Yubico brengt beveiligingssleutel YubiKey Bio met vingerafdruklezer uit

Yubico heeft de YubiKey Bio series uitgebracht, de eerste fysieke beveiligingssleutel van het merk met biometrische authenticatie via vingerafdruklezer. De sleutel komt in USB-A- en USB-C-versie en ondersteunt het FIDO- en FIDO2-protocol. De sleutels kosten 80 of 85 euro.

De YubiKey Bio heeft een vingerafdruklezer, waardoor het niet meer nodig is om een wachtwoord in te stellen voor de sleutel. De sleutel maakt volledig wachtwoordloos inloggen mogelijk, schrijft het merk. De YubiKey Bio werd voor het eerst getoond in 2019 en officieel aangekondigd in 2020. Nu is de sleutel te koop. Er is een versie voor USB-C en USB-A. Het verschil tussen de twee is de prijs. De USB-A-versie kost 80 euro, de USB-C-versie 85 euro.

De sleutel, die voornamelijk gebruikt wordt voor multifactorauthenticatie, werkt met alle desktop-based FIDO-ondersteunde diensten en applicaties en het FIDO2- en WebAuthn-protocol. De sleutel werkt onder meer met Microsoft, Google, de meeste wachtwoordmanagers, de meeste socialemediadiensten, en een hele lijst met andere diensten. De sleutel werkt volgens Yubico zeker met Google Chrome en elke FIDO-compliant applicatie op Windows, Mac OS, Linux en met applicaties die FIDO en FIDO2 ondersteunen via Chrome, Firefox of Microsoft Edge. De YubiKey Bio werkt niet met Lastpass.

Om de vingerafdruklezer zo veilig mogelijk te maken zijn de sleutels voorzien van drie chips, waarbij de biometrische gegevens op een apart, beveiligd element opgeslagen zijn om zo beter te beschermen tegen fysieke aanvallen. Vingerafdrukken kunnen toegevoegd worden en verwijderd met de Yubico Authenticator for Desktop-app. Templates van vingerafdrukken worden afgeleid van vingerafdrukken opgeslagen op de sleutel en vingerafdrukken verlaten nooit de fysieke sleutel en worden niet elders opgeslagen.

De sleutel heeft geen batterij, is waterdicht en 'crush resistant'. De sleutel ondersteunt WebAuthn, FIDO2 CTAP1, FIDO2 CTAP2 en U2F. De sleutel heeft in tegenstelling tot de 5-Series geen ondersteuning voor NFC, waardoor gebruikers die de key voornamelijk gebruiken met hun telefoon rekening moeten houden met dat ze de USB-C-versie kopen. Yubico schrijft dat door deze beperking de Bio Series niet een sleutel is voor iedereen. Yubico heeft een quiz online gezet om te bepalen welke sleutel het best voor elke gebruiker werkt.

Reacties (48)

Oooh eindelijk. De eerste keer dat ze deze aankondigden was 2 jaar geleden zoals ook in het artikel staat.

Wel heel jammer met de beperking op NFC. Ik snap dat NFC niet genoeg stroom voorziet om de vingerafdruksensor te laten werken, duidelijk. Maar de vingerafdruk zou een alternatief kunnen zijn voor de pincode (waardoor je op mobiel dus de pincode gebruikt in plaats van vingerafdruk).

Voor mij is NFC onmisbaar, ik gebruik hem dagelijks op mijn telefoon op die manier. En bovendien mis ik ook de OpenPGP en PIV standaarden die ik allebei gebruik op mijn Yubikey 5 (ook via USB en NFC). Het is wel een tegenvaller dat deze niet ondersteund worden. Zeker gezien de behoorlijk hoge prijs.

Zowel mijn wachtwoordmanager als mijn SSH toegang gebruikt OpenPGP dus daar kan ik absoluut niet zonder. SSH kan tegenwoordig ook via Webauthn/Fido2 maar alleen met hele moderne server versies en niet alles waar ik op inlog kan dat (sommige routers / wifi accespsoints bijvoorbeeld). Dus voorlopig blijf ik maar bij de 5...

[Reactie gewijzigd door GekkePrutser op 5 oktober 2021 16:59]

Geen NFC is inderdaad lastig, maar geen OpenPGP is een show-stopper.
Bedankt voor deze waarschuwing dan weet ik dat ik deze Yubikey niet hoef te kopen.

Ook ik geeft de voorkeur voor Fido voor SSH maar dat werkt helaas nog niet overal.

Volgens mij (al heb ik het niet uitgezocht) kan je met Fido over SSH ook niet forwarden. Dit is wel een belangrijk punt voor mij omdat ik vaak door een SSH box heen log naar een andere. Bovendien gebruik ik het voor sudo authenticatie. Dit in combinatie met de "touch to sign" functie van de Yubikey, waarbij je hem moet aanraken om hem te gebruiken. Zodat je niet het gevaar hebt van een unlocked SSH agent die door malware gebruikt kan worden.

Volgens mij (al heb ik het niet uitgezocht) kan je met Fido over SSH ook niet forwarden.

Kan wel, geen probleem, ik doe het dagelijks.

Dit is wel een belangrijk punt voor mij omdat ik vaak door een SSH box heen log naar een andere.

Ik ga momenteel door 2 jumphosts heen.

Bovendien gebruik ik het voor sudo authenticatie.

Remote of lokaal? Lokaal doe ik ook, remote lijkt me lastig.

Okee, ik wist niet dat dat forwarden kon. Ik heb de Fido toegang een keer geprobeerd maar nooit 'in produktie' genomen omdat de helft toch niet kon, en ik het wel handig vind om overal hetzelfde te gebruiken. Hoe werkt dit dan? Ook met een SSH agent? Of is er een ander protocol voor? Ik had het net al even gegoogled maar het niet gevonden.

Maar ja ik doe dat remote. Via de agent forwarding. http://manpages.ubuntu.co...pam_ssh_agent_auth.8.html

Als je met Fido kan forwarden, moet dit ook wel kunnen denk ik.

[Reactie gewijzigd door GekkePrutser op 5 oktober 2021 17:29]

Oh, die is mooi, tnx, dit ontbrak nog een beetje in mijn gereedschapskist.
Volgens mij kan ik daarmee alles in een SSH-sessie doen wat ik lokaal kan doen met m'n token.

Daarna ga ik nog een keer opnieuw kijken naar PGP. Momenteel forward ik m'n pgp-agent over ssh zodat ik mijn lokale yubikey kan gebruiken, maar ik gebruik dat systeem niet alleen remote. Remote is vooral voor de lockdown, normaal zit ik achter die PC. En dan moet mijn agent dus niet worden geforward naar mijn PC die thuis staat. Daarvoor moet ik nu iedere keer handmatige actie ondernemen en dat is niet echt ideaal.

Ik snap niet helemaal hoe NCF word gebruikt in relatie tot de yubikey. Kan iemand af uitleggen? Waarom is NFC handig?

Om met je mobiele telefoon te communiceren.
Zodat je met je telefoon veilig kan inloggen op websites enzo met behulp van je hardware token.
Bij een vaste computer steek je het ding in een USB-poort. Bij een mobiel device is NFC makkelijker.

Ik zit juist te kijken naar de Nitrokey 3C NFC of de OnlyKey Duo (zonder NFC). Is NFC eigenlijk wel zo veilig met een securitykey? OnlyKey wil juist vanwege die veiligheid geen NFC ondersteunen. Maar zowel Yubi en Nitro ondersteunen dit wel.

Ik ken hun redenen niet, maar alles is een compromis. Ik kan me voorstellen dat ze het draadloze aspect gevaarlijk vinden of anders het NFC-protocol zelf. Daar ben ik niet blind voor maar ik maak een andere afweging.
Voor mij is de belangrijkste afweging dat ik via NFC de token eenvoudig op mijn telefoon kan gebruiken.
Je kan ook de USB-C poort gebruiken maar dat is langzaam zo'n uitstekende yubikey is maar onhandig. Zeker als je dan ook nog op het knopje moet drukken. En al helemaal als je yubikey aan een zware sleutelbos zit die dan onder je telefoon bungelt. En zo'n yubikey ergens aan vast maken is wel een goed idee als je hem in computers gaat steken anders ben je ze zo ergens vergeten.
Het bereik van NFC is vrij klein. Dat is vooral een probleem bij bedreigingen in je directe omgeving. 99% van de dreiging komt via internet en van ver weg.
In theorie zou iemand mijn telefoon kunnen hacken en dan via NFC contact zoeken met mijn yubikey als die toevallig een keer binnen 1cm van mijn telefoon is, de pincode gokken en mij kunnen social engineeren om op het knopje te drukken maar dat gaat wel heel ver. Alleen al de afstand is eigenlijk onoverkoombaar zolang je telefoon en yubikey niet in dezelfde broekzak zitten. Misschien dat je nog ergens komt met een enorme richtantenne.

Als je zover wil gaan zijn er waarschijnlijk eenvoudigere manieren om bij de data te komen. En als dat niet werkt komt er waarschijnlijk een zware jongen op bezoek om mij te slaan tot ik ze geef wat ze willen.

Wat houdt je tegen je Yubikey 5 te blijven gebruiken naast de Bio? De aankoop zou je al moeten doen en voor de dingen die werken heb je dan de extra beveiloigingslaag.

Goed punt op zich maar Fido is juist hetgene dat ik veruit het minst gebruik. Er zijn maar weinig sites die het ondersteunen en al helemaal in passwordless mode.

Bij de sites die ik gebruik is het eigenlijk alleen Office 365 die het ondersteunt. En alleen mijn prive tenant, die van mijn werk niet eens (daar hebben ze het niet toegestaan).

De andere protocollen gebruik ik veel meer.

Nee hoor, ook niet moderne versies. Dan gebruik je SSH met PAM (pam-u2f). PAM is wel tricky geef ik toe. Ik gebruik het al vele jaren, SSH liep via Tor (inmiddels WireGuard).

Wellicht goed om te vermelden dat de genoemde prijzen exclusief BTW zijn, voor consumenten komt daar dus nog 21% bovenop.

Ik zou zo graag een Yubikey willen gebruiken, maar heb nooit een relevante toepassing kunnen vinden. Voor TOTP niet echt interessant omdat je vaak heel veel TOTP-accounts hebt met losse secrets, en voor FIDO2 werkt het gewoon niet goed.

Op mijn werk laptop (Windows 10) kan ik mijn Yubikey 5 niet gebruiken omdat deze laptop in AD zit en de Yubikey geen Windows Hello ondersteunt (alleen een aangepast login scherm ofzo?). Op mijn Mac Mini werkt het al helemaal niet, daar zou hij een PIN input moeten laten zien in plaats van wachtwoord maar dat doet hij niet eens.

Enkele jaren geleden ook al eens een eerdere versie van de Yubikey geprobeerd, maar precies dezelfde ervaring. In theorie is het een geweldig idee dat je gewoon fysieke toegang tot je apparaten beheert mbv een sleutelhanger, dat als je op kantoor even koffie gaat halen en 'm eruit trekt hij netjes op slot gaat en wanneer je terug komt je alleen de sleutel terug erin hoeft te steken en 'm aan hoeft te raken om weer in te loggen, maar in de praktijk is niets minder waar.

Erg jammer, zeker voor hoe duur ze zijn.

Yubikeys kunnen ook helemaal geen TOTP omdat ze 'time' component missen. Er izt geen accu in om een realtime clock mee te laten lopen.

Ze kunnen wel HOTP. HOTP geeft elke keer een andere code, maar dit heeft een belangrijke zwakte, namelijk dat je deze kan 'leegmelken' voor codes, die pas geinvalideerd worden als je doelwit zelf weer een keer inlogt.

TOTP werkt prima.

Wat ze doen is de key heeft alleen de secrets. En bv je telefoon met nfc houd de tijd bij samen met de yubico app kan je op die manier TOTP codes genereren.

Ah okee met een extra app vandaar. Dat wist ik niet want ik heb een andere oplossing voor OTP.

Maar de tokens hebben zelf ook een HOTP mode (zonder tijd), die je kan gebruiken zonder enige app. De code voert hij dan als 'virtueel toetsenbord' in. Die kan je op 1 van de twee traditionele Yubikey sloten instellen. Daar doelde ik op.

Met een extra app vind ik het niet zo handig, ik gebruik liever de token op zichzelf staand.

https://www.yubico.com/resources/glossary/oath-totp/

Wat is dit dan? Ze beweren toch echt TOTP te kunnen

TOTP kan prima, door de Windows/Android/iOS app te gebruiken. Let wel op dat er een limiet van 32 entries is.

Waarom moet ik nu aan Top Of The Pops denken?

Ik zou zo graag een Yubikey willen gebruiken, maar heb nooit een relevante toepassing kunnen vinden. Voor TOTP niet echt interessant omdat je vaak heel veel TOTP-accounts hebt met losse secrets, en voor FIDO2 werkt het gewoon niet goed.

Even lomp gezegd: je doet het verkeerd. Ik weet niet waar het fout gaat, maar wat je wil kan gewoon. Dat van die "losse secrets" snap ik niet. Ik denk dat je probeert alles op de yubikey op te slaan en dat werkt inderdaad niet want je hebt een apart stuk software nodig om de OTP secrets te bewaren. Yubikey zorgt alleen voor de ontgrendeling. Yubikey zelf heeft een OTP-manager en er zijn ook losse OTP-managers met ondersteuning voor een van de yubikey protocollen. Ik gebruik het dagelijks.

Ik neem aan dat je ook nog een password manager hebt. Die zou je eigenlijk ook met je yubikey moeten beveiligen.

PS. Denk even goed na over backup en recovery. Wat doe je als je yubikey stuk gaat of in de put valt?

[Reactie gewijzigd door CAPSLOCK2000 op 5 oktober 2021 16:56]

Het enige dat ik wil is mijn Yubikey als fysieke sleutel gebruiken voor mijn laptop en Mac Mini, dus op zowel Windows als MacOS. Dat laatste is geen must, maar vanuit de werkgever is op mijn laptop bijv. de vingerafdrukscanner uitgeschakeld. Windows Hello kan wel gewoon, maar Yubico geeft zelf aan dat een AD-account niet ondersteund wordt.

Daarnaast marketen ze dat ze Windows Hello-compatible zijn, maar dat is gewoon niet het geval. Ze hebben een eigen stukje software voor authenticatie (Yubico Login for Windows). Ik wil gewoon mijn key als smartcard kunnen gebruiken, niet meer of minder.

Ik heb het wel eens ingericht (Yubikeys met Azure AD). Hiervoor moet wel het een en ander geconfigureerd worden zoals passwordless sign-in:
https://docs.microsoft.co...thentication-passwordless

Echter, je moet gebruiken wat het beste en handigste is. Je kunt meerdere opties configureren onder jouw account. Gebruik bijvoorbeeld Windows Hello voor Windows en de Yubikey voor MacOS. Dat doe ik ook.

Als er iets aan de AD-kant ingericht moet worden dan kan ik het helaas wel vergeten, systeembeheer heeft geen interesse in het makkelijker of veiliger maken van de omgeving. Zo vroeg ik bijv. ook of ik SIP-gegevens kon krijgen voor mijn vaste nummer (extensie?) binnen de kantooromgeving zodat ik deze op mijn Yealink telefoon thuis kon gebruiken, antwoord daarop was 'waarom? daar heb je toch niks aan?'. Toen ik vroeg over het intypen van lange wachtwoorden en evt. alternatieve authenticatie was het antwoord dat we dan maar een kort en makkelijk wachtwoord moesten gebruiken.

Windows Hello heeft op mijn laptop alleen smartcard en dat je op een foto moet klikken beschikbaar, maar dat laatste blijkt ook niet super te werken als je verschillende beeldschermen gebruikt (kleine 1080p op kantoor, ultrawide thuis) en smartcard werkt dus niet met mijn Yubikey.

Ik wil juist graag mijn Yubikey op kantoor gebruiken. Hier thuis heb ik een tooltje draaien dat gewoon de muis wiebelt zodat de screensaver niet activeert en log ik uiterlijk eens in de week in, maar op kantoor lock ik 'm als ik even wegloop.

Wanneer het weer zover is ga ik toch eens lijken of ik niet gewoon een (evt. lagere specs) macbook kan krijgen, ook daar zullen ze wel wat afgesloten hebben maar daar is het niet bij voorbaad al onmogelijk.

Ik weet niet of je een CISO hebt? Dan zou ik met hem eens doornemen. Je wil veiliger werken maar systeembeheer staat daarbij in de weg, zo hoort het niet.

Anders rest je niets anders dan wachten tot Microsoft het voor iedereen activeert. Passwordless is nu al de standaard voor consumenten en ik verwacht dat ze daarna bezig gaan om het standaard te maken aan de business zijde.

Ik heb het prima werkend op twee laptops met macOS. Ik weet ook zeker dat het op Mac Mini werkt. Ze hebben prima documentatie er voor. Wat je ook kunt doen is deel van het wachtwoord op YubiKey, deel in je hoofd, en dat tweede deel laten verschillen per device. Te sniffen als een aanvaller root heeft, maar de hashes heb je niets aan.

Windows Hello heb je een Microsoft account voor nodig.

Verder vind ik vingerafdrukscanner niet heel boeiend (wel gebruikersvriendelijk). Je kunt door overheden gedwongen worden deze te gebruiken. Maar, misschien nog wel gevaarlijker: ook door een crimineel. En je vingerafdrukken laat je overal achter.

@GekkePrutser YubiKey kun je wel degelijk configureren als TOTP.

Het gaat mij puur om het stukje gemak zonder dat ik m'n laptop helemaal open heb staan. Op mijn werk laptop staat niks persoonlijks en ik ben geen high value target voor criminelen. Mijn Mac Mini zou het ook wel leuk zijn, maar die vind ik veel minder belangrijk.

Mijn werk laptop mag ik niet open laten staan als ik er zelf niet bij ben, maar er is geen policy over welke authenticatie je mag gebruiken, ze hebben alleen vingerafdruk en de Windows Hello webcam optie uitgeschakeld (maar ook dit staat nergens beschreven oid). Wat mij betreft veel veiliger om de drempel voor het (un)locken lager te maken met iets dat ik fysiek meeneem als ik naar de WC ga of koffie ga halen dan dat ik mijn wachtwoord zo makkelijk maak dat iemand het over m'n schouder af kan lezen en makkelijk kan onthouden om daarna in te typen als ik weg ben. Collega's doen dat in principe niet, maar als ik bijv. bij een klant zou zitten waar de fysieke beveiliging in orde is maar ik niet iedereen persoonlijk ken is het al snel een ander verhaal.

Dan werkt de optie van key instellen om wachtwoord uit te spugen (met er voor het eerste deel wachtwoord uit je hoofd) goed genoeg. Dat kan ook met goedkope/oude YubiKeys of zelfs andere veel goedkopere merken.

Camera's bij een klant lijkt me ook tricky.

Azure AD heeft een functie(policy/configuratiemogelijk) genaamd Web Sign-in. Windows hello is niet geschikt voor dit soort uitbreidingen. Helaas is Web-Sign-in nog(al jaren) "preview", wat de reden is dat men er nog niet aan wil(en/of omdat men windows hello wil gebruiken omdat microsoft dat nu eenmaal ook wil).

Maar Web Sign-in werkt eigenlijk gewoon prima. Je krijgt dan gewoon een soort van browser pop-up die je in staat stelt om alles wat je ook online kan gebruiken om in te loggen ook op de Windows device kan gebruiken. Op Windows 11 is het trouwens meer geïntegreerd(in het login scherm) heb ik 10 minuten geleden gezien in m'n testomgeving.

Laat Windows 11 nou net dat inlog probleem opgelost hebben.

Weet iemand of je 2 yubikeys kunt instellen (Outlook, Gmail,...)? Ik zou graag een back-up yubikey achter de hand hebben. Indien er 1 kapot gaat of verloren gaat.

Twee Yubikeys hebben is niet iets dat je wilt, dat is iets dat moet. Precies om de reden die je aanhaalt. Één als backup die je thuis in een kluis weg legt en de ander die je meeneemt.

V.w.b. of twee YubiKeys kan: dat ligt aan hetgeen waarmee je hem wilt gebruiken. Bij Google kun je er meerdere toevoegen, Outlook durf ik niet te zeggen.

Ligt eraan waar je hem voor gebruikt, als je hem als 2FA gebruikt, kun je prima voldoen met 1 yubikey. Veel accounts hebben namelijk backup codes voor als je 2FA tool er niet meer is. Deze backup codes zou je kunnen gebruiken als je yubikey dood of kwijt is.

Backup codes zijn natuurlijk weer onveiliger (hoe / waar ga je ze opslaan? Fysiek of digitaal, hoe beveilig je het?) En ze zijn ook niet overal verplicht. Bv GitHub raad aan om ze op te slaan, maar je kunt net zo makkelijk twee webauthn apparaten instellen.

Het kan

technisch gezien is er geen reden waarom het niet zou kunnen, maar je moet wel hopen dat de site het ook toestaat. Google laat je bijvoorbeeld zoveel keys registreren als je wil, maar kraken staat maximaal één key toe.

Weet iemand of het ook mogelijk is om zowel vingerafdruk als wachtwoord te vereisen? Dat zou voor mij persoonlijk een reden zijn om dit product aan te schaffen.

Volgens mij is dit product juist voor alles waar je met multi factor authenticatie moet inloggen waarbij deze key 1 van de factoren is. Met de andere/oudere yubikeys is het alleen het bezit van de key die de toegang geeft. Met de vingerafdruk is het zowel het bezit als de vingerafdruk.

Het is aan de zaak waarbij je met deze yubikey wilt inloggen om andere zaken ook te eisen, zoals het wachtwoord, een pincode of een andere/extra security-chip.

Bij de gewone YubiKey kun je ook een pincode instellen. Ik heb me laatst wat meer ingelezen in Webauthn en een website kan ook vereisen dat de gebruiker zich bij de key authenticeert. In dat geval is de YubiKey dus al 2FA opzichzelf. Immers worden dan de factoren bezit (van de key) en kennis (van de pincode van de key) gecontroleerd. Waarbij bij deze Bio de factor kennis is vervangen door "wat je bent".

Das mooi, heb bijna al hun producten en het werkt altijd en overal, dus deze gaak ook bestellen.

En ze kosten dus geen 80 en 85 euro. Er komt namelijk vat bovenop

[Reactie gewijzigd door Yzord op 5 oktober 2021 16:41]

Hier heet dat BTW

Die quiz is wel een aanrader. Twijfel al lange tijd, maar leek me toch onhandig als je zowel pc als telefoon wil authenticeren. Er blijken echter prima oplossingen te bestaan hiervoor.

De YubiKey Bio werkt niet met Lastpass.

huh? Is dat exclusief ergens vermeld, of werkt het nóg niet? Ik zou verwachten van wel..

Gevonden: Staat uitdrukkelijk vermeld op site fabrikant, zonder verdere uitleg over het hoe en waarom en of het nog komt.

[Reactie gewijzigd door JayPe op 5 oktober 2021 20:55]

Met dat dit een vingerafdruksensor bevat. Kan deze sensor ook gebruikt worden voor Windows Hello?
Of is ze niet 'ontsloten' voor gebruik als vingerafdruksensor?

Verdomd mooi spul. Hopelijk wordt het iets betaalbaarder op termijn, hoe meer mensen goed beveiligd zijn hoe beter