Google računi bez zaporke lakši su i sigurniji od zaporki. Evo zašto.

BasP je rekao:

Razgovarajte o previđanju. "Negdje na sigurnom" znači "negdje do kojeg samo ja mogu doći nakon provjere autentičnosti". To je kao da kažem da rezervni ključ svog sefa moram držati u sefu.

Također, kako će papirnati primjerak pomoći kad sam u inozemstvu i ne mogu doći do njega?

Kliknite za proširenje...

Vaše druge alternative su da donesete uređaj koji ne treba 2FA i ostavite ga u svom hotelu (i ako je vaš protivnik toliko sofisticiran da ciljaju vaše tiskane kodove i već imaju jednu zaporku, to onda neće funkcionirati!) ili onemogućiti 2FA što je, očito, gore.

Zašto bih vjerovao organizaciji koja se ponavlja višestruko kršenje privatnosti i koja, prema zakonu, mora dostaviti moje podatke američkim vlastima kad god im se prohtije?

peragrin je rekao:

Ars, ono što nikad ne spominjem u ovim člancima su uređaji za mješovitu i višenamjensku upotrebu.

Koristim Android telefon. Koristim chrome. Imam Office 365 na telefonu za posao i samo posao. Kako mogu autentificirati samo poslovanje bez odricanja osobnih podataka. Ili u drugom smjeru

Na poslu koristim tri preglednika. Firefox ako nešto osobno potražim, chrome za naš erp sustav i edge for work traženja weba vezana uz posao svaki dobiva različite prijave i pohranjuje različite prijave.

Ako se prijavite u jedan ekosustav, ti sustavi rade dobro. Sve dok ne budu otkazani

Kliknite za proširenje...

Također možete imati više zaporki ako usluga to podržava. Moj Google račun ima pohranjene pristupne ključeve za Apple i Windows. Oba rade dobro.

Osim ako vaš trenutni pristup nije zapamtiti pregršt lozinki koje koristite posvuda ili ih staviti na ljepljive ceduljice, podrška za više platformi neće biti problem u relativno bliskoj budućnosti.

randomuser42 je rekao:

Ako putujete i trebate zajamčeni pristup 2FA zaštićenom računu, ponesite kodove sa sobom. Mogu se promijeniti kad dođete kući ako ste zabrinuti zbog toga. Ako ste zabrinuti da će vas protivnik moći ciljati konkretno i dobiti te kodove i svoju (jaku, jedinstvenu) lozinku istovremeno, pa onda vjerojatno ne postoji ništa što možete čini.

Vaše druge alternative su da donesete uređaj koji ne treba 2FA i ostavite ga u svom hotelu (i ako je vaš protivnik toliko sofisticiran da ciljaju vaše tiskane kodove i već imaju jednu zaporku, to onda neće funkcionirati!) ili onemogućiti 2FA što je, očito, gore.

Kliknite za proširenje...

Također neće pomoći zadržavanje drugog (bez 2FA) uređaja. Stvari koje trebam neće biti na tom uređaju ili jesu, što znači da se čuvaju nesigurno jer vam ne treba 2FA da dođete do njih.

Ako je moj 2FA račun također dostupan putem lozinke, onda možda i nije 2FA jer ima mnogo lakši vektor napada u lozinci.

Geebs je rekao:

To je stvar perspektive. Sigurnosni stručnjaci brinu se da će treća strana ući u njihove stvari. Stručnjaci koji se ne bave sigurnošću brinu se da će slučajno nepovratno šifrirati sve obiteljske fotografije.

Kliknite za proširenje...

Cilj WebAuthna je pobijediti phishing dok je lakši za korištenje od starijih sustava. To ne znači da tvrtkama nije potrebno ništa drugo za rješavanje problema s računima ili gubitka pristupa, ali to je bilo već slučaj kao što smo vidjeli tijekom pandemije kada je hrpa tvrtki počela dodavati stvari poput nasljeđa kontakti.

Za ovo koristim Yubikey, a ne Android ili iOS. To znači da nisam dužan Googleu/Appleu da mogu upravljati svojim ključem, niti se moram brinuti da će moj račun biti kompromitiran i time procuriti pristupni ključ.

Za usporedbu s prijavom na Google račun, već neko vrijeme koristim ovaj Yubikey za pristup svom Microsoft računu.

Microsoft radi u svim glavnim preglednicima na stolnom računalu (osim Safarija na MacOS-u zadnji put kad sam provjerio). Čini se da Google treba Chrome.

Microsoft ima opciju ispod polja korisničkog imena za prijavu na drugačiji način, zatim odaberete Windows Hello ili sigurnosni ključ, stavite ključ u USB priključak, unesete PIN i pritisnete gumb na vrhu. Zatim će vas pitati koji račun (ako imate više spremljenih računa) i odmah ste prijavljeni. Ne morate čak ni zapamtiti svoje korisničko ime/e-mail adresu.

Google zahtijeva da unesete svoje korisničko ime/e-poštu, a zatim traži umetanje ključa. Zatim trebate unijeti PIN i on vas prijavljuje.

Iz perspektive upotrebljivosti, Microsoft je bolji po tome što ne morate pamtiti svoju e-poštu. Za publiku Arsa ovo je vjerojatno negativno. Ali ako uzdržavate 70-godišnje djedove i bake, što se manje stvari trebaju sjećati, to bolje. Nisam potvrdio, ali nedostatak MS sustava je da Yubikey podržava samo određeni broj pohranjenih vjerodajnica, dok prema onome što sam mogao vidjeti u svom istraživanju, Googleova metoda u osnovi ima Yubikey generirati privatni ključ posebno za tu web-lokaciju na temelju na internom privatnom ključu, vašem PIN-u i nekim informacijama koje pružaju stranica i preglednik, svaki put kada treba pokrenuti ovjera. Čini se da oba koriste interni privatni ključ specifičan za Yubikey, vaš PIN, neke informacije o domeni koje pruža preglednik i specifične informacije dostavljene s web-mjesta koje posjećujete za izvođenje rukovanja, što sprječava uspješne MITM napade jer ne mogu lažirati sve to podaci.

Nisam siguran što nedostaje u Firefoxu za Googleovu implementaciju u odnosu na Microsoftovu, zašto ne podržava novi sustav zaporke. Ili samo Google ne traži pristupni ključ jer Firefox nije implementirao Bluetooth dio, koji ima nuspojava nepodržavanja Yubikeya/hardverskih tokena jer Firefox to ne traži Google prijava mjesto.

--

Ako izgubite pristupni ključ, a nemate rezervni pristupni ključ, sigurnosna zamjena je da se prijavite na način na koji ste se prijavljivali prije pristupnog ključa. Dakle, obično lozinka + OTP. Iako to znači da stranica podržava manje siguran sustav provjere autentičnosti, jedna je prednost što vi to ne podržavate redovito korištenje lozinke, tako da je manja vjerojatnost da će biti otkrivena ili presretnuta putem phishinga/MITM-a napad.

--

Iz sigurnosne perspektive, pristupne ključeve možete vidjeti kao novčanik za lozinke s ograničenom podrškom web mjesta. Ako koristite Yubikey, novčanik je hardverski uređaj u vašem džepu, zaštićen PIN-om. Ako koristite zaporku za Android/iOS, novčanik je sinkroniziran u sustavu oblaka i zaštićen lozinkom vašeg računa + biometrijom. Ako izgubite uređaj, to je slično gubitku datoteke zaporke.

Nakon što shvate sve nedostatke, to ima potencijal promijeniti puno stvari u sigurnosnom okruženju, jer će pojedinci koji nisu svjesni sigurnosti više se ne opiru zahtjevima sigurne lozinke ili moraju smisliti kako pravilno koristiti novčanik za lozinke i kako mu pristupiti/sinkronizirati na više uređaja. U osnovi postajući novčanik za lozinke, pristupni ključevi generiraju stvarno sigurne, stvarno nasumične lozinke za svaku stranicu na kojoj se koriste, a izrađeni su imajući na umu otpornost na krađu identiteta.

BasP je rekao:

Nositi te kodove sa sobom na putovanju NE zvuči kao sigurno mjesto za njihovo čuvanje.

Također neće pomoći zadržavanje drugog (bez 2FA) uređaja. Stvari koje trebam neće biti na tom uređaju ili jesu, što znači da se čuvaju nesigurno jer vam ne treba 2FA da dođete do njih.

Ako je moj 2FA račun također dostupan putem lozinke, onda možda i nije 2FA jer ima mnogo lakši vektor napada u lozinci.

Kliknite za proširenje...

Ali, ako je prijetnja prevelika za vas, to je u redu, tada ne možete jamčiti pristup bilo kojem računu zaštićenom 2FA dok putovanja i vaše brige o gubitku telefona ne odnose se samo na pristupni ključ, već i na svaki račun koji zaštićen.

Jarrex je rekao:

Zbog toga svi imaju problema sa svim ovim člancima. Neki tvrde da je bluetooth potreban za proximity provjeru, drugi kažu da nije. "Službena" dokumentacija ozbiljno nedostaje, dokumentacija upravitelja lozinki zapravo ne navodi jedno ili drugo. Ovo se čini kao nepotpuna integracija.

Kliknite za proširenje...

Dobre vijesti! Ne morate koristiti PassKeys. To su samo FIDO2 autentifikacije, pa ako web-mjesto to nudi, možete koristiti hardverski ključ bez Bluetootha. Google vam trenutno neće dopustiti da to učinite za prijavu bez lozinke, vjerujem, iako bi moglo ako postavite PIN na hardverskom ključu ili ako ima biometriju. Svatko može pokušati ako želi.

4XjrPz6t je rekao:

Iz članka:
"Neki skeptici vezani uz zaporke izrazili su zabrinutost oko povjeravanja tajnog ključa infrastrukturi Applea, Googlea ili Microsofta. Neki od tih kritičara otišli su toliko daleko da su rekli da su pristupni ključevi igra moći osmišljena kako bi tim tvrtkama dala kontrolu nad tajnama autentifikacije koja prije nije bila moguća. Ove tvrdnje jednostavno nisu istinite."

Barem za mene, ovo je pogrešna karakterizacija koncerna. Postoje užasne priče, na primjer (o kojima je izvješćeno ovdje na ARS-u) o Googleu koji je onemogućio račun jednog čovjeka zbog dijeljenja fotografija njegovog djeteta s njegovim liječnikom. Ako su svi moji pristupni ključevi povezani s Googleovim ekosustavom i dogodi se tako nešto, totalno sam sjeban i ne bih mogao raditi.

Rješenje je ipak dovoljno jednostavno: ne vjerujte dobavljaču hardvera, umjesto toga samo pohranite pristupne ključeve u nešto višeplatformsko i otvorenog koda kao što je Bitwarden. Za mene je to jedini način na koji ću početi koristiti zaporke.

Uredite za dodavanje:
Da, svjestan sam da Bitwarden danas nema punu podršku za zaporku. U izradi je:
Pogled: https://www.reddit.com/r/Bitwarden/comments/136j90t/did_you_know_bitwarden_is_working_on_passkey/

Kliknite za proširenje...

Također, Google zaporke VEĆ SU na više platformi. Moje Google pristupne ključeve trenutačno sinkronizira ne samo Google, već i putem iCloud Keychaina i Windows Hello. Kao što primijetite, Bitwarden, 1Password i hrpa drugih trećih strana uskoro će također omogućiti sinkronizaciju.

Koja je vaša osnova za impliciranje da Google zaporke već nisu međuplatformske?

Jedan od njih ne dobiva jer je to anonimni račun koji ne želim robovati stvarnom ID-u.

Jedan od njih ne dobiva jer se radi o zajedničkom računu kojem mora pristupiti više ljudi.

Jedan od njih to ne dobiva jer ne vjeruje Googleu.

Offbit je rekao:

... odgovor je u pitanju: Google.

Zašto bih vjerovao organizaciji koja se ponavlja višestruko kršenje privatnosti i koja, prema zakonu, mora dostaviti moje podatke američkim vlastima kad god im se prohtije?

Kliknite za proširenje...

Ako svoje pristupne ključeve pohranjujete u Googleov ekosustav, to se ne razlikuje od upotrebe Chromea za upravljanje vašim lozinkama. Ne želiš to učiniti? Onda nemoj. Možete koristiti druge usluge - Windows može pohraniti pristupne ključeve, Apple može sinkronizirati sve u svim vašim uređaji automatski, a 1Password, Bitwarden i drugi rade na podržavanju pristupnih ključeva kao dobro. Siguran sam da ćemo na kraju vidjeti FOSS opciju za one koji ne žele vjerovati nikome drugome.

Ako govorite o tome da ne želite zaštititi svoj Google račun pomoću pristupnog ključa jer bi "federalci mogli ući", onda sigurno, pretpostavljam. Ali ako ste toliko zabrinuti, moram vas obavijestiti da Google već ima vaše podatke, pa...

catcat je rekao:

Mislim da je jednostavnije.

Velika tehnologija želi uništiti lozinke jer je to značajan trošak. Ugroženi računi predstavljaju veliki problem korisničke službe. Zaustavlja ljude u korištenju njihovih usluga, tjera ljude da izgube svoje važne i često vrlo osobne podatke, a popravak je skup i dugotrajan. Zato Google, Facebook itd. toliko žele progurati 2FA i žele ga učiniti što bližim obveznom. Trenutačni 2FA značajno smanjuje ove sigurnosne probleme - ali također dolazi s nizom UX problema i kompromisa. Dugoročno gledano, zaporke eliminiraju mnoge od tih nedostataka, a istovremeno pružaju bolji korisnički doživljaj.

Imajte na umu da lozinke koristimo zapravo od samog početka računalstva - ali još uvijek rutinski vidimo velike pogreške učinjene u njihovoj implementaciji, čak i glupe stvari poput tvrtki koje ih pohranjuju u nezaštićenom otvorenom tekstu baze podataka. Ali čak i tada, prošlo je nekoliko desetljeća dok nismo stvarno razriješili mnoge probleme i pojavili se istinski dobri upravitelji lozinkama. Zaporkama će također trebati neko vrijeme da se riješe problemi.

Također, hajde, optužbe za astroturfing su pomalo smiješne. Znate li kako funkcioniraju vijesti o tehnologiji? Zašto je stranica s tehnološkim vijestima koja pokriva novu tehnologiju sumnjiva? Zar nisi zato ovdje?

Ako imam problema s izvješćivanjem oko pristupnih ključeva, to je prijedlog da su sada spremni za udarno vrijeme. Mislim da su zgodni i da ih se možda isplati koristiti za tipove ljudi koji su skloni čitanju tehničkih vijesti o sigurnosti prijave... ali prosječni korisnici, danas, ne toliko. U isto vrijeme, oni također neće stići tamo ako ljudi ne znaju da postoje, tako da svakako postoji korist od širenja riječi.

Kliknite za proširenje...

I ne samo to, već u svakom pojedinom članku nedostaje zapravo govora o tehničkim aspektima -- što je lako vidi se po činjenici da nitko zapravo ne može pokazati na dijagram i sa sigurnošću reći "da, tako je djela". Potreban Bluetooth? Da? Ne? Tko zna. Čak i sami kažete da svi govore da je spremno za udarni termin.

Ako nije spreman za udarni termin, zašto ga stranice poput ars-a guraju takvim kakav jest? Zašto je u ovom stalnom ciklusu vijesti s tim ništa novo. Još uvijek nema novih detalja o tome, evo, ponovno razgovaramo o tome.

dangoodin je rekao:

Šteta je što je ovaj post dobio tako visoku podršku jer se temelji na temeljnom nesporazumu. Morate imati svoj telefon kako biste skenirali QR kod točno jednom kada se prijavljujete s novog uređaja. Nakon toga nećete "morati ići tražiti svoj telefon. Što se tiče "prolaska kroz neke postavke za otiske prstiju", svatko tko je postavio Face ID ili skeniranje otiska prsta na svom Macu, iPhoneu, Android uređaju ili Windows računalu to je već učinio. A ako vaš uređaj ne podržava ID otiska prsta ili lica, uvijek možete jednostavno unijeti PIN za otključavanje.

tl; dr.: usprkos svim pozitivnim glasovima, ovaj komentar je dezinformiran.

Kliknite za proširenje...

Chrome (i pretpostavljam Edge) može dodati jedan na Windows i macOS. Chrome to može učiniti i na ChromeOS-u. Firefox to očito može učiniti na Windowsima, ali nakon što sam se dovoljno borio s Firefoxom, odustao sam od brige da pokušam.

Razvijao sam i koristio FIDO2 autentifikaciju na web stranicama nekoliko godina, znojio sam se oko toga i mnogo puta se zakleo da se hardverski ključevi ne prepoznaju. Kad dodam podršku, vrlo sam popustljiv prema tome koji su ključevi prihvaćeni, ali web-mjesto ne mora biti - postoje razne značajke koje mogu zahtijevati od ključa, pa čak i ID-ovi određenih uređaja ako želite. Većina uređaja zapravo nudi nulti ID, čak i kada se lijepo zatraži, ali Yubikey 5 daje ID-ove uređaja, pa tvrtki je lako naručiti od yubikeya i znati da su samo uređaji koje su oni izdali i podrška koristi se.

Sada, obično nema razloga da ne dodate "još jedan ključ", osim što neke glupe stranice ograničavaju koliko ključeva podržavaju. Tako da biste mogli završiti s telefoniranjem/QR stvarima češće nego što biste željeli.

idspispopd je rekao:

Nakon što je Google račun bio proizvoljno suspendiran, a zatim ste se morali suočiti s Googleovom podrškom kako biste pokušali otkriti zašto... nema šanse da stavim sva svoja autentifikacijska jaja u googleovu košaricu.

Kliknite za proširenje...

To je velika smetnja. Da Google ima odjel za "korisničke usluge", bio bih u puno većem iskušenju. Ali... budući da korisnici Googlea nisu Korisnici Googlea, stvarno nema razloga da se zabavljaju otvaranjem takvog odjela.

shadedmagus je rekao:

Pa onda, Dan, što kažeš na članak koji prikazuje te opcije?

Mislim da tjera ljude da koriste pristupne ključeve bez detaljnog razumijevanja točno toga kako bolje ih je koristiti od lozinki, zajedno s guranjem dok se okruženje još razvija, dobivate upravo onu vrstu povratka koju vidite u ovoj temi.

Kliknite za proširenje...

Nitko ne može odgovoriti bilo kakvim dijagramom tijeka rada ili bijelim papirima koji dokazuju da su sve kritike nevažeće. Ljudi samo odgovaraju govoreći da je nevaljano bez ičega što bi ga stvarno sigurnosno kopiralo.

Većina ljudi neće iz hira iskorijeniti cijeli svoj digitalni proces, a da ga zapravo ne razumiju.

Prije sam mislio da indikatore "uključenosti" web-kamere zapravo povezujemo serijski s web-kamerom tako da bi bilo kakvo napajanje web-kamere nužno uključilo indikator. Kasnije se otkrilo da su bili odvojeni pa je loš glumac mogao uključiti web kameru, a da indikator nije upaljen.

Dakle, je li slučaj da otisci prstiju, itd., definitivno ne napuštaju uređaj ili da ne odlaze uređaj sve dok sada i zauvijek u budućnosti proizvođači hardvera odluče napraviti taj slučaj?

Jarrex je rekao:

Samo je Ars objavio 5 članaka Zaporke ubijaju lozinke u 7 mjeseci. Od kojih tri su u prošlom tjednu. To nije samo pokrivanje novih tehnoloških stvari, to je forsiranje priče. Pogledajte netehnološke stranice koje govore "Google i Apple ubijaju lozinke!" To se događa zadnjih 1-2 mjeseca prilično stalno na istim web stranicama.

I ne samo to, već u svakom pojedinom članku nedostaje zapravo govora o tehničkim aspektima -- što je lako vidi se po činjenici da nitko zapravo ne može pokazati na dijagram i sa sigurnošću reći "da, tako je djela". Potreban Bluetooth? Da? Ne? Tko zna. Čak i sami kažete da svi govore da je spremno za udarni termin.

Ako nije spreman za udarni termin, zašto ga stranice poput ars-a guraju takvim kakav jest? Zašto je u ovom stalnom ciklusu vijesti s tim ništa novo. Još uvijek nema novih detalja o tome, evo, ponovno razgovaramo o tome.

Kliknite za proširenje...

Pogledajte prilog 55642

Prva je vijest Rona o tome kako Google sada podržava pristupne ključeve, a druga je detaljan Dan. Ova vrsta izvještavanja prilično je uobičajena u Arsu - kraća vijest koja pokriva novi proizvod, značajku ili priopćenje za tisak, i zatim detaljniju priču nekoliko dana kasnije koja ide u detalje, ponekad od drugog urednika koji može imati drugačiji usredotočenost.

Ne mogu razgovarati sa svim drugim stranicama o tehnologiji koje čitate, ali tvrtke cijelo vrijeme objavljuju priopćenja za tisak i ažuriranja, pa ćete vidjeti pokrivenost s više stranica otprilike u isto vrijeme. Web-mjesta također žele maksimizirati količinu kilometraže koju izvuku iz bilo koje teme, tako da će često objavljivati ​​više priča za isti ritam vijesti. Ne mislim da je ovo dokaz goleme zavjere da se svi navedu na odustajanje od kontrole nad svojom digitalnom sigurnošću, ili da je Ars preuzeo veliku tehnologiju ili bilo što drugo.

Ovaj model izvještavanja o tehnološkim vijestima događa se doslovno za sve, pa ako vas ovo brine, onda je pošteno. Ali nije da se izvještavanje o pristupnim ključevima previše razlikuje od bilo koje druge tehnološke vijesti vezane uz proizvode ili usluge.