Тепер доступні облікові записи Google без паролів; ви можете перетворити на лише ключ доступу

Дозволяючи облікові записи Google лише з ключем доступу, Google робить значний крок до нашого нібито вільного від пароля майбутнього. Запис у блозі із заголовком «Нарешті кінець паролю, згідно з Google, яка почала розгортати підтримку ключів доступу на всіх основних платформах для облікових записів Google. Вони будуть додатковою опцією входу на додаток до паролів, двоетапної перевірки (2SV) тощо для користувачів». У рамках двофакторної автентифікації раніше ви могли використовувати ключ доступу з обліковим записом Google, але він завжди додавався до пароля. Тепер для доступу до облікового запису Google можна використовувати ключ доступу замість пароля.

Якщо ви не знайомі з новим механізмом автентифікації, ключ доступу — це новий спосіб входу в програми та веб-сайти, який одного дня може замінити пароль. Люди спочатку вводили паролі в базові текстові поля, а коли виникла потреба в посиленні безпеки, автоматизація та складність поступово були прищеплені до цих текстових полів. Правильний спосіб використання пароля сьогодні полягає в тому, щоб менеджер паролів вставляв довільний рядок символів у поле пароля. Раніше ви вводили згадане слово в поле пароля. Ключі доступу видаляють поле пароля, тому що мало хто з нас справді вводить свої паролі.

Passkeys використовує стандарт « WebAuthn », щоб ваша операційна система безпосередньо обмінювалася парами відкритих і приватних ключів із веб-сайтом, таким чином ви проходите автентифікацію. Демонстрація Google того, як це буде працювати на телефоні, виглядає фантастично; у стандартному вікні запитується ваше ім’я користувача Google, а потім запитується відбиток пальця, щоб розблокувати систему доступу та ввійти.

Споживчі пристрої незабаром зможуть отримати доступ до сервісів Google без пароля, а корпоративні облікові записи Google Workspace «незабаром» зможуть активувати ключі доступу для кінцевих користувачів.

Ключі доступу ще не готові для широкого використання

Незважаючи на те, що Google повністю віддав ключі доступу, це не означає, що вони підготовлені для масового використання. По-перше, деякі системи (зокрема Windows, Linux і Chrome OS) не настільки розвинені, як інші (наприклад, MacOS, iOS і Android). Попереду ще багато роботи, однак офіційний веб-сайт passkeys.dev пропонує корисну сторінку , яка відстежує готовність кожної платформи. Було б жахливо втратити доступ до облікового запису Google із ключем доступу в ОС Chrome, що, ймовірно, станеться, якщо ви не повернетеся до пароля.

Друга проблема, яка полягає в тому, що ключі доступу синхронізуються через екосистему вашої операційної системи, а не через браузер, є суттєвим недоліком у роботі паролів і, схоже, не буде вирішена найближчим часом. Сьогодні ключі доступу працюють не так, як паролі; якщо я додаю пароль до Chrome у Windows, він буде миттєво доступний на всіх моїх пристроях із інстальованим Chrome, включаючи мій телефон Android, Macbook, iPhone, Chromebook тощо.

Ключі доступу «синхронізуються з усіма іншими пристроями користувача, які працюють на тій самій платформі ОС», відповідно до сторінки FIDO Alliance [курсив наш]. Це означає, що якщо я додам ключ доступу до Chrome у Windows, він синхронізуватиметься лише з іншими операційними системами Microsoft, оскільки його буде додано до сховища ключів доступу постачальника ОС, Microsoft. Усе буде синхронізовано, і ви не помітите різниці, якщо будете використовувати лише продукти Apple. Для решти з нас для використання Windows і Android, Android і Linux або будь-якої іншої комбінації постачальників між ОС потрібен QR-код і процес передачі через Bluetooth. Великі технологічні корпорації, які контролюють ключі доступу, здається, не мотивовані робити їх такими ж простими та практичними, як паролі, що стане значною перешкодою для їх широкого впровадження.

Всю цю проблему синхронізації підтверджує 1Password, «На даний момент ключі доступу на інших платформах вимагають перевірки за допомогою пристрою з тієї ж екосистеми. Синхронізація з іншими операційними системами або надання ключів доступу є трудомістким і менш безпечним, якщо є доступні обхідні шляхи, наприклад QR-коди». Такі програми, як 1Password, могли отримати або не отримати запрошення на вечірку з паролем Big Tech. Хоча 1Password стверджує, що є членом FIDO Alliance, відео на сторінці, присвяченій ключам доступу, стверджує, що ключі доступу недостатньо відкриті. З відео: «Відкритість і сумісність, які обіцяють поточні технології, не виконуються. Створити пароль на пристрої iPhone або Android сьогодні практично неможливо. Надати доступ до нього, перемістити його на іншу платформу чи синхронізувати його з вашим улюбленим менеджером паролів — завдання непросте. Ми можемо покращити.

На веб-сайті ключа доступу 1Password є багато формулювань «може» та «треба», але розробляється виправлення, яке має бути доступне «цього літа».

Наявність такого значного крос-платформного регресу в налаштуваннях за замовчуванням (а це те, що використовує більшість людей) суттєво обмежить привабливість ключів доступу, навіть якщо фірмі вдасться вирішити проблему синхронізації ключів доступу для власної програми.

Зображення списку від Google