Authentifizierung per YubiKey OTP

Quote from Betaman2k

meine variante wäre billiger, man braucht ein smartfone für deine variante

http://de.wikipedia.org/wiki/Google_Authenticator

Tim hat da heute etwas gebastelt
Tims-2Factor-Auth

Quote from Betaman2k

und zu dieser aussage " ominösen Anbieter " ist Welt führend .... ( nur weil ihr das nicht kennt, muss es schlecht sein ) ?

Super Argument! - Da passt auch gut zu: "Unter den Blinden, ist der Einäugige der König."

Oder schlicht:

Wo keine oder kaum Konkurrenz da ist, ist es leicht "Welt führend" zu sein.

P.S.: Und wenn du mal ein bisschen die Nachrichten verfolgen würdest, dann hättest du doch mitbekommen das die NSA wohl in Sicherheitsprogrammen absichtlich "Hintertüren" einbauen lies. Zwar ist das ein Gerücht durch den Abtrünnigen Agenten, aber da wird wohl schon was dran sein.. (MEINE MEINUNG!).

Quote from Betaman2k

ups google nutz ein yubikey, die unbekannte hardware, woher google das nur kennt .....

Ah ja, gooogle eine Firma die ja überhaupt nicht für ihre Spähaktionen bekannt ist und auch nieeeeemals etwas an die NSA geben würde. Die Sammeln auch keine Daten. [Ironie_aus]

Was hat das Eine mit dem Anderen zu tun?!

Quote from SoftCreatR

Was hat das Eine mit dem Anderen zu tun?!

Weil er ja meint das die Firma wohl möglich eine sooo sichere Sache anbietet die man haben sollte, wenn schon google damit etwas anfangen kann. Ich sehe das etwas anders und vertraue nicht unbedingt google. Von mir aus kann er sich ja ein Plugin dafür schreiben, so wie es einige hier im Thema schon geschrieben haben.

Das Plugin von @TimWolla dürfte mit dem Yubikey funktionieren.

Wie wäre es mit starker Verschlüsselung?
Die kann man derzeit nicht effizient, in genügend kurzer Zeit knacken.
Gibt genügend Algorithmen, die als sicher gelten.

Quote from Betaman2k

lustig wie Perikles mich dislikes, weil er keine argrumente mehr hat bzw. das thema hier nicht gerafft hat. ( scheint ein kleines kind zu sein, das nun bockig ist xD )

Don't feed the troll, but:
Selber aber auch nicht besser

@Max Warum soll ich mir die Mühe mache mit ihm über etwas zu diskutieren, wo es bereits eine annehmbare Möglichkeit gibt. Bei Kindern die sich auf dem Boden wälzen und laut kreischen "Ich will.. ich will ich will" wäre jede weitere Diskussion einfach vergeudete Zeit. Das hat nichts mit Troll zu tun, sondern mit dem Abbruch der Diskussion mit ihm. Es gibt ja leider keine "Ignore-Funktion", die ich lieber genommen hätte. Die Dislike haben ihr Ziel nicht verfehlt.

Quote from Betaman2k

meine variante wäre billiger, man braucht ein smartfone für deine variante
habe auch keine lust drauf weiter ein zu gehen, thema ist eh erledigt, ihr habt recht und dann ist gut

ups google nutz ein yubikey, die unbekannte hardware, woher google das nur kennt .....

halt und stopp.

(ja ich weiß dass ich grabraube aber bevor mir jemand mit "geh suchen" kommt gehe ich lieber hier drauf ein.)

das was Google (mithilfe der FIDO alliance) baut ist FIDO U2F ein von Yubico OTP völlig verschiedener standard, der jedoch auch von den Yubikeys supported wird.

Dieses ist meiner Meinung nach eine Weitaus bessere bereicherung als YubiOTP (wie ich es einfach mal kurz nenne)

das Heißt aber nicht dass es in die Grundfeatures soll, plugins/addons/whatver reicht völlig.

es ist vollkommen offen,
es ist "mann-zu-mann" (also man braucht keinen dritten wie den Yubikey server) um das ganze zu checken
es ist Privat (bei YubiOTP gibt es einen identifikator [die ersten 12 zeichen des OTP.], während der KeyHandle von U2F pro seite immer zufällig generiert wird)
es ist sicher gegen Phishing (challenge-response)
es ist günstig (den billigsten token für U2F gibts für 5€ bei amazon)
es ist sicher (es werden keine gemeinsamen geheimnisse getauscht und man kann einen U2F token nicht ohne weiteres Klonen, was man bei OATH-TOTP/HOTP nicht sagen kann)

nachteil:
browser support (nur chrome, oder aber auch mit einem Addon, Firefox) und es wird
mehr js benötigt als ohnehin schon
deutlich aufwendiger zu implementieren (eigene erfahrung)