Google introduceert het OpenSK-project om iedereen te helpen bij het bouwen van hun eigen beveiligingssleutels voor 2FA

Als u geïnteresseerd bent in de nieuwste ontwikkelingen op het gebied van cyberbeveiliging, moet u al geruime tijd bekend zijn met tweefactorauthenticatie. Aan de andere kant, als je er nog niet van hebt gehoord, kun je die leemte opvullen door ons artikel over deze authenticatiemethode hier te bekijken .

We gaan de fundamentele aspecten van deze authenticatiemethode in deze beschrijving niet behandelen, omdat het ons doel is om u meer te vertellen over Google's OpenSK en hoe Google open-source ontwikkeling van tweefactorauthenticatie met beveiligingssleutels aanmoedigt. Dit is duidelijk een nieuwe ontwikkeling op het gebied van cyberveiligheid, maar om het allemaal in één zin samen te vatten, kunnen we zeggen dat Google een open-source implementatie van beveiligingssleutels heeft aangekondigd die de FIDO U2F- en FIDO2-standaarden ondersteunt. Klinkt een beetje Grieks, nietwaar? Laten we één term tegelijk nemen en kijken waar het dan om draait.

Wat is FIDO?

FIDO is een branchevereniging die in 2013 is opgericht. Het doel van de vereniging is het ontwikkelen van authenticatiestandaarden op verschillende platforms. Ontwikkeling van authenticatiemethoden is noodzakelijk om de afhankelijkheid van wachtwoorden te verminderen. Meerdere bedrijven zijn lid van de FIDO Alliance. Enkele van de prominente namen zijn Google, Bank of America, Alibaba Group, Amazon, NTT DoCoMo en anderen.

Het punt van FIDO is dat het echt werkt aan het ontwikkelen van tweefactorauthenticatie met beveiligingssleutels . De alliantie creëert beveiligingsprotocollen die door haar leden worden toegepast. Deze protocollen maken gebruik van cryptografie met openbare sleutels die een sterkere authenticatie kunnen bieden.

Stel dat een bedrijf zich aanmeldt voor een online dienst. Het apparaat van de gebruiker maakt vervolgens een nieuw paar beveiligingssleutels. De privésleutel blijft bij het apparaat en de openbare sleutel wordt geregistreerd bij de online service. Dus wanneer de gebruiker op het punt staat toegang te krijgen tot de service, bewijst zijn apparaat dat het de privésleutel heeft. Er zijn meerdere manieren om de privésleutel te ontgrendelen. Afhankelijk van de verificatiemethoden die het apparaat kan bieden, moet de gebruiker mogelijk met zijn vinger vegen, een pincode invoeren, spraakherkenning gebruiken, op een knop drukken of een hardwareverificatieapparaat plaatsen.

Google OpenSK maakt gebruik van een van die verificatiemethoden: de hardwarebeveiligingssleutels. Omdat het voldoet aan de FIDO-authenticatienormen, kan het open-sourceproject door meerdere websites worden gebruikt. Simpel gezegd, iedereen kan dezelfde mal gebruiken om zijn unieke sleutels te maken. Hoe verwacht Google nu dat mensen er omheen gaan?

Google OpenSK's Nordic Dongle

Om dit open-sourceproject te implementeren, heeft Google gekozen voor een Scandinavische chip-dongle. Wat is een Scandinavische dongle? Welnu, een dongle is een klein stukje hardware waarmee je twee apparaten kunt verbinden. U gebruikt bijvoorbeeld waarschijnlijk elke dag USB-dongles om uw telefoon op uw computer aan te sluiten. Of misschien gebruikt u een Bluetooth-muis die via een Bluetooth-dongle op uw laptop is aangesloten. Hoe dan ook, dongles hebben vaak extra functionaliteiten. Ze kunnen dus gemakkelijk fungeren als beveiligingstokens.

Nordic dongle verwijst naar USB-dongles ontwikkeld door NORDIC Semiconductor. De reden waarom Google OpenSK deze apparaten gebruikt, is dat Nordic dongles betaalbaar zijn en voldoen aan de FIDO-criteria.

Google OpenSK

De officiële blogpost van Google zegt dat ze dit nieuwe open-sourceplatform pushen omdat ze hopen "dat het zal worden gebruikt door onderzoekers, fabrikanten van beveiligingssleutels en enthousiastelingen om innovatieve functies te helpen ontwikkelen en de acceptatie van beveiligingssleutels te versnellen."

Hoe werkt Google OpenSK? Het project geeft gebruikers de firmware die ze kunnen gebruiken om hun eigen ontwikkelaarssleutel te ontwikkelen. Daarvoor moeten gebruikers de OpenSK-firmware flashen op de bovengenoemde Nordic chip-dongle. Als dat nog niet genoeg is, biedt Google ook een op maat gemaakte 3D-printbare hoes die de dongle kan beschermen en gemakkelijk kan dragen. Volgens Google werkt de case op verschillende 3D-printers.

Er moet echter op worden gewezen dat Google OpenSK nog steeds vooral een experimenteel onderzoeksproject is. Ja, het is mogelijk om uw eigen persoonlijke FIDO-authenticatiesleutel te maken, maar uw ontwikkelingsinspanningen maken nog steeds deel uit van testen en onderzoeken die iedereen zouden moeten helpen de authenticatiemethoden in de toekomst te verbeteren.

Net zoals de Scandinavische dongles werden gekozen vanwege hun betaalbaarheid, werd de programmeertaal Rust gekozen voor het OpenSK-project omdat het een sterke geheugenveiligheid heeft en de zuivere OS-abstracties het minder kwetsbaar maken voor verschillende aanvallen. Het project draait op het TockOS- besturingssysteem dat is ontworpen om meerdere applicaties uit te voeren op microcontrollers met een laag geheugen en een laag vermogen (wat een hardwarebeveiligingssleutel is). Google zegt ook dat met dit besturingssysteem de applet voor de beveiligingssleutel, de stuurprogramma's en de kernel binnen de dongle gescheiden kunnen worden gehouden. Door de belangrijkste elementen gescheiden te houden, wordt de algehele veiligheid van een beveiligingssleutel vergroot.

We realiseren ons wel dat voor een gewone gebruiker het maken van hun eigen beveiligingssleutels en deppen bij het programmeren misschien niet alledaags is. Het feit dat Google een open-sourceproject maakt voor zoiets als tweefactorauthenticatie, laat echter zien hoe belangrijk authenticatie in het algemeen is. Het bewijst ook dat iedereen die belang heeft bij cyberbeveiliging, werkt aan een veiligere omgeving voor iedereen.

Een open-sourceproject betekent ook dat elke individuele ontwikkelaar een bijdrage kan leveren aan deze zoektocht naar veilige authenticatie. Zoals Google in hun blogpost beweert, hopen ze dat " OpenSK in de loop van de tijd zal leiden tot innovatieve functies, een sterkere embedded crypto en een wijdverbreide acceptatie van vertrouwde phishing-resistente tokens en een wachtwoordloos web zal aanmoedigen. "

Voordat dat gebeurt, zijn we natuurlijk nog steeds sterk afhankelijk van een mix van authenticatiemethoden, waaronder wachtwoorden, tweefactorauthenticatie en andere. En wachtwoorden zijn die zwakke schakel in de authenticatieketen die je serieus moet nemen.

Het is het enige dat u gemakkelijk zelf kunt beheren. Om nog maar te zwijgen over het feit dat er meerdere tools zijn, zoals Cyclonis Password Manager, die u kunnen helpen bij het maken en opslaan van sterke wachtwoorden voor meerdere accounts. Vergeet de dagen dat u uw wachtwoorden regelmatig recycleerde. Totdat projecten zoals Google OpenSK resulteren in gemakkelijke en betaalbare wachtwoordloze authenticatiemethoden, is een serieuze en verantwoordelijke houding ten opzichte van onze persoonlijke wachtwoorden de juiste keuze.