Video: How FIDO2 and WebAuthn Stop Account Takeovers (Nobyembre 2024)
Ipinakilala ni Yubico ang aparato ng pagpapatunay ng Yubikey hardware noong 2008, ngunit sa oras na walang gaanong average na consumer ang maaaring magamit ito maliban sa pag-log in sa LastPass. Ang kumpanya ay lumago nang malakas mula noong panahong iyon, at malapit nang mag-alok ng isang natatanging "universal pangalawang kadahilanan" na pagpapatotoo. Sa RSA Conference sa San Francisco, masiglang ibinahagi ng Yubico CEO at Founder Stina Ehrensvärd kung ano ang nagmumula sa Yubico.
"Nais naming dalhin ang teknolohiya ng pagpapatunay ng kard sa matalinong merkado, ngunit ang pag-alis ng mga driver, middleware … isang bagay na may mabuting seguridad bilang isang smartcard nang walang pagiging kumplikado, " aniya. "Sinimulan namin ang proyektong ito sa Google, at ginagamit na ito sa loob ng Google."
FIDO Koneksyon
Ang FIDO (Fast IDentity Online) Alliance ay may kasamang ilang malaking manlalaro, kasama sa kanila ang Microsoft, Mastercard, PayPal, Bank of America, at marami pa. "Pinagsama namin ang aming mga pagsisikap sa FIDO, " sabi ni Ehrensvärd. "Ang resulta ay ang FIDO Universal Second Factor, o U2F, na ipinatupad sa aming aparato ng Yubikey Neo. Ang probem na may umiiral na Yubikeys at iba pang mga aparatong pangseguridad ng hardware ay mayroon kang isang aparato para sa bawat serbisyo. Maaari kang gumamit ng isang telepono at magkaroon ng maraming mga security security para sa iba't ibang mga serbisyo, ngunit ang mga telepono ay maaaring mai-hack. "
"Gamit ang isang aparato ng U2F, maaari kang magkaroon ng isang aparato para sa walang limitasyong mga serbisyo, " aniya. "Gusto ko lagi iyon. Sa katunayan, ang pangalan ng kumpanya na Yubico ay nagmula sa salitang 'ubiquitous'."
Simpleng Authentication
Kapag nagrehistro ka ng isang Yubikey Neo na may isang sumusuporta sa website, bumubuo ito ng isang natatanging pampubliko / pribadong key na pares. Para sa mga smartphone sa Android, kumokonekta ito sa pamamagitan ng NFC; para sa mga PC at Mac, sa pamamagitan ng USB. (Ang suporta para sa iOS ay nasa mga gawa, ngunit si Ehrensvärd ay hindi libre upang talakayin ang mga detalye). Ipasok ang iyong PIN kung kinakailangan, pindutin ang aparato, at napatunayan ka nito.
"Ang mahalagang bagay, " sabi ni Ehrensvärd, "ay ang aparato ay nakikipag-ugnay sa bawat site nang direkta. Walang pag-iimbak ng third-party na maaaring mai-hack. Wala ding kinakailangang espesyal na mambabasa tulad ng isang chip at PIN credit card."
"Ang Yubikey Neo ay hindi magagamit sa publiko hanggang sa huling bahagi ng taong ito, " aniya, "ngunit maraming mga malalaking kasosyo ang gumagamit nito sa loob, para sa kanilang mga kawani. Gumagana talaga ito. Ito ay tulad ng isang walang driver na matalinong kard."
Pagkapribado, Masyado
"Ang mga tao ay higit at nalalaman ang mga isyu sa privacy, sa bahagi dahil sa mga paghahayag ng NSA, " sabi ni Ehrensvärd. "Sa U2F, makakontrol ng mga gumagamit ang kanilang pagkakakilanlan. Maaari silang bumili ng kanilang ligtas na aparato sa maraming mga lugar; kami ang una, ngunit magkakaroon ng iba. Pagkatapos ay gamitin ito upang mapatunayan nang hindi nagbibigay ng mga detalye tungkol sa iyong pagkakakilanlan. Ito ay ligtas, ngunit hindi nagpapakilalang. Hindi ito pag-aari o kontrolado ng pamahalaan, o sa bangko, o sa ulap. Ito ay pagkakakilanlan ng gumagamit. "
"Nakakasira ito !, " patuloy niya. "Ang mga bangko at negosyo ay hindi kailangang itulak ito. Gusto itong bilhin ng gumagamit. Hindi nila kailangang mag-alala tungkol sa mga password. Oh, ito ay pantulong sa mga tagapamahala ng password, ngunit sa kalaunan ay maaaring hindi mo na kailangan ang isang tagapamahala ng password."
Libre, Madaling Pagpapatupad
"Ang mga service provider ay madaling suportahan ang U2F gamit ang libre, bukas na mga sangkap ng mapagkukunan, " paliwanag ni Ehrensvärd. "O maaari silang magbayad upang mai-set up ito para sa kanila. Ang aking pangitain ay makarating dito, upang mapagtanto kung ano ngayon ang FIDO U2F. Maraming mga nagbebenta ng aparato ang maaaring makipagkumpitensya at magkakasamang kasama."
"Kung ang mga pamantayan ay nakakandado sa isang tindero, makakakuha ito ng magastos, " aniya. "Sinabi namin na ang teknolohiya ay libre. Ang dapat lang magbayad ay ang gumagamit, at ito ay isang beses na gastos. Tatalakayin namin ito mamaya sa taong ito. Nakakatulong na napakaraming mga malalaking pangalan ay nasa FIDO Alliance, dahil upang maging kapaki-pakinabang ang aparato, kailangan mo ng maraming mga site na sumusuporta dito para sa malaking paglawak. "
Halos lahat ay sumasang-ayon na ang mga password ay isang sakit. Ang mga solusyon sa biometric, mula sa fingerprint hanggang sa tibok ng puso hanggang sa pagsusuri ng eyeball ay lahat ng paraan na mas kumplikado kaysa sa iminungkahing solusyon ni Yubico. At ang mga bagay na darn ay matibay; Dinala ko ang aking keychain sa loob ng limang taon. Ito lamang ang pag-imbento na bumagsak sa pagtatapos ng mga hangal na mga password.
