ユニバーサルセカンドファクター

Universal 2nd Factor ( U2F ) は、スマートカードに見られるようなセキュリティ技術をベースにした、専用のユニバーサルシリアルバス(USB) または近距離無線通信(NFC) デバイスを使用して、 2要素認証(2FA) を強化および簡素化するオープン標準です。^{[1] [2] [3] [4] [5]}これは、 W3C Web認証 ( WebAuthn ) 標準とFIDOアライアンスのクライアントから認証プロトコル2 (CTAP2) を含むFIDO2プロジェクトによって引き継がれています。^[6]

この標準は当初、 GoogleとYubicoによってNXP Semiconductorsの協力を得て開発されましたが、現在はFIDOアライアンスによってホストされています。^{[7] [8]}

時間ベースのワンタイム パスワード(TOTP) (例: Google Authenticator で生成される 6 桁のコード)は、SMS ベースのセキュリティ コードに比べて大幅に改善されましたが、依然として多くのセキュリティ上の脆弱性が悪用される可能性があり、U2F はこれを改善しようとしました。具体的には、次のとおりです。

デメリットに関して、ハードウェアベースの U2F ソリューションに関して考慮すべき 1 つの大きな違いと潜在的な欠点は、TOTP 共有秘密方式とは異なり、回復コードまたは共有秘密を「バックアップ」する可能性がないことです。ハードウェアの複製または代替ハードウェア キーが保持されておらず、元の U2F ハードウェア キーが失われた場合、キーを回復することはできません (秘密キーはハードウェアにのみ存在するため)。したがって、代替のアカウント回復方法を提供していないサービスの場合、U2F の使用は慎重に検討する必要があります。

USBデバイスは、ヒューマンインターフェースデバイス（HID）プロトコルを使用してホストコンピュータと通信し、基本的にキーボードを模倣します。^{[9] [検証失敗–議論を参照]}これにより、ユーザーはホストコンピュータに特別なハードウェアドライバーソフトウェアをインストールする必要がなくなり、デバイスを所有して挿入する以外のユーザーの手間をかけずに、アプリケーションソフトウェア（ブラウザなど）がデバイスのセキュリティ機能に直接アクセスできるようになります。通信が確立されると、アプリケーションは公開鍵暗号化方式とデバイス内に製造された秘密の一意のデバイスキーを使用して、デバイスとのチャレンジレスポンス認証を実行します。^[10]

デバイスキーは 悪意のある製造業者による複製に対して脆弱である。^[11]

2020年、独立したセキュリティ研究者が、人気のU2FハードウェアセキュリティトークンであるGoogle Titan Keyから秘密鍵を抽出する方法を発見しました。^{[12] [13] [14]}この方法では、数時間にわたってキーに物理的にアクセスし、数千ユーロ相当の機器が必要で、キーのプラスチックケースが破壊されました。 [ ^{12] [13] [14]}攻撃者は、攻撃の難しさから、人々はキーを使用しないよりは使用したほうが安全であると結論付けました。^{[12] [13] [14]この攻撃は、} NXP Semiconductors製のA700Xマイクロチップの脆弱性によって可能になりました。このチップは、FeitianおよびYubico製のセキュリティトークンにも使用されており、これらのトークンも脆弱であることを意味します。^{[12] [15]}この脆弱性は、将来の製品で修正されるように、影響を受けるメーカーに責任を持って開示されました。 ^{[12] [13] [14]}

U2F セキュリティ キーは、Google Chromeバージョン 38 以降、^[2] Firefoxバージョン 57 以降^[16]およびOperaバージョン 40 以降でサポートされています。U2F セキュリティ キーは、Google、^[2] Azure、^[17] Dropbox、^[18] GitHub、^[19] GitLab、^[20] Bitbucket、^[21] Nextcloud、^[22] Facebook、^[23]など、U2F プロトコルをサポートするオンライン サービスで 2 段階認証の追加方法として使用できます。^[24]

2015年時点で、U2FをネイティブにサポートしているブラウザはChrome、Firefox、Opera^{[アップデート]}のみでした。Microsoftは、Windows 10のWindows HelloログインプラットフォームでFIDO 2.0のサポートを有効にしました。 ^[25] Microsoft Edge ^[26]ブラウザは、2018年10月のWindows UpdateでU2Fのサポートを獲得しました。Office 365、OneDrive、その他のMicrosoftサービスを含むMicrosoftアカウントでは、まだU2Fをサポートしていません。MozillaはこれをFirefox 57に統合し、Firefox 60 ^{[27] [28] [29] [30]}およびThunderbird 60ではデフォルトで有効にしました。 ^[31] Microsoft Edgeはビルド17723以降でFIDO2をサポートしています。^[32] iOSおよびiPadOS 13.3の時点で、Appleはこれらのプラットフォーム上のSafariブラウザでU2Fをサポートするようになりました。

U2F 規格は 2 回にわたって大きく改訂されました。

• U2F 1.0 提案規格（2014年10月9日）^[33]
• U2F 1.2 提案規格（2017年4月11日）^[34]

追加の仕様文書はFIDOのウェブサイトから入手できます。^[35]

U2F 1.0 標準提案（2014 年 10 月 9 日）は、FIDO 2.0 標準提案（2015 年 9 月 4 日）として知られる短命の仕様の出発点でした。後者は、2015 年 11 月 12 日にワールド ワイド ウェブ コンソーシアム（W3C）に正式に提出されました。 ^{[36]その後、W3C Web 認証（} WebAuthn ）標準の最初のワーキング ドラフトが 2016 年 5 月 31 日に公開されました。WebAuthn 標準はそれ以来何度も改訂され、2019 年 3 月 4 日に W3C 勧告になりました。

一方、U2F 1.2 提案標準 (2017 年 4 月 11 日) は、 2017 年 9 月 27 日に公開されたClient to Authenticator Protocol (CTAP) 提案標準の出発点となりました。FIDO CTAP は W3C WebAuthn を補完するものであり、どちらもFIDO2 プロジェクトの範囲内にあります。

WebAuthnとCTAPは、FIDO2標準の最新バージョンで「CTAP1」に名前が変更されたU2Fの完全な代替を提供します。^{[37] WebAuthnプロトコルは、U2Fのみの}セキュリティキーと下位互換性があります（AppID拡張機能経由）^{[38]が、U2FプロトコルはWebAuthnのみの}認証子とは互換性がありません。^{[39] [40] [37]}一部の認証子はU2FとWebAuthnの両方をサポートしていますが、一部のWebAuthnクライアントは、従来のU2F APIを介して作成されたキーをサポートしています。^{[引用が必要]}