Keeawayt
- FIDO Alliance on julkaissut tiedotteen, jossa analysoidaan puutteita, jotka estävät sen salasanattoman todennusstandardin yleistymisen.
- Salasanattomat todennusmekanismit eivät ole onnistuneet korvaamaan salasanoja, koska ne ovat hankalia, raportti ehdottaa.
-
Se ehdottaa älypuhelimien käyttöä verkkovierailun suojausavaimina.
Vahkoja salasanoja on hankala luoda ja hallita, mutta ylimääräisten vaiheiden ja laitteiden lisääminen todennusprosessiin on vielä suurempi päänsärky.
Tämä on Fast ID Online Alliancen (FIDO) laatima selvitys, jossa syytetään käytettävyysongelmia, jotka estävät salasanattomien todennusmekanismien yleistymisen. Allianssi on kuitenkin keksinyt ratkaisun ongelman ratkaisemiseksi lopullisesti ja tehdä FIDO-todennusstandardista yhtä arjen kuin salasanat.
"FIDO on ylittänyt kaikki alkuperäiset odotukset", Bill Leddy, LoginID:n tuotejohtaja, kertoi Lifewirelle sähköpostitse tutkittuaan raporttia. "[Se] on todella lähellä kaikkien todennus [ongelmien] ratkaisemista, mutta tarvitsee hieman enemmän."
Salasanojen peruuttaminen
Leddy uskoo, että salasanat ovat kestäneet käyttönsä. Hän syyttää turvallisuusteollisuutta ihmisten epäonnistumisesta työntämällä heikkoja vaihtoehtoja aivan liian kauan.
"Salasanat ovat nyt 60 vuotta vanhoja, mutta ne ovat useimpien tilien ensisijainen todennusvaihtoehto. Kuluttajilla on useita erilaisia tilejä, ja heidän odotetaan muistavan jokaiselle yksilöllinen salasana. Se ei ole käytännöllinen ratkaisu", Leddy väitti. Hän lisäsi, että nykypäivän Internetissä, jossa verkkosivustot voidaan kloonata helposti, tietoturvateollisuuden tehtävänä on varustaa ihmisille oikeat työkalut tililoukkausten estämiseksi.
FIDO Alliance, avoin toimialajärjestö, joka on luotu vähentämään salasanoihin riippuvuutta, on työskennellyt ongelman parissa nyt noin vuosikymmenen ajan. Se on luonut FIDO-todennusstandardin, joka ei ole onnistunut saamaan pitoa. Raportissa liitto uskoo vihdoin tunnistaneensa palapelin puuttuvan palan ja hahmotelleensa myös strategian sen voittamiseksi.
Allianssin mukaan FIDO:n nykyisessä salasanattomassa todennusmekanismissa on luontaisia käytettävyysongelmia, jotka ovat estäneet sitä saamasta laajaa käyttöä.
"[Olemme] havainneet rajoitettua käyttöönottoa [kuluttajatilassa], koska fyysisten suojausavaimien (ostaminen, rekisteröinti, kuljettaminen, palauttaminen) haitat ja kuluttajien kohtaamat haasteet alustan todentajilla (esim. Esimerkiksi jokainen uusi laite on rekisteröitävä uudelleen; ei ole helppoja tapoja toipua kadonneista tai varastetuista laitteista) toisena tekijänä", lehti huomautti.
Ongelmien ratkaisemiseksi tiedotteessa kehotetaan käyttämään älypuhelimia verkkovierailutodentajina tai kannettavina suojausavaimina.
"Käyttäjän laite verkkovierailutodentajana on loistava käyttökokemus ja paljon turvallisempi kuin salasanat puoliluotettavassa laitteessa, jos se tehdään oikein. Koska uudet älypuhelimet tukevat natiivisti FIDO:ta ja kuluttajat ovat harvoin kaukana puhelimistaan, se on on hyvä vaihtoehto", Leddy myönsi.
Eteenpäin
Tietokoneessa kuitenkin ehdotetaan, että jotta älypuhelimet menestyisivät kannettavina suojausavaimina, FIDO:n on suunniteltava sujuva prosessi, jolla ihmiset voivat lisätä mobiililaitteitaan tai vaihtaa niiden välillä.
Se väittää, että jos tärkeiden tehtävien suorittaminen, kuten uuden puhelimen asentaminen tai vaihtaminen, ei ole yksinkertaista, ihmiset todennäköisesti hylkäävät koko idean epämukavana. Tämän välttämiseksi julkaisussa ehdotetaan uuden tekniikan käyttöönottoa, jota he kutsuvat usean laitteen FIDO-v altuuksiksi tai "salakirjoiksi".
"Useiden laitteiden "passkey"-tunnistetiedot vastaavat pitkään jatkuneeseen FIDO-kysymykseen. Kysymys on ollut siitä, kuinka voin siirtyä uuteen laitteeseen, jos rekisteröin 50 verkkotunnuskohtaista kirjautumistietoa vanhalle laitteelleni ja saan sitten uuden Kukaan ei halua käydä läpi tilin palautusta 50 eri palvelussa uusien FIDO-tunnistetietojen sitomiseksi", Leddy selitti.
FIDO vakuuttaa, että salasanat auttavat välttämään tämän tilanteen kokonaan varmistamalla, että kun siirrymme laitteesta toiseen, FIDO-tunnistetietomme ovat jo siellä odottamassa meitä. Paperi on tietysti käsitteellinen, ja Leddyn mielestä tällainen mekanismi on helpompi ehdottaa kuin toteuttaa.
"Olisi valitettavaa, jos salasanaratkaisut olisivat toimittajakohtaisia, jotta kuluttaja ei voi vaihtaa laitevalmistajien tai edes heterogeenisen (MacBook- ja Android-puhelin) laitesarjan välillä", Leddy varoitti.
Hän luottaa kuitenkin siihen, että FIDO-liittouma, jonka jäseniin lukeutuvat raskaansarjat, kuten Apple, Meta, Google, PayPal, Wells Fargo, American Express ja Bank of America, tulee keksimään ratkaisuja, jotka eivät ole t vain yleismaailmallinen, mutta myös perusteellisesti suojattu hyökkäyksiä vastaan.
FIDO uskoo, että usean laitteen FIDO-tunnistetiedoista tulee viimeinen naula arkkuun salasanojen saamiseksi. "Esittelemällä nämä uudet ominaisuudet toivomme, että verkkosivustot ja sovellukset voivat tarjota päästä päähän todella salasanattoman vaihtoehdon; salasanoja tai kertaluonteisia pääsykoodeja (OTP) ei tarvita", allianssi sanoi.
