Учетные записи Google без пароля проще и безопаснее, чем пароли. Вот почему.

Я думаю, здесь большая путаница, потому что на нас свалили целый стек технологий и представили как свершившийся факт. Позвольте мне, как невежде, попытаться разобрать это по аналогии с тем, что я понимаю: парами ключей SSH. Я приглашаю других найти дыры в том, в чем я ошибаюсь.

1. Публичные/частные ключи аутентификации. Это работает примерно так же, как SSH. Веб-сайт знает только ваш открытый ключ, и вы подписываете сообщения, чтобы доказать, что у вас есть закрытый ключ.

2. Защита от фишинга. Ключи специфичны для сайта, поэтому фишинговый сайт получает другой ключ. У SSH для этого есть ключи хоста. Я предполагаю, что keypass использует что-то общее с ключами хоста TLS? Ваш браузер использует это, чтобы выбрать, какой ключ использовать? Или просто по DNS-имени?

3. Средства разблокировки ключей, чтобы доказать, что их использует правильный пользователь. У SSH есть парольные фразы, я полагаю, именно здесь пригодится биометрия/Bluetooth? SSH также может разблокировать ключи с помощью смарт-карт, поэтому я предполагаю, что биометрия немного похожа на другой режим разблокировки?

4. Синхронизация ключей между устройствами. Вероятно, именно здесь на помощь приходят облачные «экосистемы», такие как синхронизация паролей iCloud и Chrome? Для SSH поддержки нет, но можно придумать свою с помощью rsync или чего-то еще?

Что я ошибся?

Если вышеизложенное в целом верно, я мог бы представить себе создание открытого стека, который по сути делает то же самое, что и SSH, используя кучу файлов в ~/.ssh и rsync для перемещения между устройствами. Это «велосипедный» подход, при котором все движущиеся части видны и легко понять, что происходит.

Джаррекс сказал:

Использование пароля не должно быть ответом на вопрос, призванный заменить пароли.

Нажмите, чтобы развернуть...

Это немного смешно. Как еще вы могли бы пройти аутентификацию в существующей службе? чтобы обновить механизм аутентификации? Помимо уже обсуждавшегося метода QR и Bluetooth. И хотя поверхность атаки на стороне сервера не обязательно уменьшается за счет включения пароля, а не требования входа в систему, это существенно уменьшает поверхность атаки на стороне клиента, поскольку вы строго участвуете в обмене ключами, что обеспечивается аутентификацией на уровне ОС. И это победа для всех.

Если вы дошли до того, что не можете доверять ни одной из функций безопасности вашей ОС, вы можете просто выбросить свои компьютерные устройства и отправиться жить на тропический остров или куда-то еще. В какой-то момент какому-то программному обеспечению необходимо оказывать некоторый уровень доверия.

fun0 сказал:
Не означает ли это, что веб-сайты могут блокировать анонимный просмотр?

Насколько я понимаю, HTTPS действует «на лету», обеспечивая безопасность передачи данных между моим браузером и веб-сервером. Однако ключ доступа будет однозначно связан с моим устройством, поэтому любой выигрыш в безопасности будет (по крайней мере теоретически) компенсирован потерей конфиденциальности.

Или я неправильно понимаю?

Нажмите, чтобы развернуть...
Вы неправильно понимаете комментарий, на который отвечаете, и я думаю, вы упустили из виду слово «аналогия».

Мариотреви, по сути, сказал: «Я надеюсь, что эти два совершенно разных применения криптографии с открытым ключом когда-нибудь станут одинаково повсеместными в мире». будущее» — не то чтобы аутентификация (ключи доступа или любая другая форма аутентификации) каким-то образом была добавлена ​​к безопасному транспорту позже. (HTTPS).

Второй этаж сказал:
Вы имеете в виду все эти взломанные, взломанные и опубликованные базы данных, полученные с помощью фишинга, которые это предотвращает?

Чувак, тут такое ощущение, что это настоящая арахисовая галерея.

Нажмите, чтобы развернуть...

Не все они были получены с помощью фишинга. Фишинг – вещь актуальная, специфическая, он не является синонимом «взлома» вообще, как бы часто кто-то ни пытался его использовать таким образом.

Это не предотвращает раскрытие вашего пароля. Пароль может быть скомпрометирован даже без вашего использования, если серверная часть скомпрометирована, а это происходит постоянно. Если в учетной записи существует пароль, злоумышленники могут использовать его, чтобы пройти мимо ключа доступа.

Единственный способ повысить безопасность — это отменить пароли. Но если бы это было так, эта система не работала бы по многим причинам, на которые уже указали люди. Это действительно похоже на отношения Биткойна с реальными деньгами: BC работает только в том случае, если существуют реальные деньги, но существование реальных денег также делает бессмысленным перепрыгивать через все ненужные, не добавляющие ценности BC обручи.

Шпидер сказал:
Это немного смешно. Как еще вы могли бы пройти аутентификацию в существующей службе? чтобы обновить механизм аутентификации? Помимо уже обсуждавшегося метода QR и Bluetooth. И хотя поверхность атаки на стороне сервера не обязательно уменьшается за счет включения пароля, а не требования входа в систему, это существенно уменьшает поверхность атаки на стороне клиента, поскольку вы строго участвуете в обмене ключами, что обеспечивается аутентификацией на уровне ОС. И это победа для всех.

Если вы дошли до того, что не можете доверять ни одной из функций безопасности вашей ОС, вы можете просто выбросить свои компьютерные устройства и отправиться жить на тропический остров или куда-то еще. В какой-то момент какому-то программному обеспечению необходимо оказывать некоторый уровень доверия.

Нажмите, чтобы развернуть...
Я говорю о долгосрочной перспективе. Если ключи доступа предназначены для «уничтожения паролей», говоря, что это способ добавить устройства, не поддерживающие Bluetooth, как аутентифицированные. устройства с ключом доступа - это «использовать пароль», вы фактически все еще имеете то же самое слабое звено - пароли.

Это не уменьшает количество атак на стороне клиента, потому что если вы можете эффективно получить доступ к ключу с помощью пароля, то это то же самое, что и пароль.

Дангудин сказал:

Я не понимаю. Если вы не доверяете Google, у вас не должно быть учетной записи, и, очевидно, этот пост не для вас. Но для читателей, которые используют Google, используя пароль для входа в систему, а не Google. пароль не дает Google больше контроля, чем он уже имеет.

Нажмите, чтобы развернуть...

Использую Google, потому что мой телефон требует, чтобы у меня была почта Gmail и я доверял Google методы аутентификации для остальные услуги, которыми я пользуюсь в жизни это совершенно другой вопрос.

Честно говоря, я не знаю, как человек, который должен работать в сфере безопасности, может привнести в это такое черно-белое мышление. Доверие не является бинарным, принцип наименьших привилегий является основополагающим принципом?

БаСП сказал:

Могу, но знаю, что ты справишься с этим сам. И я никоим образом не склонен тебе в этом помогать, потому что, честно говоря, ты мне очень не нравишься.

Нажмите, чтобы развернуть...
Вы выдвинули обвинение, которое не смогли подтвердить…

«Я утверждал, что ты плохой человек, и у меня есть много доказательств того, что ты плохой человек, но когда меня просят предъявить доказательства, я внезапно замолкаю».

Стандартная реакция, когда вызывают обеспокоенных троллей, повсюду в Интернете.

Джаррекс сказал:
Я говорю о долгосрочной перспективе. Если ключи доступа предназначены для «уничтожения паролей», говоря, что это способ добавить устройства, не поддерживающие Bluetooth, как аутентифицированные. устройства с ключом доступа - это «использовать пароль», вы фактически все еще имеете то же самое слабое звено - пароли.

Это не уменьшает количество атак на стороне клиента, потому что если вы можете эффективно получить доступ к ключу с помощью пароля, то это то же самое, что и пароль.

Нажмите, чтобы развернуть...

Это, откровенно говоря, вневременная чепуха, игнорирующая неудобный факт линейного течения времени.

ЕСЛИ кто-то перейдет на использование паролей для входа на сайт, ТО: идти вперед, Атаки на стороне клиента, направленные на сбор паролей, будут заблокированы. Ваше утверждение основано на рассматриваемом пароле. уже скомпрометирован, и в этот момент учетная запись уже скомпрометирована. Тот факт, что ключи доступа не будут постфактум восстанавливать скомпрометированные пароли, не лишает их какой-либо утилиты безопасности.

Дангудин сказал:

Подождите, как включение паролей заставляет людей «искоренить весь свой цифровой процесс»? Сохранив ключ доступа, вы на 100% сможете продолжить вход в систему с паролем точно так же, как вы это делали раньше. Этот комментарий является ярким примером того, что я имею в виду, когда говорю о критике, основанной на фундаментальных непониманиях.

Нажмите, чтобы развернуть...

Я не тот, кто что-то неправильно понимает. Вы намеренно игнорируете более серьезные последствия и вопросы дизайна, которые люди неоднократно поднимали, потому что... Я на самом деле не знаю. Кажется, вы очень лично заинтересованы в людях, использующих пароли, вплоть до игнорирования искренних задавать вопросы, замалчивать серьезные проблемы и оскорблять, когда мы указываем на вещи, о которых вы не говорили уточнил.

В этой статье очень ясные проблемы, а ваши ответы на вопросы настолько явно предвзяты и часто недобросовестны, что я изрядно поражен.

Джоклерс сказал:
Использую Google, потому что мой телефон требует, чтобы у меня была почта Gmail и я доверял Google методы аутентификации для остаток моей жизни это совершенно другой вопрос.

Честно говоря, я не знаю, как человек, который должен работать в сфере безопасности, может привнести в это такое черно-белое мышление. Доверие не является бинарным, принцип наименьших привилегий является основополагающим принципом?

Нажмите, чтобы развернуть...
Черно-белое мышление – например: «Использую Google, потому что для моего телефона требуется Gmail, и доверяю Google методы аутентификации для остаток моей жизни".

Итак, у вас есть телефон Android, и вы не сохраняете на нем НИКАКИЕ пароли или учетные данные 2FA? А если вы не доверяете Google, то гораздо лучше хранить на своем устройстве Android ключ доступа, чем пароль…

Как вы управляете своими учетными данными для всех своих онлайн-аккаунтов и сервисов, если отказываетесь сохранять пароли или 2FA на своем устройстве Android?? Легко запоминаемые пароли, возможность повторного использования паролей, бумажный блокнот и т. д.? Ключи доступа значительно более безопасны, чем все остальные, и Google не может украсть их у вас.

Дангудин сказал:

Я не понимаю. Если вы не доверяете Google, у вас не должно быть учетной записи, и, очевидно, этот пост не для вас. Но для читателей, которые используют Google, используя пароль для входа в систему, а не Google. пароль не дает Google больше контроля, чем он уже имеет.

Нажмите, чтобы развернуть...
Тогда вы страдаете от недостатка воображения.

Конечно, у меня есть аккаунт Google. Их несколько, если считать разные аккаунты Gmail отдельно. Это не значит, что я доверяю Google, просто я доверяю им немного. У меня также есть собственный почтовый домен и сервер.

Речь идет не только о том, чтобы «дать Google больше контроля», но и о том, чтобы доверить им не испортить процесс, который они уже усложняют, чем необходимо. Их история в этом отношении (включая отказ от проектов, к которым они теряют интерес) менее чем достойна восхищения. Я также не забываю, что Google — рекламная компания, и что я их продукт, а не клиент.

Дангудин сказал:

Можете ли вы привести пару примеров моих комментариев, которые были «очень интересными» и «передавали тревожное отсутствие темперамента»?

Нажмите, чтобы развернуть...
дай мне посмотреть здесь... Я думаю, что строка, идущая к BasP и обратно, является хорошим примером того, где вы могли бы остановиться задолго до того, как в #382 появится сообщение «...прекрати отвечать на мои сообщения». посты». Существует также аргумент в пользу того, что количество продвигаемых комментариев намного выше среднего, иначе ответы с использованием всех заглавных букв попадут в эту строку, поскольку хорошо.

Поскольку вы можете ответить на мои «примеры», я заявлю, что это строго ИМХО, и вам лучше приберечь свою ручку для защищайте более благородные положения, а не защищайтесь от мнения одного несовершеннолетнего (даже не подписываясь!) комментатор. Однако в какой-то момент некоторые комментаторы проявляют склонность к троллингу. с чем следует бороться путем отказа от участия. Другой пример: на данный момент Рон не отвечает на шутки про лоб/подбородок... Я понимаю (только частично, поскольку не я писал эту статью), это расстраивает. Пожалуйста, помните, что здесь много всего, а также цените таких авторов, как вы, которые следят за комментариями и отвечают на них.

Дангудин сказал:

Я поймал один случай, когда я отмахнулся от кого-то, просто задавшего вопрос, и извинился за это. Возможно, я сделал это в другом месте, и если я это сделал, то тоже извинюсь за это. Мое нетерпение возникло из-за того, что люди с такой убежденностью утверждали полную дезинформацию, а затем получили более 90 голосов. Подобные вещи просто вводят в заблуждение людей, заглядывающих в комментарии и пытающихся что-то понять.

Нажмите, чтобы развернуть...

Ну вот:
Дангудин сказал:

...
Многие критические замечания до сих пор основаны на фундаментальном непонимании ключей доступа. В комментариях, пожалуйста, не критикуйте, если вы еще не попробовали.

Нажмите, чтобы развернуть...

Вы автор статьи, именно вы должны проводить исследование и давать нам ответы. Зачем нам приходить в Арс, чтобы нам сказали провести собственное исследование? Это ваша работа, и защищаться, когда у людей возникают вопросы, крайне непрофессионально. Ваша работа — предоставлять информацию, а не просить нас найти ответы самостоятельно.
Дангудин сказал:

Жаль, что этот пост получил столь высокую оценку, потому что он основан на фундаментальном недопонимании. Вам необходимо, чтобы телефон сканировал QR-код ровно один раз при входе в систему с нового устройства.

Нажмите, чтобы развернуть...
Вы недобросовестно читаете и противоречите себе. Только необходимость пройти этот долгий процесс не означает, что человеку не нужно проходить через этот процесс. Возражение о том, что это долгий и сложный процесс, на самом деле не устраняется словами «вам нужно сделать это только один раз для каждого устройства и каждой учетной записи».
Дангудин сказал:

Похоже, вы не понимаете, как работает асимметричное шифрование. ICloud Keychain синхронизирует открытый ключ. Он никогда не видит и не касается закрытого ключа.

Нажмите, чтобы развернуть...

Это просто оскорбительно.
Дангудин сказал:

Вам не обязательно доверять «большой тройке», чтобы использовать ключи доступа. В любом случае продолжайте использовать пароли, но, пожалуйста, проинформируйте себя, прежде чем комментировать.

Нажмите, чтобы развернуть...

Это классическое поведение форумного тролля «сделай свое собственное исследование». Это тот момент, когда я честно начал задаваться вопросом, о чем думали вы и руководство Ars в целом.
Дангудин сказал:

То есть вы не используете Windows, iOS или macOS, а только Android и Linux?

Нажмите, чтобы развернуть...

Вы должны знать, о чем говорите, говоря о компьютерной безопасности. Вы действительно должны знать, что доверие не является бинарным, что люди должны использовать инструменты, которые позволят выполнить работу и достичь компромисса, и это все равно не означает, что использование системы, которой мы не полностью доверяем для различных задач, отличается от хранения методов аутентификации для других служб в этом система.

Я мог бы продолжать, но все остальное примерно в том же духе. Люди задавали в этой ветке комментариев искренние вопросы и опасения, как по поводу паролей, так и по поводу этой конкретной статьи, а вы отвечали, занимая оборонительную и воинственную позицию.

Кроме того, я не вижу ответов людям, говорящим, что это похоже на огромный подъем технической поддержки, я не вижу ответы людям, спрашивающим, почему крупные корпорации настаивают на этом или обсуждают более широкую проблему подразумеваемое. Все это приводит к тому, что вы кажетесь невероятно пренебрежительным к реальным вопросам и тщательно выбираете, на что отвечать.

БаСП сказал:

Вам когда-нибудь приходило в голову, что люди, делающие неверные утверждения, возможно, просто неправильно поняли технологию и поэтому думают, что они верны?

Нажмите, чтобы развернуть...

Я бы отнесся к этому с большей симпатией, если бы не несколько одних и тех же людей, повторяющих одни и те же тезисы в каждой статье и отказывающихся проводить даже фундаментальные исследования. Биометрические исследования утомительны, потому что они показывают, что они не проводили никаких исследований того, как эти системы были спроектированы с начала века, а также не читали ни одной из них. предыдущие комментарии ранее в теме или, в некоторых примечательных случаях, отвечает на них лично, но все равно чувствует, что они вносят что-то, рассылая один и тот же неправильный спам. утверждения.

Разницу легко заметить. Люди, которые пытаются этому научиться, говорят что-то вроде: «Я не знаю, как отзыв работает с биометрией» или «Как это не рискованно? вместо того, чтобы уверенно утверждать, что то, что они только что придумали, лишает законной силы все концепция. Когда вы говорите о чем-то, что рекомендуют большинство ведущих специалистов по безопасности в мире, разумно предположить, что существует это не какой-то ослепительно очевидный недостаток, который вы заметили в первые 5 секунд, но никто из сотен людей, работавших над ним, никогда не заметил.

Второй этаж сказал:

Я помню, когда Ars был технологическим сайтом. Теперь кажется, что слишком много его читателей — луддиты.

Нажмите, чтобы развернуть...
В случае с луддитами проблема заключалась не столько в технологии, сколько в ее воздействии. Луддиты были домашними ткачами. Внедрение на фабриках паровых ткацких станков, которыми управляли дети, обещало разрушить их средства к существованию. Подумайте о появлении роботов или искусственного интеллекта и о том, как они могут позволить некоторым работодателям уволить большую часть своих работников.

Хотя я думаю, что проблема в том, что технология не была четко объяснена. А может быть и не может быть, поскольку он сложный, неполный и, похоже, в разных местах реализован по-разному. Как и у всего, у него есть плюсы и минусы, и минусы так же важны, как и плюсы.

Linux пока не поддерживает хранение или управление ключами доступа. Однако я смог использовать QR-код на своем телефоне Android и его ключ доступа для входа в учетную запись GMail с моего ноутбука с Gentoo Linux. Сначала вообще не получалось. Но потом я понял, что на моем ноутбуке с Linux не работает демон Bluetooth. Итак, я запустил демон Bluetooth, а затем соединил свой телефон Android с ноутбуком с Linux. После этого вход в GMail из Chrome на моем компьютере с Linux работал отлично, используя ключ доступа, хранящийся на моем телефоне Android.

dagar9 сказал:
В случае с луддитами проблема заключалась не столько в технологии, сколько в ее воздействии. Луддиты были домашними ткачами. Внедрение на фабриках паровых ткацких станков, которыми управляли дети, обещало разрушить их средства к существованию. Подумайте о появлении роботов или искусственного интеллекта и о том, как они могут позволить некоторым работодателям уволить большую часть своих работников.

Хотя я думаю, что проблема в том, что технология не была четко объяснена. А может быть и не может быть, поскольку он сложный, неполный и, похоже, в разных местах реализован по-разному. Как и у всего, у него есть плюсы и минусы, и минусы так же важны, как и плюсы.

Нажмите, чтобы развернуть...

Это стандарт W3C. Я не уверен, что документация может быть более полной для тех, кто хочет узнать больше.

Очень похоже на людей, которые задают вопросы в комментариях к статьям, на которые есть ответы в связанных цитатах. Люди настолько ленивы, что не нажмут на ссылку, не говоря уже о том, чтобы потратить 10 минут на самообразование.

Дангудин сказал:

Если вы входите в Google с помощью пароля, вы уже очень доверяете аутентификации Google. Ключи доступа не требуют большего или меньшего доверия, чем те, которые вы уже размещаете в Google. Ключи доступа к учетной записи Google не являются «методом аутентификации на всю оставшуюся жизнь». Вы можете использовать свой пароль в любое время и удалить ключ доступа в любое время.

Нажмите, чтобы развернуть...

У вас все еще создается впечатление, что вы намеренно неправильно понимаете то, что я говорю.

Вход в сервис с паролем — это совсем не то же самое, что доверять компании, предоставляющей этот сервис, надежно выполнить аутентификацию меня в других сервисах. Действительно, была проделана большая работа на различных уровнях доверия. Обсуждение федеративной идентичности — хорошее начало.

Александрия77 сказал:

То же самое. Даже мысль о том, чтобы доверить Google свои Pass_____, пугает меня до чертиков. Мне все еще нужно выделить некоторое время, чтобы решить, буду ли я использовать онлайн-менеджер PW (и я использую WebAuth в качестве 2FA) или переключусь исключительно на локальную базу данных PW. Но это другая тема.

Нажмите, чтобы развернуть...
Хорошо, я говорю именно об этом. Мы постоянно обсуждали проблему доверия Google к вашему ключу доступа. Вы уже прочитали комментарии? Вы найдете несколько примеров, объясняющих, почему вам не нужно доверять Google свой ключ доступа. Вы найдете несколько примеров, объясняющих, что использование ключей доступа к учетной записи Google обеспечивает тот же уровень безопасности. доверяйте Google – ни больше, ни меньше – чем вы уже доверяете при входе в Google с помощью ключ доступа.

Это утомительно. Я рад объяснить вещи людям, которые задают вопросы. Но утверждать ерунду в этом комментарии с такой высокой степенью уверенности - это совсем другое, чем задавать вопросы. Когда они приходят снова и снова, несмотря на то, что я и другие люди объясняем фундаментальное недопонимание... ну, легко потерять терпение.

Последнее сообщение в блоге

[решено] Арс "Ящик Бога"
October 10, 2023

Псссс. Это не ящик Бога, если в нем нет специального водяного контура. Единственным вариантом для ящика бога будет Asus Pro WS W680-Pro ACE. У B&...

Настройки главного вентилятора Gigabyte x570s aorus не сохраняют меню BIOS медленно, если CSM отключен с помощью SecureBoot
October 06, 2023

Всем привет,Новая материнская плата Gigabyte x570s aorus master с последней версией BIOS F5.Большинство корпусных вентиляторов подключены к 4-конта...

Вопрос по выбору замены материнской платы (решён)
October 08, 2023

Уважаемое сообщество ARS, Привет. Первый слот nvme на материнской плате (X570 Taichi) умер. Я бы хотел иметь возможность перенести все остальные ко...