总是插入在MacBook中的双因素身份验证dongle (OTP)是否会增加安全性？

Question

我认为获得一个Yubikey和阅读Keepass与OTP是没有任何意义的不是的。安全性保持不变+额外的认知开销。。

我试图存储本地的所有数据，并且很少使用基于云的服务。

如果我有一个非常糟糕的SecOp，并且总是插入MacBook (或者放在同一张表上)，那么这个dongle会增加安全性吗？

我的线程模型是远程攻击。如果有安全方面的好处，我需要实现哪些Yubikey配置，以便从改进的安全性中获益？

Answer 1

是的，它增加了远程攻击的安全性。假设您在聊天窗口中键入密码，而不是在网站上的密码框中键入密码。使用2FA，聊天中的任何人都不能登录到您的帐户，即使您的YubiKey连接到您的Macbook。

当Yubikey将您的TOPT输入到同一个聊天中时，您可能会面临更大的风险，但幸运的是，在有人意识到它是什么以及在哪里登录之前，它就会过期。泄漏一个TOTP不会泄漏生成下一个TOTP所需的主密钥。

Answer 2

Yubikey添加了什么

？

Yubikey充当一个安全的环境，OTP秘密可以存储在这里。由于Yubikey始终是连接的，如果您强制对代码进行触摸( Yubikey代码的默认值，以及TOTP代码的选项)，那么攻击者只能同时登录到服务，这意味着一个登录将失败，因为OTP代码应该是一种使用。

Answer 3

有些答案是错误的：

• Yubikey本身并不遵循RFC6238中定义的TOTP算法。yubikey提供了一个基于AES的OTP算法。您可以初始化yubikey以遵循HOTP (RFC4226)算法(基于事件)。这是因为TOTP需要时间--这是yubikey没有的时钟。但是，您可以使用yubikey进行挑战响应，并且这个额外的客户端软件可以执行TOTP。

但Yubikey 4也是一款成熟的智能卡。因此，您可以在yubikey上创建非对称密钥对。您可以使用此智能卡功能来保护(加密！)数据以正确的方式。该软件将使用在yubikey上生成的公钥对对称数据加密密钥进行加密。您(或攻击者)只能解密数据加密密钥，从而使用私钥解密数据，这些密钥是在yubikey上创建的，不能从yubikey导出。这是实现静止状态的2FA加密保护的最明智的方法。

我不知道，keepass是否支持智能卡/PGP/PKCS11 11。