TOTP mit Yubikey auf Smartphone und Desktop

Die meisten Webdienste, die eine Zwei-Faktor-Authentifizierung anbieten, unterstützen das TOTP (Time-based one time password) -Verfahren. Dabei bleiben die Codes nur eine gewisse Zeit lang gültig und ändern sich ständig. Zugriff auf die Codes bekommt man bei den Yubikeys nur über eine dritte Software, die mit dem Yubikey kommuniziert. Das liegt daran, dass der Yubikey keine eigenständige Code-Berechnung ausführen kann, weil ihm für eine eigene Systemuhr die notwendige Energieversorgung fehlt. Die Berechnung des Codes geschieht immer im Yubikey selbst – die geheimen Schlüssel verlassen also niemals den Yubikey. Die Clientprogramme liefern dem Yubikey nur die Systemzeit,  holen die fertig generierten Einmalcodes ab und zeigen sie an. „Yubikey Authenticator“ heißt der TOTP Client für den Yubikey, den es für Android, Linux, Windows und MacOS gibt.

TOTP unter Android

Der Yubico Authenticator für Android

Für Android gibt es die Yubico Authenticator App. Die App kommuniziert via NFC mit dem Yubikey, deshalb ist ein Smartphone mit aktiviertem NFC-Funk unerlässlich. Da auf dem Smartphone keine sensiblen Informationen wie z.B. der TOTP Key gespeichert werden, muss man sich bei Verlust keine Sorgen machen. Im Notfall kann man sich ein Smartphone ausleihen, die Yubico Authenticator App installieren und sich wie gewohnt TOTP-Codes generieren lassen. Alle dafür benötigten Informationen sind und bleiben auf dem Yubikey sicher abgespeichert.

TOTP unter Linux, Windows und MacOS

Der Yubico Authenticator für den Desktop

Wer kein NFC fähiges Android-Smartphone hat oder viel über Desktop-Rechner arbeitet, kann auf den Yubico Authenticator für Desktops zurückgreifen. Dieser ist für Linux, Windows und MacOS verfügbar. (Unter Arch Linux: Paket yubico-yubioath-desktop im AUR). Kommuniziert wird via USB. Da die älteren und einfacheren Yubikey-Modelle „FIDO U2F“, “ Edge“ und „Edge-n“ sowie „Standard“ sich nicht als CCID Smartcard ausgeben können, können diese pro Slot nur einen TOTP-Generator beherbergen. Welche Slots TOTP-Generatoren beinhalten, musst zuvor in den Einstellungen festgelegt werden. Alle anderen Modelle (Neo, Neo-n, Und Yubikey 4, Yubikey 4 nano | CCID-fähig)  unterstützen mehrere TOTP-Partnerschaften auf einmal, die nicht von Slots abhängig sind. Hierfür muss die Anwendung nicht konfiguriert werden.

Der Yubico-Authenticator für Desktops unterstützt sogar das Hinzufügen von neuen TOTP-Partnerschaften über QR-Codes. Dazu muss der QR-Code nur über den Bildschirm sichtbar sein. Der Authenticator erstellt bei der Einrichtung einen Screenshot und liest daraus den QR-Code ab. Bequemer geht nicht.