Yubico brengt nieuwe beveiligingssleutel met USB-C en NFC uit

Yubico kondigt zijn Security Key C NFC aan. Dit is een USB-C-variant van zijn reguliere Security Key, die ook ondersteuning biedt voor NFC. De beveiligingssleutel komt beschikbaar voor 35 euro inclusief btw.

De Yubico Security Key C NFC biedt een soortgelijk ontwerp als de Yubikey 5C NFC, alleen dan in het blauw. De nieuwe sleutel ondersteunt verschillende standaarden, waaronder FIDO2/WebAuthn en U2F. Daarmee kan de sleutel gebruikt worden als extra beveiligingsstap voor Google-accounts en diensten als Facebook, Twitter, en Dropbox.

Door gebruik van NFC en USB-C, kan de Security Key C NFC ook gebruikt worden met smartphones. Anders dan de duurdere Yubikey 5-modellen, ontbreekt echter ondersteuning voor smartcards en otp. Daarmee is het ook niet mogelijk om de Security Key C NFC te gebruiken met de Yubico Authenticator-app; die feature blijft beperkt tot de duurdere Yubikey 5-serie.

De nieuwe Security Key C NFC is via Yubico te koop voor 29 euro zonder btw. Inclusief 21 procent belasting komt dat neer op 35 euro. De USB-A-variant blijft ook beschikbaar en kost ongeveer 30 euro.

Afbeelding: Yubico

Reacties (41)

Het is belachelijk dat Yubikey nog steeds een limiet heeft van 32 TOTP registraties, zeker omdat het aantal WebAuthn registraties oneindig is terwijl veel websites inclusief Tweakers dat nog steeds niet ondersteunen.

Ik vind het ook jammer, maar het is ergens wel logisch. Yubikey is een van de weinige commerciële opties voor fysieke<->digitale beveiliging, maar laat m.i. veel steken vallen. Zo kun je 'm niet in Windows 10 gebruiken zonder hun extra software, en is het voor TOTP niet ideaal omdat iedere website een eigen secret heeft.

Zou heel mooi zijn als er bijv. een iets grotere versie was, zodat je wel een fysiek en dedicated apparaat hebt, maar met een kleine display en de optie om meer (lees: 500, 1000, 2000) TOTP secrets op te slaan, hier uit te kiezen, en ook gewoon fatsoenlijke smartcard functionaliteit die direct op Windows en MacOS werkt zonder extra software.

Versie 5 (met FIDO2) werkt toch gewoon met Windows Hallo zonder extra software?

Nee, volgens de instructies van Yubico zelf niet. Ik heb zelf de 5 NFC, die krijg ik op mijn werk laptop helemaal niet aan de praat omdat de software van Yubico niet werkt op een laptop die in een AD zit, en hoewel hij via Windows Hello wel als smartcard wordt herkend werkt het niet om mee in te loggen.

Gek zeg, staat het wellicht uit op je werk laptop? Of heb je het privé ook dat v5 niet aan je Microsoft account gekoppeld kan worden zonder extra software?

Ik kreeg het privé ook niet aan de praat op Windows 10 zonder extra software, maar daar werkt de software van Yubico wel

https://www.yubico.com/bl...es-to-microsoft-accounts/

Werkt dit niet?
Bij mijn werklaptop werkt het niet omdat de USB poorten alleen een beperkte set vooraf goedgekeurde devices toe staat. Daar zit deze - helaas - niet bij.

[Reactie gewijzigd door djwice op 27 oktober 2021 23:53]

Nee, heb er net 2 ontvangen, maar dat werkt niet met Win10 inloggen/Hello

Een yubikey 5 of een andere versie?
Want deze instructies beweerd dat het wél moet werken met je privé Microsoft account:
https://www.yubico.com/bl...es-to-microsoft-accounts/

de 5, met nfc zelfs. Maar nee, dat lukt me dus niet?

Oplossing; gebruik iets als Bitwarden/Vaultwarden en doe dat op slot met een Yubikey.

Dat biedt eigenlijk geen meerwaarde. De veiligheid van een password manager komt uit encryptie, niet uit authenticatie.

Bitwarden kan ook OTP doen, als je wachtwoorden echter in een passwordmanager opgeslagen zijn en random+uniek zijn voegt dat weinig toe. Als je dan de toegang naar je passwordmanager beveiligd met een fysieke sleutel is de authenticatie naar een dienst toe indirect net zo veilig als ware je bij die dienst een fysieke sleutel zou gebruiken.

TOTP voegt nog steeds wat toe dan, namelijk een tijdsfactor. Als je wachtwoord van een site uitlekt moet men ook je TOTP key achterhalen om in te kunnen loggen.

Je kan volgens mij beter een beveiligingssleutel hebben dan een wachtwoord. Voegt zeker wat toe.

Yubikey is een van de weinige commerciële opties voor fysieke<->digitale beveiliging, maar laat m.i. veel steken vallen

Dat valt toch wel mee? Er zijn redelijk wat alternatieven voor de Yubico hardware. Tweakers heeft er een tijdje terug een paar met elkaar vergeleken
Wat ik ervan begrijp is Yubico niet zozeer de beperkende factor hiervoor, maar Microsoft. Microsoft levert niet de benodigde spullen met het OS mee om een soort genrieke smartcard functionaliteit te ondersteunen zonder derdepartijsoftware. MacOS werkt bijvoorbeeld wel zonder extra software.

Edit:
Het lijkt erop dat recentere versies van Windows (versie 1809 uit oktober 2018) FIDO2-keys ondersteunen:
https://support.microsoft...WindowsVersion=Windows_10

Yubikey is wel met kop en schouders de bekendste (althans. Bij mij en mijn omgeving) maar er is zeker wel wat te kiezen.

Meer TOTP zou misschien een goed idee zijn, maar daar hebben we natuurlijk effectief al andere software voor die je aldanniet met een Yubikey (ofzo) kan beschermen. Maar mocht je toch persé de Yubico-oplossing willen gebruiken, dan moet je alsnog een stuk software op je computer zetten. (en ik denk dan 'Of ik nou tool 1 of 2 op m'n pc moet zetten voor hetzelfde doel')
Een beter idee zou zijn als meer websites is van het hele verplichte concept van een gebruikersnaam en wachtwoord (en eventuele TOTP) af zouden gaan, maar dat vereist blijkbaar flink wat omdenken voor websitebouwers. Allicht dat producten als vBullitin, Discourse (for fora), Wordpress en Joomla voor websites, en al die standaard webwinkelsoftware die er bestaat hier aan bij kunnen dragen als zij die systemen native inbouwen. Als het beschikbaar komt zullen websitemakers het eerder gaan implementeren en zal de rest waarschijnlijk snel(ler) volgen.

[Reactie gewijzigd door lenwar op 28 oktober 2021 00:43]

Edit:
Het lijkt erop dat recentere versies van Windows (versie 1809 uit oktober 2018) FIDO2-keys ondersteunen:
https://support.microsoft...WindowsVersion=Windows_10

Alleen jammer dat ook dit niet werkt bij een (zakelijk) O365/AD-account.

Ik wil overigens natuurlijk zeker niet zeggen dat Yubico het probleem is, maar de andere hardware keys zijn toch allemaal net wat minder en werken ook niet zomaar, en dat bijv. in Windows er zo'n rare onduidelijke splitsing is tussen werk en privé-accounts maakt de situatie niet beter.

FIDO2 is pas een paar jaar echt op komst, dus misschien dat er een tijd komt dat het allemaal wél gewoon werkt, maar voor nu is mijn enige optie op mijn werk laptop om gewoon met een tooltje de muis te blijven bewegen zodat ik niet iedere keer als ik thuis even wat drinken pak weer opnieuw moet inloggen.

Dat het niet werkt op een zakelijk account zonder extra software lijkt mij toch meer met policies e.d. te maken hebben toch?

Mij lijkt overigens dat je op zakelijke omgevingen dat je niet wilt dat je gebruikers dit zelf regelen, zonder controle van systeembeheer, bedoel ik dan dus.

Ik wil af van sms als inlog-optie, kan met een app maar yubikey gaat mogelijk vlotter.

Voor de duidelijkheid, deze Security Key ondersteunt sowieso geen TOTP, dit is echt de meest simpele versie. Niets mis mee overigens, ik gebruik deze zelf ook (de USB-A versie) omdat WebAuthn/FIDO2 voor mij perfect werkt en ik geen TOTP nodig heb op de key.

Voor de duidelijkheid, deze Security Key ondersteunt sowieso geen TOTP

https://www.yubico.com/nl/product/yubikey-5c-nfc/

Support for WebAuthn, FIDO2, FIDO U2F, smart card (PIV), Yubico OTP, OpenPGP, OATH-TOTP, OATH-HOTP, and Challenge-Response

Dat is niet hetzelfde?

Edit: laat maar weer, het gaat hier niet om de Yubikey 5C NFC, te weinig koffie op vandaag

[Reactie gewijzigd door Sfynx op 28 oktober 2021 15:34]

Dat is de Yubikey 5 (die dat inderdaad wel heeft), niet deze "Security Key" lijn

[Reactie gewijzigd door user109731 op 28 oktober 2021 15:33]

Je hebt gelijk! Ik ben in verwarring met hun "aankondiging" laatst op Twitter waarbij ze het een en andere hintte.

Deze security key kan ook geen certificaten laden of OpenGPG ondersteunen wat ik bijvoorbeeld voor ssh authentication en het signed van mijn commits in git gebruik. Dat maakt deze sleutel behoorlijk beperkt.

Voor SSH authenticatie kan je ook het FIDO2 protocol gebruiken. Dit is het protocol dat door de Yubikey Security Key wordt gebruikt. Zie bijvoorbeeld de aankondiging van GitHub: https://github.blog/2021-...orted-ssh-git-operations/.

Daarnaast is er sinds enkele dagen ondersteuning om git commits met een SSH key ondertekenen. Binnenkort is daar geen aparte GPG sleutel meer voor nodig. Of security keys ook gelijk ondersteund worden weet ik helaas niet. Maar wie weet... https://github.com/git/git/pull/1041

Reden is denk ik simpel hoeveel mensen hebben zo’n key? En hoeveel mensen hebben wel een smartphone met bv Google Authenticator?

Dan komt stukje techniek er nog bij webauthn vergt wat meer dan een TOTP implementatie.

Voor Google en MS die ook heb bedrijfsleven ondersteunen is het dan velenmalen eenvoudiger om het te implementeren gezien bedrijfsdata daar ook staat tov tweakers dat een community driven omgeving is waar niet zo veel bedrijfs data aan de gebruikers serveert.

Waar Google en MS een voeding dan ook webauthn kan doorstoten naar andere applicaties die ze ook aan de normale gebruiker aanbieden. Voor de mensen die dit wel willen gebruiken.

Je kan ook beide implementeren. Kijk bv naar github, die ondersteunen ongeveer elke vorm van tweetrapsauthenticatie die er bestaat.

Dat zal zijn omdat beveiligde opslag duur is: bij TOTP moet per code een secret opgeslagen worden.
Bij WebAuthn staat op de sleutel een master secret die voor alle sites gebruikt kan worden.

Omdat ik te lui ben om het zelf uit te zoeken, werkt deze als 2FA voor bitwarden?

[Reactie gewijzigd door K0L3N op 28 oktober 2021 00:26]

Ja, maar niet met alle apps.
(https://bitwarden.com/hel...etup-two-step-login-fido/)

Thanks, lijkt er op dat hij wel werkt met alle officiële apps, mits je premium hebt.

Ja

Thanks!

Waarom nou de prijs ex btw als lokkertje in de titel gebruiken?

Omdat ik pas na het schrijven van de titel opmerkte dat de genoemde prijs van '29 euro' excl. btw was, en dat vervolgens vergat te veranderen - is inmiddels weg

Lokkertje naar bedrijven? die weerleggen de btw.
En volgens mij zijn erin het bedrijfsleven de meeste data leks

data leks

datalekken

Omdat het erg interessant is voor bedrijven, zeker die waar werknemers geen telefoon van de zaak hebben. Bedrijven kijken dan veelal weer juist naar exclusief BTW.

Ter vervanging van je toegangspas en je MFA token: op je Windows laptop, Office365, bedrijfsnetwerk en je bedrijfspand en fysieke werkplek.
Zo heb je fysiek als digitaal dezelfde key in gebruik, wel zo makkelijk.

Je zou zelfs je flex plek bureau er automatisch mee op de goede hoogte mee kunnen zetten. En je betaling in het bedrijfsrestaurant kunnen valideren waarna het gewoon ingehouden wordt op je loon. Geen pinpas of telefoon meer nodig.

[Reactie gewijzigd door djwice op 27 oktober 2021 23:46]

Ik had dit al eens eerder gepost, maar geen reactie op gekregen :-S
Wat vinden jullie hiervan: https://www.digi-id.io/
(bekijk vooral het simplistische filmpje ook even)

Authenticatie zonder username/password, maar simpel door een QR code te scannen met je eigen DigiByte (BlockChain technologie) wallet.

Deze technologie is reeds geïmplementeerd in een oplossing genaamd AntumID MyDigiPassword
Zie: https://www.antum.be/

Meer informatie over de DigiByte blockchain: https://digibyte.org/

Wat als je yubico key kwijt raakt? Geen alternatieve manieren meer om weer in te loggen?

Ik gebruik sinds een tijd de reiner sct authenticator.
pricewatch: Reiner SCT Authenticator