De många dataintrången under de senaste åren har gjort en sak extremt tydlig: Lösenord fungerar inte.
Ange $ 25 Nitrokey Fido U2F USB-säkerhetsnyckel.
Nitrokey gör det mycket svårare för skurkarna att bryta sig in på ditt konto genom att lägga till ett andra autentiseringssteg till populära tjänster som Google, Twitter, Facebook och mer.
Vad som gör Nitrokey unik är att den är helt öppen källkod, från hårdvara till programvara.
Det är en smidge dyrare än jämförbara produkter, men för alla som kräver öppen källkod hårdvara och programvara, Nitrokey är oöverträffad.
Hur tvåfaktorautentisering fungerar
Medan tvåfaktorautentisering (eller 2FA) i allmänhet anses innebära att du lägger till ett andra steg efter att du har angett ditt lösenord, är det inte den faktiska definitionen av termen.
Snarare betyder 2FA att man tar två medel för autentisering från en lista med möjliga tre:
- Något du vet,
- Något du har, och
- Något du är.
Ett lösenord i ditt huvud (eller, ännu bättre, i en lösenordshanterare) är något du känna till.
En hårdvarunyckel eller autentiseringsapp är något du ha, och ett fingeravtryck eller annat biometriskt är något du är.
Vi sitter fast med lösenord för nu, så det är därför 2FA de facto meningen är att lägga till en av de andra två till ett lösenord.
Det fungerar för att även om ditt lösenord kan avvisas eller exponeras vid ett dataintrång är de andra två mycket svåra att få eller förfalska.
Medan det finns många sätt att lägga till 2FA, har hårdvarusäkerhetsnycklar som Nitrokey Fido U2F bestämda fördelar.
Till skillnad från engångskoder som skickas via SMS kan de inte fångas upp.
Till skillnad från koder som genereras av en app kan de inte phishing.
Google bevisade detta när företaget rullade ut säkerhetsnycklar till alla 85 000 av sina anställda och såg att framgångsrika nätfiskeattacker sjönk till noll.
Som sagt, om du använder en säkerhetsnyckel låter som för mycket krångel, bör du aktivera 2FA på vilket sätt som är vettigt för dig.
Hands On With Nitrokey Fido U2F
Nitrokey är ett tyskt företag som säljer en mängd olika USB-stick säkerhetsenheter.
De flesta av dessa enheter är centrerade kring säker lagring och kryptering.
De kan lagra e-post- och diskkrypteringsnycklar, och några har till och med säker inbyggd lagring.
Nitrokey Fido U2F är den mest prisvärda gruppen till 22 euro (det är ungefär $ 25, beroende på växelkurs), och det är den enda som endast är avsedd för 2FA.
Fido U2F-modellen fungerar som en andra autentiserare för många populära webbplatser, inklusive Google, Facebook, Twitter och så vidare.
Det är en tunn, svart USB-enhet med en texturerad plastfinish som ser ut som en gammal flashminne.
Den är liten, 48 x 19 x 7 mm och ganska lätt och väger bara 5 g.
Den ena änden är kapad för att rymma en nyckelring, och USB 1.1 typ A-kontakten i den andra änden är skyddad av ett avtagbart skal som du definitivt kommer att förlora inom en vecka.
Förutom locket har den inga rörliga delar, vilket gör den motståndskraftig (men inte ogenomtränglig) mot vatten och krossning.
Den större USB-kontakten är lite av en outlier; YubiKey-linjen och Google Titan-tangenterna är helt platta.
Nitrokey säger att deras användning av den större USB-kontakten säkerställer kompatibilitet med fler enheter och är mer hållbar, men jag tror att jag föredrar den plattare stilen om jag av någon annan anledning inte tillåter en mindre enhet.
Nitrokey är ganska skrymmande jämfört med andra säkerhetsnycklar, som är tunt och fjäderlätt.
Med detta sagt är det mindre troligt att Nitrokey väcker mycket uppmärksamhet med sitt helt intetsägande utseende.
Att para ihop Nitrokey Fido U2F med en webbplats är en enkel affär.
Navigera bara till inloggningsalternativen för en webbplats som stöds, sätt in Nitrokey när du uppmanas till det och tryck på fingerikonen på fodralet när en intern vit lysdiod lyser.
Detta kastade mig inledningsvis, eftersom jag är mer van vid den guldskiva som används av Yubico och Google i deras säkerhetsnycklar, även om Nitrokey fungerade lika bra.
När enheten har parats ihop blir du uppmanad att infoga och knacka på din Nitrokey Fido U2F när du loggar in på webbplatsen.
För att undvika att bli utestängd från en registrerad webbplats rekommenderar jag starkt att du aktiverar ett annat 2FA-alternativ, till exempel säkerhetskopieringskoder som kan skrivas ut och lagras någonstans säkert, eller registrera en andra säkerhetsnyckel.
Eftersom Nitrokey Fido U2F inte stöder någon trådlös kommunikation kommer du inte att kunna använda den för att autentisera en mobil enhet.
Kanske kan du dra ut det med en funky USB-adapter, men jag testade inte detta oddball-scenario.
Istället måste du använda en annan 2FA-metod, till exempel en autentiseringsapp, för dessa situationer.
Yubico Security Key NFC är bara två dollar mer, stöder också Fido U2F, men inkluderar NFC, så att du kan smacka den mot din telefon för att autentisera.
Säkerhet utan dunkel
När något är öppen källkod är det helt tillgängligt för inspektion och till och med ändring.
Det betyder också ofta att det är ett volontärprojekt och kan vara tillgängligt gratis.
Det står i kontrast till så kallad "säkerhet genom dunkelhet" där kritiska aspekter av en produkt är dolda i skyddet av hemligheter.
Tanken är att vara transparent hjälper till att skapa bättre, mer motståndskraftiga produkter.
Nitrokey är helt byggt kring open source-idén.
Företaget sammanfattar sin strategi och vad de anser är fördelarna på detta sätt:
"Både hårdvara och firmware, verktyg och bibliotek är öppen källkod och fri programvara som möjliggör oberoende säkerhetsgranskningar.
Flexibelt anpassningsbar, ingen leverantörslås, ingen säkerhet genom dunkelhet, inga dolda säkerhetsfel."
Att använda open source-verktyg är också ett etiskt uttalande för både företag och konsumenter.
Om du är den typ av person som verkligen tror på öppen information kommer du förmodligen att uppskatta Nitrokeys inställning.
Öppen källkodsmaskinvara är också en relativt sällsynt sak att se och hjälper till att lindra rädslan för att underrättelsetjänster glider bakdörrar i marker på fabriken.
[embed]https://www.youtube.com/watch?v=AMOtB7XkTT4[/embed]
Det betyder inte att att vara öppen källkod är en magisk kula mot säkerhetsfel eller attacker.
Heartbleed orsakades av ett fel som omedvetet lades till den öppna källkoden OpenSSL kryptografisk programvara.
Med detta sagt är det troligt att om OpenSSL inte var öppen källkod kanske felet aldrig har hittats.
Nitrokey Versus Friends and Enemies
Nitrokey Fido U2F är en av ungefär ett halvt dussin Nitrokey-enheter som för närvarande är till salu.
Liksom Yubicos Yubikey 5-rad finns det en mängd olika konfigurationer att välja mellan.
Till skillnad från Yubico gör Nitrokey-linjen mycket mer än bara autentisering.
Nitrokey Storage 2, den mest robusta och dyra av erbjudandena, stöder S / MIME-e-post och diskkryptering, OpenPGP / GnuPG-e-postkryptering, One Time Passwords (OTP) och krypterad inbyggd lagring.
Det lagrar även upp till 16 lösenord i en anpassad lösenordshanterare.
Det kostar 109EU eller cirka $ 124.
Det är mycket alfabetssoppa, och om du inte fångade allt är det förmodligen inte produkten för dig.
OTP-stöd är anmärkningsvärt eftersom detta är det enda 2FA-alternativet för maskinvara som stöds av LastPass.
Nitrokey Pro 2 tappar lagring ombord och kostar bara 49 euro eller cirka 56 dollar.
Unikt kan den (eller dess kända kusin Purism Librem Key) användas för att verifiera giltigheten för firmware och hårdvara för Purism-bärbara datorer.
Det betyder att de kan upptäcka om någon har försökt att manipulera med din Purism-bärbara dator.
Det är en fascinerande funktion, men bara intressant för den typ av person som i första hand skulle köpa en Purism-bärbar dator med öppen källkod.
Konstigt nog är Nitrokey Fido U2F som granskas här den enda Fido U2F-kompatibla autentiseraren från Nitrokey.
Om du köper en dyrare och mer kapabel Nitrokey kommer du inte att kunna använda denna allmänt antagna standard.
Yubico, å andra sidan, innehåller både Fido U2F och den nyare, mer framtidsskyddade Fido2 i alla sina YubiKey 5-enheter, tillsammans med OTP, OATH (HOTP och TOTP), OpenPGP och stöd för smartkort.
Två YubiKey 5-enheter stöder också USB-C.
De två lägsta priserna, säkerhetsnyckeln och säkerhetsnyckeln NFC, stöder endast Fido2 och Fido U2F.
Den senare av dessa kostar lite mer än Nitrokey Fido U2F till $ 27, men den inkluderar trådlös NFC-kommunikation, vilket Nitrokey inte gör.
För sin del är säkerhetsnyckeln bara $ 20, vilket placerar den väl inom impulsköpsområdet.
Googles Titan-paket kostar $ 50 och landar någonstans däremellan.
Detta inkluderar två enheter - en USB-A-nyckel och en batteridriven Bluetooth-dongel - som båda stöder Fido U2F.
Att inkludera en andra enhet gör det definitivt till ett frestande paket, men jag är fortfarande skeptisk till nyttan med den batteridrivna dongeln.
Kompromisslös säkerhet
Nitrokey Fido U2F är inte slicker, smalare eller billigare än konkurrenterna, men dess engagemang för öppen källkod hårdvara och programvara är en viktig skillnad för vissa.
Liksom mycket öppen källkodsmaskinvara är det klumpigare men potentiellt bättre.
Vi föredrar fortfarande vårt Editors Choice, säkerhetsnyckeln av Yubico, som är något billigare och mycket smalare än Nitrokey.
Men om du bara doppar tån i 2FA-hårdvara, och speciellt om du är en öppen källkodsevangelist, är Nitrokey Fido U2F ett bra val.
