¿Qué es un YubiKey y cómo funciona?

La YubiKey viene en diferentes variantes, por ejemplo, la YubiKey 4 y la YubiKey U2F. Todas las YubiKeys son fichas de hardware y están conectadas a un puerto USB. La mayoría tiene un botón inductivo y un modelo también tiene NFC (la YubiKey Neo ). Las variantes difieren en cuanto al factor de forma y el número de funciones admitidas .

El YubiKey 4 proporciona varias funciones:

• OTP generación
• Generación de OTP compatible con OATH (es decir, HOTP y TOTP )
• emule un lector de tarjetas chip con (hasta 4K bit RSA o 256 bit ECC tamaño de clave privada)
• actúe como dispositivo PIV (hasta 2K bit RSA o 256 bit ECC tamaño de clave privada)
• actúa como U2F dispositivo
• volver a reproducir una contraseña estática

Para algunas de sus características, se presenta como un dispositivo USB HID .

Existen soluciones alternativas disponibles que proporcionan un subconjunto de la YubiKey 4 similar o un subconjunto. Por ejemplo, los lectores de tarjetas con chip de hardware clásicos (quizás incluso con teclado) en combinación con una tarjeta con chip compatible con OpenPGP.

La YubiKey U2F es solo un dispositivo U2F, es decir, un dispositivo que es capaz de generar un par de claves público / privado específico de origen y devuelve un identificador de clave y una clave pública a la persona que llama. Al igual que otros dispositivos U2F de bajo costo, las claves privadas no se almacenan, sino que se cifran simétricamente (con una clave interna) y se devuelven como el identificador de clave. Usando el identificador de teclas, el dispositivo U2f puede entonces firmar un desafío, creando así una respuesta como parte de una autenticación multifactorial.

Dado que U2F es un estándar abierto (que también es impulsado por corporaciones como Google), hay varios tokens de hardware U2F económicos alternativos disponibles (busque ' FIDO clave U2F ').

Según tengo entendido, Yubikey actúa como un teclado USB. Lo conecta en su computadora, coloca el cursor en un campo de formulario, presiona el botón en Ubikey y envía una cadena de texto de 44 caracteres a la computadora como si estuviera escribiendo esos 44 caracteres. La computadora no sabe la diferencia entre que lo escribes o Ubikey lo genera.

Un sitio web como Wordpress con el complemento Ubikey, o el complemento Lastpass en Firefox, o cualquier otro sitio web que tenga una opción Ubikey, tiene un formulario de inicio de sesión con nombre de usuario, contraseña y contraseña de Ubikey. Usted ingresa su nombre de usuario y contraseña, coloca el cursor en el campo Ubikey, luego presiona el botón Ubikey, y ingresa la contraseña Ubikey en el campo.

Luego se envía el formulario y se valida Ubikey en Ubicloud. El sitio web verifica si la contraseña de Ubikey ingresada es válida. El Ubikey en sí no se conecta a Ubicloud. Es solo un dispositivo que genera una cadena que lo envía actuando como un teclado, y no se conecta a Internet ni a nada excepto como ese teclado.

Antes de que todo esto funcione, debe actualizar su cuenta en el sitio web para usar Ubikey. Eso significa que necesita vincular su clave a la cuenta. De esa manera, Ubicloud puede verificar el código generado y validarlo con su cuenta.

El sitio web, por supuesto, necesita implementar la funcionalidad Ubikey, que está disponible como un servicio gratuito para los propietarios de sitios web.

Si se pierde el Ubikey, puede usar los métodos de recuperación normales que tiene el sitio web para recuperar su cuenta y deshabilitar el Ubikey. Normalmente, esto significa que obtiene un enlace de recuperación de contraseña por correo electrónico, y ese enlace deshabilita la función Ubikey en su cuenta.

Envié por correo el soporte de Ubikey para ver si esta respuesta es correcta. Dijeron que esta explicación era correcta, excepto que explicaba solo una parte de la forma en que funciona la clave.

Las otras respuestas aquí no dan ninguna explicación real. Incluso el artículo de Linuxjournal no lo explica de esta manera. La respuesta aceptada da una respuesta de caja negra, no lo que estaba buscando cuando abrí esta página. Espero que esta respuesta ofrezca una mejor explicación y al escribirla, me hizo entender mejor a Yubikey.

Tengo uno, y los recomendaría! De hecho, lo obtuve gratis de los chicos de Yubico, cuando asistía a BSidesLondon.

Piense en ello como una clave de seguridad RSA, excepto que es mucho más pequeña, más barata y sin batería. Obtiene (esencialmente) la misma seguridad, aunque las YubiKeys tienen un espacio de claves significativamente mayor que las RSA. También son increíblemente resistentes y pueden sumergirse completamente en agua sin daños.

Aquí está el mío:

Séqueestosuenacomounanuncio,perorealmentesongeniales.Encomparaciónconllevarunmontóndeesasclavesseguras,casinosenotanenunllavero.

Encuantoacómofuncionan,sevalidancontraunservicioenlanubequeejecutaYubicoyproporcionanautenticacióndedosfactores.Todoelsoftwaredelservidoresdecódigoabierto,yestánfelicesdequeustedejecutesuspropiosservidoresdeautenticación.Escompletamentetransparente.

Investigueensu sitio web , hay mucha información técnica y descripciones allí.

Eche un vistazo aquí enlace

Dirk Merkel, autor del artículo vinculado anteriormente, escribe lo siguiente:

  

Cada vez que presiona el botón en el dispositivo, genera una contraseña de un solo uso y la envía a la máquina host como si la hubiera ingresado en un teclado. Esta contraseña puede ser utilizada por el servicio para autenticarse como usuario.

Le sugiero que lea el artículo de 5 páginas ya que esto es demasiado para asumir aquí.

Por lo que entiendo, la contraseña de un solo uso se compone de varios datos diferentes, como una marca de tiempo (cuánto tiempo ha estado guardada la clave en su computadora), un sello de sesión de Yubikey (cuántas veces lo conectó en su computadora), un código especial aleatorio, un sello de las veces que haya generado una contraseña, etc., luego la encripta. Luego coloca un código especial asignado a ese Yubikey específico, del cual se encripta nuevamente. Luego, se envían a Yubikey (porque conocen todos los códigos especiales) y verifican que su clave sea correcta y lo que sea. Luego le dice a quien quiera que intente iniciar sesión, como Google, que usted es la persona adecuada, entonces Google le permite ingresar.

Hay otras características como que solo guarda una cadena o contraseña en el dispositivo y cuando haces clic en él, se crea una contraseña. Muy claro.