Паролі мертві, довго живі паролі

Паролі смокчуть. Не будемо тут фаршувати слова і не бити навколо куща. Усі ненавидять паролі, і вони мають право це робити. Паролі є основою нашого сучасного існування в Інтернеті. Не дивно, що наші колективні вуха хизуються, і ми прагнемо вірити, коли чуємо фразу: вбивця пароля! Замовкни і візьми мої гроші!

Я поясню, як ми потрапили до цього жахливого місця і як зробити все найкраще. Тоді я оприлюднив набір нових технологій, які претендують на "вбивць паролів" … і поясню, чому нам слід уникати їх за будь-яку ціну. І нарешті, я познайомлю вас із милим, нечітким творінням, який просто може врятувати нас усіх.

Загроза пароля

Давайте трохи перемотаємось і переглянемо, як ми потрапили сюди в першу чергу. Як тільки ми перейшли з реального світу в кіберпростір, ми зіткнулися з проблемою: як ми знаємо, що ти такий, про кого ти кажеш? Це проблема аутентифікації - пошук безпечного, надійного способу підтвердження своєї особи. Однак зауважте, що це не те саме, що з'ясувати, хто ви конкретно . Кіберпростір пропонує користувачам анонімність (або, принаймні, можливість анонімності). Хоча це зазвичай не стосується фінансових операцій (наприклад, банківських операцій, покупок), у більшості випадків потрібно лише встановити собі псевдонім, який не прив’язаний до вашого імені, адреси тощо.

Ідентифікація, як правило, встановлюється одним або декількома з таких способів:

• Щось вам відомо (пароль, PIN-код, відповіді на "секретні запитання")
• Щось ти є (відбиток пальців, райдужка, обличчя)
• Щось у вас є (значок, ідентифікатор фотографії, мобільний телефон)

Більшу частину епохи Інтернету доступні методи аутентифікації в кіберпросторі були обмеженими. Єдиним пристроєм введення, який ви могли гарантувати всім, була клавіатура. Тож найбільш логічною формою ідентифікації, що стосується цього найменш поширеного знаменника, був пароль. І ось ми.

Щоб системи на основі паролів працювали, користувачі повинні мати інший пароль для кожного облікового запису та кожного пароля не повинен бути доцільним. На жаль, людському мозку просто не під силу це завдання - і тому більшість людей придумують 2-3 погані паролі і використовують їх знову і знову. Хакери знають це і розробили автоматизовані інструменти, які можуть зламати переважну більшість створених людиною паролів протягом декількох хвилин або навіть секунд. Вони починаються з відгадування загальних паролів та фраз, а потім кожне поєднання слів у словнику, пісні пісень, назви фільмів, спортивних команд, загальних назв, дат тощо - назад, а також вперед, навіть з деякими літерами, заміненими цифрами (нуль для "0" тощо). Прості смертні не мають жодного шансу.

Однак існує просте рішення цієї проблеми: менеджер паролів. Ці корисні програми (як LastPass або 1Password) не тільки запам’ятовують та автоматично вводять усі ваші паролі, вони допоможуть генерувати смішно міцні паролі для кожного вашого облікового запису. Однак, незважаючи на очевидну корисність менеджерів паролів, дуже мало людей користується ними (лише 8% згідно з повідомленням минулого року Siber Systems).

Знаючи, наскільки невмілі люди створюють хороші паролі, компанії та уряди, які знають безпеку, почали вимагати дві форми "ідентифікації", так звану "двофакторну автентифікацію". Зазвичай він складається з пароля разом із одноразовим числовим кодом, доставленим на ваш смартфон через SMS або генерованому програмою для смартфона. Навіть якщо поганим хлопцям вдасться відгадати ваш пароль, їм все одно потрібно мати ваш смартфон, щоб отримати доступ до вашого облікового запису. Це сучасний золотий стандарт і (при правильній реалізації) може забезпечити досить надійну безпеку. На жаль, він все ще вимагає цього жахливого пароля. І паролі все ще смокчуть. Безумовно, в цю епоху казково потужних комп'ютерів, витонченої обробки аудіо та відео та всюдисущих смартфонів, наповнених датчиками, ми можемо придумати щось краще …

Введіть вбивцю пароля!

Google, виробник операційної системи Android і лінійки смартфонів Nexus і Pixel, вважає, що це нарешті зроблено: вони вважають, що вони створили технологію, яка нарешті "вб'є" поважний пароль як основний метод аутентифікації. Використовуючи вищевказаний набір датчиків у смартфонах, вони зможуть розпізнати вас за допомогою поєднання вашого обличчя, райдужної оболонки, голосу, місця розташування, швидкості та стилю набору тексту, які програми ви використовуєте та коли ви їх використовуєте, та навіть як ти ходиш. У сукупності вони виробитимуть "довірчий бал" - секретний алгоритм визначення того, наскільки вірогідним є те, що ти є. Цей бал стане доступним для ваших програм телефону, надаючи їм можливість попереднього пароля, якщо вони достатньо впевнені, хто тримає телефон. Очевидно, що різні додатки можуть вимагати різного рівня довіри: хоча Jewel Mania може бути неміцним, Гуллс Фарго, швидше за все, буде досить суворим (і це правильно).

Ви можете задуматися: як це круто ?? Більше паролів більше немає! Просто знаю, що це я! Але давайте відступимо на мить … давайте розглянемо, що насправді відбувається тут, і вивчимо наслідки.

Система оцінювання довіри Google - одна з декількох нових технологій "вбивці паролів" на горизонті. Інші приклади включають розпізнавання голосу від компаній, таких як Barclays Bank, і нову функцію розпізнавання обличчя Windows 10 під назвою Windows Hello. Усі ці технології базуються на певній формі біометричних даних - тобто на чомусь ви є (на відміну від того, що ви знаєте: паролі). Те, що ці системи прагнуть зробити, - це придумати певний спосіб - навіть декілька способів - позитивно і надійно ідентифікувати вас. Використовуючи різні датчики, ці системи фіксують всілякі дані для того, щоб розробити для вас «біометричний підпис», перенаправляючи вашу фізичну сутність до цифрового зображення. Потім ці підписи зберігаються, щоб система змогла використовувати їх для ідентифікації вас у майбутньому - порівняння поточних даних датчика із збереженими даними та визначення їх відповідності.

Пароль або ідентифікатор користувача?

На мій погляд, існує три основні проблеми з біометричним підходом до аутентифікації. Перш за все, на самому базовому рівні ваша біометрична інформація являє собою більше ім’я користувача або ідентифікатор користувача, ніж пароль - і досить негнучку і слабку ідентифікацію користувача при цьому. З одного боку, якщо ви не готові поранити себе, ви не можете змінити ці характеристики; з іншого, що робити, якщо ваші очі, обличчя чи пальці будуть спотворені в якійсь випадковості? Ларингіт або навіть сильна застуда можуть зробити ваш голос невпізнанним. Незважаючи на те, що ти все ще єш, у цих системах ти більше не здається тобою. Крім того, ви не joecool85 на цьому веб-сайті, а там є інший сайт … ви Джозеф Вільям Сміт. Завжди. Скрізь.

Конфіденційність та анонімність

Що приводить нас до другої проблеми: відсутність анонімності та конфіденційності. За допомогою біометричної автентифікації немає ніякого способу бути анонімним і не можна відмежувати або ізолювати свою особу від одного сайту до іншого. Тобто ви хочете мати можливість взаємодіяти з деякими веб-сайтами, але не мати їх, щоб вони знали конкретно, хто ви (анонімність). Ви також хочете, щоб ваші дії на цьому веб-сайті були невідомими іншим людям та на інших веб-сайтах (конфіденційність). За допомогою біометричної автентифікації обидва неможливі. У цю епоху глобального тероризму багато людей здаються готовими відмовитись від конфіденційності в Інтернеті, оскільки вони вважають, що це допоможе їхньому уряду зберегти їх у безпеці. Але конфіденційність та анонімність необхідні - не лише для демократії, а для людства. Це може бути ціла книга для себе, але якщо ви не повірите в це, я б посилав вас на цю чудову TED-розмову Гленн Грінвальд. Поки що, давайте просто погодимось, що біометрична автентифікація виключає як конфіденційність, так і анонімність.

Чудову драматизацію цього ефекту можна знайти у фільмі Звіт про меншини . У цьому фільмі персонаж Тома Круза не може ходити нікуди, не будучи автоматично розпізнаний всюдисущими системами моніторингу. Це не просто урядові системи спостереження, це корпоративні рекламні системи, які просто намагаються «покращити досвід клієнтів». В ім'я націлювання та пристосування їх реклами вони відчувають, що вони повинні знати якомога більше про вас - і впізнавати вас куди б ви не ходили, фізично чи практично. Однак це вже не наукова фантастика - це насправді відбувається.

Безпека

Остаточна проблема системи аутентифікації на основі біометричних даних полягає в тому, що вона недостатньо захищена. Жодна система ніколи не може бути на 100% захищеною, і тому інженерія безпеки системи завжди полягає в торгівлі за рахунок витрат і зручності проти наслідків відмови. Якщо хакер нарветься на Amazon.com і вдається вкрасти всі паролі своїх клієнтів, Amazon може просто визнати недійсними всі втрачені паролі та змусити всіх вибрати новий пароль. Але як вибрати нове обличчя, відбиток пальця чи голос? Що-небудь цифрове легко копіювати або викрадати, і ним можна миттєво ділитися по всьому світу. Після того, як ця інформація буде вкрадена, кішка вийшла з сумки, джин вийшов з пляшки, цифровий кінь - з віртуального сараю. Гра завершена. Як лише один приклад, в минулому році хакери вкрали понад 5 мільйонів оцифрованих відбитків пальців у Управління управління персоналом США. Ці працівники ніколи не можуть використовувати будь-яку автентифікацію на основі відбитків пальців до кінця свого життя.

Але це лише один аспект проблеми безпеки. Ваші біометричні якості легко спостерігаються іншими - і скопіювати їх можна за допомогою тих же типів датчиків, які використовувались для зйомки цифрового підпису. Системи розпізнавання обличчя та райдужної оболонки можна обдурити фотографією. Відбитки пальців можна скопіювати з того, чого ви торкнулися. Системи розпізнавання голосу можна обдурити, використовуючи фрагменти записаної мови. Навіть коли системи розпізнавання стають кращими, тому зробіть інструменти, які можна використовувати, щоб їх обдурити. Крім того, що заважає вам примушувати чи вводити в дію цю біометричну ідентифікаційну інформацію для якоїсь нечесної іншої людини? Не потрібно бути готовим чи навіть свідомим надавати відбитки пальців чи сканування обличчя. Якщо ви хочете отримати справді грізний характер, деякі ваші фізичні ознаки насправді здатні вкрасти (Людина знесення, хтось?).

Чесно кажучи, ми лише почухали поверхню проблем. Кому належать ваші біометричні підписи? Де і як зберігається ця інформація? Кому дозволено отримувати доступ до цих даних та який контроль над цим доступом ви маєте? Для яких інших цілей можна використовувати цю інформацію? Щойно ви ввімкнули цю систему, чи є якийсь змістовний спосіб відмовитися?

Є ще надія

Хоча нинішня система паролів та двофакторної автентифікації надзвичайно болісна, я тут вам хочу сказати: біометрична автентифікація - це не відповідь. І, схоже, люди це вже можуть усвідомити.

Однак є й інші перспективні рішення. Наприклад, нова система аутентифікації під назвою SQRL (вимовляється "білка") дозволяє довести свою особу на веб-сайті за допомогою розумної техніки виклику та відповіді, яка вимагає лише від користувача натиснути на зображення або сканувати QR-код за допомогою свого смартфона камера. Користувач не може нічого вводити, а тому користувач не повинен пам'ятати нічого. Це також означає, що веб-сайту немає нічого, щоб намагатися зберігати, що могло б викрасти хакери. А щоб поставити глазур на торт, у вас є унікальна і безлика особистість для кожного веб-сайту - збереження анонімності на цьому веб-сайті та захист вашої конфіденційності на всіх інших.

Напевно, речі погіршаться, перш ніж вони стануть кращими, але я вірю, що вони стануть кращими. Ми просто повинні бути обережними, щоб не стрибати корабель, перш ніж ми справді придумаємо рішення, які можуть захистити нас, зберігаючи принаймні можливість анонімності та конфіденційності.

Що ви думаєте про майбутнє аутентифікації?

Тепер, коли ви в кінці моєї статті, я хотів би почути ваші відгуки з цього приводу! Будь ласка, залишайте коментарі та беруть участь у дискусії. Я час від часу заскакую, щоб додати свої два центи і відповім на ваші запитання якнайкраще. Дякую за прочитання та за участь у розмові.