U2F impedisce il phishing delle password?

No, e non dicono che possono impedire il phishing delle password. Stanno dicendo che il phishing della password da solo non darà l'accesso all'attaccante al tuo account.

Puoi inserire la tua password Gmail nella tua domanda sopra e U2F non la impedirà. Allo stesso modo, un sito di phishing può raccogliere credenziali e U2F non è coinvolto in alcun punto.

L'obiettivo è che per entrare con successo nell'account, è necessario la password e il dispositivo U2F. La password è ancora compromessa, ma l'account è protetto da chiunque non abbia anche il portachiavi fisico.

No, U2F non impedisce il phishing di alcun tipo (password o altro). La resilienza al phishing e agli U2F sono 2 preoccupazioni completamente separate.

Il primo è umano (imparare a identificare ed evitare di essere phishing) e il secondo è tecnico (creare un prodotto più incisivo in caso di compromissione della password).

Essenzialmente, U2F ti offre un ulteriore livello di sicurezza se sei stato colpito con successo. In questo scenario, avere un secondo metodo di autenticazione che non può essere condiviso digitalmente fa sì che, se sono phishing e il tuo nome utente / password / ecc. sono completamente compromessi, l'attaccante non può ancora accedere alla risorsa protetta. Quindi, in questo senso, è certamente destinato a fornire resilienza contro gli effetti del phishing di successo.

Tuttavia, il phishing è un attacco di ingegneria sociale. L'unico modo per impedirlo è rafforzare i controlli umani ("amministrativi"), in modo che le persone siano in grado di evitare di fornire informazioni a fonti non attendibili. L'U2F non ha alcun impatto qui (a parte forse convincere gli umani a dare più importanza alla sicurezza).