Apple, Google і Microsoft хочуть усунути пароль за допомогою стандарту «ключ доступу».

Перший четвер травня, очевидно, є «Всесвітнім днем ​​пароля», і щоб відзначити його, Apple , Google і Microsoft докладають « спільних зусиль », щоб знищити пароль. Основні постачальники ОС хочуть «розширити підтримку загального стандарту входу без пароля, створеного FIDO Alliance і World Wide Web Consortium».

Стандарт називається «обліковими даними FIDO для кількох пристроїв» або просто «ключем доступу». Замість довгого рядка символів ця нова схема матиме додаток або веб-сайт, на якому ви входите, щоб надсилати запит на ваш телефон для автентифікації. Після цього вам потрібно буде розблокувати телефон, пройти автентифікацію за допомогою якогось PIN-коду або біометричних даних, і тоді ви в дорозі. Це звучить як знайома система для всіх, хто налаштував двофакторну автентифікацію на телефоні, але це заміна пароля, а не додатковий фактор.

Надано графіку для взаємодії з користувачем:

Деякі системи push 2FA працюють через Інтернет, але ця нова схема FIDO працює через Bluetooth. Як пояснюється в офіційному документі, «Bluetooth вимагає фізичної близькості, а це означає, що ми тепер маємо стійкий до фішингу спосіб використовувати телефон користувача під час автентифікації». Bluetooth має жахливу репутацію сумісності, і я не впевнений, що «безпека» коли-небудь була викликає серйозне занепокоєння, але альянс FIDO зазначає, що Bluetooth призначений лише для «перевірки фізичної близькості» і що на фактичний процес входу «не впливають властивості безпеки». Bluetooth». Звичайно, це означає, що обидва пристрої потребуватимуть Bluetooth на борту, що є даним для більшості смартфонів і ноутбуків, але може бути складним завданням для старих настільних ПК.

Подібно до того, як менеджер паролів може об’єднати ваші логіни під одним паролем, ваші паролі можуть бути скопійовані деякими великими власниками платформ, такими як Apple або Google. Це дозволить вам легко перенести свої облікові дані на новий пристрій, запобігти їх втраті та полегшить синхронізацію паролів між пристроями. Якщо ви втратите свій пристрій, ви все одно можете відновити свої облікові записи, увійшовши (ну, за допомогою пароля?) до більшого облікового запису власника платформи. Також може бути гарною ідеєю налаштувати більше одного пристрою як автентифікатор.

Компанії роками намагалися видалити паролі, але досягти цього було нелегко. Google має повну хронологію у своєму блозі, починаючи з 2008 року. Паролі працюють добре, якщо вони довгі, випадкові, таємні та унікальні, але людський фактор у паролях завжди є проблемою. Ми погано запам’ятовуємо довгі випадкові рядки символів. Виникає спокуса записувати паролі або використовувати їх повторно, а фішингові схеми намагаються обманом змусити вас надати свій пароль третій стороні. Коли відбувається порушення безпеки, легко обмінюватися парами імені користувача та пароля, і існують величезні бази даних скомпрометованих облікових даних.

У дописі в блозі FIDO йдеться: «Очікується, що ці нові можливості стануть доступними на платформах Apple, Google і Microsoft протягом наступного року». Apple, яка, здається, започаткувала весь тренд «ключа доступу», вже має систему, що працює в iOS 15. і macOS Monterey, але він ще не сумісний з іншими платформами. Підтримку паролів Google уже можна побачити в Play Services на Android, тому її мають швидко підтримувати навіть старіші пристрої Android, коли вона буде готова.

Зображення списку від FIDO Alliance