Guia de configuração do YubiKey
Este guia explica como preparar sua YubiKey para uso no KeePassium e no KeePassXC no modo desafio-resposta (challenge-response).
- No seu computador, instale o YubiKey Manager e abra-o
- Insira sua YubiKey, caso ainda não tenha feito isso.
- Se aparecer a mensagem "Ocorreu um erro desconhecido" no macOS, vá em Ajustes do Sistema → Privacidade e Segurança → Monitoração de Entrada e permita o monitoramento de entrada para o YubiKey Manager.
- Clique em Aplicativos → OTP
- Escolha o slot a ser configurado. O primeiro slot é reservado em algumas chaves, então selecione Slot de Configuração 2.
- Selecione o tipo de credencial Desafio-resposta e clique em Avançar.
- Defina os parâmetros de desafio-resposta HMAC-SHA1:
- Chave secreta — pressione Gerar para preencher este campo com um valor aleatório. Não deixe de copiar e guardar o segredo gerado em um lugar seguro. Se você algum dia perder sua YubiKey, precisará desse segredo para acessar seu banco de dados e programar a YubiKey substituta.
- Requer toque — isso impede que apps maliciosos se comuniquem com sua YubiKey sem a sua permissão. Quando o KeePassium solicitar sua YubiKey, você precisará tocar no botão "Y" da chave NFC (ou tocar nas laterais da chave YubiKey 5Ci).
- Pressione Concluir para gravar a configuração na YubiKey.
- Por fim, verifique se os apps podem se comunicar com sua YubiKey. Clique em Interfaces e confira se a opção OTP está marcada tanto na interface USB quanto na NFC.
Métodos de backup da YubiKey
Para evitar perder o acesso aos seus dados, há duas estratégias:
- Configurar várias YubiKeys com a mesma chave secreta. Todas essas chaves retornarão exatamente a mesma resposta para o mesmo desafio, então, para o KeePassium, elas parecerão a mesma chave.
- Como alternativa, guardar a chave secreta em um lugar seguro. Assim, você poderá configurar mais tarde uma nova YubiKey para abrir seu banco de dados.
WARNING
Depois que a YubiKey é configurada, não há como ler a chave secreta. Portanto, você não conseguirá clonar uma YubiKey sem a chave secreta original.