Contas do Google sem senha são mais fáceis e seguras do que senhas. Aqui está o porquê.

Kanten disse:

O cínico em mim quer se inclinar para o marketing, pelo menos do lado do Google. Sinto que vejo menos explicações sobre a mecânica das chaves de acesso e mais o Google inserindo a frase “morte da senha” no maior número possível de comunicados à imprensa.

Clique para expandir...
Honestamente, estou indo um pouco além disso.

Como tenho pensado muito sobre isso ultimamente. Isso transfere o fardo para quase inteiramente culpa do cliente, se for totalmente implementado. As violações de banco de dados/senha não são mais o que comprometem os indivíduos, mas sim a perda do dispositivo físico ou o pressionamento de "permitir" no gerenciador de senhas. Esta é uma mudança significativa na responsabilidade caso a conta de alguém seja invadida no futuro, pois eles podem alegar que nada de sua parte pode impedir isso.

E esse enorme impulso de relações públicas/astroturfing parcial, alegando que eliminará as senhas sem realmente entrar em detalhes, me faz continuar nesta toca do coelho.

Não apenas isso, mas a menos que eles realmente apliquem o requisito do bluetooth (o que duvido muito, porque isso impediria efetivamente as pessoas de conceder acesso temporário a família/amigos que estão longe deles), então, como um único fator, isso não fornece muitos benefícios de segurança para as pessoas comuns, mas proporciona às empresas uma enorme responsabilidade benefícios.

balthazarr disse:
Eu tenho que me perguntar o quão mais seguro é na prática. Parece-me que é um sistema bastante complexo, com muitas peças móveis. Quanto mais complexo for algo, maior será a probabilidade de haver problemas de segurança.

Recebo a melhoria teórica, mas o diabo está nos detalhes (de implementação). Acho que prefiro esperar para ver do que pular com os dois pés.

Clique para expandir...
Talvez.

Não tenho muitas preocupações de segurança com o padrão (é principalmente a UX para recuperação e migração que é o problema da IMO). Porém, mais peças móveis definitivamente tornam as chaves de acesso mais difíceis de implementar para os provedores de serviços. O Google pode fazer isso, e tenho certeza de que outras grandes empresas de tecnologia não terão grandes problemas, mas e as empresas locais, fóruns de fãs, serviços governamentais e outros que criam os seus próprios?

Acho que o "consolo" é que, apesar dos emblemas "100% seguros" que tendem a ficar colados nesses sites, já não há garantia de que alguém esteja fazendo um bom trabalho com segurança. Portanto, uma implementação de chave de acesso com erros pode não ser pior do que o que eles já estão fazendo.

Bem vamos ver:

Minha área de trabalho doméstica não possui nenhum hardware Bluetooth. Isso poderia ser resolvido facilmente, mas dado que meu laptop de trabalho tem BT bloqueado pela TI, por que eu me preocuparia?

Parece uma daquelas soluções projetadas por e para engenheiros de grandes empresas de tecnologia ou freelancers de WFH que podem fazer tudo o que quiserem com seu hardware, não algo que precise ser compatível com onerosos recursos de TI corporativos ou governamentais políticas.

Suspirar. Aqui vamos nós outra vez. O tópico das chaves de acesso traz à tona o que há de pior nos comentários aqui e no HN. Muita paranóia e disseminação geral de FUD.

Nenhuma das “três grandes” empresas de tecnologia será a guardiã de suas chaves de acesso. As chaves de acesso são mantidas em um dispositivo. Se você não quiser sincronizar sua chave de acesso por meio de algum tipo de serviço, coloque a mesma chave de acesso em vários dispositivos. Você só tem um dispositivo E agora ele acabou? Esse é o mesmo problema dos gerenciadores de senhas sem sincronização. No final, você terá que se autenticar novamente com serviços diferentes, como faria em qualquer caso semelhante de bloqueio. A maioria das pessoas sincronizará suas chaves de acesso da mesma forma que fazem com suas senhas. E não, se o Google encerrar sua conta, eles não poderão desativar as chaves de acesso que você já possui em seus dispositivos. Você perderá o serviço de sincronização, mas poderá começar a usar outro.

As chaves de acesso não podem ser roubadas, não podem ser esquecidas, não podem ser obtidas através de vazamento de dados e são inerentemente únicas e seguras. Essas são melhorias realmente grandes. Eles também são mais fáceis de usar porque, uma vez instalados no dispositivo, a autenticação é simples.

Você os ativou, certo?

Clique para expandir...

Não, nem eu. Apesar do conceito de ser inerentemente "mais seguro", também é inerentemente perigoso para sua vida fora da tecnologia. Considere as implicações legais de fazer isso, e realmente qualquer coisa, antes de prosseguir! Alguns podem sugerir que isso é mera paranóia, ou "você tem algo a esconder?", mas tenha em mente que a Suprema Corte confirmou que você não pode ser obrigado a fornecer algo que você saber, mas que você pode ser obrigado a fornecer algo que você tere algo que você são.

Essencialmente, a polícia e outras autoridades podem obrigar o desbloqueio facial e o desbloqueio por impressão digital (biometria), mas não podem forçar ou obrigar você a fornecer sua senha.

Portanto, suas contas, dispositivos, etc., estariam agora sujeitos a total legal busca (mesmo sob emendas que supostamente impedem isso), e teria a capacidade de fazê-lo em muitas circunstâncias, inclusive dentro de 160 quilômetros de uma fronteira.

Não há nenhuma situação em que eu ficaria feliz em fornecer isso.

Se você usa biometria em seus dispositivos móveis, familiarize-se com o recurso LOCKDOWN. Tanto iOS quanto Android fornecem essa funcionalidade. E boas notícias: ainda é perfeitamente possível gravar enquanto um dispositivo está bloqueado (em ambas as plataformas).

Não, infelizmente, não permitirei isso a menos que tenha a capacidade de fornecer outro fator Adição, como um alfinete, padrão ou desbloqueio de foto.

EDIT: Adicionada uma nota sobre ramificações legais.

JerryLove disse:
Uma pergunta.

Se um dispositivo com chaves de acesso estiver totalmente comprometido; o malfeitor agora tem acesso para autenticar todas as minhas contas em qualquer lugar desse dispositivo (já que ele possui as chaves de acesso e está passando qualquer segurança que esse dispositivo específico usa)?

Quero dizer: eu percebo que meu Yubikey tem um problema semelhante (se alguém o tiver fisicamente, poderá acessar todas as minhas coisas), então isso não é necessariamente novo; mas ainda.

Clique para expandir...

Não, eles devem ser armazenados em um armazenamento seguro, como TPM ou Secure Enclave, que requer um PIN/senha ou biometria para ser desbloqueado.

Com uma chave Yubi (e a maioria das autenticações FIDO2), você também pode exigir um PIN/senha para usá-la, portanto, obtê-la não precisa ser catastrófico.

Jarrex disse:

É por isso que todo mundo tem problemas com todos esses artigos. Alguns afirmam que o Bluetooth é necessário para verificação de proximidade, outros dizem que não. A documentação "oficial" está em falta, a documentação do gerenciador de senhas não indica de uma forma ou de outra. Esta parece ser uma integração incompleta.

Clique para expandir...

O problema é apenas que as seções de comentários estão cheias de pessoas repetindo FUD sem verificar nenhum detalhe (semelhante às lendas urbanas sobre biometria).

As chaves de acesso funcionam em qualquer dispositivo que você registrou. Cada dispositivo possui uma chave que pode ser usada para fazer login e que funciona mesmo se você estiver no modo avião em uma rede isolada.

Onde o Bluetooth entra é uma opção quando você deseja usar um sistema que não possui a chave de acesso, mas você tem algo como um telefone que possui. Você poderia fazer login, digamos, em um computador público usando seu telefone para responder ao desafio desse computador, onde o Bluetooth impede que um ataque ocorra a mais de uma hora. do que a uma curta distância do seu telefone (ou seja, um cara na Bielo-Rússia tentando fazer phishing, você não consegue usar o Bluetooth local e, mesmo que pudesse, a verificação do tempo de resposta seria falhar). Isso é uma conveniência para esse cenário, mas se isso não for algo que você faz, não precisa pensar nisso.

Absolutamente não. Os requisitos de um dispositivo adicional e biometria significam que nunca usarei chaves de acesso. Manterei senhas e PINs quando necessário. Biometria sobre meu cadáver.

Jarrex disse:
Honestamente, estou indo um pouco além disso.

Como tenho pensado muito sobre isso ultimamente. Isso transfere o fardo para quase inteiramente culpa do cliente, se for totalmente implementado. As violações de banco de dados/senha não são mais o que comprometem os indivíduos, mas sim a perda do dispositivo físico ou o pressionamento de "permitir" no gerenciador de senhas. Esta é uma mudança significativa na responsabilidade caso a conta de alguém seja invadida no futuro, pois eles podem alegar que nada de sua parte pode impedir isso.

E esse enorme impulso de relações públicas/astroturfing parcial, alegando que eliminará as senhas sem realmente entrar em detalhes, me faz continuar nesta toca do coelho.

Não apenas isso, mas a menos que eles realmente apliquem o requisito do bluetooth (o que duvido muito, porque isso impediria efetivamente as pessoas de conceder acesso temporário a família/amigos que estão longe deles), então, como um único fator, isso não fornece muitos benefícios de segurança para as pessoas comuns, mas proporciona às empresas uma enorme responsabilidade benefícios.

Clique para expandir...
Eu acho que é mais simples.

A grande tecnologia quer eliminar as senhas porque é um custo significativo. Contas comprometidas representam um grande problema de atendimento ao cliente. Impede que as pessoas utilizem os seus serviços, faz com que as pessoas percam os seus dados importantes e muitas vezes altamente pessoais, e a sua reparação é dispendiosa e demorada. É por isso que Google, Facebook, etc. estão tão interessados ​​em promover o 2FA e querem torná-lo o mais próximo possível da obrigatoriedade. O 2FA atual reduz significativamente esses problemas de segurança – mas também traz uma série de problemas e comprometimentos de UX. No longo prazo, as chaves de acesso eliminam muitas dessas desvantagens, ao mesmo tempo que fornecem uma experiência do usuário melhor.

Lembre-se de que usamos senhas basicamente desde os primórdios da computação - mas ainda vemos rotineiramente grandes erros cometidos em sua implementação, até mesmo coisas estúpidas, como empresas que os armazenam em texto simples e inseguro bancos de dados. Mas, mesmo assim, passaram-se algumas décadas até que realmente resolvêssemos muitos dos problemas e surgissem gerenciadores de senhas realmente bons. As chaves de acesso também levarão algum tempo para resolver os problemas.

Além disso, vamos lá, as acusações de astroturfing são um pouco ridículas. Você sabe como funciona a cobertura de notícias de tecnologia, certo? Por que um site de notícias de tecnologia está cobrindo uma suspeita de nova tecnologia? Não é por isso que você está aqui?

Se eu tiver algum problema com os relatórios sobre chaves de acesso, é a sugestão de que agora elas estão prontas para o horário nobre. Acho que eles são legais e possivelmente valem a pena usá-los para os tipos de pessoas que tendem a ler notícias de tecnologia sobre segurança de login... mas os usuários médios, hoje, nem tanto. Ao mesmo tempo, eles também não chegarão lá se as pessoas não souberem que eles existem, então há definitivamente benefícios em divulgá-los.

Não compreendi a dimensão da lacuna digital até começar a trabalhar com as pessoas que vivem do outro lado dela. Eu trabalho em uma biblioteca ajudando pessoas idosas, pobres, sem-teto ou que estão do lado errado da divisão com problemas tecnológicos.

Acho que muitas pessoas da Ars ficariam chocadas com a frequência com que as pessoas que foram deixadas para trás nessas coisas precisam recuperar suas contas. Muitas pessoas vieram e quando sugiro ativar o 2FA, elas imediatamente se opõem porque da última vez eles fizeram isso, perderam o acesso à segunda conta e então a coisa que eles estavam tentando proteger desapareceu para sempre.

A muito das pessoas escolherão ser menos seguras se isso significar que podem ter certeza razoável de que ainda poderão acessar suas contas depois de trocarem de telefone ou algo assim.

Inferno, temos um pequeno número de clientes que são muito antigos ou têm TBIs para os quais mantemos um arquivo bloqueado no raro caso de eles precisarem entrar e acessar uma conta online.

Nenhuma dessas coisas de chave de acesso parece facilitar a vida deles. Sinceramente, parece que isso vai dificultar meu trabalho à medida que se espalha.

Espero estar errado.

adamsc disse:
O problema é apenas que as seções de comentários estão cheias de pessoas repetindo FUD sem verificar nenhum detalhe (semelhante às lendas urbanas sobre biometria).

As chaves de acesso funcionam em qualquer dispositivo que você registrou. Cada dispositivo possui uma chave que pode ser usada para fazer login e que funciona mesmo se você estiver no modo avião em uma rede isolada.

Onde o Bluetooth entra é uma opção quando você deseja usar um sistema que não possui a chave de acesso, mas você tem algo como um telefone que possui. Você poderia fazer login, digamos, em um computador público usando seu telefone para responder ao desafio desse computador, onde o Bluetooth impede que um ataque ocorra a mais de uma hora. do que a uma curta distância do seu telefone (ou seja, um cara na Bielo-Rússia tentando fazer phishing, você não consegue usar o Bluetooth local e, mesmo que pudesse, a verificação do tempo de resposta seria falhar). Isso é uma conveniência para esse cenário, mas se isso não for algo que você faz, não precisa pensar nisso.

Clique para expandir...
De onde voce esta obtendo essa informacao?

Qualquer um desses artigos deve ter um link para a documentação real, caso contrário, serão apenas declarações que não serão verificadas. Tento pesquisar no Google o fluxo de trabalho ou as especificações e, literalmente, todos os resultados da pesquisa não acrescentam absolutamente nada além do que o blog do Google e a imprensa associada se gabando de como isso eliminará as senhas sem a tecnologia real documentos.

Não se preocupe em me dizer como fazer isso até me dizer como me recuperar se algo der errado. E é melhor que a recuperação seja infalível, porque às vezes é muito mais fácil ser estúpido do que ser inteligente todas as vezes.

O problema é que o Google já tinha login sem senha até certo ponto.

Não me lembrei da minha senha do Google quando configurei meu novo telefone, então o Google perguntou aos meus outros logins se eu poderia fazer login, eu disse que sim e entrei.

Ars, o que nunca vejo abordado nesses artigos são dispositivos de uso misto e multiuso.

Eu uso um telefone Android. Eu uso o Chrome, tenho o Office 365 no meu telefone para negócios e apenas para negócios. Como posso autenticar apenas negócios sem fornecer informações pessoais. Ou a outra direção

No trabalho eu uso três navegadores. Firefox, se eu pesquisar algo pessoalmente, chrome para nosso sistema erp e edge para pesquisas na web relacionadas ao trabalho, cada um obtém logins diferentes e armazena logins diferentes.

Se você entrar em um único ecossistema, esses sistemas funcionarão bem. Até serem cancelados

Desculpe, este sistema ainda não está pronto para o horário nobre. Acorde-me quando for perfeito e não precisar depender do Chrome para fazer isso (não gosto profundamente do Chrome e me recuso a usá-lo, exceto quando for absolutamente necessário). Esperamos que a Mozilla consiga fazer uma implementação funcionar sem seus problemas habituais (que são muito mais relacionados a divergências de pessoas que dirigem as coisas do que a problemas técnicos nos dias de hoje).

Última postagem do blog

Um tópico sobre paternidade
October 06, 2023

2h40. Sentado com um garoto doente. Abasteça-se tanto!Meu conselho, embora de longo prazo:Não use pull-ups. Deixe de lado, lide com os acidentes in...

Tópico anual de beisebol/MLB de 2023
October 06, 2023

Na semana passada fomos a um jogo dos Blue Jays. Foi o único jogo que os Jays venceram contra o Império do Mal por meio de um home run no 10º.eu nu...

Um tópico sobre paternidade
October 06, 2023

2h40. Sentado com um garoto doente. Abasteça-se tanto!Meu conselho, embora de longo prazo:Não use pull-ups. Deixe de lado, lide com os acidentes in...