¿Por qué U2F no es lo suficientemente bueno para ser usado como autenticación?

9

En el contexto de las aplicaciones de seguridad media y baja (es decir, el 95% de la web), ¿por qué U2F no es lo suficientemente bueno como para ser el único factor?

Por lo que puedo decir, U2F implementa de forma muy segura el factor de autenticación "algo que tienes". Hay muchas aplicaciones web en las que un factor es suficientemente bueno, pero aún tenemos todos los problemas de uso de contraseñas (reutilización, recordarlas, etc.). Entonces, ¿por qué nadie ha dicho nada sobre el uso de U2F solo para la autenticación?

    
pregunta AstraLuma 23.10.2015 - 00:58
fuente

3 respuestas

6

Este es el problema con U2F como el único método de autenticación: no hay ninguna verificación de que usted sea el propietario legítimo del dispositivo U2F solo porque lo tiene en su poder. Si U2F fuera la única forma de autenticación para todo, sería como tener una llave maestra para su automóvil, casa, caja de seguridad, caja de seguridad, puerta / edificio de la oficina y todo lo demás. En nuestra situación metafórica, si alguien te robara esa clave maestra, tendría acceso a casi todo en tu vida.

Ahora, puede ver mi escenario metafórico " clave maestra " como el mismo que una contraseña, pero esta es la razón por la que se recomienda a las personas que usen varias contraseñas diferentes. Usar diferentes contraseñas es como tener varias claves diferentes. En lugar de tener una tecla que desbloquea todo, es mejor tener teclas diferentes. Si solo le roban una llave, el ladrón solo tiene acceso a aquello para lo que esa llave robada funciona. (por ejemplo, si un ladrón le roba la llave a su auto, él / ella solo puede acceder a su automóvil). Esta es todavía una situación desagradable, pero es mucho mejor que ese ladrón que tiene acceso a todo lo que posee. Del mismo modo, se recomienda a las personas que usen contraseñas diferentes, de modo que si un "ladrón" obtuvo una de sus contraseñas, solo tendrá acceso a un número limitado de sus cuentas.

Usar solo U2F es esencialmente comparable a usar solo una contraseña para cada sitio web y usar solo una clave para todo en tu vida. No es ni razonable ni seguro. Como tal, U2F solo debe usarse como una segunda forma de autenticación en una estructura de autenticación de dos pasos.

    
respondido por el Spencer Doak 24.10.2015 - 04:08
fuente
3

Si alguien roba mi U2F, obtiene acceso sin restricciones a cada sitio que lo usa como un factor único, hasta que logro recordar cada sitio que lo he usado y lo revoco de todos .

El nivel de esfuerzo para robar un dispositivo U2F de mi ranura USB es mucho menor que para robar la base de datos de mi administrador de contraseñas y la contraseña para desbloquearla. Y si ese está comprometido, al menos puedo consultarlo para obtener una lista autorizada de los sitios que necesito para rotar mis contraseñas.

    
respondido por el Stephen Touset 23.10.2015 - 01:09
fuente
0

El principal problema al usar el token U2F como único mecanismo de autenticación es que el servidor no tiene forma de identificar al usuario. Por lo tanto, el servidor no puede enviar el identificador de clave correcto y no puede decidir qué clave pública utilizar para la verificación de firma

    
respondido por el YuvalJ 28.01.2016 - 20:13
fuente

Lea otras preguntas en las etiquetas