貧乏人の物理セキュリティキー(Yubicoの格安代替)

貧乏人の物理セキュリティキー(Yubico yubikey security key の格安代替)

Yubico の Yubikey などに代表される物理セキュリティキーは高度なセキュリティを
提供してくれますが高価です。

そこで貧乏人の我々は RP2350 や ESP32-S3 などを搭載した USB ドングルに
オープンソースのファームウェアを入れて、USBの物理セキュリティキーとして
使いたいと思います。

対応ボード、導入方法、パスキーやTOTPの使い方、使ってみた感想などを共有したいです。

専用セキュリティキーとの違いや、実際に使うときの注意点も知りたいです。
自作・実験用途の情報交換としてお願いします。

5ch で初めてスレを立てたので非常識なこと、慣例に従っていないことが多々あると思いますが
生暖かい目でご指導頂けると幸いです。

さて、そもそもの始まりは

格安でUSBセキュリティキーを作る
https://note.com/idgooa/n/nfee7298e5fbf

を読んだことでした。ここに書いてあるとおりに

スイッチサイエンスで rp2350-one（今売り切れ模様）
https://www.switch-science.com/products/10123?_pos=1&_sid=8218ac5ca&_ss=r

を購入して書いてあるとおりにやったら fido2 が出来る物理セキュリティキーとして使えたのです。
そして、こういうやつは aliexpress に一杯あるだろうと探しの旅に出かけました。

こうして aliexpress で注文したのは下記の通り。

LILYGO? T-Dongle-S3 & T-Dongle-C5 ESP32-S3 or ESP32-C5 Dev Board With
Screen Dongle 0.96 inch LCD Display WiFi Bluetooth TF Card
https://ja.aliexpress.com/item/1005004860003638.html

Waveshare RP2350-GEEK Raspberry Pi Pico 2 RP2350 GEEK 1.14inch LCD
240x135 65K SWD/UART/I2C For OpenOCD/CMSIS-DAP
https://ja.aliexpress.com/item/1005008115054422.html

Nordic NRF52840-Dongle USB Dongle for Eval Bluetooth Development Module
https://ja.aliexpress.com/item/1005006363112548.html

ESP32-S3 USB Dongle Development Board Pocket-Dongle-S3 N16R8 0.96 inch
Screen LCD Display
https://ja.aliexpress.com/item/1005009024098181.html

ESP32-S3 GEEK Development Board 1.14inch 65K Color LCD Supports WiFi &
Bluetooth L
https://ja.aliexpress.com/item/1005006413214928.html

TENSTAR RP2350-USB 16MB Flash Mini Development Board Module Dual-Core
RP2350A Chip 520KB SRAM For Raspberry Pi PICO2 RP2350
https://ja.aliexpress.com/item/1005008622261552.html

1~10PCS RP2350-Zero Mini Development Board RP2350 Based on Raspberry
Pi RP2350A Dual-Core Built-in 520KB 4MB Flash Type-c USB
https://ja.aliexpress.com/item/1005010561137398.html

このうちのいくつかは基盤剥き出しの開発用機材。
ただ、探せば3Dプリンタ用のデータがあるので3Dプリンタが使える人はどうにかなるかもしれない。
（私は3Dプリンタ持ってないし、頼れる知人もいない）
少々高価だが、RP2350-GEEK やESP-S3 GEEK, ESP32-S3 USB Dongleのケース付き、LILYGO を
選べば普通のUSBメモリに似た形をしているので一般人にはこちらのほうが使いやすいかもしれない。

これらの機材を入手したら次はセキュリティキーのオープンソースを書き込む。
私が見つけたのは次の通り。

Pico fido
https://www.picokeys.com/

Rs-key(pico fido の fork で rust で書き直したと書いてある）
https://github.com/TheMaxMur/RS-Key
書き込みは
https://rskey.fob.wtf/ で

tdongle-yk
https://github.com/CDRLpart/tdongle-yk

管理ソフトは次の通り。windows 版で、実行する時は管理者権限で起動しないと正常動作しない。

picoforge
https://github.com/librekeys/picoforge

keyroost (Token2 https://www.token2.com/ スイスのセキュリティキーを作っている会社のオープンソース）
https://github.com/framefilter/keyroost

ファームウェアの書き方は一番簡単なのは
rp2350 シリーズなら、bootボタンを押しながら windows pc のusbに差し込むと rp2350 というドライブが見えるようになるので
そこに pico fido などからダウンロードしたフィアルを（例えば pico_fido_pico2-8.0.uf2 ）をコピーすると
書き込んだあと自動的に再起動され、USBから抜き差しすれば物理セキュリティキーとして使える。

ESP32-S3 の場合は同じく boot ボタンを押しながら windows pc の usb に刺すと正常ならデバイスマネージャーに認識されるので
その ポート（COM と LPT) を覚えておき、
https://www.picokeys.com/esp32-flasher/
から pico fido を選んで書き込めば良い。

RS-key の場合は先に述べた
https://rskey.fob.wtf/ でオンラインで書き込むはファームウェアデータを予めダウンロードしておいてから書き込む

実際に使った感想。
普通に使える。fido2, webauthn 用の物理セキュリティキーとして使える。TOTPも使える。
キーは256個保存できるみたいに表示されているがそこまで保存したことが無いので未検証
OTP は100個セーブ出来ると書いてあるが、これも本当かどうか未検証

私が使ったテストサイトを記述しておく

https://webauthn.io/

https://www.token2.com/tools/fido2-demo

https://fido.hiddemo.com/

https://desktest.net/security-key-test/

私は aliexpress での買い物に慣れているが普通の人は少々難易度が高いかもしれない。
スイッチサイエンスからなら買いやすいかもしれないが売り切れが多そう。未検証だが

AtomS3U ESP32S3搭載開発キット（USB-A）
https://www.switch-science.com/products/9124?_pos=37&_sid=e4f2ce964&_ss=r

Seeed Studio XIAO ESP32S3
https://www.switch-science.com/products/8968?_pos=14&_sid=e4f2ce964&_ss=r

なんかは使えるんじゃないかなぁと思う。なお責任は一切取れません。

rp2350-one
https://www.switch-science.com/products/10123?_pos=1&_sid=bd9241f87&_ss=r

rp2350-zero
https://www.switch-science.com/products/10125?_pos=1&_sid=51f162fe4&_ss=r

などは現在売り切れだがしばらくすると入荷するかもしれない。

Token2 Pico - RP2350-Based FIDO2 Security Key
https://www.token2.com/products/token2-pico-rp2350-based-fido2-security-key

はスイスのセキュリティキー会社が提供しているので他に比べると信頼性は高いかもしれない。
一応、注文してあるので届いたレポートします。

これらの格安物理セキュリティキーを Yubico Yubikey などと比較すると

1．NFC は無い
2．基盤剥き出しだったりして扱いにくい。yubikey は IP68 など防水性能があるがこちらは無いに等しい。
3．万一盗難にあったとき、PIN 8回でアクセスできなくなるなどの防御があるのか不明（Yubico はある）。
4．yubico などは盗難されても中のデータを読み出すのが難しいらしいが、こちらはそのへん不明
5．そもそも、機器としての信頼性、耐久性が不明。そんなものに大事なパスキーなどを保存していいものか？
6．5．は数の力でカバーするのもありかもしれない。
7．ただ、遊ぶ分にはなかなか楽しい（だからやっているようなもの）。

好き勝手書きました。皆様のご意見をお伺いしたいです。
以上、よろしくお願いします。

もし、この記事を読んで試してみたいと思った方がいらっしゃったら、、、

この格安物理セキュリティキーの一番のメリットは価格の安さ。
なので、2本持ちを基本として考えて一番安いのは rp2350-one rp2350-zero の2本持ちかな？
2つで10ドル、1600円前後。但し基盤剥き出し、取り扱い注意しないと簡単に電気的に壊れるかも。

なので、普通のUSBメモリの形をしたものが良いだろうとすると
ESP32-S3 USB Dongle Development Board Pocket-Dongle-S3 N16R8 0.96 inch
Screen LCD Display（ケース付きを必ず選択すること、そうでないと剥き出しのやつがくる）
https://ja.aliexpress.com/item/1005009024098181.html
が一番安く、1本8ドル程度、2本で16ドル 2500円前後？

かなぁ。。。。
全く責任持てませんが、ご参考になると幸いです。

RP2350 Pico2 開発ボード 20個セット USB-C ピンヘッダー付 未使用 動作未確認
https://auctions.yahoo.co.jp/jp/auction/l1245069151

これ、使えそうな気がするけど20個セットじゃ。。。w

2個セット RP2350 互換開発ボード PSRAM-8MB Flash-16MB Raspberry Pi Pico2 マイコン
https://paypayfleamarket.yahoo.co.jp/item/z695899828

新品 RP2350 Pico 2 Raspberry Pi 正規品
https://auctions.yahoo.co.jp/jp/auction/u1251049637

【新品】ESP32-S3 Supermini Type-C 開発ボード マイコンボード WiFi Bluetooth Arduino対応
https://auctions.yahoo.co.jp/jp/auction/t1247037142

これらは使えそうな気がするが保証しません。自己責任でどうぞ。

安いUSBセキュリティキーは指紋認証機能がないだけだと思ったらいいよ
既に指紋認証デバイスを利用している人は安いので十分です

>>15
こんにちは、コメントありがとうございます。
ただ、指紋認証付きのキーの代替という話ではなく、安価なマイコンにPico FIDOを入れて、物理FIDO2キーとして使ってみたという話です。
指紋センサーはありませんが、タッチによる確認やPIN認証は使えます。
なお、実製品の Yubico の Yubikeyや security key と同等の安全性はないことをはっきりと申し上げておきます。
リスクを承知の上でしたら一応、実用にも使えないことはありませんが、それもあくまで個人向けの実験の範囲です。
企業などで使うことは決しておすすめできません。

ESP32-S3 ボードのファームウェア
https://github.com/4noha/diy-fido-key

https://i.imgur.com/HeVVb9x.png
rp2350 ボードが3枚で（アリエクの100円ショップの販売なので3枚買わないと安くならない）約1200円。
これが今、一番安いかもしれない。