Jeg har tidligere skrevet om at sætte to faktor logins op med sms/apps og hvorfor man bør gøre det. Dog har sms og authenticator apps en række sikkerhedsudfordringer:
Nogen kunne lokke dig til at indtaste din kode på et falsk websted (Et kedeligt eksempel ).
Det kan lade sig gøre at portere dit nummer til et abonnement og dermed kunne modtage dine sikkerhedskopier. Dette sker åbenbart ofte nok til at teleselskaberne har en standard kompensation for det. Du kan læse et amerikansk eksempel her
Hackere opsnapper dine sms via ss7 fejl.
Disse udfordringer kan løse ved at benytte en U2F usb nøgle, fx en yubikey. Det en USB nøgle som du sætter i computeren når du ønsker at logge ind på en hjemmeside (evt kun første gang hvis man stoler på computeren). Den identificere dig overfor webstedet og webstedet over for dig kryptografisk. Den træder istedet for den to faktor nøgle du modtager via SMS men du skal stadig bruge dit password.
Fordelene ved yubikeys er at den selv tjekker om du er på det rigtige websted, så hackere kan ikke snyde dig ved at få dig til at klikke på et falsk link og keyloggers på computeren kan ikke opsnappe koden du indtaster. Du slipper også fra problemer med at modtage SMS beskeder.
Yubikeys understøttes af en lang række tjenesteudbydere, fx google, facebook, microsoft og dropbox. Den eneste store udbyder hvor yubikeys ikke understøttes ved logins er apples icloud.
Det er voldsomt enkelt at sætte en yubikey op og derefter bruge den, jeg har en meget kort guide til flere populære tjenester i slutningen af artiklen.
Du kan desværre ikke umiddelbart bruge yubikeys på android og iOS enheder så man er nødt til at have en en anden måde at genere nøgle, her vil jeg anbefale googles authenticator app (beskrevet her) men kun bruge den på enheder hvor det er umuligt at bruge yubikeys.
Grunde til at jeg ikke vil anbefale at man udelukkende bruger authenticator app’en for optimal sikkerhed er at den ikke tjekker hvilket site man taster koderne ind i og man nemt kan nulstille appen ved et uheld.
Når du har sat sikkerhedsnøglen op bør du fjerne dit telefonnummer fra kontoen så det ikke kan misbruges. Du bør også gemme dine backup koder et sikkert sted så du ikke mister adgangen til kontoen.
Hvor kan man købe en yubikey
Yubikeys er den mest udbredte U2F usb nøgle laves af yubico og du kan købe købe den direkte hos dem (De giver forskellige rabatter, fx hvis man har en github konto). De sender fra sverige når man bor i DK så man skal ikke være bange for told afgifter.
Du kan også købe dem hos danske forhandlere, fx dustin.
Hvordan sætter man google op
For at sætte din yubikey op hos google skal du gå til https://myaccount.google.com logge ind og vælge “Login og Sikkerhed”. Her skal du vælge Totrinsbekræftelse.
Nu skal du vælge at tilføje en sikkerhedsnøgle.
Hvis du har Google prompt (hvor den via google appen spørger dig om du vil logge ind) vil den bede dig slå den fra.
Derefter skal du sætte din sikkerhedsnøgle i computeren, lade google registrere den og give den et navn.
Så er du klar til at logge ind med sikkerhedsnøglen.
Når du har sat sikkerhedsnøglen op bør du fjerne dit telefonnummer fra kontoen så det ikke kan misbruges. Du bør også gemme dine backup koder et sikkert sted så du ikke mister adgangen til kontoen.
Hvordan sætter man facebook op
For at anvende din yubikey til skal du være logget ind på facebook via din computer og vælge indstillinger.
Her skal du vælge “Brug sikkerhedsnøgle” og følge en guide der ligner den hos google.
Når du har sat sikkerhedsnøglen op bør du fjerne dit telefonnummer fra kontoen så det ikke kan misbruges. Du bør også gemme dine backup koder et sikkert sted så du ikke mister adgangen til kontoen.
Hvis du hyppigt bruger mobil enheder bør du også sætte kode genererings appen op, det kan du læse om her.
Hvordan sætter man dropbox op
Dropbox følger samme princip som google og facebook, du logger ind, vælger indstiller og sikkerhed. Her skal du du vælge “Authenticator app” som primært login og følge guiden.
Igen skal man huske at gemme backup koderne så man ikke bliver låst ude senere.