Vorstellung des Yubikey und des wordpress-yubikey Plugins um Wordpress mit Einmalkennworten und der Yubikey Hardware zu schützen.

1. Authentifizierung mit Einmal-Kennwörtern mit dem
Yubikey.
Frank Staude <frank@staude.net>
WPBlogger Treffen, Dezember 2011

2. Der Yubikey
• Emuliert eine USB Tastatur (keine Treiber
nötig)
• OTP und static Password Modi
• API offen und Dokumentiert
• Eigene Auth-Server möglich
• Plugins für Wordpress, Drupal vorhanden
• PAM Modul vorhanden
• Günstig (Ein Yubikey 25 US$, 10 Stück
200US$)

3. Personalisierungstool
Verfügbar für Windows,
Linux und Mac OS
erlaubt es die
Konfiguration des
Yubikey zu ändern.
http://www.yubico.com/personalization-tool

4. Erstkontakt
Zum ersten Test mit dem
Yubikey bietet Yubico
Clientsoftware für
Windows, Linux und Mac
OS an und eine
Webseite.
http://yubico.com/start

5. Yubikey-plugin für Wordpress
2 Plugins für Yubikey
Unterstützung in
Wordpress.
• Yubikey-plugin von
Henrik Schack
• OneLogin von One
Login Inc.

6. Yubikey-plugin für Wordpress
Einrichtung des Yubikey-
plugin in Wordpress.
1. Das Plugin installieren.
2. Einen API Key bei Yubico
anfordern. Dazu ruf man
die Webseite https://
upgrade.yubico.com/
getapikey/ auf.
Gibt seine Emailadresse
ein und ein One-time
Password seines Keys.
Als Ergebnis erhält man eine
Client ID und einen Secret
Key.

7. Yubikey-plugin für Wordpress
Beides trägt man auf der
neuen Einstellungsseite
Yubikey in Wordpress ein.

8. Yubikey-plugin für Wordpress
Nun ist die Einstellungs-
seite eines Benutzers
erweitert mit den
Eingabegeldern zum
Yubikey.
Die Authentifizierung kann
ein/ausgeschaltet werden
und es können bis zu 3
Yubikeys dem Benutzer
zugeordnet werden.

9. Yubikey-plugin für Wordpress
Nun ist das
Loginfenster um das
Yubikey Feld erweitert.
User, denen keine Key
ID zugeordnet ist,
können sich mit
Benutzername und
Kennwort anmelden.
User mit Key ID
benötigen zum
anmelden zwingend
auch ein gültiges OTP.

10. Voraussetzungen und Links
Das yubikey-plugin benötigt die PHP Module curl und mhash.
Yubico, der Hersteller
http://www.yubico.com/
Wordpress Plugin
http://henrik.schack.dk/yubikey-plugin/
Yubico Entwickler Dokumentation
http://www.yubico.com/developers-intro
Infrastruktur YubiCloud
http://wiki.yubico.com/files/YubiCloud%20OTP%20Validation%20Service.pdf
Artikel über Yubikey im PHP Magazin
http://www.phpgangsta.de/wp-content/uploads/PM_3.11_Kliewe-Yubikey.pdf