问题标签 [yubico]

刚开始玩yubikey，我的问题是基于以下假设：

1. Passwordless 不需要知道用户名根据下面的demo
2. 根据this doc，allowedCredentials可以省略

我使用 django 包注册了 yubikeydjango-fido

我在使用navigator.credentials.get(publicKey)从 yubikey 获取凭证时遇到问题，我传入的 publicKey 参数如下：

它说 yubikey 没有在这个网站上注册，但我很确定我这样做了，因为如果我不使用无密码方法，通过指定 allowedCredentials，我可以找到密钥：

我了解 WebauthN 旨在执行身份验证，但我想使用我的 Yubikey 创建对称加密密钥来加密我的网络浏览器上的内容，而不依赖于后端服务器。

这是我的方法：

• 在断言挑战（navigator.credentials.get({ publicKey })）期间，Yubikey 签署了一个挑战字符串，客户端发送给验证者。
• 我提取签名的质询，使用 SHA256 对其进行哈希处理，并将其用作我的新对称加密密钥以进行 AES256 加密。
• 只要向 Yubikey 发送相同的挑战字符串，加密密钥将始终相同。

为了能够解密网络浏览器上的内容。我必须拥有 Yubikey 和挑战字符串才能进行 2 因素身份验证。

这种方法有什么问题吗？

我遇到了一个关于 Yubikey 的 OTP 验证的理解问题我正在尝试开发验证协议 V2 ( https://developers.yubico.com/OTP/Specifications/OTP_validation_protocol.html )

我不明白您如何获得我使用来自https://developers.yubico.com/OTP/Specifications/Test_vectors.html的矢量测试的签名

我的代码是

我没有找到与 Vector Test (h=%2Bja8S3IjbX593/LAgTBixwPNGX4%3D) 相同的结果。-> +ja8S3IjbX593/LAgTBixwPNGX4= 但我的误解是：当我尝试对你的矢量测试进行base64解码时，我不能，因为它不是utf8格式

当我尝试使用现场可用的测试向量时，它不起作用

你能帮我理解吗？请我的pb

我正在尝试将 YubiKey 5C 用于 root 用户和 sudo 命令。据说如果我想结合密码和密钥我应该这样做

但是当我尝试它时，输入密码然后触摸 Yubikey 就失败了，它要么失败，要么将密钥从 yubikey 输出到控制台。应该工作，首先我输入 pass 然后它等待我点击 yubikey 但这不会发生。

我可以只用 yubikey 和 @include yubico-sufficient 让它工作，但它不尊重密码，它只在存在密钥的情况下工作。

任何想法如何使这项工作？

我正在尝试使用以下命令将 der 格式的私钥注入 PKC11 兼容令牌：

但我得到了以下结果，并且密钥没有导入令牌。

但是我可以使用相同的过程成功地在令牌中导入公钥和证书。我做错什么了吗？

我目前正在努力进入 libfido2 并试图弄清楚如何使用包装的私钥。

Yubico 在常见问题解答中表示，使用 YubiKey 5 无限密钥对可用于 FIDO U2F；但是，对于 FIDO2，只承诺 25 个常驻密钥的空间。

1. “FIDO2”是否意味着使用了常驻密钥并且 FIDO2 不能与（外部）封装的私钥一起使用？

2. 如果是这种情况，libfido2 是否提供了使用 FIDO U2F 和包装密钥的任何可能性？

3. 如果是这样，libfido2 需要如何配置才能做到这一点？如何为库提供适当的受保护私钥。至少在“fido2-assert”中，当我想在客户端上创建断言时，我看不到这样做的方法。

（这里函数接受四个具体参数描述，我理解的唯一能带私钥的是“凭证id”。但是这个名字让我怀疑我的请求是否可以用这个参数）。

我很感激任何答案！

编辑：与此同时，我找到了一些 Solo Keys 开发人员页面的链接，描述了它在 Solo Keys 上的工作原理。似乎私钥是动态计算的——在这种情况下，凭证 ID 将作为计算的种子）

我按照教程使用 YubiHSM 密钥存储提供程序生成代码签名证书，此处提供。在使用新的非对称密钥创建证书签名请求 (CSR) 之后，certreq -new sign.inf sign.req在 YubiHSM 中创建了此密钥与 YubiHSM 密钥存储提供程序 (KSP) 中的证书之间的关联。之后，我可以使用类似signtool sign /sha1 <certificate hash> <binary name>.

但是，当我导出此证书并将其导入另一台机器时，该证书没有关联的私钥。打字certutil -repairstore my <certificate hash>没有帮助。据我了解，KSP 仅存储指向 YubiHSM 的链接，而不是实际的私钥本身。所以我想我需要以某种方式在 KSP 中创建这个关联。

我成功地将 YubiKey 添加到 Snowflake MFA：

下次我尝试登录时，我会立即收到“用户未注册 Duo Security。请联系您当地的系统管理员”。错误：

输入我的用户名和密码后，我希望网站要求我触摸我的 YubiKey。相反，我立即收到上述错误。

如何使用 YubiKey 安全密钥设置 Snowflake MFA？

我们的本地管理员禁用了我的 MFA，我重复了这些步骤，得到了相同的结果。