Sicherheitsschlüssel mit Fingerabdruckscanner mit Linux-Unterstützung

[Spezi]

Hallo,

ich habe mich in letzter Zeit etwas mit Fingerabdruckscanner und Sicherheitsschlüssel unter Linux auseinandergesetzt.

Ich möchte gerne zum einloggen unter Ubuntu 21.10 einstellen, dass dafür nur ein Fingerabdruck reicht.
Auch möchte ich, dass SSH-Logins ebenfalls nur mit einem Fingerabdruck zu bestimmten Servern hergestellt werden soll, also eine 2FA durchgeführt werden muss. Zusätzlich möchte ich auch, dass im Browser der Fingerabdruck genutzt werden kann um sich einzuloggen.

Meine bisherige Erkenntnis ist, dass ein Fingerabdruckscanner, wenn er denn laufen würde, zum einloggen für Ubuntu eingestellt werden kann und das er im Browser für Logins funktioniert. Allerdings gibt es dafür keine native Unterstützung für SSH-Logins.
Wenn mann Sicherheitsschlüssel nutzt, kann man mit pam-Modulen einstellen, dass diese zum Login für Ubuntu klappt. Hierfür wird meines Verständnisses nach FIDO1 bzw. das U2F-Protokoll genutzt. Auch SSH-Logins können dank PIV-Protokoll und damit in Verbindung mit PGP oder mit dem FIDO2-Protokoll durchgeführt werden.

Da ich möglichst keine zwei Geräte dafür haben möchte, bleibt mir erstmal nur der Sicherheitsschlüssel.

Allerdings habe ich nur einen Sicherheitsschlüssel gefunden, bei dem das funktioniert. Und zwar ist es der Yubikey Bio.

Das einzige Manko ist, wie ich finde, dass der Formfaktor unhandlich ist. Ich möchte gerne, das ich den Sicherheitsschlüssel im Laptop lassen kann und in die Laptop-Tasche legen kann, ohne das der USB-Port kaputt geht. Auch wippt der Sicherheitsschlüssel im USB-Port wenn ich den Finger drauf lege um den scannen zu lassen, was auf längere Zeit sicherlich nicht so gut für den USB-Port ist. Ideal wäre, wenn dieser fast vollständig im USB-Port verschwindet, oder leicht rausguckt, wie sonstige USB-Empfänger für Mäuse oder Tastaturen.

Ich habe auch den Sicherheitsschlüssel Kensington VeriMark™ Guard gefunden und auch schon gekauft, in der Annahme das Sicherheitsschlüssel die U2F können und FIDO2 sich einfach in Linux-Systeme einbinden lassen. Dem scheint nicht so, weil auch nach anpassen von udev-Regeln und Neustart dieser für den Ubuntu-Login und SSH-Logins trotzdem nicht funktioniert. Das äußert sich daran, dass pamu2fcfg kein u2f fähiges Gerät findet, und dass beim generieren der nötigen SSH-Keyfiles ebenfalls kein kompatibler Sicherheitsschlüssel gefunden wird. Nur im Browser funktioniert er, hier auch ohne die udev-Regeln.

Meine hinzufügte udev-Regel:

KERNEL=="hidraw*", SUBSYSTEM=="hidraw", ATTRS{idVendor}=="047d", ATTRS{idProduct}=="8055", TAG+="uaccess", GROUP="plugdev", MODE="0660"

Wisst ihr was, ich noch machen kann um den Kensington-Sicherheitsschlüssel zum laufen zu bekommen, oder kennt ihr einen alternativen Sicherheitsschlüssel, der so groß ist wie ein USB-Empfänger und unter Linux mit dem Protokoll U2F und FIDO2 funktioniert und im Browser nutzbar ist?

Oder kennt ihr einen USB-Fingerabdruckscanner, der unter Ubuntu 21.10 wirklich funktioniert? Und idealerweise wie ich es hinkriegen kann damit eine 2FA bei SSH-Logins zu machen?

 

[madmax2010]

mit einem Fingerabdruck z

menschlicher fingerabdruck? Lass es.
Verschluesselter Key + Passwort+Yubikey / Nitrokey und gut ist

die wahrscheinlichkeit, dass dir der Fingerabdruck geklaut wird ist niedriger, als dass der Fingerabdruck geklaut wird.
Wir haben damals in der Uni der Infosicherheits Professorin die Fingerabdruecke geklaut und ihren Laptop (unter ihren Augen) entsperrt. Bin kein Fan von biometrie

 

[andy_m4]

Ich schließe mich an. Fingerabdruckscanner sind ein Bequemlichkeitsfeature, kein Sicherheitsfeature.

Das einzige Manko ist, wie ich finde, dass der Formfaktor unhandlich ist. Ich möchte gerne, das ich den Sicherheitsschlüssel im Laptop lassen kann und in die Laptop-Tasche legen kann, ohne das der USB-Port kaputt geht.

Der Witz an solchen Sicherheitschlüsseln ist ja gerade, das sie getrennt vom Gerät aufbewahrt werden. Wenn Du ihn eh die ganze Zeit drin lässt, dann kannst Du Dir den Schlüssel auch sparen.

 

[bye]

Ein Beispiel mit dem Smartfone:

wegen was auch immer muss Dir jemand Dein eigenes Smartfone vor Dich halten oder auch nur Deinen Finger drüber ziehen und schwupps hat diese -r -s Zugriff auf Dein smartes fone...

ist vielleicht etwas off topic, würde nur gerne erwähnen das es gar nicht so blöd ist via 2 Faktor unterwegs zu sein auch wenn es umständlich ist.

also Anmeldung erfolgt via SSH oder sonstwie und zusätzlich muss ein anderes Gerät es bestätigen bevor Du überhaupt erst Zugriff bekommst, ist nicht zu vernachläsigen.

 

[Spezi]

Ja das stimmt schon, so wirklich sicher ist das nicht.

Im Endeffekt tauscht man quasi ein Passwort (was ja auch einfach, mittel, oder schwer zu erraten ist) gegen einen Fingerabdruck, der sich bereits am Rechner befindet, aber eventuell zusätzliche Utensilien braucht um diese von einer Stelle zu nehmen und an den Fingerabdruckscanner zu halten.

Der Yubikey Bio wird, wenn der Fingerabdruck drei mal hintereinander nicht erkannt wurde, gesperrt und kann nur durch eine Pin wieder freigeschaltet werden.

Aber, wenn man vermutlich schon mehrmals Fingerabdrücke übertragen hat, ist das wahrscheinlich kein großes Problem.

Es ist aber immerhin besser einen Sicherheitsschlüssel mit Fingerabdruckscanner zu benutzen, als gar keinen Sicherheitsschlüssel. Zumindest bei einem MITM-Angriff, da dort der Angreifer zumindest einen dazu bringen muss den Fingerabdruck zu scannen. Was einem natürlich stutzig machen sollte, wenn diese Abfrage unerwartet angezeigt wird.
Außer natürlich der Angreifer kommt in den Besitz vom Sicherheitsschlüssel.

Ich schließe mich an. Fingerabdruckscanner sind ein Bequemlichkeitsfeature, kein Sicherheitsfeature.


Der Witz an solchen Sicherheitschlüsseln ist ja gerade, das sie getrennt vom Gerät aufbewahrt werden. Wenn Du ihn eh die ganze Zeit drin lässt, dann kannst Du Dir den Schlüssel auch sparen.

Aber es gibt ja auch die Yubikey 5 Nano, welche ja schon fast dazu gedacht sind drinstecken zu lassen.

Ist natürlich auch eine Kopfsache, nicht zu vergessen ihn rauszunehmen. Was sicherlich bei vielen passiert, wenn Sie so einen benutzen.

Trotzdem bewegt sich jeder Sicherheitsschlüssel, im gleichen Formfaktor wie der Yubikey Bio im USB-Port, was ich auf lange Sicht für bedenklich halte.

wegen was auch immer muss Dir jemand Dein eigenes Smartfone vor Dich halten oder auch nur Deinen Finger drüber ziehen und schwupps hat diese -r -s Zugriff auf Dein smartes fone...

Wenn der Angreifer Zugriff auf das Passwort/Fingerabdruck und den Sicherheitsschlüssel hat bringt dir jegliche Sicherheitsvorkehrungen in diesem Bereich nichts, dass ist klar.


Nichtsdestotrotz, bleiben die Hauptfragen noch offen. Vielleicht kennt jemand ja einen Tipp wie man den Kingston Fingerabdruckscanner unter Linux zum funktionieren zu bringt.