De ce n-o să mai conteze că folosești parole proaste pe net

Articolul a apărut inițial pe Motherboard.

În curând, o să te poți loga mult mai ușor pe site-uri, cu ajutorul unui dongle conectat la laptop, o aplicație dedicată sau chiar a unui scaner de amprentă de pe telefon. Marțea trecută, mai multe companii și organizații, inclusiv Microsoft și Google, au anunțat un nou standard care va ușura procesului dezvoltatorilor web de a adăuga metode suplimentare de logare pe site-urile lor, cu potențialul de a păstra mai în siguranță conturile consumatorilor și informațiile confidențiale.

„Pentru utilizatori, va fi o tranziție organică. Oamenii din toată lumea folosesc amprente și recunoaștere facială pentru a debloca telefoanele mobile și computerele, deci va fi ceva natural pentru ei și mult mai convenabil”, a spus pentru Motherboard, Brett McDowell, director executiv de la FIDO Alliance, una dintre organizațiile implicate în implementarea noului standard. „Ce folosesc acum utilizatorii pentru a debloca, le va permite în curând să se autentifice pe toate site-urile favorite și un număr de aplicații native, printre care Bank of America, PayPal, eBay și Aetna”, a adăugat el.

Parolele sunt printre punctele slabe ale securității online. Un hacker poate păcăli un utilizator pentru a-i obține parola și a se loga în contul său, sau poate folosi parola hack-uită pentru a accesa alte conturi. Standardul de autentificare, Web Authentication (WebAuthn) are potențialul de a permite oricărui site sau aplicațiilor de servicii online, chei de securitate sau măsuri biometrice ca metode de logare, în loc de parole, sau pentru a folosi aceste alternative ca o măsură suplimentare de verificare.

Cheia e să ușureze treaba dezvoltatorilor și a permite mai multă transparență și care să funcționeze pe toate tipurile de browsere. Funcționalitatea este deja disponibilă pe Mozilla Firefox și va fi implementată pe Microsoft Edge și Google Chrome în câteva luni. Și Opera s-a angajat la implementarea WebAuthn.

„Nu putem împărtăși detaliile în acest punct. Chrome sprijină inițiativele FIDO și WebAuthn și sperăm să mai avem parte de sprijin în a doua jumătate a anului 2018”, a spus pentru Motherboard Christian Brand, manager de produs, identitate și securitate de la Google.

Microsoft a declarat că „e în totalitate angajat în sprijinirea WebAuthn pentru Edge. Poți să te alături programului Windows Insider pentru a primi acces în avans și să urmărești blogul Windows Insider Program pentru mai multe informații.”

În ceea ce privește Apple, McDowell a menționat că echipa din spatele inițiativei Webkit, motorul folosit de Safari, Mail și App Store s-a alăturat recent unui grup asociat, „un semn bun pentru a echipa Safari cu abilitatea asta în viitor”. Aplicațiile native de pe iOS au deja capacitatea de a folosit unelte de autentificare de la comercianții cu certificat FIDO, a adăugat el.

Așa cum a explicat și McDowell, dacă dezvoltatorii de site-uri vor să profite de acest standard nou, ar trebui să înceapă să consolideze JavaScript API în modalitățile de autentificare actuale.

„E destul de ușor, din moment ce deja există implementări open source și servere comerciale disponibile”, a adăugat Brand de la Google.

Dar mai există o bucată din puzzle, consumatorii, oamenii care chiar trebuie să se logheze pe website-uri, care au nevoie de un fel de device sau aplicație cu care să facă asta.

Acestea fiind spuse, „la sfârșitul acestei luni, Google și Microsoft vor face demonstrații cu „autentificatorii” FIDO2, care vor fi implementați pe respectivele ecosisteme. Toate device-urile cu Windows 10 vor avea această capacitate prin intermediul suitei de autentificare Windows Hello. Majoritatea versiunilor Android ar putea avea în curând capacitatea asta prin intermediul Android Fingerprint API”, scrie McDowell.

Desigur, orice ține de securitate cibernetică va fi meșterit de cercetători pentru erori și vulnerabilități. Aceștia au descoperit recent o problemă cu o opțiune în Chrome, denumită WebUSB, care ar putea să-i permită unui hacker să obțină codurile generate de token-urile hardware folosite pentru a te loga în serviciile online.

Ca să se ajungă aici, au trebuit ani de zile de muncă. Wendy Seltzer, lider strategic de la World Wide Web Consortium (W3C), a spus pentru Motherboard într-un mail că „a fost nevoie de timp pentru a soluționa detaliile Web API, dar rezultatul va fi o specificație implementată platformei Web și disponibilă printr-o varietate de tehnologii (telefoane, dongle-uri USB și alte forme de hardware și software).”

Brand de la Google a spus pentru Motherboard că „asta însumează mai bine de trei ani de muncă.”