• IT-Karriere:
  • Services:

Fido2 und Biometrie: Yubikey mit Fingerabdrucksensor angekündigt

Auf Knopfdruck anmelden, ohne Passwort und PIN, aber mit Fingerabdruck: Genau das soll der neue Yubikey Bio unterstützen. Die Sicherheit von biometrischen Merkmalen ist allerdings umstritten.

Artikel veröffentlicht am ,
Der Prototyp des Yubikey Bio.
Der Prototyp des Yubikey Bio. (Bild: Yubico)

Auf der Microsoft-Konferenz hat Yubico einen neuen Sicherheitsschlüssel vorgestellt. Im Unterschied zu den anderen Yubikeys besitzt dieser einen Fingerabdrucksensor und lässt sich mit dem Fingerabdruck des Eigentümers entsperren. Mit dem Yubikey Bio soll ein passwortloses Anmelden an Windows Systemen oder Webdiensten per Webauthn/Fido2 möglich sein. Die Sicherheit von biometrischen Merkmalen ist allerdings umstritten.

Stellenmarkt
  1. über duerenhoff GmbH, Stuttgart
  2. über duerenhoff GmbH, Bielefeld

Nach Android unterstützt nun auch Yubico passwortloses Anmelden mit biometrischen Daten per Fido2/Webauthn. Ähnlich wie bei PGP oder SSH kommt hierbei Public-Key-Kryptografie zum Einsatz. Der öffentliche Schlüssel wird zwischen Nutzer und Webdienst ausgetauscht. Will sich der Nutzer einloggen, schickt der Dienst eine Challenge an ihn, mit der er beweist, dass er im Besitz des privaten Schlüssels ist - ohne dass der private Schlüssel das Gerät verlässt. Das Ergebnis wird an den Dienst geschickt, der über den öffentlichen Schlüssel überprüft, ob der Einloggende auch wirklich im Besitz des privaten Schlüssels ist.

Fingerabdruck statt PIN oder Passwort

Wird das System als zweiter Faktor verwendet, muss zusätzlich noch Benutzername und Passwort angegeben werden. Wird eine passwortlose Anmeldung durchgeführt, muss der Nutzer noch eine PIN, mit welcher der Schlüssel auf dem Fido2-Gerät gesichert ist, angeben. Alternativ kann hierzu auch ein biometrisches Merkmal wie der Fingerabdruck zum Einsatz kommen, wie es Android oder der nun angekündigte Yubikey Bio unterstützen. Alternativ kann auch mit dem Yubikey Bio eine PIN genutzt werden.

"Diese Innovation wird dazu beitragen, die Einführung einer sichereren passwortlosen Anmeldung voranzutreiben, damit jeder Mensch sicherer und produktiver sein kann", sagte Joy Chik von Microsoft. Ein entsprechendes Feature hätten sich die Nutzer bereits seit geraumer Zeit gewünscht, schreibt Yubico in der Produktankündigung. Es können mehrere Fingerabdrücke hinterlegt werden, welche in einem sicheren Speicher verwahrt würden, der auch vor physischen Angriffen geschützt sei. Der Yubikey Bio soll auf verschiedenen Geräten zum Einsatz kommen können. Das deutet auf eine Unterstützung von Linux, MacOS X sowie iOS und Android hin. Angekündigt wurde dies jedoch nicht explizit. Auch ein Preis oder Veröffentlichungstermin für den Yubikey Bio verriet Yubico noch nicht.

Biometrische Verfahren lassen sich umgehen

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
  2. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Biometrische Verfahren zur Authentifizierung lassen sich immer wieder überlisten. Wie leicht sich der Fingerabdrucksensor des Yubikey Bio im Falle eines Diebstahls umgehen lässt, wird sich zeigen müssen. Dem Sicherheitsforscher Jan Krissler alias Starbug gelang es in der Vergangenheit bereits mehrfach, biometrische Identifizierungsverfahren zu umgehen. Nach dem Hack der Venenerkennung im vergangenen Jahr gibt es laut Starbug kaum noch biometrische Systeme, die nicht bereits umgangen wurden. Auf dem 31C3 2014 hatte er Angriffe auf Gesichts- und Iriserkennungssysteme präsentiert, im Jahr davor konnte er binnen weniger Tage Apples Fingerabdrucksystem Touch ID des iPhone 5S überwinden.

Erst kürzlich konnte der Fingerabdrucksensor des Smartphones Galaxy S10 mit Hilfe einer Folie überlistet werden. Samsung kündigte an, das Problem per Softwareupdate beheben zu wollen. Im Falle des Yubikeys dürfte dies keine Option sein: Yubico sieht keine Updatemöglichkeit für seine Sicherheitsschlüssel vor und musste bereits mehrfach Sicherheitsschlüssel austauschen, in deren Firmware eine Sicherheitslücke steckte. Dass es auch anderes geht, zeigen Nitrokey und Solokeys, deren Firmware offen einsehbar und aktualisierbar ist.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (mit AMD Ryzen 9 5900X + Gigabyte RTX 3080 AORUS für 3.000€)
  2. bei o2 für 44,99€ pro Monat (24 Monate Laufzeit)
  3. bei o2 für 42,99€ pro Monat (24 Monate Laufzeit)
  4. (u. a. LG 43UP76906LE 43 Zoll LCD für 482,50€ (inkl. Cashback), Gigaset C 430 A Duo 2x...

Olliar 07. Nov 2019

Jupp. Das könnte Fido2 sogar als reine Software-Lösung liefern! "Oma Erna" würde das gar...

Olliar 07. Nov 2019

Aua. Mann, man, Sorry. Es ist doch gerade der WITZ, der KERN an Fido2 das der Provider...

Stepinsky 07. Nov 2019

FIDO 2-Login funktioniert derzeit unter Windows nur mit AD-Server. Private Nutzer haben...

Thaodan 06. Nov 2019

Leider ist ja alles geschlossen, im Falle von Nitrokey ist ja sogar die Hardware offen.

My1 06. Nov 2019

Lol. die U2F Fassungen sind rein als 2. faktor da. Ergo man braucht noch ein Passwort für...


Folgen Sie uns
       


Honda E Probe gefahren

Der Honda E ist ein Elektro-Kleinwagen, dessen Design an alte Honda-Modelle aus den 1970er Jahren erinnert.

Honda E Probe gefahren Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /