U2F förklarade hur Google och andra företag skapar en universell säkerhetst Token
U2F är en ny standard för universella tvåfaktors autentiseringstoken. Dessa tokens kan använda USB, NFC eller Bluetooth för att ge tvåfaktors autentisering över en mängd olika tjänster. Den stöds redan i Chrome, Firefox och Opera för Google, Facebook, Dropbox och GitHub-konton.
Denna standard stöds av FIDO-alliansen, som inkluderar Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, Bank of America och många andra massiva företag. Förvänta dig att U2F-säkerhetstoken snart kommer överallt.
Något liknande kommer att bli mer utbrett snart med Web Authentication API. Det här är ett standardautentiserings API som fungerar över alla plattformar och webbläsare. Den kommer att stödja andra autentiseringsmetoder samt USB-nycklar. Webgodkännandeprogrammet var ursprungligen känt som FIDO 2.0.
Vad är det?
Tvåfaktorsautentisering är ett viktigt sätt att skydda dina viktiga konton. Traditionellt behöver de flesta konton bara ett lösenord för att logga in - det är en faktor, något du vet. Alla som känner till lösenordet kan komma in på ditt konto.
Tvåfaktorsautentisering kräver något du vet och något du har. Ofta är detta ett meddelande som skickas till din telefon via SMS eller en kod som genereras via en app som Google Authenticator eller Authy på din telefon. Någon behöver både ditt lösenord och tillgång till den fysiska enheten för att logga in.
Men tvåfaktorsautentisering är inte så enkelt som det borde vara, och det innebär ofta att du skriver lösenord och sms-meddelanden i alla tjänster du använder. U2F är en universell standard för att skapa fysiska autentiseringstoken som kan fungera med vilken tjänst som helst.
Om du är bekant med Yubikey-en fysisk USB-nyckel som låter dig logga in på LastPass och några andra tjänster-du kommer att känna till detta koncept. Till skillnad från standard Yubikey-enheter är U2F en universell standard. Ursprungligen skapades U2F av Google och Yubico som arbetar i partnerskap.
Hur fungerar det?
För närvarande är U2F-enheter vanligtvis små USB-enheter som du sätter i datorns USB-port. Några av dem har NFC-stöd så att de kan användas med Android-telefoner. Det bygger på befintlig "smart card" säkerhetsteknik. När du sätter in den i datorns USB-port eller knackar den mot telefonen kan webbläsaren på din dator kommunicera med USB-säkerhetsnyckeln med hjälp av säker krypteringsteknik och ge rätt svar som låter dig logga in på en webbplats.
Eftersom det här körs som en del av webbläsaren själv ger du några bra säkerhetsförbättringar jämfört med typisk tvåfaktorsautentisering. Först kontrollerar webbläsaren att den kommunicerar med den verkliga webbplatsen med kryptering, så att användarna inte kommer att luras på att skriva in deras tvåfaktorkoder i falska phishing-webbplatser. För det andra skickar webbläsaren koden direkt till webbplatsen, så en angripare som sitter mellan kan inte fånga den tillfälliga tvåfaktorkoden och ange den på den verkliga webbplatsen för att få åtkomst till ditt konto.
Webbplatsen kan också förenkla ditt lösenord, till exempel kan en webbplats för närvarande fråga dig ett långt lösenord och sedan en tvåfaktorkod, som du måste skriva. Istället kan en webbplats med U2F fråga dig om en fyrsiffrig PIN-kod som du måste komma ihåg och kräva att du trycker på en knapp på en USB-enhet eller knackar den mot din telefon för att logga in.
FIDO-alliansen arbetar också med UAF, vilket kräver inget lösenord. Det kan till exempel använda fingeravtryckssensorn på en modern smartphone för att autentisera dig med olika tjänster.
Du kan läsa mer om standarden själv på FIDO alliansens hemsida.
Var är den stödd?
Google Chrome, Mozilla Firefox och Opera (som är baserat på Google Chrome) är de enda webbläsare som stöder U2F. Det fungerar på Windows, Mac, Linux och Chromebooks. Om du har en fysisk U2F-token och använder Chrome, Firefox eller Opera kan du använda den för att säkra dina Google-, Facebook-, Dropbox- och GitHub-konton. Andra stora tjänster stöder ännu inte U2F.
U2F fungerar också med Google Chrome-webbläsaren på Android, förutsatt att du har en USB-nyckel med NFC-stöd inbyggt. Apple tillåter inte appåtkomst till NFC-hårdvaran, så det fungerar inte på iPhones.
Medan nuvarande stabila versioner av Firefox har U2F-stöd, är den avstängd som standard. Du måste aktivera en dold Firefox-inställning för att aktivera U2F-stöd för tillfället.
Stöd för U2F-nycklar kommer att bli mer utbredd när Web Authentication API tar av. Det kommer även att fungera i Microsoft Edge.
Hur du kan använda den
Du behöver bara en U2F-token för att komma igång. Google leder dig att söka Amazon för "FIDO U2F säkerhetsnyckel" för att hitta dem. Den översta kostar $ 18 och tillverkas av Yubico, ett företag med en historia om att skapa fysiska USB-säkerhetsnycklar. Den dyrare Yubikey NEO innehåller NFC-stöd för användning med Android-enheter.
Du kan sedan besöka dina Google-kontoinställningar, hitta 2-stegs verifieringssidan och klicka på fliken Säkerhetsnycklar. Klicka på Lägg till en säkerhetsnyckel och du kommer att kunna lägga till den fysiska säkerhetsnyckeln, som du måste logga in på ditt Google-konto. Processen kommer att likna andra tjänster som stödjer U2F-kolla in den här guiden för mer.
Det här är inte ett säkerhetsverktyg som du kan använda överallt än, men många tjänster bör så småningom lägga till stöd för det. Förvänta dig stora saker från Web Authentication API och dessa U2F nycklar i framtiden.
