YubiKey挑战-响应如何“本地”工作？

Question

我最近得到了一个YubiKey近地天体(并且有点失望，在所有列出的方法中只能有两种激活的第二因素身份验证方法)。

在支持YubiKey的密码管理器中，密码安全是开源的，并且在本地工作.它可以配置为使用YubiKey HMAC-SHA1挑战-响应进行身份验证。我感到困惑的是，如何才能与双方安全地建立一个安全的挑战响应机制：(1)我的本地PC和(2) YubiKey。(相关文件)

实际上，向YubiKey发送主密码、获得响应并使用它解密数据库的优点是什么？现在，YubiKey响应是我们的静态密码，它可以在内存中使用，并且所有的主机密码都可能被泄露。

他们是为了好玩才实施的吗？还是我漏掉了一些要点？

Answer 1

密码安全的源代码是开源的，所以您可以自由地做我做过的事情:检查。

一个HMAC需要两个输入:键和数据。PS对YubiKey的作用是将输入作为数据并将其发送到YubiKey。密钥在YubiKey本身中，并停留在那里。

因此，事件的顺序如下：

1. 你输入密码。
2. 软件将密码发送给YubiKey
3. YubiKey使用您的密码作为输入和(内部存储的)秘密密钥执行HMAC。
4. 结果值被发送回应用程序，并用于解锁数据库。

因此，只要各种密码元素是安全的，系统仍然是安全的:数据库真正的密码是HMAC操作的结果，HMAC是由秘密密钥组成的，该密钥保存在您的2FA设备和您自己的主密码上，您通过计算机输入该密码。

Answer 2

你漏掉了一些要点。

如果有人偷了你的密码安全数据库文件的副本，他们将无法解锁它，除非他们还拥有你的尤比键(即使他们已经知道你的密码短语是什么)。

当然，如果攻击者对您的系统具有一定程度的访问权限，他们就可以读取内存，那么不管您拥有多少yubikeys，只要您解锁密码安全数据库，您就完蛋了。

将yubikey链接到密码安全的一个优点是，将密码安全的数据库文件备份到云端可以让您感觉更好一些。

Answer 3

基本上，您添加的是一个老式的物理“密钥”到您的密码存储。

任何锁匠都无法复制的“钥匙”。

在您现有的模型中，“密码”是薄弱环节。如果你不小心泄露了它，或者有人冲过你的肩膀，或者记录了你的击键，或者你在一个可疑的网站上重复使用它，攻击者就可以进入你的密码库。

在新的设置中，攻击者需要完成所有这些操作，并访问物理密钥。