Не и апсолутно јебено не.Контекст чланка је пријављивање на Гоогле акредитив помоћу лозинке. „Велика 3“, као и неколико других, нуде кључну депонију и опоравак, али сајтови директно користе приступне кључеве – ако користите приступни кључ са Бест Буи-ом, неће проверавати код Гоогле-а, на пример (осим ако не користите „друштвено пријављивање“ наравно). У том контексту, гугл брисање вашег налога само значи да ако вам телефон умре, ствари могу постати незгодне. Они су у основи иубикеи са опцијом опоравка - тако мало мање сигурни јер постоји приватни кључ у есцров-у који решава 50% проблема са иубикеи-овима (преостало је цена и подршка за апликацију бол).Чини се да сваки појединачни систем за који се чини да може да чува приступне кључеве захтева од вас да верујете великој тројци (Аппле, Гоогле, Мицрософт) да неће избрисати ваш налог без упозорења. У мом случају, ако Аппле избрише мој иЦлоуд налог и привезак за кључеве, губим приступ свему што је обезбеђено шифром. Упоредите то са оним што се дешава управо сада, ако уништим свој главни Иубикеи: одем у своју банку, покажем им два облике ИД-а, употребите мој физички кључ да преузмете резервни Иубикеи из сефа и наставите са живот.
Све док и ако не дође до озбиљних и трајних последица по компаније које пружају инфраструктурне услуге које делују једнострано, нема шансе да ово користим. КеиПасс/БитВарден може да генерише произвољно јаке лозинке, можете купити онолико Вебаутхн кључева колико желите од разних добављача. Са приступним кључевима, само једно (аутоматизовано, о чему се не може преговарати) брисање дели вас од трајног закључавања целог живота на мрежи.
Ако желите да дате ту моћ компанији, будите мој гост. Сачекаћу док се то не третира као да компаније за водоснабдевање или електричну енергију прекидају услугу без очигледног разлога: велике и штетне казне.
Нисам сигуран да разумем како то захтева радни токАко копирате лозинке (или их куцате из меморије, што има друге проблеме у обиму), рањиви сте на пхисхинг. Дакле, приступни кључеви би били велико безбедносно побољшање за вас.
зграби твој телефон,
додиривање апликације,
сликање вашег екрана, и
додирујући шта да радим са тим информацијама......је "лакша" операција од уношења лозинке из меморије, или аутоматског довршавања помоћу менаџера лозинки, или копирања лепљења помоћу менаџера лозинки.
Можда постоје и друге предности, али то никако није лакше.
За свој Гоогле налог, поново сам регистровао своје ИубиКеи које сам користио као 2ФА да буду приступни кључеви. Са 2ФА, аутентификација је била Гоогле лозинка + ФИДО У2Ф хардверски кључ. Са приступним кључевима, то је ФИДО2 хардверски кључ + ФИДО2 ПИН кључа.
Ниједна од "велике три" технолошке компаније неће бити чувари ваших приступних кључева. Приступни кључеви се држе на уређају. Ако не желите да синхронизујете свој приступни кључ преко неке врсте услуге, ставите исти приступни кључ на више уређаја. Имате само један уређај и сада га нема? То је исти проблем као и менаџери лозинки без синхронизације. На крају ћете морати поново да се аутентификујете са различитим услугама баш као што бисте то учинили у сваком сличном случају закључавања. Већина људи ће синхронизовати своје лозинке као што раде своје лозинке. И не, ако Гоогле угаси ваш налог, не може да онемогући приступне кључеве које већ имате на својим уређајима. Изгубићете њихову услугу синхронизације, али бисте тада могли да почнете да користите другу.
Приступни кључеви не могу бити лажни, не могу се заборавити, не могу се добити кроз цурење података и сами су по себи јединствени и безбедни. То су заиста велика побољшања. Такође су лакши за коришћење јер када се налазе на вашем уређају, аутентификација је једноставна.
За ово користим Иубикеи, а не Андроид или иОС. То значи да нисам дужан Гоогле/Аппле-у да управљам својим кључем, нити морам да бринем да ће мој налог бити компромитован и на тај начин процурити приступни кључ.
Као тачку поређења са пријављивањем на Гоогле налог, већ неко време користим овај Иубикеи за приступ свом Мицрософт налогу.
Мицрософт ради у свим главним претраживачима на десктопу (осим Сафарија на МацОС-у последњи пут када сам проверио). Изгледа да је Гоогле-у потребан Цхроме.
Мицрософт има опцију испод поља корисничког имена да се пријавите на другачији начин, затим изаберете Виндовс Хелло или безбедносни кључ, ставите кључ у УСБ порт, унесите ПИН и притисните дугме на врху. Затим ће вас питати који налог (ако имате више сачуваних налога), а ви сте директно пријављени. Не морате чак ни да памтите своје корисничко име/адресу е-поште.
Гоогле захтева од вас да унесете своје корисничко име/е-маил, а затим тражи да се унесе кључ. Затим морате да унесете ПИН и он вас пријављује.
Из перспективе употребљивости, Мицрософт је бољи по томе што не морате да памтите своју е-пошту. За публику Арса, ово је вероватно негативно. Али ако подржавате 70-годишње баке и деке, што мање ствари треба да памте, то боље. Нисам потврдио, али мана МС система је то што Иубикеи подржава само одређени број сачуваних акредитива, док из онога што сам могао да видим у свом истраживању, Гугл метод у основи има да Иубикеи генерише приватни кључ посебно за ту локацију засновану на интерном приватном кључу, вашем ПИН-у и неким информацијама које пружају сајт и претраживач, сваки пут када треба да покрене Аутентикација. Чини се да обојица користе интерни приватни кључ специфичан за Иубикеи, ваш ПИН, неке информације о домену које пружа прегледач и специфичне информације које сте добили са сајта који посећујете да бисте извршили руковање, што спречава МИТМ нападе да буду успешни јер не могу све то да лажирају података.
Нисам сигуран шта недостаје у Фирефоку за имплементацију Гоогле-а у односу на Мицрософтову, зашто не подржава нови систем приступних кључева. Или само Гоогле не тражи приступни кључ зато што Фирефок није имплементирао Блуетоотх део, који има нуспојава неподржавања Иубикеис-а/хардверских токена јер се од Фирефок-а то не тражи путем Гоогле пријављивања сајту.
--
Ако изгубите приступни кључ и немате резервни приступни кључ, сигурносна резерва је да се пријавите на начин на који сте се пријављивали пре лозинке. Дакле, обично лозинка + ОТП. Иако ово значи да сајт подржава мање безбедан систем аутентификације, једна од предности је та што ви то не подржавате користећи лозинку на редовној основи, тако да је мања вероватноћа да ће она процурити или пресретнути пхисхинг/МИТМ напад.
--
Из безбедносне перспективе, можете да видите приступне кључеве као новчаник за лозинку са ограниченом подршком за сајт. Ако користите Иубикеи, новчаник је хардверски уређај у вашем џепу, заштићен ПИН-ом. Ако користите Андроид/иОС приступни кључ, новчаник се синхронизује у систему облака и заштићен лозинком вашег налога + биометријским подацима. Ако изгубите уређај, то је слично губитку датотеке лозинке.
Када открију све недостатке, ово има потенцијал да промени многе ствари у безбедносном окружењу, јер ће појединци који нису свесни безбедности више се не опирете захтевима за безбедну лозинку или морате да схватите како да правилно користите новчаник са лозинком и како да му приступите/синхронизујете на више уређаја. У основи постајући новчаник са лозинком, приступни кључеви генеришу заиста сигурне, заиста насумичне лозинке за сваку локацију на којој се користе, и направљене су имајући на уму отпорност на пхисхинг.
Како се ово може одбацити? То је 100% истина.
Његово СЗО, не Шта на насловној страни. Нема љубави према Гуглу на насловној страни, тако да је њихова подршка окренула гомилу против индустријски стандард.
То је глупо.
Опет, читаоци, не обраћајте пажњу на ове коментаторе.
Коришћење лозинке не би требало да буде одговор на нешто што би требало да замени лозинке.
Ово је некако смешно. Како бисте иначе потврдили аутентичност постојеће услуге да бисте ажурирали свој механизам аутентификације? Осим КР-и-блуетоотх методе о којој је већ било речи. И док површина напада на страни сервера није нужно смањена омогућавањем, а не захтевањем лозинке за пријаву, значајно смањује површину напада на страни клијента, пошто се стриктно укључујете у размену кључева, омогућену аутентификацијом на нивоу ОС-а. И то је победа за све.
Ако сте до те мере да не можете да верујете ниједној безбедносној функцији вашег ОС-а, можете једноставно да баците своје рачунарске уређаје и одете уживо на тропско острво или тако нешто. Ат нека поента мора се дати одређени ниво поверења неком софтверу.
Мислим да је овде велика конфузија зато што је цео технолошки низ бачен на нас и представљен као свршен чин. Дозволите ми да, као незналица, покушам да га деконструишем по аналогији са оним што разумем: ССХ парови кључева. Позивам друге да рупе у ономе у чему грешим.1. Јавни/приватни кључеви за аутентификацију. Ово функционише отприлике исто као и ССХ. Веб локација зна само ваш јавни кључ, а ви потписујете поруке да докажете да поседујете приватни кључ.
2. Заштита од крађе идентитета. Кључеви су специфични за сајт, тако да сајт за пхисхинг добија другачији кључ. ССХ има кључеве домаћина за ово, претпостављам да кеипасс користи неке везе са ТЛС кључевима домаћина? Ваш претраживач то користи да би изабрао који тастер да користи? Или само по ДНС имену?
3. Средства за откључавање кључева да докаже да их прави корисник користи. ССХ има приступне фразе, претпостављам да је ту биометријска / Блуетоотх ствар на сцену? ССХ такође може да откључа кључеве помоћу паметних картица, па претпостављам да је биометрија помало као други начин откључавања?
4. Синхронизација кључева између уређаја. Овде вероватно долазе „екосистеми“ у облаку, попут синхронизације иЦлоуд и Цхроме лозинки? За ССХ нема подршке, али можете сами да скувате помоћу рсинц-а или било чега другог?
Шта сам погрешио?
Ако је горе у целини тачно, могао бих да замислим да направим отворени стек који у основи ради исто што и ССХ користећи гомилу датотека у ~/.ссх и рсинц за кретање између уређаја. То је приступ „бицикла“ где су сви покретни делови изложени и лако се разуме шта се дешава.
То није само наметнуто људима – ово је ажурирање ФИДО2, сама по себи друга верзија стандарда. У2Ф је био ФИДО1; ово је ЦТАП 2.2 ([уреди: Исправљено из мог ВАГ-а од 2.4 који је био погрешан, хвала још увек нетачно!]), део ФИДО2/ВебАутхн-а. Ово заиста није ништа компликовано како то иде... попустили су захтеве Аутхентицатор-а тако да приватни кључ може (мора да се...) безбедно копира и додали су неке Јавасцрипт функције да би живот олакшали. Пријава без лозинке? Увек је било могуће са ФИДО2. То је добар део тога - ФИДО1 би могао бити само МФА. Додавање приватног кључа у прегледач који се чува у ТПМ-у или безбедном елементу? Увек је било могуће, и је раније имплементиран у Цхроме, Фирефок и Сафари. Оно што је ново је да се може синхронизовати и приступити преко БТ/КР ригмароле-а. Раније се називао (и означавао на веб локацијама) као „кључеви специфични за платформу“, за разлику од оних преносивих који су били хардверски уређаји. Сада је ПассКеис.
Пошто се чини да је цела сврха система лозинки да се ослободи лозинки, дозволите ми да наведем неке од предности лозинки:
- довољно су једноставни за разумевање за свакога ко је ментално способан да управља електронским уређајем
- лако их је запамтити ако се уопште потрудите и редовно их користите
- раде на свим оперативним системима из кутије
- не захтевају приступ Интернету (неки системи су ван мреже из доброг разлога)
- не захтевају сарадњу било које треће стране
- не захтевају присуство паметног телефона или другог гаџета
- не захтевају Блуетоотх, ВиФи, камере или батерије
- могу се – у хитним случајевима – складиштити без потребе за електричном енергијом
- могу се лако пренети на другу особу без употребе било каквог уређаја
- ако нисте хендикепирани и не користите паметни телефон, аутентификација помоћу лозинке траје само неколико секунди
Ваше тачке #1, #2 и #10 су погрешне – питајте свакога ко ради у техничкој подршци колико често морају да ресетују лозинку јер неко заборавили своју лозинку, оставили тастер Цапс Лоцк укључен (или су погрешно поставили руку на тастатуру) или су га провукли довољно пута да би се закључали оут. Да, да, знам да ти лично увек савршено успеш, али веруј ми, свако ко добије позиве за помоћ има... мање оптимистичан... поглед на човечанство. Такође ћу додати да подржавам много слепих корисника и унос лозинке масовно срање за њих јер многи сајтови имају захтеве за сложеношћу који су тешки за кориснике читача екрана, а ако нисте вешт дактилограф на додир, рећи то наглас није сјајно. То је ниша, али је она за коју многи људи који граде системе за аутентификацију законски такође морају добро подржавати, и то је један од разлога зашто сам заинтересован за технологију од „Да ли желите да се пријавите са својим приступним кључем?“ „Да“ је бар један ред величине брже и лакше од било ког облика лозинке + МФА за многе корисника.
Тачка бр. 3 важи за ВебАутхн МФА, али увек приступне кључеве – нешто попут Иубикеи-а ради свуда где имате УСБ/НФЦ, али можете морају да поставе ПИН или да користе своје биометријске серијске кључеве за имплементаторе лозинки као што је Гоогле.цом који захтевају више од једноставног славина.
Тачке #5, #6, #7 и #8 такође важе за све облике ВебАутхн-а – и МФА и приступне кључеве. Тачка #4 је тачна осим када први пут региструјете уређај када синхронизујете постојећи кључ. Након што сте први пут синхронизовали кључеве, није вам потребна мрежна веза. Ако не желите да синхронизујете, можете купити и неколико Иубикеи биометријских кључева који поново раде потпуно ван мреже где год имате УСБ или НФЦ.
То оставља број 9, што је лоша пракса и треба је избегавати ако је икако могуће. Модерни системи имају ствари попут аутентификације засноване на улози, где људи никада не деле лозинке, али је више људи дозвољено да преузме дату улогу, или ствари као што су наслеђе или делегиране налози на којима више никада не делите лозинке, већ дајете једној или, још боље, више људи потребних у комбинацији, могућност да ураде нешто попут ресетовања лозинке или да стекну контролу над ваше датотеке.
Само зато што је нешто ново и нисте научили како то функционише не значи да је лоше или да треба избегавати. Приступни кључеви су велика промена за већину нас – осим .гов пошто се ПИВ/ЦАЦ тамо враћа у претходни век, чак и на неколико других места усвојили – али имају бројна побољшања употребљивости поред безбедносних предности и постоји јасан пут за изградњу неке од делова који недостају (нпр. заиста желим могућност да синхронизујем Аппле/Гоогле приступни кључ са Иубикеи-ом како бих могао да га оставим у свом сефу одмах случај).
Очигледно мора бити доступан не само током синхронизације, већ и током аутентификације, пошто се за то користи. И такође мора бити доступан приликом прве регистрације.И то је оно што покушавам да вам објасним: било би лако потврдити аутентичност са постојећим уређајем и користити га уређај за додавање другог јавног кључа, који се генерише на другом, новом уређају, и шаље на стари уређај од стране неких значи. На пример, могао бих да креирам нови тајни кључ / пар кључева јавног кључа на свом десктоп рачунару, пошаљем јавни кључ на свој лаптоп, да се пријавим са својим лаптопом и да додам јавни кључ за радну површину. Стално радим сличне ствари са ССХ-ом.
Овде нема техничких препрека. Ако то није могуће са приступним кључевима, онда је то по избору.
Приватни кључ није доступан. Зашто то не потражите уместо да понављате неистину изнова и изнова.
И сада сам више збуњен него што сам био пре него што сам почео - проследио сам чланак свом ЦС мајору/бољој половини да објасним ствари, али то можда неће бити довољно.
Лозинке се лако пробављају. 2ФА је лако објаснити. Кључеви имају смисла, али таман када помислим да бих их могао схватити, прочитам следећи пасус и више се изгубим.
Небо помози мојој браћи и сестрама и родитељима.
Хвала вам што сте то рекли. Одговори Дана и других (нпр. @Вбд'с промовисан коментар који цитира мој) заснован је на фундаменталном погрешном читању коментара.Схватате да и 1Пассворд и Битварден раде на подршци за приступни кључ, зар не?Не желим да верујем свом провајдеру оперативног система (Аппле у мом случају и за мобилне и за десктоп уређаје) са приступним кључевима и одговор је више пута „Али ти ВЕЋ ВЕРУЈТЕ ГООГЛУ ВАШОМ ЛОЗИНКОМ." Да, добро, уносим дугачку насумичне лозинке са БитВарден/КееПасс-а, укључујем свој Иубикеи и притиснем дугме. Ни у једном тренутку се не ослања на мог ОС провајдера.
И наравно, тренутно постоји опција да се не користе приступни кључеви и да се користи лозинка као раније, али цео воз технолошке хајпе је на путу ка „НЕМА ВИШЕ ЛОЗИНКИ ЗА ЛОЗИНКЕ ЗА СВИ“ станицу и ако кажем, „али сачекај, ако изгубим сваки други налог јер мој ОС провајдер одлучи да му се не свиђам, шта ће се десити“, називају ме тролом и дезинформисан. Такође има толико ивичних случајева да могу да се сетим где ово не функционише и уместо да кажем, „да, те су оправдане забринутости у будућности само са приступним кључем коју желимо“, постоји ова стална критика било којег испитивање.
1Пассворд је отишао толико далеко да каже да су приступни кључеви „будућност аутентификације“: https://www.future.1password.com/passkeys/
