Google Újítása: Jelszavak Helyett Kriptográfiai Kulcsok
A Google mostantól egyszerűbbé teszi a felhasználók számára, hogy erős, többfaktoros hitelesítéssel védjék fiókjaikat, a fizikai token eszközök helyett jelszavak formájában tárolt biztonságos kriptográfiai kulcsok hozzáadásával.
A Google 2017-ben bevezetett Advanced Protection Program (APP) a többfaktoros hitelesítés (MFA) legerősebb formáját követeli meg. Míg számos MFA forma az SMS-ben vagy e-mailben küldött egyszeri jelszavakra támaszkodik, vagy hitelesítő alkalmazások által generált kódokra, az APP-be beiratkozott fiókok kriptográfiai kulcsokon alapuló MFA-t igényelnek, amelyeket egy biztonságos fizikai eszközön tárolnak. Az egyszeri jelszavakkal ellentétben a fizikai eszközökön tárolt biztonsági kulcsok immunisak a hitelesítő adatok halászatára és nem másolhatók vagy szimatolhatók.
Az APP Demokratizálása
Az APP, azaz az Advanced Protection Program, megköveteli, hogy a kulcsot egy jelszó kísérje, amikor a felhasználó új eszközön jelentkezik be a fiókjába. A védelem megakadályozza azokat a fiókátvételeket, amelyek lehetővé tették, hogy a Kreml által támogatott hackerek hozzáférjenek a Demokrata tisztviselők Gmail fiókjaihoz 2016-ban, és az ellopott e-mailek kiszivárogtatásával beavatkozzanak az elnökválasztásba.
Eddig a Google megkövetelte, hogy az emberek két fizikai biztonsági kulccsal rendelkezzenek az APP-be való beiratkozáshoz. Most a vállalat lehetővé teszi az embereknek, hogy két jelszót vagy egy jelszót és egy fizikai tokent használjanak. Azok, akik további biztonságot keresnek, annyi kulccsal iratkozhatnak be, amennyit csak akarnak.
„Kibővítjük a lehetőségeket, így az embereknek több választási lehetőségük van arra, hogyan iratkozhatnak be ebbe a programba” – mondta Shuvo Chatterjee, az APP projektvezetője egy interjúban. Elmondása szerint a lépés válaszként érkezett a Google által kapott visszajelzésekre, melyek szerint néhány felhasználó nem engedhette meg magának a fizikai kulcsok megvásárlását, vagy olyan régiókban éltek vagy dolgoztak, ahol ezek nem voltak elérhetők.
Jelszavak: A FIDO Szövetség Teremtménye
A jelszavak a FIDO Szövetség, egy több iparágban működő csoport alkotásai, amely több száz vállalatból áll. Ezek helyileg tárolódnak egy eszközön, és ugyanazon hardver tokenben is tárolhatók, mint az MFA kulcsok. A jelszavak nem vonhatók ki az eszközből, és vagy PIN-kódot, vagy ujjlenyomatot vagy arcfelismerést igényelnek. Két hitelesítési tényezőt biztosítanak: amit a felhasználó tud – az alapul szolgáló jelszó, amelyet a jelszó generálásakor használtak – és amit a felhasználónak van – az eszköz formájában, amely a jelszót tárolja.
Természetesen a lazább követelmények csak bizonyos mértékig alkalmazhatók, mivel a felhasználóknak továbbra is két eszközzel kell rendelkezniük. De az eszközök típusának kibővítésével az APP hozzáférhetőbbé válik, mivel sok embernek már van telefonja és számítógépe – magyarázta Chatterjee.
„Ha olyan helyen vagy, ahol nem kaphatók biztonsági kulcsok, ez kényelmesebb” – magyarázta. „Ez egy lépés afelé, hogy demokratizáljuk, mennyi hozzáférést kapnak a felhasználók a Google által kínált legmagasabb biztonsági szinthez.”
Annak ellenére, hogy az APP fiókok helyreállítási folyamata fokozott ellenőrzést igényel, a Google megújítja ajánlását, hogy a felhasználók biztosítsanak egy telefonszámot és e-mail címet biztonsági mentésként.
„A legellenállóbb dolog, amit tehetünk, hogy több dolgot is nyilvántartásba veszünk, így ha elveszíti azt a biztonsági kulcsot vagy a kulcs tönkremegy, van mód a fiókhoz való hozzáférésre” – mondta Chatterjee. Nem árulta el a „titkos recept” részleteit arról, hogy a folyamat hogyan működik, de elmondta, hogy „rengeteg jelet” figyelnek, hogy kiderítsék, mi is történik valójában.
„Még ha van is egy helyreállító telefon, egy helyreállító telefon önmagában nem fog hozzáférést biztosítani a fiókjához” – mondta. „Tehát ha SIM-cserét hajtanak végre, az nem jelenti azt, hogy valaki hozzáfér a fiókjához. Ez a különböző tényezők kombinációja. Ennek összegzése segít majd a helyreállítási folyamatban.”
Google felhasználók ezen a linken iratkozhatnak be az APP programba.
Érdekes tény: A FIDO Szövetség által kifejlesztett jelszavak a biometrikus azonosításon alapulnak, amely egyre fontosabb szerepet játszik az AI által vezérelt biztonsági rendszerekben.
Források: Ars Technica, Google, FIDO Alliance
