العامل الثاني العالمي

يُعدّ معيار المصادقة الثنائية العالمي ( U2F ) معيارًا مفتوحًا يُعزز ويُبسط عملية المصادقة الثنائية (2FA) باستخدام أجهزة متخصصة تعمل بتقنية ناقل التسلسل العالمي (USB) أو الاتصال قريب المدى (NFC) أو تقنية بلوتوث منخفضة الطاقة (BLE)، وذلك استنادًا إلى تقنية أمان مماثلة لتلك الموجودة في البطاقات الذكية . ^{[ 1 ] [ 2 ] [ 3 ] [ 4 ] [ 5 ]} وقد حلّ محله مشروع FIDO2 ، الذي يتضمن معيار مصادقة الويب W3C ( WebAuthn ) وبروتوكول العميل إلى المُصادق 2 (CTAP2) التابع لتحالف FIDO . ^{[ 6 ]}

على الرغم من أن جوجل ويوبيكو طورتا المعيار في البداية ، بمساهمة من شركة إن إكس بي لأشباه الموصلات ، إلا أن تحالف فيدو يستضيفه الآن. ^{[ 7 ] [ 8 ]}

رغم أن كلمات المرور لمرة واحدة المعتمدة على الوقت (مثل الرموز المكونة من 6 أرقام التي يتم إنشاؤها على تطبيق Google Authenticator) مثّلت تحسناً ملحوظاً مقارنةً برموز الأمان المستندة إلى الرسائل النصية القصيرة، إلا أنه لا يزال من الممكن استغلال عدد من الثغرات الأمنية، والتي سعت مبادرة U2F إلى معالجتها. وبالتحديد:

من حيث العيوب، يتمثل أحد الاختلافات الرئيسية والعيوب المحتملة التي يجب مراعاتها فيما يتعلق بحلول U2F القائمة على الأجهزة في أنه على عكس طرق TOTP التي تعتمد على المفتاح السري المشترك، لا توجد إمكانية لعمل نسخ احتياطية من رموز الاسترداد أو المفاتيح السرية المشتركة. فإذا لم يتم الاحتفاظ بنسخة احتياطية من المفتاح المادي أو مفتاح مادي بديل، وفُقد المفتاح المادي الأصلي لـ U2F، فلن يكون من الممكن استرداد المفتاح (لأن المفتاح الخاص موجود فقط في الجهاز). لذلك، بالنسبة للخدمات التي لا توفر أي طريقة بديلة لاستعادة الحساب، ينبغي التفكير ملياً قبل استخدام U2F.

تتواصل أجهزة USB مع الحاسوب المضيف باستخدام بروتوكول واجهة المستخدم (HID)، وهو نفس البروتوكول المستخدم في الفأرة ولوحة المفاتيح وغيرها من أجهزة الإدخال. ^{[ 9 ]} وهذا يُغني المستخدم عن تثبيت برامج تشغيل خاصة بالأجهزة على الحاسوب المضيف، ويسمح لبرامج التطبيقات (مثل متصفح الإنترنت) بالوصول مباشرةً إلى ميزات الأمان الخاصة بالجهاز دون أي جهد من المستخدم سوى امتلاك الجهاز وإدخاله. بمجرد إنشاء الاتصال، يُجري التطبيق عملية مصادقة التحدي والاستجابة مع الجهاز باستخدام أساليب التشفير بالمفتاح العام ومفتاح سري فريد مُدمج في الجهاز. ^{[ 10 ]}

مفتاح الجهاز عرضة للنسخ الخبيث من قبل الشركة المصنعة . ^{[ 11 ]}

في عام 2020، اكتشف باحثون أمنيون مستقلون طريقةً لاستخراج المفاتيح الخاصة من مفتاح جوجل تايتان، وهو رمز أمان مادي شائع الاستخدام ضمن بروتوكول U2F. ^{[ 12 ] [ 13 ] [ 14 ]} تطلّبت هذه الطريقة الوصول المادي إلى المفتاح لعدة ساعات، ومعدات بقيمة آلاف اليورو، كما ألحقت ضررًا بالغلاف البلاستيكي للمفتاح. ^{[ 12 ] [ 13 ] [ 14 ]} استنتج المهاجمون أن صعوبة الهجوم تعني أن استخدام المفاتيح لا يزال أكثر أمانًا من عدم استخدامها. ^{[ 12 ] [ 13 ] [ 14 ]} كان الهجوم ممكنًا بسبب ثغرة أمنية في شريحة A700X الدقيقة المصنّعة من قِبل شركة NXP Semiconductors ، والتي تُستخدم أيضًا في رموز الأمان المصنّعة من قِبل شركتي Feitian و Yubico ، مما يعني أن هذه الرموز معرضة للاختراق أيضًا. ^{[ 12 ] [ 15 ]} تم الإبلاغ عن الثغرة الأمنية بشكل مسؤول إلى الشركات المصنّعة المتضررة ليتم إصلاحها في المنتجات المستقبلية. ^{[ 12 ] [ 13 ] [ 14 ]}

تدعم متصفحات جوجل كروم منذ الإصدار 38، ^{[ 2 ]} وفايرفوكس منذ الإصدار 57، ^{[ 16 ]} وأوبرا منذ الإصدار 40 ، مفاتيح أمان U2F. ويمكن استخدام هذه المفاتيح كطريقة إضافية للتحقق بخطوتين على الخدمات الإلكترونية التي تدعم بروتوكول U2F، بما في ذلك جوجل، ^{[ 2 ]} وأزور ، ^{[ 17 ]} ودروب بوكس ، ^{[ 18 ]} وجيت هاب ، ^{[ 19 ]} وجيت لاب ، ^{[ 20 ]} وبيت باكيت ، ^{[ 21 ]} ونكست كلاود ، ^{[ 22 ]} وفيسبوك ، ^{[ 23 ]} وغيرها. ^{[ 24 ]}

كانت متصفحات كروم، وفايرفوكس ، وأوبرا، اعتبارًا من عام 2015المتصفحات الوحيدة التي تدعم بروتوكول U2F بشكل أصلي. فعّلت مايكروسوفت دعم FIDO 2.0 لمنصة تسجيل الدخول Windows Hello في نظام التشغيل Windows 10. ^{[ 25 ]} حصل متصفح Microsoft Edge ^{[ 26 ]} على دعم U2F في تحديث Windows لشهر أكتوبر 2018. لا تزال حسابات مايكروسوفت ، بما في ذلك Office 365 و OneDrive وخدمات مايكروسوفت الأخرى، لا تدعم U2F. أدمجت موزيلا هذه الميزة في Firefox 57، وفعّلتها افتراضيًا في Firefox 60 ^{[ 27 ] [ 28 ] [ 29 ] [ 30 ]} و Thunderbird 60. ^{[ 31 ]} يدعم Microsoft Edge بروتوكول FIDO2 بدءًا من الإصدار 17723. ^{[ 32 ]} اعتبارًا من iOS وiPadOS 13.3، تدعم Apple الآن U2F في متصفح Safari على هذه الأنظمة.

خضع معيار U2F لمراجعتين رئيسيتين:

•  المعيار المقترح U2F 1.0 (  9 أكتوبر 2014) ^{[ 33 ]}
•  المعيار المقترح U2F 1.2 (  11 أبريل 2017) ^{[ 34 ]}

يمكن الحصول على وثائق المواصفات الإضافية من موقع FIDO الإلكتروني. ^{[ 35 ]}

كان معيار U2F  1.0 المقترح (  9 أكتوبر 2014) نقطة انطلاق لمواصفات قصيرة الأجل عُرفت باسم  معيار FIDO 2.0 المقترح (  4 سبتمبر 2015). وقُدِّم هذا الأخير رسميًا إلى اتحاد شبكة الويب العالمية (W3C) في  12 نوفمبر 2015. ^{[ 36 ]} لاحقًا، نُشرت المسودة الأولى لمعيار W3C لمصادقة الويب ( WebAuthn  ) في 31 مايو 2016. وقد نُقِّح معيار WebAuthn عدة مرات منذ ذلك الحين، ليصبح توصية من W3C في  4 مارس 2019.

وفي الوقت نفسه، أصبح معيار U2F  1.2 المقترح (  11 أبريل 2017) نقطة البداية لمعيار بروتوكول العميل إلى المصادق (CTAP) المقترح، والذي تم نشره في  27 سبتمبر 2017. يكمل FIDO CTAP بروتوكول W3C WebAuthn، وكلاهما ضمن نطاق مشروع FIDO2 .

يُوفر كلٌ من WebAuthn وCTAP بديلاً كاملاً لبروتوكول U2F، الذي أُعيدت تسميته إلى "CTAP1" في أحدث إصدار من معيار FIDO2. ^{[ 37 ]} يتوافق بروتوكول WebAuthn مع الإصدارات السابقة (عبر امتداد AppID) مع مفاتيح الأمان الخاصة ببروتوكول U2F فقط ^{[ 38 ]} ، لكن بروتوكول U2F غير متوافق مع مُصادقات WebAuthn فقط . ^{[ 39 ] [ 37 ]} تدعم بعض المُصادقات كلاً من U2F وWebAuthn، بينما تدعم بعض عملاء WebAuthn المفاتيح المُنشأة عبر واجهة برمجة تطبيقات U2F القديمة.