U2F erklärt: Wie Google und andere Unternehmen ein universelles Sicherheitstoken erstellen
U2F ist ein neuer Standard für universelle Zwei-Faktor-Authentifizierungstoken. Diese Token können USB, NFC oder Bluetooth verwenden, um eine Zwei-Faktor-Authentifizierung für eine Vielzahl von Diensten bereitzustellen. Es wird bereits in Chrome, Firefox und Opera für Google, Facebook, Dropbox und GitHub-Konten unterstützt.
Dieser Standard wird von der FIDO-Allianz unterstützt, die Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, Bank of America und viele andere große Unternehmen. Erwarte, dass die U2F-Sicherheitstoken bald überall zu finden sein werden.
Etwas Ähnliches wird sich bald mit der Web-Authentifizierungs-API weiter verbreiten. Dies wird eine standardmäßige Authentifizierungs-API sein, die für alle Plattformen und Browser funktioniert. Es unterstützt andere Authentifizierungsmethoden sowie USB-Schlüssel. Die Web Authentication API war ursprünglich als FIDO 2.0 bekannt.
Was ist das?
VERWANDTE: Was ist Zwei-Faktor-Authentifizierung, und warum brauche ich sie?
Zwei-Faktor-Authentifizierung ist ein Muss So schützen Sie Ihre wichtigen Accounts. Traditionell benötigen die meisten Accounts nur ein Passwort, um sich anzumelden - das ist ein Faktor, etwas, das Sie kennen. Jeder, der das Passwort kennt, kann in Ihr Konto gelangen.
Zwei-Faktor-Authentifizierung erfordert etwas, was Sie wissen und etwas, das Sie haben. Oft ist dies eine Nachricht, die per SMS oder einem Code, der über eine App wie Google Authenticator oder Authy auf Ihrem Telefon generiert wurde, an Ihr Telefon gesendet wird. Jemand benötigt sowohl Ihr Passwort als auch den Zugriff auf das physische Gerät, um sich einzuloggen.
Aber die Zwei-Faktor-Authentifizierung ist nicht so einfach wie es sein sollte und beinhaltet oft das Eingeben von Passwörtern und SMS-Nachrichten in alle von Ihnen genutzten Dienste. U2F ist ein universeller Standard zum Erstellen physischer Authentifizierungs-Tokens, die mit jedem Dienst arbeiten können.
Wenn Sie mit Yubikey vertraut sind - einem physischen USB-Schlüssel, mit dem Sie sich bei LastPass und einigen anderen Diensten anmelden können, werden Sie damit vertraut sein dieses Konzept. Im Gegensatz zu Standard-Yubikey-Geräten ist U2F ein universeller Standard. U2F wurde ursprünglich von Google und Yubico in Zusammenarbeit hergestellt.
Wie funktioniert es?
U2F-Geräte sind in der Regel kleine USB-Geräte, die Sie in den USB-Port Ihres Computers stecken. Einige von ihnen haben NFC-Unterstützung, so dass sie mit Android-Handys verwendet werden können. Es basiert auf der bestehenden Sicherheitstechnologie "Smart Card". Wenn Sie es in den USB-Anschluss Ihres Computers einstecken oder mit Ihrem Telefon antippen, kann der Browser auf Ihrem Computer mit der sicheren Verschlüsselungstechnologie mit dem USB-Sicherheitsschlüssel kommunizieren und die richtige Antwort bereitstellen, mit der Sie sich auf einer Website anmelden können.
Weil dies läuft als Teil des Browsers selbst, das gibt Ihnen einige schöne Sicherheitsverbesserungen gegenüber der typischen Zwei-Faktor-Authentifizierung. Zunächst überprüft der Browser, ob die Kommunikation mit der realen Website verschlüsselt erfolgt, sodass Benutzer nicht dazu verleitet werden, ihre Zwei-Faktor-Codes in gefälschte Phishing-Websites einzugeben. Zweitens sendet der Browser den Code direkt an die Website, so dass ein Angreifer, der dazwischen sitzt, den temporären Zwei-Faktor-Code nicht erfassen und auf der echten Website eingeben kann, um Zugang zu Ihrem Konto zu erhalten.
Die Website kann auch vereinfachen Ihr Passwort - zum Beispiel könnte eine Website Sie nach einem langen Passwort fragen und dann nach einem Zwei-Faktor-Code, den Sie beide eingeben müssen. Stattdessen kann eine Website mit U2F nach einer vierstelligen PIN fragen, die Sie sich merken müssen, und dann müssen Sie eine Taste auf einem USB-Gerät drücken oder sie an Ihrem Telefon antippen, um sich einzuloggen.
Die FIDO-Allianz ist auch Arbeiten an UAF, die kein Passwort erfordert. Sie können beispielsweise den Fingerabdrucksensor eines modernen Smartphones verwenden, um Sie mit verschiedenen Diensten zu authentifizieren.
Weitere Informationen zum Standard finden Sie auf der Website der FIDO-Allianz.
Wo wird es unterstützt?
Google Chrome Mozilla Firefox und Opera (die auf Google Chrome basiert) sind die einzigen Browser, die U2F unterstützen. Es funktioniert auf Windows, Mac, Linux und Chromebooks. Wenn Sie ein physisches U2F-Token haben und Chrome, Firefox oder Opera verwenden, können Sie damit Ihre Google-, Facebook-, Dropbox- und GitHub-Konten schützen. Andere große Dienste unterstützen U2F noch nicht.
U2F funktioniert auch mit dem Google Chrome-Browser auf Android, vorausgesetzt, Sie haben einen USB-Schlüssel mit NFC-Unterstützung eingebaut. Apple erlaubt Apps keinen Zugriff auf die NFC-Hardware, so dass dies auf iPhones nicht funktioniert.
Während aktuell stabil Versionen von Firefox haben U2F-Unterstützung, es ist standardmäßig deaktiviert. Sie müssen im Moment eine versteckte Firefox-Einstellung aktivieren, um die U2F-Unterstützung zu aktivieren.
Die Unterstützung für U2F-Schlüssel wird weiter verbreitet, wenn die Web-Authentifizierungs-API startet. Es wird sogar in Microsoft Edge funktionieren.
Wie Sie es verwenden können
Sie brauchen nur ein U2F-Token, um loszulegen. Google weist Sie an, Amazon nach "FIDO U2F Security Key" zu durchsuchen, um sie zu finden. Das Top kostet 18 US-Dollar und wird von Yubico hergestellt, einer Firma, die schon seit einiger Zeit physische USB-Sicherheitsschlüssel herstellt. Das teurere Yubikey NEO enthält NFC-Unterstützung für die Verwendung mit Android-Geräten.
VERBINDUNG: So sichern Sie Ihre Konten mit einem U2F-Schlüssel oder YubiKey
Sie können dann Ihre Google-Kontoeinstellungen suchen, finden Sie die 2-Schritte Bestätigungsseite, und klicken Sie auf die Registerkarte Sicherheitsschlüssel. Klicken Sie auf Sicherheitsschlüssel hinzufügen und Sie können den physischen Sicherheitsschlüssel hinzufügen, den Sie in Ihrem Google-Konto anmelden müssen. Der Prozess wird für andere Dienste ähnlich sein, die U2F unterstützen. Weitere Informationen finden Sie in diesem Handbuch.
Dies ist kein Sicherheitstool, das Sie bereits überall verwenden können, aber viele Dienste sollten eventuell Unterstützung für dieses Hilfsprogramm hinzufügen. Erwarten Sie in der Zukunft große Dinge von der Web-Authentifizierungs-API und diesen U2F-Schlüsseln.
In sozialen Netzwerken ist es einfach, schnell etwas zu posten, ohne es richtig zu lesen. Autokorrektur macht einen guten Job ... die meiste Zeit. Zum Glück, zumindest mit Facebook, können Sie etwas bearbeiten, auch nachdem Sie es gepostet haben. So geht's: Finden Sie zuerst den fehlerhaften Post auf Ihrer Seite.
Die neue Sideloading-Richtlinie von Android Oreo
In Android-Versionen können Anwendungen, die nicht im Play Store gefunden wurden, universell "seitengeladen" werden, indem ein Kästchen in der Liste angekreuzt wird Sicherheitsmenü des Geräts. Bei Oreo ändert sich das. So funktioniert das Laden von Sideloading Wenn Sie in früheren Versionen von Android eine Anwendung installieren wollten, die nicht im Play Store gefunden wurde - ein Vorgang namens "Sideloading" -, mussten Sie in die Einstellungen wechseln > Sicherheitsmenü und aktivieren Sie eine Funktion namens "Unbekannte Quellen".
