Bald müssen Sie keine Kennwörter eingeben, wenn Sie ein Android 7-Gerät verwenden. Ist das sicher?

Am Montag gab Google bekannt, dass bald alle Geräte, auf denen Android 7 oder neuer läuft, FIDO-zertifiziert sein werden. Wie Sie in einer Minute erfahren werden, ist dies eine gewaltige Nachricht, aber wir wissen es zu schätzen, dass einige von Ihnen vielleicht etwas verwirrt sind. Deshalb sollten wir wahrscheinlich erklären, was FIDO ist und warum es ist so wichtig

FIDO und das Passwortproblem?

FIDO steht für Fast Identity Online und ist ein Authentifizierungsprotokoll, das von einem Konsortium einiger der weltweit größten Technologieunternehmen entwickelt wurde. Die Idee besteht darin, die Authentifizierung sowohl einfacher als auch sicherer zu machen. Der beste Weg, um zu verstehen, wie das geht, ist ein Vergleich mit dem, was wir momentan haben - dem Benutzernamen- und Passwortsystem.

Das Standardverfahren, wenn Sie sich für einen Onlinedienst anmelden, ist ziemlich einfach. Bei der Registrierung erstellen Sie eine Reihe von Anmeldeinformationen, die der Dienstanbieter empfängt und speichert. Wenn Sie versuchen, sich bei Ihrem Konto anzumelden, geben Sie Ihren Benutzernamen und Ihr Kennwort ein, der Diensteanbieter vergleicht sie mit dem, was in der Datei gespeichert ist, und wenn es eine Übereinstimmung gibt, ist dies erlaubt. Es gibt einige grundlegende Probleme Mechanismus.

Da Ihr Benutzername öffentlich verfügbar ist und häufig mit Ihrer E-Mail übereinstimmt, hängt die Sicherheit Ihres Kontos mehr oder weniger von Ihrem Passwort ab, das, wie wir alle wissen, schwach ist ( und in vielen Fällen auch ist ). Es kann auch sein ( und in vielen Fällen ) wiederverwendet oder fischte , und wir haben nicht einmal die Möglichkeit , das Passwort genannt wird weitergeleitet zwischen dem Client und dem Server oder auf dem Weg Service Provider speichert es . Die Leute, die FIDO entworfen haben, haben erkannt, dass der einzige Weg, um all diese Probleme zu lösen, darin besteht, das Passwort vollständig zu löschen.

Wie funktioniert FIDO?

FIDO nutzt die öffentliche Kryptographie - ein völlig anderer Ansatz. Während des Anmeldeprozesses erstellt Ihr FIDO-Gerät ein Paar kryptografischer Schlüssel - einen öffentlichen, der an den Dienstanbieter gesendet wird, und einen privaten, der auf dem Gerät verbleibt. Der Dienstanbieter sendet eine Herausforderung und Ihr Gerät verwendet Ihren privaten Schlüssel zum Signieren. Die signierte Herausforderung wird an den Anbieter zurückgesendet, der ihn mit Ihrem öffentlichen Schlüssel entschlüsselt und bestätigt, dass Sie sich wirklich am anderen Ende der Leitung befinden.

Dies ist ein etwas komplizierter Prozess, insbesondere wenn Sie nicht mit der Funktionsweise von Kryptografie vertraut sind. Die einfache Folge ist, dass Hacker, die Ihr Konto übernehmen möchten, beide kryptographischen Schlüssel benötigen - den öffentlichen und den privaten. Da sie an zwei verschiedenen Orten gespeichert werden, ist es äußerst schwer, sie zu stehlen. Es ist im Grunde unmöglich, sie zu erraten, und das Design des Protokolls macht es sehr schwierig, Dienstanbieter auszugeben, was auch bedeutet, dass regelmäßige Phishing-Angriffe nicht funktionieren.

Die Implementierung von FIDO in einen Onlinedienst ist so einfach wie das Aktivieren einer API. Dies bedeutet, dass Ihre Privatsphäre weniger davon abhängt, was der Anbieter tut (oder nicht tut). Noch wichtiger ist, dass wir zum ersten Mal seit langem eine scheinbare Alternative zum schwer zu merkenden Passwort haben.

Woher kommt Android?

Google führt ein Update der Google Play Services-Komponente für Android-Geräte mit Version 7.0 oder neuer ein. Wenn Benutzer es erhalten, können sie ihr Mobiltelefon als FIDO-Gerät verwenden.

Dies bedeutet, dass die Anmeldung bei Apps und Diensten, die die FIDO-Authentifizierung unterstützen, nichts anderes erfordert, als den Fingerabdruckscanner Ihres Geräts zu verwenden oder eine PIN oder ein Wischmuster einzugeben. Sie müssen für diese Anwendungen und Websites keine Passwörter eingeben.

Ist das eine gute Nachricht?

Ja, so ist es. Wir sind so daran gewöhnt, unsere Daten mit Passwörtern zu schützen, so dass die Idee, sie abzuschaffen, einige Menschen ein wenig ängstlich machen wird. Wie wir jedoch bereits festgestellt haben, ist die Verwendung kryptografischer Schlüssel anstelle eines gespeicherten Passworts eine viel bessere Lösung Bequemlichkeit und Sicherheit. Sie müssen immer noch einen der Authentifizierungsmechanismen Ihres Geräts verwenden, um sich selbst zu identifizieren. Dies alles geschieht jedoch lokal, was einen potenziellen Angriff viel schwieriger macht. Wir sind uns ziemlich sicher, dass jeder, der jemals ein langes, komplexes Passwort auf einer kleinen Bildschirmtastatur eingeben musste, die Änderung ebenfalls begrüßen wird.

Wo ist der Haken dann?

Die Beteiligung so vieler führender Technologiegiganten bedeutet, dass das Design von FIDO wahrscheinlich sorgfältig durchdacht wurde, aber wir sollten uns nicht mitreißen lassen. Vor einiger Zeit war es gut genug, den Namen Ihres Hundes als Passwort zu verwenden, während dies im Moment nicht der Fall ist. In ähnlicher Weise wird sich die Landschaft wahrscheinlich weiterentwickeln, und je mehr Dienste FIDO einsetzen, desto mehr Menschen werden versuchen, sie anzugreifen. Apropos Adoption, es ist immer noch relativ niedrig.

Einige Dienste haben FIDO-basierte Token als eine der Optionen für die Zwei-Faktor-Authentifizierung (2FA) implementiert, aber bei einigen können Sie das Protokoll als primäre Anmeldemethode verwenden. Tatsache ist, dass es noch relativ neu ist und die Leute nicht genau verstehen, wie sie davon profitieren können. Es gibt noch ein anderes Problem.

Laut Wired werden fast 1 Milliarde Android-Geräte FIDO-zertifiziert sein, was das Protokoll vielen Menschen näher bringt. Wenn Sie jedoch darüber nachdenken, wie viele Telefone und Tablets auf älteren Versionen des mobilen Betriebssystems von Google ausgeführt werden, sind Sie der Meinung, Mal sehen, dass das noch lange nicht genug ist. Wenn Sie mit FIDO beginnen möchten, muss das Protokoll von Smartwatches bis hin zu Desktop-PCs unterstützt werden. Außerdem müssen die Anbieter darüber nachdenken, was sie mit den Bergen der Internet-of-Things-Gadgets tun werden, die weltweit aus den Produktionslinien strömen in einer wirklich erstaunlichen Geschwindigkeit. Mit anderen Worten, FIDO muss so allgegenwärtig sein wie das Passwort. Und das wird wahrscheinlich nicht bald passieren.

Passwörter sollen bleiben, und Sie müssen lernen, sie mit Respekt zu behandeln. Klicken Sie hier , um zu erfahren, wie Ihnen unser Cyclonis Password Manager dabei helfen kann.