Loading article…
 | |
| 会社種別 | 公共 |
|---|---|
| 業界 | ハードウェア |
| 設立 | 2007 |
| 本部 | サンタクララ、カリフォルニア州、アメリカ合衆国 |
主要人物 | Stina Ehrensvärd (チーフ エバンジェリスト兼創設者) Jakob Ehrensvärd ( CTO ) Mattias Danielsson (CEO) |
| Webサイト | 製品 |
YubiKeyは、コンピュータ、ネットワーク、オンライン サービスへのアクセスを保護するためにYubicoが製造するハードウェア認証デバイスで、ワンタイム パスワード(OTP)、公開鍵暗号化、認証、FIDO Allianceが開発したUniversal 2nd Factor (U2F) およびFIDO2プロトコル[1]をサポートしています。これにより、ユーザーはワンタイム パスワードを発行するか、デバイスによって生成された FIDO ベースの公開鍵/秘密鍵ペアを使用して、アカウントに安全にログインできます。また、YubiKey では、ワンタイム パスワードをサポートしていないサイトで使用するために静的パスワードを保存することもできます。 [2] Google、Amazon、Microsoft、Twitter、Facebook は、従業員アカウントとエンド ユーザー アカウントを保護するために YubiKey デバイスを使用しています。[3] [4] [5]一部のパスワード マネージャーはYubiKey をサポートしています。[6] [7] Yubico は、FIDO2/WebAuthn と FIDO/U2F のみをサポートする同様の低コスト デバイスであるSecurity Keyも製造しています。[8] [9] [10]
YubiKey は、 HMAC ベースのワンタイム パスワードアルゴリズム (HOTP) と時間ベースのワンタイム パスワードアルゴリズム (TOTP)を実装し、 USB HIDプロトコルを介してワンタイム パスワードを提供するキーボードとして認識されます。 YubiKey は、バージョンに応じて、 1024、2048、3072、4096 ビットのRSA (2048 ビットを超えるキー サイズには、GnuPG バージョン 2.0 以上が必要) と楕円曲線暗号 (ECC) p256、p384 などを使用するOpenPGP カードとして表示することもできます。[11]これにより、ユーザーは秘密キーを外部に公開することなく、メッセージの署名、暗号化、復号化を行うことができます。 また、PIV スマート カードをエミュレートするためのPKCS#11標準もサポートされています。 この機能により、Dockerイメージのコード署名や、Microsoft Active DirectoryおよびSSHの証明書ベースの認証が可能になります。[12] [13] [14] [15]
元 CEO、現在チーフ エバンジェリストのStina Ehrensvärdによって 2007 年に設立された Yubico は、カリフォルニア州サンタクララ、ワシントン州ベルビュー、スウェーデンのストックホルムにオフィスを構える公開会社です。[16] Yubico の CTO である Jakob Ehrensvärd は、Universal 2nd Factor (U2F) として知られるようになったオリジナルの強力な認証仕様の主著者です。[17]
YubiKeyは2018年にFIDO2のサポートを追加したYubiKey 5シリーズをリリースした。[18]
歴史
Yubicoは2007年に設立され、同年11月に開発者向けのパイロットボックスの提供を開始しました。[19]オリジナルのYubiKey製品は2008年4月の年次RSAカンファレンスで発表され、[20] [21]、より堅牢なYubiKey IIモデルは2009年に発売されました。[22] Yubicoによる「YubiKey」という名前の説明は、「your ubiquitous key」というフレーズに由来し、「yubi」は日本語で「指」を意味する言葉であるというものです。[23]
YubiKey II 以降のモデルには、2 つの「スロット」が用意されており、それぞれ異なるAESシークレットとその他の設定を含む 2 つの異なる構成を保存できます。認証時には、デバイスのボタンを短く押すだけで最初のスロットが使用され、ボタンを 2 ～ 5 秒間押し続けると 2 番目のスロットが使用されます。
2010年、YubicoはYubiKey OATHとYubiKey RFIDモデルの提供を開始しました。YubiKey OATHは、Yubico独自のOTP認証方式で使用される32文字のパスワードに加えて、 Initiative for Open Authentication (OATH)のプロトコルを使用して6文字と8文字のワンタイムパスワードを生成する機能を追加しました。YubiKey RFIDモデルにはOATH機能に加えて、MIFARE Classic 1k無線周波数識別チップも含まれていましたが、[24]これはパッケージ内の別のデバイスであり、USB接続を介して通常のYubicoソフトウェアで構成することはできませんでした。[25]
ユビコは2012年2月に標準YubiKeyの小型版であるYubiKey Nanoを発表しました。これはUSBポート内にほぼ完全に収まり、ボタン用の小さなタッチパッドのみが露出するように設計されていました。[26] YubiKeyのその後のモデルのほとんども、標準サイズと「ナノ」サイズの両方で利用可能になりました。
2012 年には YubiKey Neo も発表されました。これは、近距離無線通信(NFC) 技術を実装し、それをデバイスの USB 側に統合することで、以前の YubiKey RFID 製品を改善したものです。[27] YubiKey Neo (およびデバイスの「ナノ」バージョンである Neo-n) は、NFC データ交換フォーマット (NDEF) メッセージに含まれる構成可能な URL の一部として、NFC リーダーにワンタイム パスワードを送信できます。Neo は、 USB HID (ヒューマン インターフェイス デバイス) キーボード エミュレーションに加えて、 CCIDスマート カード プロトコルを使用して通信することもできます。CCID モードはPIV スマート カードとOpenPGPサポートに使用され、USB HID はワンタイム パスワード認証スキームに使用されます。[28]
2014年、YubiKey NeoはFIDO Universal 2nd Factor (U2F)のサポートでアップデートされました。[29]その年の後半、YubicoはFIDO U2Fセキュリティキーをリリースしました。これにはU2Fサポートが明確に含まれていましたが、以前のYubiKeyのワンタイムパスワード、静的パスワード、スマートカード、NFC機能は含まれていませんでした。[8]発売時には、YubiKey Standardの25ドル（Nanoバージョンは40ドル）、YubiKey Neoの50ドル（Neo-nは60ドル）と比較して、わずか18ドルという低価格で販売されました。[30] FIDO/U2F開発中にGoogleが発行したプレリリースデバイスの一部は、「Yubico WinUSB Gnubby（gnubby1）」と名乗っていました。[31]
同社は2015年4月に、標準およびナノフォームファクタの両方でYubiKey Edgeを発売した。これは機能的にはNeoとFIDO U2F製品の中間に位置し、OTPとU2F認証を処理するように設計されていたが、スマートカードやNFCのサポートは含まれていなかった。[32]
YubiKey 4 ファミリのデバイスは、2015 年 11 月に初めてリリースされ、USB-A モデルは標準サイズとナノサイズの両方で提供されています。YubiKey 4 には、OpenPGP キー サイズが 4096 ビット (以前の 2048 ビット) に増加されるなど、YubiKey Neo のほとんどの機能が含まれていますが、Neo の NFC 機能は削除されています。
CES 2017で、YubicoはYubiKey 4シリーズの拡張を発表し、新しいUSB-C設計をサポートしました。YubiKey 4Cは2017年2月13日にリリースされました。[33] USB-C接続経由のAndroid OSでは、Android OSとYubiKeyでサポートされているのはワンタイムパスワード機能のみで、Universal 2nd Factor（U2F）などの他の機能は現在サポートされていません。[34] 4C Nanoバージョンは2017年9月に発売されました。[35]
同社は2018年4月に、新しいFIDO2認証プロトコル、WebAuthn（ 3月にW3Cの候補勧告ステータスに到達[36]）、およびクライアント認証プロトコル（CTAP）を実装した最初のデバイスであるセキュリティキーby Yubicoを発売しました。発売時には、USB-Aコネクタを備えた「標準」フォームファクタでのみ利用できます。以前のFIDO U2Fセキュリティキーと同様に、色は青で、ボタンにキーアイコンを使用しています。ボタンとキーリングの穴の間のプラスチックに「2」の数字が刻まれていることで区別されます。また、YubiKey NeoおよびYubiKey 4モデルよりも安価で、発売時の価格は1台あたり20ドルです。これは、以前のデバイスのOTPおよびスマートカード機能がないためですが、FIDO U2F機能は保持されています。[9]
製品の特徴
YubiKey製品の主な特徴と機能のリスト。[37]
モッドヘックス
ワンタイムパスワードや保存された静的パスワードに使用される場合、YubiKeyは、システムのキーボード設定から可能な限り独立するように設計された修正16進アルファベットを使用して文字を出力します。このアルファベットはModHexと呼ばれ、16進数字「0123456789abcdef」に対応する文字「cbdefghijklnrtuv」で構成されています。[38]
YubiKeyはUSB HIDモードで生のキーボードスキャンコードを使用するため、 Dvorakなどの異なるキーボードレイアウトが設定されているコンピューターでデバイスを使用すると問題が発生する可能性があります。ModHexは、異なるキーボードレイアウト間の競合を避けるために作成されました。ほとんどのラテンアルファベットキーボードで同じ場所にある文字のみを使用しますが、それでも16文字であるため、16進数の代わりに使用できます。[39]または、この問題は、ワンタイムパスワードを使用するときにオペレーティングシステムの機能を使用して一時的に標準のUSキーボードレイアウト（または同様のもの）に切り替えることで対処できます。ただし、YubiKey Neo以降のデバイスは、ModHex文字セットと互換性のないレイアウトに合わせて代替スキャンコードを設定できます。[40]
この問題は、キーボード入力をエミュレートする必要があるHIDモードのYubiKey製品にのみ適用されます。YubiKey製品のU2F認証は、キーボードスキャンコードの代わりに生のバイナリメッセージを送受信する代替U2FHIDプロトコルを使用してこの問題を回避します。[41] CCIDモードはスマートカードリーダーとして機能し、HIDプロトコルをまったく使用しません。
セキュリティ問題
YubiKey 4 クローズドソースの懸念
YubiKeyで実行されるコードのほとんどはクローズドソースです。YubicoはPGPやHOTPなどの業界標準機能のコードをいくつかリリースしていますが、製品の第4世代の時点では、これは新しいユニットに搭載されているコードと同じではないことが明らかになりました。[42] [43]新しいユニットは工場でファームウェアが永久にロックされているため、オープンソースコードをコンパイルしてデバイスに手動でロードすることはできません。ユーザーは、新しいキーのコードが本物で安全であると信頼する必要があります。
U2F、PIV 、Modhexなどの他の機能のコードは完全にクローズドソースです。
2016年5月16日、ユビコのCTOであるヤコブ・エーレンスヴァルドは、オープンソースコミュニティの懸念に対してブログ投稿で次のように回答した。「私たちは製品会社として、既製のコンポーネントに基づく実装に明確に反対しており、さらに商用グレードのAVRやARMコントローラーのようなものはセキュリティ製品に使用するには不適切であると考えています。」[44]
Techdirtの創設者マイク・マスニックは、この決定を強く批判し、「暗号化は難しい。脆弱性やバグは必ずある。これは最近よく言われていることだ。しかし、それらを修正する最善の方法は、できるだけ多くの知識のある人の目を通してコードをチェックすることだ。しかし、それがクローズドソースでは不可能だ」と述べた。 [45]
特定の YubiKey 4、4C、4 Nano デバイスにおける ROCA 脆弱性
2017年10月、セキュリティ研究者は、多数のInfineonセキュリティチップで使用されている暗号化ライブラリのRSAキーペア生成の実装に脆弱性（ ROCAと呼ばれる）を発見しました。この脆弱性により、攻撃者は公開鍵を使用して秘密鍵を再構築できます。[46] [47]この脆弱性の影響を受けたのは、リビジョン4.2.6から4.3.4のすべてのYubiKey 4、YubiKey 4C、およびYubiKey 4 Nanoデバイスです。[48] Yubicoは、出荷されているすべてのYubiKey 4デバイスで別のキー生成機能に切り替えることでこの問題を修正し、2019年3月31日まで影響を受けたキーを無料で交換しました。場合によっては、YubiKeyの外部で新しいキーを生成し、デバイスにインポートすることで問題を回避できます。[49]
YubiKey NEO の OTP パスワード保護
2018年1月、Yubicoは、特定の条件下でYubiKey NEOのOTP機能のパスワード保護を回避できる中程度の脆弱性を公開しました。この問題はファームウェアバージョン3.5.0で修正され、Yubicoは2019年4月1日まで、影響を受けたと主張するユーザーに無料の交換キーを提供しました。[50]
特定の FIPS シリーズデバイスにおける初期のランダム性を低減
2019年6月、Yubicoは、ファームウェアバージョン4.4.2および4.4.4（バージョン4.4.3はない）を搭載したFIPS認定デバイスで、電源投入直後にランダム性が低下したことを報告するセキュリティアドバイザリを公開した。 [51]ランダム性が低下したセキュリティキーでは、キーが予想よりも簡単に発見され、侵害される可能性がある。この問題はFIPSシリーズのみに影響し、特定のシナリオにのみ影響したが、FIPS ECDSAの使用は「より高いリスク」にあった。同社は、影響を受けたキーの無料交換を提供した。
Infineon ECDSA 秘密鍵の回復
2024年9月、NinjaLabのセキュリティ研究者は、攻撃者が物理的にアクセスした場合にYubikeyを複製できる可能性のあるInfineonチップの暗号欠陥を発見しました。このセキュリティ脆弱性は、ファームウェアアップデート5.7より前のすべてのYubikeyに永続的に影響します。Yubicoは、攻撃者がキーに物理的にアクセスし、高価な機器と高度な暗号化と技術の知識を持っている必要があることを理由に、この問題を「中程度」と評価しました。[52] [53] [54]
社会活動
2018年、YubicoはWIREDとArsTechnicaの新規購読者にレーザー刻印されたロゴ付きのYubiKeyを無料で配布した。[55]
ユビコは2019年から2020年にかけての香港抗議デモの参加者に500個のYubiKeyを提供した。同社はこの決定は、脆弱なインターネットユーザーを保護し、言論の自由を支持する人々と協力するという使命に基づいていると述べている。[56] [57]
参照
参考文献
- ^ 「仕様の概要」。FIDO Alliance 。 2015年12月4日閲覧。
- ^ 「Yubikeyとは」Yubico 2014年11月7日閲覧。
- ^ McMillan (2013年10月3日). 「Facebook、パスワードを死に一歩近づける」Wired . 2014年11月7日閲覧。
- ^ Diallo, Amadou (2013 年 11 月 30 日). 「Google はパスワードを時代遅れにしたい」. Forbes . 2014 年11 月 15 日閲覧。
- ^ ブラックマン、アンドリュー（2013年9月15日）。「パスワードにさよならを」ウォールストリートジャーナル。2014年1月3日時点のオリジナルよりアーカイブ。 2014年11月15日閲覧。
- ^ 「YubiKey認証」。LastPass 。2014年11月15日閲覧。
- ^ 「KeePass & YubiKey」KeePass . 2014年11月15日閲覧。
- ^ ab 「YubicoがFIDO U2Fセキュリティキーをリリース」。Yubico （プレスリリース）。2014年10月21日。 2018年5月5日閲覧。
- ^ ab 「Yubico、FIDO2およびWebAuthn W3C仕様向けの新しい開発者プログラムとセキュリティキーを発表」（プレスリリース）。2018年4月10日。 2018年5月6日閲覧。
- ^ Lemos, Robert (2014-10-22). 「Google が USB セキュリティ キーを提供して、不正なパスワードを無意味にする」Ars Technica。2018-10-18 にオリジナルからアーカイブ。
- ^ "YubiKey 5.2 による OpenPGP 3.4 サポートの機能強化 – Yubico".
- ^ 「第4世代YubiKeyの発売」Yubico 2015年11月20日閲覧。
- ^ 「タッチひとつで、YubicoとDockerがコード署名に革命を起こす」Yubico . 2015年11月20日閲覧。
- ^ 「YubiKey PIV 認証用に Windows Server を設定する」。Yubico . 2021 年 6 月 6 日閲覧。
- ^ 「SSH ユーザー証明書」。developers.yubico.com 。2021年 6 月 6 日閲覧。
- ^ 「The Team」. Yubico . 2015年9月12日閲覧。
- ^ 「FIDOの歴史」。FIDOアライアンス。 2017年3月16日閲覧。
- ^ 「Yubicoが新しいYubiKey 5シリーズの2FAキーを発売、パスワードレスFIDO2とNFCをサポート」Android Police . 2018-09-24 . 2019-10-07閲覧。
- ^ 「YubicoがYubiKey Pilot Boxを発売」。Yubico。2007年11月26日。2008年2月21日時点のオリジナルよりアーカイブ。2018年5月6日閲覧。
- ^ Steve Gibson (2008 年 4 月)。「Security Now! エピソード #141 のメモ」。Security Now!。Gibson Research Corporation。2018年 5 月 5 日閲覧。
- ^ Leo Laporte および Steve Gibson (2008-04-24)。「エピソード #141 - RSA Conference 2008」。Security Now!。Gibson Research Corporation。2018-05-05に閲覧。
- ^ Mike (2009-08-27). 「Yubikey II – got it」. Read My Damn Blog . 2018年5月5日閲覧。
- ^ 「会社情報」Yubico . 2020年11月30日閲覧。
- ^ 「RFID YubiKey」。Yubico Store。2011年8月29日時点のオリジナルよりアーカイブ。2018年5月5日閲覧。
- ^ 「RFID YubiKey」。IDivine Technology 。 2018年5月5日閲覧。
- ^ 「Yubico、世界最小のワンタイムパスワードトークンYubiKey Nanoを発表」（プレスリリース）。Yubico。2012年2月28日。 2018年5月5日閲覧。
- ^ Clark, Sarah (2012-02-22). 「Yubico が NFC フォンのコンテンツへのアクセスを保護するワンタイム パスワード トークンを導入」NFC World . 2018 年 5 月 5 日閲覧。
- ^ Maples, David (2012-12-26). 「YubiKey NEO 複合デバイス」. Yubico . 2018年5月5日閲覧。
- ^ 「Yubico、業界初のFIDO Ready™ユニバーサル2要素デバイスを発表」Yubico (プレスリリース) 2014年1月6日。 2018年5月5日閲覧。
- ^ 「YubiKey ハードウェア」。Yubico 。 2014年11月7日時点のオリジナルよりアーカイブ。
- ^ 「pamu2fcfg はテストデバイスをサポートしていません」。GitHub。
- ^ 「YubicoがRSA 2015でYubiKey Edgeを発表。1つのキーでOTPとU2Fの2要素認証が可能に」Yubico (プレスリリース) 。 2018年5月5日閲覧。
- ^ “USB-C を搭載した新しい YubiKey 4C が CES 2017 で発表 | Yubico”.ユビコ。 2017-01-05 。2017 年 9 月 14 日に取得。
- ^ 「YubiKey 4C は、USB-C ポートを備えた Android スマートフォンやタブレットに直接接続できますか? | Yubico」。Yubico。2017年 9 月 14 日のオリジナルからアーカイブ。2017年 9 月 14 日閲覧。
- ^ 「家族が増えました！YubiKey 4C Nano が Microsoft Ignite で発表されました」。Yubico。2017 年 9 月 25 日。2018年 5 月 5 日閲覧。
- ^ Jones, Michael (2018-03-20). 「Web 認証仕様の勧告候補 (CR)」 W3C Web 認証ワーキンググループ. 2018-05-06閲覧。
- ^ 「What YubiKey Do You Have」. 2021年2月11日閲覧。
- ^ E, Jakob (2008年6月12日). 「Modhex - なぜ、そして何なのか?」 Yubico. 2017年11月16日時点のオリジナルよりアーカイブ。 2016年11月6日閲覧。
- ^ 「修正16進エンコード（ModHex）」。docs.yubico.com 。 2023年9月1日閲覧。
- ^ Toh, Alvin (2013-07-24). 「YubiKey キーボードのサポート拡大」 Yubico . 2018-05-05閲覧。
- ^ 「FIDO U2F HID プロトコル仕様」。FIDO アライアンス。2017 年 4 月 11 日。2018年 5 月 6 日閲覧。
- ^ 「暗号化キーカードの比較」LWN.net . 2020年9月21日閲覧。
- ^ 「悪いニュース：2要素認証の先駆者YubiKeyがオープンソースのPGPを廃止し、独自バージョンに」。techdirt 。 2020年9月21日閲覧。
- ^ 「セキュアハードウェア vs. オープンソース」Yubico.com . 2022年9月18日閲覧。
- ^ Masnick, Mike (2016年5月16日). 「悪いニュース: 2要素認証のパイオニアYubiKeyがオープンソースのPGPを廃止し、独自バージョンに」Techdirt . 2020年3月27日閲覧。
- ^ 「ROCA: 脆弱な RSA 生成 (CVE-2017-15361) [CRoCS wiki]」。crocs.fi.muni.cz。2017年 10 月 19 日閲覧。
- ^ 「NVD - CVE-2017-15361」。nvd.nist.gov 。 2017年10月19日閲覧。
- ^ 「Infineon RSA キー生成の問題 - カスタマー ポータル」。Yubico.com。2019年6月 11 日閲覧。
- ^ 「Yubico 緩和策の推奨事項」。Yubico.com。2019年6月 11 日閲覧。
- ^ 「セキュリティアドバイザリ YSA-2018-01 – Yubikey NEO の Oath アプレットのパスワード保護に関するセキュリティ問題」（プレスリリース）。Yubico。2018 年 1 月 16 日。2020 年 10 月 1 日時点のオリジナルよりアーカイブ。
- ^ 「セキュリティアドバイザリ YSA-2019-02 – FIPS キーの初期ランダム性の削減」（プレスリリース）。Yubico。2019 年 6 月 13 日。2019 年 6 月 14 日時点のオリジナルよりアーカイブ。
- ^ Roche, Thomas. (2024-09-03) 「EUCLEAK: YubiKey 5 シリーズに対するサイドチャネル攻撃」 (PDF) ホワイトペーパー。フランス、モンペリエ: NinjaLab。2024-09-03のオリジナルからアーカイブ。
- ^ 「セキュリティアドバイザリ YSA-2024-03 Infineon ECDSA 秘密鍵の回復」（プレスリリース）。Yubico。2024 年 9 月 3 日。2024 年 9 月 3 日時点のオリジナルよりアーカイブ。
- ^ Goodin, Dan (2024-09-03). 「ハッカーはサイドチャネルを悪用して秘密鍵を漏らし、Yubikeyを複製できる」Ars Technica。 2024-09-03時点のオリジナルよりアーカイブ。
- ^ Manning, Ronnie (2018-02-01). 「WIRED と Ars Technica の専門家が新規加入者に YubiKey 4 を選択」Yubico . 2023-09-01閲覧。
- ^ 「警察のオンライン戦術に対する懸念が高まる中、スウェーデンのテック企業Yubicoが香港の抗議者に無料のセキュリティキーを配布」サウスチャイナ・モーニング・ポスト。2019年10月10日。 2019年10月18日閲覧。
- ^ “Yubico 贊助香港抗爭者世上最強網上安全鎖匙 Yubikey | 立場新聞”.立場新聞 Stand News (中国語) 。2019年10月18日に取得。
外部リンク
- 公式サイト