Google przedstawia projekt OpenSK, aby pomóc każdemu zbudować własne klucze bezpieczeństwa dla 2FA

Jeśli interesują Cię najnowsze osiągnięcia w dziedzinie cyberbezpieczeństwa, od dłuższego czasu musisz znać uwierzytelnianie dwuskładnikowe. Z drugiej strony, jeśli jeszcze o tym nie słyszałeś, możesz wypełnić tę lukę, sprawdzając nasz wpis na temat tej metody uwierzytelniania tutaj .

W tym opisie nie zajmiemy się podstawowymi aspektami tej metody uwierzytelniania, ponieważ naszym celem jest przekazanie Ci więcej informacji na temat OpenSK firmy Google oraz tego, w jaki sposób Google zachęca do opracowania otwartego źródła uwierzytelniania dwuskładnikowego za pomocą kluczy bezpieczeństwa. Jest to wyraźnie nowy rozwój w dziedzinie bezpieczeństwa cybernetycznego, ale podsumowując wszystko w jednym zdaniu, możemy powiedzieć, że Google ogłosił implementację klucza bezpieczeństwa open source, która obsługuje standardy FIDO U2F i FIDO2. Brzmi trochę jak po grecku, prawda? Weźmy jeden termin na raz i zobaczmy, o co w tym wszystkim tyle zamieszania.

Co to jest FIDO?

FIDO to stowarzyszenie branżowe utworzone w 2013 roku. Celem stowarzyszenia jest opracowanie standardów uwierzytelniania na różnych platformach. Opracowanie metody uwierzytelniania jest konieczne w celu zmniejszenia zależności od haseł. Wiele firm jest członkami FIDO Alliance. Niektóre z najważniejszych nazwisk to Google, Bank of America, Alibaba Group, Amazon, NTT DoCoMo i inne.

Chodzi o to, że FIDO naprawdę pracuje nad opracowaniem uwierzytelniania dwuskładnikowego za pomocą kluczy bezpieczeństwa . Sojusz tworzy protokoły bezpieczeństwa, które są stosowane przez jego członków. Protokoły te wykorzystują kryptografię klucza publicznego, która może zapewnić silniejsze uwierzytelnianie.

Załóżmy, że firma rejestruje się w usłudze online. Następnie urządzenie użytkownika utworzy nową parę kluczy bezpieczeństwa. Klucz prywatny pozostaje w urządzeniu, a klucz publiczny zostaje zarejestrowany w usłudze online. Tak więc, ilekroć użytkownik ma zamiar uzyskać dostęp do usługi, jego urządzenie udowadnia, że ma klucz prywatny. Istnieje wiele sposobów odblokowania klucza prywatnego. W zależności od metod uwierzytelniania oferowanych przez urządzenie użytkownik może potrzebować przesunąć palcem, wprowadzić kod PIN, użyć rozpoznawania głosu, nacisnąć przycisk lub włożyć sprzętowe urządzenie uwierzytelniające.

Google OpenSK korzysta z jednej z tych metod uwierzytelniania - sprzętowych kluczy bezpieczeństwa. Ponieważ spełnia standardy uwierzytelniania FIDO, projekt typu open source może być wykorzystywany przez wiele stron internetowych. Mówiąc najprościej, każdy może skorzystać z tej samej formy, aby stworzyć swoje unikalne klucze. W jaki sposób Google oczekuje, że ludzie się obejdą?

Nordic Openle Google OpenSK

Aby wdrożyć ten projekt typu open source, Google wybrał nordycki klucz sprzętowy. Co to jest klucz Nordic? Klucz sprzętowy to mały sprzęt, który pomaga połączyć dwa urządzenia. Na przykład prawdopodobnie używasz kluczy USB każdego dnia, aby podłączyć telefon do komputera. A może używasz myszy Bluetooth podłączonej do laptopa za pomocą klucza sprzętowego Bluetooth. Tak czy inaczej klucze sprzętowe często mają dodatkowe funkcje. Dzięki temu mogą łatwo funkcjonować jako tokeny bezpieczeństwa.

Nordic dongle oznacza klucze USB opracowane przez NORDIC Semiconductor. Powodem, dla którego Google OpenSK stosuje te urządzenia, jest to, że nordyckie klucze sprzętowe są przystępne i spełniają kryteria FIDO.

Google OpenSK

Oficjalny post na blogu Google mówi, że pchają tę nową platformę typu open source, ponieważ mają nadzieję, że „ zostaną wykorzystane przez badaczy, producentów kluczy bezpieczeństwa i entuzjastów, aby pomóc w opracowaniu innowacyjnych funkcji i przyspieszeniu przyjęcia klucza bezpieczeństwa”.

Jak działa Google OpenSK? Projekt zapewnia użytkownikom oprogramowanie wewnętrzne, którego mogą użyć do opracowania własnego klucza programisty. W tym celu użytkownicy muszą sflashować oprogramowanie układowe OpenSK na wspomnianym skandynawskim kluczu sprzętowym. Gdyby tego było mało, Google oferuje również niestandardowe etui do druku 3D, które może chronić klucz sprzętowy i ułatwić jego przenoszenie. Według Google, obudowa działa na różnych drukarkach 3D.

Należy jednak zauważyć, że Google OpenSK jest nadal w większości eksperymentalnym projektem badawczym. Tak, możliwe jest utworzenie własnego osobistego klucza uwierzytelniającego FIDO, ale twoje wysiłki rozwojowe są nadal częścią testów i badań, które powinny pomóc wszystkim ulepszyć metody uwierzytelniania w przyszłości.

Podobnie jak nordyckie klucze sprzętowe wybrano ze względu na ich przystępność cenową, język programowania Rust został wybrany dla projektu OpenSK, ponieważ ma silne bezpieczeństwo pamięci, a czyste abstrakcje systemu operacyjnego sprawiają, że jest mniej podatny na różne ataki. Projekt działa na systemie operacyjnym TockOS , który jest przeznaczony do uruchamiania wielu aplikacji na mikrokontrolerach o niskiej pamięci i małej mocy (co jest kluczem bezpieczeństwa sprzętu). Google twierdzi również, że ten system operacyjny pozwala przechowywać aplet klucza bezpieczeństwa, sterowniki i jądro w osobnym kluczu sprzętowym. Zachowanie osobności kluczowych elementów zwiększa ogólne bezpieczeństwo klucza bezpieczeństwa.

Zdajemy sobie sprawę z tego, że dla zwykłego użytkownika tworzenie własnych kluczy bezpieczeństwa i wabienie w programowanie może nie być codziennością. Jednak fakt, że Google tworzy projekt typu open source dla czegoś takiego jak uwierzytelnianie dwuskładnikowe, pokazuje, jak ogólnie ważne jest uwierzytelnianie. Dowodzi również, że każdy, kto jest zainteresowany cyberbezpieczeństwem, stara się zapewnić każdemu bezpieczniejsze środowisko.

Ponadto projekt typu open source oznacza, że każdy programista może mieć wkład w to dążenie do bezpiecznego uwierzytelnienia. Jak twierdzi Google w swoim blogu, mają nadzieję, że „ OpenSK z czasem wprowadzi innowacyjne funkcje, silniejsze wbudowane krypto i zachęci do powszechnego przyjmowania zaufanych tokenów odpornych na phishing i sieci bez hasła. ”

Zanim to się stanie, oczywiście nadal jesteśmy mocno zależni od wielu metod uwierzytelniania, w tym haseł, uwierzytelniania dwuskładnikowego i innych. Hasła to słabe ogniwo w łańcuchu uwierzytelniania, które należy traktować poważnie.

To jedna rzecz, którą możesz łatwo zarządzać. Nie wspominając o tym, że istnieje wiele narzędzi, takich jak Cyclonis Password Manager, które mogą pomóc w tworzeniu i przechowywaniu silnych haseł dla wielu kont. Zapomnij o dniach, w których regularnie przetwarzałeś hasła. Dopóki projekty takie jak Google OpenSK nie zapewnią łatwych i niedrogich metod uwierzytelniania bez hasła, poważnym i odpowiedzialnym podejściem do naszych osobistych haseł jest droga.