Meilenstein für Nitrokey 3 erreicht: OpenPGP-Karte, Einmal-Passwörter und USB-C-Verfügbarkeit!

Wir freuen uns, heute die offizielle Veröffentlichung der Nitrokey 3-Firmware-Version 1.4.0 bekannt zu geben. Dies ist ein großer Erfolg für uns, da die neue Firmware lang erwartete Funktionen ermöglicht, die den Datenschutz, die Sicherheit und die Benutzerfreundlichkeit für unsere Nutzer weiter verbessern. Darüber hinaus wurde die Produktion des Nitrokey 3C NFC-Modells in letzter Zeit exponentiell beschleunigt: Wir versenden jede Woche Hunderte von Einheiten und erwarten, dass alle Vorbestellungen bis Ende nächster Woche ausgeliefert sein werden. Von da an werden alle Nitrokey 3 Modelle auf Lager sein und in unserem Online-Shop bestellt werden können. Wir möchten uns bei unseren Nutzern für ihre Geduld bedanken und hoffen, dass das Ergebnis das Warten wert sein wird. Werfen wir nun einen genaueren Blick auf die neuen Funktionen der Firmware 1.4.0!

OpenPGP-Karte

Das wohl am meisten erwartete Feature für Nitrokey 3 ist die OpenPGP Card. Dabei handelt es sich um eine Smartcard, die häufig für OpenPGP (Pretty Good Privacy) und GnuPG (GPG) verwendet wird, um Benutzerdaten und E-Mails zu verschlüsseln. Die OpenPGP Card kann aber auch für beliebige Verschlüsselungs-, Signier- und Authentifizierungsanwendungen eingesetzt werden, z.B. für sichere und bequeme SSH-Logins. Mit der neuen Firmware können Sie nun Ihre privaten Schlüssel sicher auf einem Nitrokey 3 speichern und unterwegs nutzen. Vorerst werden Ihre Schlüssel verschlüsselt im Flash und noch nicht im sicheren Element gespeichert. Die Sicherheit geht dabei nicht auf Kosten der Transparenz: Wie üblich wird die neue Firmware unter einer Open-Source-Lizenz veröffentlicht, die es den Nutzern erlaubt, den Code einzusehen und zu verändern; etwas, das Nitrokey von der Konkurrenz unterscheidet.

Einmal Passwörter (OTP)

Neben der OpenPGP-Karte werden auch One-Time-Passwörter (OTP) unterstützt. Es ermöglicht Nitrokey 3, Einmalpasswörter zu generieren, die, wenn sie aktiviert sind, bei der Anmeldung vom Benutzer als Zwei-Faktor-Authentifizierungsmethode (2FA) abgefragt werden, nachdem dieser sein Passwort eingegeben hat. Dieser Ansatz kombiniert etwas, das Sie kennen (das Passwort), mit etwas, das Sie haben (das Gerät, das das OTP generiert), wodurch Sie weniger anfällig für Passwort-Phishing-Angriffe sind. Bislang können One Time Passwords über das Befehlszeilentool nitropy generiert werden, aber auch in dieser Hinsicht gibt es Neuigkeiten. Lesen Sie weiter...

using OPT with nitropy

Grafische Benutzeroberfläche: Nitrokey App 2

Wir haben kürzlich die Nitrokey App 2 veröffentlicht! Die von Grund auf in Python neu entwickelte App nutzt die Vorteile der pynitrokey-Bibliothek und bietet ein intuitives Design zur Verwaltung aller Nitrokey 3-Geräte. Nitrokey App 2 ist derzeit über ein MSI-Installationsprogramm für Windows und eine Binärdatei für Linux verfügbar, während an einer Flatpak-Version und einer Unterstützung für macOS gearbeitet wird. Die App kann bereits zum Aktualisieren der Nitrokey 3-Firmware verwendet werden, und die Unterstützung für Einmalpasswörter wird voraussichtlich bald verfügbar sein.

Nitrokey App 2

Was in Zukunft zu erwarten ist

Unser Team arbeitet bereits an neuen Funktionen, wie dem Hinzufügen eines Passwortspeichers in Nitrokey 3, der Unterstützung des beliebten Passwortmanagers KeePassXC, PIV, um passwortlose Anmeldungen für Windows-Anwender in Unternehmen zu ermöglichen, der Integration von NitroPad bzw. HEADS für Measured Boot, der Integration von SE050 Secure Element und an der Verschlüsselung und Signierung von Daten in Webbrowsern mit Nitrokey 3 und ohne zusätzliche Client-Software. Bleiben Sie dran!

Übrigens: Falls Sie häufiger über Neuigkeiten und Entwicklungsfortschritte informiert werden möchten, folgen Sie unserem Blog.

10.5.2023

Comments

Submitted by _ on 10. Mai 2023 - 14:53
Gratulation zu diesem Meilenstein. ( ^^)Y☆Y(^^ )
Submitted by Klaus on 10. Mai 2023 - 20:15
Erstmal Gratulation, bald kann ich den Stick so verwenden, wie ich es vorhatte. Und zwar wollte ich den Nitrokey 3 dazu verwenden, mit Veracrypt meine Festplatte zu verschlüsseln. Ich habe heute mit Freuden feststellen können, dass mit der Firmware 1.4 OpenPGP unterstützt wird. Ich habe dann analog zur Anleitung für den Nitrokey Pro 2 versucht, der Veracryptanleitung zu folgen. *ttps://docs.nitrokey.com/pro/linux/hard-disk-encryption In dem Augenblick, in dem ich allerdings bei Veracrypt auf Manage Security Token klicke, erscheint die sehr hilfreiche Meldung "GENERAL ERROR" und die Anzeige zur Auswahl des Sicherheitstokens bleibt leer. Ist die Kompatibilität zum jetzigen Stadium vielleicht noch nicht so weit gediehen?
Submitted by meissner on 12. Mai 2023 - 12:56
Ja, im Detail wird es aktuell noch die eine oder andere Client Anwendung geben, die nicht funktioniert. Wir haben so gut es geht nach Spezifikation (der OpenPGP Card) entwickelt, manche Client Anwendungen brauchen aber noch die eine oder andere Anpassung. Wir arbeiten daran, dass wir hier breiteren Support sicherstellen können
Submitted by Klaus on 17. Mai 2023 - 16:01
Alles klar, aber ich glaube mittlerweile, es lag an mir. Habe Veracrypt mit PKCS#11 verwendet und es klappt mit dem Nitrokey 3 einwandfrei. Top!
Submitted by graudeejs on 11. Mai 2023 - 10:52
Thank yo for the work and progress, however I have mixed feelings, because Secure Element is not used to store GPG keys (the whole point of buying Nitrokey Pro) --- "For now your keys will be stored encrypted in flash and not in the secure element yet" --- So when can we expect proper implementation?
Submitted by meissner on 12. Mai 2023 - 12:58
Hard to predict when exactly this will happen - we will first work on ensuring compatibility with more client applications, but then we'll directly jump on the SE050 support.
Submitted by david keepass on 12. Mai 2023 - 1:38
hello, thanks, please support KeePass on ms-windows, not just KeePassXC.
Submitted by Sepp on 25. Mai 2023 - 20:06
KeePassXC works fine on Windows: keepassxc.org/download/#windows
Submitted by John Doe on 12. Mai 2023 - 15:34
Herzlichen Glückwunsch zu den erreichten Meilensteinen! Mittlerweile ist auch mit 3C angekommen, zusammen mit dem Release kann ich diesen jetzt sogar sinnvoll einsetzen - vielen Dank.
Submitted by anon on 15. Mai 2023 - 1:15
Hi there, I got my 3C recently and I'm really enjoying it so far! Just got a couple questions regarding the "For now your keys will be stored encrypted in flash and not in the secure element yet" statement.
  • Once the SE implementation is in place, will the users need to do anything to move them or will that all be taken care of via the update and...
  • Will the users be better off factory resetting the keys and letting the NK regenerate them, or is will the automated process (if it will exist) be sufficient enough.
  • What the security implications of the keys residing in flash and/or what security measures have been taken to ensure the security of the keys for now.
Mainly asking to figure out how much trust can be put into the NK3 with the firmware in its current state. I'm assuming that with the keys being stored in the flash, the key isn't as resistant to physical tampering. Thank you, and all the best
Submitted by meissner on 15. Mai 2023 - 13:32
Although this is not entirely defined/implemented yet, the plan is to allow the user to choose (configure) one of both options: store keys inside the SE050 and use its cryptographic primitives or store keys on the external flash and use (open-source) software cryptographic primitives. Migrating (automatically) from one variant into the other will most likely not be possible. About the security implications on how currently keys are stored - on a high level: The encryption is bound to the MCU (soldering out the external flash, will not allow you to extract the keys), even if you manage to extract the MCU's internal flash (which would mean you break the MCU's anti-tampering mechanisms) you will not be able to decrypt the keys on the external flash. Further the pin is also used to on top of that for deriving the encryption key, which adds another strong level of security. p.s.: have done minimal (layout) changes in your post for readability
Submitted by anon on 16. Mai 2023 - 0:27
Thank you for the detailed response, I really appreciate it. Out of curiosity, on a high level how will the SE050 functionality be implemented? My background is in C/C++, but I've never worked with secure elements and would love to know it compares to the flash method.
Submitted by meissner on 16. Mai 2023 - 13:53
We are using Trussed, which serves as a provider for e.g., cryptographic primitives (and file operations). Various different clients/apps are then attached to Trussed, e.g., Fido2 or OpenPGP Card. The latter realize the actual user-faced functionalities and use the backend via a request/response mechanism. Trussed receives a request (e.g., hash("abc")) and responds with whatever the request asked for. Quite recently we have extended Trussed to support multiple backends, which essentially means that the request can be dispatched to "somewhere" else instead of the pure software implementation. The SE050 is such a backend, which can be configured - so instead of e.g., hash("123") being executed by the software implementation, Trussed will dispatch the request towards the SE050. The SE050 will execute the operation and Trussed will pass the response on to the client. This especially means that for the client this will be mostly transparent, which is very beneficial for us, as this ensures that the client does not require any changes. On the backend side, the communication between the MCU and the SE050 is realized via I2C using APDUs.
Submitted by someone on 16. Mai 2023 - 23:45
How many credentials can we store with the future nk3 password manager ?
Submitted by meissner on 17. Mai 2023 - 10:49
With the first shot, we'll restrict the maximum to 100. Generally the available space should handle 500 easily, but there are some (internal) issues to be solved on the way. E.g., the listing performance suffers quite a lot at some point, but we are working on that and will increase this number step by step.
Submitted by charlie on 23. Mai 2023 - 12:10
When the next firmware will come out ?
Submitted by meissner on 23. Mai 2023 - 22:41
we expect a 1.5 release next or the week after...
Submitted by moof on 2. Juni 2023 - 4:26
Hi! Im kind of new in this field. I wonder do you have any plan on supporting Bitwarden or is it somehow supported through any means already? And what about clients on the mobile side, for ex KeepassDX, Bitwarden for Android etc.
Submitted by meissner on 5. Juni 2023 - 12:17
Hey, so far I know bitwarden's fido2-based authentication is working. For the mobile side I am not aware of any password-safe being able to use the Nitrokey 3 to unlock, but this also could be a lack of testing. If you find an application that you think might be supported don't hesitate to write us, so we can investigate and maybe do fixes in order to support it.
Submitted by tomka on 23. Juli 2023 - 12:34
Hallo ich warte immer noch auf die NitrokeyApp 2 für Mac. Wann ist denn damit zu rechnen?
Submitted by meissner on 24. Juli 2023 - 16:15
Hey, ja die Version für macOS fehlt noch, hier ist das Github Issue, gerne +1 melden um die Prio zusätzlich zu erhöhen. Grundsätzlich sollte aber die Installation über pypi funktionieren. Grundsätzlich ist das aber eine der top prio Aufgaben, die anstehen.
Submitted by wolfhorst on 20. September 2023 - 1:44
'Update the Nitrokey' sollte besser in 'Updating Nitrokey...' umbenannt werden.
Submitted by Marc on 11. Oktober 2023 - 16:01
Hallo habe meine Nitrokey 3 NFC bekommen und stelle mit erstaunen fest das es keine Flatpack App für Linux gibt das ist echt enttäuschend. Hätte es gerne ausprobiert mit den ganzen Terminal tutorials komme ich nicht zurecht. Hoffe das die passende Nitrokey App für den Key3 bald erscheind. Meiner Meinung nach sollte nichts ohne vollständigen Softwaresupport verkauft werden.
Submitted by meissner on 15. Oktober 2023 - 22:21
Hey Marc, ja leider gibt es noch kein Flatpak Paket. Wir hatten naiver-weise gehofft, dass wir das vorerst mit einem Single-Binary für Linux lösen können. Leider zeigt das gerne mal Inkompatibilitäten und wir haben jetzt auch Flatpak ganz oben auf die Liste geschrieben. Hier ist das Single-Binary für Linux, auspacken, ausführen, Daumen drücken. Darüber hinaus ist der Nitrokey 3 aber zumeist mit standartisierten Methoden und Applikationen zu nutzen:
  • FIDO2 geht mit jedem aktuellen Browser, auch die Verwaltung, in Chromium zB über chrome://settings/securityKeys (das muss man mit der Hand kopieren, der Link ist nicht "clickbar")
  • OpenPGPCard ist auch ein Standard, der von jeder Applikation benutzt werden kann die PKCS versteht: GPG, OpenSC, Kleopatra, etc etc
  • PasswordSafe geht tatsächlich nur über unser Tooling, wie beschrieben, wir arbeiten dran
Submitted by Kurt on 14. November 2023 - 4:12
Does this mean the SoloV2 also now supports OpenPGP?
Submitted by meissner on 20. November 2023 - 15:24
No, although Nitrokey and Solo share the same basis, this does not mean one can simply use the firmwares interchangeably.
Submitted by Maik on 20. Januar 2024 - 7:46
Wann kommt das Flatpak. Das binary will und will nicht laufen.
Submitted by meissner on 23. Januar 2024 - 13:26
Hey Maik, wir planen das nächste NitrokeyApp2 release für Ende dieser Woche, da es auch das erste mit flathub/flatpak support wird, wird es danach noch einige Tage dauern, wir werden bestimmt einen Blog Artikel dazu veröffentlichen.

Add new comment

Fill in the blank.