Yubikey-Lücke: Hersteller will weder Update noch generell Ersatz bereitstellen
Yubico plant auch künftig keine Firmware-Updates für verwundbare Yubikeys. Über einen Ersatz will das Unternehmen im Einzelfall entscheiden.
You're viewing a single thread.
Liest sich als sei man hier auf der Suche nach einer Sensation die keine ist. Erinnert an den CVE dieses Jahr zu KeePassX wo man eine"Sicherheitslücke" festgestellt hat dass man das Master-Passwort eines entriegelten Safes ändern kann, ohne vorher erneut das alte eingeben zu müssen.
Wenn jemand bereits direkten Zugriff hat, dann spielt das ganze sowieso keine Rolle mehr, alles drumherum ist Security-Theater.
Genau so hier, dass man einen Backup Key haben sollte ist eine grundsätzliche Empfehlung um Verlust von Accounts auszuschließen, der Autor legt das hier als zusätzliche Angriffsfläche aus, weil man den ja auch geklaut bekommen kann (??).
Und nicht zu vergessen natürlich, hier wird "Yubico kann physisch keine Firmware Updates aufspielen" (was obendrauf von Yubico aber als Sicherheitsfeature verkauft wird) geframed zu "Yubico will nicht". Der Autor dreht sich alles wie es gerade in sein Bild passt, scheint von der Materie aber wenig Ahnung zu haben.
Heise halt
Naja, einen Yubikey zu klonen würde ich schon als Sicherheitslücke sehen.
Ob das eine ist habe ich nicht in Frage gestellt, aber wie erwähnt, sobald jemand physikalischen Zugriff auf dem Yubikey hat, steht man schon längst vor dem größten Problem. Ob er den nun klonen kann spielt keine Rolle, authentifizieren kann er sich damit schon.
