Nitrokey 3A (no NFC!)

Nitrokey 3 mit USB-A – sicherer Hardware-Schlüssel mit eingeschränkter NFC-Funktion

Der Nitrokey 3 mit USB-A verbindet moderne Authentifizierung, geschützte Schlüsselspeicherung und bewährte Open-Source-Technologie in einem kompakten Sicherheitsschlüssel. Das Modell unterstützt FIDO2, FIDO U2F, Einmalpasswörter, OpenPGP sowie die sichere Verwaltung kryptografischer Schlüssel.

Ein integriertes Secure Element mit Common Criteria EAL 6+ Zertifizierung schützt besonders sensible kryptografische Daten. Dadurch eignet sich der Nitrokey 3 sowohl zur Absicherung von Online-Konten als auch für die Verschlüsselung und sichere Administration von IT-Systemen.

Die USB-A-Variante ist insbesondere für den Einsatz an klassischen PCs, Notebooks und anderen Geräten mit USB-A-Anschluss vorgesehen. Die NFC-Funktion ist bei diesem Modell nur eingeschränkt beziehungsweise nicht nutzbar.

Einsatzmöglichkeiten

Privat und geschäftlich – digitale Zugänge zuverlässig absichern

• Passwortlose Authentifizierung
  Mit kompatiblen Diensten wie Microsoft 365 oder Nextcloud kann die Anmeldung ohne Eingabe eines herkömmlichen Passworts erfolgen. Der Nitrokey übernimmt dabei die sichere Authentifizierung.
• Zwei-Faktor-Authentisierung für Online-Konten
  FIDO2, FIDO U2F und OTP-Verfahren bieten eine zusätzliche Schutzebene für Webkonten. Selbst bei einem kompromittierten Passwort bleibt ein Konto ohne den erforderlichen Sicherheitsschlüssel geschützt. Eine Übersicht kompatibler Dienste bietet www.dongleauth.com.
• Schutz vor Phishing
  FIDO berücksichtigt die Domain der jeweiligen Webseite bei der Authentifizierung. Dadurch wird die Verwendung des Sicherheitsschlüssels auf einer manipulierten oder nachgeahmten Webseite verhindert.
• Verwendung mit mobilen Geräten
  FIDO ermöglicht sichere Authentifizierung auch bei kompatiblen Android- und iOS-Geräten. Bei dieser USB-A-Variante steht NFC jedoch nur eingeschränkt beziehungsweise nicht zur Verfügung.
• Verschlüsselung von E-Mails und Daten
  Private Schlüssel können geschützt auf dem Nitrokey gespeichert werden. Damit lassen sich beispielsweise E-Mails, Dateien oder komplette Datenträger mit Lösungen wie GnuPG, OpenPGP, S/MIME, Thunderbird oder Outlook absichern.

Unternehmen – Schutz vor Cyberangriffen und Industriespionage

• Passwortfreie Anmeldung an Windows-Systemen
  In Kombination mit Microsoft Entra ID kann der Nitrokey 3 für die passwortlose Anmeldung an zentral verwalteten Windows-Computern eingesetzt werden.
• Sichere Anmeldung an Unternehmensanwendungen
  Passwortbasierte Authentifizierung kann durch einen Hardware-Sicherheitsschlüssel ergänzt oder in geeigneten Szenarien ersetzt werden. Das reduziert den Aufwand für Passwortvorgaben, vergessene Zugangsdaten und Passwort-Resets.

IT-Administration und IT-Sicherheit

• SSH-Zugänge schützen
  Private SSH-Schlüssel können direkt auf dem Nitrokey verwaltet und durch eine PIN geschützt werden. Ein Export des geschützten Schlüssels ist nicht möglich. Dadurch entfällt die Notwendigkeit, sensible Schlüsseldateien auf mehreren Clients zu verteilen.
• IoT-Anwendungen und eigene Hardware absichern
  Der Nitrokey kann in individuelle Hardware- und Produktlösungen integriert werden. Einsatzbereiche sind beispielsweise sichere Fernwartung, Geräteauthentifizierung und der Nachweis der Produktauthentizität.
• Kryptografische Schlüssel sicher verwahren
  Zertifikate und private Schlüssel können innerhalb der geschützten Hardware gespeichert werden. Das erschwert den Zugriff durch Schadsoftware und reduziert das Risiko eines Diebstahls.
• BIOS- und Firmware-Integrität kontrollieren
  In Verbindung mit Measured Boot kann der Nitrokey zur Überprüfung der Integrität von BIOS und Firmware eingesetzt werden. Die vierfarbige LED unterstützt die Statusanzeige. Geeignete Systeme benötigen unter anderem eine Firmware auf Basis von Coreboot und Heads, wie beispielsweise kompatible NitroPad-Systeme.

Funktionen im Überblick

• FIDO2 und FIDO U2F
  Die modernen FIDO-Verfahren ermöglichen komfortable passwortlose Anmeldungen und reduzieren gleichzeitig die Risiken durch gestohlene Zugangsdaten und Phishing.
• Einmalpasswörter
  HOTP und TOTP können als zusätzlicher Faktor bei der Anmeldung verwendet werden. Die Einmalcodes werden auf dem Nitrokey erzeugt und erhöhen die Sicherheit von Benutzerkonten.
• Geschützte Schlüsselverwaltung
  Private Schlüssel für Verschlüsselung und digitale Signaturen lassen sich auf dem Nitrokey speichern. Dadurch müssen sensible Schlüssel nicht ungeschützt auf dem jeweiligen Computer abgelegt werden.
• Passwortmanager
  Zugangsdaten können verschlüsselt im integrierten Passwortmanager abgelegt werden. So stehen benötigte Passwörter unabhängig vom verwendeten Rechner zur Verfügung.
• Integritätsprüfung
  Unterstützte Systeme können mithilfe von Verified Boot auf Veränderungen an BIOS und Firmware geprüft werden. Die LED des Nitrokey zeigt den erkannten Systemstatus an.

Sicherheitsarchitektur

Der Nitrokey 3 setzt auf mehrere miteinander kombinierte Schutzmechanismen. Dabei werden speichersichere Software, abgesicherte Hardware und ein zertifiziertes Secure Element miteinander verbunden.

• Firmware in Rust: Die Firmware wird in Rust entwickelt. Die speichersicheren Eigenschaften der Programmiersprache helfen dabei, bestimmte Arten sicherheitskritischer Speicherfehler zu vermeiden.
• Trussed Framework: Die Firmware verwendet das in Rust entwickelte Framework Trussed. Es wurde speziell für sicherheitsrelevante Embedded-Anwendungen entwickelt und stellt unter anderem Funktionen für kryptografische Operationen bereit. Der Quellcode ist öffentlich verfügbar.
• Sicherheitsfunktionen der Hardware: Je nach Gerätevariante kommen Mikrocontroller der Familien LPC55S6x oder nRF52 zum Einsatz. Zu den vorhandenen Schutzmechanismen gehören unter anderem Secure Boot, ARM TrustZone und Physical Unclonable Functions (PUF).
• Secure Element mit EAL 6+: Ein SE050 Secure Element übernimmt die geschützte Verarbeitung und Speicherung besonders sensibler kryptografischer Informationen. Die Komponente ist bis zur Betriebssystemebene nach Common Criteria EAL 6+ zertifiziert und erfüllt damit hohe Anforderungen an die Sicherheit.
• Open-Source-Konzept: Die Software und sicherheitsrelevanten Komponenten des Nitrokey-Ökosystems basieren auf Open-Source-Technologien. Dadurch kann die Implementierung von unabhängigen Experten überprüft werden.

Kompatibilität

• Betriebssysteme: Windows, macOS, Linux, BSD, Android und iOS
• Schnittstellen: Microsoft CSP, OpenPGP, S/MIME, X.509, PKCS#11, OpenSC, FIDO2 und FIDO U2F
• Unterstützte Webdienste: Eine Übersicht verschiedener Anbieter mit Zwei-Faktor-Authentisierung ist unter www.dongleauth.com verfügbar.

Technische Daten

• Authentifizierung: WebAuthentication (WebAuthn), CTAP2/FIDO2 und CTAP1/FIDO U2F 1.2
• Einmalpasswörter: HOTP nach RFC 4226 und TOTP nach RFC 6238
• FIDO: Zwei-Faktor-Authentisierung und passwortlose Anmeldung für eine unbegrenzte Anzahl von Accounts
• Firmware: Signierte Firmware-Updates
• Bedienung: Integrierter Touchbutton
• Sicherheitselement: Manipulationsgeschütztes Secure Element mit Common Criteria EAL 6+
• RSA: 2048 bis 4096 Bit
• Elliptische Kurven: NIST P-256, P-384, P-521, Ed25519, Curve25519, brainpoolP256r1, brainpoolP384r1 und brainpoolP512r1
• Symmetrische Verschlüsselung: AES-128 und AES-256
• Hash-Verfahren: SHA-256, SHA-384 und SHA-512
• OTP-Verfahren: HOTP, TOTP und HOTP-Prüfung
• Zufallszahlengenerator: Physikalischer True Random Number Generator (TRNG)
• Statusanzeige: Vierfarbige LED
• USB-Schnittstelle: USB 1.1, Typ A
• NFC: Keine beziehungsweise nur eingeschränkte NFC-Leistung
• Konformität: FCC, CE, RoHS, WEEE und OSHwA