아뇨, 절대 아닙니다.기사의 맥락은 비밀번호 키를 사용하여 Google 자격 증명에 로그인하는 것입니다. 'big 3' 및 기타 여러 곳에서는 키 에스크로 및 복구를 제공하지만 사이트에서는 패스키를 직접 사용합니다. Best Buy의 비밀번호 키는 예를 들어 Google에 확인하지 않습니다('소셜 로그온'을 사용하지 않는 한). 강의). 그러한 맥락에서 Google이 귀하의 계정을 지우는 것은 귀하의 휴대 전화가 죽으면 상황이 위험해질 수 있음을 의미합니다. 기본적으로 복구 옵션이 있는 yubikey이므로 개인 키가 존재하기 때문에 보안이 약간 떨어집니다. yubikey 문제의 50%를 해결하는 에스크로(가격표 및 앱 지원이 나머지임) 통증).암호 키를 저장할 수 있는 것으로 보이는 모든 단일 시스템은 경고 없이 계정을 삭제하지 않도록 빅 3(Apple, Google, Microsoft)를 신뢰하도록 요구하는 것 같습니다. 내 경우에는 Apple이 내 iCloud 계정과 키체인을 삭제하면 암호 키로 보호된 모든 항목에 접근할 수 없게 됩니다. 지금 당장 일어나는 일과 비교해 보세요. 메인 Yubikey를 파괴하면 은행에 가서 두 개를 보여줍니다. 내 실제 키를 사용하여 금고에서 백업 Yubikey를 검색하고 계속 진행하세요. 삶.
일방적으로 행동하는 인프라 서비스를 제공하는 회사에 대해 심각하고 지속적인 결과가 발생하지 않는 한 나는 이것을 사용할 방법이 없습니다. KeyPass/BitWarden은 임의로 강력한 비밀번호를 생성할 수 있으며, 다양한 공급업체에서 원하는 만큼 Webauthn 키를 구입할 수 있습니다. 암호 키를 사용하면 한 번만(자동, 협상 불가능) 삭제하면 전체 온라인 생활에서 영구적으로 차단될 수 있습니다.
그 권한을 회사에 주고 싶다면 내 손님이 되어주세요. 나는 그것이 뚜렷한 이유 없이 서비스를 중단하는 물이나 전력 회사처럼 취급될 때까지 기다릴 것입니다: 크고 아픈 벌금.
작업 흐름이 어떻게 필요한지 잘 모르겠습니다.비밀번호를 복사하여 붙여넣는 경우(또는 대규모로 다른 문제가 있는 메모리에서 비밀번호를 입력하는 경우) 피싱에 취약합니다. 따라서 패스키는 보안에 큰 도움이 될 것입니다.
휴대폰을 잡고,
앱을 탭하고,
화면 사진을 찍고,
그 정보로 무엇을 해야 할지 탭하세요......메모리에서 비밀번호를 입력하거나 비밀번호 관리자를 사용하여 자동 완성하거나 비밀번호 관리자를 사용하여 복사하여 붙여넣는 것보다 "쉬운" 작업입니다.
다른 이점이 있을 수도 있지만 결코 그렇게 쉬운 것은 아닙니다.
내 Google 계정의 경우 2FA로 사용하던 YubiKey를 패스키로 다시 등록했습니다. 2FA를 사용하면 인증은 Google 비밀번호 + FIDO U2F 하드웨어 키였습니다. 패스키의 경우 FIDO2 하드웨어 키 + 키의 FIDO2 PIN입니다.
"빅 3" 기술 회사 중 누구도 귀하의 암호 키를 관리할 수 없습니다. 패스키는 장치에 보관되어 있습니다. 일종의 서비스를 통해 암호 키를 동기화하지 않으려면 여러 장치에 동일한 암호 키를 설정하세요. 기기가 하나밖에 없는데 이제 없어졌나요? 이는 동기화되지 않은 비밀번호 관리자와 동일한 문제입니다. 결국에는 유사한 잠긴 경우와 마찬가지로 다른 서비스로 다시 인증해야 합니다. 대부분의 사람들은 비밀번호를 동기화하는 것처럼 비밀번호 키를 동기화합니다. 아니요, Google이 귀하의 계정을 종료하더라도 귀하의 기기에 이미 있는 암호 키를 비활성화할 수 없습니다. 해당 동기화 서비스를 잃게 되지만 대신 다른 서비스를 사용할 수 있습니다.
패스키는 피싱을 당할 수 없고 잊어버릴 수 없으며 데이터 유출을 통해 얻을 수 없으며 본질적으로 고유하고 안전합니다. 정말 큰 개선이군요. 또한 일단 장치에 있으면 인증이 간단하기 때문에 사용하기가 더 쉽습니다.
Android나 iOS가 아닌 Yubikey를 사용하고 있습니다. 이는 내가 Google/Apple에 내 키를 관리할 의무가 없으며 내 계정이 손상되어 패스키가 유출되는 것에 대해 걱정할 필요가 없다는 것을 의미합니다.
Google 계정 로그인과 비교하자면, 저는 한동안 이 Yubikey를 사용하여 Microsoft 계정에 액세스하고 있습니다.
Microsoft는 데스크톱의 모든 주요 브라우저에서 작동합니다(마지막으로 확인했을 때 MacOS의 Safari는 제외). Google에는 Chrome이 필요한 것 같습니다.
Microsoft는 사용자 이름 필드 아래에 다른 방식으로 로그인할 수 있는 옵션이 있습니다. 그런 다음 Windows Hello 또는 보안 키를 선택하고 키를 USB 포트에 넣은 다음 PIN을 입력하고 상단에 있는 버튼을 누릅니다. 그런 다음 어떤 계정(여러 개의 계정이 저장되어 있는 경우)을 묻고 바로 로그인됩니다. 사용자 이름/이메일 주소를 기억할 필요도 없습니다.
Google은 사용자 이름/이메일 입력을 요구한 다음 키를 삽입하도록 요청합니다. 그런 다음 PIN을 입력해야 로그인됩니다.
유용성 관점에서 보면 이메일을 기억할 필요가 없다는 점에서 Microsoft가 더 좋습니다. Ars 군중의 경우 이는 아마도 부정적인 것일 수 있습니다. 하지만 70세 조부모님을 부양한다면 그들이 기억해야 할 사항은 적을수록 좋습니다. 확인하지는 않았지만 MS 시스템의 단점은 Yubikey가 저장된 자격 증명의 특정 수만 지원한다는 것입니다. 내 연구에서 볼 수 있듯이 Google 방법은 기본적으로 Yubikey가 해당 사이트 기반의 개인 키를 생성하도록 합니다. 내부 개인 키, PIN, 사이트와 브라우저에서 제공하는 일부 정보를 실행해야 할 때마다 입증. 둘 다 Yubikey와 관련된 내부 개인 키, PIN, 브라우저에서 제공하는 도메인에 대한 일부 정보 및 특정 정보를 사용하는 것으로 보입니다. 핸드셰이크를 수행하기 위해 방문하는 사이트에서 제공되는 정보를 통해 MITM 공격이 모든 것을 스푸핑할 수 없으므로 성공하지 못합니다. 데이터.
Google 구현과 Microsoft 구현을 위해 Firefox에서 무엇이 누락되었는지, 왜 새로운 암호 키 시스템을 지원하지 않는지 잘 모르겠습니다. 아니면 Firefox가 블루투스 부분을 구현하지 않았기 때문에 Google이 패스키를 요청하지 않는 것일까요? Firefox가 Google 로그인에서 요청하지 않기 때문에 Yubikeys/하드웨어 토큰을 지원하지 않는 부작용 대지.
--
암호키를 분실하고 백업 암호키가 없는 경우 보안 대체 방법은 암호키 이전에 로그인했던 방식으로 로그인하는 것입니다. 그래서 일반적으로 비밀번호 + OTP입니다. 이는 사이트가 덜 안전한 인증 시스템을 지원한다는 것을 의미하지만 한 가지 장점은 정기적으로 비밀번호를 사용하므로 피싱/MITM에 의해 유출되거나 가로챌 가능성이 적습니다. 공격.
--
보안 관점에서 보면 패스키는 사이트 지원이 제한된 암호 지갑으로 볼 수 있습니다. Yubikey를 사용하는 경우 지갑은 PIN으로 보호되는 주머니 속의 하드웨어 장치입니다. Android/iOS 암호 키를 사용하는 경우 지갑은 클라우드 시스템에 동기화되고 계정 비밀번호 + 생체 인식으로 보호됩니다. 장치를 분실한 경우 비밀번호 파일을 분실한 것과 유사합니다.
모든 문제를 파악하고 나면 보안에 관심이 없는 개인이 그렇듯이 보안 환경에서 많은 것을 바꿀 수 있는 잠재력이 있습니다. 더 이상 안전한 비밀번호 요구 사항에 저항하거나 비밀번호 지갑을 올바르게 사용하는 방법, 여러 환경에서 비밀번호 지갑에 액세스/동기화하는 방법을 알아내야 할 필요가 없습니다. 장치. 기본적으로 비밀번호 지갑이 됨으로써 비밀번호 키는 사용되는 모든 사이트에 대해 매우 안전하고 임의의 비밀번호를 생성하며 피싱 방지를 염두에 두고 구축되었습니다.
이것이 어떻게 반대표를 받을 수 있습니까? 100% 사실입니다.
그것은 WHO, 아니다 무엇 첫 페이지에. 첫 페이지에 Google에 대한 사랑이 없습니다. Google의 지원으로 인해 군중이 반대하게 되었습니다. 업계 표준.
그것은 어리석은 일입니다.
다시 한 번 말씀드리지만, 독자 여러분은 이러한 댓글 작성자에게 관심을 기울이지 마세요.
비밀번호를 사용하는 것이 비밀번호를 대체하는 방법에 대한 답이 되어서는 안 됩니다.
이건 좀 우스꽝스럽습니다. 기존 서비스에 어떻게 인증하겠습니까? 인증 메커니즘을 업데이트하려면? 이미 논의된 QR 및 블루투스 방법과는 별도로. 암호 키 로그인을 요구하는 대신 활성화한다고 해서 서버 측의 공격 표면이 반드시 줄어들지는 않지만 상당히 OS 수준 인증을 통해 키 교환을 엄격하게 수행하므로 클라이언트 측 공격 표면이 줄어듭니다. 그리고 그것은 모두를 위한 승리입니다.
OS의 보안 기능을 전혀 신뢰할 수 없을 정도라면 컴퓨팅 장치를 버리고 열대 섬 같은 곳에 사는 것이 나을 수도 있습니다. ~에 어떤 점에서 어느 정도의 소프트웨어에는 어느 정도의 신뢰가 주어져야 합니다.
여기에는 많은 혼란이 있습니다. 전체 기술 스택이 우리에게 버려지고 기정사실로 제시되었기 때문이라고 생각합니다. 무식한 사람으로서 제가 이해하고 있는 SSH 키 쌍을 유추하여 분석해 보겠습니다. 나는 다른 사람들에게 내가 잘못한 부분에 구멍을 뚫도록 권유합니다.1. 공개/비공개 인증 키. 이는 SSH와 거의 동일하게 작동합니다. 웹사이트는 귀하의 공개 키만 알고 있으며 귀하는 메시지에 서명하여 개인 키를 보유하고 있음을 증명합니다.
2. 피싱 방지 보호. 키는 사이트마다 다르므로 피싱 사이트는 다른 키를 받습니다. SSH에는 이에 대한 호스트 키가 있습니다. keypass가 TLS 호스트 키와 관련이 있다고 가정합니까? 브라우저는 이를 사용하여 사용할 키를 선택합니까? 아니면 DNS 이름만으로?
3. 올바른 사용자가 키를 사용하고 있음을 증명하기 위해 키를 잠금 해제하는 수단입니다. SSH에는 암호 문구가 있습니다. 이것이 생체 인식/블루투스 기능이 들어오는 곳이라고 생각합니까? SSH는 스마트 카드를 사용하여 키 잠금을 해제할 수도 있으므로 생체 인식이 다른 잠금 해제 모드와 약간 비슷하다고 가정합니까?
4. 장치 간 키 동기화. 아마도 iCloud 및 Chrome 비밀번호 동기화와 같은 클라우드 '생태계'가 등장하는 곳일까요? SSH의 경우 지원이 없지만 rsync 등을 사용하여 직접 요리할 수 있습니까?
내가 뭘 잘못했나요?
위의 내용이 대체로 맞다면 ~/.ssh 및 rsync의 파일 더미를 사용하여 SSH와 기본적으로 동일한 기능을 수행하는 오픈 스택을 구축하여 장치 간을 이동하는 것을 상상할 수 있습니다. 움직이는 모든 부분이 노출되어 무슨 일이 일어나고 있는지 쉽게 이해할 수 있는 '자전거' 접근 방식입니다.
이는 사람들에게만 적용되는 것이 아니라 표준의 두 번째 버전인 FIDO2에 대한 업데이트입니다. U2F는 FIDO1이었고; 이것은 FIDO2/WebAuthn의 일부인 CTAP 2.2([편집: 잘못된 2.4의 WAG에서 수정되었습니다. 여전히 정확하지 않습니다!])입니다. 이것은 실제로는 복잡하지 않습니다... 개인 키를 안전하게 복사할 수 있도록(반드시...) 인증자 요구 사항을 완화하고 생활을 더 쉽게 만들기 위해 일부 Javascript 기능을 추가했습니다. 비밀번호 없는 로그인? FIDO2를 사용하면 항상 가능했습니다. 이것이 바로 FIDO1이 MFA일 수 있다는 점입니다. TPM 또는 보안 요소에 저장된 브라우저에 개인 키를 추가하시겠습니까? 언제나 가능했고, 이전에 Chrome, Firefox 및 Safari에서 구현되었습니다.. 새로운 점은 BT/QR 리그마롤을 통해 동기화하고 액세스할 수 있다는 것입니다. 이전에는 하드웨어 장치인 휴대용 키와 달리 "플랫폼 특정 키"로 언급되었습니다(웹 사이트에 플래그 지정). 이제 PassKeys입니다.
암호 키 시스템의 전체 목적은 암호를 제거하는 것 같으므로 암호의 몇 가지 이점을 나열하겠습니다.
- 정신적으로 전자 장치를 작동할 수 있는 사람이라면 누구나 이해할 수 있을 만큼 간단합니다.
- 조금이라도 노력하고 정기적으로 사용하면 기억하기 쉽습니다.
- 기본적으로 모든 운영 체제에서 작동합니다.
- 인터넷 액세스가 필요하지 않습니다(일부 시스템은 정당한 이유로 오프라인 상태임).
- 제3자의 협력이 필요하지 않습니다.
- 스마트폰이나 기타 장치가 필요하지 않습니다.
- Bluetooth, WiFi, 카메라 또는 배터리가 필요하지 않습니다.
- 비상시 전기 없이도 보관할 수 있습니다.
- 어떤 장치를 사용하지 않고도 다른 사람에게 쉽게 전송할 수 있습니다.
- 장애인이 아니고 스마트폰을 사용하지 않는 경우 비밀번호로 인증하는 데 몇 초 밖에 걸리지 않습니다.
귀하의 요점 #1, #2 및 #10이 잘못되었습니다. 기술 지원 부서에 근무하는 사람에게 누군가 비밀번호를 재설정해야 하는 빈도를 물어보십시오. 비밀번호를 잊어버렸거나, Caps Lock 키를 켠 상태로 두었거나(또는 키보드 위에 손을 잘못 놓았거나) 잠길 정도로 여러 번 조작했습니다. 밖으로. 예, 예, 개인적으로 당신이 항상 완벽하게 해낸다는 것을 압니다. 하지만 저를 믿으세요. 헬프데스크 전화를 받는 사람은 인류에 대해 덜 낙관적인 관점을 가지고 있습니다. 많은 시각장애인 사용자와 비밀번호 입력을 지원한다고 덧붙일게요 대규모로 많은 사이트가 스크린 리더 사용자에게 어려운 복잡성 요구 사항을 갖고 있고 숙련된 터치 타이피스트가 아닌 경우 큰 소리로 말하는 것은 좋지 않기 때문에 짜증납니다. 그것은 틈새시장이지만 인증 시스템을 구축하는 많은 사람들이 법적으로 잘 지원해야 하는 부분이기도 하며 제가 관심을 갖는 이유 중 하나입니다. “패스키로 로그인하시겠습니까?” 이후의 기술입니다. “예”는 모든 형태의 비밀번호 + MFA보다 최소한 한 단계 더 빠르고 쉽습니다. 사용자.
포인트 #3은 WebAuthn MFA에 해당되지만 항상 암호 키입니다. Yubikey와 같은 것은 USB/NFC가 있는 모든 곳에서 작동하지만 단순한 것 이상을 요구하는 Google.com과 같은 암호 키 구현자를 위해 PIN을 설정하거나 생체 인식 시리즈 키를 사용해야 합니다. 수도꼭지.
5번, 6번, 7번, 8번 항목은 MFA와 암호키 등 모든 형태의 WebAuthn에도 적용됩니다. 기존 키를 동기화할 때 처음으로 장치를 등록하는 경우를 제외하면 4번 항목이 적용됩니다. 처음으로 키를 동기화한 후에는 네트워크 연결이 필요하지 않습니다. 동기화하고 싶지 않다면 USB나 NFC가 있는 곳 어디에서나 완전히 오프라인으로 작동하는 Yubikey 생체 인식 키 몇 개를 구입할 수도 있습니다.
그러면 #9가 남게 되는데, 이는 나쁜 습관이므로 가능하면 피해야 합니다. 최신 시스템에는 사람들이 비밀번호를 공유하지 않지만 여러 사람이 특정 역할을 맡을 수 있는 역할 기반 인증이나 레거시 또는 위임과 같은 기능이 있습니다. 다시는 비밀번호를 공유하지 않고 한 명 또는 더 나은 경우 여러 사람에게 비밀번호 재설정이나 제어권 획득과 같은 작업을 수행할 수 있는 기능을 제공하는 계정입니다. 당신의 파일.
어떤 것이 새롭고 그것이 어떻게 작동하는지 배우지 못했다고 해서 그것이 나쁘거나 피해야 한다는 의미는 아닙니다. 암호 키는 우리 대부분에게 큰 변화입니다. PIV/CAC가 다른 곳이 거의 없더라도 이전 세기로 돌아가기 때문에 .gov는 제외됩니다. 이를 채택했지만 보안 이점 외에도 여러 가지 유용성이 향상되었으며 구축을 위한 명확한 경로가 있습니다. 누락된 부분 중 일부(예: Apple/Google 암호키를 Yubikey에 동기화하여 즉시 금고에 넣을 수 있는 기능을 원합니다. 사례).
동기화 중에뿐만 아니라 인증 중에도 사용되므로 당연히 사용할 수 있어야 합니다. 그리고 초기 등록 중에도 사용할 수 있어야 합니다.이것이 제가 여러분에게 설명하려는 것입니다. 기존 장치로 인증하고 사용하는 것이 쉬울 것입니다. 다른 새로운 장치에서 생성되어 일부에 의해 이전 장치로 전송되는 다른 공개 키를 추가하는 장치 수단. 예를 들어 데스크탑 컴퓨터에서 새로운 비밀 키/공개 키 키 쌍을 생성하고, 공개 키를 노트북으로 보내고, 노트북으로 로그인하고, 데스크탑 공개 키를 추가할 수 있습니다. 나는 항상 SSH로 비슷한 일을 합니다.
여기에는 기술적인 장애물이 없습니다. 암호 키로 이것이 가능하지 않다면 선택에 달려 있습니다.
개인 키에 액세스할 수 없습니다. 거짓을 계속해서 반복하는 대신 직접 찾아보는 것은 어떨까요?
그리고 이제 나는 시작하기 전보다 더 혼란스러워졌습니다. 설명하기 위해 CS 전공/상급자에게 기사를 전달했지만 그것만으로는 충분하지 않을 수 있습니다.
비밀번호는 쉽게 소화됩니다. 2FA는 설명하기 쉽습니다. 암호 키는 어느 정도 이해가 되지만, 암호를 얻을 수 있을 것이라고 생각하는 순간 다음 단락을 읽고 더 많은 것을 잃게 됩니다.
하늘이 내 형제자매와 부모님을 도우소서.
그렇게 말씀해주셔서 감사합니다. Dan과 다른 사람들의 응답(예: @Wbd내 글을 인용한 님의 홍보 댓글)은 댓글을 근본적으로 잘못 읽은 데서 비롯되었습니다.1Password와 Bitwarden이 모두 암호 키 지원을 위해 노력하고 있다는 사실을 알고 계셨나요?암호 키를 사용하는 OS 공급자(내 경우에는 모바일 및 데스크톱 장치 모두 Apple)를 신뢰하고 싶지 않으며 응답이 반복적으로 "But yOu"입니다. 귀하의 비밀번호는 이미 Google을 신뢰하고 있습니다." 예, 알겠습니다. BitWarden/KeePass에서 무작위로 긴 비밀번호를 입력하고 Yubikey를 연결한 다음 단추. 어느 시점에서도 내 OS 공급자에 의존하지 않습니다.
물론, 지금은 암호 키를 사용하지 않고 이전처럼 암호를 사용할 수 있는 옵션이 있지만 전체 기술 과대 광고 열차는 "더 이상 암호 암호 없음"으로 향하고 있습니다. EVERYONE" 스테이션에서 "하지만 잠깐만요. OS 공급자가 나를 좋아하지 않는다고 결정하여 다른 모든 계정이 잠기면 어떻게 되나요?"라고 말하면 나는 트롤이라고 불리고 잘못된 정보. 또한 이것이 작동하지 않고 "그래, 그거 우리가 원하는 암호 키만 사용하는 미래에 대한 우려는 타당합니다." 질문.
1Password는 패스키가 "인증의 미래"라고까지 말했습니다. https://www.future.1password.com/passkeys/
