A webes konzorcium és a Fido Szövetség bejelenti a WebAuthn-ot: Mit jelent ez?

Új online fiók létrehozásakor rendszerint nem számol be annyi lehetőségből. Nyilvánvalóan létre kell hoznia egy jelszót, és a legtöbb ember számára ez azt jelenti, hogy lemegy a két út egyikéről - egy egyszerű, könnyen megjegyezhető és/vagy újrafelhasznált jelszó, amely a számlákat veszélyezteti; vagy egy hosszú, nehezen kitalálható jelszó, ami gépelési kellemetlenség és emlékezetes fájdalom. Magától értetődik, hogy mindkét lehetőség nem pontosan ideális. Tehát van valami, amely megváltoztathatja a dolgok jelenlegi helyzetét? Nos, van, és valószínűleg valahova megy.

WebAuthn - a jelszó nélküli alternatíva

A WebAuthn, rövidítve a web-hitelesítéshez, nem védett szabvány, amely megkönnyíti a webhelyek és a biztonsági eszköz közötti kommunikációt. Két online konzorcium, a World Wide Web Consortium (WC3) és a FIDO Alliance dolgozik rajta az elmúlt években, ám a koncepció visszavezetheti a FIDO Alliance Universal Authentication Factor (UAF) API-t 2014-től.

A WebAuthn és az UAF célja, hogy új, biztonságos módot biztosítson az online fiókokba történő bejelentkezéshez anélkül, hogy bármilyen jelszót meg kellene emlékeztetnie vagy beírnia. Különböző bonyolult okok miatt az UAF nem tett benyomást mindennapi életünkbe, de úgy tűnik, hogy a WebAuthn csak más lehet.

Hétfőn a WC3 és a FIDO bejelentette, hogy a WebAuthn ma hivatalos webes szabvány. Egyszerűen fogalmazva, ez azt jelenti, hogy a szakértők elég magabiztosak, hogy elkezdjenek tanácsot a web- és alkalmazásfejlesztőknek, hogy beépítsék termékeikbe. Annak megértése érdekében, hogy mindez miként fog hatni mindannyiunkra, át kell vetnünk a WebAuthn működését.

Hogyan működik a WebAuthn?

A felhasználó szempontjából a dolgok meglehetősen egyszerűek. Az ötlet az, hogy a felhasználónév és a jelszó beírása helyett vagy a számítógépen vagy az okostelefonon használt biometrikus hitelesítési mechanizmusokat használ, vagy pedig hardver tokent használ, amelyet hordozhat egy kulcstartón, és USB, NFC, Bluetooth, vagy hasonló kommunikációs protokoll. Egyáltalán nincsenek bejelentkezési hitelesítő adatok, ami vonzó koncepciónak hangzik. De mi van a biztonsági szemponttal?

Noha a folyamat egyszerű ennek ellenére, a színfalak mögött a WebAuthn bejelentkezés meglehetősen összetett művelet. Ez mind a nyilvános kulcs (más néven aszimmetrikus) kriptográfián alapul, ami azt jelenti, hogy két kulcs van szó - egy nyilvános és egy magán kulcs. Fiókjai mindegyike kap egy kriptográfiai kulcsot, amelyet a számítógép vagy a hardver token regisztrációkor generál. A nyilvános kulcsot elküldjük a szolgáltatónak, a magán kulcsot pedig a készüléken tároljuk. Amikor belépni próbál, a szolgáltató olyan kihívást küld, amelyet az eszköz aláír és titkosít a magánkulcsával. A kihívás visszafejtéséhez és az aláírás megtekintéséhez az egyetlen módja a nyilvános kulcs, amellyel a szolgáltató tudja, hogy Ön vagy, aki azt mondja.

Ennek a rendszernek nem csupán néhány biztonsági előnye van. Mindenekelőtt a bejelentkezéshez két kulcsra van szükség, amelyeket két különböző helyre kell tárolni. Még ha a csalóknak is sikerül ellopniuk vagy elfogniuk a nyilvános kulcsot, akkor semmi esetre sem tudnak bejelentkezni a magántulajdonos nélkül, amely - amint emlékszel rá - soha nem hagyja el készülékét.

Mi több, ellentétben a jelszavak, a titkosító kulcsok nem lehet kitalálni töltve, újra felhasználható vagy phished. Más szavakkal: a legtöbb jelszóval működő támadás nem hatékony a WebAuthn séma ellen.

Az új webes szabvány figyelemre méltó, mivel a technológiai innováció azon kevés példájának egyike, amely nemcsak javítja a használhatóságot, hanem a jobb biztonságot is eredményezi.

Tehát a jelszó halott, ugye?

Noha minden bizonnyal várnunk kell, úgy gondoljuk, hogy a jelszó elvesztése még mindig messze van. Kevés kétség merül fel a tekintetben, hogy a WebAuthn mögött meghúzódó technológia megalapozott-e, ám még mindig vannak akadályok, amelyeket le kell küzdenünk.

Az egyik a WebAuthn egy webes szabvány, és bármi ostoba, mint amilyennek hangzik, a "standard" szó klasszikus értelemben egy kicsit tabu az online világban. Vegyünk például jelszavakat. Régóta használtuk őket elsődleges bejelentkezési mechanizmusunkként, de még most is, évtizedekkel az első megjelenésük után, még mindig nem tudunk megegyezni abban, hogy mi és mi nem egy erős jelszó. Ugyanúgy, a nyilvánvaló előnyök ellenére, úgy tűnik, hogy a szállítók nem ugyanazon az oldalon vannak, amikor a WebAuthn gyors végrehajtásának kérdése van.

A Google Chrome volt az első böngésző, amely támogatta a WebAuthn-t, de csak néhány hónappal később telepítette a Firefox, az iparág másik nagy neve. A Microsoft kedvező időben beépítette a WebAuthn-t az Edge-be, és az Apple továbbra is kísérletezi a Safari támogatását. A helyzet nem sokban különbözik a mobil környezetben. A múlt héten a FIDO bejelentette, hogy hamarosan az összes Android 7.0 vagy újabb verziót futtató telefon és táblagép FIDO-tanúsítvánnyal rendelkezik. A WebAuthn a FIDO2 protokoll középpontjában, vagyis ezek az eszközök hatékonyan támogatják a jelszó nélküli bejelentkezést. Sajnos még nem találtunk információt arról, hogy a szabvány mikor kerül beépítésre az Apple iOS rendszerébe. És még akkor is, ha minden eladó elfogadja a WebAuthn-ot az újabb készülékekért, akkor nem hagyhatja figyelmen kívül a régóta maradó rendszerek hegyeit.

Természetesen, miután a hardvergyártók elfogadták, a webhely- és alkalmazásfejlesztőknek mind be kell építeniük bejelentkezési mechanizmusként. Más szóval, a WebAuthn valószínűleg nem hamarosan cserélje ki teljesen a jelszót. Mindaddig, amíg meg nem történik, ellenőriznie kell, hogy fiókjait a lehető legjobban védik.

A jelszókezelő alkalmazás, például a Cyclonis Password Manager használata a legjobb módszer erre. Ezzel hosszú, összetett jelszavakat hozhat létre anélkül, hogy meg kellene aggódnia, hogy emlékezzen rájuk. Napjainkban az agyadra támaszkodás egyszerűen nem jó ötlet, és a legjobb dolog, ha a Cyclonis Password Manager-nek hagyja, hogy minden munkát végezzen az Ön számára, az, hogy a böngésző-kiterjesztés automatikus kitöltése és autologin funkciói további kényelmet nyújtanak..