U2F a explicat cum Google și alte companii creează un token de securitate universal

U2F este un nou standard pentru jetoanele universale de autentificare cu două factori. Aceste jetoane pot utiliza USB, NFC sau Bluetooth pentru a oferi autentificare cu două factori într-o varietate de servicii. Este deja acceptat în conturile Chrome, Firefox și Opera pentru Google, Facebook, Dropbox și GitHub.

Acest standard este susținut de alianța FIDO, care include Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, Bank of America și multe alte companii masive. Se așteaptă ca jetoanele de securitate U2F să fie peste tot în curând.

Ceva similar va deveni mai răspândit în curând cu API-ul de autentificare Web. Acesta va fi un standard API de autentificare care funcționează pe toate platformele și browserele. Acesta va suporta alte metode de autentificare, precum și chei USB. API-ul de autentificare Web a fost inițial cunoscut sub numele de FIDO 2.0.

Ce este?

Autentificarea în doi factori este o modalitate esențială de a vă proteja conturile importante. În mod tradițional, majoritatea conturilor au nevoie doar de o parolă pentru a vă conecta - acesta este un factor, ceva ce știi. Oricine cunoaște parola poate intra în contul dvs..

Autentificarea în doi factori necesită ceva ce știi și ceva ce ai. De multe ori, acesta este un mesaj trimis pe telefon prin SMS sau un cod generat printr-o aplicație ca Google Authenticator sau Authy pe telefonul tău. Cineva are nevoie atât de parola dvs. cât și de accesul la dispozitivul fizic pentru a vă conecta.

Dar autentificarea cu doi factori nu este la fel de ușoară cum ar trebui să fie și adesea implică introducerea parolelor și a mesajelor SMS în toate serviciile pe care le utilizați. U2F este un standard universal pentru crearea jetoanelor de autentificare fizică care pot funcționa cu orice serviciu.

Dacă sunteți familiarizat cu Yubikey - o cheie fizică USB care vă permite să vă conectați la LastPass și alte servicii - veți cunoaște acest concept. Spre deosebire de dispozitivele standard Yubikey, U2F este un standard universal. Inițial, U2F a fost realizat de Google și Yubico care lucrează în parteneriat.

Cum functioneazã?

În prezent, dispozitivele U2F sunt de obicei mici dispozitive USB pe care le introduceți în portul USB al computerului. Unele dintre ele au suport NFC pentru a putea fi utilizate cu telefoane Android. Se bazează pe tehnologia de securitate "smart card" existentă. Când îl introduceți în portul USB al computerului sau îl atingeți de telefon, browserul de pe computerul dvs. poate comunica cu cheia de securitate USB folosind tehnologia de criptare sigură și vă oferă răspunsul corect care vă permite să vă conectați la un site web.

Deoarece aceasta funcționează ca parte a browserului în sine, acest lucru vă oferă câteva îmbunătățiri de securitate frumoase față de autentificarea tipică cu două factori. În primul rând, browserul verifică pentru a se asigura că comunică cu site-ul web real folosind criptarea, astfel încât utilizatorii nu vor fi înșelați să introducă codurile lor cu două factori în site-uri false de phishing. În al doilea rând, browserul trimite codul direct pe site, astfel încât un atacator care stă între ele nu poate captura codul temporar cu două factori și îl poate introduce pe site-ul web real pentru a avea acces la contul dvs..

De asemenea, site-ul web vă poate simplifica parola - de exemplu, un site Web vă poate cere în prezent o parolă lungă și apoi un cod de două factori, ambele pe care trebuie să-l tastați. În schimb, cu U2F, un site web vă poate solicita un PIN de patru cifre pe care trebuie să-l amintiți și apoi trebuie să apăsați un buton de pe un dispozitiv USB sau să îl atingeți de telefon pentru a vă conecta.

Alianța FIDO lucrează și la UAF, care nu necesită parolă. De exemplu, este posibil să utilizați senzorul de amprentă digitală pe un smartphone modern pentru a vă autentifica cu diverse servicii.

Puteți citi mai multe despre standardul însuși pe site-ul alianței FIDO.

Unde este suportată?

Google Chrome, Mozilla Firefox și Opera (care se bazează pe Google Chrome) sunt singurele browsere care acceptă U2F. Funcționează pe Windows, Mac, Linux și Chromebookuri. Dacă aveți un jeton fizic U2F și utilizați Chrome, Firefox sau Opera, îl puteți utiliza pentru a vă asigura conturile Google, Facebook, Dropbox și GitHub. Alte servicii mari nu acceptă încă U2F.

U2F funcționează și cu browserul Google Chrome pe Android, presupunând că aveți o cheie USB cu suport NFC încorporată. Apple nu permite accesul aplicațiilor la hardware-ul NFC, deci nu va funcționa pe iPhone.

În timp ce versiunile stabile actualizate ale Firefox au suport U2F, sunt dezactivate în mod implicit. Va trebui să activați o preferință ascunsă pentru Firefox pentru a activa suportul U2F în acest moment.

Suportul pentru cheile U2F va deveni mai răspândit atunci când apare API-ul de autentificare Web. Acesta va funcționa chiar și în Microsoft Edge.

Cum poți să-l folosești

Ai nevoie doar de un jeton U2F pentru a începe. Google vă direcționează să căutați Amazon pentru "FIDO U2F Security Key" pentru a le găsi. Cel de sus costă 18 USD și este realizat de Yubico, o companie cu o istorie de chei fizice USB de securitate. Yubikey NEO mai scump include suport pentru NFC pentru utilizarea cu dispozitive Android.

Puteți apoi să vă accesați setările Contului Google, să găsiți pagina de verificare în doi pași și să faceți clic pe fila Chei de securitate. Faceți clic pe Adăugați o cheie de securitate și veți putea adăuga cheia de securitate fizică, de care va trebui să vă conectați la contul dvs. Google. Procesul va fi similar pentru alte servicii care acceptă U2F - consultați acest ghid pentru mai multe informații.

Aceasta nu este o unealtă de securitate pe care o puteți utiliza pretutindeni, dar multe servicii ar trebui să le adauge în cele din urmă. Așteptați lucruri mari de la API-ul de autentificare Web și de la aceste chei U2F în viitor.