U2Fが認証として使用するには不十分なのはなぜですか？
低および中程度のセキュリティアプリケーション（つまり、Webの95％）のコンテキストで、U2Fが唯一の要因になるほど十分ではないのはなぜですか？
私の知る限り、U2Fは「何か持っている」認証要素を非常に安全に実装しています。 1つの要素で十分なWebアプリケーションはたくさんありますが、パスワードの使用に関するすべての問題（再利用、パスワードの記憶など）がまだ残っています。では、認証にU2Fだけを使用することについて、誰も何も言わなかったのはなぜですか？
認証の唯一の方法であるU2Fの問題は次のとおりです。所有しているという理由だけで、U2Fデバイスの正当な所有者であることの確認はありません。 U2Fがすべての認証の唯一の形式である場合、それは、車、家、金庫、セーフティボックス、オフィスのドア/建物、その他すべてのマスターキーが1つあるようなものです。私たちの比喩的な状況では、誰かがあなたからそのマスターキーを盗んだ場合、彼らはあなたの人生のほとんどすべてにアクセスできます。
これで、私の比喩的な "master key"シナリオをパスワードと同じであると見なすかもしれませんが、これが人々がいくつかの異なるパスワードを使用するように勧められている理由です。異なるパスワードを使用することは、いくつかの異なるキーを持っているようなものです。すべてのロックを解除する1つのキーを用意するのではなく、さまざまなキーを用意することをお勧めします。盗まれたキーが1つだけの場合、盗まれたキーは、盗まれたキーが機能するものにしかアクセスできません。 （例えば、泥棒があなたの車の鍵を盗んだ場合、彼/彼女はあなたの車にしかアクセスできません。）これはまだ不愉快な状況ですが、その泥棒があなたが所有するすべてのものにアクセスするよりもはるかに優れています。同様に、人々は異なるパスワードを使用することが推奨されているため、「泥棒」があなたのパスワードの1つを取得した場合、その人は限られた数のアカウントにしかアクセスできません。
U2Fのみを使用することは、本質的に、すべてのWebサイトに1つのパスワードのみを使用し、人生のすべてに1つのキーだけを使用することに相当します。それは合理的でも安全でもありません。したがって、U2Fは、2段階認証構造の2番目の認証形式としてのみ使用する必要があります。
誰かが私のU2Fを盗んだ場合、私が使用したすべてのサイトを覚えてすべてのサイトから取り消すまで、単一の要素としてそれを使用するeveryサイトに自由にアクセスできます。
私のUSBスロットからU2Fデバイスを盗むための労力のレベルは、私のパスワードマネージャーのデータベースを盗むだけでなく、ロックを解除するためのパスワードよりも桁違いです。そしてisが侵害された場合、少なくとも、パスワードをローテーションする必要のあるサイトの信頼できるリストを参照できます。
U2Fトークンを唯一の認証メカニズムとして使用する場合の主な問題は、サーバーがユーザーを識別する方法がないことです。そのため、サーバーは正しい鍵ハンドルを送信できず、署名検証に使用する公開鍵を決定できません