Tidak dan sama sekali tidak.Konteks artikelnya adalah masuk ke kredensial Google dengan kunci sandi. '3 Besar' dan juga beberapa lainnya menawarkan escrow dan pemulihan kunci, namun situs menggunakan kunci sandi secara langsung - jika Anda menggunakan kunci sandi dengan Best Buy, mereka tidak akan memeriksa dengan Google misalnya (Kecuali Anda menggunakan 'log masuk sosial' dari kursus). Dalam konteks itu, Google menghapus akun Anda berarti jika ponsel Anda mati, segalanya bisa menjadi tidak pasti. Mereka pada dasarnya adalah yubikey dengan opsi pemulihan - jadi sedikit kurang aman karena kunci pribadinya ada di escrow yang memecahkan 50% masalah dengan yubikeys (label harga dan dukungan aplikasi adalah sisanya nyeri).Setiap sistem yang tampaknya dapat menyimpan kunci sandi sepertinya mengharuskan Anda mempercayai tiga besar (Apple, Google, Microsoft) untuk tidak menghapus akun Anda tanpa peringatan. Dalam kasus saya, jika Apple menghapus akun iCloud dan gantungan kunci saya, saya kehilangan akses ke semua yang diamankan dengan kunci sandi. Bandingkan dengan apa yang terjadi saat ini, jika saya menghancurkan Yubikey utama saya: Saya pergi ke bank saya, tunjukkan keduanya bentuk ID, gunakan kunci fisik saya untuk mengambil cadangan Yubikey dari brankas, dan lanjutkan kehidupan.
Kecuali ada konsekuensi serius dan jangka panjang bagi perusahaan penyedia layanan infrastruktur yang bertindak secara sepihak, saya tidak akan menggunakan cara ini. KeyPass/BitWarden dapat menghasilkan kata sandi yang kuat, Anda dapat membeli kunci Webauthn sebanyak yang Anda inginkan dari berbagai vendor. Dengan kunci sandi, Anda hanya perlu satu langkah penghapusan (otomatis, tidak dapat dinegosiasikan) agar tidak terkunci secara permanen dari seluruh kehidupan online Anda.
Jika Anda ingin memberikan kekuatan itu kepada perusahaan, jadilah tamu saya. Saya akan menunggu sampai hal ini diperlakukan seperti perusahaan air atau listrik yang memutus layanan tanpa alasan yang jelas: denda yang besar dan merugikan.
Saya tidak yakin saya memahami bagaimana alur kerja yang diperlukanJika Anda menyalin-menempelkan kata sandi (atau mengetiknya dari memori, yang memiliki masalah lain dalam skala besar), Anda rentan terhadap phishing. Jadi kunci sandi akan menjadi peningkatan keamanan yang besar bagi Anda.
meraih ponselmu,
memanfaatkan suatu aplikasi,
mengambil gambar layar Anda, dan
mengetuk apa yang harus dilakukan dengan info itu......adalah operasi yang "lebih mudah" daripada memasukkan kata sandi dari memori, atau melengkapi otomatis dengan pengelola kata sandi, atau menyalin dan menempel dengan pengelola kata sandi.
Mungkin ada manfaat lain, tapi tidak semudah itu.
Untuk akun Google saya, saya telah mendaftarkan ulang YubiKeys yang saya gunakan sebagai 2FA untuk menjadi kunci sandi. Dengan 2FA, autentikasinya adalah kata sandi Google + kunci perangkat keras FIDO U2F. Dengan kunci sandi, itu adalah kunci perangkat keras FIDO2 + PIN FIDO2 kunci.
Tak satu pun dari “tiga besar” perusahaan teknologi yang akan menjadi penjaga kunci sandi Anda. Kunci sandi disimpan di perangkat. Jika Anda tidak ingin menyinkronkan kunci sandi Anda melalui layanan tertentu, masukkan kunci sandi yang sama di beberapa perangkat. Anda hanya punya satu perangkat Dan sekarang sudah hilang? Itu adalah masalah yang sama dengan pengelola kata sandi tanpa sinkronisasi. Pada akhirnya Anda harus mengautentikasi ulang dengan layanan yang berbeda seperti yang Anda lakukan dalam kasus serupa ketika terkunci. Kebanyakan orang akan menyinkronkan kunci sandi mereka seperti mereka melakukan kata sandi. Dan tidak, jika Google menutup akun Anda, mereka tidak dapat menonaktifkan kunci sandi yang sudah Anda miliki di perangkat Anda. Anda akan kehilangan layanan sinkronisasinya, tetapi Anda dapat mulai menggunakan layanan sinkronisasi lainnya.
Kunci sandi tidak dapat diphishing, tidak dapat dilupakan, tidak dapat diperoleh melalui kebocoran data, dan pada dasarnya bersifat unik dan aman. Ini merupakan kemajuan yang sangat besar. Mereka juga lebih mudah digunakan karena begitu ada di perangkat Anda, autentikasinya sederhana.
Saya menggunakan Yubikey untuk ini, bukan Android atau iOS. Ini berarti saya tidak terikat pada Google/Apple untuk dapat mengelola kunci saya, dan saya juga tidak perlu khawatir akun saya akan disusupi dan menyebabkan kebocoran kunci sandi.
Sebagai perbandingan dengan login Akun Google, saya juga telah menggunakan Yubikey ini untuk mengakses akun Microsoft saya selama beberapa waktu sekarang.
Microsoft bekerja di semua browser utama di desktop (kecuali Safari di MacOS terakhir kali saya memeriksanya). Google sepertinya membutuhkan Chrome.
Microsoft memiliki opsi di bawah bidang nama pengguna untuk masuk dengan cara yang berbeda, lalu Anda memilih Windows Hello atau Kunci Keamanan, masukkan kunci ke port USB, masukkan PIN, dan tekan tombol di atas. Ia kemudian akan menanyakan akun mana (jika Anda memiliki beberapa akun yang disimpan), dan Anda langsung masuk. Anda bahkan tidak perlu mengingat nama pengguna/alamat email Anda.
Google mengharuskan Anda memasukkan nama pengguna/email Anda, lalu meminta kunci untuk dimasukkan. Anda kemudian perlu memasukkan PIN, dan Anda akan login.
Dari sudut pandang kegunaan, Microsoft lebih baik karena Anda tidak perlu mengingat email Anda. Bagi penonton Ars, ini mungkin berdampak negatif. Namun jika Anda mendukung kakek-nenek berusia 70 tahun, semakin sedikit hal yang perlu mereka ingat, semakin baik. Saya belum mengonfirmasinya, tetapi kelemahan sistem MS adalah Yubikey hanya mendukung sejumlah kredensial tersimpan tertentu, sedangkan dari apa yang saya lihat dalam penelitian saya, metode Google pada dasarnya membuat Yubikey menghasilkan kunci pribadi khusus untuk berbasis situs tersebut pada kunci pribadi internal, PIN Anda, dan beberapa informasi yang disediakan oleh situs dan browser, setiap kali diperlukan untuk menjalankan autentikasi. Keduanya sepertinya menggunakan kunci pribadi internal khusus untuk Yubikey, PIN Anda, beberapa informasi tentang domain yang disediakan oleh browser, dan spesifik informasi yang diberikan dari situs yang Anda kunjungi untuk melakukan jabat tangan, yang mencegah serangan MITM berhasil karena mereka tidak dapat memalsukan semua itu data.
Saya tidak yakin apa yang hilang di Firefox untuk implementasi Google vs Microsoft, mengapa tidak mendukung sistem kunci sandi yang baru. Atau hanya Google yang tidak meminta kunci sandi karena Firefox belum mengimplementasikan bagian Bluetooth yang memilikinya efek samping tidak mendukung Yubikeys/token perangkat keras karena Firefox tidak diminta oleh login Google lokasi.
--
Jika Anda kehilangan kunci sandi dan tidak memiliki kunci sandi cadangan, cadangan keamanannya adalah login dengan cara Anda login sebelum kunci sandi. Jadi biasanya password + OTP. Meskipun ini berarti situs tersebut mendukung sistem autentikasi yang kurang aman, satu keuntungannya adalah Anda tidak mendukungnya menggunakan kata sandi secara teratur, sehingga kecil kemungkinannya untuk dibocorkan atau disadap oleh phishing/MITM menyerang.
--
Dari sudut pandang keamanan, Anda dapat melihat kunci sandi sebagai dompet kata sandi dengan dukungan situs terbatas. Jika menggunakan Yubikey, dompet adalah perangkat keras di saku Anda, dilindungi oleh PIN. Jika menggunakan kunci sandi Android/iOS, dompet disinkronkan dalam sistem cloud dan dilindungi oleh kata sandi akun Anda + biometrik. Jika Anda kehilangan perangkat, ini mirip dengan kehilangan file kata sandi.
Begitu mereka berhasil menemukan semua permasalahan yang ada, hal ini berpotensi mengubah banyak hal dalam lanskap keamanan, seperti yang akan dilakukan oleh individu yang tidak sadar akan keamanan. tidak lagi menolak persyaratan kata sandi yang aman atau harus memikirkan cara menggunakan dompet kata sandi dengan benar, dan cara mengakses/menyinkronkannya di beberapa perangkat. Dengan menjadi dompet kata sandi, kunci sandi menghasilkan kata sandi yang benar-benar aman dan acak untuk setiap situs yang digunakan, dan dibuat dengan mempertimbangkan ketahanan terhadap phishing.
Bagaimana ini bisa mendapat suara negatif? Itu 100% benar.
Dia WHO, bukan Apa di halaman depan. Tidak ada kecintaan terhadap Google di halaman depan, sehingga dukungan mereka membuat banyak orang menentangnya sebuah standar industri.
Itu konyol.
Sekali lagi, para pembaca, jangan perhatikan para pemberi komentar ini.
Menggunakan kata sandi tidak boleh menjadi jawaban untuk sesuatu yang dimaksudkan untuk menggantikan kata sandi.
Ini agak konyol. Bagaimana lagi Anda mengautentikasi ke layanan yang sudah ada untuk memperbarui mekanisme otentikasi Anda? Selain metode QR-dan-bluetooth yang sudah dibahas. Dan meskipun permukaan serangan di sisi server tidak serta merta dikurangi dengan mengaktifkan alih-alih mengharuskan login kunci sandi, hal itu secara signifikan mengurangi permukaan serangan di sisi klien, karena Anda benar-benar terlibat dalam pertukaran kunci, yang diaktifkan oleh autentikasi tingkat OS. Dan itu adalah kemenangan bagi semua orang.
Jika Anda sampai pada titik di mana Anda tidak dapat mempercayai fitur keamanan OS Anda, sebaiknya buang saja perangkat komputasi Anda dan tayangkan di pulau tropis atau semacamnya. Pada beberapa titik tingkat kepercayaan tertentu harus diberikan pada beberapa perangkat lunak.
Ada banyak kebingungan di sini, menurut saya karena seluruh tumpukan teknologi telah diserahkan kepada kami dan disajikan sebagai hal yang wajar. Izinkan saya, sebagai orang bodoh, mencoba mendekonstruksinya dengan analogi dengan apa yang saya pahami: pasangan kunci SSH. Saya mengundang orang lain untuk mencari tahu kesalahan saya.1. Kunci autentikasi publik/pribadi. Ini bekerja kurang lebih sama dengan SSH. Situs web hanya mengetahui kunci publik Anda, dan Anda menandatangani pesan untuk membuktikan bahwa Anda memegang kunci pribadi.
2. Perlindungan anti-phishing. Kunci bersifat khusus untuk suatu situs, sehingga situs phishing mendapatkan kunci yang berbeda. SSH memiliki kunci host untuk ini, saya berasumsi keypass menggunakan ada hubungannya dengan kunci host TLS? Browser Anda menggunakannya untuk memilih kunci mana yang akan digunakan? Atau hanya dengan nama DNS?
3. Berarti membuka kunci untuk membuktikan bahwa pengguna yang benar sedang menggunakannya. SSH memiliki frasa sandi, saya berasumsi di sinilah peran biometrik/Bluetooth? SSH juga dapat membuka kunci dengan kartu pintar, jadi menurut saya biometriknya mirip dengan mode buka kunci lainnya?
4. Menyinkronkan kunci antar perangkat. Di sinilah mungkin 'ekosistem' cloud berperan, seperti sinkronisasi kata sandi iCloud dan Chrome? Untuk SSH tidak ada dukungan, tapi Anda bisa memasaknya sendiri dengan rsync atau apalah?
Apa salahku?
Jika hal di atas secara umum benar, saya dapat membayangkan membangun tumpukan terbuka yang pada dasarnya melakukan hal yang sama seperti SSH menggunakan tumpukan file di ~/.ssh dan rsync untuk berpindah antar perangkat. Itu adalah pendekatan 'sepeda' di mana semua bagian yang bergerak diekspos dan mudah untuk memahami apa yang sedang terjadi.
Ini tidak hanya diberikan kepada orang-orang - ini adalah pembaruan untuk FIDO2, yang merupakan versi kedua dari standar tersebut. U2F adalah FIDO1; ini CTAP 2.2 ([edit: Dikoreksi dari WAG saya 2.4 yang salah, terima kasih Masih Salah!]), bagian dari FIDO2/WebAuthn. Sebenarnya tidak ada yang rumit dalam hal ini... mereka telah melonggarkan persyaratan Authenticator sehingga kunci pribadi dapat (harus...) disalin dengan aman, dan menambahkan beberapa fitur Javascript untuk membuat hidup lebih mudah. Login tanpa kata sandi? Selalu dimungkinkan dengan FIDO2. Itu bagian menariknya - FIDO1 hanya bisa menjadi MFA. Menambahkan kunci pribadi ke browser Anda yang disimpan di elemen TPM atau aman? Selalu mungkin, dan sebelumnya diterapkan di Chrome, Firefox dan Safari. Apa yang baru adalah bahwa hal itu dapat disinkronkan, dan diakses melalui omong kosong BT/QR. Sebelumnya, ini disebut (dan ditandai ke situs web) sebagai "kunci khusus platform", berbeda dengan kunci portabel yang merupakan perangkat keras. Sekarang PassKeys.
Karena inti dari sistem kunci sandi tampaknya adalah untuk menghilangkan kata sandi, izinkan saya mencantumkan beberapa manfaat kata sandi:
- mereka cukup sederhana untuk dipahami oleh siapa pun yang mampu secara mental mengoperasikan perangkat elektronik
- mereka mudah diingat jika Anda berusaha dan menggunakannya secara teratur
- mereka bekerja pada semua sistem operasi secara langsung
- mereka tidak memerlukan akses Internet (beberapa sistem offline karena alasan yang bagus)
- mereka tidak memerlukan kerja sama pihak ketiga mana pun
- mereka tidak memerlukan kehadiran smartphone atau gadget lainnya
- mereka tidak memerlukan Bluetooth, WiFi, kamera, atau baterai
- mereka dapat - dalam keadaan darurat - disimpan tanpa memerlukan listrik
- mereka dapat dengan mudah ditularkan ke orang lain tanpa menggunakan perangkat apa pun
- jika Anda tidak cacat dan tidak menggunakan ponsel cerdas, otentikasi dengan kata sandi hanya membutuhkan beberapa detik
Poin Anda #1, #2, dan #10 salah – tanyakan kepada siapa saja yang bekerja di dukungan teknis seberapa sering mereka harus melakukan pengaturan ulang kata sandi karena seseorang lupa kata sandinya, membiarkan tombol caps lock tetap menyala (atau salah posisi tangan di keyboard), atau menekan tombol berkali-kali hingga terkunci keluar. Ya, ya, saya tahu Anda secara pribadi selalu menyelesaikannya dengan sempurna tapi percayalah, siapa pun yang menerima panggilan pusat bantuan memiliki… kurang optimis… pandangan kemanusiaan. Saya juga akan menambahkan bahwa saya mendukung banyak pengguna tunanetra dan entri kata sandi secara besar-besaran menyebalkan bagi mereka karena banyak situs memiliki persyaratan kompleksitas yang sulit bagi pengguna pembaca layar dan jika Anda bukan seorang juru ketik sentuh yang mahir, mengatakannya dengan lantang tidaklah bagus. Itu adalah ceruk pasar, tetapi banyak orang yang membangun sistem autentikasi juga diwajibkan secara hukum untuk mendukungnya dengan baik, dan itulah salah satu alasan mengapa saya tertarik. teknologi sejak “Apakah Anda ingin masuk dengan kunci sandi Anda?” “Ya” setidaknya satu urutan besarnya lebih cepat dan mudah dibandingkan bentuk kata sandi apa pun + MFA bagi banyak orang pengguna.
Poin #3 berlaku untuk WebAuthn MFA tetapi selalu kunci sandi – sesuatu seperti Yubikey berfungsi di mana pun Anda memiliki USB/NFC tetapi Anda mungkin perlu menyetel PIN atau menggunakan kunci seri biometriknya untuk pelaksana kunci sandi seperti Google.com yang memerlukan lebih dari sekadar sederhana mengetuk.
Poin #5, #6, #7, dan #8 juga berlaku untuk semua bentuk WebAuthn – baik MFA maupun kunci sandi. Poin #4 benar kecuali untuk pertama kalinya Anda mendaftarkan perangkat saat menyinkronkan kunci yang ada. Setelah pertama kali Anda menyinkronkan kunci, Anda tidak memerlukan koneksi jaringan. Jika Anda tidak ingin melakukan sinkronisasi, Anda juga dapat membeli beberapa kunci biometrik Yubikey yang sekali lagi berfungsi sepenuhnya offline di mana pun Anda memiliki USB atau NFC.
Tinggal #9, yang merupakan praktik buruk dan harus dihindari sebisa mungkin. Sistem modern memiliki hal-hal seperti autentikasi berbasis peran, di mana orang tidak pernah berbagi kata sandi namun banyak orang diizinkan untuk mengambil peran tertentu, atau hal-hal seperti warisan atau delegasi. akun di mana Anda sekali lagi tidak pernah membagikan kata sandi tetapi memberikan satu atau, lebih baik lagi, beberapa orang yang diperlukan secara bersamaan kemampuan untuk melakukan sesuatu seperti mengatur ulang kata sandi Anda atau mendapatkan kendali atas file Anda.
Hanya karena ada sesuatu yang baru dan Anda belum mempelajari cara kerjanya bukan berarti hal itu buruk atau harus dihindari. Kunci sandi adalah perubahan besar bagi sebagian besar dari kita – kecuali .gov karena PIV/CAC sudah ada sejak abad sebelumnya meskipun hanya ada sedikit tempat lain mengadopsinya – namun mereka memiliki sejumlah peningkatan kegunaan selain manfaat keamanannya, dan terdapat jalur yang jelas untuk mengembangkannya beberapa bagian yang hilang (mis. Saya benar-benar ingin kemampuan untuk menyinkronkan kunci sandi Apple / Google ke Yubikey sehingga saya dapat menyimpannya di brankas tepat di kasus).
Ini jelas harus tersedia tidak hanya selama sinkronisasi, tetapi juga selama otentikasi, karena digunakan untuk itu. Dan itu juga harus tersedia pada saat pendaftaran awal.Dan itulah yang ingin saya jelaskan kepada Anda: Akan mudah untuk mengautentikasi dengan perangkat yang ada, dan menggunakannya perangkat untuk menambahkan kunci publik lain, yang dibuat di perangkat lain yang baru, dan dikirim ke perangkat lama oleh beberapa perangkat cara. Misalnya, saya dapat membuat pasangan kunci rahasia/kunci publik baru di mesin desktop saya, mengirim kunci publik ke laptop saya, masuk dengan laptop saya, dan menambahkan kunci publik desktop. Saya melakukan hal serupa dengan SSH sepanjang waktu.
Tidak ada kendala teknis di sini. Jika hal itu tidak mungkin dilakukan dengan kunci sandi, maka itu adalah pilihan.
Kunci pribadi tidak dapat diakses. Mengapa tidak mencarinya saja daripada mengulangi kebohongan berulang kali.
Dan sekarang saya lebih bingung dibandingkan sebelum saya mulai - Saya telah meneruskan artikel tersebut ke jurusan Ilmu Komputer/ahli ilmu komputer saya untuk menjelaskan berbagai hal, tetapi itu mungkin tidak cukup.
Kata sandi mudah dicerna. 2FA mudah dijelaskan. Kunci sandi agak masuk akal, tetapi ketika saya berpikir saya mungkin mendapatkannya, saya membaca paragraf berikutnya dan semakin tersesat.
Surga bantulah saudara dan orang tuaku.
Terima kasih telah mengatakan itu. Tanggapan dari Dan dan lainnya (misalnya, @WbdKomentar yang dipromosikan mengutip komentar saya) didasarkan pada kesalahan membaca komentar yang mendasar.Anda menyadari bahwa 1Password dan Bitwarden sedang mengerjakan dukungan kunci sandi, bukan?Saya tidak ingin mempercayai penyedia OS saya (Apple dalam kasus saya untuk perangkat seluler dan desktop) dengan kunci sandi dan responsnya berulang kali "Tapi kamu SUDAH PERCAYAKAN GOOGLE DENGAN PASsWORD ANDA." Ya, baiklah, saya memasukkan kata sandi acak yang panjang dari BitWarden/KeePass, dan mencolokkan Yubikey saya dan menekan tombol tombol. Ini tidak bergantung pada penyedia OS saya.
Dan tentu saja, saat ini ada pilihan untuk tidak menggunakan kunci sandi dan menggunakan kata sandi seperti sebelumnya, namun seluruh tren teknologi sedang menuju ke "TIDAK ADA LAGI KATA SANDI UNTUK SEMUA ORANG" stasiun dan jika saya berkata, "tapi tunggu dulu, jika saya terkunci dari semua akun lain karena penyedia OS saya memutuskan tidak menyukai saya, apa yang terjadi" Saya dipanggil troll dan salah informasi. Ada juga banyak kasus ekstrem yang dapat saya pikirkan ketika hal ini tidak berhasil dan alih-alih mengatakan, "ya, itu adalah kekhawatiran yang sahih mengenai masa depan yang hanya memiliki kunci sandi yang kami inginkan," demikianlah kritik yang terus-menerus diberikan kepada siapa pun mempertanyakan.
1Password bahkan mengatakan bahwa kunci sandi adalah "masa depan otentikasi": https://www.future.1password.com/passkeys/
