Ciò che ti ha dato la tua banca è un token di sicurezza USB con un certificato digitale ( come questi). Questi sono dispositivi hardware standardizzati che quasi tutti i sistemi operativi supportano plug&play out of the box. Sono molto comuni per l'implementazione dell'autenticazione a più fattori in sistemi ad alta sicurezza nell'IT aziendale.

Il tuo browser web utilizza HTTPS con certificati basati su client per accedere al sito web della tua banca. Utilizza l'archivio dei certificati del sistema operativo per trovare un certificato installato che corrisponda all'identità richiesta dal server web. Quando è installato un token di sicurezza USB standard, il sistema operativo cercherà anche eventuali certificati sul token.

Il sistema operativo non può eseguire da solo il processo di verifica con il webserver, perché il token non permette di leggere direttamente la chiave privata dei certificati memorizzati su di esso. Il token include l'hardware per eseguire la verifica. Quindi la chiave privata non lascia mai la chiavetta USB. Ciò significa che anche se il tuo PC è compromesso da malware, la chiave privata del certificato non corre il rischio di essere rubata (ma tieni presente che questo metodo non fornisce alcuna protezione dopo che l'autenticazione ha avuto esito positivo. Il malware può ancora rovinare con il tuo browser web).

A proposito: quale banca è quella? Se la mia banca supportasse anche questo metodo di autenticazione, potrei persino iniziare a fare servizi bancari online.

Un modo in cui potrebbe funzionare è che Chrome supporta FIDO U2F senza plug-in. Dato che ora Chrome è ora il browser più popolare e che Chrome funziona su Windows, Mac e Linux, non è del tutto errato affermare che "funziona su qualsiasi dispositivo dotato di porta USB, Windows, Mac, Linux e altro, e lavorare fuori dagli schemi ".

Hanno affermato che funziona con qualsiasi browser o solo con qualsiasi sistema operativo?

.... non richiedono all'utente di installare alcun software sulla macchina .... Ho pensato che la capacità di una pagina web di navigare liberamente nel file system senza l'intervento dell'utente è troppo comunemente limitata da default

Sì, questo non dovrebbe assolutamente essere possibile senza i driver della smartcard. Questo è un meccanismo di sicurezza fondamentale di qualsiasi browser. Ciò che dà il clou che il certificato viene letto senza fare clic su un "file aperto" finestra di dialogo, una finestra di dialogo Java o la preinstallazione dei driver? Hai detto di aver scelto un'altra opzione di verifica.

Sembra la chiave USB utilizzata, ad esempio, dalla Bank Of China. Tale tecnologia è descritta qui.

era compatibile con "qualsiasi dispositivo dotato di porta USB"

Avendo un certificato PKCS # 11 o un # 12 da combinare con una passphrase funzionerà su tutti i sistemi operativi. Questo è lo stesso modo in cui i gestori di password come keepass funzionano, combinando qualcosa che conosci con qualcosa che devi ottenere per ottenere 2 fattori di autenticazione.

Probabilmente è solo un lettore di smartcard USB, con una smartcard di dimensioni SIM inserita.

L'installazione manuale dei driver non è necessaria poiché almeno i driver generici sia per il lettore che per la scheda sono già installati nella maggior parte dei sistemi operativi moderni.

Vedere l'immagine seguente per esempio di tale dispositivo:

C'è un certificato con chiave privata memorizzato su quella smart card SIM all'interno del lettore. Quando lo colleghi al computer, il certificato dalla smartcard viene caricato nell'archivio certificati del sistema operativo. Da lì in poi si comporta fondamentalmente come qualsiasi altro certificato salvato sul computer e può essere utilizzato per accedere a risorse protette, firmare documenti / posta, crittografare cose, ecc.

Questo in particolare è rilasciato da Cert Autorità di cui si fidano la mia banca (web banking) e lo Stato (da me utilizzata principalmente per cose relative all'IRS e per la richiesta di documenti reali).

È molto probabile che sia un dispositivo che finge di essere una tastiera ed è quindi riconosciuto da qualsiasi sistema operativo senza richiedere driver speciali. Internamente, probabilmente userebbe HOTP (o TOTP, se avesse un chip RTC e una batteria) e "digiti" semplicemente l'OTP ogni volta che viene premuto il pulsante, come un Yubikey o un dispositivo U2F simile.

Il browser non parla né sa che l'USB è presente; istruisce semplicemente l'utente a premere un pulsante fisico sul dispositivo (per dire al dispositivo di "digitare" il codice, poiché il browser stesso non può parlare con esso) e quindi interpreta qualsiasi sequenza di tasti (fino alla lunghezza del codice) riceve come proveniente dal dispositivo.

Suona come un'idea teorica che ho avuto circa dieci anni fa.

Quasi tutti i sistemi operativi supportano dispositivi di rete USB. La tua chiavetta USB potrebbe fingere di essere una scheda di rete, collegata a una rete locale, con un server web anche su quella rete. Anche quel server web può avere certificati HTTPS.

Il tuo browser web può effettuare richieste HTTPS a quel server web e scoprire che la chiavetta USB e il sito web della banca si fidano l'uno dell'altro. Questa non è considerata un'evasione sandbox, perché né il browser né il sistema operativo sanno che il server web è effettivamente sulla chiavetta USB.

Avviso IP: per quanto ne so, il mio ex datore di lavoro detiene un brevetto su questa idea nella maggior parte delle giurisdizioni. Contatta un consulente in brevetti prima di copiare questa idea.

Come menzionato in alcune delle altre risposte, questo è molto probabilmente un token di sicurezza USB. Pensalo come un lettore di smart card + smart card incorporata (e talvolta sono effettivamente implementate in questo modo). Pensa alla carta CAC utilizzata dalle organizzazioni di difesa statunitensi. Pensa alla scheda PGP. Alcuni modelli Yubikey supportano anche la funzione di smart card.

Questo tipo di dispositivi è ampiamente utilizzato dalle banche in Cina per proteggere il loro sito web di banking online / software client desktop e la mia risposta si basa principalmente sulla mia esperienza personale utilizzando questi token in Cina.

Come lo usi?

Quando ti registri per l'online banking e opti per un token USB, la banca ti dà il token, crea un pubblico / coppia di chiavi private e il certificato personale e caricarli nel token. Si imposta una password sul token, che è separata dalla password di accesso al banking online.

Si installa il driver fornito dalla banca sul personal computer, si collega il token e si naviga nel sito web della banca. Ogni volta che accedi o esegui un'operazione sensibile (trasferimento di fondi, modifica delle informazioni di contatto, autorizzazione dell'acquisto online, ecc.), Il browser / sistema operativo richiede la password del token, la spia sul token lampeggia per alcuni secondi e la transazione va a buon fine.

Aspetta, devo installare i driver?

Sì. Il sistema operativo Windows ha un'interfaccia smart card standard, ma ogni modello di token USB richiede comunque un driver. Molto raramente, Windows Update installerà i driver corretti per te, ma nella maggior parte dei casi dovrai scaricare un pacchetto dal sito Web della banca.

Spesso l'unico sistema operativo supportato è Windows e l'unico browser supportato è IE. (A loro piacciono alcuni ActiveX.) È certamente possibile in generale che smart card / token USB supportino altri SO / browser, vedere la scheda CAC sopra; devi verificare la compatibilità con la tua banca.

Quindi come ti autentica?

Il browser chiede al sistema operativo di chiedere al token di firmare una piccola porzione di dati (forse i dettagli della transazione). Il token lo firma, utilizzando la tua chiave privata e il tuo certificato. Il browser invia la firma alla banca. La banca verifica la firma ed è soddisfatta che solo il token che ti hanno fornito abbia la chiave privata per produrre questa firma.

La chiave privata non lascia mai il token. Se progettato correttamente, il token non dovrebbe mai divulgare la chiave privata.

Prima di tutto, lasciatemi affermare che sono piuttosto scettico riguardo all'affermazione di un dipendente non tecnico secondo cui funziona su "qualsiasi dispositivo dotato di porta USB", indipendentemente dal browser o dal sistema operativo. Non sarei sorpreso se il sistema operativo supportato risultasse essere solo un paio di versioni di Windows (e, forse, MacOS). Tuttavia, è interessante pensare a come potrebbe funzionare un dispositivo del genere.

La maggior parte delle soluzioni che non richiedono driver, come la proposta di André Borie di una tastiera usb, richiederebbero però qualche interfaccia extra (come un pulsante hardware).

Tuttavia, il post dell'utente2720406 mi ha dato un'idea per un dispositivo che potrebbe effettivamente funzionare [in determinati luoghi] ​​per qualsiasi dispositivo [acceso] dotato di una porta USB:

il dispositivo USB conterrebbe semplicemente una scheda SIM, utilizzandola per accedere a Internet da sola tramite GPRS / 3G. Quindi il dispositivo invierà semplicemente messaggi firmati digitalmente di «Il cliente con il token 12312121 sta usando l'online banking». La sessione online non è consentita a meno che non ne sia stata ricevuta una negli ultimi 5 minuti (più forse altri fattori, come l'IP del cliente che ha una geolocalizzazione simile all'IP del dispositivo). Pertanto, la porta USB verrebbe utilizzata solo per l'alimentazione e il dispositivo sarebbe completamente indipendente da ciò che è installato sul computer.

Sembra uno Yubikey. Sono ben conosciuti e funzionano alla grande. https://www.yubico.com/products/yubikey-hardware/yubikey4/

• Riguardo alla mancanza di driver: il Yubikey si identifica come una tastiera in modo che qualsiasi macchina con un driver della tastiera possa leggere l'output di testo da essa.
• Come funziona: premi il pulsante e Yubikey emette una chiave pubblica (da una chiave privata sicura incorporata nel dispositivo). La banca può quindi autenticarti e confermare che hai la cosa che conosci (la tua password) e la cosa che hai (la tua chiave privata fisicamente protetta).

• Perché è sicuro: non è possibile per il software sul tuo computer per accedere alla tua chiave privata in modo che il malware non possa copiare la chiave e fingere di essere te. Dovrebbe essere fisicamente rubato da te. (il che è possibile, ma è per questo che lo abbini a qualcosa che conosci)

• Chi li usa e perché: Google ha contribuito a progettare lo yubikey in modo che potessero risolvere il problema del malware su un computer che acquisisce le credenziali locali mentre l'utente non era presente. Ogni ingegnere di Google ne ha uno. Li uso da anni e ho implementato numerose soluzioni 2fa attorno a loro.