WebCrypto, SOP y Yubikeys

0

He estado siguiendo algunas discusiones en la lista de correo de Seguridad de aplicaciones web con respecto a las políticas de WebCrypto y SOP (más de 100 mensajes). Una de las cosas que surgieron en este momento fue que las claves que se guardaban en WebCrypto no eran enumerables porque podían usarse como súper cookies y eso podía tener consecuencias negativas para la privacidad. Esto se discutió en la lista de WebCrypto hace un tiempo, por lo que no son noticias nuevas. Por lo general, se hace el salto que es malo en todos los casos (lo que a menudo ocurre).

(Como ejemplo contrario a "siempre es malo", por lo general "no me importa" todos los rastreadores de errores a los que estoy suscrito. Si puedo usar una clave pública para autenticarme, entonces excelente .)

WebCrypto es esencialmente una capa de software, y tiene un número infinito de teclas (algunas renuncias de manos). Entonces comencé a pensar en mi Yubikey ... Un Yubikey tiene un espacio finito, por lo que solo tiene un número limitado de claves.

¿Cuántas claves públicas puede generar y mantener un Yubikey?

¿Cómo protege YubiKey la privacidad que otorgan las organizaciones (orígenes) para colusar y comparar las claves públicas registradas con ellas?

(No me sorprendería si un gobierno o uno de sus agentes o socios autorizados comenzaran a recopilar las claves públicas y las hicieran accesibles en una base de datos, como Little Black Blox hace para las claves privadas).

    
pregunta jww 27.09.2015 - 12:16
fuente

1 respuesta

1

Consulte la documentación que dice que puede admitir "Número ilimitado de credenciales U2F". Supongo que se refiere a las credenciales U2F, ya que se basa en la clave pública / privada, mientras que la otra OTP se basa en la clave simétrica (que se limita a 1-2 espacios). Ahora la limitación obvia de esto es la memoria y la edad de Yubikey.

En la mayoría de los escenarios de implementación estándar, va a generar una clave pública-privada única para cada sitio en el que va a registrar el yubikey. De esta manera la clave para google y dropbox será diferente. Si Google & Dropbox desea identificar "usted", puede ser más fácil para ellos identificar "usted" mediante la identificación del usuario y los datos de comportamiento (dirección IP). Si Yubikey está funcionando correctamente (es decir, no se ha comprometido a agregar información específica del dispositivo en la clave pública, ya sea explícita o implícitamente debido al algoritmo, la debilidad de PRNG y otros problemas públicos / privados conocidos), no hay forma de que rastreen a los dos públicos. teclas para volver al single "you".

Actualización: el enlace que explica cómo U2F puede admitir "infinito" público privado / pares de claves públicas sin compartir la misma clave en los sitios Y almacenando los detalles localmente.

    
respondido por el jhash 28.09.2015 - 21:29
fuente