Bonjour,
je viens de faire l'acquisition de 2 clés YUBIKEY 5 NFC usb, histoire de voir un peu comment ca marche et si c'est vraiment pratique.
J'ai vu une offre sur Ebay a un tarif très intéressant 50€ les 2. On en trouve aussi au meme prix sur Leboncoin.
Ceux qui connaissent bien le principe de fonctionnement de ces clés, est-ce qu'il y a un risque si on les achete hors du circuit normal ?
J'ai vu sur le site de YUBIKEY que le firmware est non modifiable, pour éviter les Hacks.

Pourquoi ne pas prendre une clé de sécurité Titan de Google ?

Neuf, on peut avoir deux à 50€ lors des promos.

Hors promo, c'est 35€ l'unité.

Perso, j'ai arrêté de l'utiliser, je trouve plus simple d'avoir l'application Authy sur mon smartphone qu'une clé à avoir partout avec moi.

La clé de sécurité n'est qu'un moyen de plus d'accès : Il est toujours possible de se connecter via un code envoyé par SMS.

L'usage de la clé ne supprime pas les autres moyens de faire de l'authentification à deux facteurs (2FA).

@Artemus24
comme je n'y connais pas grand chose pour le moment, on pourrait très bien m'envoyer autre chose qu'une vrai clé YUBIKEY. Une copie avec un firmware custom, bref on peut tout imaginer.
Concernant l'emballage, ca aussi ca ne veut rien dire, j'en ai vu plusieurs sur internet. Je ne suis pas en mesure de différencier un vrai d'un faux.
Autre truc qui me dérange un peu aussi, c'est que justement sur l'emballage il y a très peu d'infos, pas de version de firmware par exemple, et le code barre je ne sais pas s'il suffit a indiquer que tout est vrai dans ce qu'on m'a envoyé.
Voilà, beaucoup de questions très paranoiaques certe, mais quand on ne sait pas trop ou on met les pieds je préfère demander
J'achete quand meme 2 clés neuves pour le prix d'une seule...donc on pourrait aussi se demander comment c'est possible.

Ce n'est pas exactement comparable une Yubikey et une app 2FA.

Une clé sécurisé est beaucoup plus sécurisante qu'une app sur smartphone en 2FA car elle réduit grandement la surface d'attaque : l'implémentation (bug) de l'app 2FA et l'OS du smartphone. De plus, un 2FA TOTP peut être dupliqué (il suffit de connaitre la "seed") alors que ce n'est pas possible pour une clé physique qui ne permet pas d'extraire la clé privée.

Pas possible de tomber dans du phishing non plus avec car l'URL du site est prise en compte par exemple.

En bonus sur la Yubikey, on peut l'utiliser comme une carte à puce (fonction PIV ou openPGP selon votre envie) et elle peut se comporter ainsi comme une clé SSH très sécurisée car la clé privée est générée directement dans la clé et n'est pas extractable. Le firmware de la clé n'est pas modifiable non plus (s'il y a un gros bug de sécu, Yubico remplace la clé gratuitement).

Pour vérifier l'authenticité de la clé, il y a le site officiel https://www.yubico.com/genuine/ .

Pour le prix des clés, il y a 2 ans, Cloudflare a fait un partenariat avec Yubikey et a donné un gros bon de réduction permettant de commander des clés à 10 euros / pièce . Elles proviennent peut-être de là.

Pour le prix des clés, il y a 2 ans, Cloudflare a fait un partenariat avec Yubikey et a donné un gros bon de réduction permettant de commander des clés à 10 euros / pièce . Elles proviennent peut-être de là.

effectivement, j'ai trouvé une trace de ça ici :

from r/yubikey

donc on pouvait acheter jusqu'a 10 clés...Ce qui explique le business qu'on trouve sur LBC : https://www.leboncoin.fr/ad/accessoires_informatique/2769388117