Ako je uređaj s pristupnim ključevima potpuno ugrožen; ima li zločesti akter sada pristup autentifikaciji svim mojim računima posvuda s tog uređaja (budući da ima zaporke i prosljeđuje sve sigurnosne mjere koje taj određeni uređaj koristi)?
Mislim: shvaćam da moj Yubikey ima sličan problem (ako ga netko fizički ima, može doći do svih mojih stvari), tako da ovo nije nužno novo; ali ipak.
Iako Dan Goodin odlično radi objašnjavajući prednosti Googleovog sustava zaporke u pogledu privatnosti i sigurnosti, moram slobodno priznati da ne vjerujem Googleu ni u čemu. Posebno Google Cloud.
Moram se zapitati kako je Google unovčio ili će unovčiti svoj sustav zaporki?
Mogu samo pretpostaviti da ćemo platiti našim privatnim osobnim podacima koji su stavljeni na prodaju, mislim na sigurno dijeljenje s trećim osobama od povjerenja stranke uz naknadu ili prema zakonu, ili korporativnoj politici za poboljšanje svijeta ili samo zato što tako žele.
Bio bih spreman platiti a razuman JEDNOKRATNA naknada za sustav provjere autentičnosti pristupnog ključa koji je uistinu, dokazivo izvan svake razumne sumnje, privatan i siguran.
Dakle, štiti li ovo od zlonamjernog softvera koji preuzima informacije o kolačićima preglednika na uređajima nakon prijave? Ako sam se danas prijavio na ovaj način na Chromeu na računalu sa sustavom Windows, hoće li se sutra automatski prijaviti bez ponovnog unosa zaporke, što bi stvorilo ovaj sigurnosni rizik? Ili zahtijeva prijavu svaki put, što je sigurnije, ali vjerojatno nije omiljeno zbog upotrebljivosti od strane korisnika koji su manje svjesni sigurnosti?
Samo bih želio da se račun može prenijeti na standardni račun, prenijeti preko aplikacija i kupnje medija, i da mi se omogući da ga nastavim koristiti na svim prijavama na web-mjesta trećih strana. Nije me briga za pozadinske stvari.
Platio bih čak i luku.
To bi moglo biti zabavno... Bio sam u nekim državnim ustanovama i ne dopuštaju vam da unesete ništa s bežičnim funkcijama ili kamerama (dakle, bez telefona, bez bluetooth/wifi uređaja itd.). Ako se trebate prijaviti na nešto, morate upotrijebiti post-it ceduljicu za snimanje 2FA koda sa svog telefona izvana i donijeti samopost-it ceduljicu unutra da upišete "odobreni" tok (što je PITA, to bi trebala biti neka vrsta olimpijske sportske oznake kroz vrata i vrata koja prolaze stepenicama kako bi se vratila na računalo prije koda ističe).jlpicard2 je rekao:Pretpostavljam da bi sva stolna Windows računala koja se koriste u tvrtkama i vladi trebala puno Bluetooth ključeva da to provedu.
Kliknite za proširenje...
Pretpostavljam da bi vlada željela nešto bez bežične veze...iako se čini da mnogi također zabranjuju stvari koje izgledaju kao flash pogoni (a jedan sam i ja bio na nečijoj ceremoniji umirovljenja zapravo je potrebno isprazniti džepove TSA stil da me pregledaju ulazak provjeriti ima li krijumčarenje).
Moram se zapitati koliko je to sigurnije u praksi. Čini mi se da je to prilično složen sustav s puno pokretnih dijelova. Što je nešto složenije, veća je vjerojatnost da postoje sigurnosni problemi.catcat je rekao:Barem na strani Applea, šifre se sinkroniziraju putem iCloud Keychaina. Dakle, ako imate više uređaja, zaporke će raditi na svima njima. Mogu se neprimjetno prijaviti koristeći svoj telefon, svoj desktop Mac, svoj iPad itd.Mislim da mnogi problemi i nedoumice oko oporavka i podrške za više uređaja nestaju kada počnete dobivati rješenja treće strane za pristupni ključ od tvrtki kao što su 1Password i Bitwarden. Milijuni ljudi već im vjeruju sa svim svojim lozinkama; povjeriti im pristupne ključeve zapravo nije ništa drugačije, ali je sigurnije.
Ipak, pitam se o problemu "prosječnog korisnika". Zaporke ciljaju na ljude poput moje mame, koji posvuda koriste nekoliko istih zaporki. Ali nema jamstva da će se držati Androida za svoj sljedeći telefon, a ne živi posvuda unutar Googleovog ekosustava - umjesto toga ima hrpu računa. Oduvijek je radila stvari na ovaj način i nisam siguran da bi se sada htjela ili uopće mogla promijeniti.
Kliknite za proširenje...
Dobivam teoretski napredak, ali vrag je u detaljima (implementacije). Mislim da ću radije pričekati i vidjeti nego uskočiti s obje noge.
Pretpostavljate da bi to bile one užasne, užasne nesigurne lozinke? Hmmm...balthazarr je rekao:Dakle, koja je zamjena ako je vaš telefon izgubljen/ukraden/uništen/itd?
Kliknite za proširenje...
Ovo se čini tako užasnom idejom. Ako znate što radite, čini se da nije ni lakše, ni brže, ni sigurnije. Radije ne bih povjerio svu svoju sigurnost da imam drugi uređaj sa sobom. I brinem se zbog toga što agenti na granici moći moraju zahtijevati biometriju uređaja, a kroz to i pristup svemu za što imate prijavu.
"Upalili ste ih, zar ne?" Dragi bogovi, ideja o ranom prihvaćanju tako revolucionarnog i zabrinjavajućeg koncepta u kojem greške tek treba biti ispravljena je... orašasti plodovi. Čak i da sam uzbuđen zbog ovoga, čekao bih pola godine prije nego što ih uključim. Ovdje su rizici od nepredviđenih rubnih slučajeva preveliki.
Radije bih da drugi uređaj bude mali RFID/BT ključ/kartica koju možete imati na fizičkom privjesku za ključeve ili u novčaniku/torbici. Dovoljno jeftin da možete imati sigurnosnu kopiju kod kuće ili negdje drugdje. Ne telefon. Iako obično imam telefon sa sobom, ne želim biti zaključan ako iz bilo kojeg od prethodno navedenih razloga nije dostupan.
Među brojnim problemima koji me čine skeptičnim, zahtjev za bluetooth je tvrdo "Ne".
Onemogućen na mom telefonu od prvog dana, ali nikada na mom laptopu.
Potpuni usrani komunikacijski protokol i nikada ne bi trebao biti dio bilo koje sheme provjere autentičnosti.
zgrabiti tvoj telefon,
dodirivanje aplikacije,
fotografiranje vašeg zaslona i
dodirnite što učiniti s tom informacijom...
...je "lakša" operacija od unosa lozinke iz memorije, ili automatskog dovršavanja pomoću upravitelja lozinki, ili kopiranja i lijepljenja pomoću upravitelja lozinki.
Možda postoje druge prednosti, ali nipošto nije lakše.
Ukratko, uz nekoliko minuta obuke, zaporke je lakše koristiti nego zaporke
Kliknite za proširenje...
Jednostavno nije.
Zaporke su sigurnije nego lozinke, i da, koristim ih koliko god mogu (moje primarno računalo, stolno računalo, nema nikakvu biometriju pa ih ne mogu tamo koristiti), ali prestani mi govoriti da je lakše kad nije. Zaporke su tisuću puta složenije od lozinke s dobrim upraviteljem lozinki - a svi preglednici dolaze s dobrim upraviteljima lozinki.
U konkretnom slučaju, upravo sam se pokušao prijaviti na svoj Google račun sa svojim pristupnim ključem, ali nije išlo. Vjerojatno postavka ili nešto slično u mom pregledniku... ali što god bilo, trebalo mi je pet minuta rješavanja problema prije nego što sam odustao i napravio drugi pristupni ključ za preglednik koji ga već ima. Nema veze s "nekoliko minuta obuke" Ja sam entuzijast sigurnosnih tehnologija koji nekoliko godina pomno prati pristupne ključeve i njihove prethodnike.
Čak nikome u svojoj obitelji ne govorim da šifre postoje, a kamoli da potičem usvajanje.
Zaporke su opcija za prijavu. Oni nisu ili/ili stvar. Možete omogućiti pristupne ključeve i prijaviti se s lozinkom kad god želite. Ako se pristupni ključ na neki način izbriše ili ošteti, još uvijek se možete prijaviti svojom lozinkom. Ili se možete prijaviti s nekog od svojih drugih uređaja. Možete omogućiti zaporke i nikada ih ne koristiti. Ne vidim scenarij u kojem bi pristupni ključ sinkroniziran s vašim uređajem olakšao Googleu obustaviti vaš račun. Googleu je beznačajno samovoljno obustaviti vaš račun prema trenutnoj paradigmi zaporke. Kada račun koristi pristupne ključeve, Googleu nije ni teže ni lakše. Uz to, imajte na umu da je Google samo jedan od mnogih servisa u oblaku koji će sinkronizirati vaše zaporke. Ako ne vjerujete Googleu, možete dati da ih sinkronizira 1Password ili vaš preferirani upravitelj zaporki ili Microsoft ili Apple. Postoji mnogo više opcija za korištenje pristupnih ključeva nego što kritičari koji ovdje komentiraju shvaćaju.
Zaporke su apsolutno otporne na SIM swapove. Zaporke se uopće ne oslanjaju na telefonski broj. Oslanjaju se na privatni ključ koji se može pohraniti na svakom uređaju. Netko može preuzeti kontrolu nad vašim brojem, ali mu to nikako ne dopušta da preuzme kontrolu nad privatnim ključem. Ako izgubite telefon, trebali biste pristupiti svom računu s drugog uređaja i izbrisati ga pristupni ključ pohranjen na vašem telefonu, ali ova najbolja sigurnosna praksa vrijedi čak i pod strujom sustav.
I ne, ne morate imati telefon sa sobom svaki put kada se prijavljujete. Vaš telefon ili drugi uređaj potreban vam je samo kada se prvi put prijavljujete na račun na drugom uređaju. Ako nijedan drugi uređaj nije dostupan, također se možete prijaviti sa svojom lozinkom na način kako ste to uvijek činili. Zaporke su doista lakše koristiti od lozinki kada se prijavljujete s uređaja koje obično koristite za pristup svom računu
Mnoge dosadašnje kritike temelje se na temeljnim nesporazumima o pristupnim ključevima. Idite naprijed u komentarima, nemojte kritizirati ako ga niste prvi isprobali.
Moj telefon je...obično negdje u kući, iako ga redovito moram nazvati s fiksne linije ili koristiti "pronađi moj telefon" za reprodukciju buke da ga pronađem vjerojatno jednom tjedno ili tako nešto. A ponekad sam u žurbi i zaboravim to na odlasku na posao.Beyond Opinion je rekao:Moj telefon je uvijek u džepu na stolu pored mene i mogao sam koristiti otključavanje otiskom prsta čak i sa oguljenim žuljevima od sviranja gitare ili vrhom prsta premazanim osušenim super ljepilom (nemoj pitati). Vidim kako zaporke nisu poboljšanje za sve, ali ni jedan od ovih problema me ne bi odvratio od toga.
Kliknite za proširenje...
I radim na mjestu koje ne dopušta osobnu elektroniku pa moram koristiti uređaje koje je izdala tvrtka kad sam na poslu, a osobni telefon stoji u autu ili ormariću cijeli dan. Što je dijelom razlog zašto mi ne nedostaje TOLIKO ako ga zaboravim kod kuće. Nešto više neugodno ako ga zaboravite u ormariću u uredu i ne shvatite dok se ne vratite kući bez njega.
Iako to još uvijek ne rješava koliko često otključavanje otiskom prsta ne uspije na više uređaja više marki, a sada to uglavnom ignoriram jer je pin brži i pouzdaniji za upisivanje.
Pa, da, mislim da ću promijeniti ovu bebu pravo na. jedva cekamU ansamblu pristupnih ključeva nedostaju neki glavni dijelovi. Za sada, Chrome na macOS-u treba vlastitu lokalnu šifru. Podrška za Firefox još nije dostupna na macOS-u, a nisam uspio natjerati ni taj preglednik da radi na Windows 10. Za Android su stvari još ograničenije. Trenutno zaporke koje sinkronizira Google ne rade s preglednicima [...].ChromeOS uopće nema podršku za zaporke. [...] Što je najvažnije od svega, Linux uopće ne radi s pristupnim ključevima.
Ovaj nedostatak besprijekorne integracije među operativnim sustavima i preglednicima rezultat je toga što su različiti igrači u prednosti ili zaostatku za svojim kolegama. Zaporke su u tijeku s mnogo pokretnih dijelova. [...]
Kliknite za proširenje...
Također, nakon što sam pročitao beskrajan, zatupljujući, zapanjujući svitak detalja i slika u ovom i drugim člancima, samo zamišljam pakao na Zemlji koji će uložiti napor da se objasni kako se ovo koristi masama koje su jedva shvatile kako koristiti nešto tako jednostavno kao što su korisničko ime/lozinka vjerodajnice i lozinka menadžeri. Ja, na primjer, ne bih želio pokušati obučiti korisnike u svojoj organizaciji da koriste ove stvari, pa čak ni ne razmišljati o mojoj majci.
EDIT: Dobro. Vas trenirati ih.
Ne nosite sa sobom kreditne kartice, gotovinu, osobnu iskaznicu, čak možda i putovnicu?mmiller7 je rekao:Kako osigurati da vaši kodovi za oporavak nisu kopirani/kompromitirani tijekom putovanja? Ne bih želio da dokument tako visoke vrijednosti bude bilo gdje kod mene ili u mojoj prtljazi na putovanju, želio bih da bude zaključan u sefu kod kuće.
Kliknite za proširenje...
Promijenite ih kad dođete kući. Ako netko želi provaliti u moju sobu ili mi opljačkati te kodove i također dobiti moje (jake) lozinke, sve u roku od tjedan ili dva, onda su dobrodošli im jer sam u tom trenutku na meti nacionalne države i njihova sljedeća opcija je da me tuku francuskim ključem dok ne uđem u svoj lozinka. Možda ih neću donijeti ako putujem u Iran s državnim tajnama na svom računu e-pošte, pretpostavljam.
Uredi: ako ste uopće zabrinuti zbog scenarija koji je opisala osoba koju citiram, onda je jedina potpuno pouzdana alternativa onemogućiti 2FA tijekom putovanja, što je očito gore.
Bilo je to 1400 riječi do tog trenutka i uključivalo je hrpu upozorenja poput "ova kombinacija preglednika/OS-a radi, ali ne na ovom OS-u, treba da vaš telefon bude uz vas, itd". Zvuči kao noćna mora.Uz osnovni početni korak u korištenju pristupnih ključeva,
Kliknite za proširenje...
Koristim web-bluetooth za neke prototipove ili interne alate, a ova implementacija pristupnog ključa zvuči otprilike polovično i zahtijeva isto toliko upozorenja. „Sjajno je i divno! Oh, radi samo na MacOS-u i Androidu u Chromeu, ali ne i na iOS Chromeu, a samo ponekad na Windowsu, a na MacOS-u ponašanje write() malo je drugačije pa ova značajka radi samo na Android".
U ovom trenutku, kada mama zapne (što se često događa), imam sve njezine vjerodajnice za prijavu u svom vlastitom upravitelju lozinki i mogu je natjerati da mi pročita bilo koji 2FA SMS kod.
Teško dodavanje.
Postoji jedan detalj koji sam propustio u informativnim člancima o pristupnim ključevima. Uzmimo prosječnu osobu koja ima telefon i Windows ili Mac. Pretpostavimo da su sve postavili s ključevima koji su sigurno pohranjeni na njihovom telefonu i računalu. Pretpostavimo također da su normalni ljudi koje živcira stalno otključavanje sustava (i zbog čestih kvarova biometrije), pa isključuju ili minimiziraju potrebu za ponovnom autentifikacijom uređaj. Što se događa kada zlonamjerna osoba preuzme kontrolu nad njihovim telefonom ili računalom?
Za svoj Google račun, ponovno sam registrirao svoje YubiKeys koje sam koristio kao 2FA da budu pristupni ključevi. Kod 2FA, autentifikacija je bila Google lozinka + hardverski ključ FIDO U2F. Sa pristupnim ključevima, to je FIDO2 hardverski ključ + FIDO2 PIN ključa.
Pa, prethodni članak ovdje imao je slogan koji kaže: "Promjena je vjerojatno užasna ideja u ovom trenutku," tako da ne, nisam
Zvuči kao da ovo nije toliko "jednokratni zahtjev" koliko jednokratan po računu, po uređaju. To mi je velika razlika. Imam više od stotinu računa u svom upravitelju lozinki. Ako ih eventualno prebacim na pristupne ključeve, trebat će mi način da ih masovno premještam između uređaja i platformi.Postupak provjere autentičnosti na više uređaja koji uključuje QR kodove jednokratni je zahtjev. Nakon dovršetka, korisnik sprema pristupni ključ u preglednik ili platformu koja se uključuje. Ovo se ne čini ništa većom gnjavažom od postavljanja sinkronizacije zaporke na novoinstaliranom pregledniku.
Kliknite za proširenje...
Sinkronizacija lozinki s iCloudom, Chromeom ili Firefoxom zahtijeva samo jednu prijavu na novi uređaj da biste dobili pristup svim vašim lozinkama, a barem u slučajevima Chromea i Firefoxa, radi na gotovo svim platforma.
Ponovit ću ono što su drugi rekli: dok ne postoji rješenje otvorenog koda za više platformi, neću ulagati vrijeme u ovo. U praksi to znači Keepass ili Bitwarden. (Molim vas da me ispravite ako postoje drugi upravitelji lozinkama otvorenog koda za koje bih trebao znati.)
panton41 je rekao:Eh...Koliko sam shvatio, ovo je novi industrijski standard, a ne samo Google. Pričekat ću da ga Apple i Microsoft u potpunosti implementiraju prije nego što se mučim, budući da zapravo ne koristim Googleove proizvode osim YouTubea.
Kliknite za proširenje...
Čestitamo, vratili ste se u prošlost!
Apple već u potpunosti podržava Passkeys na strani klijenta i podržava ih kao 2FA na strani poslužitelja. Oni jednostavno ne rade bez lozinke (jer se morate nekako moći prijaviti na iCloud da biste vratili svoju sigurnosnu kopiju iCloud Keychain...)
Google je ovaj komplicirani krvavi nered u kojem oni
(1) podržati tipke specifične za platformu u sustavu Windows (pomoću Windows Hello) i macOS-u (iako ne na način na koji je Safari to radio prije lozinki). Također podržavaju tipke specifične za platformu na ChromeOS-u. Svi su oni žigosana Zaporke sada, ali zapravo nisu zaporke. To su samo stari ključevi specifični za platformu s novom naljepnicom na vrhu.
(2) Podržava ples QR koda na svim preglednicima stolnih računala, uključujući Linux (navedeno zbog njegove odsutnosti gore...), koji radi sa šiframa na bilo kojoj platformi koja ih podržava.
(3) Imat će prave pristupne ključeve Real-Soon-Now gdje ih dijele na platformama na Windowsima, macOS-u i Androidu. Dijelit će ih prema OS-u, a ne prema pregledniku. Dakle, sve vaše instance Chromea na Windows uređajima dijelit će se, ali jadni Mac bit će potpuno usamljen. Ne postoji dokumentirani plan za ChromeOS i dijeljenje za koji ja znam. Linux to uopće neće dobiti.
(4) Ima prijavu bez lozinke na strani poslužitelja gdje radi. A gdje nije, vraćate se na stari sustav. I umjesto toga mogu biti 2FA.
Firefox će... vuku se i polovično implementiraju nešto na neke platforme, kao i sve ostalo što su radili s FIDO2. (Mislite da se šalim? Podržavaju tipke specifične za platformu na Windows Hello. To je to. Podržavaju USB sigurnosne ključeve. Samo neki od njih na Linuxu. Ne svi, bez obzira na to koliko imaju FIDO2 certifikat)
Edge, nemam pojma. Nikada nisam stvarno probao. Ali proveo sam prokleto predugo pišući FIDO2/Webauthn kod i stvari o šifri. Zaporke čak možete učiniti transparentnima ako želite - nema "klikni za pokušaj", samo detektira da vaš preglednik ima lokalnu zaporku kojoj može pristupiti i iskače s pitanjem želite li je upotrijebiti. Nisam još stigao tako daleko, ali razmišljam o tome.
Uredi: Oh zašto je Linux jadni rođak? Za to je krivo rukovanje TPM-ovima. Postoje 4 različita načina na koje možete pristupiti TPM-ovima. TPMv1.2, imate upravljački program uređaja kojem biste trebali pristupiti putem brokera korisničkog područja. Da, ne. To pobija cjelokupnu svrhu postojanja TPM-a, jer ima presretljivi korisnički proces. TPM2 su to popravili! Ima vozača... kojima se može pristupiti samo serijski. Postoji kernel broker! Postoji broker za korisničku zemlju! Čekaj, što? Da, opet su to učinili...
Postaje još bolje kada već postoje lažni TPM drajveri pod Linuxom, tako da stvarno ne možete vjerovati da je prokleti TPM stvarno TPM, i stoga nema načina da dobijete FIDO certifikat za Linux distribuciju osim ako ne učinite ono što je Google učinio s ChromeOS-om, a to je da ga ludo zaključate.
Edit 2: i zapamtite, većina web-mjesta već podržava Passkeys kao 2FA, jer su oni samo još jedan FIDO2 autentifikator. Potreban vam je samo preglednik koji ih podržava, bilo komplicirana glupa zbrka kakva je Chrome ili Safari. Kasnije ću isprobati Edge i vidjeti što radi.
Edit 3: Stvarno smo se vratili u prošlost - Edge je poput Chromea. Desktop Edge dobro pleše s QR kodom. Vjerojatno je sve samo naslijedio od Chromiuma.
Nemam putovnicu, ali ostatak ostaje u mom novčaniku i lako se može zamijeniti ako je ugrožena.randomuser42 je rekao:Ne nosite sa sobom kreditne kartice, gotovinu, osobnu iskaznicu, čak možda i putovnicu?Promijenite ih kad dođete kući. Ako netko želi provaliti u moju sobu ili mi opljačkati te kodove i također dobiti moje (jake) lozinke, sve u roku od tjedan ili dva, onda su dobrodošli im jer sam u tom trenutku na meti nacionalne države i njihova sljedeća opcija je da me tuku francuskim ključem dok ne uđem u svoj lozinka. Možda ih neću donijeti ako putujem u Iran s državnim tajnama na svom računu e-pošte, pretpostavljam.
Kliknite za proširenje...
Postalo je bolje (iako nisam mnogo putovao zadnjih nekoliko godina), ali neko vrijeme od 2014.-2017. činilo se kao da su moje kreditne kartice ugrožene svaki drugi put kad sam išao na put i još uvijek nisam potpuno siguran kako. Iako je, srećom, bilo trivijalno svaki put obaviti telefonski poziv i dobiti ih ponovno i poništiti optužbe za prijevaru.
Barem netko tko vrši pritisak na vas da otkrijete podatke za prijavu je očiglednije da su vaše stvari probijene nego potencijalno kopirani list sa svim vašim uslugama/korisničkim imenima/lozinkama koje za neke možda ne znate vrijeme.
Također poznajete mnogo ljudi koji su izgubili novčanike ili druge stvari tijekom putovanja. Džepovi se mogu pokupiti ili stvari mogu ispasti (osobito stražnji džep) i sada ih nema.
Čak i da sam sumnjao u to, nisam bio potpuno siguran kako bih natjerao uslugu da poništi sve moje kodove za oporavak i izda nove. Nekolicina onih koje imam i koji ih upotrebljavaju jasno su rekli da ih držim zaključane za hitne slučajeve i da ih zabilježim tijekom postavljanja ili ih kasnije možda neću moći ponovo dobiti. Nisam siguran mogu li se mijenjati ili ne.
- "Google"
Ne, prvo ću vidjeti hoće li se držati toga dulje od 3 mjeseca. Neću se potruditi postaviti ovo na svim svojim uređajima i računima samo da bi oni otkazali cijelu stvar kada postane im dosadno i to im ne donosi odmah trilijun dolara prihoda svaki dan i moraju sve promijeniti leđa.
