硬件安全密钥制造商Yubico仍在销售存在安全漏洞的Yubikey，尽管新型号已修复该漏洞。这些密钥使用的英飞凌TPM加密库存在侧通道攻击的弱点，黑客可通过物理接触进行破解，用户需重新购买新密钥，增加经济负担。Yubico未采取召回措施，令依赖这些密钥的用户感到担忧。

本文介绍了YubiKey在不同应用程序中的使用方式，包括在Arch Linux上的安装和配置，以及在WebAuthn、SSH、LUKS cryptsetup和OpenPGP中的应用。YubiKey的Yubico OTP功能可以禁用，而WebAuthn/Passkey功能可以在火狐、Google Chrome和Android中使用。SSH OpenSSH客户端需要安装libfido2包才能支持。OpenPGP可以使用ykman管理，PIV涉及PKCS#11。

硬件安全密钥制造商Yubico将推出新版本的YubiKey 5、Security Key和Security Key Enterprise Edition系列身份验证硬件，提供增强的安全功能，包括扩展密钥存储和强制设置更复杂的PIN。现有的YubiKey无法使用新版固件进行更新，用户需要购买新款YubiKey。新款YubiKey将提供企业身份证明、FIDO2协议限制PIN最低长度、存储最多100个密钥、24个PIV证书、64个OATH种子和2个OTP种子。Yubico Authenticator 7发布了重大版本更新，支持新功能，暂时仅支持Android设备。

Yubico公司的FIDO硬件密钥YubiKey存在安全漏洞，攻击者可以利用该软件进行提权和执行恶意操作。受影响的产品包括Windows操作系统和YubiKey Manager GUI低于1.2.6版本。用户需要尽快升级到修复后的版本。

自从上次[使用 Cloudflare Zero 的优惠买下两个 YubiKey](https://blog.skywt.cn/posts/yubikey-purchase) 之后，这俩玩意被我搁置了一个学期。原因之一是学习成本不低，关于它们的文档、教程都充斥着不少不太了解的名词、概念，令人望而却步。于是经过查阅各种资料，在这篇博客中我将（用白话文）介绍我**从零开始**的 YubiKey 入门之旅。

Yubikey 是十分强大的硬件密钥，有点像早期银行的「U 盾」，不仅可以用于账号登陆时的双因素认证（2FA），还能存储 GPG 私钥、生成密码短语等等。作为信息安全专业的学子，自然是对这玩意垂涎已久，但是其高昂的价格（$45 起，国内高于 ¥300）让人望而却步。

2022 年 9 月 29 日 CloudFlare 与 Yubico 开展了周年活动合作，可以为用户提供最低 10 美元购买 YubiKey 5 的机会。 YubiKey 活动力度这么大，啥也不说了赶紧上车。YubiKey 是一种小巧安全的令牌，主要用于两步验证和数据加密。对于 YubiKey 从功能上简单来说就是类似于银行的 U盾，但是 YubiKey 相较于...

2022 年 9 月 29 日 CloudFlare 与 Yubico 开展了周年活动合作，可以为用户提供最低 10 美元购买 YubiKey 5 的机会。 YubiKey 活动力度这么大，啥也不说了赶紧上车。

2022 年 9 月 29 日 CloudFlare 与 Yubico 开展了周年活动合作，可以为用户提供最低 10 美元购买 YubiKey 5 的机会。 YubiKey 活动力度这么大，啥也不说了赶紧上车。 YubiKey 是一种小巧安全的令牌，主要用于两步验证和数据加密。对于 YubiKey 从功能上简单来说就是类似于银行的 U盾，但是 YubiKey 相较于...

等了好久的坑货转运，我的 Yubikey 终于到手啦

刚开始简单的以为像U盘一样，把Yubikey简单地插到电脑上，然后再VMWare里直接选择连接到客户机，dme […]

我在VMWare中安装的linux mint，刚开始简单的以为使用yubikey像使用U盘一样的方式，把Yubikey插到电脑上，然后再VMWare里直接选择连接到客户机，dmessge 里有日志显示，但 gpg --card-status 找不到。 根据Yubikey的帮助文档显示，你需要把不是 Shared Yubikey 连接到客户机里，即需要选择如下图的 Yubico.com...

没有yubikey的技术博客是没有灵魂的。 ---沃 兹基硕德引言我创立博客之初想写的三篇文章就是 GPG，dnscryypt-proxy（doh），还有 Yubikey。后来发现gpg一般教...