Fido-alliance: adgangskoder begynder at svigte os

Kunne æraen med adgangskoden være bag os? Det var, hvad PayPal Chief Security Officer Michael Barrett forudsagde under en af ​​de mest interessante hovedtaler på denne uges Interop-show i Las Vegas.

Barrett sagde, at adgangskoder har været i udbredt brug siden 1961, men forekomsten af ​​skytjenester har efterladt os for mange websteder, der kræver adgangskoder. Folk har for mange adgangskoder og er derfor frustrerede. Som et resultat sagde han: "Adgangskoder begynder at svigte os."

Når de overlades til deres egne enheder, vælger brugerne dårlige adgangskoder og bruger dem overalt. Det betyder, at sikkerheden på deres vigtigste konto reduceres til den på det mindst sikre sted, de bruger det kodeord. I mellemtiden har tilgængeligheden af ​​billig behandlingskraft i skyen, inklusive GPU'er, gjort det lettere for folk at knække adgangskodehascher.

Et alternativ - tofaktorsystemer med adgangskode nøgleringe - sagde han er "en regulators drøm, men en brugers mareridt", da hvert websted muligvis har sit eget sikre token-system.

Som et resultat har vi brug for noget andet, og det er her FIDO Alliance kommer ind. Brugere vil have noget, der er både sikkert og let, sagde Barrett. Enhver løsning skal give stærkere godkendelse, men skal være lettere at bruge og alligevel respektere folks privatliv.

Alliancen har kørt i mere end to år, og de første sådanne løsninger er ved at blive lanceret.

Med dagens model indtastes adgangskoder på en enhed og føres derefter gennem enheden til tjenesten i den anden ende. I FIDO-modellen autentificerer brugere med et lille antal enheder, og i stedet autentificeres de til deres enhed. En FIDO-stak på enheden ved derefter, hvordan man autentificerer tilbage til tjenesten. Oplysningerne om forbindelsen kan gemmes i TPM-chippen på en pc eller i en sikker beholder på en smartphone.

For at godkende med enheden kan du bruge et fingeraftryk. Barrett foreslog, at Apple muligvis kommer ud med en fingeraftrykslæser på en smartphone senere på året, med Android-enheder, der følger kort tid efter. Enheder kan også bruge "stemmebiometri" (en stemmeaftryk), øjengenkendelse eller ansigtsgenkendelse. Individuelle websteder kan anmode om en eller flere af disse markører, som de ønsker at acceptere.

For at denne plan skal fungere, kræves det, at begge enheder understøtter standarden og tjenester, der accepterer FIDO-godkendelse. Barrett sagde, at PayPal er i færd med at blive FIDO-aktiveret. Når et websted er aktiveret, hvis der er en FIDO-klient, bliver det brugt; Ellers ignoreres det.

Selvom han mener, at adgangskoder løber tør for damp, anerkendte Barrett, at det vil tage flere år, før vi begynder at se reel masseadoption. Oddserne er kun "50/50, om vi kan trække dette ud, " sagde han.

Men i betragtning af antallet af adgangskodehacks, som vi fortsætter med at læse om, og de frustrationer, vi alle står overfor med vores nuværende adgangskoder, er der ingen benægtelse af, at mange af os vil have noget bedre.