เขาได้บอกไหมครับว่า "เวลานานพอ" คือนานแค่ไหน

YubiKey ใช้ USB 2.0
สมมุติว่า USB 2 ส่งคำสั่งได้สูงสุด 200 iops
สมมุติว่า yubikey ตอบทันที
สมมุติว่าต้องส่ง 1 ล้านครั้งพอดี

1,000,000ครั้ง/200iops/60วินาที = 83.33 นาที

เอาจริงๆเท่าที่อ่าน เรื่องนี้ตอนแรกเหมือนจะเป็นเรื่องใหญ่แต่เอาเข้าจริงๆก็ไม่น่าร้ายแรงมากเท่าไหร่ครับ

1. จำเป็นต้องแงะอุปกรณ์เพื่อทำการ electromagnetic probe ดังนั้นขโมยไปแล้วนำกลับมาคืนยังไงก็ต้องมีร่องรอยแน่ๆ
2. จาก

Note that the side-channel capture must be reproduced for every different secret stored i the chip (for instance in FIDO, for every web service protected by FIDO, a dedicated key pair is associated – one must then capture a set of side-channel acquisitions for each different targeted secret – the device however has to be opened only once). The offline phase also has to be reproduced for every secret.

นั้น เท่าที่เข้าใจทุกๆ service จะต้องทำการแลกเปลี่ยน key ก่อนเสมอ(เพื่อที่จะได้ capture ได้) ดังนั้นหากผู้ที่ขโมยไปไม่รู้รหัสผ่านในขั้นตอนแรก เพื่อที่จะเข้าสู่ขั้นตอนที่สองของ 2FA execution ได้ก็ไม่น่าที่จะ capture key ของ service ตัวนั้นๆได้นะครับ

ดังนั้นผมเข้าใจว่าความเสี่ยงเดียวที่น่าจะมีผลกระทบคือพวก passwordless login หรือเปล่าครับ?

edit : เข้าใจว่าเป็นไปตามนั้นนะครับ จาก reddit ของ Yubikey

What is the issue exactly?

Attacker, having access to your yubikey and knowing your pin number for the yubikey FIDO2 or knowing the account password for the website if pin is not needed, can extract the credential for that website and use it elsewhere. This is an elaborate process and require even up to 24 hours of continous access to your yubikey. Non-FIDO2 functionality is also affected, to be precise: PIV and OpenPGP, if you use ecdsa key type. For more about that, see the yubikey statement. Rest of this FAQ will focus on FIDO2 only.