Nitrokey 3

    Der Nitrokey 3 ist ein Hardware-Sicherheitsschlüssel und schützt Zugänge zusätzlich oder ersetzend zum Passwort. Bei der passwortlosen Authentifizierung wird die Eingabe eines Passworts durch die Anmeldung mit dem Nitrokey 3 und einer PIN ersetzt. Bei der Zwei-Faktor-Authentifizierung (2FA) wird neben dem Passwort auch der Nitrokey 3 überprüft. 

    Der Nitrokey unterstützt verschiedenste Funktionen:

    Merkmal

    Beschreibung

    Transport(e)

    Anwendungsgebiet

    FIDO2

    2FA und passwortlose Anmeldung

    USB, NFC

    Webseiten, SSH

    U2F

    hauptsächlich für 2FA verwendet 

    USB, NFC

    2FA

    OpenPGP

    Asymmetrische Kryptographie

    USB

    bspw. E-Mail-Verschlüsselung

    S/MIME

    Asymmetrische Kryptographie

    USB

    bspw. E-Mail-Verschlüsselung

    Passwort Safe

    (One-Time-)Passwörter auf dem Nitrokey 3 gespeichert

    USB

    Passwörter

    Admin App

    pynitrokey und Nitrokey App 2

    USB

    Verwaltung

    PIV

    Asymmetrische Kryptographie

    USB

    Windows SmartCard


    Über den Klick auf eine der Funktionen gelangt man zu den Anleitungen des Herstellers zur jeweiligen Funktion.
    Ergänzend sind hier noch zwei weitere Funktionen aufgeführt:

    1. Speicherung von TOTP oder HOTP: https://docs.nitrokey.com/de/nitrokeys/features/totp/
    2. Absicherung der KeePass XC Datenbank: https://docs.nitrokey.com/de/software/nk-app2/keepassxc - ACHTUNG: Die Absicherung sollte nur verwendet werden, wenn es sich um eine persönliche KeePass Datenbank handelt. Bei gemeinsam genutzten Datenbanken (bspw. von Abteilungen) verlieren alle anderen User ansonsten den Zugriff!
      WARNUNG: Die Datenbank kann nicht mehr entsperrt werden, wenn der Nitrokey  verloren geht oder nicht mehr verfügbar ist! Es empfiehlt sich daher, einen zweiten Nitrokey  mit demselben HMAC-Geheimnis als Backup-Gerät einzurichten.

    Nitrokey bei Cisco DUO hinterlegen

    • https://dshs.login.duosecurity.com/ aufrufen und mit "Admin-DSHS-ID@dshs-koeln.de" anmelden
    • ggf. kommt die folgende Abfrage. Hier den Haken setzen und auf "Erlauben" klicken



    • oben rechts auf "Devices" klicken



    • nochmal mit "Admin-DSHS-ID@dshs-koeln.de" anmelden
    • "Gerät hinzufügen"



    • "Sicherheitsschlüssel"



    • "Fortfahren" 
    • "Sicherheitsschlüssel"



    • Nitrokey-Stick kurz antippen -> PIN festlegen -> Nitrokey-Stick kurz antippen -> Nitrokey-Stick kurz antippen
    • Sie können den im Portal neu auftauchenden Sicherheitsschlüssel über "Bearbeiten" umbenennen:


    PIN für Passkeys / FIDO2 ändern oder PIN für Passwörter vergeben

    Nitrokey anschließen und Anwendung "Nitrokey App" als Administrator starten. Die Anwendung sollte bereits auf allen betroffenen Geräten installiert sein.

    Die App erkennt den Nitrokey automatisch und zeigt den Status an:



    Der Nitrokey arbeitet mit zwei PINs:

    • FIDO2 / Passkey PIN: für den Schutz der FIDO2 Zugänge
    • Password PIN: für den Schutz der Passwörter (falls der User das nutzen möchte)

    Wenn beide Arten von Zugängen auf dem Nitrokey abgespeichert werden sollen, sollte ein Passwort über "Settings" und "Pin Change" vergeben werden



    Firmware-Update durchführen

    Es ist empfohlen, regelmäßig auf Firmware-Updates zu prüfen und diese zu installieren. Unter https://github.com/Nitrokey/nitrokey-3-firmware/releases sind die Release Notes zu den verschiedenen Firmware-Versionen einsehbar. 
    Nitrokey anschließen und Anwendung "Nitrokey App" als Administrator starten.
    Unter "Overview" ist die aktuell installierte Version ersichtlich:


    Mit dem Button "Check for Update" kann auf eine neue Version geprüft und diese anschließend auch installiert werden:


    Während des Updatevorgangs müssen Sie den Stick einmalig berühren. Sie werden von der Anwendung durch den Prozess geleitet. 

    Nitrokey (Passkey) in RDP-Sitzungen nutzen

    Der Nitrokey bleibt am lokalen Client stecken. RDP leitet nur die WebAuthn-Anfrage aus der Sitzung an den lokalen Client weiter.
    Die folgenden Voraussetzungen sind zentral erfüllt:

    • Windows Server 2022 mit aktivierter WebAuthn-Umleitung
    • Windows 11

    Was der einzelne User ggf. noch konfigurieren muss:

    • PIN für Passkey setzen (wird im Rahmen der ersten Benutzung gesetzt)
    • In der RDP - Konfiguration WebAuthn aktivieren (geht auch in Remote Desktop Manager; mRemote nicht möglich):


    Funktionstest

    Nitrokey lokal einstecken, in der Sitzung ein InPrivate-Fenster öffnen, https://webauthn.io aufrufen und eine Registrierung starten.
    Der Windows-Sicherheitsdialog erscheint auf dem lokalen Rechner und weist darauf hin, dass die Anfrage aus einer Remoteverbindung kommt. 


    Im Alltag

    • Nitrokey abziehen, wenn der Arbeitsplatz verlassen wird und das Gerät in einem Raum verbleibt, der (potentiell) auch von anderen genutzt wird oder Gerät mitnehmen
    • PIN-Code niemals direkt am oder in der Nähe des Geräts notieren.
    • Weitere Informationen zur Software sind unter https://docs.nitrokey.com/de/software/nk-app2/ aufrufbar.
    • Wenn weitere Funktionen genutzt werden wollen, gerne an cybersecurity@dshs-koeln.de wenden; bspw:
      1) OpenPGP Key für Mailverschlüsselung
      2) S/MIME für Mailverschlüsselung

    Bei Verlust oder Problemen

    Verlust oder Diebstahl direkt an cybersecurity@dshs-koeln.de melden.


    Bedeutung der LED-Farbe am Nitrokey

    LED-Farbe

    		 Bedeutung

    Weiß blinkend

    Warte auf Berührung

    Rot blinkend

    HOTP Verifizierung fehlgeschlagen

    Grün blinkend

    HOTP-Verifizierung erfolgreich

    Grün leuchtend

    Verarbeitung

    Rot leuchtend

    Gerätefehler

    FAQ

    Die wichtigsten Fragen beantwortet der Hersteller unter https://docs.nitrokey.com/de/nitrokeys/nitrokey3/faq

    Veröffentlicht:
    Sciebo unter iOS einrichten (Nextcloud App)
    P-App