•

ID-Austria und YubiKey 5C NFC FIPS

Hab jetzt mal auf ID-Austria umgestellt und wollte heute meine 2 Security Keys hinzufügen.

Geht natürlich nicht. Also das Hinzufügen ansich schon, der Login danach schlägt aber fehl inkl. Fehlermeldung.

Geht es bei irgendwem hier?

Aber eigentlich ist es eh nicht wirklich brauchbar, da man aktuell den Namen seiner Keys nicht ändern kann und auch nicht sieht wann er denn hinzugefügt wurde, um 2 gleiche außeinanderhalten und bei Verlust den richtigen löschen zu können.

Nicht wirklich gut gemacht. Hätte gerne diese A-Trust App authentication wegbekommen.

Fairerweise muss man sagen, dass Namen wie Github, Paypal oder Protonmail es auch nicht geschafft haben den user die OTP auth komplett deaktivieren und/oder mehr als einen Security Key hinzuzufügen zu lassen.

6 comments

See all comments

fatcat

•

Ja, das geht bei mir. Hinzufügen und auch einloggen klappt. Ich würds aber wirklich über die A-Trust Seite machen, ansonsten bekommt man da einen Anfall. Nicht vergessen einen PIN zu setzen (Firefox erinnert einen noch nicht daran und man kann darüber auch keinen PIN setzen). Ich glaube wenn du keinen PIN auf FIDO2 mit dem Yubikey Tool gesetzt hast, kommt es zu dem Effekt den du genannt hast. Finde es auch fürchterlich umgesetzt und am Handy geht der Login natürlich auch nicht.

Proton kann zumindest mal mehrere Keys hinzufügen, da bin ich schon sehr dankbar haha. Am besten find ich ja die Services die Yubikeys erlauben... und dann als Recovery Methode SMS. Danke für nix und so. Hab mir auch schon ordentlich an den Kopf gegriffen.

Xepp

•

Danke für den Tipp mit dem PIN! Wusste gar nicht, dass man einen PIN hat bei FIDO2, aber damit funktioniert die Authentifizierung mit A-Trust!

So, sagen wir ich will die A-Trust App loswerden. Habe einen zweiten Key, füge den dazu, lösche die App Auth. Kann natürlich nicht den Namen meiner Keys definieren und sehe auch nicht wann welcher hinzugefügt wurde um sie irgendwie ausseinanderzuhalten. Im Falle des Verlusts eines Keys, müsste man sich dann einloggen und beide Keys löschen und sofort wieder einen hinzufügen. Sollte ja gehen? Ist zwar etwas dumm, aber sollte gehen.

#Edit: Nein. Wenn man einen hinzufügen will, muss man sich auch eingeloggt einmal verifizieren, daher kann man vorher nicht beide entfernen wenn man keine andere Authentifizierungmethode, also die App, hat. Ja, schade. Hätte gern nur noch die Keys genutzt. Aber eine 50/50 Chance ausgesperrt zu werden sollte ich mal einen verlieren mag ich auch nicht haben. Wäre so einfach, wie überall sonst, einen Namen vergeben zu können.

Hast du die App gelöscht?

Proton kann zumindest mal mehrere Keys hinzufügen, da bin ich schon sehr dankbar haha. Am besten find ich ja die Services die Yubikeys erlauben… und dann als Recovery Methode SMS. Danke für nix und so. Hab mir auch schon ordentlich an den Kopf gegriffen.

Ja zumindest das. Paypal nimmt immer noch nur einen und QR Code based OTP kriegst nicht weg, wie bei Github, aber mit zwei Keys. Aber das mit der SMS Auth ja, also da hätten sie sich den Implementierungsaufwand auch ganz normal einfach sparen können :D

fatcat

•

Also ich hab generell die App installiert und bekomm normaleweise auch darüber Auth Anfragen. Für die Keys hinzufügen habe ich aber SMS Tans bekommen... Weiß der Teufel warum. Vielleicht gibt es ein fallback auf SMS wenn die App entfernt wird? Hast mal geschaut ob du SMS als Option hast wenn du nicht die security key Variante beim login nimmst?

Edit: tbh ich nehme Verlust ggf in Kauf. Neu beantragen ist grundsätzlich ja nur ein Besuch beim Magistrat und ich mach mit der ID nichts zeitkritisches.

Xepp

•

Kann auch von SMS nirgends nix erkennen.. Aber wenn ich einloggen will gibts sofort eine Push auf die App, dann unten FIDO auswählen, dann einloggen.

Naja.. wäre halt gscheid wenn man die Keys umbenennen und die App entfernen könnte. Und SMS sowieso, wenn man das teilw. auch noch bekommt^^

fatcat

•

Jetzt überfordere doch bitte Österreich nicht so viel! Jetzt habens wenigstens Security Keys schon mal implementiert, ich bin schon ganz stolz.

Ich find ja generell die beste Implementation haben immer noch Google und Microsoft. Aber ob man die verwenden will, ist eine andere Geschichte. Hoffe es kommt in Zukunft da noch bisschen gscheiteres.

Xepp

•

Google, Apple und Bitwarden...

Aber Microsoft passwordless geht auch nur mit Microsoft Authenticator. Sonst kannst den Security Key nur als optionalen Account Sign in einrichten, Passwort mit entweder Auth App oder Email kriegt man da auch nicht weg.

Aber wie du sagst, es bringen nicht so viele eine gscheite Implementierung zam. Von daher gut, dass A-Trust es mal hat.. wär wirklich noch sehr cool wenn man die Keys umbenennen könnte, dann lösche ich die App sofort.