this post was submitted on 05 Sep 2024
8 points (100.0% liked)
Technik
294 readers
11 users here now
die Community für alles, was man als Technik beschreiben kann
Beiträge auf Deutsch oder Englisch
founded 4 months ago
MODERATORS
you are viewing a single comment's thread
view the rest of the comments
view the rest of the comments
Liest sich als sei man hier auf der Suche nach einer Sensation die keine ist. Erinnert an den CVE dieses Jahr zu KeePassX wo man eine"Sicherheitslücke" festgestellt hat dass man das Master-Passwort eines entriegelten Safes ändern kann, ohne vorher erneut das alte eingeben zu müssen.
Wenn jemand bereits direkten Zugriff hat, dann spielt das ganze sowieso keine Rolle mehr, alles drumherum ist Security-Theater.
Genau so hier, dass man einen Backup Key haben sollte ist eine grundsätzliche Empfehlung um Verlust von Accounts auszuschließen, der Autor legt das hier als zusätzliche Angriffsfläche aus, weil man den ja auch geklaut bekommen kann (??).
Und nicht zu vergessen natürlich, hier wird "Yubico kann physisch keine Firmware Updates aufspielen" (was obendrauf von Yubico aber als Sicherheitsfeature verkauft wird) geframed zu "Yubico will nicht". Der Autor dreht sich alles wie es gerade in sein Bild passt, scheint von der Materie aber wenig Ahnung zu haben.
Naja, einen Yubikey zu klonen würde ich schon als Sicherheitslücke sehen.
Ob das eine ist habe ich nicht in Frage gestellt, aber wie erwähnt, sobald jemand physikalischen Zugriff auf dem Yubikey hat, steht man schon längst vor dem größten Problem. Ob er den nun klonen kann spielt keine Rolle, authentifizieren kann er sich damit schon.