Η Google παρουσιάζει το πρόγραμμα OpenSK για να βοηθήσει οποιονδήποτε να δημιουργήσει τα δικά του κλειδιά ασφαλείας για το 2FA

Αν ενδιαφέρεστε για τις τελευταίες εξελίξεις στον τομέα της ασφάλειας στον κυβερνοχώρο, πρέπει να έχετε εξοικειωθεί με την αυθεντικοποίηση δύο παραγόντων εδώ και αρκετό καιρό τώρα. Από την άλλη πλευρά, αν δεν το έχετε ακούσει ακόμα, μπορείτε να καλύψουμε αυτό το κενό από τον έλεγχο εισόδου μας σχετικά με αυτή τη μέθοδο ελέγχου ταυτότητας εδώ .

Δεν πρόκειται να καλύψουμε τις βασικές πτυχές αυτής της μεθόδου ελέγχου ταυτότητας σε αυτήν την περιγραφή, επειδή ο στόχος μας είναι να σας πούμε περισσότερα για το OpenSK της Google και πώς η Google ενθαρρύνει την ανάπτυξη ανοικτού κώδικα για τον έλεγχο ταυτότητας δύο παραγόντων με κλειδιά ασφαλείας. Αυτό είναι σαφώς μια νέα εξέλιξη στο τοπίο του κυβερνοχώρου, αλλά για να το συνοψίσουμε σε μια πρόταση, μπορούμε να πούμε ότι η Google ανακοίνωσε μια εφαρμογή κλειδώματος ασφαλείας ανοικτού κώδικα που υποστηρίζει τα πρότυπα FIDO U2F και FIDO2. Ακούγεται λίγο σαν την ελληνική, έτσι δεν είναι; Ας πάρουμε ένα όρο κάθε φορά και να δούμε τι είναι τότε η φασαρία.

Τι είναι το FIDO;

Το FIDO είναι μια βιομηχανική ένωση που ξεκίνησε το 2013. Σκοπός της σύνδεσης είναι η ανάπτυξη προτύπων πιστοποίησης ταυτότητας σε διάφορες πλατφόρμες. Η ανάπτυξη μεθόδου πιστοποίησης είναι απαραίτητη προκειμένου να μειωθεί η εξάρτηση από τους κωδικούς πρόσβασης. Πολλές εταιρείες είναι μέλη της Συμμαχίας FIDO. Μερικά από τα εξέχοντα ονόματα περιλαμβάνουν το Google, η Τράπεζα της Αμερικής, ο όμιλος Alibaba, το Amazon, το NTT DoCoMo και άλλα.

Το σημείο της FIDO είναι ότι λειτουργεί πραγματικά στην ανάπτυξη ταυτότητας δύο παραγόντων με κλειδιά ασφαλείας . Η συμμαχία δημιουργεί πρωτόκολλα ασφάλειας που εφαρμόζονται από τα μέλη της. Αυτά τα πρωτόκολλα χρησιμοποιούν κρυπτογράφηση δημόσιου κλειδιού που μπορεί να προσφέρει ισχυρότερη πιστοποίηση ταυτότητας.

Ας υποθέσουμε ότι μια εταιρεία καταχωρεί μια ηλεκτρονική υπηρεσία. Στη συνέχεια, η συσκευή του χρήστη θα δημιουργήσει ένα νέο ζευγάρι κλειδιών ασφαλείας. Το ιδιωτικό κλειδί παραμένει με τη συσκευή και το δημόσιο κλειδί καταχωρείται στην ηλεκτρονική υπηρεσία. Έτσι, κάθε φορά που ο χρήστης πρόκειται να αποκτήσει πρόσβαση στην υπηρεσία, η συσκευή του αποδεικνύει ότι έχει το ιδιωτικό κλειδί. Υπάρχουν πολλοί τρόποι ξεκλειδώματος του ιδιωτικού κλειδιού. Ανάλογα με τις μεθόδους ελέγχου ταυτότητας που μπορεί να προσφέρει η συσκευή, ενδέχεται να χρειαστεί να περάσει το δάχτυλό σας, να εισάγει έναν κωδικό PIN, να χρησιμοποιήσει τη φωνητική αναγνώριση, να πατήσει ένα κουμπί ή να εισαγάγει μια συσκευή ελέγχου ταυτότητας υλικού.

Το Google OpenSK χρησιμοποιεί μία από αυτές τις μεθόδους ελέγχου ταυτότητας - τα κλειδιά ασφαλείας υλικού. Δεδομένου ότι πληροί τα πρότυπα πιστοποίησης FIDO, το έργο ανοιχτού κώδικα μπορεί να χρησιμοποιηθεί από πολλούς ιστότοπους. Για να το πούμε απλά, ο καθένας μπορεί να χρησιμοποιήσει το ίδιο καλούπι για να δημιουργήσει τα μοναδικά κλειδιά του. Τώρα, πώς περιμένει η Google να περιηγηθεί σε αυτό;

Το Nordic Dongle της Google OpenSK

Για να υλοποιήσει αυτό το έργο ανοιχτού κώδικα, η Google επέλεξε ένα σκανδιναβικό dongle chip. Τι είναι ένα σκανδιναβικό dongle; Λοιπόν, ένα dongle είναι ένα μικρό κομμάτι του υλικού που σας βοηθά να συνδέσετε δύο συσκευές. Για παράδειγμα, πιθανώς να χρησιμοποιείτε dongles USB κάθε μέρα για να συνδέσετε το τηλέφωνό σας στον υπολογιστή σας. Ή ίσως χρησιμοποιείτε ένα ποντίκι Bluetooth που είναι συνδεδεμένο με το φορητό υπολογιστή σας μέσω ενός Bluetooth dongle. Είτε έτσι είτε αλλιώς, dongles συχνά έχουν πρόσθετες λειτουργίες. Έτσι, μπορούν εύκολα να λειτουργήσουν ως μάρκες ασφαλείας.

Το σκανδιναβικό dongle αναφέρεται σε dongles USB που αναπτύχθηκε από τη NORDIC Semiconductor. Ο λόγος για τον οποίο η Google OpenSK χρησιμοποιεί αυτές τις συσκευές είναι ότι τα σκανδιναβικά dongles είναι προσιτά και πληρούν τα κριτήρια FIDO.

Google OpenSK

Η επίσημη δημοσίευση blog από την Google αναφέρει ότι πιέζουν αυτή τη νέα πλατφόρμα ανοιχτού κώδικα επειδή ελπίζουν ότι " θα χρησιμοποιηθούν από ερευνητές, κατασκευαστές κλειδιών ασφαλείας και ενθουσιώδες για να βοηθήσουν στην ανάπτυξη καινοτόμων λειτουργιών και στην επιτάχυνση της υιοθέτησης του κλειδιού ασφαλείας".

Πώς λειτουργεί το Google OpenSK; Το έργο δίνει στους χρήστες το υλικολογισμικό που μπορούν να χρησιμοποιήσουν για να αναπτύξουν το δικό τους κλειδί προγραμματιστή. Για αυτό, οι χρήστες πρέπει να αναβοσβήνουν το firmware OpenSK στο προαναφερθέν σκανδιναβικό dongle chip. Εάν αυτό δεν ήταν αρκετό, η Google προσφέρει επίσης μια προσαρμοσμένη 3D εκτυπώσιμη θήκη που μπορεί να προστατεύσει το dongle και να το κάνει εύκολο να το μεταφέρει. Σύμφωνα με την Google, η υπόθεση λειτουργεί σε μια ποικιλία 3D εκτυπωτών.

Πρέπει να επισημανθεί, ωστόσο, ότι το Google OpenSK εξακολουθεί να είναι ως επί το πλείστον πειραματικό ερευνητικό έργο. Ναι, είναι δυνατό να δημιουργήσετε το δικό σας προσωπικό κλειδί ελέγχου ταυτότητας FIDO, αλλά οι προσπάθειες ανάπτυξης σας εξακολουθούν να αποτελούν μέρος δοκιμών και έρευνας που θα βοηθήσουν τον καθένα να βελτιώσει τις μεθόδους επαλήθευσης ταυτότητας στο μέλλον.

Ακριβώς όπως οι σκανδιναβικές dongles επελέγησαν για την προσιτή τιμή τους, η γλώσσα προγραμματισμού Rust επιλέχθηκε για το έργο OpenSK επειδή έχει ισχυρή ασφάλεια μνήμης και οι καθαρές λειτουργίες του λειτουργικού συστήματος καθιστούν λιγότερο ευάλωτη σε διάφορες επιθέσεις. Το έργο τρέχει στο λειτουργικό σύστημα TockOS που έχει σχεδιαστεί για να εκτελεί πολλαπλές εφαρμογές σε μικροελεγκτές χαμηλής μνήμης και χαμηλής ισχύος (που είναι το κλειδί ασφαλείας υλικού). Επίσης, η Google λέει ότι αυτό το λειτουργικό σύστημα επιτρέπει τη διατήρηση της εφαρμογής του κλειδιού ασφαλείας, των οδηγών και του πυρήνα μέσα στο dongle χωριστά. Η διατήρηση των ξεχωριστών στοιχείων ξεχωριστά αυξάνει τη συνολική ασφάλεια ενός κλειδιού ασφαλείας.

Συνειδητοποιούμε ότι για έναν τακτικό χρήστη, η δημιουργία των δικών του κλειδιών ασφαλείας και η συρρίκνωση του προγραμματισμού μπορεί να μην είναι κάτι καθημερινό. Ωστόσο, το γεγονός ότι η Google δημιουργεί ένα έργο ανοιχτού κώδικα για κάτι σαν έλεγχο ταυτότητας δύο παραγόντων δείχνει πόσο σημαντικό είναι γενικά ο έλεγχος ταυτότητας. Επίσης, αποδεικνύει ότι όλοι που συμμετέχουν στην ασφάλεια στον κυβερνοχώρο εργάζονται για την εξασφάλιση ενός ασφαλέστερου περιβάλλοντος για όλους.

Επίσης, ένα έργο ανοιχτού κώδικα σημαίνει ότι κάθε προγραμματιστής μπορεί να έχει εισροή σε αυτή την αναζήτηση προς ασφαλή έλεγχο ταυτότητας. Όπως ισχυρίζεται η Google στην ανάρτηση του ιστολογίου τους, ελπίζουν ότι "το OpenSK με την πάροδο του χρόνου θα φέρει καινοτόμα χαρακτηριστικά, ισχυρότερη ενσωματωμένη κρυπτογράφηση και θα ενθαρρύνει την ευρεία υιοθέτηση αξιόπιστων μαρκών και ενός κωδικού πρόσβασης χωρίς κωδικό πρόσβασης. "

Πριν συμβεί κάτι τέτοιο, βεβαίως, εξακολουθούμε να βασιζόμαστε σε ένα συνδυασμό μεθόδων ελέγχου ταυτότητας, συμπεριλαμβανομένων κωδικών πρόσβασης, ταυτότητας δύο στοιχείων και άλλων. Και οι κωδικοί πρόσβασης είναι αυτός ο αδύναμος κρίκος στην αλυσίδα ελέγχου ταυτότητας που πρέπει να λάβετε σοβαρά υπόψη.

Είναι το μόνο πράγμα που μπορείτε εύκολα να διαχειριστείτε τον εαυτό σας. Για να μην αναφέρουμε ότι υπάρχουν πολλά εργαλεία όπως το Cyclonis Password Manager που μπορεί να σας βοηθήσει να δημιουργήσετε και να αποθηκεύσετε ισχυρούς κωδικούς πρόσβασης για πολλούς λογαριασμούς. Ξεχάστε τις ημέρες κατά τις οποίες ανακυκλώνετε τους κωδικούς σας σε τακτική βάση. Μέχρις ότου τα έργα όπως το Google OpenSK οδηγήσουν σε εύκολες και προσιτές μεθόδους ελέγχου ταυτότητας χωρίς κωδικό, η σοβαρή και υπεύθυνη στάση απέναντι στους προσωπικούς μας κωδικούς πρόσβασης είναι ο τρόπος να προχωρήσουμε.