Michał Rosiak 
World Wide Web Consortium (W3C), odpowiedzialne za standardy obowiązujące w sieci internet, ogłosiło, że Google, Microsoft, and Mozilla dołączyły do projektu pozwalającego używać autentykacji biometrycznej przy korzystaniu z internetu. Oznacza to - ni mniej, ni więcej - że w naszych przeglądarkach do logowania będziemy mogli używać twarzy, głosu i odcisków palców, bez konieczności instalowania dodatkowych rozwiązań zewnętrznych.
Było to możliwe dzięki opublikowaniu przed FIDO (Fast IDentity Online) Alliance standardu Web Authentication (WebAuthn), definiującego jak przeglądarki mogą używać komponentów na stronach WWW w odniesieniu do hardware'owych czytników, bez użycia oprogramowania firm trzecich. WebAuthn dopuszcza również użycie rozwiązania zewnętrznego, jak fizyczny "klucz", czy smartfon, przy użyciu połączenia USB, Bluetooth, czy NFC.
Śmierć haseł?
Co to znaczy dla nas, jako użytkowników internetu? W dłuższej perspektywie zapewne śmierć haseł, przynajmniej w odniesieniu do zwykłego użytkownika sieci. Palce nosimy przy sobie, głos i twarz też, a co więcej - wykradnięcie ich przy wykorzystaniu phishingu jest niemożliwe. To nie loginy i hasła, które niefrasobliwie potrafimy podawać na tacy przestępcom.
Pytanie oczywiście w jaki sposób developerzy wdrożą te rozwiązania w życie. Wielokrotnie byliśmy świadkami udanych prób ataku na systemu rozpoznawania twarzy w telefonach, które dawało się oszukać zdjęciem i akurat ten sposób logowania do banku nie budzi zaufania. Głos? Tu już bardziej, ale przy założeniu, że np. będziemy wypowiadać jakieś abstrakcyjne hasło, w rodzaju: "Gwiazda ma koła z różowego szpinaku". W innym przypadku, mając świadomość, że nasz głos można nagrać na różne sposoby, nie znając szczegółów jego analizy, ciężko byłoby zaufać również tej metodzie. Najlepsze wydają się być skany tęczówki i odcisku palca - oczywiście przy założeniu, że nie instalujemy na telefonie nieznanego oprogramowania. A co jeśli mamy dostęp do informacji o ciężarze strategicznym (czy to dla kraju, czy przedsiębiorstwa)? Cóż - tu pozostają hasła, albo wycieranie wszystkiego, czego dotkniemy w miejscach publicznych. Za prezydentem USA chodzą odpowiedzialni za tym funkcjonariusze Secret Service...
Zdjęcie autorstwa Andri Koolme (Flickr) na licencji CC-BY-2.0
Komentarze
Moim zdaniem odcisk palca i obraz tęczówki jest najbezpieczniejszą metodą rozpoznania użytkownika. Cyfryzacja świata zmienia podejście do bezpieczeństwa użytkownika w sieci 🙂
OdpowiedzNiby tak, ale pod warunkiem że użytkownik jest przytomny. Jak dostanie fangę w nos, zemdleje, a złodziej użyje jego palca czy tęczówki to ma bezproblemowy dostęp. Gdyby było hasło to wtedy od nieprzytomnego nie wyciągnie nic. Jak zawsze wszystko ma swoje + i -.
OdpowiedzMaurycy popieram. W calej rozciaglosci.
OdpowiedzTak naprawdę nie wymyślono porządnego mechanizmu na ograniczenie dostępu do pewnych informacji. Bo taka jest idea haseł. Kiedyś ileś lat temu zrobiono coś po najmniejszej linii oporu – ktoś wymyślił hasła. Ale jak dla mnie to jest mocno anty-user-friendly. Biometria też do końca nie rozwiąże problemu choć przeniesie go gdzieś indziej.
OdpowiedzLinia najmniejszego oporu a nie najmniejsza linia oporu 😉
OdpowiedzBiometryka ale dobrze zrobiona ma sens. Problem w tym „dobrze zrobiona”.
OdpowiedzBiometryka nadaje się co najwyżej do identyfikacji osobnika, ale uwierzytelnienie musi być oparte o coś innego. To jak z PESEL – identyfikuje osobę, ale sam w sobie nie jest specjalnie tajny (patrz np. baza KRS – publicznie dostępna baza PESEL wszystkich prezesów).
Odpowiedzhttps://www.computerworld.pl/news/Sprytny-atak-na-system-biometryczny,77175.html
Nie chciałbym za konto na facebooku czy banku stracić palca. Nie tylko straciłbym kasę, ale i palec. Bez sensu.
A co mają robić osoby np. bez ręki?
Odciski palców zostawiamy wszędzie, z drugiej strony popularne czytniki są podatne na np. drukowane modele palca. Czy można zmienić odciski palca? Bo hasło się da prosto zmienić.
Michale …. Uwielbiam Cię ! ????
Odpowiedz