Klucze szyfrujące Yubico - zaawansowane 2FA
Uwaga! Poruszamy kwestie wyłącznie zgodne z prawem! Nie namawiamy do łamania prawa! Nie radzimy jak łamać prawo!
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » wtorek, 14 września 2021, 21:01
GryfSalab
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » środa, 15 września 2021, 02:00
Z drugiej strony, jeśli da się wymazać PIN, to po przejęciu fizycznym klucza przez złodzieja, zyskujemy jedynie na czasie, bo restart PIN, restartuje też wszystkie logowania do stron, zapisane na kluczu.
Będę działał dalej, pozabezpieczam tymi kluczami co się da, a szczególnie gmaila. A czy wy macie jakąś opinie o zabezpieczanie się tymi kluczami przed atakiem?
(Mam też inne pytanie, to pewnie w innym dziale: Revolut i handel krypto, czy to bezpieczne?)
GryfSalab
- Początkujący
- Posty: 74
- Rejestracja: 21 kwietnia 2021
- Reputacja: 29
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: DosiaApriori » środa, 15 września 2021, 19:56
a sms/email/karta zdrapka/token fizyczny jaki dają banki ; jeśli go wpiszesz na podstawionej stronie to dla banku weryfikacja spełniona w 100%,
niech mi ktoś potwiedzi/zaprzeczy, dostep nie jest zapisywany w kluczu lecz strona na której dodajemy klucz zapisuje sobie klucz publiczny naszego klucza, i potem sprawdza czy późniejsza weryfikacja (podpis) zgadza się kluczem publicznym.
tak sądzę bo:
trezor działa po resecie/wyczyszczeniu urządzenia i przywróceniu z tego samego seeda to dostep do serwisów działa bez problemu.
wiec toretycznie powinno dać się do dwóch różnych kluczy wcisnąć ten sam seed (jak resetujemy klucz U2F zmieniamy mu SEED), wtedy jeden klucz zakopujemy w ogródku i przy każdym nowej stronie gdzie dodajemy U2F to ten zakopany w ogródku również by działał. (tak jak przywrócony trezor z tego samego seeda)
DosiaApriori
- Weteran
- Posty: 2518
- Rejestracja: 21 marca 2014
- Reputacja: 1468
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: The Real McCoin » środa, 15 września 2021, 23:13
https://www.yubico.com/genuine
The Real McCoin
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » piątek, 17 września 2021, 01:26
GryfSalab
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » wtorek, 26 października 2021, 21:45
1. Są w pełni przydatne przy zabezpieczeniu konta Google. Co robi się łatwo i bez trudu.
2. Facebook - niestety nie da się ich użyć w koncie prywatnym.
3. Windows - normalnie nie da się ich użyć, trzeba wgrać aplikację Yubikey Login for Windows, można użyć tylko droższego klucza: YubiKey 5 NFC 5.4.3, bo ma funkcję HMAC-SHA1, ponoć da się zrobić kopię na takim samym drugim kluczu i jeszcze wygenerować kod ratunkowy (nie zrobiłem tego - waham się - zabezpieczeń tego typu nie da się zrestartować, bez formatowania dysku).
4. KeePass - da się użyć, tak samo jak w Windows, YubiKey 5 NFC 5.4.3, bo ma funkcję HMAC-SHA1. Niestety nie da się zrobić kopii (drugiego klucza) - albo nie potrafię - a z tego wniosek, lepiej nie ryzykować, bo klucz zaginie lub zostanie uszkodzony i wszystkie hasła nie do wydostania!
I tyle. Podsumowując: zabezpiecza konto Google (więc i Gmail).
GryfSalab
- Początkujący
- Posty: 111
- Rejestracja: 9 marca 2017
- Reputacja: 124
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: dalarin » środa, 27 października 2021, 22:18
dalarin
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » czwartek, 28 października 2021, 11:38
Najlepiej ma sprawę rozwiązane Google: włączasz "ochronę zaawansowaną" on ci od razu pisze, że musisz posiadać dwa klucze (mogą być te najtańsze Yubico, mogą być droższe, mogą być dwa różne - ja tak zrobiłem), prosi o włożenie pierwszego - dotknięcie, drugiego - dotknięcie, to samo ze smartfonem, od razu sam prosi - tam tylko przykładasz, nie wtykasz, bo nie ma gdzie - i gites majonez!
A reszta stron i programów - same kłopoty!
GryfSalab
- Początkujący
- Posty: 111
- Rejestracja: 9 marca 2017
- Reputacja: 124
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: dalarin » piątek, 29 października 2021, 12:31
To jest autentykacja typu zadanie-odpowiedź (challenge response). To jest KeePass ma zapisane normalnym tekstem pytanie, które zada kluczowi. Odpowiedź na to pytanie to Twoje hasło do bazy KeePass. Wyobraźmy sobie, że pytanie to "3". Teraz klucz ma wprowadzony przez YubiKey Personalization Tool swój secret key. Ten sekret to sposób odpowiadania na pytanie. Dla uproszczenia powiedzmy, że to nie jest HMAC SHA1 tylko... mnożenie. Zapisujesz w kluczu sekret "10". Teraz otwierasz KeePass, on pyta "3", klucz mnoży 3 przez sekret 10 i odpowiada "30". KeePass bierze "30" i tym hasłem rozszyfrowuje bazę z hasłami. Widzi, że się rozszyfrowała poprawnie, więc wszystko działa. Nie ważne jaki klucz włożysz, ważne że ma wpisany ten sam sekret.
To logowanie na stronach nie używa HMAC SHA1, tylko innego sposobu, dlatego tam jest inaczej i najlepsze strony oferują dodanie dwóch kluczy. Bitfinex ma też do tego wsparcie. Jak zmienisz swój sekret w swoim HMAC SHA1 to te strony nie zauważą zmiany (tylko pamiętaj aby wybrać w YubiKey Personalization Tool dobry slot, u mnie to był chyba slot 2), bo go nie używają.
Jak zabezpieczyć BitBay, Kraken, Coinbase itp kluczem YubiKey. Nic prostszego. Na stronie dodajesz 2FA w postaci Google Authenticator. Zamiast Google Authenticator używasz jednak Yubico Authenticator (ściągnij sobie). Ten program zadziała tylko z Twoim kluczem. Jak chcesz mieć możliwość np. wejścia na Coinbase też drugim kluczem trzeba dodać ten sam kod QR przy zakładaniu logowania 2FA do Yubico Authenticator jak jest włożony jeden klucz, potem wyjąć, włożyć drugi i dodać znowu to samo. Będą i tu i tam.
Co do kupna klucza, to poczekaj na black friday, może dadzą promocję.
dalarin
- Weteran
- Posty: 2518
- Rejestracja: 21 marca 2014
- Reputacja: 1468
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: The Real McCoin » piątek, 29 października 2021, 16:49
The Real McCoin
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » środa, 3 listopada 2021, 10:25
GryfSalab
- Początkujący
- Posty: 111
- Rejestracja: 9 marca 2017
- Reputacja: 124
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: dalarin » środa, 3 listopada 2021, 21:58
Google Authenticator nigdzie nie wgrywać, zainstalować sobie Yubico Authenticator, chyba nie ma różnicy czy na komputerze, czy telefonie. Ja używam na komputerze, bo łatwiej się kopiuje z niego tekst do schowka, nie trzeba przepisywać ręcznie z telefonu. Chyba nic nie stoi na przeszkodzie, aby mieć i tu i tu.
dalarin
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » czwartek, 4 listopada 2021, 19:17
Co do KeePass - pokombinowałem i faktycznie da się sekretne hasło HMAC-SHA1 dodać, za pomocą programu YubiKey Personalization, takie samo na 2 fizycznych kluczach Yubico. Po ustanowieniu hasła, robisz "wpisz" na jednym kluczu, po czym go wyciągasz i wkładasz drugi i znów robisz "wpisz" - powstają dwa wpisy na liście, ale hasło jest identyczne na 2 kluczach fizycznych. Później ustawiasz jeden z kuczy w KeePass, a działają oba.
Co dalej, mam zainstalowaną aplikację na smartfonie: KeePass 2 Android. Utworzyłem na smartfonie katalog, za pomocą kabla USB przeniosłem pliki bazy danych KeePass z kompa: *.kdbx. Wskazałem ten katalog jak jeszcze program nie był zabezpieczony kluczami.
Spróbowałem wejść w KeePass 2 Android na smarfonie. Wpisałem hasło, ale nie poszło, trzeba było wgrać program: ytDroid na smartfona. Po wgraniu: wpisuję hasło, przystawiam klucz, określam, który slot (to się określa wcześniej w programie YubiKey Personalization - najlepiej określić: slot 2), dotknąłem klucza i... poszło, baza danych, którą przerzuciłem przez kabel USB - otworzyła się.
Tak więc, wszystko działa, można stworzyć i klucz, i drugi klucz-kopie, będzie działał i na kompie i na smarfonie. Ja wolę przerzucać przez kabel plik z kompa na smarfona, żeby nie zaistniał, nigdzie w chmurze, tam jest dużo moich haseł (mające po 126 znaków:), pliki są zaszyfrowane, ale wiadomo... jak są w chmurze to już nie u nas fizycznie... Wszystko zależy od osobistego poziomu paranoi
Opisałem - może ktoś będzie szukał tych informacji.
GryfSalab
- Początkujący
- Posty: 111
- Rejestracja: 9 marca 2017
- Reputacja: 124
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: dalarin » piątek, 5 listopada 2021, 20:25
Jak pisałem: Facebooka też można zabezpieczyć kluczem Yubico zamieniając Google Authenticator na Yubico Authenticator. Yubico Authenticator tylko pokazuje kody, nie przechowuje ich. Nie będą w pliku na kompie. Niezbędny będzie klucz do otworzenia, więc podobnie jak z KeePass. Także myślę, że to opcja godna rozważenia pod względem bezpieczeństwa.
dalarin
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » poniedziałek, 8 listopada 2021, 13:20
Tak przy okazji, może ktoś lepszy w sprawach bezpieczeństwa, coś by mi napisał. Wczoraj odkryłem, że ktoś przejął moje konto chomika. Konto istnieje, działają na nim hasła do katalogów, które, założyłem, ale hasło do samego konta nie działa. Na chomiku miałem sporo wykupionego transferu danych, nie pamiętam ile to było, w momencie przejęcia, powiedzmy 90 GB. Konto było zabezpieczone 30 losowymi znakami, zapisanymi w KeePass, który jest zabezpieczony też silnym hasłem i kluczem fizycznym. Konto miałem ok. 10 lat, większość czasu z jakimś hasłem: "123kotek" i przez te 10 lat nic się nie działo, stało się jak zacząłem wszystko zabezpieczać.
* (minął dzień)
Ok. rozwiązałem problem pisząc maila do Chomikuj.pl. Odpisał mi człowiek z imienia i nazwiska, że już mogę się logować, i żeby pisać, jak będę miał dalsze problemy. I się zalogowałem, hasłem, które dzień wcześniej nie działało. Żadnych strat. Żadnych zmian na koncie. Transfer nie tknięty (116 GB). Czyli nie było to włamanie, tylko coś się zrypało na serwerach "chomikuj".
GryfSalab
- Początkujący
- Posty: 11
- Rejestracja: 15 sierpnia 2021
- Reputacja: 1
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: GryfSalab » czwartek, 13 stycznia 2022, 15:10
dalarin pisze: ↑ piątek, 5 listopada 2021, 20:25Jak pisałem: Facebooka też można zabezpieczyć kluczem Yubico zamieniając Google Authenticator na Yubico Authenticator. Yubico Authenticator tylko pokazuje kody, nie przechowuje ich. Nie będą w pliku na kompie. Niezbędny będzie klucz do otworzenia, więc podobnie jak z KeePass. Także myślę, że to opcja godna rozważenia pod względem bezpieczeństwa.
Potwierdzam, można to zrobić za pomocą Yubico Authenticator i jest to łatwe - nie natrafiłem na komplikacje - przypisałem do dwóch fizycznych kluczy Yubico, ale czarnych (są droższe), z niebieskimi się nie da.
GryfSalab
- Weteran
- Posty: 2518
- Rejestracja: 21 marca 2014
- Reputacja: 1468
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: The Real McCoin » czwartek, 3 marca 2022, 19:20
The Real McCoin
- Początkujący
- Posty: 1
- Rejestracja: 2 grudnia 2022
- Reputacja: 0
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: neshanic » piątek, 2 grudnia 2022, 12:58
neshanic
- Początkujący
- Posty: 1
- Rejestracja: 5 maja 2023
- Reputacja: 0
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: Filip123 » piątek, 5 maja 2023, 20:33
Filip123
- Początkujący
- Posty: 74
- Rejestracja: 21 kwietnia 2021
- Reputacja: 29
Klucze szyfrujące Yubico - zaawansowane 2FA
Postautor: DosiaApriori » sobota, 6 maja 2023, 09:26
Mi po usmażeniu klucza po Tomografii Komputerowej pozwalał zalogować siec tylko na jedną stronę tylko po nfc. (dla mnie mniejszy problem bo miałem zapas i jeszcze jako kolejny klucz to jest trezor)
DosiaApriori
Wróć do „Anonimowość i bezpieczeństwo w sieci”
- Bitcoin
- Bezpieczeństwo
- Giełdy i serwisy - zagrożenia
- Anonimowość i bezpieczeństwo w sieci
- Piramidy i scamy
- Bitcoin
- Rozwój projektu
- Twój wkład w rozwój projektu
- Przedszkole
- Pomoc techniczna
- Generowanie monet
- Pomoc
- Ogólnie o miningu
- Mining pools
- Kopacze (miners)
- Sprzęt (hardware) do miningu
- Bitcoin w mediach
- Projekty związane z Bitcoin
- Imprezy, spotkania, konferencje
- Kwestie prawne
- Ciekawostki
- Organizacje charytatywne, zbiórki, dotacje
- Programowanie i wdrożenia
- Ankiety
- Portfele bitcoin
- Dla zaawansowanych - nowi tylko czytają
- Ekonomia
- Rozważania ekonomiczne
- Ankiety ekonomiczne
- Analiza techniczna
- Tutaj zapłacisz bitcoinami
- Polska
- Świat
- Tablica ogłoszeń
- Towary
- Sprzedam
- Kupię
- Zamienię
- Udziały
- Usługi
- Wymiana walut
- Komentarze
- Nagrody
- Wymiana Face-to-Face
- Dolnośląskie
- Kujawsko-pomorskie
- Lubelskie
- Lubuskie
- Łódzkie
- Małopolskie
- Mazowieckie
- Opolskie
- Podkarpackie
- Podlaskie
- Pomorskie
- Śląskie
- Świętokrzyskie
- Warmińsko-mazurskie
- Wielkopolskie
- Zachodniopomorskie
- Cała Polska
- Szukam/dam pracę
- Boty i strategie
- Giełdy, kantory, bitomaty
- Kantory
- Bitomaty
- Inwestycje
- Metale szlachetne
- ICO
- Forki i Alternatywne kryptowaluty
- LiteCoin
- Ekonomia
- Mining
- Ustawienia i konfiguracje
- Linki
- Dogecoin
- Ekonomia
- Mining
- NameCoin
- Ekonomia
- Mining
- Pozostałe
- Scrypt
- SHA256
- Dash
- Ethereum
- ETC
- Lisk
- Bitcoin Cash
- Kopanie kryptowalut
- Kopanie GPU
- Kopanie CPU
- Kopanie ASIC/FPGA
- Kopalnie kryptowalut
- IOTA
- NEO
- Chia
- SCAMY
- Inne
- Linki
- Faucety, kraniki, gry
- Księga skarg i zażaleń
- AMA
- Strona i forum
- Administrator mówi
- Opinie, propozycje, uwagi
- Propozycje banów
Kto jest online
Użytkownicy przeglądający to forum: Obecnie na forum nie ma żadnego zarejestrowanego użytkownika i 2 gości
- Strefa czasowa UTC+02:00
- Na górę
- Zmień szerokość ekranu
- Usuń ciasteczka witryny
O Polskim Forum Bitcoin
Polskie Forum Bitcoin skupia miłośników Bitcoina w Polsce. Tu możesz zadać pytania odnośnie Bitoina lub podyskutować na ciekawe tematy.
Polecamy
Treści na tym forum mają charakter wyłącznie informacyjno-edukacyjny, a posty są wyrazem osobistych poglądów ich autorów. Treśći na forum ani w całości ani w części nie stanowią "rekomendacji" w rozumieniu przepisów Rozporządzenia Ministra Finansów z dnia 19 października 2005 r. w sprawie informacji stanowiących rekomendacje dotyczące instrumentów finansowych, lub ich emitentów (Dz.U. z 2005 r. Nr 206, poz. 1715).