In einem älteren Beitrag hatte ich bereits beschrieben, wie ich mittels systemd-ukify sogenannte Unified Kernel Images (UKIs) zum Booten meines Arch-Linux-Systems erstelle. Die so generierten UKIs wurden dabei mit meinem eigenen UEFI-Secure-Boot-Schlüssel signiert. Dabei befand sich der private Secure-Boot-Schlüssel jedoch auf meinem System selbst, wobei dieser aber natürlich nur für den Root-Benutzer lesbar ist.

Eine andere Möglichkeit ist es, den privaten Secure-Boot-Schlüssel (konkret geht es um den Signature Database Key) auf einem Hardware-Security-Token, wie z.B. einem YubiKey, zu speichern. Der Vorteil besteht darin, dass der private Schlüssel sich nicht direkt auf dem eigentlichen System befindet und ein Zugriff auf den privaten Schlüssel erschwert wird bzw. ein Auslesen generell beim YubiKey nicht möglich ist. Die Kommunikation zwischen systemd-ukify (intern eigentlich sbsign) und YubiKey findet über die PKCS#11-Schnittstelle statt.

Weiterlesen

Zuletzt hatte ich bereits aufgezeigt, wie Passkeys mit KeePassXC gespeichert und verwendet werden können. Eine weitere und im Prinzip sichere Variante, ist das Speichern der Passkeys auf einem Hardware-Security-Token, wie z.B. einem YubiKey.

Weiterlesen

Der Passwort-Manager KeePassXC hatte schon länger die Möglichkeit angeboten, die Passwort-Datenbank zusätzlich zum Passwort mittels YubiKey abzusichern. Hierbei kommt das YubiKey-Challenge-Response-Verfahren auf Basis von HMAC-SHA1 zum Einsatz. Leider unterstützte das die mobile Android-Variante KeePassDX lange Zeit nicht. Seit Version 3.5.0 kann nun auch KeePassDX mit YubiKey abgesicherten Datenbanken umgehen. Allerdings wird hierfür eine weitere App namens Key Driver benötigt. Derzeit ist diese anscheinend nicht über F-Droid, sondern nur über den Google Play Store verfügbar. Wie eine neue oder bestehende Datenbank mit YubiKey-Challenge-Response erstellt bzw. angepasst werden kann, zeige ich euch in diesem Beitrag.

Weiterlesen

Zum Verwalten und sicheren Speichern von Passwörtern unter Android verwende ich den Passwort-Manager Password Store. Dabei handelt es sich quasi um einen Android-Client für den Linux-Passwort-Manager pass, den ich zum Verwalten meiner Passwörter auf meinem Notebook verwende. Bei diesem Passwort-Manager wird ein Passwort, optional mit weiteren Daten, wie z.B. Benutzername, in einer mit GPG verschlüsselten Datei gespeichert. Meinen dazu benötigten GPG-(Unter-)Schlüssel habe ich aber nicht auf meinem Android-Gerät, sondern auf meinem YubiKey gespeichert. Zum Entschlüsseln und Anzeigen eines Passworts benötige ich also meinen YubiKey und die dazugehörige YubiKey-GPG-PIN. Den YubiKey halte ich dann einfach an mein Android-Gerät und die Verbindung erfolgt dabei über NFC.

Weiterlesen

Im Rahmen einer 2-Faktor-Authentisierung bieten viele Online-Dienste das weit verbreitete TOTP-Verfahren zur Absicherung des Benutzerkontos an. Die meisten Benutzer speichern den zum Generieren der Einmalkennwörter (OTPs) notwendigen geheim sowie sicher aufzubewahrenden TOTP-Schlüssel auf Ihrem mobilen Endgerät und nutzen hierfür OTP-Apps, wie z.B. Google Authenticator, FreeOTP etc. Im Gegensatz dazu speichere ich meine TOTP-Schlüssel auf meinem YubiKey. Für mich hat das den Vorteil, dass ich meine TOTP-Schlüssel nicht auf all meinen (mobilen) Endgeräten, wie z.B. Notebook, Smartphone und Tablet synchroniseren bzw. speichern muss und trotzdem auf all meinen Geräten Zugriff auf die TOTP-Schlüssel habe. Zudem lassen sich die auf dem YubiKey gespeicherten TOTP-Schlüssel nachträglich nicht mehr auslesen (Funktionsweise siehe Yubico-Doku: OATH). In diesem Beitrag zeige ich euch, wie das Ganze funktioniert.

Weiterlesen