Die Anmeldung an einem Linux-Server ist mit einem YubiKey ohne die Eingabe eines Passworts möglich. Die Administration wird damit erheblich erleichtert und die Sicherheit erhöht.
Der Komfort ist einfach super! Bei der Anmeldung ist kein Passwort mehr einzugeben, sondern es ist lediglich der am PC angeschlossene YubiKey erforderlich.
In diesem Beitrag werden die erstellen Sub Keys auf einen YubiKey übertragen.
In diesem Beitrag werden ein paar hilfreiche Befehle zur Verwaltung und Wartung von Schlüsselpaaren.
Nach jeder Änderung an einem Schlüssel ist ein neuer 👉 Export zu erstellen. Es erfolgt keine automatische Anpassung der älteren Schlüssel, das ist alles manuell zu erledigen.
Es müssen auch alle Schlüssel auf YubiKeys oder anderen Systemen aktualisiert werden.
Die Schlüsselpaare sind erstellt und im Schlüsselbund in der virtuellen Box vorhanden. Nun sind noch ein paar Kleinigkeiten,
vorzunehmen.
In diesem Beitrag wird ein Master Key und drei Sub-Keys erstellt.
| Schlüsselart | Deutsch 🇩🇪 | Englisch 🇬🇧 |
|---|---|---|
| Hauptschlüssel | Hauptschlüssel | Master key |
| Sub-Key | Signaturnutzbarkeit (S) | sign capability (= S) |
| Sub-Key | Verschlüsselungsnutzbarkeit (V) | encrypt capability (= E) |
| Sub-Key | Authentisierungsnutzbarkeit (A) | authenticate capability (= A) |
Die Erstellung eines OpenPGP-Schlüsselpaares ist eigentlich recht schnell erledigt, wenn das Setup stimmt. Eine virtuelle Umgebung hilft!
Ich habe seit kurzem einen neuen YubiKey 5C NFC. In diesem Beitrag zeige ich, wie der Hardwaretoken eingerichtet und für die unterschiedlichen Anforderungen eingerichtet und konfiguriert wird.
Mittlerweile bieten fast alle großen Dienste eine Zwei-Faktor-Authentifizierung an. Neben Benutzername und Passwort wird ein weiterer, zweiter Faktor für die Anmeldung benötigt, der über eine App oder auch über einen Hardwaretoken, wie den YubiKey, erzeugt werden kann. Der weitere Faktor besteht meistens aus 6 Zahlen und hat jeweils eine Gültigkeit von 30 bis 60 Sekunden. Nach Ablauf der Zeit verliert er seine Gültigkeit und ein neues OTP wir benötigt, deshalb auch Einmalpasswort (= One-Time-Passwort).
Microsoft bietet seit einiger Zeit die Möglichkeit an, sich an Microsoft 365 mit einem Sicherheitsschlüssel, z.B. einem YubiKey, anzumelden. Das Hinzufügen der neuen Anmeldemethode ist sehr einfach und schnell erledigt und dauert nur ein paar Minuten.
Die Anmeldung an einem Synology NAS via SSH lässt sich relativ einfach konfigurieren. Bei dieser Anmeldemethode muss man aber ständig das Passwort eingeben, was auch mit einem Passwortmanager nervig sein kann.
Der Zugriff auf den Git-Server soll mit einem SSH-Schlüsselpaar erfolgen, dass auf einem YubiKey hinterlegt ist. Damit muss für jede Verbindung mit dem Repository, sei es pull, get, push, etc. der Hardwaretoken am Client angesteckt sein.
Das Update auf die Version 19 von Nextcloud ist zwar schon ein wenig her, aber es gibt eine sehr coole neue Funktion bei der Anmeldung. Habt ihr euch schon mal gefragt, was diese Zeile in der Anmeldemaske bedeutet?
Ein YubiKey kann als zweiter Faktor neben einem Passwort zur Anmeldung für den Passwortmanager KeePassXC verwendet werden. Damit wird für die Freischaltung der Datenbank ein Passwort benötigt und der YubiKey muss am USB-Port des Clients angeschlossen und dessen Kontakte gedrückt werden.
Verwendet man mehrere YubiKeys oder auch andere Smartcards an einem PC, dann kann ggf. die Meldung beim Anmelden auftauchen.
"Bitte legen Sie die Karte mit der folgenden Seriennummer ein."
In einem meiner früheren Artikel habe ich bereits geschrieben, wie man relativ einfach eine Zwei-Faktor-Authentifizierung an einem Raspberry Pi mithilfe von "libpam-google-authenticator" einrichtet. 👉 Zwei-Faktor-Authentifizierung am Raspberry Pi einrichten