Was kann man mit einem Security Token machen, wofür ist der gut - bspw. der Yubikey oder der Nitrokey?
Vergrößert man dadurch die Sicherheit ?
1 Antwort
Das Konzept hinter FIDO2 funktioniert so, dass du auf dem Gerät ein Geheimnis hast aus dem ein privater schlüssel abgeleitet wird.
Wenn du dich auf einer Seite einloggst auf der dein security key registiert ist, dann hat sie den öffentlichen Schlüssel von dem Gerät.
An das Gerät wird dann eine Anfrage mit dem Namen der Seite, einem Zufallswert und so weiter gesendet, das wird dann über den privaten Schlüssel signiert und an die Seite zurück gegeben. Die kann mit dem öffentlichen Schlüssel 100% sicher feststellen, dass du im Besitz dieses Geräts bist.
Da dieses Geheimnis das Gerät quasi nie verlassen kann (wenn du nicht gerade sehr teures Labor Equipment hast oder ähnliches) ist es quasi die sicherste etablierte Methode für authentication. Es würde nicht reichen dein Laptop oder Handy zu hacken und du kannst auch kein phishing betreiben da der Name der Seite an das Gerät übergeben wird und es dann nicht das richtige zurück geben würde.
Diese Geräte bieten eventuell neben FIDO Standards auch weitere Mechanismen an, das kann ein zusätzlicher Vorteil sein aber ist Sicherheitstechnisch weniger Vorteilsreich. Eventuell etwas sicherer als eine Handy App da sich das Geheimnis auf einem extra Gerät befindet.