Hasła ssać. Nie wygłupiajmy tutaj słów ani nie pobijmy krzaków. Wszyscy nienawidzą haseł i mają rację. Hasła są zmorą naszej współczesnej egzystencji online. Nic dziwnego, że nasze zbiorowe uszy się wzmagają i pragniemy uwierzyć, gdy słyszymy frazę: hasło zabójca! Zamknij się i bierz moje pieniądze!
W tym artykule wyjaśnię, w jaki sposób dotarliśmy do tego okropnego miejsca i jak zrobić to najlepiej. Następnie przedstawię zestaw nowych technologii, które nazywają "zabójcami haseł" ... i wyjaśnią, dlaczego powinniśmy ich unikać za wszelką cenę. I na koniec przedstawię cię uroczemu, rozmytemu stworzeniu, które może ocalić nas wszystkich.
Problem z hasłem
Przewińmy nieco i sprawdźmy, skąd się tu wzięliśmy. Jak tylko przeszliśmy z realnego świata do cyberprzestrzeni, stanęliśmy przed problemem: skąd wiemy, że jesteś tym, za kogo się podajesz? To jest problem uwierzytelniania - znalezienie bezpiecznego i niezawodnego sposobu weryfikacji tożsamości. Pamiętaj jednak, że to nie to samo, co ustalenie, kim jesteś. Cyberprzestrzeń oferuje użytkownikom anonimowość (a przynajmniej możliwość anonimowości). O ile nie ma to zazwyczaj miejsca w transakcjach finansowych (np. Bankowość, zakupy), w większości przypadków wystarczy ustalić rodzaj aliasu dla siebie, który nie jest powiązany z Twoim imieniem i nazwiskiem, adresem itp.
Tożsamość jest zwykle ustalana za pomocą jednej lub kilku następujących metod:
- Coś, co znasz (hasło, PIN, odpowiedzi na "tajne pytania")
- Coś, czym jesteś (odcisk palca, tęczówka, twarz)
- Coś, co masz (odznaka, identyfikator ze zdjęciem, telefon komórkowy)
Przez większą część ery Internetu dostępne metody uwierzytelniania w cyberprzestrzeni były ograniczone. Jedynym urządzeniem wejściowym, które można zagwarantować każdemu, była klawiatura. Tak więc najbardziej logiczną formą identyfikacji, spełniającą ten najmniejszy wspólny mianownik, było hasło. I oto jesteśmy.
Aby systemy oparte na hasłach działały dobrze, użytkownicy muszą mieć inne hasło dla każdego konta, a każde hasło nie może być odgadnięte. Niestety, ludzki mózg po prostu nie spełnia tego zadania - i dlatego większość ludzi wymyśla 2-3 złe hasła i używa ich w kółko. Hakerzy o tym wiedzą i opracowali zautomatyzowane narzędzia, które mogą złamać większość ludzkich haseł w ciągu minut lub nawet sekund. Zaczynają od odgadnięcia typowych haseł i fraz, a następnie każdej kombinacji słów w słowniku, tekstów piosenek, tytułów filmów, drużyn sportowych, popularnych nazwisk, dat itd. - zarówno w tył, jak iw przód, nawet z niektórymi literami zastąpionymi liczbami (zero dla "0", itp.). Zwyczajni śmiertelnicy po prostu nie mają szans.
Istnieje jednak proste rozwiązanie tego problemu: menedżer haseł. Te pomocne aplikacje (takie jak LastPass lub 1Password) nie tylko zapamiętają i automatycznie wprowadzą wszystkie hasła, ale również pomogą wygenerować absurdalnie silne hasła dla każdego posiadanego konta. Jednak pomimo oczywistej użyteczności menedżerów haseł, korzysta z nich niewiele osób (zaledwie 8% według raportu firmy Syber Systems z zeszłego roku).
Wiedząc, jak nieudolni ludzie tworzą dobre hasła, firmy i rządy świadome bezpieczeństwa zaczęły wymagać teraz dwóch form "ID", tak zwanego "uwierzytelniania dwuskładnikowego". Zwykle składa się z hasła wraz z jednorazowym kodem numerycznym, dostarczanym do smartfona za pośrednictwem wiadomości SMS lub generowanym przez aplikację na smartfony. Nawet jeśli złym ludziom uda się odgadnąć hasło, nadal muszą posiadać smartfon, aby uzyskać dostęp do konta. Jest to obecny standard złota i (jeśli jest właściwie zaimplementowany) może zapewnić dość solidne zabezpieczenia. Niestety, wciąż wymaga tego przerażającego hasła. Hasła wciąż są do dupy. Z pewnością w epoce bajecznie potężnych komputerów, wyrafinowanego przetwarzania audio i wideo oraz wszechobecnych smartfonów wyposażonych w czujniki, możemy wymyślić coś lepszego ...
Wprowadź hasło zabójcy!
Google, twórca systemu operacyjnego Android oraz smartfonów Nexus i Pixel, sądzi, że w końcu to zrobił: wierzy, że stworzyli technologię, która w końcu "zabije" czcigodne hasło jako podstawową metodę uwierzytelniania. Korzystając ze wspomnianych powyżej zestawów czujników w smartfonach, będą one w stanie rozpoznać użytkownika za pomocą kombinacji jego twarzy, tęczówki, głosu, lokalizacji, szybkości pisania i stylu, używanych aplikacji oraz ich używania. nawet jak chodzisz. Wszystkie razem opracują "wynik zaufania" - tajny algorytm określający, jak prawdopodobne jest to, że jesteś sobą. Ten wynik zostanie udostępniony aplikacjom telefonicznym, dając im możliwość zrezygnowania z hasła, jeśli będą wystarczająco pewni, kto trzyma telefon. Oczywiście różne aplikacje mogą wymagać różnych poziomów ufności: podczas gdy Jewel Mania może być luźno-gęsty, Wells Fargo będzie prawdopodobnie dość surowy (i słusznie).
Być może myślisz: jakie to fajne? Nigdy więcej haseł! Po prostu wiem, że to ja! Ale cofnijmy się chwilę ... zastanówmy się nad tym, co się tutaj naprawdę dzieje i zbadajmy konsekwencje.
System oceny zaufania Google jest jedną z kilku nowych technologii "zabójcy haseł" na horyzoncie. Inne przykłady to rozpoznawanie głosu od firm takich jak Barclays Bank i nowa funkcja rozpoznawania twarzy systemu Windows 10 o nazwie Windows Hello. Wszystkie te technologie opierają się na pewnej formie danych biometrycznych - czyli na czymś, czym jesteś (w przeciwieństwie do czegoś, co znasz: haseł). To, co te systemy starają się zrobić, to wymyślić jakiś sposób - nawet na wiele sposobów - aby pozytywnie i solidnie Cię zidentyfikować. Korzystając z różnych czujników, systemy te przechwytują różnego rodzaju dane w celu opracowania "podpisu biometrycznego", destylując swoją fizyczną istotę do postaci cyfrowej. Sygnatury te są następnie zapisywane, aby system mógł z nich korzystać w celu identyfikacji użytkownika w przyszłości - porównywania danych z bieżącego czujnika z przechowywanymi danymi i ustalania, czy pasują do siebie.
Hasło lub ID użytkownika?
Moim zdaniem istnieją trzy główne problemy z biometrycznym podejściem do uwierzytelniania. Przede wszystkim, na najbardziej podstawowym poziomie, twoje dane biometryczne stanowią więcej nazwy użytkownika lub identyfikatora użytkownika niż hasła - i raczej nieelastyczny i słaby identyfikator użytkownika. Z jednej strony, jeśli nie chcesz się okaleczyć, nie możesz zmienić tych cech; z drugiej strony, co by było, gdyby twoje oczy, twarz lub palce były zniekształcone w jakimś wypadku? Zapalenie krtani lub nawet przeziębienie może sprawić, że twój głos będzie nierozpoznawalny. Nawet jeśli nadal jesteś sobą, do tych systemów już nie wyglądasz na ciebie. Poza tym nie jesteś joecool85 na tej stronie i therealjsw na innej stronie ... jesteś Joseph William Smith. Zawsze. Wszędzie.
Prywatność i anonimowość
Co prowadzi nas do drugiego problemu: braku anonimowości i prywatności. Dzięki uwierzytelnianiu biometrycznemu nie można uzyskać anonimowości i nie można oddzielić ani odizolować Twojej tożsamości z jednej witryny na inną. Oznacza to, że chcesz mieć możliwość interakcji z niektórymi stronami internetowymi, ale nie możesz im powiedzieć, kim jesteś (anonimowość). Chciałbyś również, aby twoje działania na tej stronie były nieznane innym osobom i innym witrynom (prywatność). Dzięki uwierzytelnianiu biometrycznemu obie są niemożliwe. W dobie globalnego terroryzmu wiele osób zdaje się rezygnować z prywatności w Internecie, ponieważ wierzy, że pomoże to rządowi zapewnić im bezpieczeństwo. Ale prywatność i anonimowość są konieczne - nie tylko dla demokracji, ale także dla ludzkości. To może być cała książka sama w sobie, ale jeśli nie wierzysz w to, chciałbym Cię odnieść do tej wspaniałej rozmowy TED Glenna Greenwalda. Na razie zgódźmy się, że uwierzytelnianie biometryczne wyłącza zarówno prywatność, jak i anonimowość.
Doskonałą dramatyzację tego efektu można znaleźć w filmie Raport mniejszości . W tym filmie postać Toma Cruise'a nie może chodzić wszędzie, nie będąc automatycznie rozpoznawanym przez wszechobecne systemy monitorowania. Są to nie tylko rządowe systemy nadzoru, to korporacyjne systemy reklamowe, które próbują "poprawić jakość obsługi klienta". W imię kierowania i dostosowywania reklam, czują, że muszą wiedzieć o tobie tyle, ile się da - i rozpoznać cię wszędzie, fizycznie lub wirtualnie. Jednak to już nie science fiction - tak naprawdę się dzieje.
Bezpieczeństwo
Ostatnim problemem związanym z systemem uwierzytelniania opartym na danych biometrycznych jest to, że nie jest wystarczająco bezpieczny. Żaden system nigdy nie może być w 100% bezpieczny, a więc inżynieria bezpieczeństwa systemu polega zawsze na obniżaniu kosztów i ułatwianiu działania w celu uniknięcia konsekwencji awarii. Jeśli haker włamie się na Amazon.com i uda mu się ukraść wszystkie hasła swoich klientów, Amazon może po prostu unieważnić wszystkie te utracone hasła i zmusić wszystkich do wybrania nowego hasła. Ale jak wybrać nową twarz, odcisk palca lub głos? Wszystko, co cyfrowe, jest łatwe do skopiowania lub kradzieży i może być natychmiast udostępniane na całym świecie. Po kradzieży tej informacji kot jest poza workiem, dżin jest poza butelką, cyfrowy koń jest poza wirtualną stodołą. Koniec gry. Jako jeden przykład, hakerzy ukradli ponad 5 milionów zdigitalizowanych odcisków palców z amerykańskiego Office of Personnel Management w zeszłym roku. Pracownicy ci nie mogą używać żadnego uwierzytelniania opartego na odciskach palców przez resztę życia.
Ale to tylko jeden aspekt problemu bezpieczeństwa. Twoje cechy biometryczne są łatwo zauważalne przez innych - i możliwe jest kopiowanie ich za pomocą tych samych typów czujników, które były używane do przechwytywania cyfrowego podpisu w pierwszej kolejności. Systemy rozpoznawania twarzy i skanowania tęczówki mogą zostać oszukane przez fotografię. Odciski palców można skopiować z czegoś, czego dotknąłeś. Systemy rozpoznawania mowy mogą zostać oszukane za pomocą fragmentów nagranej mowy. Nawet gdy systemy rozpoznające się polepszają, podobnie jak narzędzia, które można wykorzystać do ich oszukania. Ponadto, co ma przeszkodzić ci w zmuszeniu cię do przekazania nam tej biometrycznej informacji identyfikującej jakąś nikczemną osobę? Nie musisz być skłonny, a nawet świadomy, aby wykonać skanowanie odcisków palców lub twarzy. Jeśli chcesz być naprawdę przerażający, niektóre z twoich fizycznych atrybutów są rzeczywiście zdolne do kradzieży (Demolition Man, anyone?).
Szczerze mówiąc, porysowaliśmy powierzchnię problemów. Kto jest właścicielem twoich podpisów biometrycznych? Gdzie i jak przechowywane są te informacje? Kto może uzyskać dostęp do tych danych i jaką kontrolę masz nad tym dostępem? Do jakich innych celów można wykorzystać tę informację? Po włączeniu się do tego systemu istnieje jakiś znaczący sposób na wycofanie się?
Wciąż jest nadzieja
Chociaż obecny system haseł i uwierzytelnianie dwuskładnikowe są niezwykle bolesne, jestem tutaj, aby powiedzieć: uwierzytelnianie biometryczne nie jest odpowiedzią. Wydaje się, że ludzie mogą już to zrozumieć.
Istnieją jednak inne obiecujące rozwiązania. Na przykład, nowy system uwierzytelniania o nazwie SQRL (wymawiane "wiewiórka") pozwala udowodnić swoją tożsamość stronie internetowej za pomocą sprytnej techniki wyzwania i reakcji, która wymaga tylko kliknięcia obrazu lub zeskanowania kodu QR za pomocą smartfona aparat fotograficzny. Nie ma nic do wprowadzenia, a zatem użytkownik nie musi niczego pamiętać. Oznacza to również, że nie ma niczego, czego strona internetowa potrzebuje do przechowywania, które mogą zostać skradzione przez hakerów. Aby położyć wisienkę na torcie, masz niepowtarzalną i "bez twarzy" tożsamość każdej strony internetowej - zachowując swoją anonimowość na tej stronie i chroniąc prywatność wszystkich innych.
Sprawy prawdopodobnie się pogorszą, zanim staną się lepsze, ale wierzę, że się poprawią. Musimy tylko uważać, aby nie przeskoczyć statku, zanim naprawdę opracujemy rozwiązania, które zapewnią nam bezpieczeństwo, zachowując przy tym przynajmniej możliwość anonimowości i prywatności.
Co sądzisz o przyszłości uwierzytelniania?
Teraz, gdy jesteś na końcu mojego artykułu, bardzo chciałbym usłyszeć twoją opinię na ten temat! Zostaw komentarze i rozpocznij dyskusję. Od czasu do czasu wskakuję do dodania moich dwóch groszy i odpowiadam na twoje pytania najlepiej jak potrafię. Dziękuję za przeczytanie i wzięcie udziału w rozmowie.
