Ha elmondom neked az e-mail jelszavamat, és a bejelentkezéshez használja, akkor nekem válsz? Természetesen nem. Ami azt mutatja, hogy a személyazonosság hitelesítése jelszóval nevetséges. Sokkal biztonságosabb a hitelesítés egy biztonsági token vagy más fizikai objektum segítségével. Egy millió ember megtanulhatja a jelszavam, de mivel nincsenek biztonsági jelszavam, nem tudnak vele valamit csinálni. Ez a kétfaktoros hitelesítés manapság forró téma, és a FIDO Alliance új kiadása azt sugallja, hogy még forróbb lesz, mivel a csoport U2F (Universal Two-Factor) specifikációja kiterjed a Bluetooth és az NFC-re is.
Univerzális kétfaktoros
A FIDO (Fast IDentity Online) szövetség csaknem három éve működik. Ez egy nagyvállalatok konzorciuma, amelynek elkötelezettsége "olyan specifikációk kidolgozása, amelyek olyan nyílt, méretezhető, interoperábilis mechanizmusokat határoznak meg, amelyek kiszorítják a jelszavakkal való megbízhatóságot az online szolgáltatások felhasználói biztonságos hitelesítéséhez". Számos igazgatósági szintű tagja a Google, a Bank of America, az Intel, a Lenovo és a PayPal, valamint a két tényezővel foglalkozó innovátor, a Yubico. Több száz más technológiai és pénzügyi vállalat tartozik a szövetséghez.
A csoport U2F (Universal Two-Factor) specifikációja lehetővé teszi a tech-vállalatok számára, hogy kétfaktoros megoldásokat hozzanak létre, amelyek kölcsönhatásba lépnek bármely támogató alkalmazással vagy webhellyel. Jelenleg legszembetűnőbb avatára a Biztonsági kulcs, egy apró USB eszköz, amely többek között a Google-fiókjába való bejelentkezés hitelesítésére használható. A Yubico elkészítette a Biztonsági kulcs kialakítását, de más gyártók szabadon építhetnek rá, és más webhelyek és alkalmazások hamarosan megjelennek a fedélzeten.
Óvakodj a súrlódástól
A biztonság és a kényelem között mindig feszültség van. A biztonságos számlák sokkal biztonságosabbak, ha azok eléréséhez a kulcstartónál tárolt biztonsági kulcsra van szükség. De egy idő után unalmasnak tűnhet, ha húzza ki a kulcsot a zsebéből, és beakasztja az USB-portba. Még egy kis súrlódás is a hitelesítési folyamat során a felhasználókat elhagyhatja a két tényezőt.
Az olyan okostelefon-alkalmazások, mint a Google Authenticator, a Twilio Authy és a Duo Mobile lehetővé teszik a hitelesítést a támogató webhelyekkel egy idő-specifikus kód beírásával. De itt ismét súrlódás. Húzza ki a telefonját, és írja be a megjelenített kódot.
Plusz oldalként egy csomó webhely támogatja az okostelefon-alapú hitelesítést. A Telesign mobil személyazonossággal foglalkozó cég nemrégiben létrehozott egy két tényezővel foglalkozó információs weboldalt, amely jóval több mint 100 támogató webhelyet azonosított, és részletes utasításokat tartalmaz arra, hogyan kapcsolhatja be a két tényező hitelesítését mindegyikhez.
De valójában miért kellett beírnia egy kódot? Bárki, aki rendelkezik a biztonsági kulccsal, behelyezheti azt a nyílásba. Nem lehet elegendő a telefon birtoklása a hitelesítéshez? Valójában a Duo Security Duo Push módja lehetővé teszi a hitelesítést egy gomb megérintésével, és Twilio valami hasonlón dolgozik. De ezek mind csak a technológiát bevásárló webhelyeken működnek.
- Twilio Authy Twilio Authy
- A saját személyazonossága az univerzális kéttényezős hitelesítéssel A saját személyazonossága az univerzális kéttényezős hitelesítéssel
- Nincs több kifogás a kétfaktoros hitelesítés használatáért Nincs több kifogás a kétfaktoros hitelesítés használatának elmulasztására
- Duo Mobile Duo Mobile
A nagy hír
A FIDO Szövetség nagy hírje, hogy az U2F specifikációt továbbfejlesztették, hogy támogassa a Bluetooth és az NFC hitelesítést. Ez jelentősen kibővíti a kétfaktoros hitelesítés lehetőségeit. A felhasználók az U2F segítségével hitelesíthetők még olyan eszközökön is, amelyek nem rendelkeznek USB-porttal. A hitelesítés bármilyen okostelefonról, táblagépről vagy más eszközről származhat, amelyet úgy konfiguráltak, hogy kulcsként működjön. A sajtóközlemény szerint ez az új, érintkezés nélküli U2F még "beágyazható hitelkártyába más appletekkel együtt".
Mivel a specifikáció ingyenes és nyitott, bármely webhely vagy alkalmazás hozzáadhat U2F-hitelesítést, és bármilyen hardvergyártó bekapcsolhatja az U2F-eszköz csavarását. Ha az U2F valóban univerzálissá válik, akkor nem szükséges utasítások listája annak engedélyezéséhez az egyes támogató webhelyeken.
Stina Ehrensvärd, a Yubico vezérigazgatója és alapítója régóta evangélista a könnyű két tényezős hitelesítéshez. "A Bluetooth és az NFC támogatása megerősíti a mobil és vezeték nélküli történetet a FIDO U2F hitelesítési protokollja körül" - mondta Ehrensvärd. "Most a végfelhasználók élvezhetik bármelyik eszközükön az U2F erős hitelesítés magas biztonságát, a fiók integritását és a könnyű használatát. A Yubico izgatottan ismeri el a FIDO U2F Bluetooth és NFC protokollok támogatását, valamint az általuk képviselt lehetőségeket a magánélet védelme érdekében, személyes adatok és felhasználói fiókok. " Reméljük, hogy az U2F valóban véget vet a hitelesítéshez szükséges jelszavakkal való mérgező támaszkodásnak.
