Klucz bezpieczeństwa U2F to fizyczne urządzenie, które potwierdza logowanie bez wysyłania kodu SMS ani ujawniania sekretu stronie internetowej. Jego najważniejszą cechą jest powiązanie odpowiedzi z prawdziwą domeną serwisu, dlatego fałszywa strona phishingowa nie może łatwo wykorzystać potwierdzenia.
Czym jest klucz U2F?
U2F, czyli Universal 2nd Factor, to standard dodatkowego uwierzytelniania opracowany w ramach inicjatywy FIDO. Klucz ma postać niewielkiego urządzenia podłączanego przez USB, a niektóre modele mogą komunikować się także przez NFC. Podczas logowania pełni funkcję drugiego składnika obok hasła.
Hasło jest czymś, co znasz. Klucz U2F jest czymś, co posiadasz. Ta różnica ma znaczenie, ponieważ kod przesłany SMS-em, e-mailem lub wyświetlony w aplikacji można przepisać na stronie oszusta. Klucz nie pokazuje takiego kodu. Wymaga fizycznej obecności i odpowiada tylko na żądanie powiązane z właściwą domeną.
Jak przebiega uwierzytelnianie U2F?
U2F wykorzystuje mechanizm wyzwanie–odpowiedź. Serwis nie otrzymuje prywatnego sekretu z urządzenia. Zamiast tego przechowuje klucz publiczny, który pozwala sprawdzić podpis wygenerowany przez klucz bezpieczeństwa.
Proces logowania wygląda następująco:
- Wpisujesz nazwę użytkownika i hasło na stronie serwisu.
- Serwer wysyła do przeglądarki jednorazowe wyzwanie, czyli dane, które trzeba potwierdzić.
- Przeglądarka sprawdza, z jaką domeną jest połączona, i przekazuje wyzwanie do klucza.
- Klucz potwierdza swoją fizyczną obecność, zwykle przez dotknięcie obudowy, a następnie podpisuje wyzwanie swoim prywatnym kluczem.
- Serwer sprawdza podpis za pomocą przypisanego do konta klucza publicznego.
Klucz prywatny pozostaje wewnątrz urządzenia i nie jest wysyłany przez internet. Klucz publiczny może być przechowywany na serwerze, ponieważ sam nie pozwala zalogować się do konta ani odtworzyć prywatnego sekretu.
Najważniejsze zabezpieczenie pojawia się przy sprawdzaniu domeny. Jeżeli zamiast prawdziwego serwisu otworzysz stronę naśladującą jego wygląd, przeglądarka przekaże urządzeniu inną domenę. Klucz nie podpisze wtedy żądania przeznaczonego dla właściwego serwisu. Oszust może zdobyć wpisane hasło, ale nie otrzyma ważnej odpowiedzi U2F.
U2F a SMS, e-mail i aplikacja uwierzytelniająca
Różnica między metodami dodatkowego logowania dotyczy przede wszystkim tego, czy użytkownik może nieświadomie przekazać kod osobie atakującej. W przypadku U2F odpowiedź jest tworzona dla konkretnej domeny, a nie wyświetlana jako ciąg znaków do przepisania.
| Metoda | Odporność na phishing | Wygoda | Poziom bezpieczeństwa |
|---|---|---|---|
| SMS lub e-mail | Niska | Wysoka | Niski |
| Aplikacja uwierzytelniająca | Średnia | Średnia | Wysoki |
| Klucz U2F | Bardzo wysoka | Średnia | Najwyższy |
Kody SMS mogą zostać przejęte między innymi w wyniku podmiany karty SIM lub ataku na operatora. Kod z wiadomości albo e-maila można też wpisać na fałszywej stronie, jeśli użytkownik nie rozpozna oszustwa. Aplikacje generujące kody są zwykle bezpieczniejsze niż SMS, ale nadal opierają się na przepisywaniu kodu. Zaawansowany phishing może przechwycić go w czasie rzeczywistym.
U2F ogranicza ten problem dzięki powiązaniu podpisu z domeną. Nie oznacza to, że klucz chroni przed każdym zagrożeniem. Nadal trzeba uważać na kradzież hasła, złośliwe oprogramowanie na urządzeniu oraz utratę samego klucza.
Jak zacząć korzystać z klucza U2F?
Rejestrację przeprowadza się w ustawieniach bezpieczeństwa obsługiwanego konta. Serwis tworzy parę kluczy, zapisuje publiczną część po swojej stronie i przypisuje ją do konta. Prywatna część pozostaje w urządzeniu.
Przy konfiguracji i późniejszym korzystaniu z klucza trzeba uwzględnić kilka spraw:
- Dodaj klucz w ustawieniach konta – wybierz sekcję uwierzytelniania dwuetapowego, rozpocznij rejestrację i podłącz urządzenie.
- Skonfiguruj zapasową metodę – mogą to być kody odzyskiwania albo drugi klucz przechowywany w bezpiecznym miejscu.
- Zabezpiecz konta o dużej wartości – przede wszystkim pocztę elektroniczną, konto administratora i usługi przechowujące ważne dane.
- Unieważnij zgubiony klucz – po utracie urządzenia usuń je z listy zaufanych metod logowania i użyj wcześniej skonfigurowanej metody odzyskiwania.
Największym kompromisem jest konieczność posiadania urządzenia przy logowaniu. Można go ograniczyć, rejestrując dwa klucze albo zapisując kody odzyskiwania poza komputerem. Nie należy przechowywać jedynej kopii kodów w tym samym miejscu co klucz.
U2F jest starszym standardem, podczas gdy FIDO2 stanowi jego rozwinięcie i może obsługiwać także logowanie bez hasła. Oba rozwiązania korzystają z podobnej idei kryptografii klucza publicznego, ale nie są tym samym standardem.
Jeśli najważniejsza jest ochrona przed przejęciem konta przez fałszywą stronę, klucz U2F daje wyraźną przewagę nad kodami SMS i e-mail. Trzeba tylko od razu przygotować zapasowy sposób odzyskania dostępu.
