Alguien usa token para inciar session en el navegador y el sistema?

Archivado
Últimamente, estoy sufriendo ataques a mis cuentas por filtraciones de usuario y contraseña que me hace tener que cambiar las claves, depender de keepassxc y el móvil se me está haciendo engorroso.

Llevo dándole vueltas al tema de usar PAM/U2F desde hace ya un tiempo y hoy he hecho la reserva de uno.

Lo que soporta es...
Funciones
Protección de huellas dactilares
WebAuthN+CTAP
Windows, Linux, macOS
Navegador: Chrome, Safari, Borde, Ópera, Firefox
Funciones : FIDO1 (U2F), FIDO2.1, TOTP
Algoritmos::SHA1, SHA256, AES, HMAC, ECDH, ECDSA
SSH con soporte FIDO ecdsa-sk y ed25519-sk
Programable
Almacenamiento claves de acceso: 50
CALIENTE: 0
TOTP: 50

No tiene HOTP... que el modelo que lo trae no tiene huella digital o está fuera de stock

He visto que algunos soportan PIN y NFC, estoy por comprarme el modelo con PIN en formato visa que trae NFC para usarlo en el movil y en un portátil "para no tener que llevar el pendrive encima y por si lo pierdo"¿pero la duda si puedo compartir el token de pendrive a la tarjeta?
Lo tengo de camino...
Imagen

Leyendo la wiki se puede usar como identificación de arranque con SDDM e incluso con cifrado del disco.... Tambien puede usarse un modulo TMP para mas seguridad.
https://wiki.gentoo.org/wiki/PAM/U2F https://wiki.gentoo.org/wiki/Full_Disk_ ... PG_keyfile

Mi idea seria está...

Instalar Windows 11 encriptado con llave token, particionar el disco nvme, extraer las claves del Secure Boot, crear nuevas claves con openssl e insertarlas, crear los volúmenes lvm y cifradlos con clave, esta clave protegerla con la llave token con GPG .

Por último conectar la clave token y asignar un token de clave a un usuario y configurar sddm para usar token, el hardware la huella digital o generador de pin aleatorio dependiendo del hardware token que tengas
Cuentas como te va con esto

Yo la llevo tranquilo con Keepass con KeepassXC (linux) y KeepassDX (android), utilizo Synthing para sincronizar unicamente en local la base de datos y mantengo todo lo posible con 2FA, con esto les complica mucho cualquier movimiento, pero depende los servicios que se usen también.

Pero supongo que lo que deseas es unificar para no tener que hacer el cambio manual de cada contraseña.


Saludos
Luces escribió:Cuentas como te va con esto

Yo la llevo tranquilo con Keepass con KeepassXC (linux) y KeepassDX (android), utilizo Synthing para sincronizar unicamente en local la base de datos y mantengo todo lo posible con 2FA, con esto les complica mucho cualquier movimiento, pero depende los servicios que se usen también.

Pero supongo que lo que deseas es unificar para no tener que hacer el cambio manual de cada contraseña.


Saludos


Sí, y por un posible robo del portátil XD en una semana me voy a Madrid unos días... Me preocupo mucho de los datos, he estado dos semanas con bots intentando robarme la contraseña de MS, me jodió bastante por el tema de que se me bloquea la consola, se me bloque el acceso y he de estar todo el rato cambiando el passwd. Y eso que tengo 2fa y huella dactilar... Y según MS no he sido comprometido.
yo tengo además de keepassXC (en linux) y keepassDX en Android, tengo 3 llaves físicas, 2 de yubikey y una titan de Google, pero además, las particiones de debian cifradas, y en el portátil igual, todo cifrado, en ese es un MacBook Pro del 2016 que apple hace años que lo dejo sin soporte y en ese tengo Fedora 40, también cifrado [+risas]

luego en el curro, los servidores de PROD muchos tienen mas de 7 años sin actualizar la pass de root, y encima es mas simple que el mecanismo de un chupete [carcajad], mucha VPN y mierdas, pero luego las pass se cambian de decada en decada...
Bueno lo recibí hace dos días, ando enfermo y poco he hecho... Lo primero que he tocado ha sido, U2F para Tutanota, funciona ok, para Google funciona a la perfección, eBay, PayPal, y Facebook lo mismo

Ahora toca el sistema... ya no he de meter el password al usar sudo, puedo usar mi huella dactilar con un pin si quiero, para iniciar el sistema meto contraseña y he de poner la huella dactilar para iniciar sesión.

Para configurar la llave puedo hacerlo con el software desde el móvil, desde un script Python o desde la terminal o lo más fácil a través de Chrome.


AzagraMac escribió:yo tengo además de keepassXC (en linux) y keepassDX en Android, tengo 3 llaves físicas, 2 de yubikey y una titan de Google, pero además, las particiones de debian cifradas, y en el portátil igual, todo cifrado, en ese es un MacBook Pro del 2016 que apple hace años que lo dejo sin soporte y en ese tengo Fedora 40, también cifrado [+risas]

luego en el curro, los servidores de PROD muchos tienen mas de 7 años sin actualizar la pass de root, y encima es mas simple que el mecanismo de un chupete [carcajad], mucha VPN y mierdas, pero luego las pass se cambian de decada en decada...


Ando con un constipado que me muero, joder no me da tiempo a formatear todo y cifrarlo con la llave token2 antes de irme a Madrid unos días, voy a comprarme una YubiKey porque funciona bien con KeePassXC y no con mi llave, además voy a pillarme una forma de tarjeta de visa
5 respuestas
Archivado
Volver a Software libre