Združenje FIDO in W3C si prizadevata za močnejši dokaz avtentičnosti, da bi zaščitili splet
Gesla so zanič. Zdi se, da pri geslih ni veliko soglasja o najboljših praksah. Naj jih bo težko uganiti, uporabite dolge nize naključnih znakov, nikoli ne uporabljajte istih gesel, … Gesla so težavna, vendar so življenjsko dejstvo, ko gre za računalnike in internet.
To se bo mogoče končalo.
Zveza FIDO (Fast ID Online) in Svetovni spletni konzorcij sta objavila nov standard, ki bi lahko nadomestil gesla. Spletna overitev (WebAuthn) je rezultat sodelovanja med združenjem FIDO in W3C, ki temelji na FIDO Web API specifikacijah. WebAuthn je bil uradno premeščen v fazo priporočil kandidatov, kar je predhodnik končne odobritve.
Kaj je WebAuthn?
WebAuthn je standardni spletni API, ki se integrira z infrastrukturo brskalnikov ter spletnimi platformami in uporabnikom nudi nove metode za varno dokazovanje avtentičnosti na internetu.
Brett McDowell, izvršni direktor zveze FIDO, je povedal, da z novimi specifikacijami FIDO2 in z najnovejšo podporo spletnega brskalnika, ki je danes objavljena, naredimo velik korak naprej, da FIDO Authentication postane prisoten v vseh platformah in napravah. Po letih vse hujših kršitev osebnih podatkov in kraje gesel je zdaj čas, da ponudniki internetnih storitev končajo svojo odvisnost od ranljivih gesel in enkratnih kod ter sprejmejo FIDO overitev, ki je odporna na lažno predstavljanje, za vse spletne strani in aplikacije.
Deluje pa tako, da namesto da bi si zapomnili težko geslo za vsako spletno mesto, aplikacijo ali platformo, do katere dostopate, se lahko uporabniki namesto tega zanesejo na svoje biometrične podatke ali na njihovo napravo, ki uporablja Bluetooth, USB ali NFC in se s tem dokažejo avtentičnost.
Kaj so prednosti WebAuthn?
WebAuthn API se lahko integrira z brskalniki in drugo vrsto spletne infrastrukture. Omogoča močne, edinstvene poverilnice na javnih ključih za vsako platformo, kar odpravlja tveganja, povezana z uporabo gesla. V bistvu vsaka aplikacija, ki se izvaja v brskalniku v napravi s potrdilom FIDO, lahko pokliče WebAuthn API in omogoči preverjanje pristnosti.
- Preprostejša avtentikacija – z eno potezo se lahko uporabnik samodejno identificira z uporabo številnih metod, kot so biometrija, varnostni ključ in preverjanje pristnosti naprave.
- Boljša avtentikacija – uporabniške poverilnice in biometrični podatki se shranjujejo lokalno, nikoli na strežnikih nekoga drugega. Prav tako je veliko težje ogroziti preverjanje pristnosti, ko je to storjeno na ta način.
- Nove možnosti za razvijalce – zdaj lahko razvijalci izkoristijo avtentikacijo FIDO, da bolje zaščitijo svoje aplikacije in platforme.
Ali so gesla res že odpisana?
Ne. Čeprav je to razburljiv nov standard, bo verjetno preteklo vsaj nekaj let pred širokim sprejetjem. In to je odvisno od standarda, ki se dejansko drži.
To pomeni, da je to zelo potreben napredek za spletno varnost. Tehnologija, ki se uporablja za krajo gesel, običajno z brutalno silo, hitro napreduje in s kvantnim računanjem na obzorju, se bo le še olajšala in pohitrila.
Zato je odmik od gesel tako pomemben. Skrbi nas, da bi kvantni računalniki lahko rešili šifriranje. Ugibanje gesel bi bilo v primerjavi s tem nič.
Upamo, da je WebAuthn prvi korak k svetu, kjer so gesla preusmerjena v košare za zgodovino.