FIDO2: YubiKey als OpenPGP-Smartcard einsetzen

Auf Krypto-Sticks mit Smartcard-Funktion wie den YubiKeys sind private Schlüssel optimal vor Angreifern geschützt. So richten Sie die Sticks ein.

Lesezeit: 12 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen
FIDO2 / YubiKey als OpenPGP-Smartcard
Von
  • Jan Mahn
Inhaltsverzeichnis

Pretty Good Privacy (PGP) ist ein Verfahren zum Verschlüsseln und Signieren von Nachrichten, Dateien und Texten aller Art. Das ist immer dann sinnvoll, wenn man Inhalte über einen potenziell unsicheren Kanal verschicken will – häufig, aber nicht immer, geht es dabei um E-Mails. Um diesen Artikel nachvollziehen zu können, sollten Sie mit der grundlegenden Funktionsweise von PGP vertraut sein.

Das Verfahren basiert darauf, dass jeder Teilnehmer ein Schlüsselpaar aus privatem und öffentlichem Schlüssel besitzt. Den öffentlichen Schlüssel, der Name verrät es schon, möchte man mit möglichst vielen potenziellen Empfängern teilen. Der private Schlüssel dagegen darf niemals in fremde Hände gelangen. Die Schwachstelle: Der private Schlüssel liegt normalerweise in einer Datei auf der Festplatte seines Besitzers. Im besten Falle ist die Festplatte immerhin verschlüsselt und der Schlüssel zusätzlich mit einem Kennwort gesichert. Doch all das nützt wenig, wenn eine Schadsoftware im laufenden Betrieb, also während die Festplatte entsperrt ist, sowohl an die Datei mit dem Schlüssel gelangt als auch die Tastatureingaben mit dem Kennwort mitschneidet und beides an einen Angreifer übermittelt.

Zugegeben, solche Angriffe sind nicht alltäglich, ganz ausgeschlossen sind sie aber nicht. Wer ganz sichergehen will, dass der private Schlüssel den Computer niemals verlassen kann, muss dafür sorgen, dass er sich niemals auf dem Computer befindet. Eine gute Möglichkeit dafür stellen sogenannte Smartcards dar. Dabei muss es sich nicht zwangsläufig um Plastikkarten im EC-Kartenformat handeln, für die man einen zusätzlichen Leser bräuchte. Auch viele FIDO2-Sticks können eine Smartcard simulieren und geben sich gegenüber dem Computer als Kartenleser mit eingelegter Karte aus.

Immer mehr Wissen. Das digitale Abo für IT und Technik.

  • Zugriff auf alle Inhalte von heise+
  • exklusive Tests, Ratgeber & Hintergründe: unabhängig, kritisch fundiert
  • c't, iX, MIT Technology Review, Mac & i, Make, c't Fotografie direkt im Browser lesen
  • einmal anmelden – auf allen Geräten lesen - monatlich kündbar
  • erster Monat gratis, danach monatlich 12,95 €
  • Wöchentlicher Newsletter mit persönlichen Leseempfehlungen des Chefredakteurs
GRATIS-Monat beginnen Jetzt GRATIS-Monat beginnen Mehr Informationen zu heise+