Universeller 2. Faktor (U2F): Geschichte, Evolution, Vorteile

U2F (Universal 2 nd Faktor) ist ein Authentifizierungsstandard, der einen Schlüssel für mehrere Dienste verwendet. Die IT vereinfacht und erhöht die Sicherheit, die durch 2FA (Zwei-Faktor-Authentifizierung) geboten wird.

Hinzufügen einer weiteren Integration von Security

Wie können Sie Ihr Unternehmen schützen, wenn Passwörter einfach nicht ausreichen? Welche sekundäre Sicherheitsabfrage können Sie anbieten, die fast (aber nicht ganz) immun gegen Hacking ist?

Geben Sie den universellen 2. Faktor (U2F) ein.

Das U2F-Protokoll ermöglicht es Ihnen, eine kryptographische Sicherheitsabfrage an ein Gerät (in der Regel einen Schlüsselanhänger) zu senden, das dem Benutzer gehört. Ein Passwort startet den Vorgang, aber der digitale Schlüssel ist erforderlich, um Zugriff zu erhalten.

Das FIDO U2F-Protokoll wurde 2014 entwickelt und seitdem wurde der Standard verfeinert, verbessert und aktualisiert. Immer mehr Benutzer gewöhnen sich an die Idee kryptografischer Schlüssel. Manche verlangen diesen Schutz sogar, um ihre Daten sicher aufzubewahren.

Die Geschichte von U2F

Die meisten Verbraucher wissen zumindest etwas über die Zwei-Faktor-Authentifizierung. Wie Blogger erklären, haben Sie jedes Mal, wenn Sie eine Bankkarte und eine PIN verwenden müssen, zwei Datensätze verwendet, um auf etwas zuzugreifen, das Sie benötigen. Universal 2nd^{Faktor funktioniert} auf ähnliche Weise, und IT ist etwas, worauf Befürworter seit langem drängen.

Im Jahr 2012 tauchten in Branchenblogs erstmals Gerüchte über ein Google-Projekt auf, bei dem Schlüsselanhänger als Ersatz für Standard-Schlüsselworteinträge verwendet würden. Die Experten waren sich nicht sicher, wie die Werkzeuge funktionieren würden, aber die Spannung stieg. Blogs mit Titeln wie „ Der Plan, das Passwort abzuschaffen “ hielten das Interesse wach.

Im Jahr 2014 wurde der Standard in einer Partnerschaft vorgeschlagen zwischen:

• Googeln 
• Yubico
• NXP Semiconductors

Der Open-Source-Standard wurde schließlich unter die Überschrift der FIDO Alliances gebracht, die bis heute gepflegt und verwaltet werden.

Wie funktioniert U2F?

Stellen Sie sich Universal 2nd^{Faktor als} ein neues Sicherheits-Gateway vor, das Menschen passieren müssen, um an geschützte Ressourcen zu gelangen. Während diese Benutzer immer noch Passwörter benötigen, um den Prozess zu starten, müssen sie auch ein physisches Gerät bei sich haben, um Ihre Autorisierungsschritte abzuschließen.

Vereinfacht ausgedrückt sieht ein U2F-Prozess folgendermaßen aus:

• Passwort: Der Benutzer begibt sich auf eine Website und gibt einen Benutzernamen und ein Passwort ein, die von dieser Website erkannt werden.
• Sicherheitsabfrage: Wenn der entsprechende Benutzername und das Passwort erkannt werden, sendet das System eine Sicherheitsabfrage an einen Schlüssel, den der Benutzer in einen USB-Anschluss gesteckt hat. Die Kommunikation wird während des Transports verschlüsselt.
• Antwort: Die Taste leuchtet auf oder bestätigt auf andere Weise, dass die Sicherheitsabfrage eingegangen ist. Der Benutzer drückt einen Button, um die Verbindung abzuschließen.

FIDO-Regeln spezifizieren die asymmetrische Verschlüsselung. Sensible Daten bleiben zu jeder Zeit auf dem Gerät. Darüber hinaus funktioniert der USB-Anschluss über ein HID-Protokoll (Human Interface Gerät) mit dem Host, sodass Benutzer keinen Treiber oder keine Software herunterladen müssen, damit die Dinge funktionieren.

Der Benutzer wird darauf hingewiesen, immer einen Ersatz-Sicherheitsschlüssel zur Verfügung zu haben. Wenn die IT verloren geht, ist es für den Benutzer sehr schwierig, Zugriff auf geschützte Ressourcen zu erhalten. In der U2F-Umgebung ist die Sicherheit entscheidend und nicht die Benutzerfreundlichkeit, daher müssen die Benutzer einfach vorsichtig mit den Schlüsseln umgehen, sobald sie autorisiert sind.

Die meisten Schlüssel sind nicht Bluetooth-fähig, sodass sie keine Batterien oder Wartung benötigen. Schließen Sie sie ordnungsgemäß an einen USB-Anschluss an, und sie funktionieren weiter, bis sie zerstört werden. Sie können nicht geklont werden, da die privaten Informationen auf dem Schlüssel nicht extrahiert werden können.

Für Endbenutzer stellen Schlüssel eine hohe Sicherheit mit geringem Aufwand dar. Für manche Menschen ist ES eine perfekte Kombination.

Optionen für die U2F-Implementierung

Das Universal 2^nd Faktor Protokoll ist offen, so dass jeder Entwickler IT nutzen kann. Aber die Rolle eines Anbieters ist entscheidend.

Verbraucher kaufen Schlüssel in der Regel von Drittanbietern, einschließlich YubiKey, Titan und anderen, und Unternehmen müssen sicherstellen, dass die gekauften Schlüssel wirklich mit ihren Systemen kommunizieren können. Einige Unternehmen weisen Verbraucher an, Schlüssel nur von Partnern zu kaufen, die sie überprüft und denen sie vertraut haben. Wenn Sie sich in einem sensiblen Markt befinden, wie z. B. im Bankwesen, könnte dies eine gute Option sein.

Kunden geben an, dass das Einrichten eines U2F-Schlüssels einschüchternd ist und die IT mehrere Schritte umfasst, z. B.:

• Anmelden. Benutzer beginnen den Vorgang, indem sie auf eine Website Ihrer Wahl gehen und ihre Benutzernamen und Passwörter hinzufügen.
• Token-Registrierung. Benutzer betonen die Tatsache, dass sie einen Schlüssel gekauft haben.
• Einstecken und Registrieren. Benutzer legen den Schlüssel in den Computer ein und werden möglicherweise aufgefordert, SMS-Verifizierungen zu verwenden, um loszulegen.
• Wiederholfunktion. Die Registrierung muss für jede Website erfolgen, die Sie mit dem U2F-Token authentifizieren möchten.

Die Codierungsanforderungen für Website-Entwickler sind minimal. Teams müssen Registrierungsprozesse entwickeln, damit Benutzer diesen Authentifizierungsmodus zu ihrer Anmeldung hinzufügen können. Entwickler berichten oft, dass dies sehr wenig Zeit und technisches Know-how erfordert.

Erste Schritte mit U2F

Wir haben mit Yubico zusammengearbeitet, um U2F allen unseren Kunden zugänglich zu machen. Wir wissen, dass einfache Passwörter nicht ausreichen, und wir möchten Teil der Lösungen sein.

Klicken Sie hier, um zu erfahren, wie die universellen 2nd-Faktor-Lösungen von Okta Ihre Benutzer besser schützen können.

Referenzen

Mehr als Passwörter: 2FA, U2F und Google Advanced Protection. (November 2018). Troy Hunt.

Der Plan, das Passwort zu töten. (April 2014). Der Verge.

Google-Konto Support jetzt Sicherheitsschlüssel. (Oktober 2014). Krebs zum Thema Sicherheit.

10 Dinge, die Sie sich über FIDO2, WebAuthnund eine passwortlose Welt gefragt haben. (August 2018). Yubico.

U2F: Zwei-Faktor-Authentifizierung der nächsten Generation. (April 2017). Stolperdraht.

U2F-Spezifikationen. Die FIDO-Allianzen.

Fido U2F-Sicherheitsschlüssel. Amazonas.

Was zum Teufel ist U2F? (Juni 2017). Hacker Mittag.

Quick and Dirty Developer Leitfaden für U2F. (Dezember 2017). Mittel.

Google: Sicherheitsschlüssel neutralisierten Mitarbeiter-Phishing. (Juli 2018). Krebs über Sicherheit.

Übersicht der Spezifikationen. Die FIDO-Allianzen.