Тем из нас, кто потратил четверть века на запоминание паролей, переработав имена домашних животных, дни рождения и спортивные команды в учетные данные для входа, легко тосковать по старым временам. Кроме того, заполнение головы случайными числами и специальными символами — несовершенная защита. Десятилетие утечек данных, взломов и попыток фишинга превратило пароли из первой линии защиты в самую большую уязвимость безопасности.

Чтобы помочь вам, вместе с Apple и Microsoft, мы объявлено в прошлом году что мы будем поддерживать новый стандарт входа в систему, созданный альянсом FIDO (Fast IDentity Online), который позволит людям во всем мире войти в «будущее без паролей». Эти совместные усилия по созданию более безопасной альтернативы паролям основаны на AccessKeys – и начиная с сегодняшнего дня вы можете подписаться на AccessKeys, используя «пропустить запрос пароля, когда это возможно» в своей учетной записи Google.

Ключи доступа — это новая функция на компьютерах и смартфонах, которая обеспечивает безопасный вход в ваши учетные записи в Интернете с использованием биометрических данных, таких как отпечаток пальца или сканирование лица, или экран блокировки PIN-кода. Больше не нужно запоминать пароли для каждой из ваших учетных записей в приложениях и на веб-сайтах: пароли обеспечивают безопасное завершение аутентификации с помощью службы от вашего имени.

Хотя мы приветствуем более безопасное будущее, как и в случае с любой новой технологией, у нас есть некоторые вопросы. Чтобы получить ответы, мы поговорили с экспертом по безопасности Google Кристианом Брэндом. Продолжайте читать информативные вопросы и ответы с Кристианом, которые были отредактированы для обеспечения длины и ясности.

Проще говоря, что такое пароль?

Пароль — это идентификатор FIDO, хранящийся на вашем компьютере или телефоне и используемый для разблокировки ваших онлайн-аккаунтов. Пароль делает соединение более безопасным. Он работает с использованием криптографии с открытым ключом, и доказательство того, что у вас есть учетные данные, отображается в вашей онлайн-учетной записи только тогда, когда вы разблокируете свой телефон.

Чтобы войти на веб-сайт или в приложение на телефоне, просто разблокируйте телефон, и для вашей учетной записи больше не потребуется пароль.

Или, если вы пытаетесь войти на веб-сайт со своего компьютера, вам просто нужно, чтобы телефон был поблизости, и вам будет предложено разблокировать телефон, что затем предоставит вам доступ к компьютеру.

Вы говорите о «будущем без паролей»: действительно ли пароли заменят пароли?

Да, пароли заменят пароли. Это даже шире. Я бы сказал, что наше видение паролей состоит в том, чтобы не только избавиться от паролей, но и устранить все пластыри, которые отрасль разработала, чтобы компенсировать тот факт, что пароли настолько уязвимы.

Под «лейкопластырями» вы подразумеваете контрольные вопросы типа «Какой у вас был школьный талисман?» или «Какая девичья фамилия твоей матери?»

Да, но есть и более сложные исправления, такие как многофакторная аутентификация, SMS-сообщения или приложения для проверки подлинности. Например, мы создали приложение Google Authenticator, чтобы предоставить пользователям дополнительный уровень безопасности в Интернете. Ключи доступа заменят все это.

Мы редко слышим слова «публичный» и «криптография» в одном предложении. Как это на самом деле работает?

Криптография с открытым ключом существует с 1970-х годов, и Интернет полагается на нее. В 1990-х годах компания Netscape разработала шифрование на основе открытого ключа под названием Secure Sockets Layer (или SSL) как способ аутентификации веб-сайтов и обеспечения конфиденциальности пользователей. Они есть на всех защищенных веб-сайтах, и именно так вы можете определить, является ли веб-сайт подлинным и кем он себя выдает.

Итак, он аутентифицирует веб-сайты, но как он аутентифицирует людей?

Ключи доступа аналогичны SSL, который в последнее время называется TLS. Но вместо того, чтобы системы аутентифицировали друг друга, у человека на устройстве имеется соответствующий закрытый ключ. Криптографическая часть заключается в том, что веб-сайт может подтвердить, что устройство пользователя, которое, как подтверждает биометрия, находится в его распоряжении, имеет пароль. Из-за криптографии сервер никогда не узнает, какой у пользователя ключ доступа. В этом заключается магия криптографии с открытым ключом. Он может подтвердить вас, ничего о вас не зная. Это просто подтверждает, что вы тот, кем себя называете.

Итак, если криптография существует с 1970-х годов, почему мы запоминаем пароли с 1990-х годов?

Криптография с открытым ключом требует вычислительной мощности. Примерно до 2010 года большинство людей не ходили с компьютером в кармане.

Вот что такое смартфоны. Карманные компьютеры. И хотя смартфоны считаются уязвимостями, ключи доступа могут сделать их самым большим изменением в онлайн-безопасности за последние десятилетия.

Хорошо, но если вы потеряете телефон, сможет ли тот, кто его найдет, использовать ваш пароль?

Нет, потому что телефон — это только часть этого. Раньше для подключения к защищенному веб-сайту требовалось две вещи: вам требовалось только устройство для доступа в Интернет; и вам нужно было что-то запомнить, например, свой пароль. Это означает, что если кто-то узнает ваш пароль, все, что ему нужно будет сделать, это получить доступ к Интернету из любого места.

Ключи доступа — это эволюция. Они подтверждают это Ты у вас есть устройство, и вы получаете доступ к своей учетной записи. Это нулевое доверие, поскольку оно требует от вас чего-то, чтобы быть истинный. Это безопаснее и проще для людей.

Ваш отпечаток пальца, ваше лицо: возможность разблокировать ваше устройство: эти элементы, а также ваше устройство должны находиться в вашем распоряжении. Если кто-то получит ваше устройство, он ничего не сможет сделать с вашим паролем. А если вы потеряете старое устройство, содержащее ваш пароль, вы можете легко создать новый пароль на новом устройстве.

И вы можете иметь более одного пароля на нескольких устройствах?

Да, вы можете иметь несколько паролей и даже иметь пароли на устройствах, которыми пользуются члены вашей семьи. Это одно из величайших достижений. Криптография означает, что ключи доступа – независимо от того, сколько их и где они хранятся – полезны только пользователю.

Похоже, это одно из первых достижений в области безопасности, требующее от людей выполнения меньше.

Это правда – и это часть инноваций нулевого доверия. Поскольку у всех нас много мыслей, мы можем сосредоточиться на других вещах и при этом оставаться в большей безопасности.

О инновациях. Говорят – я думаю – что великие инновации решают знакомые проблемы. В лучшем случае инновации означают, что проблемы, о которых мы беспокоимся, заставят наших детей зевать. Какие повседневные проблемы безопасности решают ключи доступа, которые заставят моих детей зевать?

Три вещи, которые попадают в эту категорию:

Во-первых, пароли крадут. Каждую неделю мы слышим о бизнес-хаках и краже паролей. Поскольку люди часто повторно используют свои пароли в Интернете, это может дать злоумышленникам доступ ко множеству различных учетных записей: электронной почты, банковских операций, социальных сетей. Ключи доступа останавливают это.

Во-вторых, аутентификация несовершенна и требует много времени. Аутентификация означает, что даже если кто-то узнает ваш пароль, ему все равно понадобится еще один фрагмент данных. Вот почему мы создали приложение Google Authenticator. Приложение помогло предотвратить утечку данных. Но это всегда означает, что у человека есть работа, и это возлагает бремя на отдельного пользователя. Это требует времени. Пользователь не должен быть одиноким, когда дело касается безопасности и аутентификации – и так было уже около 20 лет.

В-третьих, дети будут рассматривать «попытки фишинга» как любительский театр. Фишинг — это когда кто-то отправляет вам электронное письмо, оно выглядит официальным, а вы нажимаете на ссылку и начинаете вводить свои учетные данные. Попытки фишинга стали более изощренными, и иногда людей обманом заставляют сообщать не только свое имя пользователя и пароль, но также информацию для аутентификации и другую личную информацию. Кроме того, фишинг также требует от пользователей определения достоверности электронного письма или веб-сайта. Это не очень технично. Ключи доступа могут решить проблему фишинга.

Вопрос, который зададут многие люди, касается биометрии, такой как отпечатки пальцев и распознавание лиц. Считаете ли вы, что людям следует беспокоиться об использовании биометрических данных на своих устройствах, чтобы можно было использовать ключи доступа?

Ни одно из наших современных устройств, ноутбуков, смартфонов или настольных компьютеров, даже тех, которые используют биометрию, не может собирать биометрическую информацию и отправлять ее в облако. Современные смартфоны не предназначены для обмена биометрическими данными. Оно всегда локально и на вашем устройстве. Даже если ваше устройство украдут, у вора не будет ваших биометрических данных для активации пароля.

Мы знаем, что для того, чтобы новая технология завоевала доверие и получила широкое распространение, требуется время. Мы также живем в эпоху, когда многие цифровые инновации маскируются под потрясающие инновации. Как люди могут быть уверены, что пароли стоят потраченного времени?

Они смогут установить пароли при следующем запросе службы. Проведите маленький время, затем запишите сюжет после этого вы потратите время и умственную энергию – и будете в гораздо большей безопасности.