Wie Google und andere Unternehmen ein universelles Sicherheitstoken erstellen

U2F ist ein neuer Standard für universelle Zwei-Faktor-Authentifizierungstoken. Diese Token können USB, NFC oder Bluetooth verwenden, um eine Zwei-Faktor-Authentifizierung für eine Vielzahl von Diensten bereitzustellen. Es wird bereits in Chrome, Firefox und Opera für Google-, Facebook-, Dropbox- und GitHub-Konten unterstützt.

Dieser Standard wird von unterstützt die FIDO-AllianzDazu gehören Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, die Bank of America und viele andere große Unternehmen. Erwarten Sie, dass U2F-Sicherheitstoken bald überall verfügbar sein werden.

Ähnliches wird sich mit dem bald weiter verbreiten Webauthentifizierungs-API. Dies ist eine Standardauthentifizierungs-API, die auf allen Plattformen und Browsern funktioniert. Es werden andere Authentifizierungsmethoden sowie USB-Sticks unterstützt. Die Webauthentifizierungs-API war ursprünglich als FIDO 2.0 bekannt.

Was ist es?

Die Zwei-Faktor-Authentifizierung ist ein wesentlicher Weg, um Ihre wichtigen Konten zu schützen. Traditionell benötigen die meisten Konten nur ein Kennwort, um sich anzumelden – das ist ein Faktor, den Sie kennen. Jeder, der das Passwort kennt, kann in Ihr Konto gelangen.

Die Zwei-Faktor-Authentifizierung erfordert etwas, das Sie kennen und das Sie haben. Dies ist häufig eine Nachricht, die per SMS an Ihr Telefon gesendet wird, oder ein Code, der über eine App wie Google Authenticator oder Authy auf Ihrem Telefon generiert wird. Jemand benötigt sowohl Ihr Passwort als auch den Zugriff auf das physische Gerät, um sich anzumelden.

Die Zwei-Faktor-Authentifizierung ist jedoch nicht so einfach wie sie sein sollte, und häufig müssen Kennwörter und SMS-Nachrichten in alle von Ihnen verwendeten Dienste eingegeben werden. U2F ist ein universeller Standard zum Erstellen von physischen Authentifizierungstoken, die mit jedem Dienst funktionieren können.

Wenn Sie mit vertraut sind Yubikey– Ein physischer USB-Stick, mit dem Sie sich bei LastPass und einigen anderen Diensten anmelden können – Sie sind mit diesem Konzept vertraut. Im Gegensatz zu Standard-Yubikey-Geräten ist U2F ein universeller Standard. Ursprünglich wurde U2F von Google und Yubico in Zusammenarbeit hergestellt.

Wie funktioniert es?

Derzeit sind U2F-Geräte normalerweise kleine USB-Geräte, die Sie in den USB-Anschluss Ihres Computers einstecken. Einige von ihnen unterstützen NFC, sodass sie mit Android-Handys verwendet werden können. Es basiert auf der vorhandenen Smartcard-Sicherheitstechnologie. Wenn Sie es in den USB-Anschluss Ihres Computers einstecken oder gegen Ihr Telefon tippen, kann der Browser Ihres Computers mithilfe der sicheren Verschlüsselungstechnologie mit dem USB-Sicherheitsschlüssel kommunizieren und die richtige Antwort bereitstellen, mit der Sie sich bei einer Website anmelden können.

Da dies als Teil des Browsers selbst ausgeführt wird, erhalten Sie einige nette Sicherheitsverbesserungen gegenüber der typischen Zwei-Faktor-Authentifizierung. Zunächst überprüft der Browser, ob er mithilfe der Verschlüsselung mit der realen Website kommuniziert, damit Benutzer nicht dazu verleitet werden, ihre Zwei-Faktor-Codes in gefälschte Phishing-Websites einzugeben. Zweitens sendet der Browser den Code direkt an die Website, sodass ein dazwischen sitzender Angreifer den temporären Zwei-Faktor-Code nicht erfassen und auf der realen Website eingeben kann, um Zugriff auf Ihr Konto zu erhalten.

Die Website kann auch Ihr Kennwort vereinfachen. Beispielsweise werden Sie auf einer Website derzeit möglicherweise nach einem langen Kennwort und anschließend nach einem Zwei-Faktor-Code gefragt, den Sie beide eingeben müssen. Stattdessen könnte eine Website bei U2F Sie nach einer vierstelligen PIN fragen, an die Sie sich erinnern müssen, und Sie müssen dann eine Taste auf einem USB-Gerät drücken oder gegen Ihr Telefon tippen, um sich anzumelden.

Die FIDO-Allianz arbeitet auch an UAF, für die kein Passwort erforderlich ist. Beispielsweise kann der Fingerabdrucksensor eines modernen Smartphones verwendet werden, um Sie bei verschiedenen Diensten zu authentifizieren.

Sie können mehr über den Standard selbst lesen auf der Website der FIDO-Allianz.

Wo wird es unterstützt?

Google Chrome, Mozilla Firefox und Opera (basierend auf Google Chrome) sind die einzigen Browser, die U2F unterstützen. Es funktioniert unter Windows, Mac, Linux und Chromebooks. Wenn Sie über ein physisches U2F-Token verfügen und Chrome, Firefox oder Opera verwenden, können Sie damit Ihre Google-, Facebook-, Dropbox- und GitHub-Konten sichern. Andere große Dienste unterstützen U2F noch nicht.

U2F funktioniert auch mit dem Google Chrome Browser auf AndroidAngenommen, Sie haben einen USB-Stick mit integrierter NFC-Unterstützung. Apple erlaubt Apps keinen Zugriff auf die NFC-Hardware, sodass dies auf iPhones nicht funktioniert.

Aktuelle stabile Versionen von Firefox unterstützen zwar U2F, sind jedoch standardmäßig deaktiviert. Du musst Aktivieren Sie eine versteckte Firefox-Voreinstellung um die U2F-Unterstützung im Moment zu aktivieren.

Die Unterstützung für U2F-Schlüssel wird mit dem Start der Webauthentifizierungs-API weiter verbreitet. Es wird sogar in Microsoft Edge funktionieren.

Wie Sie es verwenden können

Sie benötigen lediglich ein U2F-Token, um loszulegen. Google weist Sie an, bei Amazon nach „FIDO U2F SicherheitsschlüsselUm sie zu finden. Der oberste kostet 18 $ und wird von Yubico hergestellt, einem Unternehmen, das in der Vergangenheit physische USB-Sicherheitsschlüssel hergestellt hat. Je teurer Yubikey NEO Enthält NFC-Unterstützung für die Verwendung mit Android-Geräten.

Sie können dann Ihre Google-Kontoeinstellungen aufrufen, finden die 2-stufige Überprüfungsseiteund klicken Sie auf die Registerkarte Sicherheitsschlüssel. Klicken Sie auf Sicherheitsschlüssel hinzufügen, und Sie können den physischen Sicherheitsschlüssel hinzufügen, den Sie benötigen, um sich in Ihrem Google-Konto anzumelden. Der Vorgang ist für andere Dienste, die U2F unterstützen, ähnlich. Weitere Informationen finden Sie in diesem Handbuch.

Dies ist noch kein Sicherheitstool, das Sie überall verwenden können, aber viele Dienste sollten eventuell Unterstützung dafür hinzufügen. Erwarten Sie in Zukunft große Dinge von der Webauthentifizierungs-API und diesen U2F-Schlüsseln.