Deuxième facteur universel (U2F) : Histoire, évolution, avantages

U2F (Universal^2nd facteur) est une authentification standard qui utilise une seule clé pour plusieurs services. L'informatique simplifie et renforce la sécurité offerte par l'authentification à deux facteurs (2FA).

Ajouter une autre couche de sécurité

Comment protéger votre entreprise lorsque les tbd ne suffisent pas ? Quelle demande d'authentification secondaire pouvez-vous offrir qui soit presque (mais pas tout à fait) à l'abri du piratage ?

Saisissez le 2e facteur universel (U2F).

Le protocole U2F vous permet d'envoyer une demande d'authentification cryptographique à un terminal (typiquement un porte-clés) appartenant à l'utilisateur. Un mot de passe lance le processus, mais la clé numérique est nécessaire pour obtenir l'accès.

Le protocole FIDO U2F a été développé en 2014, et depuis lors, la norme a été affinée, perfectionnée et mise à jour. De plus en plus d'utilisateurs s'habituent à l'idée de clés cryptographiques. Certains exigent même cette protection pour assurer la sécurité de leurs données.

L'histoire de l'U2F

La plupart des consommateurs connaissent au moins un peu l'authentification à deux facteurs. Comme l'expliquent les blogueurs, chaque fois que vous devez utiliser une carte bancaire et un code PIN, vous utilisez deux ensembles de données pour accéder à ce dont vous avez besoin. Le^2e facteur universel fonctionne de la même manière, et c'est une chose que les défenseurs des droits de l'homme réclament depuis longtemps.

En 2012, des rumeurs concernant un projet de Google utilisant des porte-clés pour remplacer les entrées de mots clés sur standard ont commencé à apparaître sur le blog de l'industrie. Les experts n'étaient pas sûrs de la manière dont les outils fonctionneraient, mais l'excitation était à son comble. Des blogs portant des titres tels que "The Plot to Kill the mot de passe" ont maintenu l'intérêt.

En 2014, la norme a été proposée dans le cadre d'un partenariat entre :

• Google 
• Yubico
• NXP Semiconductors

La norme open source a finalement été placée sous l'égide des Alliances FIDO, qui en assurent encore aujourd'hui la maintenance et l'administration.

Comment fonctionne U2F ?

Considérez Universal^2nd facteur comme une nouvelle sécurité gateway par laquelle les gens doivent passer pour accéder aux ressources protégées. Bien que ces utilisateurs aient toujours besoin de tbd pour lancer le processus, ils doivent également avoir un terminal physique avec eux pour compléter vos étapes d'autorisation.

En termes simples, le processus U2F se présente comme suit :

• mot de passe : L'utilisateur se rend sur un site web et entre un nom d'utilisateur et un mot de passe reconnus par ce site.
• demande d'authentification : Une fois le nom d'utilisateur et le mot de passe reconnus, le système envoie une demande d'authentification à une clé que l'utilisateur a branchée sur un port USB. La communication est cryptée pendant le transport.
• Réponse : La clé s'allume ou accuse réception de la demande d'authentification. L'utilisateur appuie sur un bouton pour finaliser la connexion.

Les règles FIDO spécifient la cryptographie asymétrique. Les données sensibles restent en permanence sur le terminal. En outre, l'USB fonctionne avec l'hôte via un protocole de terminal à interface humaine (HID), de sorte que l'utilisateur n'a pas besoin de télécharger un pilote ou un logiciel pour faire fonctionner les choses.

l'utilisateur est invité à conserver une clé de sécurité de rechange à tout moment. Si le système informatique est perdu, il est très difficile pour l'utilisateur d'accéder aux ressources protégées. Dans l'environnement U2F, la sécurité est plus importante que la commodité de l'utilisateur, c'est pourquoi les gens doivent simplement faire attention aux clés une fois qu'elles sont autorisées.

La plupart des clés ne sont pas dotées de la technologie Bluetooth et ne nécessitent donc pas de piles ni d'entretien. Branchez-les correctement, dans un port USB, et ils continueront à fonctionner jusqu'à ce qu'ils soient détruits. Elles ne peuvent pas être clonées, car les informations privées de la clé ne peuvent pas être extraites.

Pour l'utilisateur final, les clés représentent une sécurité forte avec peu d'inconvénients. Pour certaines personnes, c'est une combinaison parfaite.

Implémentation U2F Options

Le protocole Universal^2nd facteur est ouvert, de sorte que n'importe quel développeur peut l'utiliser. Mais le rôle du vendeur est crucial.

Les consommateurs achètent généralement des clés auprès de tiers, notamment YubiKey, Titan et d'autres, et les entreprises doivent s'assurer que les clés achetées peuvent réellement communiquer avec leurs systèmes. Certaines entreprises conseillent aux consommateurs de n'acheter des clés qu'auprès de partenaires qu'elles ont contrôlés et auxquels elles font confiance. Si vous travaillez sur un marché sensible, comme celui de la banque, cette option peut être intéressante.

Les clients demandent que la mise en place d'une clé U2F soit intimidante, et que l'informatique implique plusieurs étapes, comme par exemple :

• S'inscrire. Les utilisateurs commencent le processus en se rendant sur le site web de leur choix et en ajoutant leur nom d'utilisateur et leur mot de passe.
• inscription du jeton. l'utilisateur souligne le fait qu'il a acheté une clé.
• Se brancher et s'enregistrer. L'utilisateur introduit la clé dans l'ordinateur, et il peut lui être demandé de procéder à des vérifications par SMS pour commencer.
• Répétition. L'inscription doit être effectuée pour chaque site web que vous souhaitez authentifier à l'aide de l'U2F token.

Les exigences en matière de codage pour le développeur de site web sont minimes. Les équipes doivent développer des processus d'inscription, afin que les utilisateurs puissent ajouter ce mode d'authentification à leur connexion. Les développeurs signalent souvent que cela prend très peu de temps et d'expertise technique.

Commencez avec U2F

Nous avons conclu un partenariat avec Yubico afin d'offrir l'U2F à tous nos clients. Nous savons que les simples tbd ne suffisent pas, et nous voulons faire partie des solutions.

Cliquez pour découvrir comment Okta's universal 2nd facteur solutions peut mieux protéger votre utilisateur.

Références

Au-delà de la date prévue : 2FA, U2F, et Google Advanced Protection. (novembre 2018), Troy Hunt.

Le complot visant à tuer le mot de passe. (avril 2014). The Verge.

Google compte Now supporte la clé de sécurité. (octobre 2014), Krebs on Security.

10 choses que vous vous demandiez sur FIDO2, tbd, et un monde sans mot de passe. (août 2018), Yubico.

U2F : nouvelle génération d'authentification à deux facteurs. (avril 2017), Tripwire.

U2F Spécifications. FIDO Alliance.

Fido U2F clé de sécurité. Amazon.

Qu'est-ce que l'U2F ? (juin 2017). hacker Noon.

Guide rapide et pratique de l'U2F sur Developer . (décembre 2017). Medium.

Google : clé de sécurité Neutralized Employee phishing. (Juillet 2018). Krebs on Security.

Spécifications Vue d'ensemble. FIDO Alliance.