U2F to sprzętowy drugi składnik logowania, który wykorzystuje kryptografię klucza publicznego. Zamiast przesyłać kod SMS-em lub generować go w aplikacji, użytkownik potwierdza dostęp fizycznym kluczem. Sekret pozostaje na urządzeniu, a próba logowania jest powiązana z prawdziwą domeną serwisu, dlatego U2F zapewnia bardzo wysoką odporność na phishing.
Jak działa klucz bezpieczeństwa U2F?
U2F, czyli Universal 2nd Factor, dodaje do hasła drugi element uwierzytelniania: coś, co użytkownik posiada. Hasło należy do kategorii „coś, co wiesz”, natomiast klucz USB lub urządzenie komunikujące się przez NFC jest fizycznym przedmiotem, który trzeba mieć przy sobie.
Najważniejsza różnica polega na tym, że klucz U2F nie przekazuje serwisowi swojego sekretu. Podczas rejestracji tworzy dla danej witryny parę kryptograficzną: klucz publiczny oraz klucz prywatny. Klucz publiczny trafia do serwera i służy do sprawdzania odpowiedzi urządzenia. Klucz prywatny zostaje na kluczu bezpieczeństwa i nie opuszcza jego pamięci.
Na czym polega cyfrowy „uścisk dłoni”?
Mechanizm można porównać do pieczęci wykonanej specjalnym pierścieniem. Witryna może sprawdzić autentyczność odcisku pieczęci, ale nie otrzymuje samego pierścienia. W przypadku U2F serwis wysyła do klucza jednorazowe wyzwanie, a urządzenie podpisuje je swoim kluczem prywatnym. Serwer sprawdza podpis przy użyciu wcześniej zapisanego klucza publicznego.
Podpis pasuje tylko wtedy, gdy odpowiedź pochodzi z właściwego urządzenia i dotyczy konkretnej próby logowania. Klucz sprawdza także adres witryny, z którą się komunikuje. Jeżeli użytkownik trafi na fałszywą stronę podszywającą się pod bank lub pocztę, urządzenie nie powinno wygenerować poprawnej odpowiedzi dla prawdziwej domeny.
To właśnie wiązanie uwierzytelniania z domeną zapewnia odporność na phishing. Oszust może nakłonić użytkownika do wpisania hasła, ale nie może po prostu przejąć tajnego klucza ani wykorzystać go na innej stronie.
Najważniejsze właściwości tego rozwiązania to:
- Klucz prywatny pozostaje na urządzeniu i nie jest wysyłany do serwera.
- Każda witryna otrzymuje własną parę kluczy, więc wyciek danych jednego serwisu nie daje automatycznie dostępu do innych kont.
- Logowanie wymaga fizycznej obecności klucza, zwykle przez podłączenie go do USB i dotknięcie przycisku.
- Fałszywa domena nie może poprawnie wykorzystać klucza zarejestrowanego dla prawdziwej witryny.
U2F a SMS i aplikacje z kodami
SMS-y i kody jednorazowe z aplikacji są użytecznymi dodatkowymi zabezpieczeniami, ale użytkownik może przepisać je na spreparowanej stronie. Kod bywa też narażony na przejęcie numeru telefonu, przechwycenie wiadomości lub złośliwe oprogramowanie odczytujące ekran.
Klucz U2F nie wymaga przepisywania sekretu do formularza. Zabezpieczenie działa w sposób związany z konkretną domeną, co ogranicza możliwość wykorzystania fałszywej strony logowania.
| Metoda | Odporność na phishing | Wymaga urządzenia | Poziom bezpieczeństwa |
|---|---|---|---|
| U2F | Wysoka | Tak | Bardzo wysoki |
| SMS | Niska | Nie | Niski |
| Aplikacja z kodami | Średnia | Nie | Wysoki |
U2F nie oznacza jednak, że hasło przestaje mieć znaczenie. W typowym modelu klucz uzupełnia hasło, a nie zawsze je zastępuje. Trzeba też uwzględnić ryzyko zgubienia urządzenia. Przy ważnych kontach rozsądne jest skonfigurowanie zapasowego klucza lub innej metody odzyskiwania dostępu.
Co dzieje się podczas logowania?
Przebieg uwierzytelniania jest krótki i zwykle wygląda tak:
- Wpisujesz nazwę użytkownika i hasło.
- Przeglądarka lub serwis prosi o użycie klucza bezpieczeństwa.
- Podłączasz klucz U2F albo zbliżasz go do urządzenia i potwierdzasz operację dotknięciem.
- Serwer sprawdza podpis kryptograficzny i przyznaje dostęp do konta.
Użytkownik nie musi zapamiętywać kolejnego kodu ani przepisywać go z telefonu. Cała operacja sprowadza się do użycia fizycznego przedmiotu, który musi znajdować się w pobliżu.
Czy klucz U2F jest wart zastosowania?
Dla kont pocztowych, administracyjnych, firmowych i innych miejsc, których przejęcie powoduje poważne skutki, U2F stanowi jedno z najmocniejszych zabezpieczeń przed kradzieżą danych logowania. Jego przewaga nad SMS-em i kodami polega nie tylko na tym, że wymaga urządzenia, lecz przede wszystkim na tym, że kryptograficznie rozpoznaje właściwą witrynę.
U2F nie chroni przed każdą możliwą awarią ani nie zastępuje dobrego hasła. Znacząco utrudnia jednak przejęcie konta za pomocą phishingu, ponieważ sam skopiowany login i hasło nie wystarczą do pomyślnego uwierzytelnienia.
