Opensource FIDO2-beveiligingssleutel behaalt doel op Kickstarter

Op Kickstarter heeft de Solo-beveiligingssleutel zijn crowdfundingdoel van iets meer dan vierduizend dollar ruim behaald. Het gaat om een opensourceproduct dat de FIDO2-authenticatiestandaard ondersteunt en gebruikt kan worden voor tweetrapsauthenticatie.

De Solo-sleutel is het werk van Conor Patrick, die eerder ook de Zero-sleutel uitbracht. Die ondersteunde echter alleen de oudere U2F-standaard. De nieuwe versie ondersteunt zowel U2F en FIDO2. De gebruikte code van de op de sleutel aanwezige firmware is te vinden op GitHub en Patrick belooft dat ook het hardwaredesign aanpasbaar is aan de wensen van gebruikers. De sleutel is gebaseerd op de STM32L442KC-chip, maar de firmware kan ook naar andere varianten geport worden. Volgens een gepubliceerde faq komt de processor uit Europa, vindt assemblage van het pcb plaats in China en gebeurt het programmeerwerk en het testen in de VS.

Er zijn verschillende varianten van de Solo-sleutel, zo is de Tap-variant geoptimaliseerd voor gebruik met mobiele apparaten door de aanwezigheid van nfc. Daarbij gaat het om Android-apparaten, omdat de Solo niet op iOS werkt door gebrek aan ondersteuning voor bluetooth. Op Android kunnen gebruikers naast nfc kiezen voor usb. De sleutels zijn te krijgen met een usb-a- of usb-c-aansluiting. Onder de ondersteunde desktopbesturingssystemen zijn Windows, macOS, Linux en Chrome OS. Er is ook een variant van de sleutel die geschikt is voor Googles Advanced Protection-programma voor gevoelige accounts.

De sleutels zijn bedoeld voor tweetrapsauthenticatie. Zo kan een gebruiker bij een ondersteunde dienst instellen dat hij bij het inloggen de sleutel in aanvulling op een wachtwoord moet aanbieden, bijvoorbeeld in plaats van het ontvangen van een sms met een eenmalige code. Zo is het doorgaans alleen nodig om de sleutel in een usb-poort te steken, waarna authenticatie plaatsvindt.

De Solo-sleutels moeten in december geleverd worden. Een normaal exemplaar kost ongeveer 12 euro en een Tap-versie komt uit op 25 euro. Die variant arriveert echter pas in februari. De sleutels zijn daarmee goedkoper dat de exemplaren uit de YubiKey 5-serie van Yubico.

Reacties (51)

[SinergyX]

Vind die redenatie achter iOS best raar eigenlijk, natuurlijk dat iOS deels geslote systeem is, maar hun reactie erop:

We're incredibly sad to share that Solo does NOT work with iOS. Before we detail the reasons, let us tell you that luckily this is NOT a big issue, and here is why.

First, we -the creators- also have iPhones & iPads, and we use Solo with our Google, Facebook, and Github accounts (and more, but these are the "mandatory" to be on the team . How is this possible? Well, especially for mobile apps, you only really need to log in once, then your device is trusted until you get a new phone, but this is relatively rare (once per year, every 2 years maybe?).

All services offer alternative solutions for two-factor authentication, including SMS, time-based or backup codes. In general these solutions are less secure because they don't protect from phishing

Dus je maakt dat ding voor de 'veiligheid', maar iets wat Android dus ook heeft, is op iOS 'not a big issue'? Als je de logica neemt van 'trusted' devices, dan heeft dat hele ding toch op veel apparaten weinig toegevoegde waarde?

we do have iOS devices, we're using Solo, and we feel this is probably NOT an issue for many people.

En hoezo dan precies niet?

What makes FIDO2 special is the strong protection it offers against online attacks. Like other forms of two-factor authentication, FIDO2 reduces reliance on complex passwords, and protects you against account takeover (for example, if your password gets stolen).

Ooh.. omdat wachtwoorden van iOS niet gestolen worden.

[Reactie gewijzigd door SinergyX op 23 juli 2024 14:19]

[BeeJee]

De verklaring waarom het technisch niet mogelijk is staat er vlak onder:

The reason why Solo doesn't work with iOS is that iOS is a closed system, that doesn't allow USB or NFC security keys to interoperate. In fact, none of the other popular security keys work with iOS, except the few that support Bluetooth. Bluetooth, however, is sometimes considered less secure and requires a battery to power it.

Apple, if you read this, we want FIDO2 on iOS! Please open up NFC by allowing writes, so that apps and security keys can implement the FIDO2 standard on iOS.

[ppl]

Een kleine aanvulling daarop: iOS staat wel degelijk het gebruik van de NFC toe maar beperkt dit tot alleen-lezen van NDEF tags. Het toverwoordje is dan ook "interoperate", dat vereist read & write. In de comments wordt daar ook op ingegaan en volgt er ook een veel betere verklaring:

Just to be clear: Lastpass does not support FIDO2 or U2F, only a Yubico specific form of OTP.

Deze key support die Yubico OTP dus niet.

[BStorm]

Zolang Chrome van Alphabet(Goole) de enige browser is waarmee plugable hardware (USB)webauthn wèl werkt heb je hier als privacy-bewuste internetter geen drol aan.

En dan te bedenken dat USB-U2F tòt aan Firefox-'quantum' nog wel werkte. Via een allicht niet betrouwbare plugin, maargoed; nu heb je dus alsnog niks. Of je moet je browser-vendor(/type) gaan spoofen naar de website toe maar dat gaat geheid ook een keer narigheid opleveren.

[Sebazzz]

Tegenwoordig ondersteunt Firefox ook USB webauthn hoor En sinds de laatste Windows 10 update, Microsoft Edge ook.

[ralphm]

En er is ook nog steeds de oude U2F support, maar dat moet je wel zelf aanzetten via about:config met de variabele security.webauth.u2f.

[BStorm]

Van firefox wist ik dat wel, dank je. Edge zou ik sowieso niet aanraken. Voor mij zijn IE en Edge nooit een echt fijne browser geweest. Ik heb een flexibele browser nodig die mij toestaat om bijvoorbeeld bedelende websites gepast het deksel op de neus te geven. (Geen reclame en andere afleiding in mijn face, danku - stelletje parvenu's )

Helaas vereist het in firefox alsnog vaak user agent spoofing om het aan de zijde van de website óók aan de praat te krijgen. En ik vind klooien met plugins om iets essentieels als veilige logins gaande te houden tussen allerlei updates door gewoon niet zo handig.

> Met Mozilla's Quantum werd U2F middels USB al gebroken (moest, nota bene, ook via plugin); 't is dan wachten tot een update/upgrade/feature/whatever ergens ook je user agent vernaggelt. Of websites gaan spoofing blokkeren want wetenschap over jouw agents is essentieel (Tuurlijk zijn er ook gewoon checklists voor alle populaire agents, maar hé waarom keuzes van gebruikers respecteren als het ook anders kan ) - Dan kun je wel opeens niet of niet makkelijk meer in je accounts komen. Nooooo - irritannnnt ! !

Enfin het user agents verhaal is natuurlijk ook een kwestie van adoptie.. mettertijd zal het één en ander gaan werken zoals het moet. Althans, dat hoop ik dan maar, want het idee vind ik fantastisch Gewoon een stuk of tien keys in je bureaukluisje en niks meer onveilig -hoeven- onthouden. Heerlijk!

[Reactie gewijzigd door BStorm op 23 juli 2024 14:19]

[CT]

Edge is niet anders dan Firefox en/of Chrome, je kunt precies dezelfde web-extensions inladen. En als een webextension nog niet beschikbaar is voor Edge heeft MS zelfs een tool om de Chrome extension in 1 klik om te zetten naar Edge. Dus als er 1 browser flexibel is, is het wel Edge...

[BStorm]

Hé, goed om te weten - dank je!

(Ik heb veel MS -en zeker ook Alphabet(Google)- dingen al een lange tijd niet gebruikt. > In principe probeer ik alles FOSS en eventueel LOSS bij elkaar te sprokkelen. En vrij van associaties met troep-bedrijven. En reclame is ook gewoon troep, dus vandaar dat Alphabet uit principe ook wel afvalt al.)

[iLaurens]

Je kan ook Chromium gebruiken, wat geheel open source is

[BStorm]

Dank je.

Ik overwoog UnGoogled Chromium, maar daar lijkt ook het automatisch aanmelden op Tracking-accounts ('Google-accounts') in te zitten bijvoorbeeld. En dat valt ergens wel uit te zetten, maar ik kan er als Chromium-leek niet op vertrouwen dat dat alles is wat erin verkeerd zit. En om nu weer hele lijsten/forums door te akkeren is ook weer zo'n opgave.

Inmiddels ben ik enigszins wegwijs in FF.. Daar houd ik het nog maar even bij denk ik, want mijn tijd (budget) voor dit soort zaken is toch ook wel eindig helaas.

Tegen de tijd dat Windows 7 doodbloed zal ik wel Microsoft dumpen en weer meer fundamenteel (moeten) gaan bijspijkeren op allerlei vlakken.

[ppl]

En dan te bedenken dat USB-U2F tòt aan Firefox-'quantum' nog wel werkte. Via een allicht niet betrouwbare plugin, maargoed; nu heb je dus alsnog niks.

Dat komt omdat het sinds Firefox Quantum in Firefox is ingebouwd (onderdeel van de webauthn integratie) en je die extension daarom ook niet meer nodig hebt. Die extension is overigens prima betrouwbaar, wordt zelfs aangeraden door Mozilla en de broncode kun je ook zelf checken want staat op Github en valt onder de LGPLv2.1. Of je nou de extension of de ingebouwde functie wilt gebruiken is om het even, je zult in about:config zelf de U2F aan moeten zetten.

Of je moet je browser-vendor(/type) gaan spoofen naar de website toe maar dat gaat geheid ook een keer narigheid opleveren.

Dat heeft niets met Firefox te maken maar met de website zelf. Die heeft zichzelf tot specifieke browsers gelimiteerd of gebruikt een eigen implementatie. Dit laatste geldt voor Google diensten en is de reden waarom dat alleen werkt in Chromium browsers (en helaas daar niet in alle, uiteraard wel in Chrome; browser spoofing werkt hier niet). Het is dan ook de vraag in hoeverre deze nieuwe key met Google diensten gaat werken.

Btw, met Bitbucket is het inloggen nog gekker omdat daar deels je Atlassian en deels je Bitbucket account voor wordt gebruikt. Alleen je Bitbucket account is te beveiligen met een U2F token, je Atlassian account komt niet verder dan een TOTP.

[BStorm]

Interessant, Dank.

[Verwijderd]

De meeste yubikeys hebben meer mogelijkheden dan alleen fido 2.0

Een yubikey die alleen fido 2 doet kost 20 dollar. Hoezo duurder ?
https://www.yubico.com/pr...y-by-yubico/#security-key

Schrijven van een veilige fido 2.0 implementatie is geen kattepis, koop dus liever een yubikey voor 20 dollar
https://www.zdnet.com/art...of-new-webauthn-protocol/

[N8w8]

Er staat dat ze goedkoper zijn dan Yubikey 5, die van $20 is geen Yubikey 5 en heeft geen NFC.
Desondanks is €12 (die ook geen NFC heeft) nog altijd minder dan $20.
Ook voor deze zouden er meer functies beschikbaar (kunnen) komen, maar ze beginnen met 1 functie. Lijkt me ook verstandig ivm kickstart doelen, eerst iets simpels maken dat gewoon werkt.
Deze is open source dus is te auditen. Bij Yubikey moet je er maar op vertrouwen dat het veilig is.

[ppl]

Die Yubikey doet alleen maar U2F en FIDO2 en is alleen maar met USB-A beschikbaar. De andere Yubikeys kunnen meer zoals NFC en opengpg. Als je in de comments van het Solo kickstarter project kijkt zie je dat ze opengpg support op de planning hebben staan en ze daarom ook naar de STM chip zijn geswitcht. Of zoals Emanuele Cesena (collaborator) het verwoordt:

The STM lets us have a single chip to develop both usb hid and application(s), vs the previous design that required a separated chip for usb.

Many people asked for additional features like opengpg/ssh, and these require a different usb driver than fido2. With a dual chip solution it'd be harder to provide updates to the usb driver. So we went for the STM to allow easier updates of both drivers and applications that we and the community will add.

In de FAQ staat hierover hetzelfde vermeldt:

How does Solo compare with Yubikey 5?
Yubikey 5 is a popular commercial security key. We differ from them in the following:

1. Designed to be open, transparent design from the start.
2. Support signed firmware updates, that can be contributed to from community
3. USB-C and NFC
4. Colors!
5. Lower cost

Yubico keys, in addition to supporting FIDO2/U2F, also support various OTP protocols and Open PGP. We are planning to add these same functions to Solo in the near future, and because of (2), you can securely update your token from our website when we are ready.

M.a.w. de hardware dient dan ook te vergeleken worden met de Yubikey 5 serie en niet met de Yubikey security key.

Een Yubikey 5 begint bij $45 en daar heb je een USB-A met NFC voor. De vergelijkbare versie van de open source key is dan ook de Solo Tap en die kun je al voor $29 krijgen. Dat is dus $16 goedkoper. Nog een voordeel voor de Solo Tap: hij is er in zowel USB-A als USB-C. Een groot nadeel van de Solo Tap: hij is niet compatible met iOS omdat de U2F standaard vereist dat er gelezen en geschreven kan worden (NFC op iOS is momenteel beperkt tot het alleen kunnen lezen van NDEF tags). De Yubikey 5 is wel compatible met iOS wanneer de betreffende app Yubico's eigen OTP implementatie gebruikt (want alleen lezen). LastPass is een voorbeeld van een app die dat doet. En ook dat staat allemaal weer in de comments van het kickstarter project.

[un1ty]

Ik wordt enigszins enthousiast van het feit dat het gebaseerd wordt rond een processor van ST. Deze processors worden op veel hogescholen en universiteiten rond Europa gebruikt. De libraries die voor deze processoren wordt gebruik is toegankelijk voor iedereen en de IDE (Keil uVision, van arm) is wat ouderwets, maar werkt uitstekend na wat gewenning. Hierdoor kunnen gebruikers ook zelf functies en sensoren toevoegen, helemaal als zelfs het pcb opensource is. ik denk dat ik er zelf ook een ga fabriceren, heb nog een aantal L4 en H7 chips liggen.

[EddoH]

Er is ook een Eclipse based IDE, TrueStudio, welke ik kan aanraden boven de Keil IDE.

[kevinr1]

"Volgens een gepubliceerde faq komt de processor uit Europa, vindt assemblage van het pcb plaats in China en gebeurt het programmeerwerk en het testen in de VS."

De ironie: nieuws: Bloomberg: China brak in bij bedrijven VS met chip op servermoederborden

[Reactie gewijzigd door kevinr1 op 23 juli 2024 14:19]

[Cilph]

Overigens wordt die info van Bloomberg ontkent door Apple en Amazon. Kan net zo goed US propaganda zijn.

[Akufen]

Ik heb heel het Bloomberg artikel vandaag gelezen en het zou me sterk lijken als dit verzonnen is, en ik ben meestal de eerste die aandringt op scepsis met dit soort verhalen.
Ze halen te veel bronnen en gerelateerde ontwikkelingen aan om te veronderstellen dat het propaganda is.
Als dit een zet is voor manipulatie van de markt zou je je ook kunnen afvragen waarom bedrijven het ontkennen, tenslotte moeten we er dan van uit te gaan dat dit naar China gericht is, en niet Apple en Amazon. Maar die laatste twee pakken het dan niet goed aan door de boel te ontkennen. Je zou eerder verwachten dat ze, in het geval van misleiding, de kans grijpen om de productie in de VS te promoten, maar nu komt het over alsof ze dit met tegenzin doen.

[ajow]

9 van de 10 mensen lezen net als ik geen bronnen...
en je kan veel van de waarheid verdraaien als je 1/20ste deel van een bron leest en 19/20ste deel niet leest.

Maar het kan mogelijk best waar zijn, of niet.

[Blokker_1999]

En hoeveel bronnen worden met naam genoemd? Leuk dat je vele anonieme bronnen kunt aanhalen maar besef wel dat daardoor twijfel zal ontstaan aan je verhaal. Zeker bij dit verhaal moet het mogelijk zijn om dit onafhankelijk te laten vaststellen.
En dit artikel kan zowel gericht zijn tegen China als tegen Supermicro.

[ppl]

Hetzelfde aantal als bij ieder andere klokkenluidersartikel: 0. Er bestaat namelijk zoiets als het beschermen van je bronnen. De wereld staat namelijk niet bepaald positief tegenover klokkenluiders. Mensen als Ad Bos en Chelsea Manning kunnen je daar meer over vertellen. Bronbescherming is derhalve dan ook van levensbelang omdat anders nooit verhalen over het onbeschermd werken met Chrome-6 bij o.a Defensie naar buiten zullen komen. Ik hoef hier denk ik niet uit te leggen hoe groot het maatschappelijk belang is bij dit soort zaken.

Helaas is dat ook de reden waarom security tokens zoals die van Yubico en dit kickstarter project belangrijk zijn (het voegt een extra factor aan je account toe, om in te loggen heb je alle factoren nodig). Het feit dat de boel uit verschillende delen van de wereld komt kun je helaas niet veranderen. Dat dit open source is, is een mooie pleister op de wond omdat eenieder (in theorie) de hardware en software door kan lichten. Menig security researcher kan er helemaal los op gaan.

[smooc]

Volgens mij is de reactie van Apple en van Amazon juist ijzersterk. Apple heeft nog nooit in zo sterke bewoordingen ontkent. Amazon zegt ook gewoon dat het bullshit is en dat ze Bloomberg daar op gewezen hebben.

Ik geloof eerder twee tech companies die er een extreem groot belang bij hebben om veilig te zijn dan een journalist die op zoek is naar een leuke scoop en aandacht wil.

[eL_Jay]

Daardoor zou ik juist twijfelen. Wanneer Amazon en Apple bekennen verdampen er ineens tientallen tot honderden miljarden aan marktwaarde. Apple en Amazon is er alles aan gelegen om dit verborgen te houden.

[HooksForFeet]

Apple heeft het zelfs zo sterk en specifiek erkend dat er in hun verklaring voldoende "wiggle room" is voor een scenario waarin een subcontractor van Apple het heeft ontdekt en de FBI heeft ingeschakeld, en technisch gezien niet Apple zelf.

Die twee tech companies hebben er overigens ook een extreem groot belang bij dat de wereld niet weet dat ze een gigantische Chinese achterdeur hebben. Denk daar maar eens over na.

[Verwijderd]

Denk hier eens over na: Je bent Amazon, je bent 1 van de pioniers van cloud-computing, je hebt het concept van cloud-computing bijna uitgevonden bij wijze van spreken, en je bent zowat de marktleider. Je bent bovendien een van de slimste techbedrijven ter wereld.

Denk je nu echt dat zo'n bedrijf, dat als het ontdekt dat zijn infrastructuur een backdoor bevat, gaat zeggen: "We gaan doen dat er niks gebeurd is, en hopelijk komt niemand er achter?". We hebben het hier over de cloud-provider die diensten aanbiedt aan de grootste tech-giganten, aan overheden (GovCloud), en jij gaat er vanuit dat Amazon zo dom dat als ze zoiets zouden verbergen, en het komt nadien uit, niet beseft dat ze hun deuren kunnen sluiten? Zo'n slim bedrijf zou de gevolgen niet kunnen inschatten volgens jou?

Denk daar maar eens beter over na...

PS: Het is niet alleen Amazon en Apple die dit ontkennen, ook onafhankelijke hebben twijfels over de statements van Bloomberg. Vooral omdat het gebaseerd is op uitspraken van anonieme bronnen die niet eens een technische achtergrond hebben. Denk daar ook maar eens over na terwijl je bezig bent...

[ppl]

Denk je nu echt dat zo'n bedrijf, dat als het ontdekt dat zijn infrastructuur een backdoor bevat, gaat zeggen: "We gaan doen dat er niks gebeurd is, en hopelijk komt niemand er achter?".

Ware het niet dat er voorbeelden te over zijn die laten zien dat dit niet een kwestie van "denken" maar van "zeker weten" is. Het is namelijk iets wat wijdverspreid gebeurd omdat het imago dermate belangrijk is dat bijna alles wordt gedaan om dat in stand te houden. Je ziet dit goed terug bij WOB-verzoeken (meestal geweigerd omdat men eigen onkunde probeert te verhullen met als gevolg dat ze hiermee de situatie aanzienlijk erger maken), diverse politici (waarvan het Watergate schandaal dan wel de meest bekendste is), bekende mensen (Asia Argento is een recent voorbeeld: start de MeToo discussie, wordt later zelf beschuldigd van een MeToo'tje, ontkent dat en bevestigt een tijdje later alsnog; dit maakt het hele MeToo verhaal moeilijker te geloven) en ook bij de diverse manieren waarop landen als China en Rusland met zaken omgaan (met name alles glashard ontkennen en mensen monddood maken).

Een kat in het nauw maakt rare sprongen kennen we niet voor niets als gezegde. Laten we hopen dat ze bij Amazon, Apple, etc. niet zo naïef zijn om te denken dat je dingen wel onder de mat kunt schuiven. Feit is namelijk ook dat de kans dat de waarheid naar buiten komt zeer groot is. En ja, dan is met dit soort gedoe ook meteen je hele imago aan gort.

[Verwijderd]

Als je even hoog van de toren komt blazen met een toon van "denk daar maar eens over na", zonder dat je over enige bewijs zit, en heel je argumentatie gebouwd is op insinuaties, dan is het heel moeilijk om jou serieus te nemen. Dat is de snaar die geraakt is ;-)

[jabwd]

Zou niet de eerste keer zijn dat bloomberg bullshit pompt om de stock market te beinvloeden.

[HooksForFeet]

De auteur van dat stuk heeft een prima reputatie op het gebied van tech/securityjournalistiek, dus dat lijkt me in dit geval sterk.

[smooc]

Nope dat hebben zij niet:

https://twitter.com/GossiTheDog/status/1048322164653535232
https://twitter.com/RidT/status/1048349907487264768

[HooksForFeet]

Robertson heeft dat dus wel degelijk. Het verhaal waar die tweet het over heeft is niet eens geschreven door "the same Bloomberg reporters", maar alleen door Michael Riley. Het verhaal over de Chinese chip komt van Michael Riley en Jordan Robertson.

Ik zou me derhalve eens afvragen wat GossiTheDog te winnen heeft bij het incorrect onderuithalen van de claims in het artikel, in plaats van het zomaar door te linken.

[Crazy Harry]

Ach, zo kunnen alle veiligheidsdiensten er even hun ding mee doen. In de processor een backdoor van de EU, in de pcb ergens een extra chipje van de Chinezen, en via software door de VS.
Iedereen tevreden.

[Mathi159]

En als ze dat allemaal weten en eigen tegenmaatregelen nemen heb je uiteindelijk een heel veilig product

[Verwijderd]

Ja, en nog een schepje ironie erbovenop omdat het programmeerwerk in de VS gedaan word. Een beveiligingssleutel met NSA toegang...

[Zjemm]

Ze brengen hem uit met fido2, en daarna komen er meer functionaliteiten, zoals het opslaan van keys e.d.
Dus dan is het net als een yubikey, maar dan wel opensource.

Zijn vorige project liep enorm goed, en nu dus de opvolger. Ik heb er vast twee besteld

[isene]

Ik heb er 1 backed, ben benieuwd vooral aangezien het een goedkoper alternatief is dan een Yubi Key (voor 12 euro een key+verzending) :-)

[Freekers]

Eerst zien, dan geloven. Heel veel overhyped kickstarters halen hun torenhoge doel zonder problemen, maar het daadwerkelijke product leveren is heel andere koek.

[passie2009]

Ik zelf heb al tijden een Yubikey. Echter zit deze vrijwel koos-werk-loos in mijn laptop.
Grootste probleem met Yubico is dat de handleidingen niet kloppen en dat de links in de handleiding 404's geven naar de genoemde tools. (meermaals gemeld bij Yubico)
Ook is de software van Yubico erg complex en voor een normale leek niet te snappen.

Als Solo dit probleem weet op te lossen voorzie ik een grootte toekomst.
Ga dit project dan ook backen en in de gaten houden.

[ppl]

Voor FIDO2 en U2F heb je geen additionele software nodig anders dan een webbrowser die deze standaard ondersteund. De software die Yubico aanbiedt is er dan ook voor alle andere dingen die je met de key kunt doen en betreft met name het kunnen vereisen van de Yubikey wanneer je op je computer inlogged of voor het unlocken van je machine. Dat zijn zaken waar een normale leek zich dan ook niet mee bezig dient te houden en derhalve ook de reden waarom dit bij de Solo absoluut niet anders zal zijn.

[Reactie gewijzigd door ppl op 23 juli 2024 14:19]

[passie2009]

Wat betreft FIDO2 en U2F wist ik dat niet, bedankt.

Je hebt helemaal gelijk dat dit niet voor de normale leek bedoelt is. Echter verkopen ze de Yubikey wel op die manier.
Ik vind dan ook echt dat ze meer tijd zouden moeten steken in of de handleidingen of het versimpelen van de software, zodat dit voor een breder publiek bereikbaar wordt.

[ODF]

Is er ook een Windows applicatie voorhanden?

[DeathMaster]

"Onder de ondersteunde desktopbesturingssystemen zijn Windows, macOS, Linux en Chrome OS."