J'aurais tendance à me méfier un peu des nitrokeys (et des solokeys), même si je pense que dans la plupart des cas, ce n'est pas un facteur si important.
Une des controverses autour de Yubico est le fait de ne plus publier le code du firmware il y a quelque années. C'est au moment ou la boite a pris une puce d'infineon au lieu de 2 puces de NXP. Et je suppose que la puce d'Infineon vient avec un NDA, d'ou le changement.
Manque de pot, c'est aussi venu avec une faille, mais c'est la vie, y a des bugs dans les logiciels.
Yubico avait publié un article pour expliquer qu'un contrôleur ARM classique n'était pas adapté, et j'ai tendance à être d'accord avec ce point.
Hors, la nitrokey, c'est un simple STM32F103 si j'en croit les schémas sur Github.
Donc du coup, le choix est entre du code qu'on peut auditer soi même sur du matériel avec des soucis potentiels, et du matériel moins problématique avec du code qu'on a pas pu auditer. Il y a un compromis à faire.
Dans la mesure ou j'irais pas auditer le code de Nitrokey moi même (parce que j'ai ni le temps, ni les compétences en crypto), la différence est de savoir si je fait confiance aux gens qui ont fait un audit potentiel.
J'ai tendance à paradoxalement faire confiance à une boite qui a déjà eu un souci de sécu publié, car elle va prendre plus au sérieux les choses qu'une autre ou je ne peut pas savoir si il n'y a rien car tout est parfait, ou parce que personne n'a rien tenté.
Donc à confiance égale, j'aurais tendance à prendre le matériel prévu pour la sécurité.
Ensuite, je pense aussi que les peurs sur une attaque en pratique visant à sortir les clés sont non fondés pour la plupart des usages. Dans la classification de James Mikens, je pense que je suis clairement dans Not-Mossad comme beaucoup de gens dans ce journal.
Et bon, 10 à 20€ de moins par ci par la, ça peut aider. Et nitrokeys fait du libre, collabore avec solokeys, publie des modifs sur odoo, etc, donc c'est une bonne chose de les soutenir.
[^] # Re: Nitrokey
Posté par Misc (site web personnel) . En réponse au journal Clés de sécurité, pas assez utilisées. Évalué à 8.
J'aurais tendance à me méfier un peu des nitrokeys (et des solokeys), même si je pense que dans la plupart des cas, ce n'est pas un facteur si important.
Une des controverses autour de Yubico est le fait de ne plus publier le code du firmware il y a quelque années. C'est au moment ou la boite a pris une puce d'infineon au lieu de 2 puces de NXP. Et je suppose que la puce d'Infineon vient avec un NDA, d'ou le changement.
Manque de pot, c'est aussi venu avec une faille, mais c'est la vie, y a des bugs dans les logiciels.
Yubico avait publié un article pour expliquer qu'un contrôleur ARM classique n'était pas adapté, et j'ai tendance à être d'accord avec ce point.
Hors, la nitrokey, c'est un simple STM32F103 si j'en croit les schémas sur Github.
Donc du coup, le choix est entre du code qu'on peut auditer soi même sur du matériel avec des soucis potentiels, et du matériel moins problématique avec du code qu'on a pas pu auditer. Il y a un compromis à faire.
Dans la mesure ou j'irais pas auditer le code de Nitrokey moi même (parce que j'ai ni le temps, ni les compétences en crypto), la différence est de savoir si je fait confiance aux gens qui ont fait un audit potentiel.
J'ai tendance à paradoxalement faire confiance à une boite qui a déjà eu un souci de sécu publié, car elle va prendre plus au sérieux les choses qu'une autre ou je ne peut pas savoir si il n'y a rien car tout est parfait, ou parce que personne n'a rien tenté.
Donc à confiance égale, j'aurais tendance à prendre le matériel prévu pour la sécurité.
Ensuite, je pense aussi que les peurs sur une attaque en pratique visant à sortir les clés sont non fondés pour la plupart des usages. Dans la classification de James Mikens, je pense que je suis clairement dans Not-Mossad comme beaucoup de gens dans ce journal.
Et bon, 10 à 20€ de moins par ci par la, ça peut aider. Et nitrokeys fait du libre, collabore avec solokeys, publie des modifs sur odoo, etc, donc c'est une bonne chose de les soutenir.