U2F הוא תקן חדש לאסימוני אימות דו-גורמיים אוניברסליים. אסימונים אלה יכולים להשתמש ב- USB, NFC או Bluetooth כדי לספק אימות דו-גורמי במגוון שירותים. זה כבר נתמך בחשבונות Chrome, Firefox ו- Opera לחשבונות גוגל, פייסבוק, Dropbox ו- GitHub.
תקן זה מגובה על ידי הברית FIDO , הכוללת את גוגל, מיקרוסופט, פייפאל, אמריקן אקספרס, מאסטרקארד, VISA, אינטל, ARM, סמסונג, קוואלקום, בנק אוף אמריקה, ועוד חברות ענקיות. צפו שבקרוב יופיעו אסימוני האבטחה של U2F בכל מקום.
משהו דומה יתפשט בקרוב עם ממשק API לאימות אתרים . זה יהיה ממשק API לאימות סטנדרטי שעובד בכל הפלטפורמות והדפדפנים. זה יתמוך בשיטות אימות אחרות כמו גם במקשי USB. ממשק ה- API לאימות האינטרנט היה ידוע במקור כ- FIDO 2.0.
מה זה?
קָשׁוּר: מהי אימות דו-גורמי ומדוע אני צריך את זה?
אימות דו-גורמי היא דרך חיונית להגן על החשבונות החשובים שלך. באופן מסורתי, רוב החשבונות זקוקים רק לסיסמה כדי להתחבר - זה גורם אחד, משהו שאתה יודע. כל מי שמכיר את הסיסמה יכול להיכנס לחשבון שלך.
אימות דו-גורמי דורש משהו שאתה יודע ומשהו שיש לך. לעיתים קרובות זו הודעה שנשלחת לטלפון שלך באמצעות SMS או קוד שנוצר באמצעות אפליקציה כמו מאמת גוגל או אוטי בפלאפון שלך. מישהו צריך גם את הסיסמה שלך וגם גישה למכשיר הפיזי כדי להיכנס.
אך אימות שני גורמים אינו קל כמו שצריך, ולעיתים קרובות מדובר בהקלדת סיסמאות והודעות SMS בכל השירותים שבהם אתה משתמש. U2F הוא תקן אוניברסלי ליצירת אסימוני אימות פיזיים שיכולים לעבוד עם כל שירות.
אם אתה מכיר יוֹבֵל —מפתח USB פיזי המאפשר לך l ואל LastPass ועוד כמה שירותים - אתה מכיר את הרעיון הזה. בניגוד למכשירי Yubikey סטנדרטיים, U2F הוא תקן אוניברסלי. בתחילה, U2F נוצרה על ידי גוגל ויוביקו העובדים בשותפות.
איך זה עובד?
נכון לעכשיו, התקני U2F הם בדרך כלל התקני USB קטנים שאתה מכניס ליציאת ה- USB של המחשב שלך. לחלקם יש NFC תמיכה כך שניתן יהיה להשתמש בהם בטלפונים עם אנדרואיד. הוא מבוסס על טכנולוגיית האבטחה הקיימת של "כרטיס חכם". כשאתה מכניס אותו ליציאת ה- USB של המחשב שלך או מקיש עליו על הטלפון שלך, הדפדפן במחשב שלך יכול לתקשר עם מפתח האבטחה USB באמצעות טכנולוגיית הצפנה מאובטחת ולספק את המענה הנכון המאפשר לך להיכנס לאתר.
מכיוון שזה פועל כחלק מהדפדפן עצמו, זה נותן לך שיפורי אבטחה נאים לעומת אימות דו-גורמי טיפוסי. ראשית, הדפדפן בודק שהוא מתקשר עם האתר האמיתי באמצעות הצפנה, כך שהמשתמשים לא יוטעו להזין את קודי הדו-גורמי שלהם לאתרי דיוג מזויפים. שנית, הדפדפן שולח את הקוד ישירות לאתר, כך שתוקף שיושב בין לבין לא יכול לתפוס את הקוד הדו-גורמי הזמני ולהכניס אותו לאתר האמיתי כדי לקבל גישה לחשבונך.
האתר יכול גם לפשט את הסיסמה שלך - למשל, אתר עשוי לבקש ממך סיסמה ארוכה ואז קוד דו-גורמי, שאת שניהם עליך להקליד. במקום זאת, עם U2F, אתר יכול לבקש ממך קוד PIN בן ארבע ספרות שעליך לזכור ואז לדרוש ממך ללחוץ על כפתור בהתקן USB או להקיש עליו על הטלפון שלך כדי להיכנס.
ברית FIDO עובדת גם על UAF, שאינו דורש סיסמה. לדוגמה, הוא עשוי להשתמש בחיישן טביעות האצבע בסמארטפון מודרני כדי לאמת אותך עם שירותים שונים.
תוכלו לקרוא עוד על התקן עצמו באתר הברית של FIDO .
היכן זה נתמך?
Google Chrome, Mozilla Firefox ו- Opera (שמבוססת על Google Chrome) הם הדפדפנים היחידים שתומכים ב- U2F. זה עובד על Windows, Mac, Linux ו- Chromebook. אם יש לך אסימון U2F פיזי ומשתמש ב- Chrome, Firefox או Opera, אתה יכול להשתמש בו כדי לאבטח את חשבונות Google, Facebook, Dropbox ו- GitHub שלך. שירותים גדולים אחרים עדיין אינם תומכים ב- U2F.
U2F עובד גם עם דפדפן גוגל כרום באנדרואיד , בהנחה שיש לך מפתח USB עם תמיכה ב- NFC מובנה. Apple אינה מאפשרת גישה לאפליקציות לחומרת NFC, כך שזה לא יעבוד במכשירי iPhone.
אמנם בגרסאות היציבות הנוכחיות של Firefox יש תמיכה ב- U2F, אך הוא מושבת כברירת מחדל. תצטרך אפשר העדפה מוסתרת של Firefox כדי להפעיל את תמיכת U2F כרגע.
תמיכה במפתחות U2F תפוצה יותר כאשר ממשק ה- API לאימות האינטרנט ימריא. זה אפילו יעבוד ב- Microsoft Edge.
איך אתה יכול להשתמש בזה
אתה רק צריך אסימון U2F כדי להתחיל. גוגל מפנה אותך לחפש באמזון " מפתח אבטחה FIDO U2F ”למצוא אותם. העליון עולה 18 דולר ומיוצר על ידי Yubico, חברה עם היסטוריה של ייצור מפתחות USB פיזיים פיזיים. כמה שיותר יקר יוביקק חדש כולל תמיכה ב- NFC לשימוש במכשירי Android.
קָשׁוּר: כיצד לאבטח את חשבונותיך באמצעות מפתח U2F או YubiKey
לאחר מכן תוכל לבקר בהגדרות חשבון Google שלך, מצא דף האימות הדו-שלבי ולחץ על הכרטיסייה מפתחות אבטחה. לחץ על הוסף מפתח אבטחה ותוכל להוסיף את מפתח האבטחה הפיזי, אותו תצטרך להתחבר לחשבון Google שלך. התהליך יהיה דומה לשירותים אחרים התומכים ב- U2F - עיין במדריך זה לקבלת מידע נוסף .
זה עדיין לא כלי אבטחה שבו אתה יכול להשתמש בכל מקום, אך בסופו של דבר שירותים רבים אמורים להוסיף לו תמיכה. צפו לדברים גדולים מממשק ה- API לאימות האינטרנט ומפתחות U2F אלה בעתיד.
