Nej og absolut ikke.Artiklens kontekst er at logge ind på en Google-legitimationsoplysninger med en adgangsnøgle. 'Big 3' og også flere andre tilbyder nøgledeponering og gendannelse, men websteder bruger adgangsnøgler direkte - hvis du bruger en adgangsnøgle med Best Buy, vil de ikke tjekke med Google for eksempel (medmindre du bruger 'sociale logon' af Rute). I den sammenhæng betyder google at slette din konto bare, at hvis din telefon dør, kan tingene blive skæve. De er dybest set en yubikey med en gendannelsesmulighed - så lidt mindre sikre, fordi den private nøgle findes i escrow, som løser 50% af problemet med yubikeys (prisskiltet og app-support er de resterende smerte).Hvert eneste system, der ser ud til at være i stand til at gemme adgangsnøgler, ser ud til at kræve, at du stoler på de tre store (Apple, Google, Microsoft) for ikke at slette din konto uden varsel. I mit tilfælde, hvis Apple sletter min iCloud-konto og nøgleringen, mister jeg adgangen til alt, der er sikret med en adgangsnøgle. Sammenlign det med, hvad der sker lige nu, hvis jeg ødelægger min primære Yubikey: Jeg går til min bank, vis dem to former for ID, bruge min fysiske nøgle til at hente backup Yubikey fra pengeskabsboksen og gå videre med liv.
Indtil og medmindre der er alvorlige og varige konsekvenser for virksomheder, der leverer infrastrukturtjenester, der handler ensidigt, er der ingen måde, jeg vil bruge dette. KeyPass/BitWarden kan generere vilkårligt stærke adgangskoder, du kan købe så mange Webauthn-nøgler, som du vil, fra en række forskellige leverandører. Med adgangsnøgler er du en (automatiseret, ikke-omsættelig) sletning fra at blive låst permanent ude fra hele dit onlineliv.
Hvis du vil give den magt til et firma, så vær min gæst. Jeg venter, indtil det bliver behandlet som om vand- eller elselskaber afbryder servicen uden nogen åbenbar grund: store og skadelige bøder.
Jeg er ikke sikker på, jeg forstår, hvordan en arbejdsgang, der kræverHvis du kopierer og indsætter adgangskoder (eller skriver dem fra hukommelsen, hvilket har andre problemer i omfang), er du sårbar over for phishing. Så adgangsnøgler ville være en stor sikkerhedsforbedring for dig.
griber din telefon,
at trykke på en app,
tage et billede af din skærm, og
trykke på, hvad du skal gøre med den information......er en "lettere" handling end at indtaste en adgangskode fra hukommelsen, eller automatisk udfylde med en adgangskodemanager eller kopiere indsætte med en adgangskodemanager.
Der kan være andre fordele, men det er på ingen måde nemmere.
Til min Google-konto har jeg genregistreret mine YubiKeys, jeg brugte som 2FA, for at være adgangsnøgler. Med 2FA var godkendelsen Google-adgangskode + FIDO U2F-hardwarenøgle. Med adgangsnøgler er det FIDO2 hardwarenøgle + nøglens FIDO2 PIN.
Ingen af de "tre store" teknologivirksomheder vil være getekeepere til dine adgangsnøgler. Adgangsnøgler opbevares på en enhed. Hvis du ikke vil synkronisere din adgangsnøgle via en slags tjeneste, skal du sætte den samme adgangsnøgle på flere enheder. Du har kun én enhed Og nu er den væk? Det er det samme problem som adgangskodeadministratorer uden synkronisering. I sidste ende bliver du nødt til at genautentificere med forskellige tjenester, ligesom du ville gøre i ethvert lignende tilfælde af at blive låst ude. De fleste mennesker vil synkronisere deres adgangsnøgler, som de gør deres adgangskoder. Og nej, hvis Google lukker din konto ned, kan de ikke deaktivere de adgangsnøgler, du allerede har på dine enheder. Du mister deres synkroniseringstjeneste, men du kan derefter begynde at bruge en anden i stedet.
Adgangsnøgler kan ikke phishes, kan ikke glemmes, kan ikke fås gennem datalæk og er i sagens natur unikke og sikre. Det er virkelig store forbedringer. De er også nemmere at bruge, fordi når de først er på din enhed, er godkendelsen enkel.
Jeg bruger en Yubikey til dette, ikke Android eller iOS. Det betyder, at jeg ikke er afhængig af Google/Apple for at kunne administrere min nøgle, og jeg skal heller ikke bekymre mig om, at min konto bliver kompromitteret og dermed lækker adgangsnøglen.
Som et sammenligningspunkt med Google-kontologin har jeg også brugt denne Yubikey til at få adgang til min Microsoft-konto i et stykke tid nu.
Microsoft fungerer på tværs af alle de store browsere på skrivebordet (undtagen Safari på MacOS, sidste gang jeg tjekkede). Google ser ud til at have brug for Chrome.
Microsoft har en mulighed under brugernavnsfeltet for at logge på en anden måde, så vælger du Windows Hello eller Security Key, sætter nøglen i en USB-port, indtaster PIN-koden og trykker på knappen øverst. Den vil så spørge dig, hvilken konto (hvis du har flere konti gemt), og du er logget direkte ind. Du behøver ikke engang at huske dit brugernavn/e-mailadresse.
Google kræver, at du indtaster dit brugernavn/e-mail, hvorefter den beder om at få nøglen indsat. Du skal derefter indtaste PIN-koden, og den logger dig ind.
Fra et brugervenligt perspektiv er Microsoft bedre, fordi du ikke behøver at huske din e-mail. For Ars-publikummet er dette sandsynligvis negativt. Men hvis du støtter 70-årige bedsteforældre, jo færre ting de skal huske, jo bedre. Jeg har ikke bekræftet, men en ulempe ved MS-systemet er, at Yubikey kun understøtter et bestemt antal gemte legitimationsoplysninger, mens fra hvad jeg kunne se i min forskning, har Google-metoden dybest set Yubikey generere en privat nøgle specifikt til det websted baseret på en intern privat nøgle, din PIN-kode og nogle oplysninger fra webstedet og browseren, hver gang den skal køre Godkendelse. Begge ser ud til at bruge en intern privat nøgle, der er specifik for Yubikey, din PIN-kode, nogle oplysninger om domænet leveret af browseren og specifik oplysninger fra det websted, du besøger for at udføre håndtrykket, hvilket forhindrer MITM-angreb i at lykkes, da de ikke kan forfalske alt det data.
Jeg er ikke sikker på, hvad der mangler i Firefox til Google-implementeringen kontra Microsoft, hvorfor den ikke understøtter det nye adgangsnøglesystem. Eller er det bare Google, der ikke anmoder om adgangsnøglen, fordi Firefox ikke har implementeret Bluetooth-delen, som har bivirkning af ikke at understøtte Yubikeys/hardware-tokens, fordi Firefox ikke bliver bedt om det af Google-login websted.
--
Hvis du mister adgangsnøglen og ikke har en backup-adgangsnøgle, er sikkerhedshensynet at logge ind på den måde, du loggede på før adgangsnøglen. Så normalt password + OTP. Selvom dette betyder, at webstedet understøtter et mindre sikkert autentificeringssystem, er en fordel, at du ikke er det bruger adgangskoden på regelmæssig basis, så det er mindre sandsynligt, at det bliver lækket eller opsnappet af en phishing/MITM angreb.
--
Fra et sikkerhedsperspektiv kan du se adgangsnøgler som en adgangskodetegnebog med begrænset support på webstedet. Hvis du bruger en Yubikey, er pungen en hardwareenhed i din lomme, beskyttet af en PIN-kode. Hvis du bruger Android/iOS-adgangsnøglen, er tegnebogen synkroniseret i et skysystem og beskyttet af din kontoadgangskode + biometri. Hvis du mister enheden, svarer det til at miste adgangskodefilen.
Når de først har fundet ud af alle knæk, har dette potentiale til at ændre en masse ting i sikkerhedslandskabet, som ikke-sikkerhedsbevidste individer vil ikke længere modstå krav til sikker adgangskode eller at skulle finde ud af, hvordan man korrekt bruger en adgangskodetegnebog, og hvordan man får adgang til/synkroniserer den på tværs af flere enheder. Ved grundlæggende at blive en adgangskodetegnebog genererer adgangsnøglerne virkelig sikre, virkelig tilfældige adgangskoder til hvert websted, de bruges på, og er bygget med phishing-modstand i tankerne.
Hvordan kan dette blive nedstemt? Det er 100% sandt.
det er WHO, ikke hvad på forsiden. Ingen kærlighed til Google på forsiden, sådan at deres støtte har vendt publikum imod en industristandard.
Det er fjollet.
Igen, læsere, vær ikke opmærksom på disse kommentatorer.
Brug af en adgangskode bør ikke være svaret på noget, der skal erstatte adgangskoder.
Det her er lidt latterligt. Hvordan ville du ellers autentificere til en eksisterende tjeneste for at opdatere din godkendelsesmekanisme? Bortset fra den allerede omtalte QR-og-bluetooth-metode. Og selvom angrebsoverfladen på serversiden ikke nødvendigvis reduceres ved at aktivere snarere end at kræve adgangsnøgle-login, væsentligt reducerer angrebsoverfladen på klientsiden, da du strengt taget deltager i en nøgleudveksling, aktiveret af godkendelse på OS-niveau. Og det er en sejr for alle.
Hvis du er så langt, at du ikke kan stole på nogen af dit operativsystems sikkerhedsfunktioner, kan du lige så godt smide dine computerenheder væk og gå live på en tropisk ø eller noget. På et eller andet punkt en vis grad af tillid skal gives til noget software.
Der er meget forvirring her, tror jeg, fordi en hel tech-stack er blevet dumpet over os og præsenteret som et fait accompli. Lad mig, som en ignorant, prøve at dekonstruere det analogt med det, jeg forstår: SSH-nøglepar. Jeg inviterer andre til at finde huller i det, jeg tager fejl.1. Offentlige/private godkendelsesnøgler. Dette fungerer nogenlunde det samme som SSH. Hjemmesiden kender kun din offentlige nøgle, og du signerer beskeder for at bevise, at du har den private nøgle.
2. Anti phishing beskyttelse. Nøgler er specifikke for et websted, så et phishing-websted får en anden nøgle. SSH har værtsnøgler til dette, jeg antager, at keypass bruger noget at gøre med TLS værtsnøgler? Din browser bruger det til at vælge, hvilken nøgle der skal bruges? Eller bare ved DNS-navn?
3. Midler til at låse nøglerne op for at bevise, at den rigtige bruger bruger dem. SSH har adgangssætninger, jeg antager, at det er her den biometriske / Bluetooth-ting kommer ind? SSH kan også låse nøgler op med smartcards, og så jeg går ud fra, at det biometriske er lidt ligesom en anden oplåsningstilstand?
4. Synkroniserer nøgler mellem enheder. Det er formentlig her, sky-økosystemer kommer ind, som iCloud og Chrome-adgangskodesynkronisering? For SSH er der ingen support, men du kan lave din egen med rsync eller hvad som helst?
Hvad tog jeg galt?
Hvis ovenstående i store træk er rigtigt, kunne jeg forestille mig at bygge en åben stak, der grundlæggende gør det samme som SSH gør ved at bruge en bunke filer i ~/.ssh og rsync til at flytte mellem enheder. Det er 'cykeltilgangen', hvor alle bevægelige dele er synlige og nemme at forstå, hvad der foregår.
Det er ikke kun dumpet på folk - dette er en opdatering til FIDO2, i sig selv den anden version af standarden. U2F var FIDO1; dette er CTAP 2.2 ([edit: Rettet fra min WAG på 2.4, der var forkert, tak stadig forkert!]), en del af FIDO2/WebAuthn. Det er virkelig ikke noget kompliceret som det går... de har løsnet op for Authenticator-kravene, så den private nøgle kan (skal...) kopieres sikkert, og tilføjet nogle Javascript-funktioner for at gøre livet lettere. Login uden adgangskode? Det har altid været muligt med FIDO2. Det er den pæne del af det - FIDO1 kunne kun være MFA. Tilføjer du en privat nøgle til din browser, der er gemt i TPM'et eller det sikre element? Det har altid været muligt, og var tidligere implementeret i Chrome, Firefox og Safari. Det nye er, at det kan synkroniseres og tilgås via BT/QR rigmarole. Tidligere blev det omtalt (og markeret til websteder) som "platformspecifikke nøgler", i modsætning til de bærbare, som var hardwareenheder. Nu er det adgangsnøgler.
Da hele pointen med adgangsnøglesystemet ser ud til at være at slippe af med adgangskoder, lad mig nævne nogle af fordelene ved adgangskoder:
- de er enkle nok til at forstå for enhver, der mentalt er i stand til at betjene en elektronisk enhed
- de er nemme at huske, hvis du overhovedet gør dig umage og bruger dem jævnligt
- de fungerer på alle operativsystemer ud af boksen
- de kræver ikke internetadgang (nogle systemer er offline af en god grund)
- de kræver ikke samarbejde fra nogen tredjepart
- de kræver ikke tilstedeværelsen af en smartphone eller anden gadget
- de kræver ikke Bluetooth, WiFi, kameraer eller batterier
- de kan - i nødstilfælde - opbevares uden behov for strøm
- de kan nemt overføres til en anden person uden brug af nogen enhed
- hvis du ikke er handicappet og ikke bruger en smartphone, tager autentificering med en adgangskode kun et par sekunder
Dine point #1, #2 og #10 er bare forkerte – spørg alle, der arbejder i teknisk support, hvor ofte de skal nulstille adgangskoder, fordi nogen glemt deres adgangskode, lod deres caps lock-nøgle være tændt (eller placerede deres hånd forkert på tastaturet) eller fik den med fingeren nok gange til at blive låst ud. Ja, ja, jeg ved, at du personligt altid slår det perfekt ud, men tro mig, enhver, der får helpdesk-opkald, har et … mindre optimistisk … menneskesyn. Jeg vil også tilføje, at jeg understøtter mange blinde brugere og adgangskode massivt stinker for dem, fordi mange websteder har kompleksitetskrav, som er svære for skærmlæserbrugere, og hvis du ikke er en dygtig berøringsmaskinist, er det ikke godt at sige det højt. Det er en niche, men det er en, som mange mennesker, der bygger autentificeringssystemer, også er juridisk forpligtet til at understøtte godt, og det er en af grundene til, at jeg er interesseret i teknologien siden "Vil du logge ind med din adgangsnøgle?" "Ja" er mindst én størrelsesorden hurtigere og nemmere end nogen form for adgangskode + MFA for mange brugere.
Punkt #3 er sandt for WebAuthn MFA, men altid adgangsnøgler - sådan noget som en Yubikey fungerer overalt, hvor du har USB/NFC, men du kan evt. skal indstille en pinkode eller bruge deres biometriske serienøgler til adgangsnøgleimplementere som Google.com, som kræver mere end en simpel tryk.
Punkt #5, #6, #7 og #8 gælder også for alle former for WebAuthn – både MFA og adgangsnøgler. Punkt #4 er sandt, bortset fra første gang du tilmelder en enhed, når du synkroniserer en eksisterende nøgle. Efter første gang du har synkroniseret dine nøgler, behøver du ikke en netværksforbindelse. Hvis du ikke vil synkronisere, kan du også købe et par Yubikey biometriske nøgler, som igen fungerer fuldt offline, hvor som helst du har USB eller NFC.
Det efterlader #9, hvilket er dårlig praksis og bør undgås, hvis det overhovedet er muligt. Moderne systemer har ting som rollebaseret godkendelse, hvor folk aldrig deler adgangskoder, men flere personer får lov til at påtage sig en given rolle, eller ting som legacy eller delegeret konti, hvor du igen aldrig deler adgangskoder, men giver en eller, endnu bedre, flere personer, der kræves i kombination, muligheden for at gøre noget som at nulstille din adgangskode eller få kontrol over dine filer.
Bare fordi noget er nyt, og du ikke har lært, hvordan det virker, betyder det ikke, at det er dårligt eller skal undgås. Adgangsnøgler er en stor ændring for de fleste af os – .gov undtaget, da PIV/CAC går tilbage til det forrige århundrede der, selvom kun få andre steder overtaget det – men de har en række brugervenlighedsforbedringer ud over sikkerhedsfordelene, og der er en klar vej til at bygge ud nogle af de manglende dele (f.eks. vil jeg virkelig gerne have muligheden for at synkronisere en Apple/Google-adgangsnøgle til en Yubikey, så jeg kan smide den i mit pengeskab lige om sag).
Det skal naturligvis ikke kun være tilgængeligt under synkronisering, men også under godkendelse, da det bruges til det. Og den skal også være tilgængelig under den første registrering.Og det er det, jeg prøver at forklare dig: Det ville være nemt at godkende med en eksisterende enhed og bruge den enhed for at tilføje en anden offentlig nøgle, som genereres på en anden, ny enhed og sendes til den gamle enhed af nogle midler. For eksempel kunne jeg oprette en ny hemmelig nøgle/offentlig nøgle-nøglepar på min stationære maskine, sende den offentlige nøgle til min bærbare computer, logge på med min bærbare computer og tilføje den offentlige desktop-nøgle. Jeg laver lignende ting med SSH hele tiden.
Der er ingen teknisk hindring her. Hvis det ikke er muligt med adgangsnøgler, så er det efter eget valg.
Den private nøgle er ikke tilgængelig. Hvorfor ikke slå det op i stedet for at gentage en løgn igen og igen.
Og nu er jeg mere forvirret, end jeg var før jeg startede - jeg har videresendt artiklen til min CS major/bedre halvdel for at forklare tingene, men det er måske ikke nok.
Adgangskoder er let fordøjelige. 2FA er let at forklare. Adgangsnøgler giver lidt mening, men lige når jeg tror, jeg kan få det, læser jeg det næste afsnit og går mere tabt.
Himlen hjælp mine søskende og forældre.
Tak fordi du sagde det. Svarene fra Dan og andre (f.eks. @Wbd's promoverede kommentar, der citerer min) er baseret på en grundlæggende fejllæsning af kommentaren.Du er klar over, at både 1Password og Bitwarden arbejder på adgangsnøgleunderstøttelse, ikke?Jeg ønsker ikke at stole på min OS-udbyder (Apple i mit tilfælde til både mobile og stationære enheder) med adgangsnøgler, og svaret er gentagne gange "Men du STOL allerede på GOoGLe MED DIN adgangskode." Ja, fint, jeg indtaster en lang tilfældig adgangskode fra BitWarden/KeePass og tilslutter min Yubikey og trykker på knap. Den er på intet tidspunkt afhængig af min OS-udbyder.
Og selvfølgelig er der lige nu muligheden for ikke at bruge adgangsnøgler og at bruge en adgangskode som før, men hele tech-hype-toget er på vej til "INGEN MERE ADGANGSKODE ADGANGSLØGER TIL ALLE" station, og hvis jeg siger, "men hold da op, hvis jeg bliver låst ude af hver anden konto, fordi min OS-udbyder beslutter, at den ikke kan lide mig, hvad sker der" bliver jeg kaldt en trold og fejlinformeret. Der er også så mange kantsager, jeg kan komme i tanke om, hvor dette ikke virker, og i stedet for at sige, "ja, de er gyldige bekymringer i fremtiden med adgangsnøgle, som vi ønsker," er der denne vedvarende kritik af enhver sætte spørgsmålstegn ved.
1Password er gået så langt som til at sige, at adgangsnøgler er "fremtiden for autentificering": https://www.future.1password.com/passkeys/
