Salasanaton tulevaisuus saattaa edellyttää, että puhelimemme ovat suojausavaimia

Vahvoja salasanoja on hankala luoda ja hallita, mutta lisävaiheita ja laitteiden todennusprosessi on vielä suurempi päänsärky.

Se on johtopäätös Fast ID Online Alliancen (FIDO) laatima raportti, joka syyttää käytettävyysongelmia, jotka estävät salasanattomien todennusmekanismien yleistymisen. Allianssi on kuitenkin keksinyt ratkaisun ongelman ratkaisemiseksi lopullisesti ja FIDO-todennusstandardin tekemiseksi yhtä yleiseksi kuin salasanat.

"FIDO on ylittänyt kaikki alkuperäiset odotukset" Bill Leddy, tuotejohtaja osoitteessa Käyttäjätunnus, kertoi Lifewirelle sähköpostitse tutkittuaan tiedotteen. "[Se] on todella lähellä kaikkien todennusongelmien ratkaisemista, mutta vaatii hieman enemmän."

Salasanojen peruuttaminen

Leddy uskoo, että salasanat ovat kestäneet käyttönsä. Hän syyttää turvallisuusteollisuutta ihmisten epäonnistumisesta työntämällä heikkoja vaihtoehtoja aivan liian kauan.

"Salasanat ovat nyt 60 vuotta vanhoja, mutta ne ovat useimpien tilien ensisijainen todennusvaihtoehto. Kuluttajilla on monia erilaisia ​​tilejä, ja heidän odotetaan muistavan jokaiselle yksilöllinen salasana. Se ei ole käytännöllinen ratkaisu", Leddy sanoi. Hän lisäsi, että nykypäivän Internetissä, jossa verkkosivustoja voidaan kloonata helposti, tietoturvateollisuuden tehtävänä on varustaa ihmisille oikeat työkalut tililoukkausten estämiseksi.

FIDO Alliance, avoin toimialajärjestö, joka on luotu vähentämään salasanoihin riippuvuutta, on työskennellyt asian parissa nyt noin vuosikymmenen ajan. Se on luonut FIDO-todennusstandardin, joka ei ole onnistunut saamaan pitoa. Raportissa liitto uskoo löytäneensä vihdoin puuttuvan palapelin palan ja hahmotelleensa myös strategian sen voittamiseksi.

Liiton mukaan FIDO: n nykyisessä salasanattomassa todennusmekanismissa on luontaisia ​​käytettävyysongelmia, jotka ovat estäneet sen saamasta laajaa käyttöä.

"[Olemme] havainneet rajoitettua käyttöönottoa [kuluttajatilassa], koska fyysiset suojausavaimet (ostaminen, rekisteröinti, kantaminen, toipuminen) ja haasteet, joita kuluttajat kohtaavat alustan todentajilla (esim. jokaisen uuden rekisteröinti uudelleen laite; ei ole helppoja tapoja toipua kadonneista tai varastetuista laitteista) toisena tekijänä", lehti huomautti.

Ongelman ratkaisemiseksi tiedotteessa kehotetaan käyttämään älypuhelimia verkkovierailutodentajina tai kannettavina suojausavaimina.

"Käyttäjän laite verkkovierailutunnistimena on loistava käyttökokemus ja paljon turvallisempi kuin salasanat puoliluotettavassa laitteessa, jos se tehdään oikein. Koska uudet älypuhelimet tukevat natiivisti FIDOa ja kuluttajat ovat harvoin kaukana puhelimistaan, se on hyvä vaihtoehto", Leddy myönsi.

Tie eteenpäin

Tiedotteessa kuitenkin ehdotetaan, että jotta älypuhelimet menestyisivät kannettavina suojausavaimina, FIDO: n on suunniteltava sujuva prosessi, jolla ihmiset voivat lisätä mobiililaitteitaan tai vaihtaa niiden välillä.

Se väittää, että jos prosessi keskeisiä tehtäviä varten, kuten uuden puhelimen käyttöönotto tai vaihtaminen a uusi, ei ole yksinkertaista, ihmiset todennäköisesti hylkäävät koko idean olevan epämukavaa. Tämän välttämiseksi julkaisussa ehdotetaan uuden tekniikan käyttöönottoa, jota he kutsuvat usean laitteen FIDO-valtuuksiksi tai "salakirjoiksi".

"Useiden laitteiden "salasana"-tunnistetiedot käsittelevät FIDOa koskevaa pitkäaikaista kysymystä. Kysymys on ollut siitä, kuinka voin siirtyä uuteen laitteeseen, jos rekisteröin 50 verkkotunnuskohtaista tunnistetietoa vanhalle laitteelleni ja hankin sitten uuden laitteen. Kukaan ei halua käydä läpi tilin palautusta 50 eri palvelussa uusien FIDO-tunnistetietojen sitomiseksi", Leddy selitti.

FIDO vakuuttaa, että salasanat auttavat välttämään tämän tilanteen kokonaan varmistamalla, että kun siirrymme laitteesta toiseen, FIDO-tunnistetietomme ovat jo siellä odottamassa meitä. Tietenkin paperi on käsitteellinen, ja Leddyn mielestä tällainen mekanismi on helpompi ehdottaa kuin toteuttaa.

"Olisi valitettavaa, jos salasanaratkaisut olisivat toimittajakohtaisia, jotta kuluttaja ei voi vaihtaa laitevalmistajien välillä tai jopa heterogeenisen (MacBook ja Android-puhelin) laitesarjan välillä", varoitti Leddy.

Hän kuitenkin luottaa siihen, että FIDO-liittouma, joka laskee raskaat sarjat, kuten Apple, Meta, Google, PayPal, Wells Fargo, American Express ja Bank of America kehittävät jäsentensä joukossa ratkaisuja, jotka eivät ole vain yleismaailmallisia, vaan myös perusteellisesti suojattuja. hyökkäyksiä.

FIDO uskoo, että usean laitteen FIDO-tunnistetiedoista tulee viimeinen naula salasanojen arkkuun. "Ottamalla nämä uudet ominaisuudet käyttöön, toivomme voivamme antaa verkkosivustoille ja sovelluksille mahdollisuuden tarjota päästä päähän todella salasanattoman vaihtoehdon. salasanoja tai kertaluonteisia tunnuskoodeja (OTP) ei tarvita", liitto sanoi.