Pregunta:
En el contexto de las aplicaciones de seguridad media y baja (es decir, el 95% de la web), ¿por qué U2F no es lo suficientemente bueno como para ser el único factor?
Por lo que puedo decir, U2F implementa de forma muy segura el factor de autenticación "algo que tienes". Hay muchas aplicaciones web en las que un factor es lo suficientemente bueno, pero todavía tenemos todos los problemas relacionados con el uso de contraseñas (reutilizarlas, recordarlas, etc.). Entonces, ¿por qué nadie ha dicho nada sobre el uso exclusivo de U2F para la autenticación?
Respuesta:
Aquí está el problema con U2F como el único método de autenticación: no hay verificación de que usted sea el propietario legítimo del dispositivo U2F solo porque lo tiene en su poder. Si U2F fuera la única forma de autenticación para todo, sería como tener una llave maestra para su automóvil, casa, caja fuerte, caja de seguridad, puerta / edificio de la oficina y todo lo demás. En nuestra situación metafórica, si alguien te robara esa llave maestra, tendría acceso a casi todo en tu vida.
Ahora, puede ver mi escenario metafórico de " clave maestra " como lo mismo que una contraseña, pero esta es la razón por la que se anima a las personas a utilizar varias contraseñas diferentes. Usar diferentes contraseñas es como tener varias claves diferentes. En lugar de tener una llave que desbloquee todo, es mejor tener llaves diferentes. Si solo le roban una llave, el ladrón solo tiene acceso a lo que sea para lo que funcione esa llave robada. (por ejemplo, si un ladrón roba la llave de su auto, él / ella solo puede acceder a su auto). Esta sigue siendo una situación desagradable, pero es mucho mejor que ese ladrón obteniendo acceso a todo lo que usted posee. Asimismo, se anima a las personas a utilizar contraseñas diferentes, de modo que si un "ladrón" obtiene una de sus contraseñas, solo tendrá acceso a un número limitado de sus cuentas.
Usar solo U2F es esencialmente comparable a usar solo una contraseña para cada sitio web y usar solo una clave para todo en su vida. No es ni razonable ni seguro. Como tal, U2F solo debe usarse como una segunda forma de autenticación en una estructura de autenticación de dos pasos.