Yubikey 5 NFC - passende NFC-Reader gesucht

Hallo,

ich denke es geht ihm darum dass sich der USB Port am Endgerät abnutzt wenn man das ständig benutzt. Wir bringen unseren Kunden immer bei einfach ein USB Verlängerungskabel zu benutzen das irgendwo am Monitorfuss festgemacht wird., oder einen USB Hub zu benutzen. Weil man beides ohne Probleme austauschen kann. Dagegen sind USB Ports an Geräten eher schlecht bis gar nicht zu reparieren. Ein NFC Reader ist eben Kontaktlos.

Ja, das ist wohl richtig - und danke für den Blickwinkel: Ich stecke täglich ca. 3-5 Mal, seit 1,5 Jahren. Die Buchse lebt noch, aber der Ansatz vom Kollegen @Snagless (Danke!) dürfte sicherer sein. Die Spezifikation für USB-A gibt nur 1500 Steckungen (2.0) bis 5000 (3.0) vor. Das ist dann natürlich schnell erreicht. Und die Buchse ist wahrscheinlich deutlich empfindlicher als der Stecker.

Jedes Mal abziehen ist allerdings meist nicht nötig - wahrscheinlich je nach Anwendungsfall und Diebstahlrisiko. Ich nutze ihn meist für SSH und 2FA: Keepass, Nextcloud u.ä. Da kann er stecken bleiben, da diese Anwendungen entweder einen zweiten Faktor brauchen oder die Abfrage PIN-geschützt ist. Bei Nutzung des reinen Passwort-Logins (eh unsicher) ist das natürlich anders. Da muss man dann schon aufpassen, selbst bei geteiltem Passwort, wie von Yubico empfohlen will man ja nicht, dass die eine Hälfte des Passworts schon bekannt ist.

Gib mal gern weiter, wenn Du noch einen Reader gefunden hast. Vielleicht braucht es noch jemand.

In drei Jahren mit ca. 30 YubiKey-Nutzern hatte ich kein Problem mit den USB-Ports (ohne Kabel, die meisten nutzen wegen der Arbeitsplatzaufteilung auch an der Docking-Station den Geräteport). Auch bei Projekten mit anderen Token mit vollwertigen USB-Steckern war das nie ein Problem. An ca. 10 Jahre alten privaten Geräten kann ich die eine oder andere wackelige Buchse darauf zurückführen. Die einfache Leiterplatte bzw. der Kunststoff des YK ist nochmal schonender.
Zu Schäden kam es, wenn der eingesteckte Token anstieß. Wobei ein YubiKey dabei abbrach, ohne das Gerät wirklich zu beschädigen.

Per NFC funktionieren leider weder Touch-Policy noch OTP.

Grüße
Richard

Ei Wei, das hatte ich fast befürchtet. Die von @Snagless beschriebene Kabel-Lösung (alternativ gibts ja auch so kleine schreibtischtaugliche single-USB-Docks) ist dann wohl (vorsorglich) die sinnigste Lösung. Zumal die Keys ja oft an Schlüsselbünden hängen - und das macht sich an PC-Buchsen nicht wirklich toll.

Ich hatte bislang kein NFC im Einsatz, weil es bis vor ~5 Jahren im regulierten Umfeld nicht für Pin-Eingabe zulässig war, und immer noch kritisch gesehen wird. Eine Support-Anfrage, ob bzw. unter welchen Umständen der YK 5 NFC Secure Messaging/VCI erzwingt oder das von der Middleware abhängt, ist noch unbeantwortet.
Anlässlich deiner Frage dachte ich, dass das bei mir privat eine nette Idee wäre und habe den Omnikey 5022 CL gekauft (die 30 Nutzer jetzt haben keine hohen Sicherheitsanforderungen, aber da wäre es auch kostenmäßig nicht zu rechtfertigen). Ich hatte überlegt, noch einen zweiten zu nehmen, das wäre dann der ACR1252U gewesen. Also unter 50-60 Euro wird das meines Erachtens nichts. Zwei Slots ist schon eine ungewöhnliche Einschränkung, ich hätte zumindest die ersten 4 erwartet. Benutzt Du trotzdem den Yubico Minidriver dafür?

Vor der Bestellung hatte ich schon irgendwo gelesen, dass Touch nicht funktionieren soll, weil "die LED keinen Strom erhalte", also mehr ein Usability-Thema. Es stellte sich heraus, dass die PIV-Touch-Policy per NFC ignoriert wird - dachte ich.
Wegen deines Links habe ich es nochmal getestet: Es ist so zu verstehen, dass der Touch innerhalb von 20 Sekunden übersprungen wird. Wartet man länger bis zur PIN-Eingabe, schlägt die Verwendung der Smartcard fehl, d.h. Touch-Policy greift, aber Touch funktioniert nicht.

OTP über NFC funktioniert ja generell per NDEF, d.h. man legt einen der beiden Slots dafür fest, der das OTP dann per NDEF einem Tag-Reader bereitstellt (ohne Touch). Separat, z.B. auf dem Smartphone, funktioniert das. Aber ein PC/SC-Reader liest wiederum keine NDEF-Messages. Wenn es einen Reader gäbe, der beides vereint, bezweifle ich, dass das gleichzeitig geht, also z.B. die Removal-Policy erfüllt bleibt. Ich habe keinen Tag-Reader für den PC zur Hand, aber ich glaube, dass auch keine Desktop-Software von Yubico NDEF-Messages abfängt. Da müsste man Drittanbietertools nehmen: https://tools.nfc21.de/

Ich habe ihn jetzt überall installiert, aber hätte gewettet, ohne wären es vier (9a - 9e). Die Einschränkung ist mir beim allerersten Testing erst mit CLI-Tools aufgefallen, und schon per GUI kann man ja vier Slots beschreiben.
Hast Du den Treiber nach Anschluss über den NFC-Reader nochmal installiert? Habe ich mit dem Omnikey auch gemacht, weil der Key, der nur die Slots 82 ff. belegt hat, nicht funktionierte. Wahrscheinlich war ich etwas ungeduldig und es hätte auch ein Neustart getan, aber ganz reibungslos war es trotz des vorinstallierten Treibers nicht.

Ja, habe ich jetzt bestellt, weil mir das mit dem NDEF-Tag keine Ruhe lässt. Der Onmikey sollte das auch können, aber tut es aus irgendeinem Grund nicht.

Das nenne ich mal Forumsengagement!

Also der ACR1251 liest alle Slots, ist aber ggü. dem HID nicht empfehlenswert. Mit klassischen Karten liegt die Karte vielleicht etwas hübscher in der Schale, ansonsten ist die Anmutung durch den weißen Aufdruck billiger. Außerdem piepst er beim Auflegen und Abnehmen, was man wohl mit keinem kostenlosen Tool abstellen kann (selbst was schreiben oder SDK kaufen).
Das OTP habe ich ihm auch damit nicht am PC entlocken können.

Ja. An sich reicht mir certutil -scinfo als Bestätigung, aber ich habe es nochmal auf dem Login-Screen getestet. Mit mehr als zwei Zertifikaten habe ich zur Zeit nur einen Key 1, der die Slots 9a-9d belegt hat, und einen Key 2 mit sechs Zertifikaten in 9a, 9c und 82 ff.
Die drei Zertifkate von Key 1 werden korrekt auf der Anmeldemaske angezeigt. Bei Key 2 kann ich das nicht ausprobieren, weil sie nicht alle für Login und außerdem abgelaufen sind. Aber certutil -scinfo gibt alle sechs aus.

Ich habe mich oben nur vertippt. Gekauft und getestet habe ich den ACR1252U-M1. Geht also auch mit dessen Klassifizierung. Der Onmikey scheint aber mehr zu unterstützen, und mit dem HID Workbench-Tool kann man versuchsweise einiges aus- und einschalten.

Das habe ich inzwischen gefunden (nicht beim Produkt gelistet): https://www.acs.com.hk/en/utility-tools/
Mit dem ACS Smart Card and Reader Tool kann man den Buzzer abschalten.

Der markierte ist schon richtig. Treiber installiert?