فاکتور دوم جهانی

**فاکتور دوم جهانی**  یا **U2F** یک استاندارد باز است که امنیت و سادگی احراز هویت دو عاملی (2FA) را با استفاده از دستگاه‌های مخصوصی که از طریق پورت USB یا ارتباط نزدیک (NFC) ارتباط برقرار می‌کنند، تقویت می‌کند. این دستگاه‌ها از فناوری‌های امنیتی مشابه کارت‌های هوشمند استفاده می‌کنند. این استاندارد توسط پروژه FIDO2 که شامل استاندارد W3C Web Authentication (WebAuthn) و پروتکل Client to Authenticator Protocol 2 (CTAP2) از FIDO Alliance است، جانشین شده است.

در ابتدا این استاندارد توسط گوگل و یوبیکو (Yubico) با همکاری NXP Semiconductors توسعه یافت، اما اکنون به‌طور رسمی تحت حمایت FIDO Alliance قرار دارد.

## مزایا و معایب
رمزهای یک‌بار مصرف مبتنی بر زمان (TOTP)، که معمولاً در اپلیکیشن‌هایی مانند Google Authenticator تولید می‌شوند، به‌عنوان یک بهبود نسبت به روش‌های قدیمی‌تر مانند ارسال کدهای امنیتی از طریق پیامک (SMS)، محبوبیت زیادی پیدا کردند. در این سیستم، کدها به‌طور خودکار هر چند ثانیه تغییر می‌کنند و در نتیجه، امنیت بیشتری را نسبت به کدهایی که ممکن است توسط حملات فیشینگ (Phishing) در معرض خطر قرار گیرند، فراهم می‌کنند. اما با این حال، این روش‌ها هم با برخی از آسیب‌پذیری‌ها همراه بودند.

U2F (فاکتور دوم جهانی) به‌عنوان یک استاندارد امنیتی جدید تلاش کرد تا این آسیب‌پذیری‌ها را برطرف کند. یکی از بزرگ‌ترین مزایای آن این است که دیگر نیازی به وارد کردن دستی کد توسط کاربر نیست، بلکه دستگاه سخت‌افزاری امنیتی (مانند یک کلید USB یا NFC) برای احراز هویت استفاده می‌شود، که این خود از بسیاری از حملات رایج جلوگیری می‌کند.

در حالی که رمزهای یک‌بار مصرف مبتنی بر زمان (TOTP) پیشرفتی چشمگیر نسبت به کدهای امنیتی مبتنی بر SMS به‌شمار می‌رفتند، همچنان تعدادی از آسیب‌پذیری‌های امنیتی وجود داشت که امکان بهره‌برداری از آن‌ها وجود داشت. U2F هدف داشت تا این مشکلات را بهبود بخشد.

### مزایا
* **مقاومت در برابر حملات مرد میانی (MitM):** در روش‌های رمز یک‌بار مصرف زمان‌محور (TOTP) مانند کدهای ۶ رقمی تولید شده در Google Authenticator، اگر کاربر توسط یک وب‌سایت مخرب فریب بخورد، ممکن است این کدها در معرض حملات man-in-the-middle (MITM) قرار بگیرند. در مقایسه، در U2F، پیام‌های چالش و پاسخ به‌طور امن با استفاده از رمزنگاری کلید عمومی ارسال می‌شوند و از تغییر یا باز استفاده جلوگیری می‌شود.
* **روند ساده‌تر احراز هویت:** در TOTP، کاربر باید کد را به‌صورت دستی وارد کند که می‌تواند دچار اشتباه تایپی شود، اما در U2F، فرایند احراز هویت به‌صورت خودکار از طریق USB یا NFC انجام می‌شود و نیازی به تایپ کد نیست.

### معایب
* **عدم امکان پشتیبان‌گیری از کدها:** برخلاف روش‌های TOTP که امکان پشتیبان‌گیری از کدها یا کلیدهای اشتراکی وجود دارد، در U2F هیچ‌گونه پشتیبان‌گیری از کلیدهای خصوصی (که فقط در دستگاه سخت‌افزاری ذخیره می‌شود) امکان‌پذیر نیست. اگر دستگاه U2F گم شود و هیچ کلید سخت‌افزاری دیگری برای پشتیبانی نداشته باشید، بازیابی آن غیرممکن است.

## طراحی
دستگاه‌های USB با استفاده از پروتکل HID (دستگاه‌های رابط انسانی) با کامپیوتر میزبان ارتباط برقرار می‌کنند، به‌طوری که عملکرد آنها شبیه به یک صفحه‌کلید است. این ویژگی موجب می‌شود که کاربر نیازی به نصب درایورهای خاص سخت‌افزاری نداشته باشد و نرم‌افزارهای کاربردی (مانند مرورگرها) بتوانند مستقیماً به ویژگی‌های امنیتی دستگاه دسترسی پیدا کنند.

## آسیب‌پذیری‌ها
یکی از آسیب‌پذیری‌های احتمالی در U2F مربوط به کلیدهای دستگاه است که ممکن است توسط تولیدکنندگان مخرب تکثیر شود. به‌طور خاص، در سال ۲۰۲۰، محققان امنیتی روشی برای استخراج کلیدهای خصوصی از Google Titan Key پیدا کردند. این حمله نیازمند دسترسی فیزیکی به کلید و تجهیزات گران‌قیمت بود و باعث آسیب به جعبه پلاستیکی کلید می‌شد، اما به دلیل دشواری حمله، محققان اعلام کردند که استفاده از این کلیدها هنوز ایمن‌تر از عدم استفاده از آن‌ها است.

## پشتیبانی و استفاده
کلیدهای امنیتی U2F توسط مرورگرهای گوگل کروم از نسخه ۳۸،[۲] فایرفاکس از نسخه ۵۷و Opera از نسخه ۴۰ پشتیبانی می‌شوند. این کلیدها به‌عنوان یک روش اضافی برای احراز هویت دو مرحله‌ای در سرویس‌های آنلاین که از پروتکل U2F پشتیبانی می‌کنند، مانند Google, Azure, Dropbox, GitHub, GitLab, Bitbucket, Nextcloud, Facebook و بسیاری دیگر، قابل استفاده هستند.

تا سال ۲۰۱۵، مرورگرهای گوگل کروم، فایرفاکس و Opera تنها مرورگرهایی بودند که به‌طور بومی از U2F پشتیبانی می‌کردند. مایکروسافت پشتیبانی از FIDO 2.0 را برای پلتفرم ورود Windows Hello در ویندوز ۱۰ فعال کرده است. مرورگر Microsoft Edgeدر به‌روزرسانی ویندوز اکتبر ۲۰۱۸ از U2F پشتیبانی کرد. حساب‌های مایکروسافت، از جمله Office 365، OneDrive و سایر سرویس‌های مایکروسافت، هنوز از U2F پشتیبانی نمی‌کنند. موزیلا این قابلیت را در فایرفاکس ۵۷ ادغام کرده و از نسخه ۶۰ به بعد آن را به‌طور پیش‌فرض فعال کرده است. همچنین، Thunderbird 60نیز از این قابلیت بهره‌مند است. Microsoft Edge از نسخه ساخت ۱۷۷۲۳ به بعد از FIDO2 پشتیبانی می‌کند. از نسخه ۱۳٫۳ سیستم‌عامل‌های iOS و iPadOS، اپل اکنون از U2F در مرورگر Safari این سیستم‌عامل‌ها پشتیبانی می‌کند.

## مشخصات فنی
استاندارد U2F در دو نسخه اصلی به روز رسانی شده است:

* U2F 1.0 Proposed Standard (۹ اکتبر ۲۰۱۴)
* U2F 1.2 Proposed Standard (۱۱ آوریل ۲۰۱۷)

اطلاعات بیشتر را می‌توانید از وب‌سایت رسمی استاندارد FIDO مطالعه کنید.

استاندارد پیشنهادی U2F نسخه ۱٫۰ (۹ اکتبر ۲۰۱۴) نقطه شروع برای مشخصات کوتاه‌مدتی بود که به‌عنوان استاندارد پیشنهادی FIDO 2.0 (۴ سپتامبر ۲۰۱۵) شناخته شد. این مورد به‌طور رسمی در ۱۲ نوامبر ۲۰۱۵ به کنسرسیوم وب جهانی (W3C) ارائه شد. سپس، اولین پیش‌نویس کاری استاندارد W3C Web Authentication (WebAuthn) در ۳۱ مه ۲۰۱۶ منتشر شد. از آن زمان، استاندارد WebAuthn بارها مورد تجدیدنظر قرار گرفته و در ۴ مارس ۲۰۱۹ به عنوان یک توصیه W3C تبدیل شده است.

در همین حال، استاندارد پیشنهادی U2F نسخه ۱٫۲ (۱۱ آوریل ۲۰۱۷) به نقطه شروع برای استاندارد پیشنهادی پروتکل Client to Authenticator (CTAP) تبدیل شد که در ۲۷ سپتامبر ۲۰۱۷ منتشر شد. FIDO CTAP مکمل WebAuthn است و هر دوی این پروتکل‌ها در قالب پروژه FIDO2 قرار دارند.

WebAuthn و CTAP جایگزینی کامل برای U2F ارائه می‌دهند، که در جدیدترین نسخه استاندارد FIDO2 به “CTAP1” تغییر نام داده است. پروتکل WebAuthn به‌طور برگشتی با کلیدهای امنیتی که فقط U2F را پشتیبانی می‌کنند (از طریق پسوند AppID) سازگار است، اما پروتکل U2F با تأییدگرهای فقط WebAuthn سازگار نیست. برخی از تأییدگرها از هر دو U2F و WebAuthn پشتیبانی می‌کنند، در حالی که برخی از مشتریان WebAuthn از کلیدهایی که از طریق API قدیمی U2F ایجاد شده‌اند، پشتیبانی می‌کنند.

## منابع

رده:مقاله‌های ایجادشده توسط ایجادگر
رده:پروتکل‌های اینترنت
رده:استانداردهای اینترنت
رده:پروتکل‌های کنترل دسترسی رایانه
رده:پروتکل‌های توافق کلید