Żyjemy w czasach szeroko rozpowszechnionego internetu. Dziś praktycznie każdy łączy się z globalną siecią i wykonuje w niej wiele czynności – oprócz przeglądania stron i portali społecznościowych, dokonuje zakupów online czy choćby zarządza swoim kontem bankowym.
Z tego względu bezpieczeństwo w internecie jeszcze nigdy nie było tak ważne, jak teraz. Jak można je zwiększyć? Wystarczy używać klucza U2F. Co to jest, jak działa i w jaki sposób można go wykorzystać? Oto wszystko, co warto wiedzieć o kluczu U2F.
Czym jest uwierzytelnianie dwuskładnikowe – 2FA
Nim jednak przejdziemy do zagadnienia kluczy U2F, warto poznać, czym jest uwierzytelnianie dwuskładnikowe, zwane też mechanizmem 2FA. Z pewnością wielu internautów spotkało się z nim i nawet codziennie używa tego rozwiązania.
Dzięki 2FA wzmacniamy zabezpieczenia dostępu do wybranych serwisów internetowych czy np. kont pocztowych. Aby np. zalogować się do Gmaila, nie wystarczy wprowadzić adres e-mail i hasło. Dzięki 2FA użytkownik będzie musiał potwierdzić operację na zewnętrznym urządzeniu – np. na swoim smartfonie.
2FA może wysyłać powiadomienie na smartfon lub przesyłać dodatkowy kod wiadomością e-mail czy SMS. Po co w ogóle stosować takie rozwiązanie, skoro wydłuża ono ścieżkę logowania? Dla bezpieczeństwa. Nawet jeżeli ktoś wejdzie w posiadanie danych logowania np. do naszej bankowości elektronicznej czy konta Google, nie będzie w stanie się zalogować, gdyż to my będziemy musieli potwierdzić operację na drugim urządzeniu (np. na smartfonie).
Klucz U2F – co to jest i jak działa?
Skoro wiemy już, na czym polega mechanizm 2FA, możemy płynnie przejść do klucza U2F, który wykorzystuje to rozwiązanie i przenosi je na jeszcze wyższy poziom. Wzmacnia on bowiem działanie uwierzytelniania dwuskładnikowego, czy wręcz przejmuje jego rolę.
Jak to działa w praktyce? Aby np. zalogować się do konta Google, oprócz wprowadzenia loginu i hasła, potrzebne będzie również podłączenie do komputera klucza U2F np. za pomocą złącza USB. Tylko w takim przypadku możliwe będzie zalogowanie się do konta, gdyż klucz wygeneruje specjalny kod potwierdzający operację.
Klucze bezpieczeństwa są więc fizycznymi nośnikami, które zazwyczaj do urządzenia podłącza się za pomocą złącza USB. Zawierają w sobie specjalne oprogramowanie, które automatycznie generuje i potwierdza kody 2FA. Po przypisaniu klucza bez posiadania nie jest możliwe zalogowanie się do wybranego serwisu.
Co więcej, klucze U2F mogą służyć do logowania nie tylko do serwisów internetowych, ale również do wybranych programów zainstalowanych na dysku. Aplikacja musi jednak wspierać takie rozwiązanie. Najczęściej są to specjalistyczne narzędzia wykorzystywane do pracy. Klucze U2F pozwalają w takim przypadku zabezpieczyć dostęp do newralgicznych danych firmowych.
Klucze bezpieczeństwa są też jedyną formą dwuetapowego zabezpieczenia, która w 100% chroni przez złośliwymi atakami i phishingiem. Dlaczego? Nawet jeżeli nieumyślnie przekażesz oszustowi swoje dane logowania, to i tak bez klucza nie będzie on w stanie ich wykorzystać.
Klucz U2F jest bezpieczniejszy od standardowej weryfikacji dwuetapowej, wykorzystującej np. kody wysyłane na adres e-mail lub w wiadomości SMS. Te ostatnie można bowiem obejść lub przechwycić, a sprzętowego zabezpieczenia w formie klucza bezpieczeństwa nie.
Jak zbudowany jest klucz bezpieczeństwa U2F?
Klucz U2F to zazwyczaj niewielkie urządzenie wyglądem przypominające pendrive. Podłącza się go do komputera za pomocą złącza USB – tradycyjnego w wersji A lub mniejszego w wersji C.
Co w przypadku smartfonów? Bardziej zaawansowane wersje klucza wyposażone są w moduł NFC, dzięki któremu możliwe jest bezprzewodowe łączenie z kompatybilnymi sprzętami, np. smartfonami czy tabletami.
Czym jeszcze powinien się charakteryzować dobry klucz U2F? Przede wszystkim nie powinien wymagać dodatkowej baterii do działania. Dzięki temu będzie zawsze w pełnej gotowości. Inną pożądaną cechą jest też wodoodporność – tylko w takim przypadku mamy pewność, że nie ulegnie on zniszczeniu poprzez np. przypadkowe zalanie wodą.
Standard U2F – klucz w pełni bezpieczny
Wspomnieliśmy już wcześniej, że klucz U2F jest najbezpieczniejszą formą 2FA. Dlaczego tak się dzieje? Przede wszystkim ze względu na fakt, że nie można z niego wykraść żadnych kodów.
Klucz zazwyczaj nie posiada własnego zasilania. Otrzymuje je prosto z portu USB lub po przytknięciu do modułu NFC. W tym momencie następuje generowanie kodu. Dzieje się to jednak wewnątrz klucza, na specjalnie zaprojektowanym „komputerze”. Wszystkie operacje kryptograficzne są więc wykonywane bezpośrednio na urządzeniu, przez co oszuści nie mogą w żaden sposób ich wykraść.
Klucz bezpieczeństwa U2F – czym jest FIDO i FIDO2?
Kupując klucz U2F, można natknąć się na wzmianki o protokołach FIDO i FIDO2. Czym one są? Standard ten opracowany został przez specjalistów z Google i firmy Yubico, która jest liderem sprzedaży urządzeń tego typu. Jego celem było spopularyzowanie mocnych zabezpieczeń kryptograficznych wśród szerszej publiki. Często jest on nazywany po prostu jako U2F lub FIDO U2F.
Firma Yubico rozwinęła też drugą generację tego standardu. FIDO2 oferuje tak samo mocne zabezpieczenia, jak FIDO U2F, ale zawiera przy tym kilka dodatkowych funkcji. Umożliwia bowiem zabezpieczenie za pomocą jednego mocnego czynnika, czyli bez konieczności wprowadzania loginu i hasła do serwisu. Użytkownik nie musi więc pamiętać danych logowania do obsługiwanych przez FIDO 2 portali.
Kupując klucz bezpieczeństwa, warto się zatem upewnić, że wspiera on standard U2F. FIDO 2 będzie miłym dodatkiem, choć tego typu urządzenia będą z zasady droższe niż podstawowe modele U2F.
Jakie aplikacje i usługi obsługują klucz U2F?
Standard U2F powstał po to, aby rozpowszechnić klucze bezpieczeństwa i poprawić zabezpieczenia podczas logowania do wybranych serwisów. Zabieg się udał, bowiem obecnie wiele popularnych serwisów umożliwia logowanie dwuskładnikowe z wykorzystaniem klucza U2F. Oto najpopularniejsze z nich:
- Amazon Web Services
- Konto Google
- Salesforce.com
- 1Password
- GitHub
- Microsoft Edge
- Dropbox
- ID.me
- YouTube
- Yahoo!
- OneLogin
- Fedora
- AOL
- Blogger
- Google Chrome
- Linux
- Opera
- Safari
- Shopify
- Ubuntu
- Windows Hello
- i wiele innych.
Kiedy klucz U2F może się przydać?
Klucze U2F są wykorzystywane przede wszystkim do zabezpieczenia dostępu do usług w firmach i przedsiębiorstwach. Administratorzy IT stosując takie rozwiązanie, chronią swoich pracowników przed atakami phishingowymi.
Dzięki temu nawet jeśli newralgiczne hasła firmowe wypłyną na zewnątrz, nikt nie będzie mógł zrobić z nich użytku bez fizycznego dostępu do klucza bezpieczeństwa.
Klucze U2F mogą być także wykorzystywane do celów prywatnych. Nie tylko zabezpieczają dostęp do wybranych serwisów, ale także przyspieszają logowanie z mechanizmem 2FA. Użytkownik nie musi bowiem przepisywać specjalnych kodów. Wystarczy, że skorzysta z klucza bezpieczeństwa.
Zalety kluczy U2F
- Szybka autoryzacja logowania – klucze U2F pozwalają przyspieszyć czas logowania z wykorzystaniem mechanizmu 2FA nawet czterokrotnie. To efekt braku konieczności przepisywania kodów wysyłanych na adres e-mail, w wiadomości SMS lub w powiadomieniu push.
- Skuteczne zabezpieczenie – gdy klucz U2F jest w pełni wdrożony i poprawnie używany, eliminuje ryzyko przejęcia konta do zera.
- Wysoka kompatybilność – klucze w standardzie U2F obsługują obecnie ponad 1000 usług i aplikacji. Co więcej, nie współdzielą z tymi serwisami żadnych danych, więc ewentualny wyciek informacji nie jest możliwy.
- Wysoka skuteczność w niskiej cenie – klucze U2F to obecnie jedne z najtańszych rozwiązań dających tak wysoką skuteczność ochrony przed phishingiem. Z tego względu coraz częściej stosuje się je w firmach.
Ile kosztuje klucz U2F?
Podstawowe klucze U2F można już kupić za mniej niż 200 złotych. W tym przedziale cenowym znajdziemy również modele wyposażone w moduł NFC. Nieco droższe będą egzemplarze wyposażone w dodatkowe zabezpieczenie biometryczne w postaci czytnika linii papilarnych. Koszt takich kluczy wynosi zazwyczaj powyżej 400 złotych.
Powyżej 200 złotych zapłacimy także za modele o innym niż standardowe złączu – np. USB-C. Specjalną kategorią kluczy bezpieczeństwa są także te, które można ukryć w porcie USB. Są tak małe, że po podłączeniu do komputera nie wystają poza slot USB.
Co zrobić, gdy zgubimy klucz U2F?
Klucze bezpieczeństwa mają jeszcze jedną zaletę. Nawet jeśli je zgubimy i ktoś je znajdzie, nikt nie przejmie naszych danych logowania, bowiem nie są one przechowywane w kluczu.
Jedyne, co trzeba w takiej sytuacji zrobić, to wyłączyć obsługę zgubionego klucza w serwisach, w których go wykorzystywaliśmy. Najlepiej zrobić to z urządzenia, które wcześniej zostało dodane do zaufanych, by niepotrzebna była dodatkowa weryfikacja.
WARTO PRZECZYTAĆ: