Video: How FIDO2 and WebAuthn Stop Account Takeovers (Noviembre 2024)
Yubico introdujo el dispositivo de autenticación de hardware Yubikey en 2008, pero en ese momento no había mucho para que el consumidor promedio pudiera usarlo, excepto iniciar sesión en LastPass. La compañía ha crecido enormemente desde entonces, y pronto ofrecerá una técnica única de autenticación de "segundo factor universal". En la Conferencia RSA en San Francisco, la CEO y Fundadora de Yubico, Stina Ehrensvärd, compartió con entusiasmo lo que viene de Yubico.
"Queríamos llevar la tecnología de autenticación de tarjetas inteligentes al mercado de consumo masivo, pero eliminando los controladores, el middleware… algo que tiene tan buena seguridad como una tarjeta inteligente sin la complejidad", dijo. "Iniciamos este proyecto con Google, y ahora se está utilizando dentro de Google".
Conexión FIDO
La Alianza FIDO (Fast IDentity Online) incluye algunos grandes jugadores, entre ellos Microsoft, Mastercard, PayPal, Bank of America y muchos más. "Hemos fusionado nuestros esfuerzos con FIDO", dijo Ehrensvärd. "El resultado es FIDO Universal Second Factor, o U2F, implementado en nuestro dispositivo Yubikey Neo. La prueba con los Yubikeys existentes y otros dispositivos de seguridad de hardware es que tiene un dispositivo para cada servicio. Puede usar un teléfono y tener múltiples aplicaciones de seguridad para diferentes servicios, pero los teléfonos pueden ser pirateados ".
"Con un dispositivo U2F, puede tener un dispositivo para servicios ilimitados ", dijo. "Siempre he querido eso. De hecho, el nombre de la empresa Yubico proviene de la palabra 'ubicuo'".
Autenticación simple
Cuando registra un Yubikey Neo con un sitio web de soporte, genera un par de claves público / privado único. Para teléfonos inteligentes Android, se conecta a través de NFC; para PC y Mac, a través de USB. (El soporte para iOS está en proceso, pero Ehrensvärd no era libre de discutir detalles). Ingrese su PIN si es necesario, toque el dispositivo y se autenticará.
"Lo importante", dijo Ehrensvärd, "es que el dispositivo interactúa con cada sitio directamente. No hay almacenamiento de terceros que pueda ser pirateado. Tampoco se necesita un lector especial como con un chip y una tarjeta de crédito PIN".
"Yubikey Neo no estará disponible para el público hasta finales de este año", dijo, "pero varios socios importantes ya lo están utilizando internamente, para su personal. Funciona realmente bien. Es como una tarjeta inteligente sin conductor".
Privacidad también
"Las personas son cada vez más conscientes de los problemas de privacidad, en parte debido a las revelaciones de la NSA", dijo Ehrensvärd. "Con U2F, los usuarios obtienen el control de su identidad. Pueden comprar su dispositivo seguro en muchos lugares; somos los primeros, pero habrá otros. Luego, úselo para autenticarse sin revelar detalles sobre su identidad. Es seguro, pero anónimo". No es propiedad ni está controlada por el gobierno, ni por el banco, ni por la nube. Es identidad del usuario ".
"¡Esto es perjudicial!", Continuó. "Los bancos y las empresas no necesitan presionarlo. El usuario querrá comprarlo. No tendrá que preocuparse por las contraseñas. Oh, es complementario a los administradores de contraseñas, pero eventualmente ni siquiera necesitará un administrador de contraseñas".
Implementación fácil y gratuita
"Los proveedores de servicios pueden admitir fácilmente U2F utilizando componentes gratuitos de código abierto", explicó Ehrensvärd. "O pueden pagar para configurarlo. Mi visión era llegar aquí, darme cuenta de lo que ahora es el FIDO U2F. Muchos proveedores de dispositivos pueden competir y coexistir".
"Si los estándares están sujetos a un solo proveedor, puede ser costoso", dijo. "Decimos que la tecnología es gratuita. El único que debe pagar es el usuario, y es un costo único. Lo implementaremos más adelante este año. Es útil que tantos nombres importantes ya estén en la Alianza FIDO, porque para que el dispositivo sea útil, necesita muchos sitios que lo admitan para la gran implementación ".
Casi todos están de acuerdo en que las contraseñas son un fastidio. Las soluciones biométricas, desde la huella digital hasta los latidos del corazón y el análisis del globo ocular, son mucho más complejas que la solución propuesta por Yubico. Y las malditas cosas son duraderas; Llevé mi llavero durante cinco años. Esta es solo la invención que significa el final de las estúpidas contraseñas.
