Follow

Passwörter sind einfach gut? Nur mit sicherer Zwei-Faktor-Authentifikation!

Das BSI hat ein FIDO U2F-Token implementiert, welches jetzt von der FIDO-Allianz als erstes auf der höchsten Sicherheitsstufe L3+ zertifiziert wurde. Ursprünglich wollten wir so die Prüfvorgaben erproben, nun geben wir Code und Zertifizierungsunterlagen als Open Source frei. Wir freuen uns auf die gemeinsame Weiterentwicklung und darauf aufbauende sichere Produkte.

github.com/BSI-Bund/de.fac2

@bsi
Sehr gut, vielen Dank! Vielleicht könntet ihr bei Gelegenheit noch von Microsoft GitHub zu einer freien Alternative in Europa (zB Codeberg) umziehen, um es perfekt zu machen.

@tpheine @bsi Dem kam ich nur zustimmen. Mit guten Beispiel voran.

@bsi habe erst "Java Applet" gelesen und wollte kurz weinen :P

Aber fühlt sich trotzdem etwas gruselig an dass auf einem Secure Element sowas wie Java läuft

@tsia @bsi War das nicht bei den Bibliotheken für den neuen Personalausweis nicht auch schon Java?

ich hoffe ja immer, dass dann nicht die Prüfung auf die Java-Version bei sowas wie 17-ea abbricht oder ein openjdk-8-jre vorrausgesetzt wird. Da wirds gruselig.

@tsia @bsi
Die ganze Crypto läuft letztlich auf dem Cryptoprozessor der Chipkarte. Java(-card) wird hier nur für die Kommunikation mit der Außenwelt (APDU-Handling) und den (Fido-)Protokoll-Abläufen verwendet.

@barit @bsi das dachte ich mir schon. Hat nur trotzdem nen Gruseligen Beigeschmack bei den ganzen Java Monstern die halt so auf "richtigen" Computern laufen und Stunden zum Starten brauchen und Gigabyte-Weise RAM futtern. Klar ist das auf so ner Karte was anderes und nicht vergleichbar

@bsi
Perso mit als u2f token wäre was 😀

@copyrights
Äh cool. 👀 Nichts davon gewusst. Jetzt bin ich neugierig. 😁
@bsi

@bsi Grundgütiger - da hatte ich doch glatt vergessen, wie sehr das ansehen von #bsi bei mir bereits gelitten hatte und aus reflex auf like gedrückt. #mannmannmann - echt traurig... Open Source - ja? ich habe mir die Freiheit genommen mal ins Repo zu schauen. Habt ihr gedacht, nach #lucaApp haben sich die Schmerzschwellen so verschoben? Mit #closedsource G&D Bibliotheken ist es keine #opensource ! zum Vergleich: kickstarter.com/projects/conor

@bsi Hallo lieber BSI. Ihr entwickelt euch in eine gute Richtung! Für einen Laien, wie mich: was ist Level 3, wo kommt es her und was ist der Vorteil davon ?

@51mba @bsi
Die Fido-Alliance definiert neben den Protokollen (U2F, UAF) auch verschiedene Sicherheitslevel. Level 3+ ist das höchste Level und verlangt u.a. die Verwendung eines CC-zertifizierten Secure Elements oder eines TPM und strenge Kryptovorgaben. Die Sicherheit des gesamten Tokens (HW & SW) muss von einem unabhängigen Prüflabor getestet und bestätigt werden. Mehr Infos gibt's hier:
fidoalliance.org/certification

Sign in to participate in the conversation
social.bund.de

Dies ist der Mastodon-Server des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).