U2F es un nuevo estándar para tokens de autenticación universales de dos factores. Estos tokens pueden usar USB, NFC o Bluetooth para proporcionar autenticación de dos factores en una variedad de servicios. Ya es compatible con Chrome, Firefox y Opera para cuentas de Google, Facebook, Dropbox y GitHub.
Este estándar está respaldado por la alianza FIDO , que incluye a Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, Bank of America y muchas otras empresas masivas. Espere que los tokens de seguridad U2F estén por todas partes pronto.
Algo similar se generalizará pronto con la API de autenticación web . Esta será una API de autenticación estándar que funciona en todas las plataformas y navegadores. Admitirá otros métodos de autenticación, así como llaves USB. La API de autenticación web se conocía originalmente como FIDO 2.0.
¿Qué es?
RELACIONADO: ¿Qué es la autenticación de dos factores y por qué la necesito?
Autenticación de dos factores es una forma esencial de proteger sus cuentas importantes. Tradicionalmente, la mayoría de las cuentas solo necesitan una contraseña para iniciar sesión; ese es un factor, algo que usted sabe. Cualquiera que conozca la contraseña puede ingresar a su cuenta.
La autenticación de dos factores requiere algo que usted sepa y algo que tenga. A menudo, este es un mensaje enviado a su teléfono a través de SMS o un código generado a través de una aplicación como Google Authenticator o Authy en tu teléfono. Alguien necesita tanto su contraseña como acceso al dispositivo físico para iniciar sesión.
Pero la autenticación de dos factores no es tan fácil como debería ser y, a menudo, implica escribir contraseñas y mensajes SMS en todos los servicios que utiliza. U2F es un estándar universal para crear tokens de autenticación física que pueden funcionar con cualquier servicio.
Si está familiarizado con Aniversario —Una llave USB física que le permite l y en LastPass y algunos otros servicios, estará familiarizado con este concepto. A diferencia de los dispositivos Yubikey estándar, U2F es un estándar universal. Inicialmente, U2F fue creado por Google y Yubico trabajando en conjunto.
¿Como funciona?
Actualmente, los dispositivos U2F suelen ser pequeños dispositivos USB que se insertan en el puerto USB de su computadora. Algunos de ellos tienen NFC soporte para que se puedan utilizar con teléfonos Android. Se basa en la tecnología de seguridad de "tarjeta inteligente" existente. Cuando lo inserta en el puerto USB de su computadora o lo toca contra su teléfono, el navegador de su computadora puede comunicarse con la llave de seguridad USB utilizando tecnología de encriptación segura y proporcionar la respuesta correcta que le permite iniciar sesión en un sitio web.
Debido a que se ejecuta como parte del propio navegador, esto le brinda algunas mejoras de seguridad agradables sobre la autenticación típica de dos factores. En primer lugar, el navegador comprueba que se está comunicando con el sitio web real mediante encriptación, de modo que no se engañe a los usuarios para que introduzcan sus códigos de dos factores en sitios web de phishing falsos. En segundo lugar, el navegador envía el código directamente al sitio web, por lo que un atacante que se encuentra en el medio no puede capturar el código temporal de dos factores e ingresarlo en el sitio web real para obtener acceso a su cuenta.
El sitio web también puede simplificar su contraseña; por ejemplo, un sitio web podría pedirle actualmente una contraseña larga y luego un código de dos factores, los cuales debe ingresar. En cambio, con U2F, un sitio web podría solicitarle un PIN de cuatro dígitos que debe recordar y luego solicitarle que presione un botón en un dispositivo USB o que lo toque contra su teléfono para iniciar sesión.
La alianza FIDO también está trabajando en UAF, que no requiere contraseña. Por ejemplo, podría usar el sensor de huellas dactilares en un teléfono inteligente moderno para autenticarlo con varios servicios.
Puede leer más sobre el estándar en sí en el sitio web de la alianza FIDO .
¿Dónde se admite?
Google Chrome, Mozilla Firefox y Opera (que se basa en Google Chrome) son los únicos navegadores que admiten U2F. Funciona en Windows, Mac, Linux y Chromebooks. Si tiene un token U2F físico y usa Chrome, Firefox u Opera, puede usarlo para proteger sus cuentas de Google, Facebook, Dropbox y GitHub. Otros grandes servicios aún no son compatibles con U2F.
U2F también funciona con Navegador Google Chrome en Android , asumiendo que tiene una llave USB con soporte NFC integrado. Apple no permite que las aplicaciones accedan al hardware NFC, por lo que esto no funcionará en iPhones.
Si bien las versiones estables actuales de Firefox tienen soporte U2F, está deshabilitado de forma predeterminada. Necesitarás habilitar una preferencia oculta de Firefox para activar el soporte U2F en este momento.
La compatibilidad con claves U2F se generalizará cuando la API de autenticación web despegue. Incluso funcionará en Microsoft Edge.
Cómo se puede utilizar
Solo necesita un token U2F para comenzar. Google le indica que busque en Amazon " Llave de seguridad FIDO U2F ”Para encontrarlos. El de arriba cuesta $ 18 y está hecho por Yubico, una empresa con un historial de fabricación de llaves de seguridad USB físicas. El más caro Yovikek NUEVO incluye soporte NFC para usar con dispositivos Android.
RELACIONADO: Cómo proteger sus cuentas con una clave U2F o YubiKey
Luego puede visitar la configuración de su cuenta de Google, buscar la página de verificación en dos pasos y haga clic en la pestaña Llaves de seguridad. Haga clic en Agregar una llave de seguridad y podrá agregar la llave de seguridad física, que deberá iniciar sesión en su cuenta de Google. El proceso será similar para otros servicios que admiten U2F: consulte esta guía para obtener más .
Esta no es una herramienta de seguridad que pueda usar en todas partes todavía, pero muchos servicios deberían eventualmente agregarle soporte. Espere grandes cosas de la API de autenticación web y estas claves U2F en el futuro.
