Este padrão é apoiado pela aliança FIDO, que inclui o Google, Microsoft, PayPal, American Express, MasterCard, VISA, Intel, ARM, Samsung, Qualcomm, Bank of America e muitas outras grandes empresas. Espere que os tokens de segurança do U2F estejam em todo o lugar em breve.
Algo semelhante se tornará mais disseminado em breve com a API de autenticação da Web. Essa será uma API de autenticação padrão que funciona em todas as plataformas e navegadores. Ele irá suportar outros métodos de autenticação, bem como chaves USB. A API de autenticação da Web era originalmente conhecida como FIDO 2.0.
O que é isso?
A autenticação de dois fatores é uma maneira essencial de proteger suas contas importantes. Tradicionalmente, a maioria das contas precisa apenas de uma senha para fazer login. Esse é um fator, algo que você conhece. Qualquer pessoa que saiba a senha pode entrar em sua conta.
A autenticação de dois fatores requer algo que você sabe e algo que você tem. Muitas vezes, essa é uma mensagem enviada ao seu telefone por SMS ou um código gerado por meio de um aplicativo como o Google Authenticator ou Authy no seu telefone. Alguém precisa da sua senha e do acesso ao dispositivo físico para fazer login.
Mas a autenticação de dois fatores não é tão fácil quanto deveria, e geralmente envolve a digitação de senhas e mensagens SMS em todos os serviços que você usa. O U2F é um padrão universal para criar tokens de autenticação física que podem funcionar com qualquer serviço.
Se você estiver familiarizado com o Yubikey, uma chave USB física que permite fazer login no LastPass e em alguns outros serviços, você estará familiarizado com esse conceito. Ao contrário dos dispositivos Yubikey padrão, o U2F é um padrão universal. Inicialmente, o U2F foi feito pelo Google e Yubico trabalhando em parceria.
Como funciona?
Atualmente, os dispositivos U2F geralmente são pequenos dispositivos USB inseridos na porta USB do seu computador. Alguns deles têm suporte NFC para que possam ser usados com telefones Android. É baseado na tecnologia de segurança existente de "cartão inteligente". Quando você o insere na porta USB do computador ou o toca no telefone, o navegador do computador pode se comunicar com a chave de segurança USB usando a tecnologia de criptografia segura e fornecer a resposta correta que permite efetuar login em um site.
O site também pode simplificar sua senha. Por exemplo, um site pode solicitar uma senha longa e um código de dois fatores, os quais você precisa digitar. Em vez disso, com o U2F, um site pode solicitar um PIN de quatro dígitos e exigir que você pressione um botão em um dispositivo USB ou toque nele em seu telefone para fazer login.
A aliança FIDO também está trabalhando na UAF, que não requer senha. Por exemplo, ele pode usar o sensor de impressão digital em um smartphone moderno para autenticá-lo com vários serviços.
Você pode ler mais sobre o próprio padrão no site da aliança FIDO.
Onde é suportado?
O Google Chrome, o Mozilla Firefox e o Opera (baseados no Google Chrome) são os únicos navegadores que suportam o U2F. Funciona no Windows, Mac, Linux e Chromebooks. Se você tiver um token físico U2F e usar o Chrome, Firefox ou Opera, poderá usá-lo para proteger suas contas do Google, do Facebook, do Dropbox e do GitHub. Outros grandes serviços ainda não são compatíveis com o U2F.
O U2F também funciona com o navegador Google Chrome no Android, supondo que você tenha uma chave USB com suporte a NFC integrado. A Apple não permite o acesso de aplicativos ao hardware NFC, portanto, isso não funcionará em iPhones.
Embora as versões atuais estáveis do Firefox tenham suporte a U2F, ele é desativado por padrão. Você precisará ativar uma preferência oculta do Firefox para ativar o suporte ao U2F no momento.
O suporte para chaves do U2F se tornará mais difundido quando a API de autenticação da Web decolar. Ele vai até funcionar no Microsoft Edge.
Como você pode usá-lo
Você só precisa de um token U2F para começar. O Google direciona você para pesquisar na Amazon por “FIDO U2F Security Key” para encontrá-los. O top custa US $ 18 e é feito pela Yubico, uma empresa com histórico de chaves de segurança USB físicas. O mais caro Yubikey NEO inclui suporte a NFC para uso com dispositivos Android.
Em seguida, você pode acessar as configurações da sua Conta do Google, encontrar a página de verificação em duas etapas e clicar na guia Chaves de segurança. Clique em Adicionar uma chave de segurança e você poderá adicionar a chave de segurança física, que precisará fazer login na sua conta do Google. O processo será semelhante para outros serviços que suportam o U2F - confira este guia para saber mais.
Esta não é uma ferramenta de segurança que você pode usar em todos os lugares ainda, mas muitos serviços devem, eventualmente, adicionar suporte a ela. Espere grandes coisas da API de Autenticação da Web e dessas chaves do U2F no futuro.
