Тренутно постоји један примарни начин на који обезбеђујемо приступ на мрежи: корисничко име и лозинка. Међутим, чак и ако направимо дугачку, компликовану и сложену лозинку, и даље остаје једна кључна слабост у овој безбедносној поставци — корисник.
Милиони су већ били жртве пхисхинг сајтова, друштвеног инжењеринга и других облика напада који угрожавају лозинке. Због тога Аппле жели да уклони лозинку и замени је приступним кључевима.
Дакле, како Аппле приступни кључеви решавају проблем лозинке?
Шта је стандард веб аутентификације (ВебАутхн)?
Овај стандард објављује Ворлд Виде Веб Цонсортиум (В3Ц), организација посвећена изради протокола и смерница за дугорочни развој веба. Развојем ове нове технологије аутентификације, група се нада да ће смањити наше ослањање на лозинке као примарни или једини начин заштите наших података.
Аппле је такође члан В3Ц и они укључују ВебАутхн стандард у Аппле приступне кључеве. Ова функција такође функционише са иЦлоуд Кеицхаин-ом, тако да људи који већ користе ову услугу не морају да мигрирају свој систем.
Имплементацијом ВебАутхн АПИ-ја, веб програмери и произвођачи уређаја обезбеђују аутентификацију која ће радити на различитим системима. Дакле, било да користите Андроид, иОС, Мац или Виндовс, овај систем без лозинке би требало да функционише.
Како вас Аппле приступни кључеви чувају?
Већина нас се у неком тренутку ослањала на корисничко име и лозинке. Вероватно то још увек радите. Али лозинке се могу лако хаковати, посебно ако корисник нема сигурну лозинку или ако је жртва друштвеног инжењеринга.
Традиционална комбинација корисничког имена и лозинке такође значи да се ове информације чувају на мрежи. Дакле, ако услуга коју користите, као што је Твитцх, на пример, буде хакована, напад компромитује податке и још много тога. Ако поново користите своје корисничко име и лозинку, што многи раде, али ми не саветујемо, ваши други налози су такође угрожени.
Двофакторска аутентификација (2ФА) је развијен да реши овај проблем. Додавањем још једног нивоа безбедности, корисници помажу у спречавању неовлашћеног приступа својим налозима.
Иако је ова технологија драматично повећала сигурност, посебно против напада грубом силом, многи корисници су и даље жртве напади социјалног инжењеринга. И док технички паметни корисници могу лако уочити нападе, они који нису толико упознати можда неће моћи уочите знаке напада као што су пхисхинг преваре.
Аппле приступни кључеви имају за циљ да реше овај проблем тако што ће у потпуности уклонити лозинку. Када се пријављујете на услугу на мрежи, више не морате да уносите своје корисничко име и лозинку. Уместо тога, само треба да користите биометријске безбедносне функције вашег уређаја, као што су ФацеИД или ТоуцхИД.
Услуга такође није ограничена само на ваш Аппле уређај. Можете да користите приступне кључеве на свом Виндовс рачунару или Андроид таблету. Све док приступате веб локацији која имплементира ВебАутхн АПИ, можете да користите биометријске функције вашег Аппле уређаја да бисте се пријавили на свој налог, чак и ако му приступате преко гаџета који није Аппле. То је као да користите свој Аппле уређај као универзални кључ који може да отвори било која дигитална врата.
Како функционишу Аппле приступни кључеви?
Уместо да се корисничко име и лозинка држе заједно на мрежи, Аппле приступни кључеви користите асиметрично шифровање. Према Аппле-ова страница за безбедносну подршку за приступне кључеве:
Током регистрације налога, оперативни систем креира јединствени пар криптографских кључева за повезивање са налогом за апликацију или веб локацију. Ове кључеве уређај генерише, безбедно и јединствено, за сваки налог.
Један од ових кључева је јавни и чува се на серверу. Овај јавни кључ није тајна. Други кључ је приватан и потребан је за пријављивање. Сервер никада не сазна шта је приватни кључ. На Аппле уређајима са доступним Тоуцх ИД-ом или Фаце ИД-ом, они се могу користити за ауторизацију коришћења лозинке, која затим потврђује аутентичност корисника у апликацији или веб локацији. Ниједна заједничка тајна се не преноси, а сервер не мора да штити јавни кључ.
Када користите корисничко име и лозинку, сервер држи браву (ваше корисничко име) и кључ (вашу лозинку). Да бисте отворили браву, показујете серверу да имате сличан кључ и он вам отвара врата.
Али са Аппле приступним кључевима, сервер никада неће држати кључ. Уместо тога, он вам предаје браву, а ви је сами откључавате. А пошто ће вам сервер дати закључавање само ако га физички има (тј. ваши подаци су заправо ускладиштени на његовом серверу), хакови за пхисхинг ће постати неефикасни јер немају браву (тј. не могу да траже кључ, јер ће га Аппле приступни кључеви отпустити само ако испоруче важећи закључати).
Са овим системом, само важећи ентитет може тражити приступни кључ, осигуравајући да је мања вјероватноћа да ће корисници постати жртве пхисхинг превара и других напада социјалног инжењеринга. Такође је много згодније јер корисници више не морају да памте безброј акредитива за пријаву. Све што им треба је да буду пријављени на свој Аппле ИД заштићен 2ФА.
Још један пример система без лозинке
Иако би Аппле могао бити први који је ефикасно уклопљен у оперативни систем паметног телефона, није прва компанија која је имплементирала системе без лозинке. Ако имате Мицрософт налог, вероватно сте се сусрели са овом технологијом.
Ако сте поставили пријаве без лозинке помоћу вашег Мицрософт налога, можете се пријавити на њега помоћу апликације Мицрософт Аутхентицатор – није потребно корисничко име и лозинка. Иако је првенствено доступан у Мицрософт Едге претраживачу, можете користити и Виндовс Хелло или безбедносни систем кључ за коришћење апликације Мицрософт Аутхентицатор за пријаву на свој Мицрософт налог на другим прегледачима као што је Гоогле Хром.
Реците збогом лозинкама?
Иако су корисничка имена и лозинке штитиле кориснике већим делом од 60 година, можда и јесу при крају свог живота захваљујући бољим безбедносним системима на другим местима, који су лакши за коришћење такође. Како се пријављујемо за све више услуга, идеја о памћењу десетина, ако не и стотина комбинација корисничког имена и лозинке може бити застрашујућа.
Хакери су такође све софистициранији, омогућавајући им да компромитују податке чак и уз побољшану безбедност. Иако је вишефакторска аутентификација донекле повећала сигурност традиционалних акредитива за пријаву, она и даље оставља корисника као значајну рањивост.
Са приступним кључевима, можемо напредовати од корисничког имена и лозинки у сигурнију будућност. И како се нове технологије попут квантног рачунарства развијају и пуштају на тржиште, традиционална комбинација корисничког имена и лозинке ризикује да преко ноћи застари.