幹壞事是進步最大的原動力
AWS IAM 總算可以掛多個 MFA 到同一個帳號下了：「You can now assign multiple MFA devices in IAM」。
先前的 workaround 是開多個一樣權限的帳號，一個帳號掛 TOTP MFA，另外的每個帳號掛一隻 U2F MFA，但偶而會遇到會認 IAM account 的權限檢查，就會比較麻煩...
先說明一下，目前這個功能看起來還在 rolling update (也有可能是 bug？)，我的公司帳號就成功把本來只有 TOTP MFA 的加掛 U2F MFA 上去，但我自己的 AWS 帳號就怎麼樣都看不到這個新功能。
這是加好的：
這是我自己的 AWS 帳號，沒有像上面那樣可以管理多個 MFA，而點開 Manage 也只會看到移除的選項：
到另外一個掛 U2F MFA 的帳號下一樣也看不到：
另外我在刪除 IAM 帳號時也發現會有無法刪除 MFA 設定的錯誤訊息 (但點進去看 IAM user 可以確認 MFA 已經背山掉了)，這時候再刪一次就會成功，看起來 console bug 還不少... 也許再放個兩天看看？
看到「Virtual FIDO」這個專案，用軟體模擬 FIDO2 裝置：
Virtual FIDO is a virtual USB device that implements the FIDO2/U2F protocol (like a YubiKey) to support 2FA and WebAuthN.
就安全性來說有點本末倒置，畢竟硬體確保了 secret 無法被軟體直接搬走，而這個軟體模擬的方式就沒辦法了，這個專案比較像是實驗示範性質...
翻了一下 Hacker News 上也有人提到這個問題：「Show HN: A virtual Yubikey device for 2FA/WebAuthN (github.com/bulwarkid)」，但也有提到「tpm-fido」這個專案，用 TPM 來保護：
tpm-fido is FIDO token implementation for Linux that protects the token keys by using your system's TPM. tpm-fido uses Linux's uhid facility to emulate a USB HID device so that it is properly detected by browsers.
這個至少有一點保護，但還是不像實體的 YubiKey 那樣會需要碰一下才認證。
我手上有好幾隻 YubiKey，目前幾個有在用的服務都有支援同時綁定多組 U2F/WebAuthn 的能力 (像是 Facebook 與 GitHub)。
Twitter 一開始推出的時候也可以支援多組，但在去年 2020 年八月的時候發現這個功能被拔掉，只能放一把進去。
我自己開了一張 ticket 定時回頭看一下有沒有修正，剛剛定期回顧發現這個功能被加回來了，而且官方的文件上也加上去了：「How to use two-factor authentication」。
翻了一下 Internet Archive 上的資料，看起來是 3/11 到 3/16 中間更新文件的...
手上有多把 security key 的人也可以處理一下。
在「U2F support in OpenSSH HEAD」這邊看到 OpenSSH 的 HEAD 支援 U2F 了，使用的命名叫做 sk-ecdsa-sha2-nistp256@openssh.com。
照 mailing list 上更完整的說明「U2F support in OpenSSH HEAD」，看起來是當主要的 key，而不是當 MFA，也許再研究看看...
在「Yubico iOS Authentication Expands to Include NFC」這邊看到 iOS 13 上對於 NFC 類的 MFA 會有的進展。
主要是因為之前的 NFC 只有讀取能力，所以 U2F/FIDO2/WebAuthn 之類的應用沒有辦法套用上去：
Previously, NFC on iOS was read-only, which meant that it couldn’t support modern authentication protocols like FIDO U2F, FIDO2/WebAuthn that require both read and write capabilities – but now that has changed.
iOS 13 後開放了 API 可以讀寫，所以有辦法支援這些協定了：
With these recent updates, iPhone users (running iOS 13+) can experience mobile NFC authentication with a YubiKey 5 NFC or Security Key NFC by Yubico on apps and browsers that have added support.
對於主力放在 Apple Ecosystem 的人，總算是等到了...
看到「Disable SMS or voice codes for 2-Step Verification for more secure accounts」這邊的說明，G Suite 的管理員可以將 SMS 與 Voice 強制關閉 (也就是不認為這兩個管道是安全的 2FA)。
主要是因為行動網路一直都不怎麼安全，像是 GPRS 與 3G network 使用的 KASUMI，或是 downgrade attack (用 2G network)。
目前 G Suite 登入有提供的 2FA 除了上面這兩個以外，應該還有 TOTP 與 U2F 類的認證方式，這次影響最大的應該是堅持用非智慧型手機的人？這種：
Facebook 上的行動電話號碼除了被拿來當作 2FA 的備案外，也被強制分享。更糟的是還被拿來當作廣告的條件：
For years Facebook claimed the adding a phone number for 2FA was only for security. Now it can be searched and there's no way to disable that. pic.twitter.com/zpYhuwADMS
— Jeremy Burge ?? (@jeremyburge) March 1, 2019
This is so crazy: even if you deliberately don't include your mobile number in your Facebook profile, they'll harvest it when you use it for two-factor authentication, and let advertisers target you with it. https://t.co/0TIr0zsJOt pic.twitter.com/TigHlGR2zF
— Tom Gara (@tomgara) September 26, 2018
Yubico 在 CES 2019 上宣佈推出兩用版的 YubiKey，同時支援 USB-C 與 Lightning 接頭：「Yubico Launches the Security Key NFC and a Private Preview of the YubiKey for Lightning at CES 2019」。
從照片可以看出來是直接做成兩側各一個頭：
目前是 Private Preview，開發者需要跟 Yubico 申請：
If you are a developer or service that would like to support strong hardware authentication on iOS, we invite you to work with us by applying to participate in the YubiKey for Lightning Program. Selected participants will have access to the private preview of YubiKey for Lightning and also the Yubico Mobile iOS SDK for Lightning.
不過看起來是硬體限制沒辦法朝 NFC 支援？另外如果蘋果下一代 iPhone 換掉變成 USB-C 就搞笑了...
再弄 WordPress 的 U2F 時發現他也可以共存其他 2FA 機制 (也就是可以挑一種方式當 2FA，像是 TOTP)，就開始重設 OTP...
結果手賤把 FreeOTP 的 ' 改成 ' (因為看起來不順眼 XD)，就遇到「FreeOTP stuck crashing at startup if name contains certain characters · Issue #100 · freeotp/freeotp-ios」這個問題，結果 FreeOTP 直接閃退開不起來，而且沒有 workaround 的方式存取其他的 OTP token...
找了一下替代方案，目前先用「mattrubin/Authenticator: Two-Factor Authentication Client for iOS」這套了，要注意有同名而且界面很像的 app 在上面，要確認作者名稱...
然後接下來就是一連串 reset 2FA token 的步驟了，有些當初沒有留 backup code 超麻煩 @_@
CA/Browser Forum 會定時將會議記錄與最後的結論公開放在網站上，有時候有些資訊還蠻有趣的。像是前幾天在「Ballot 221 - Two-Factor Authentication and Password Improvements - CAB Forum」這邊看到 CA/Browser Forum 的成員對密碼與 2FA 提出了修正提案，其中瀏覽器端只有 Microsoft 參與投票，但是被否決了...
不知道否決的原因，但是大概可以猜到幾個點。
第一個是提案提到了 NSA 的 NIST 800-63B Appendix A，這個單位不太受歡迎啊...
第二個則是「For accounts that are accessible only within Secure Zones or High Security Zones, require that passwords have at least twelve (12) characters;」這段強迫使用密碼，而現在有比密碼更安全的方案存在 (以 public key cryptography 為認證基礎的方案)，像是早期的 U2F 以及今年定案的 WebAuthn。
應該是這些原因吧...
