijn USB port hangt moet kunnen benaderen is voor mij precies het omgekeerde van een goede beveiliging. Vooral als er op dat USB apparaat software van Google (en mogelijk anderen) draait, welke ook nog eens door Google benaderd kan worden. Combineer dat met de bekende lekken in USB poort hardware en je hebt een backdoor recept van heb ik jou daar.
Misschien ben ik paranoïde, of begrijp ik nog niet hoe het precies werkt, maar Google's track record als dataslurper geeft me niet al teveel vertrouwen.

[Ventieldopje]

Het lijken mij terechte vragen die hoogstwaarschijnlijk allemaal beantwoord worden als je begrijpt hoe FIDO in zijn werk gaat

[Sharkoon]

Zijn die bedrijven niet gewoon jaloers en proberen ze daarmee een bedrijf als Google weer lekker in het verkeerde daglicht te plaatsen?

[Farscape2]

Als een bedrijf pretendeert een 2FA/OTP-sleutel a la de Yubikey uitbrengt zijn garanties binnen de supplychain wel handig. Waar concurrenten vooral in de EU/USA worden geproduceerd onder streng toezicht en allerhande certificeringen, is productie in China iets wat risico met zich meebrengt. Niet om te zeggen dat het dan sowieso niet veilig is, maar als de productie in een land als China plaatsvindt, is extra transparantie in de supplychain iets wat het vertrouwen kan verhogen.

Ook het feit dat één van de sleutels gebruik maakt van Bluetooth is een potentieel gat. Want hiervoor zal, aannemelijkerwijs, gebruik gemaakt worden van Bluetooth-HID, wat ook weer issues met zich mee kan dragen. Zoals Jerie, hierboven ook al opmerkt.

TL;DR, Nee, niet persé jaloezie. Openheid van zaken in de hele supplychain is voor apparaten van dit type essentieel om veiligheid te kunnen garanderen.

[Reactie gewijzigd door Farscape2 op 23 juli 2024 06:28]

[Blokker_1999]

Maar wat ben je met garanties? Dit lijkt mij meer een FUD campagne gewoon omdat het in China gemaakt is in de hoop dat de consumenten het gaan wantrouwen. Zelfs al geef je de goede antwoorden op die vragen dan gaan experts alsnog redenen vinden om het product af te kraken en dat alleen omdat het in China gemaakt wordt. Breng je de productie naar de VS dan loop je evenwel weer het risico dat bijv. de NSA iemand laat infiltreren zodat zij weer een backdoor kunnen integreren.

[Farscape2]

Maar wat ben je met garanties?

Een stuk verder dan zonder garanties. Kijk maar naar het hele idee van TLS/SSL. Daar draait de hele uitgave van certificaten op vertrouwen. Instanties die de fout ingaan worden door de overige instanties geblacklist. Een hele hoop mensen houdt zich dagelijks bezig met onder de motorkap kijken voor uitgifte processen en trekken aan de bel als er iets niet helemaal zuiver is. Puur een TLS certificaat zorgt niet voor een vertrouwde verbinding, dat groene slotje in je browser komt enkel door de gezamelijke goedkeuring van allerhande instanties die achter die certificaten staan.

Zelfs al geef je de goede antwoorden op die vragen dan gaan experts alsnog redenen vinden om het product af te kraken en dat alleen omdat het in China gemaakt wordt.

Wie zegt dat het enkel en alleen is omdat het in China is geproduceerd? De experts zijn sceptisch met een reden, China heeft gewoon geen goede track-record als het gaat om dit soort zaken. Wil niet zeggen dat er in de EU/USA niet mee gesjoemeld kan worden, maar die kans is vele malen kleiner.

De bewijslast ligt hoger juist omdat het in China geproduceerd wordt. Google zal de vragen van de experts inderdaad zeer goed moeten beantwoorden, ook inzage in hun firmware/code zou het vertrouwen vergroten. Yubico heeft bijv. een hele rits repo's op Github staan waardoor iedereen kan inzien hoe een en ander werkt.

De tijd zal het leren, en ik gok dat op het komende Black Hat evenement er vast mensen zijn die die Google sleutels uit elkaar hebben geprobeerd te trekken.

[Reactie gewijzigd door Farscape2 op 23 juli 2024 06:28]

[svenslootweg]

Kijk maar naar het hele idee van TLS/SSL. Daar draait de hele uitgave van certificaten op vertrouwen. Instanties die de fout ingaan worden door de overige instanties geblacklist. [...]

Dan werkt het dus niet op vertrouwen, maar op controle.

[Farscape2]

Door de controle, komt juist het vertrouwen. Zonder enige vorm van inzicht is het moeilijk om elkaar blind te geloven.

Datzelfde geldt voor allerhande encryptietechnieken. De methodieken die beschikbaar zijn waar de broncode in te zien is, hebben een hogere mate van vertrouwen dan closed-source methodieken, juist door die controle.

Vertrouwen bouw je op door openheid van zaken te geven.

[SuperDre]

Wie zegt dat de concurenten onder zwaar toezicht worden geproduceerd? Waar is die garantie? Zeker in de US zou ik mijn bedenkingen hebben hoor.

[Reactie gewijzigd door SuperDre op 23 juli 2024 06:28]

[Orama]

Waar het gemaakt is, maakt in dit geval niet zoveel uit.
Of er zit een backdoor in voor China of voor Amerika.
Het is een beetje lood om oud ijzer toch?
Je kunt ze vertrouwen of niet.

[vliegendekat]

Ben ik de enige die ziet dat er een USB-C naar USB-A dongle nodig is om deze keys te laten werken, of valt het meer mensen op dat zelfs Google in zijn eigen store en op zijn eigen blog hiermee adverteert?
Zie: https://cloud.google.com/...lable-on-the-google-store

Zolang dit het geval is gaat het voor de gemiddelde gebruiker dus nooit werken. Die zitten er nu al niet op te wachten dat ze nog een extra apparaat mee moeten slepen.

[Dutchzilla]

vertrouw die chinezen meer dan dat ik google vertrouw

[MrR0b3rt]

Misschien ligt het aan mij, maar iedereen doet enorm spastisch over China en Rusland. Maar andere overheden (niet in de laatste plaats de VS) zijn anders ook goed op weg om beveiligingstechnieken onder druk te zetten...waarom zouden we hen wel moeten verrtrouwen met de productie?

[LegendaryNr14]

Precies dit! Natuurlijk doet USA dit ook en als ik eerlijk ben heb ik liever dat rusland of china mijn gegevens hebben dan onze USA/EU diensten aangezien hun de data meteen kunnen gebruiken.

Ik merk wel vaker dat er in nieuws vingers worden gewezen maar nooit word gezegd dat EU/USA eigenlijk net zo erg zijn maar omdat ze onze gedachten willen sturen word dit vaak nooit verteld tot het te laat is.

[ajolla]

Nee, natuurlijk niet.
De heersende opinie moet die van de heersers zijn.

[vliegendekat]

Ach.... In de EU en de VS zijn we nog steeds niet volledig vrij, want bijna iedereen is hier een moderne "debt-slave", maar het is wel zo dat de vrijheden zoals wij die nu beleven, vrijheden zijn waar men (met uitzondering van een paar edelen) een paarhonderd jaar geleden alleen maar van kon dromen.

Vergelijk dat eens met Rusland en China.
Rusland sloot tot 30 jaar geleden nog steeds kinderen van politieke gevangenen stelselmatig in een gevangenis op. Het zou kunnen dat ze het nog steeds doen, maar de laatste keer dat we het konden bevestigen is zo lang geleden.
China heeft recentelijk besloten dat religie een geestesziekte is en sluit daarom maar ruim een miljoen mensen op in een "ziekenhuiskamp". Er zijn gewoon quota gesteld van de vorm "40% van de bevolkingsgroep die dat geloof aanhangt moet worden opgesloten" en ze hebben het nog gewoon gedaan ook! Bronnen, o.a. Le Monde en The Atlantic. Zie: https://www.theatlantic.c...ms-mental-illness/568525/

Dat geeft mijns inziens hard genoeg aan met wat voorn actoren we te maken hebben en dat wij er dus inderdaad alle redenen toe hebben om zowel Rusland als China voor geen nanometer te vertrouwen als het om digitale beveiliging gaat.

[Luinwethion]

Dat is dus wat ik mij afvraagt, in dit geval komt deze zorgen dus blijkbaar niet van een overheid, maar van beveiliging experts

[SuperDre]

Uhh die andere landen zeggen net zo hatd wat hun volk wel en niet mag, alleen in die landen heb je wat meer de illusie dat je vrij bent. Ik denk juist eerder dat je bij een 'democratisch' land meer op je hoeden moet zijn.

[Xander2]

https://www.imdb.com/title/tt0405094/

[t link]

er zijn ook gewoon democratische communisctische overheden die gewoon via verkiezingen worden verkozen. communisme heeft vele variaties, china is ook niet echt communisme al beheren ze wel veel en rusland al helemaal niet dus je opmerking raakt kant noch wal.

[Reactie gewijzigd door t link op 23 juli 2024 06:28]

[t link]

Kerala is gewoon al jaren onder communistisch regime en onderdrukt hun volk niet zover ik weet. Er zijn grote delen van india met een communistische partij aan de macht die nog altijd democratisch gekozen worden al tientalle jaren. inb4 "maar dat is klein" nee dat is het niet, india is gigantisch en heeft gigantisch veel inwoners. Kerala is ongeveer even groot als nederland en heeft ongeveer de helft van de nederlandsche bevolkingsdichtheid.