Fido2 und Biometrie: Yubikey mit Fingerabdrucksensor angekündigt

Auf Knopfdruck anmelden, ohne Passwort und PIN, aber mit Fingerabdruck: Genau das soll der neue Yubikey Bio unterstützen. Die Sicherheit von biometrischen Merkmalen ist allerdings umstritten.

Artikel veröffentlicht am ,
Der Prototyp des Yubikey Bio.
Der Prototyp des Yubikey Bio. (Bild: Yubico)

Auf der Microsoft-Konferenz hat Yubico einen neuen Sicherheitsschlüssel vorgestellt. Im Unterschied zu den anderen Yubikeys besitzt dieser einen Fingerabdrucksensor und lässt sich mit dem Fingerabdruck des Eigentümers entsperren. Mit dem Yubikey Bio soll ein passwortloses Anmelden an Windows Systemen oder Webdiensten per Webauthn/Fido2 möglich sein. Die Sicherheit von biometrischen Merkmalen ist allerdings umstritten.

Stellenmarkt
  1. Full Stack Java Software-Entwickler (m/w/d)
    NOVENTI Health SE, Berlin, Bietigheim-Bissingen, Lübeck, München, Oberhausen (Home-Office möglich)
  2. Junior Software Developer (m/w/d) Ruby on Rails
    Sektor N GmbH, Hamburg, Heidelberg (Home-Office möglich)
Detailsuche

Nach Android unterstützt nun auch Yubico passwortloses Anmelden mit biometrischen Daten per Fido2/Webauthn. Ähnlich wie bei PGP oder SSH kommt hierbei Public-Key-Kryptografie zum Einsatz. Der öffentliche Schlüssel wird zwischen Nutzer und Webdienst ausgetauscht. Will sich der Nutzer einloggen, schickt der Dienst eine Challenge an ihn, mit der er beweist, dass er im Besitz des privaten Schlüssels ist - ohne dass der private Schlüssel das Gerät verlässt. Das Ergebnis wird an den Dienst geschickt, der über den öffentlichen Schlüssel überprüft, ob der Einloggende auch wirklich im Besitz des privaten Schlüssels ist.

Fingerabdruck statt PIN oder Passwort

Wird das System als zweiter Faktor verwendet, muss zusätzlich noch Benutzername und Passwort angegeben werden. Wird eine passwortlose Anmeldung durchgeführt, muss der Nutzer noch eine PIN, mit welcher der Schlüssel auf dem Fido2-Gerät gesichert ist, angeben. Alternativ kann hierzu auch ein biometrisches Merkmal wie der Fingerabdruck zum Einsatz kommen, wie es Android oder der nun angekündigte Yubikey Bio unterstützen. Alternativ kann auch mit dem Yubikey Bio eine PIN genutzt werden.

"Diese Innovation wird dazu beitragen, die Einführung einer sichereren passwortlosen Anmeldung voranzutreiben, damit jeder Mensch sicherer und produktiver sein kann", sagte Joy Chik von Microsoft. Ein entsprechendes Feature hätten sich die Nutzer bereits seit geraumer Zeit gewünscht, schreibt Yubico in der Produktankündigung. Es können mehrere Fingerabdrücke hinterlegt werden, welche in einem sicheren Speicher verwahrt würden, der auch vor physischen Angriffen geschützt sei. Der Yubikey Bio soll auf verschiedenen Geräten zum Einsatz kommen können. Das deutet auf eine Unterstützung von Linux, MacOS X sowie iOS und Android hin. Angekündigt wurde dies jedoch nicht explizit. Auch ein Preis oder Veröffentlichungstermin für den Yubikey Bio verriet Yubico noch nicht.

Biometrische Verfahren lassen sich umgehen

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    2.-3. November 2021, online
  2. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  3. IT-Fachseminare der Golem Akademie
    Live-Workshops zu Schlüsselqualifikationen
Weitere IT-Trainings

Biometrische Verfahren zur Authentifizierung lassen sich immer wieder überlisten. Wie leicht sich der Fingerabdrucksensor des Yubikey Bio im Falle eines Diebstahls umgehen lässt, wird sich zeigen müssen. Dem Sicherheitsforscher Jan Krissler alias Starbug gelang es in der Vergangenheit bereits mehrfach, biometrische Identifizierungsverfahren zu umgehen. Nach dem Hack der Venenerkennung im vergangenen Jahr gibt es laut Starbug kaum noch biometrische Systeme, die nicht bereits umgangen wurden. Auf dem 31C3 2014 hatte er Angriffe auf Gesichts- und Iriserkennungssysteme präsentiert, im Jahr davor konnte er binnen weniger Tage Apples Fingerabdrucksystem Touch ID des iPhone 5S überwinden.

Erst kürzlich konnte der Fingerabdrucksensor des Smartphones Galaxy S10 mit Hilfe einer Folie überlistet werden. Samsung kündigte an, das Problem per Softwareupdate beheben zu wollen. Im Falle des Yubikeys dürfte dies keine Option sein: Yubico sieht keine Updatemöglichkeit für seine Sicherheitsschlüssel vor und musste bereits mehrfach Sicherheitsschlüssel austauschen, in deren Firmware eine Sicherheitslücke steckte. Dass es auch anderes geht, zeigen Nitrokey und Solokeys, deren Firmware offen einsehbar und aktualisierbar ist.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Olliar 07. Nov 2019

Jupp. Das könnte Fido2 sogar als reine Software-Lösung liefern! "Oma Erna" würde das gar...

Olliar 07. Nov 2019

Aua. Mann, man, Sorry. Es ist doch gerade der WITZ, der KERN an Fido2 das der Provider...

Stepinsky 07. Nov 2019

FIDO 2-Login funktioniert derzeit unter Windows nur mit AD-Server. Private Nutzer haben...

Thaodan 06. Nov 2019

Leider ist ja alles geschlossen, im Falle von Nitrokey ist ja sogar die Hardware offen.

My1 06. Nov 2019

Lol. die U2F Fassungen sind rein als 2. faktor da. Ergo man braucht noch ein Passwort für...



Aktuell auf der Startseite von Golem.de
Cyrcle Phone 2.0
Rundes Smartphone soll 700 Euro kosten

Dass Mobiltelefone in den letzten 20 Jahren meist nicht rund gewesen sind, scheint einen guten Grund zu haben, wie das Cyrcle Phone 2.0 zeigt.

Cyrcle Phone 2.0: Rundes Smartphone soll 700 Euro kosten
Artikel
  1. A New Beginning: Jetzt wird Outcast wirklich fortgesetzt
    A New Beginning
    Jetzt wird Outcast wirklich fortgesetzt

    Rund 22 Jahre nach dem Start des ersten Teils gibt es die Ankündigung von Outcast 2 für Xbox Series X/S, Playstation 5 und Windows-PC.

  2. Bundesinnenministerium: Nur jede neunte Verwaltungsleistung ist digitalisiert
    Bundesinnenministerium
    Nur jede neunte Verwaltungsleistung ist digitalisiert

    Meldebescheinigungen oder Baugenehmigungen warten weiter auf die Digitalisierung.

  3. Smartphones: Huawei versucht nicht mehr, die besten Produkte zu machen
    Smartphones
    Huawei versucht nicht mehr, die besten Produkte zu machen

    Das Handelsembargo der USA gegen Huawei zeigt Wirkung, wenn auch anders als geplant.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • iPhone 13: jetzt alle Modelle vorbestellbar • Sony Pulse 3D PS5-Headset Midnight Black vorbestellbar 89,99€ • Breaking Deals mit Club-Rabatten (u. a. Samsung 65" QLED 1.189,15€) • WD Black SN750 1TB 96,99€ • Amazon Exklusives in 4K-UHD • GP Anniversary Sale: History & War [Werbung]
    •  /