A legfontosabb elvitelek
- A FIDO Szövetség közzétett egy tanulmányt, amelyben elemzi azokat a hiányosságokat, amelyek megakadályozzák a jelszó nélküli hitelesítési szabvány általánossá válását.
- A jelszó nélküli hitelesítési mechanizmusok nem cserélték ki a jelszavakat, mert azok kényelmetlenek – javasolja a tanulmány.
-
Az okostelefonok barangolási biztonsági kulcsként való használatát javasolja.
Az erős jelszavak létrehozása és kezelése kényelmetlen, de további lépések és eszközök hozzáadása a hitelesítési folyamathoz még nagyobb fejtörést okoz.
Ezt a következtetést vonja le a Fast ID Online Alliance (FIDO) fehér könyve, amely a használhatósági problémákat okolja, amiért megakadályozzák a jelszó nélküli hitelesítési mechanizmusok általánossá válását. A szövetség azonban megoldást talált arra, hogy egyszer és mindenkorra megoldja a problémát, és a FIDO hitelesítési szabványt olyan általánossá tegye, mint a jelszavakat.
"A FIDO minden kezdeti várakozást felülmúlt" - mondta Bill Leddy, a LoginID termékért felelős alelnöke a Lifewire-nek e-mailben, miután elolvasta a tanulmányt. "[Ez] nagyon közel áll az összes hitelesítési [probléma] megoldásához, de egy kicsit több kell."
Jelszavak törlése
Leddy úgy véli, hogy a jelszavak túlélték használatukat. A biztonsági ipart hibáztatja az emberek kudarcáért azáltal, hogy túlságosan sokáig erőlteti a gyenge lehetőségeket.
"A jelszavak már 60 évesek, de továbbra is az elsődleges hitelesítési lehetőség marad a legtöbb fióknál. A fogyasztóknak sok különböző fiókjuk van, és elvárás, hogy mindegyikhez egyedi jelszót emlékezzenek. Ez nem praktikus megoldás" - szögezte le Leddy. Hozzátette, hogy a mai interneten, ahol a webhelyek könnyen klónozhatók, a biztonsági ipar feladata, hogy megfelelő eszközökkel ruházza fel az embereket a fiókok feltörésének megelőzésére.
A FIDO Alliance, egy nyílt iparági szövetség, amelyet azért hoztak létre, hogy csökkentsék a jelszavaktól való függőséget, már körülbelül egy évtizede dolgozik a problémán. Létrehozta a FIDO hitelesítési szabványt, amely nem tudott érvényesülni. A fehér könyvben a szövetség úgy gondolja, hogy végre azonosította a rejtvény hiányzó darabját, és felvázolta a leküzdésére szolgáló stratégiát is.
A szövetség szerint a FIDO jelenlegi jelszó nélküli hitelesítési mechanizmusa olyan használhatósági problémákkal rendelkezik, amelyek miatt nem sikerült széles körben elterjednie.
"[A fogyasztói térben] korlátozott elterjedtség figyelhető meg a fizikai biztonsági kulcsok (vásárlás, regisztráció, szállítás, visszaállítás) kellemetlenségei és a platformhitelesítőkkel kapcsolatos kihívások miatt (pl.pl. minden új eszközt újra kell regisztrálni; nincs egyszerű módja az elveszett vagy ellopott eszközök helyreállításának), mint második tényező” – jegyezte meg a lap.
A problémák megoldása érdekében a tanulmány arra szólít fel, hogy okostelefonjainkat roaming hitelesítőként vagy hordozható biztonsági kulcsként használjuk.
A felhasználó barangolási hitelesítő eszköze nagyszerű felhasználói élményt nyújt, és sokkal biztonságosabb, mint a jelszavak egy félig megbízható eszközön, ha helyesen teszik. Mivel az új okostelefonok natívan támogatják a FIDO-t, és a fogyasztók ritkán vannak távol telefonjuktól, jó lehetőség – értett egyet Leddy.
Az út előre
A tanulmány azonban azt sugallja, hogy ahhoz, hogy az okostelefonok sikeresek legyenek hordozható biztonsági kulcsokként, a FIDO-nak olyan zökkenőmentes folyamatot kell kidolgoznia, amellyel az emberek hozzáadhatják mobileszközeiket, vagy válthatnak közöttük.
Azzal érvel, hogy ha az alapvető feladatok, például egy új telefon beállítása vagy az új telefonra váltás folyamata nem egyszerű, akkor az emberek valószínűleg elvetik az egész ötletet, mint kényelmetlenséget. Ennek elkerülése érdekében a cikk egy új technika bevezetését javasolja, amelyet többeszközös FIDO hitelesítő adatoknak vagy "jelszóknak" neveznek.
"A több eszközre vonatkozó "jelszó" hitelesítési adatok egy régóta fennálló kérdésre adnak választ a FIDO-val kapcsolatban. A kérdés az volt, hogyan válthatok új eszközre, ha 50 domain-specifikus hitelesítő adatot regisztráltam a régi eszközömön, majd újat kapok. Senki sem akarja 50 különböző szolgáltatás fiók-helyreállítását az új FIDO hitelesítő adatok újrakötése érdekében" - magyarázta Leddy.
A FIDO kijelenti, hogy a jelkulcsok segítenek elkerülni ezt a helyzetet, mivel biztosítják, hogy amikor egyik eszközről a másikra váltunk, a FIDO hitelesítő adataink már ott várnak ránk. Természetesen a cikk koncepcionális, és Leddy szerint egy ilyen mechanizmust könnyebb javasolni, mint megvalósítani.
"Sajnálatos lenne, ha a jelszó-megoldások gyártóspecifikusak lennének, így a fogyasztó nem tud váltani az eszközgyártók vagy akár egy heterogén (MacBook és Android telefon) eszközkészlet között" - figyelmeztetett Leddy.
Azonban bízik abban, hogy a FIDO szövetség, amely tagjai közé olyan nehézsúlyúakat számlál, mint az Apple, a Meta, a Google, a PayPal, a Wells Fargo, az American Express és a Bank of America, olyan megoldásokkal fog előállni, amelyek t csak univerzális, de a támadásokkal szemben is alaposan ellenőrzött.
A FIDO úgy véli, hogy a többeszközös FIDO hitelesítő adatai lesznek az utolsó szög a jelszavak koporsójába. "Az új képességek bevezetésével azt reméljük, hogy a webhelyek és alkalmazások teljes körű, valóban jelszó nélküli lehetőséget kínálnak; nincs szükség jelszavakra vagy egyszeri jelszavakra (OTP)" - mondta a szövetség.
