Негізгі ұсыныстар
- FIDO альянсы құпиясөзсіз аутентификация стандартының негізгі ағымға айналуына кедергі келтіретін кемшіліктерді талдайтын ақпарды жариялады.
- Құпия сөзсіз аутентификация механизмдері құпия сөздерді ауыстыра алмады, себебі олар қолайсыз, дейді ақпарда.
-
Ол смартфондарды роумингтегі қауіпсіздік кілттері ретінде пайдалануды ұсынады.
Күшті құпия сөздерді жасау және басқару ыңғайсыз, бірақ аутентификация процесіне қосымша қадамдар мен құрылғылар қосу одан да үлкен бас ауруы болып табылады.
Бұл Fast ID Online Alliance (FIDO) ақ құжатының қорытындысы, ол құпия сөзсіз аутентификация механизмдерінің негізгі ағымға айналуына жол бермеу үшін ыңғайлылық мәселелерін айыптайды. Дегенмен, альянс мәселені біржола шешу және FIDO аутентификация стандартын құпия сөздер сияқты барлық жерде қолдануға болатын шешім тапты.
"FIDO барлық бастапқы күтулерден асып түсті", - деді Билл Ледди, LoginID өнімі бойынша вице-президенті. "[Ол] барлық аутентификация [мәселелерін] шешуге жақын, бірақ тағы біраз қажет."
Құпиясөздерден бас тарту
Ледди құпия сөздерді пайдалану мерзімінен асып кетті деп санайды. Ол әлсіз опцияларды тым ұзақ итермелеу арқылы адамдардың сәтсіздікке ұшырауы үшін қауіпсіздік саласын айыптайды.
"Құпия сөздер қазір 60 жаста, бірақ көптеген тіркелгілер үшін бастапқы аутентификация опциясы болып қала береді. Тұтынушыларда көптеген әртүрлі тіркелгілер бар және олардың әрқайсысы үшін бірегей құпия сөзді есте сақтауы керек. Бұл практикалық шешім емес ", - деді Ледди. Ол веб-сайттарды оңай клондауға болатын бүгінгі интернетте қауіпсіздік саласының міндеті адамдарды есептік жазбаның бұзылуын болдырмау үшін дұрыс құралдармен жабдықтау екенін айтты.
Құпия сөздерге тәуелділікті азайту үшін құрылған FIDO Alliance, ашық салалық қауымдастық бұл мәселемен шамамен он жыл бойы жұмыс істеп келеді. Ол FIDO аутентификация стандартын жасады, ол тартымдылыққа ие болмады. Ақпараттық құжатта альянс пазлдың жетіспейтін бөлігін анықтады және оны жеңу стратегиясын айтты деп ойлайды.
Альянсқа сәйкес, FIDO-ның қазіргі құпиясөзсіз аутентификация механизмінде оны кеңінен қолдану мүмкіндігіне қол жеткізуге кедергі келтірген пайдалану мүмкіндігіне тән проблемалар бар.
"[Біз] физикалық қауіпсіздік кілттерінің қолайсыздығы (сатып алу, тіркеу, тасымалдау, қалпына келтіру) және тұтынушылар платформа аутентификаторларымен (мысалы,) кездесетін қиындықтарға байланысты [тұтынушы кеңістігінде] шектеулі қолдануды байқадық.ж., әрбір жаңа құрылғыны қайта тіркеу қажет; жоғалған немесе ұрланған құрылғыларды қалпына келтірудің оңай жолдары жоқ) екінші фактор ретінде », - деп атап өтті қағаз.
Мәселелерді шешу үшін ақпарт смартфондарды роуминг аутентификаторлары немесе портативті қауіпсіздік кілттері ретінде пайдалануды талап етеді.
Роуминг аутентификаторы ретінде пайдаланушы құрылғысы тамаша пайдаланушы тәжірибесі болып табылады және дұрыс орындалса, жартылай сенімді құрылғыдағы құпия сөздерге қарағанда әлдеқайда қауіпсіз. Жаңа смартфондар FIDO-ны қолдайтындықтан және тұтынушылар телефондарынан сирек алыс орналасады. бұл жақсы нұсқа, - деп келісті Ледди.
Алға жол
Алайда ақпарт смартфондар портативті қауіпсіздік кілттері ретінде сәтті болуы үшін FIDO адамдарға мобильді құрылғыларды қосу немесе олардың арасында ауысу үшін бірқалыпты процесті ойлап табуы керек екенін көрсетеді.
Егер жаңа телефонды орнату немесе жаңасына ауысу сияқты маңызды тапсырмаларды орындау процесі оңай болмаса, адамдар бұл идеяны ыңғайсыз деп санауы мүмкін деп санайды. Бұған жол бермеу үшін қағаз көп құрылғылы FIDO тіркелгі деректері немесе «өткізу кілттері» деп аталатын жаңа әдісті енгізуді ұсынады.
"Көп құрылғының "пас кілті" тіркелгі деректері FIDO төңірегінде бұрыннан келе жатқан сұраққа жауап береді. Ескі құрылғыда 50 доменге қатысты тіркелгі деректерін тіркеп, жаңасын алған болсам, жаңа құрылғыға қалай көшу керек деген сұрақ туындады. Ешкім жаңа FIDO тіркелгі деректерін қайта байланыстыру үшін 50 түрлі қызмет үшін есептік жазбаны қалпына келтіргісі келмейді ", - деп түсіндірді Ледди.
FIDO рұқсат кілттері бір құрылғыдан екіншісіне ауысқанда, FIDO тіркелгі деректерінің бізді күтіп тұрғанына көз жеткізу арқылы бұл жағдайды мүлдем болдырмауға көмектесетінін айтады. Әрине, құжат концептуалды және Ледди мұндай механизмді енгізуден гөрі ұсыну оңайырақ деп санайды.
"Тұтынушы құрылғы өндірушілері немесе тіпті біртекті емес (MacBook және Android телефоны) құрылғылар жиынтығы арасында ауыса алмайтындай рұқсат кілті шешімдері жеткізушіге тән болса, өкінішті болар еді", - деп ескертті Ледди.
Алайда ол Apple, Meta, Google, PayPal, Wells Fargo, American Express және Bank of America сияқты ауыр салмақты компанияларды санайтын FIDO альянсы өз мүшелерінің арасында шешімдерді ұсынатынына сенімді. t тек әмбебап, сонымен қатар шабуылдарға қарсы мұқият тексерілген.
FIDO көп құрылғылы FIDO тіркелгі деректері құпия сөздер үшін табыттағы соңғы шеге болады деп санайды. "Осы жаңа мүмкіндіктерді енгізу арқылы біз веб-сайттар мен қолданбаларға шын мәнінде құпия сөзсіз опцияны ұсынуға мүмкіндік береміз деп үміттенеміз; құпия сөздер немесе бір реттік рұқсат кодтары (OTP) қажет емес", - деді альянс.
