• IT-Karriere:
  • Services:

Zweiter Faktor auf Knopfdruck

Alle vier Fido-Sticks im Test können als universeller zweiter Faktor (U2F) eingesetzt werden. Im Unterschied zu Codes, die per SMS zugestellt und abgetippt werden müssen, kommt bei den Sticks Public-Key-Kryptographie zum Einsatz. Ähnlich wie bei der E-Mail-Verschlüsselung mit PGP werden öffentliche und private Schlüssel generiert. Der öffentliche Schlüssel wird zwischen Nutzer und Webdienst ausgetauscht. Will sich der Nutzer einloggen, schickt der Dienst eine Challenge an ihn. Mit dieser beweist der Nutzer, dass er im Besitz des privaten Schlüssels ist - ohne dass der private Schlüssel das Gerät verlässt. Das Ergebnis schickt er an den Dienst, der es mit dem öffentlichen Schlüssel des Nutzers überprüfen kann.

Stellenmarkt
  1. DATEXT iT-Beratung GmbH, Großraum Franken, Würzburg, Aschaffenburg, München
  2. EnBW Energie Baden-Württemberg AG, Karlsruhe

Von der Kryptographie bekommen wir im Test jedoch nichts mit. Wir hinterlegen den Security Key in einem testweise eingerichteten Google-Konto, klicken uns durch die Menüs, drücken auf die Taste unseres Security Keys und geben ihm einen Namen. Das Prozedere wiederholen wir mit allen vier Security Keys. Anschließend können wir uns mit Benutzernamen, Passwort und einem Druck auf die Taste eines unserer vier Sticks anmelden. Der zweite Faktor wird sicher übertragen und lässt sich im Unterschied zu SMS oder per Smartphone generiertem Token nicht abfangen oder phishen. Im Test klappt das mit allen vier Sticks hervorragend.

Außer Google unterstützen auch Facebook, Twitter, Dropbox, Github und Gitlab U2F, auch in der eigenen Nextcloud kann ein Security Key per Plugin verwendet werden. Sowohl Yubico als auch Nitrokey bieten eine Übersicht der Anbieter, die U2F unterstützen. Bei kleineren Anbietern ist die Unterstützung derzeit gering.

  • Die Solokeys gibt es als USB-A- und USB-C-Sticks. Eine NFC-Variante soll bald folgen. (Bild: Martin Wolf/Golem.de)
  • Die Silikonhüllen der Solokeys lassen sich austauschen - mehrere Keys lassen sich so gut auseinanderhalten. (Bild: Martin Wolf/Golem.de)
  • Der Nitrokey hat als einziger einen vollwertigen USB-A-Stecker und eine Schutzkappe. (Bild: Martin Wolf/Golem.de)
  • Der Security Key von Yubico: dünn, aber dennoch stabil (Bild: Martin Wolf/Golem.de)
  • Der Titan aus dem Hause Google kommt gleich im Doppelpack. (Bild: Martin Wolf/Golem.de)
  • Die aufwendigste Verpackung mit Lade- und Adapterkabel hat der Titan Security Key. (Bild: Martin Wolf/Golem.de)
Die Solokeys gibt es als USB-A- und USB-C-Sticks. Eine NFC-Variante soll bald folgen. (Bild: Martin Wolf/Golem.de)

Neben den Anbietern muss auch der Browser U2F unterstützen. Chrome/Chromium und Microsoft Edge können direkt verwendet werden. Auch Firefox unterstützt U2F, allerdings muss die Unterstützung zuerst aktiviert werden. Hierzu tippt der Nutzer about:config in die URL-Leiste und sucht dort nach der Option security.webauth.u2f und setzt diese auf true. Die Security Keys lassen sich bei Google zwar zur Anmeldung verwenden, hinterlegen kann ein Nutzer sie jedoch über Firefox nicht. Auch in Edge lassen sich die Keys bei manchen Diensten nicht hinterlegen. Apple arbeitet noch an der Unterstützung durch seinen Browser Safari.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
  2. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Unter Linux müssen für die Security Keys zum Teil Udev-Regeln hinterlegt werden, damit die Sticks auch erkannt und damit verwendet werden können. Im Test funktioniert der Stick von Yubico sowie der Titan problemlos unter Ubuntu 18.04. Für den Nitrokey und die Solokeys müssen Udev-Regeln gesetzt werden. Nitrokey weist auf der Installationsseite auf die Udev-Regeln hin, Solokeys bieten eine Anleitung, auf die in den FAQ verwiesen wird.

Neben U2F unterstützen mehrere getestete Security Keys auch den neuen Webauthn-Standard, der erst kürzlich vom World Wide Web Consortium (W3C) verabschiedet wurde. Mit ihm sollen Passwörter ganz der Vergangenheit angehören.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Fido-Sticks im Test: Endlich schlechte PasswörterWebauthn - der Standard für passwortloses Anmelden 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6.  


Anzeige
Top-Angebote
  1. (u. a. LG 65UN71006LB 65 Zoll LCD + Magic Remote für 616€, Huawei P30 Lite E Smartphone 64GB...
  2. (u. a. Crusader Kings 3 für 35,99€, Elite Dangerous für 5,99€, Dead Island - Definitive...
  3. 3.999€ (statt 4.699€)
  4. 74,99€ (Bestpreis)

Truster 18. Mär 2019

du musst ja nicht den Google Authenticator nehmen. Es gibt genug freie Varianten. Ich...

nille02 17. Mär 2019

Aber diese Firmen wollen das nun mal auch nicht. Dann wollen die idr. auch nicht das man...

OlafLostViking 15. Mär 2019

Sofern dies auf Serverseite (beispielsweise durch einen nachgeschalteten SASL-Server...

Truster 15. Mär 2019

aus diesem Grund habe ich alle PNGs in einer Keepass Datenbank gesichert.


Folgen Sie uns
       


Opel Zafira-e Life Probe gefahren

Wir haben den Opel Zafira-e Life ausführlich getestet.

Opel Zafira-e Life Probe gefahren Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /