Hardware-Sicherheitsschlüssel, wie die YubiKeys von Yubico und Googles Titan-Sicherheitsschlüssel, sind eine beliebte Empfehlung für erhöhte Sicherheit. Allerdings sorgten kürzliche Rückrufaktionen aufgrund von Hardwarefehlern bei beiden Herstellern für Besorgnis. Doch was genau steckt hinter diesen Problemen und sind diese Schlüssel überhaupt noch sicher?
Was sind Hardware-Sicherheitsschlüssel?
Physische Sicherheitsschlüssel, wie der Titan Security Key von Google oder die YubiKeys von Yubico, nutzen den WebAuthn-Standard, der als Nachfolger von U2F dient, um Ihre Konten abzusichern. Sie fungieren als eine zusätzliche Form der Zwei-Faktor-Authentifizierung. Anstatt einen Code einzugeben, nutzen Sie einen physischen Schlüssel, der über USB, NFC (Nahfeldkommunikation) oder Bluetooth mit dem Gerät kommuniziert.
Diese Hardware-Sicherheitstoken ermöglichen die Anmeldung bei einer Vielzahl von Konten, einschließlich Google, Facebook, Dropbox und GitHub. Durch Googles optionales erweitertes Schutzprogramm ist es sogar möglich, einen physischen Schlüssel für die Anmeldung zu jedem Konto zu fordern.
Warum kam es zu Rückrufen durch Google und Yubico?
In der letzten Zeit haben sowohl Yubico als auch Google Schlagzeilen gemacht, da beide Unternehmen aufgrund von Hardwaredefekten Sicherheitsschlüssel zurückrufen mussten.
Yubicos Problem betraf lediglich die YubiKey FIPS-Serie, die nicht für Endverbraucher gedacht ist. Wie in den Sicherheitshinweisen von Yubico erläutert, generierten diese Schlüssel nach dem Einschalten keine ausreichend zufälligen Zahlen, was ihre Verschlüsselung potenziell angreifbar machen könnte. Betroffen waren lediglich Geräte, die an Regierungsbehörden und deren Auftragnehmer verkauft wurden. Yubico betont, dass keine Angriffe bekannt sind, die diese Schwachstelle ausnutzten, tauscht betroffene Geräte jedoch proaktiv aus.
Gravierender war das Problem mit Googles Titan Security Key, welches einen Rückruf und Austausch der betroffenen Schlüssel erforderte. Die Bluetooth-Version des Titan-Sicherheitsschlüssels, die Bluetooth Low Energy (BLE) für die drahtlose Kommunikation verwendet, war aufgrund einer von Google als „Fehlkonfiguration“ bezeichneten Schwachstelle angreifbar. Angreifer in einem Umkreis von etwa 9 Metern hätten die Möglichkeit gehabt, sich in fremde Konten einzuloggen. Zudem bestand die Gefahr, dass der Rechner der Zielperson mit einem anderen Bluetooth-Dongle, statt dem Sicherheitsschlüssel, gekoppelt wird. Auch die Sicherheitsschlüssel von Feitan, dem Hersteller der Titan-Schlüssel für Google, waren von dieser Sicherheitslücke betroffen.
Microsoft reagierte mit einem Windows Update, das verhindert, dass anfällige Google Titan- und Feitan-Schlüssel via Bluetooth mit Windows 10 und Windows 8.1 gekoppelt werden können.
Yubico hat nie Bluetooth-Schlüssel angeboten. Yubico gab bei der Ankündigung von Googles Titan-Schlüssel an, dass sie zwar die Einführung eines eigenen Bluetooth Low Energy (BLE)-Schlüssels erwogen hätten, jedoch zu dem Schluss gekommen seien, dass „BLE nicht das gleiche Sicherheitsniveau wie NFC und USB bietet“. Googles Schwierigkeiten bestätigten Yubicos Strategie, sich auf USB und NFC zu konzentrieren, anstatt auf Bluetooth.
Sowohl Google als auch Yubico riefen die betroffenen Schlüssel kostenlos zurück und tauschten diese aus.
Sind diese Schlüssel weiterhin empfehlenswert?
Trotz der Mängel und Rückrufaktionen empfehlen wir physische Sicherheitsschlüssel weiterhin. Yubico hatte ein Problem mit der Zufallsgenerierung bei einer Produktlinie speziell für Regierungsbehörden, das behoben wurde. Google hatte Schwierigkeiten mit Bluetooth, doch selbst dieser Fehler war nur für Angreifer in einem unmittelbaren Umkreis von 9 Metern potenziell ausnutzbar. Selbst ein fehlerhafter Bluetooth-Titan-Schlüssel bot weiterhin Schutz vor Angriffen aus der Ferne.
Diese Schlüssel erfüllen nach wie vor hohe Sicherheitsstandards. Es ist ermutigend, dass sowohl Yubico als auch Google proaktiv Fehler aufdecken und kostenlosen Ersatz für betroffene Hardware anbieten. Die Probleme betrafen in keinem Fall Standard-USB- oder NFC-basierte Sicherheitsschlüssel für normale Endverbraucher.
Das größte Problem bei dieser Art von Sicherheitsschlüsseln liegt im Bereich der Zwei-Faktor-Authentifizierung insgesamt. Bei den meisten Online-Diensten besteht die Möglichkeit, den Sicherheitsschlüssel durch eine weniger sichere Methode, wie z.B. SMS, zu ersetzen. Ein Angreifer, der eine Telefonportierungs-Betrug durchgeführt hat, könnte sich trotz des Einsatzes eines physischen Schlüssels Zugang zum Konto verschaffen. Nur sehr hohe Sicherheitsdienste wie das Advanced Protection-Programm von Google bieten hier einen Schutz.