В момента има един основен начин, по който осигуряваме онлайн достъп: потребителско име и парола. Въпреки това, дори ако създадем дълга, сложна и сложна парола, все още остава една ключова слабост в тази настройка за сигурност - потребителят.
Милиони вече са били жертви на фишинг сайтове, социално инженерство и други форми на атаки, които компрометират пароли. Ето защо Apple иска да премахне паролата и да я замени с пароли.
И така, как паролите на Apple решават проблема с паролата?
Какво представлява стандартът за уеб удостоверяване (WebAuthn)?
Този стандарт е публикуван от World Wide Web Consortium (W3C), организация, посветена на изграждането на протоколи и насоки за дългосрочно уеб развитие. Чрез разработването на тази нова технология за удостоверяване, групата се надява да намали зависимостта ни от паролите като основен или единствен начин за защита на нашите данни.
Apple също е член на W3C и те включват стандарта WebAuthn в ключовете за достъп на Apple. Тази функция работи и с iCloud Keychain, така че хората, които вече използват тази услуга, не е необходимо да мигрират системата си.
Чрез прилагането на WebAuthn API уеб разработчиците и производителите на устройства гарантират удостоверяване, което ще работи в различни системи. Така че, независимо дали използвате Android, iOS, Mac или Windows, тази система без парола трябва да работи.
Как паролите на Apple ви предпазват?
Повечето от нас са разчитали на потребителско име и пароли в даден момент. Вероятно все още го правите в момента. Но паролите могат лесно да бъдат хакнати, особено ако потребителят няма сигурна парола или ако е жертва на социално инженерство.
Традиционната комбинация от потребителско име и парола също означава, че тази информация се съхранява онлайн. Така че, ако услугата, която използвате, като Twitch например, бъде хакната, атаката компрометира данните и много повече. Ако използвате повторно вашето потребителско име и парола, което мнозина правят, но ние не препоръчваме, другите ви акаунти също са изложени на риск.
Двуфакторно удостоверяване (2FA) е разработен за решаване на този проблем. Чрез добавяне на още едно ниво на сигурност, потребителите помагат за предотвратяване на неоторизиран достъп до техните акаунти.
Въпреки че тази технология драстично увеличи сигурността, особено срещу атаки с груба сила, много потребители все още са жертви на атаки чрез социално инженерство. И докато технически разбиращите потребители могат лесно да забележат атаки, тези, които не са толкова запознати, може да не успеят забележете признаците на атаки като фишинг измами.
Ключовете за достъп на Apple имат за цел да решат този проблем чрез пълното премахване на паролата. Когато влизате в онлайн услуга, вече не е необходимо да въвеждате вашето потребителско име и парола. Вместо това просто трябва да използвате биометричните функции за сигурност на вашето устройство, като FaceID или TouchID.
Услугата също така не е ограничена само в рамките на вашето Apple устройство. Можете да използвате пароли на вашия компютър с Windows или таблет с Android. Докато имате достъп до уебсайт, който внедрява WebAuthn API, можете да използвате биометричните функции на вашето Apple устройство, за да влезете в акаунта си, дори ако го осъществявате в притурка, която не е на Apple. Това е като да използвате вашето Apple устройство като универсален ключ, който може да отвори всяка цифрова врата.
Как работят паролите на Apple?
Вместо да пазят потребителското име и паролата заедно онлайн, паролите на Apple използвайте асиметрично криптиране. Според Страница за поддръжка на сигурността на паролите на Apple:
По време на регистрацията на акаунт операционната система създава уникална двойка криптографски ключове, която да асоциира с акаунт за приложението или уебсайта. Тези ключове се генерират от устройството, сигурно и уникално, за всеки акаунт.
Един от тези ключове е публичен и се съхранява на сървъра. Този публичен ключ не е тайна. Другият ключ е частен и е това, което е необходимо за действително влизане. Сървърът никога не научава какъв е частният ключ. На устройства на Apple с налични Touch ID или Face ID те могат да се използват за разрешаване на използването на парола, която след това удостоверява потребителя в приложението или уебсайта. Не се предава споделена тайна и сървърът не трябва да защитава публичния ключ.
Когато използвате потребителско име и парола, сървърът държи ключалката (вашето потребителско име) и ключа (вашата парола). За да отворите ключалката, показвате на сървъра, че имате подобен ключ и той отваря вратата вместо вас.
Но с пароли на Apple сървърът никога няма да задържи ключа. Вместо това ви дава ключалката и вие сами я отключвате. И тъй като сървърът ще ви предаде ключалката само ако физически я има (т.е. данните ви действително се съхраняват на неговия сървър), фишинг хаковете ще станат неефективни, защото нямат ключалката (т.е. не могат да поискат ключа, защото паролите на Apple ще го освободят само ако предоставят валиден ключалка).
С тази система само валидният обект може да поиска ключ за достъп, като се гарантира, че е по-малко вероятно потребителите да станат жертва на фишинг измами и други атаки чрез социално инженерство. Също така е много по-удобно, тъй като потребителите вече не трябва да помнят безброй идентификационни данни за вход. Всичко, от което се нуждаят, е да влязат в своя Apple ID, защитен с 2FA.
Друг пример за система без парола
Въпреки че Apple може да е първата, която е ефективно интегрирана в операционна система за смартфони, тя не е първата компания, която внедрява системи без парола. Ако имате акаунт в Microsoft, вероятно сте се сблъсквали с тази технология.
Ако сте настроили влизане без парола с вашия акаунт в Microsoft, можете да влезете в него с помощта на приложението Microsoft Authenticator – не са необходими потребителско име и парола. Въпреки че е наличен предимно в браузъра Microsoft Edge, можете също да използвате Windows Hello или сигурност ключ, за да използвате приложението Microsoft Authenticator, за да влезете във вашия акаунт в Microsoft в други браузъри като Google Chrome.
Сбогувате се с паролите?
Въпреки че потребителските имена и паролите са защитавали потребителите през по-голямата част от 60 години, те може да са наближават края на живота си благодарение на по-добрите системи за сигурност на други места, които са по-лесни за използване също. Тъй като се регистрираме за все повече и повече услуги, идеята за запомняне на десетки, ако не и стотици, комбинации потребителско име-парола може да бъде плашеща.
Хакерите също стават все по-усъвършенствани, което им позволява да компрометират данни дори при повишена сигурност. И въпреки че многофакторното удостоверяване донякъде повиши сигурността на традиционните идентификационни данни за влизане, то все още оставя потребителя като значителна уязвимост.
С пароли можем да преминем от потребителско име и пароли към по-сигурно бъдеще. И тъй като новите технологии като квантовите изчисления се разработват и пускат на пазара, традиционната комбинация от потребителско име и парола рискува да стане остаряла за една нощ.
