Google računi bez zaporke lakši su i sigurniji od zaporki. Evo zašto.

Ovdje postoji velika zabuna, mislim zato što je čitav niz tehnologije svaljen na nas i predstavljen kao svršena činjenica. Dopustite mi da, kao neznalica, pokušam to dekonstruirati analogijom s onim što razumijem: parovima SSH ključeva. Pozivam druge da pokopaju rupe u onome što ja griješim.

1. Javni/privatni autentifikacijski ključevi. Ovo radi otprilike isto kao i SSH. Web stranica zna samo vaš javni ključ, a vi potpisujete poruke kako biste dokazali da posjedujete privatni ključ.

2. Antiphishing zaštita. Ključevi su specifični za web mjesto, tako da web mjesto za krađu identiteta dobiva drugačiji ključ. SSH ima ključeve hosta za ovo, pretpostavljam da keypass koristi nešto s TLS ključevima hosta? Vaš preglednik to koristi za odabir tipke koju želite koristiti? Ili samo po DNS imenu?

3. Sredstva za otključavanje ključeva kako bi se dokazalo da ih koristi pravi korisnik. SSH ima zaporke, pretpostavljam da je ovdje biometrijska / Bluetooth stvar? SSH također može otključati ključeve s pametnim karticama, pa pretpostavljam da je biometrijski pomalo sličan drugom načinu otključavanja?

4. Sinkronizacija ključeva između uređaja. Ovdje vjerojatno dolaze 'ekosustavi' u oblaku, poput sinkronizacije lozinki za iCloud i Chrome? Za SSH nema podrške, ali možete sami skuhati pomoću rsync ili bilo čega drugog?

Što sam pogriješio?

Ako je gore navedeno općenito točno, mogao bih zamisliti izgradnju otvorenog stoga koji u osnovi radi isto što i SSH koristeći hrpu datoteka u ~/.ssh i rsync za kretanje između uređaja. To je pristup 'bicikla' gdje su svi pokretni dijelovi izloženi i lako je razumjeti što se događa.

Jarrex je rekao:

Korištenje lozinke ne bi trebalo biti odgovor na nešto što bi trebalo zamijeniti lozinke.

Kliknite za proširenje...

Ovo je pomalo smiješno. Kako biste se inače autentificirali na postojeću uslugu kako biste ažurirali svoj mehanizam provjere autentičnosti? Osim QR-and-bluetooth metode o kojoj smo već raspravljali. I dok površina napada na strani poslužitelja nije nužno smanjena omogućavanjem, a ne zahtijevanjem prijave šifrom, značajno smanjuje površinu napada na strani klijenta, budući da ste strogo uključeni u razmjenu ključeva, omogućenu autentifikacijom na razini OS-a. I to je pobjeda za sve.

Ako ste do te mjere da ne možete vjerovati nijednoj od sigurnosnih značajki svog OS-a, mogli biste jednostavno baciti svoje računalne uređaje i otići uživo na tropski otok ili tako nešto. Na neka točka određena razina povjerenja mora se dati nekom dijelu softvera.

fung0 je rekao:

Ne bi li to značilo da web stranice mogu onemogućiti anonimno pregledavanje?

Moje razumijevanje HTTPS-a je da on djeluje u hodu, kako bi osigurao prijenos podataka između mog preglednika i web poslužitelja. Međutim, pristupni ključ bi bio jedinstveno povezan s mojim uređajem, tako da bi svaki dobitak u sigurnosti bio (barem teoretski) nadoknađen gubitkom privatnosti.

Ili ja krivo razumijem?

Kliknite za proširenje...

Pogrešno ste razumjeli komentar na koji odgovarate i mislim da ste previdjeli riječ 'analogija'.

mariotrevi je u biti rekao: 'Nadam se da će ove dvije vrlo različite upotrebe kriptografije s javnim ključem postati jednako sveprisutne jednog dana u budućnost' - ne da bi se provjera autentičnosti (zaporke ili bilo koji drugi oblik provjere autentičnosti) kasnije nekako dodala sigurnom prijenosu (HTTPS).

Secondfloor je rekao:

Mislite na sve one hakirane, krekirane i objavljene baze podataka koje su stečene phishingom, a koje ovo sprječava?

Čovječe, ovdje se osjeća kao doslovna galerija kikirikija.

Kliknite za proširenje...

Nisu sve stečene krađom identiteta. Phishing je stvarna, specifična stvar, nije sinonim za "hakiranje" općenito bez obzira koliko ga često netko pokušavao koristiti na taj način.

Ovo ne sprječava da vaša lozinka bude ugrožena. Lozinka može biti ugrožena bez da je ikada koristite, ako je pozadina ugrožena, a oni su cijelo vrijeme. Ako na računu postoji zaporka, napadači je mogu upotrijebiti da prođu pored zaporke.

Jedini način na koji bi se time povećala sigurnost je da se ukinu lozinke. Ali da jesu, ovaj sustav ne bi funkcionirao zbog mnogih razloga koje su ljudi već istaknuli. To je doista poput odnosa Bitcoina sa stvarnim novcem - BC funkcionira samo ako postoji pravi novac, ali stvarni novac koji postoji također čini besmislenim skakanje kroz sve BC-ove nepotrebne stvari koje ne dodaju vrijednost obruči.

Schpyder je rekao:

Ovo je pomalo smiješno. Kako biste se inače autentificirali na postojeću uslugu kako biste ažurirali svoj mehanizam provjere autentičnosti? Osim QR-and-bluetooth metode o kojoj smo već raspravljali. I dok površina napada na strani poslužitelja nije nužno smanjena omogućavanjem, a ne zahtijevanjem prijave šifrom, značajno smanjuje površinu napada na strani klijenta, budući da ste strogo uključeni u razmjenu ključeva, omogućenu autentifikacijom na razini OS-a. I to je pobjeda za sve.

Ako ste do te mjere da ne možete vjerovati nijednoj od sigurnosnih značajki svog OS-a, mogli biste jednostavno baciti svoje računalne uređaje i otići uživo na tropski otok ili tako nešto. Na neka točka određena razina povjerenja mora se dati nekom dijelu softvera.

Kliknite za proširenje...

Kažem dugoročno. Ako pristupni ključevi trebaju "uništiti zaporke", govoreći da je način dodavanja uređaja koji nisu Bluetooth kao autentificirani uređaji sa zaporkom su "korištenje lozinke" i dalje ste s istom najslabijom karikom - lozinke.

Ovo ne smanjuje napade na strani klijenta, jer ako možete učinkovito dobiti pristup ključem putem lozinke, onda je to isto što i lozinka.

dangoodin je rekao:

ne razumijem Ako ne vjerujete Googleu, ne smijete imati račun kod njih, a ovaj post očito nije za vas. Ali za čitatelje koji koriste Google koristeći pristupni ključ za prijavu u odnosu na lozinka ne daje Googleu više kontrole nego što već ima.

Kliknite za proširenje...

Koristim Google jer moj telefon zahtijeva da imam Gmail i vjerujem Googleu u metode provjere autentičnosti za ostale usluge koje koristim u životu je sasvim drugo pitanje.

Iskreno, ne znam kako netko tko bi se trebao baviti sigurnošću može u ovo unijeti tako crno-bijelo razmišljanje. Povjerenje nije binarno, načelo najmanje privilegije je temeljno načelo?

BasP je rekao:

Mogu, ali znam da to možeš sam riješiti. Također ti ni na koji način nisam sklon pomoći u ovome jer mi se iskreno ne sviđaš.

Kliknite za proširenje...

Iznijeli ste optužbu koju niste mogli poduprijeti...

'Tvrdio sam da si loša osoba i imam mnogo dokaza da si loša osoba, ali kad me zamole da pokažem dokaze, odjednom sam utihnuo'.

Standardni odgovor kada se prozovu zabrinuti trolovi, posvuda na internetu.

Jarrex je rekao:

Kažem dugoročno. Ako pristupni ključevi trebaju "uništiti zaporke", govoreći da je način dodavanja uređaja koji nisu Bluetooth kao autentificirani uređaji sa zaporkom su "korištenje lozinke" i dalje ste s istom najslabijom karikom - lozinke.

Ovo ne smanjuje napade na strani klijenta, jer ako možete učinkovito dobiti pristup ključem putem lozinke, onda je to isto što i lozinka.

Kliknite za proširenje...

Ovo je, iskreno, atemporalna besmislica koja zanemaruje nezgodnu činjenicu linearnog protoka vremena.

AKO netko prijeđe na korištenje zaporki za prijavu na stranicu, ONDA, ide naprijed, napadi na strani klijenta namijenjeni skupljanju lozinki bit će zapriječeni. Vaša tvrdnja počiva na dotičnoj lozinci već kompromitiran, u kojoj je točki račun već ugrožen. Samo zato što pristupni ključevi neće ex post facto ispraviti ugrožene lozinke ne lišava ih bilo kakvog sigurnosnog programa.

dangoodin je rekao:

Čekaj, kako uključivanje pristupnih ključeva uzrokuje da ljudi "iskorijene cijeli svoj digitalni proces"? Nakon što spremite zaporku, 100% ste u mogućnosti nastaviti se prijavljivati ​​sa zaporkom točno onako kako ste radili u prošlosti. Ovaj je komentar izvrstan primjer onoga što mislim o tome da se kritike temelje na temeljnim nesporazumima.

Kliknite za proširenje...

Nisam ja taj koji nešto pogrešno razumije. Namjerno zanemarujete veće implikacije i pitanja o dizajnu koja su ljudi stalno postavljali jer... zapravo ne znam. Čini se da ste stvarno osobno uložili u ljude koji koriste pristupne ključeve, do točke ignoriranja iskrenih pitanja, prešućivanje ozbiljnih zabrinutosti i vrijeđanje kada ističemo stvari koje niste razjašnjeno.

Ovaj članak ima vrlo jasne probleme, a vaši su odgovori na pitanja tako očito pristrani i često u lošoj namjeri da sam prilično iznenađen.

Joklers je rekao:

Koristim Google jer moj telefon zahtijeva da imam Gmail i vjerujem Googleu u metode provjere autentičnosti za ostatak mog života je sasvim drugo pitanje.

Iskreno, ne znam kako netko tko bi se trebao baviti sigurnošću može u ovo unijeti tako crno-bijelo razmišljanje. Povjerenje nije binarno, načelo najmanje privilegije je temeljno načelo?

Kliknite za proširenje...

Crno-bijelo razmišljanje - na primjer "Koristim Google jer moj telefon zahtijeva da imam Gmail i vjerujem Googleu u metode autentifikacije za ostatak mog života".

Dakle, imate android telefon i ne spremate NIKAKVU lozinku ili 2FA vjerodajnice na uređaj? A ako ne vjerujete Googleu, sigurno je puno bolje pohraniti pristupni ključ nego lozinku na svom android uređaju...

Kako upravljate svojim vjerodajnicama za sve svoje online račune i usluge ako odbijate spremiti bilo koju lozinku ili 2FA na svoj Android uređaj?? Lako pamtljive lozinke, ponovna upotreba lozinki, papirnati notes itd.? Zaporke su znatno sigurnije od svih ovih i Google ih je nemoguće ukrasti od vas.

dangoodin je rekao:

ne razumijem Ako ne vjerujete Googleu, ne smijete imati račun kod njih, a ovaj post očito nije za vas. Ali za čitatelje koji koriste Google koristeći pristupni ključ za prijavu u odnosu na lozinka ne daje Googleu više kontrole nego što već ima.

Kliknite za proširenje...

Onda patite od neuspjeha mašte.

Naravno da imam Google račun. Nekoliko njih, ako računate različite gmail račune zasebno. To ne znači da vjerujem Googleu, samo da im vjerujem pomalo. Također imam vlastitu domenu e-pošte i server.

Ne radi se samo o "davanju Googleu veće kontrole", radi se o tome da im vjerujemo da neće zajebati proces koji već čine kompliciranijim nego što je potrebno. Njihova povijest u tom smislu (uključujući samo napuštanje projekata za koje gube interes) nije vrijedna divljenja. Također ne zaboravljam da je Google tvrtka za oglašavanje i da sam ja njihov proizvod, a ne kupac.

dangoodin je rekao:

Možete li navesti primjer ili dva mojih komentara koji su bili "vrlo zabavni" i "prenose uznemirujući nedostatak temperamenta"?

Kliknite za proširenje...

daj da vidim ovdje... Mislim da je niz do i od BasP-a dobar primjer gdje ste mogli stati puno prije #382's '...prestani odgovarati na moje postovi.' Postoji i obrana znatno iznadprosječnog broja promoviranih komentara ili bi odgovor koji je napisan velikim slovima spadao u tu liniju kao dobro.

Kako možete odgovoriti na moje 'primjere', reći ću da je ovo strogo IMHO i da bi bilo najbolje da svoju olovku sačuvate za braniti plemenitije klauzule umjesto da se branite od mišljenja jednog maloljetnika (pa čak ni pretplate!) komentator. U nekom trenutku, međutim, neki komentari imaju tendenciju poput trolova. koje treba rješavati neangažmanom. za još jedan primjer, šale s okvirom na čelu/bradi ne dobivaju odgovore od Rona u ovom trenutku... Shvaćam (samo djelomično, jer nisam ja napisao ovaj članak), frustrirajuće je. Upamtite puno ovdje također cijenite autore kao što ste vi koji prate i odgovaraju na komentatore.

dangoodin je rekao:

Uhvatio sam jedan slučaj kad sam se odbacio nekome tko je jednostavno postavio pitanje, i ispričao sam se zbog toga. Moguće je da sam to učinio negdje drugdje, a ako jesam, ispričat ću se i zbog toga. Moje nestrpljenje proizašlo je iz ljudi koji su iznosili potpune dezinformacije s toliko uvjerenja, a zatim dobili 90+ ​​glasova za. Takve stvari samo dovode u zabludu ljude koji se uvlače u komentare pokušavajući razumjeti stvari.

Kliknite za proširenje...

Izvoli:

dangoodin je rekao:

...
Mnoge dosadašnje kritike temelje se na temeljnim nesporazumima o pristupnim ključevima. Idite naprijed u komentarima, nemojte kritizirati ako ga niste prvi isprobali.

Kliknite za proširenje...

Vi ste autor članka, vi ste taj koji bi trebao istraživati ​​i dati nam odgovore. Zašto bismo došli u Ars da nam kažu da sami istražimo? To je vaš posao, a obrambeno reagirati kada ljudi imaju pitanja krajnje je neprofesionalno. Vaš je posao pružiti informacije, a ne govoriti nam da pronađemo vlastite odgovore.

dangoodin je rekao:

Šteta je što je ovaj post dobio tako visoku podršku jer se temelji na temeljnom nesporazumu. Morate imati svoj telefon kako biste skenirali QR kod točno jednom kada se prijavljujete s novog uređaja

Kliknite za proširenje...

Zlonamjerno čitaš i proturječiš si. Samo prolazak kroz ovaj dugi proces ne znači da osoba ne mora proći kroz taj proces. Prigovor da je ovo dug, kompliciran proces zapravo se ne rješava tvrdnjom da "to morate učiniti samo jednom po uređaju po računu".

dangoodin je rekao:

Zvuči kao da ne razumijete kako funkcionira asimetrična enkripcija. ICloud Keychain sinkronizira javni ključ. Nikada ne vidi niti dodiruje privatni ključ.

Kliknite za proširenje...

To je jednostavno uvredljivo.

dangoodin je rekao:

Ne morate vjerovati velikoj trojici da biste koristili zaporke. U svakom slučaju, nastavite koristiti lozinke, ali se informirajte prije komentiranja.

Kliknite za proširenje...

Ovo je klasično ponašanje trolova na forumu 'radi svoje vlastito istraživanje'. Ovo je točka u kojoj sam se iskreno počeo pitati o čemu ste vi i vodstvo Arsa općenito razmišljali.

dangoodin je rekao:

Dakle, ne koristite Windows, iOS ili macOS, samo Android i Linux?

Kliknite za proširenje...

Trebali biste znati o čemu pričate kada je riječ o računalnoj sigurnosti. Zaista biste trebali znati da povjerenje nije binarno, da ljudi trebaju koristiti alate koji će obaviti posao i doći do kompromisa, i da još uvijek ne znači da se korištenje sustava kojem nemamo potpuno povjerenje za različite zadatke razlikuje od pohranjivanja metoda provjere autentičnosti za druge usluge u tome sustav.

Mogao bih nastaviti, ali ostalo je uglavnom u istom duhu. Ljudi su postavili iskrena pitanja i zabrinutosti, kako u vezi s šiframa tako i u vezi s ovim posebnim člankom, na ovu nit komentara, a vi ste odgovorili obrambenim i ratobornim stavom.

Također, ne vidim odgovore na ljude koji kažu da se ovo čini kao veliki porast tehničke podrške, ne vidim odgovori ljudima koji pitaju zašto se velike korporacije zalažu za ovo ili raspravljaju o širem implikacije. Sve to dovodi do toga da izgledate nevjerojatno odbacivajuće prema stvarnim pitanjima i da birate ono na što odgovarate.

BasP je rekao:

Je li vam ikada palo na pamet da su ljudi koji daju netočne izjave možda jednostavno pogrešno shvatili tehnologiju i stoga misle da su točne?

Kliknite za proširenje...

Bio bih s više razumijevanja za ovu točku da se uglavnom ne radi o nekoliko istih ljudi koji ponavljaju iste teme u svakom članku i odbijaju napraviti čak i osnovno istraživanje. Biometrijski su zamorni jer pokazuju da nisu proveli nikakva istraživanja o tome kako su ti sustavi dizajnirani od prijelaza stoljeća, a također nisu pročitali ništa od prethodne komentare ranije u temi ili, u nekoliko značajnih slučajeva, odgovara na njih osobno, ali i dalje se osjeća kao da pridonose nečemu i spamuju isto netočno tvrdnje.

Razliku je lako uočiti. Ljudi koji pokušavaju naučiti govore stvari poput "Ne znam kako funkcionira opoziv s biometrijom" ili "kako je ovo nije riskantno?" nego samouvjereno tvrditi da nešto što su upravo izmislili poništava cjelinu koncept. Kada govorite o nečemu što većina vrhunskih sigurnosnih ljudi u svijetu preporučuje, pametno je pretpostaviti da postoji nije neka zasljepljujuće očita mana koju ste primijetili u prvih 5 sekundi, ali nitko od stotina ljudi koji su radili na tome nikada nije.

Secondfloor je rekao:

Sjećam se kada je Ars bio tehnološka web stranica. Sada se čini da su previše čitatelja luditi

Kliknite za proširenje...

Kod Luddita problem nije bio toliko tehnologija koliko njezin utjecaj. Luditi su bili domaći tkalci. Uvođenje parnih strojeva za tkanje kojima su upravljala djeca u tvornicama obećavalo je uništenje njihovih sredstava za život. Razmislite o uvodu robota ili umjetne inteligencije i kako oni mogu omogućiti nekim poslodavcima da otpuste većinu svojih radnika.

Iako ovdje mislim da je problem u tome što tehnologija nije jasno objašnjena. A možda i ne može biti, jer je složen, nedorečen i čini se da se različito provodi na različitim mjestima. Kao i sve stvari, imat će prednosti i mane, a mane su jednako važne kao i prednosti.

dagar9 je rekao:

Kod Luddita problem nije bio toliko tehnologija koliko njezin utjecaj. Luditi su bili domaći tkalci. Uvođenje parnih strojeva za tkanje kojima su upravljala djeca u tvornicama obećavalo je uništenje njihovih sredstava za život. Razmislite o uvodu robota ili umjetne inteligencije i kako oni mogu omogućiti nekim poslodavcima da otpuste većinu svojih radnika.

Iako ovdje mislim da je problem u tome što tehnologija nije jasno objašnjena. A možda i ne može biti, jer je složen, nedorečen i čini se da se različito provodi na različitim mjestima. Kao i sve stvari, imat će prednosti i mane, a mane su jednako važne kao i prednosti.

Kliknite za proširenje...

To je W3C standard. Nisam siguran da dokumentacija može biti potpunija za svakoga tko želi saznati više.

Vrlo slično ljudima koji postavljaju pitanja u komentarima članaka na koje se odgovara u povezanim citatima. Ljudi su toliko lijeni da ne žele kliknuti na link, a kamoli potrošiti 10 minuta na edukaciju.

dangoodin je rekao:

Ako se prijavljujete na Google pomoću zaporke, već imate veliko povjerenje u Google autentifikaciju. Zaporke ne zahtijevaju više ili manje povjerenja od onoga što već postavljate u Google. Zaporke Google računa nisu "metode provjere autentičnosti do kraja života". Možete upotrijebiti svoju lozinku kad god želite, a pristupni ključ možete izbrisati kad god želite.

Kliknite za proširenje...

Još uvijek ostavljate dojam da namjerno pogrešno tumačite ono što sam rekao.

Prijava na uslugu pomoću lozinke uopće nije isto što i vjerovati tvrtki koja pruža tu jednu uslugu da će pouzdano upravljati mojom autentifikacijom na drugim uslugama. Doista je bilo puno posla na različitim razinama povjerenja koje su ovdje uključene. Rasprave o federalnom identitetu dobro su mjesto za početak.

Alexandria77 je rekao:

Isto ovdje. Čak me i pomisao da vjerujem Googleu sa svojim Pass_____-ima nasmrt plaši. Još uvijek trebam izdvojiti malo vremena da odlučim hoću li se držati mrežnog PW upravitelja (i koristim WebAuth kao svoj 2FA) ili se prebaciti isključivo na samostalnu PW bazu podataka. Ali to je neka druga tema.

Kliknite za proširenje...

U redu, ovo je vrsta stvari o kojoj govorim. Bavili smo se oko i oko tog problema povjeravanja Googleu vašeg zaporke. Jeste li već pročitali komentare? Pronaći ćete više primjera koji objašnjavaju zašto ne morate vjerovati Googleu sa svojim pristupnim ključem. Naći ćete više primjera koji objašnjavaju da korištenje zaporki Google računa postavlja istu razinu vjerujte Googleu -- ni više ni manje -- nego što već imate kada se prijavljujete na Google pomoću a pristupni ključ.

Ovo je zamorno. Rado objašnjavam stvari ljudima koji postavljaju pitanja. Ali tvrditi takve besmislice u ovom komentaru s tako visokim stupnjem sigurnosti sasvim je drugačije od postavljanja pitanja. Kad dolaze iznova i iznova i iznova unatoč tome što ja i drugi ljudi objašnjavamo temeljno nesporazum... pa, lako je postati nestrpljiv.