Ключевые выводы
- Альянс FIDO опубликовал технический документ, в котором анализируются недостатки, которые не позволяют его стандарту аутентификации без пароля стать основным.
- Механизмы аутентификации без пароля не смогли заменить пароли, потому что они неудобны, говорится в официальном документе.
-
Предлагается использовать смартфоны в качестве перемещаемых ключей безопасности.
Надежные пароли неудобно создавать и управлять ими, но добавление дополнительных шагов и устройств в процесс аутентификации - еще большая головная боль.
Таков вывод технического документа Fast ID Online Alliance (FIDO), который обвиняет проблемы удобства использования в том, что механизмы аутентификации без пароля не стали массовыми. Тем не менее, альянс придумал решение, позволяющее решить проблему раз и навсегда и сделать стандарт аутентификации FIDO таким же вездесущим, как и пароли.
«FIDO превзошла все первоначальные ожидания», - сказал Билл Ледди, вице-президент по продукту в LoginID, по электронной почте Lifewire после ознакомления с техническим документом. «[Это] очень близко к решению всех [проблем] аутентификации, но нужно немного больше».
Отмена паролей
Ледди считает, что пароли изжили себя. Он винит индустрию безопасности в том, что она подводит людей, слишком долго продвигая слабые варианты.
Паролям уже 60 лет, но они остаются основным способом аутентификации для большинства учетных записей. У потребителей много разных учетных записей, и ожидается, что они будут помнить уникальный пароль для каждой из них. Это непрактичное решение», - заявил Ледди. Он добавил, что в современном Интернете, где веб-сайты можно легко клонировать, задача индустрии безопасности состоит в том, чтобы снабдить людей нужными инструментами для предотвращения взломов учетных записей.
Альянс FIDO, открытая отраслевая ассоциация, созданная для снижения зависимости от паролей, работает над этой проблемой уже около десяти лет. Он создал стандарт аутентификации FIDO, который не смог завоевать популярность. В официальном документе альянс считает, что наконец определил недостающую часть головоломки, а также наметил стратегию по ее преодолению.
Согласно данным альянса, текущий механизм аутентификации FIDO без пароля имеет присущие ему проблемы с удобством использования, которые не позволяют ему получить широкое распространение.
"[Мы] наблюдали ограниченное применение [в потребительском пространстве] из-за предполагаемого неудобства физических ключей безопасности (покупка, регистрация, ношение, восстановление) и проблем, с которыми потребители сталкиваются с аутентификаторами платформы (например,г., необходимость повторной регистрации каждого нового устройства; нет простых способов восстановить потерянные или украденные устройства) в качестве второго фактора», - отмечается в документе.
Чтобы решить эту проблему, в техническом документе содержится призыв использовать наши смартфоны в качестве перемещаемых аутентификаторов или портативных ключей безопасности.
«Устройство пользователя в качестве аутентификатора в роуминге - это отличный пользовательский опыт и гораздо более безопасный, чем пароли на полудоверенном устройстве, если все сделано правильно. Поскольку новые смартфоны изначально поддерживают FIDO, а потребители редко находятся далеко от своих телефонов, это - хороший вариант», - согласилась Ледди.
Путь вперед
Однако в техническом документе говорится, что для того, чтобы смартфоны стали успешными в качестве портативных ключей безопасности, FIDO должна разработать плавный процесс, позволяющий людям добавлять или переключаться между своими мобильными устройствами.
В нем утверждается, что если процесс выполнения важных задач, таких как настройка нового телефона или переключение на новый, не является простым, то люди, скорее всего, отвергнут всю эту идею как неудобную. Чтобы избежать этого, в документе предлагается ввести новую технику, которую они называют учетными данными FIDO для нескольких устройств или «парольными ключами».
"Учетные данные с паролем для нескольких устройств решают давний вопрос, связанный с FIDO. Вопрос заключался в том, как перейти на новое устройство, если я зарегистрировал 50 учетных данных для домена на своем старом устройстве, а затем получил новый "Никто не хочет проходить восстановление учетной записи для 50 различных сервисов, чтобы повторно привязать новые учетные данные FIDO", - объяснила Ледди.
FIDO утверждает, что ключи доступа помогут полностью избежать этой ситуации, гарантируя, что когда мы переключаемся с одного устройства на другое, наши учетные данные FIDO уже ждут нас там. Конечно, статья носит концептуальный характер, и Ледди считает, что такой механизм легче предложить, чем реализовать.
«Было бы прискорбно, если бы решения для ключей доступа были привязаны к конкретному поставщику, так что потребитель не мог бы переключаться между производителями устройств или даже с разнородным набором устройств (MacBook и Android-телефон), - предупредил Ледди.
Однако он уверен, что альянс FIDO, в состав которого входят такие тяжеловесы, как Apple, Meta, Google, PayPal, Wells Fargo, American Express и Bank of America, предложит решения, которые не только универсальный, но и тщательно проверенный против атак.
FIDO считает, что учетные данные FIDO для нескольких устройств станут последним гвоздем в гроб паролей. «Внедрив эти новые возможности, мы надеемся, что веб-сайты и приложения будут предлагать сквозную опцию без пароля; никаких паролей или одноразовых кодов доступа (OTP) не требуется», - заявили в альянсе.
