FIDO U2F / FIDO UAF中的撤销与再生

Question

使用基于软件的强身份验证应用程序(例如RSA SecurID软件令牌)的好处之一是，如果运行令牌生成应用程序的设备被破坏或丢失，则可以从集中式系统中撤销该ID，并且最终用户提供一个新的ID。

FIDO / FIDO U2F是如何解决这一问题的？用户是否必须单独从他/她所使用的每个服务中撤销FIDO注册，以验证是否使用该FIDO设备？

Answer 1

是的，你必须撤销每项服务。U2F的设计元素之一是，站点X不能以任何方式测试或显示站点Y是否在U2F设备上注册。而且，如果有人在站点X上有两个帐户，则site无法检测到这两个帐户存储在同一个U2F设备上。这样可以确保用户的隐私，这样多个站点就不能在不同的站点上跟踪同一用户。

如果有一个撤销计划，就会向网站揭示这一事实。

没有标准化的撤销和更新方式，但是每个站点都必须根据安全需求实现自己的方案。一种方案是，只使用用户名/密码，就可以撤销U2F设备。为了将新的U2F设备绑定到您的帐户，一种方案可以是一封带有一次代码的物理信函，另一种方案可以是短信和电子邮件相结合。还可以颁发吊销证书。或者即使有两个U2F设备也可以在注册时绑定到同一个帐户，在这个帐户中，第二个U2F设备的使用将禁用第一个设备，然后您必须订购第三个设备(这需要与所讨论的服务一起激活，而这个第三个设备将成为现在激活的第二个设备的备份密钥)。