V súčasnosti existuje jeden primárny spôsob, ako zabezpečujeme online prístup: používateľské meno a heslo. Avšak aj keď vytvoríme dlhé, komplikované a zložité heslo, v tomto nastavení zabezpečenia stále zostáva jedna kľúčová slabina – používateľ.
Milióny sa už stali obeťami phishingových stránok, sociálneho inžinierstva a iných foriem útokov, ktoré kompromitujú heslá. Preto chce Apple odstrániť heslo a nahradiť ho prístupovými kľúčmi.
Ako teda riešia prístupové kľúče Apple problém s heslom?
Čo je štandard Web Authentication (WebAuthn)?
Tento štandard publikuje World Wide Web Consortium (W3C), organizácia venujúca sa vytváraniu protokolov a smerníc pre dlhodobý vývoj webu. Vývojom tejto novej autentifikačnej technológie skupina dúfa, že zníži našu závislosť od hesiel ako primárneho alebo jediného spôsobu ochrany našich údajov.
Apple je tiež členom W3C a do prístupových kľúčov Apple začleňuje štandard WebAuthn. Táto funkcia funguje aj s iCloud Keychain, takže ľudia, ktorí už túto službu využívajú, nemusia migrovať svoj systém.
Implementáciou rozhrania WebAuthn API zaisťujú weboví vývojári a výrobcovia zariadení autentifikáciu, ktorá bude fungovať naprieč rôznymi systémami. Či už používate Android, iOS, Mac alebo Windows, tento systém bez hesla by mal fungovať.
Ako vás Apple Passkey udrží v bezpečí?
Väčšina z nás sa v určitom okamihu spoliehala na používateľské meno a heslá. Pravdepodobne to robíte aj teraz. Heslá sa však dajú ľahko hacknúť, najmä ak používateľ nemá bezpečné heslo alebo je obeťou sociálneho inžinierstva.
Tradičná kombinácia používateľského mena a hesla tiež znamená, že tieto informácie sú uložené online. Ak je teda služba, ktorú používate, ako napríklad Twitch, napadnutá hackermi, útok ohrozí údaje a ďalšie. Ak znova použijete svoje používateľské meno a heslo, čo mnohí robia, ale neodporúčame vám, vaše ďalšie účty sú tiež ohrozené.
Dvojfaktorová autentifikácia (2FA) bol vyvinutý na vyriešenie tohto problému. Pridaním ďalšej úrovne zabezpečenia používatelia pomáhajú zabrániť neoprávnenému prístupu k ich účtom.
Hoci táto technológia dramaticky zvýšila bezpečnosť, najmä proti útokom hrubou silou, mnohí používatelia sú stále obeťami útoky sociálneho inžinierstva. A zatiaľ čo technicky zdatní používatelia môžu útoky ľahko spozorovať, tí, ktorí nie sú tak oboznámení, nemusia byť schopní odhaliť príznaky útokov, ako sú phishingové podvody.
Prístupové kľúče Apple majú za cieľ vyriešiť tento problém úplným odstránením hesla. Pri prihlasovaní do online služby už nemusíte zadávať svoje používateľské meno a heslo. Namiesto toho stačí použiť biometrické bezpečnostné funkcie vášho zariadenia, ako je FaceID alebo TouchID.
Služba tiež nie je obmedzená len v rámci vášho zariadenia Apple. Prístupové kľúče môžete použiť na počítači so systémom Windows alebo tablete so systémom Android. Pokiaľ pristupujete na webovú stránku, ktorá implementuje rozhranie WebAuthn API, môžete na prihlásenie do svojho účtu použiť biometrické funkcie zariadenia Apple, a to aj v prípade, že k nemu pristupujete z modulu gadget, ktorý nepochádza od spoločnosti Apple. Je to ako používať svoje zariadenie Apple ako univerzálny kľúč, ktorý dokáže otvoriť akékoľvek digitálne dvere.
Ako fungujú prístupové kľúče Apple?
Namiesto uchovávania používateľského mena a hesla online, Apple prístupové kľúče použiť asymetrické šifrovanie. Podľa Stránka podpory zabezpečenia prístupových kľúčov spoločnosti Apple:
Počas registrácie účtu operačný systém vytvorí jedinečný pár kryptografických kľúčov na priradenie k účtu pre aplikáciu alebo webovú stránku. Tieto kľúče generuje zariadenie bezpečne a jedinečne pre každý účet.
Jeden z týchto kľúčov je verejný a je uložený na serveri. Tento verejný kľúč nie je tajomstvom. Druhý kľúč je súkromný a je potrebný na skutočné prihlásenie. Server sa nikdy nedozvie, čo je súkromný kľúč. Na zariadeniach Apple s dostupným Touch ID alebo Face ID ich možno použiť na autorizáciu použitia prístupového kľúča, ktorý následne overí používateľa v aplikácii alebo na webovej lokalite. Neprenáša sa žiadne zdieľané tajomstvo a server nemusí chrániť verejný kľúč.
Keď použijete používateľské meno a heslo, server drží zámok (vaše používateľské meno) a kľúč (vaše heslo). Na otvorenie zámku ukážete serveru, že máte podobný kľúč, a ten vám otvorí dvere.
Ale s prístupovými kľúčmi Apple server nikdy nebude držať kľúč. Namiesto toho vám odovzdá zámok a vy ho odomknete sami. A keďže vám server odovzdá zámok iba vtedy, ak ho fyzicky má (t. j. vaše údaje sú skutočne uložené na jeho serveri), phishingové hacky sa stanú neúčinné, pretože nemajú zámok (t. j. nemôžu požiadať o kľúč, pretože prístupové kľúče Apple ho uvoľnia iba vtedy, ak doručia platný zámok).
S týmto systémom môže iba platná entita požiadať o prístupový kľúč, čím sa zabezpečí, že používatelia sa menej stanú obeťami phishingových podvodov a iných útokov sociálneho inžinierstva. Je to tiež oveľa pohodlnejšie, pretože používatelia si už nemusia pamätať nespočetné množstvo prihlasovacích údajov. Všetko, čo potrebujú, je byť prihlásení do svojho Apple ID chráneného 2FA.
Ďalší príklad systému bez hesla
Zatiaľ čo Apple môže byť prvým, kto bol efektívne zapracovaný do operačného systému smartfónu, nie je prvou spoločnosťou, ktorá implementuje systémy bez hesla. Ak máte konto Microsoft, pravdepodobne ste sa s touto technológiou stretli.
Ak ste nastavili prihlásenie bez hesla pomocou účtu Microsoft, môžete sa do nej prihlásiť pomocou aplikácie Microsoft Authenticator – nepotrebujete žiadne používateľské meno a heslo. Hoci je primárne k dispozícii v prehliadači Microsoft Edge, môžete použiť aj Windows Hello alebo zabezpečenie kľúč na používanie aplikácie Microsoft Authenticator na prihlásenie do účtu Microsoft v iných prehliadačoch, ako je Google Chrome.
Dávate zbohom heslám?
Hoci používateľské mená a heslá chránili používateľov už viac ako 60 rokov, môžu byť blížiace sa ku koncu ich života vďaka lepším bezpečnostným systémom inde, ktoré sa ľahšie používajú tiež. Keďže sa prihlasujeme do čoraz väčšieho množstva služieb, predstava zapamätania si desiatok, ak nie stoviek kombinácií používateľského mena a hesla môže byť skľučujúca.
Hackeri sú tiež čoraz sofistikovanejší, čo im umožňuje kompromitovať dáta aj pri vylepšenom zabezpečení. A hoci viacfaktorová autentifikácia trochu zvýšila bezpečnosť tradičných prihlasovacích údajov, stále ponecháva používateľa ako významnú zraniteľnosť.
Pomocou prístupových kľúčov sa môžeme posunúť vpred od používateľského mena a hesiel do bezpečnejšej budúcnosti. A ako sa nové technológie, ako je kvantová výpočtová technika, vyvíjajú a uvádzajú na trh, hrozí, že tradičná kombinácia používateľského mena a hesla zo dňa na deň zastará.