Segundo factor universal

Universal 2nd Factor ( U2F ) es un estándar abierto que fortalece y simplifica la autenticación de dos factores (2FA) mediante dispositivos especializados de Universal Serial Bus (USB), comunicación de campo cercano (NFC) o Bluetooth Low Energy (BLE), basados ​​en una tecnología de seguridad similar a la de las tarjetas inteligentes . ^{[ 1 ] [ 2 ] [ 3 ] [ 4 ] [ 5 ]} Ha sido reemplazado por el Proyecto FIDO2 , que incluye el estándar W3C Web Authentication ( WebAuthn ) y el protocolo Client to Authenticator Protocol 2 (CTAP2) de la Alianza FIDO . ^{[ 6 ]}

Aunque inicialmente fue desarrollado por Google y Yubico , con la contribución de NXP Semiconductors , el estándar ahora está alojado por la Alianza FIDO. ^{[ 7 ] [ 8 ]}

Si bien las contraseñas de un solo uso basadas en el tiempo (TOTP) (por ejemplo, códigos de 6 dígitos generados en Google Authenticator) representaron una mejora significativa con respecto a los códigos de seguridad basados ​​en SMS, aún existían varias vulnerabilidades de seguridad que U2F buscaba solucionar. Específicamente:

En cuanto a las desventajas, una diferencia significativa y un posible inconveniente a considerar con respecto a las soluciones U2F basadas en hardware es que, a diferencia de los métodos de clave compartida TOTP, no existe la posibilidad de realizar copias de seguridad de los códigos de recuperación o las claves compartidas. Si no se conserva una copia de seguridad o una clave de hardware alternativa y se pierde la clave de hardware U2F original, no es posible recuperarla (ya que la clave privada solo existe en el hardware). Por lo tanto, para los servicios que no ofrecen ningún método alternativo de recuperación de cuenta, el uso de U2F debe considerarse cuidadosamente.

Los dispositivos USB se comunican con el ordenador anfitrión mediante el protocolo HID ( Human Interface Device ), el mismo que utilizan ratones, teclados y otros dispositivos de entrada. ^{[ 9 ]} Esto evita que el usuario tenga que instalar software controlador de hardware especial en el ordenador anfitrión y permite que el software de aplicación (como un navegador) acceda directamente a las funciones de seguridad del dispositivo sin ningún esfuerzo por parte del usuario, salvo tenerlo en su poder e insertarlo. Una vez establecida la comunicación, la aplicación realiza una autenticación de desafío-respuesta con el dispositivo mediante métodos de criptografía de clave pública y una clave secreta única integrada en el dispositivo. ^{[ 10 ]}

La clave del dispositivo es vulnerable a la duplicación maliciosa por parte del fabricante . ^{[ 11 ]}

En 2020, investigadores de seguridad independientes encontraron un método para extraer claves privadas de Google Titan Key, un popular token de seguridad de hardware U2F. ^{[ 12 ] [ 13 ] [ 14 ]} El método requería acceso físico a la llave durante varias horas, equipos por valor de varios miles de euros y era destructivo para la carcasa de plástico de la llave. ^{[ 12 ] [ 13 ] [ 14 ]} Los atacantes concluyeron que la dificultad del ataque significaba que las personas seguían estando más seguras usando las llaves que no usándolas. ^{[ 12 ] [ 13 ] [ 14 ]} El ataque fue posible debido a una vulnerabilidad en el microchip A700X fabricado por NXP Semiconductors , que también se utiliza en tokens de seguridad fabricados por Feitian y Yubico , lo que significa que esos tokens también son vulnerables. ^{[ 12 ] [ 15 ]} La vulnerabilidad fue divulgada responsablemente a los fabricantes afectados para que pudieran corregirla en futuros productos. ^{[ 12 ] [ 13 ] [ 14 ]}

Las claves de seguridad U2F son compatibles con Google Chrome desde la versión 38, ^{[ 2 ]} Firefox desde la versión 57 ^{[ 16 ]} y Opera desde la versión 40. Las claves de seguridad U2F se pueden usar como un método adicional de verificación en dos pasos en servicios en línea que admiten el protocolo U2F, incluidos Google, ^{[ 2 ]} Azure , ^{[ 17 ]} Dropbox , ^{[ 18 ]} GitHub , ^{[ 19 ]} GitLab , ^{[ 20 ]} Bitbucket , ^{[ 21 ]} Nextcloud , ^{[ 22 ]} Facebook , ^{[ 23 ]} y otros. ^{[ 24 ]}

Chrome, Firefox y Opera lo eran, a partir de 2015, los únicos navegadores que admiten U2F de forma nativa. Microsoft ha habilitado la compatibilidad con FIDO 2.0 para la plataforma de inicio de sesión Windows Hello de Windows 10. ^{[ 25 ]} El navegador Microsoft Edge ^{[ 26 ]} obtuvo compatibilidad con U2F en la actualización de Windows de octubre de 2018. Las cuentas de Microsoft , incluidas Office 365 , OneDrive y otros servicios de Microsoft, aún no tienen compatibilidad con U2F. Mozilla lo ha integrado en Firefox 57 y lo ha habilitado de forma predeterminada en Firefox 60 ^{[ 27 ] [ 28 ] [ 29 ] [ 30 ]} y Thunderbird 60. ^{[ 31 ]} Microsoft Edge a partir de la compilación 17723 admite FIDO2. ^{[ 32 ]} A partir de iOS y iPadOS 13.3, Apple ahora admite U2F en el navegador Safari en esas plataformas.

El estándar U2F ha sufrido dos revisiones importantes:

•  Estándar propuesto U2F 1.0 (  9 de octubre de 2014) ^{[ 33 ]}
•  Estándar propuesto U2F 1.2 (  11 de abril de 2017) ^{[ 34 ]}

Se pueden obtener documentos de especificación adicionales en el sitio web de FIDO. ^{[ 35 ]}

 El estándar propuesto U2F 1.0 (  9 de octubre de 2014) fue el punto de partida de una especificación efímera conocida como el  estándar propuesto FIDO 2.0 (  4 de septiembre de 2015). Este último se presentó formalmente al Consorcio World Wide Web (W3C) el  12 de noviembre de 2015. ^{[ 36 ]} Posteriormente, el primer borrador de trabajo del estándar de autenticación web del W3C ( WebAuthn ) se publicó el  31 de mayo de 2016. El estándar WebAuthn se ha revisado numerosas veces desde entonces, convirtiéndose en una recomendación del W3C el 4 de marzo  de 2019.

 Mientras tanto, el estándar propuesto U2F 1.2 (  11 de abril de 2017) se convirtió en el punto de partida para el estándar propuesto del protocolo Cliente a Autenticador (CTAP), que se publicó el  27 de septiembre de 2017. FIDO CTAP complementa a W3C WebAuthn, y ambos están dentro del alcance del proyecto FIDO2 .

WebAuthn y CTAP proporcionan un reemplazo completo para U2F, que ha sido renombrado como "CTAP1" en la última versión del estándar FIDO2. ^{[ 37 ]} El protocolo WebAuthn es retrocompatible (a través de la extensión AppID) con claves de seguridad solo U2F ^{[ 38 ]} pero el protocolo U2F no es compatible con un autenticador solo WebAuthn . ^{[ 39 ] [ 37 ]} Algunos autenticadores admiten tanto U2F como WebAuthn, mientras que algunos clientes WebAuthn admiten claves creadas a través de la API U2F heredada.