В настоящее время существует один основной способ защиты онлайн-доступа: имя пользователя и пароль. Однако, даже если мы создадим длинный, сложный и сложный пароль, в этой настройке безопасности все равно останется одно ключевое слабое место — пользователь.
Миллионы людей уже стали жертвами фишинговых сайтов, социальной инженерии и других форм атак, направленных на взлом паролей. Вот почему Apple хочет удалить пароль и заменить его ключами доступа.
Итак, как пароли Apple решают проблему с паролями?
Что такое стандарт веб-аутентификации (WebAuthn)?
Этот стандарт опубликован консорциумом World Wide Web Consortium (W3C), организацией, занимающейся созданием протоколов и руководств для долгосрочной веб-разработки. Разрабатывая эту новую технологию аутентификации, группа надеется уменьшить нашу зависимость от паролей как основного или единственного способа защиты наших данных.
Apple также является членом W3C, и они включают стандарт WebAuthn в пароли Apple. Эта функция также работает со связкой ключей iCloud, поэтому людям, которые уже пользуются этой службой, не нужно переносить свою систему.
Внедряя WebAuthn API, веб-разработчики и производители устройств обеспечивают аутентификацию, которая будет работать в разных системах. Итак, независимо от того, используете ли вы Android, iOS, Mac или Windows, эта система без пароля должна работать.
Как пароли Apple защищают вас?
Большинство из нас в какой-то момент полагались на имя пользователя и пароль. Вы, вероятно, все еще делаете прямо сейчас. Но пароли можно легко взломать, особенно если у пользователя нет надежного пароля или если он стал жертвой социальной инженерии.
Традиционная комбинация имени пользователя и пароля также означает, что эта информация хранится в Интернете. Таким образом, если используемый вами сервис, например Twitch, будет взломан, атака поставит под угрозу данные и многое другое. Если вы повторно используете свое имя пользователя и пароль, что многие делают, но мы не советуем, другие ваши учетные записи также подвергаются риску.
Двухфакторная аутентификация (2FA) был разработан для решения этой проблемы. Добавляя еще один уровень безопасности, пользователи помогают предотвратить несанкционированный доступ к своим учетным записям.
Несмотря на то, что эта технология значительно повысила безопасность, особенно против атак грубой силы, многие пользователи по-прежнему страдают от атаки социальной инженерии. И хотя технически подкованные пользователи могут легко обнаружить атаки, те, кто не так хорошо знаком с ними, могут быть не в состоянии обнаруживать признаки атак, таких как фишинговые мошенничества.
Ключи доступа Apple призваны решить эту проблему, полностью удалив пароль. При входе в онлайн-сервис вам больше не нужно вводить имя пользователя и пароль. Вместо этого вам просто нужно использовать биометрические функции безопасности вашего устройства, такие как FaceID или TouchID.
Услуга также не ограничена только вашим устройством Apple. Вы можете использовать ключи доступа на ПК с Windows или планшете Android. Пока вы заходите на веб-сайт, реализующий WebAuthn API, вы можете использовать биометрические функции вашего устройства Apple для входа в свою учетную запись, даже если вы обращаетесь к нему с гаджета, отличного от Apple. Это похоже на использование устройства Apple в качестве универсального ключа, которым можно открыть любую цифровую дверь.
Как работают пароли Apple?
Вместо того, чтобы хранить имя пользователя и пароль вместе в Интернете, ключи доступа Apple использовать асимметричное шифрование. Согласно с Страница поддержки безопасности паролей Apple:
Во время регистрации учетной записи операционная система создает уникальную пару криптографических ключей, чтобы связать ее с учетной записью приложения или веб-сайта. Эти ключи генерируются устройством безопасно и уникально для каждой учетной записи.
Один из этих ключей является открытым и хранится на сервере. Этот открытый ключ не является секретным. Другой ключ является закрытым и необходим для фактического входа в систему. Сервер никогда не узнает, что такое закрытый ключ. На устройствах Apple с доступным Touch ID или Face ID их можно использовать для авторизации использования ключа доступа, который затем аутентифицирует пользователя в приложении или на веб-сайте. Общий секрет не передается, и серверу не нужно защищать открытый ключ.
Когда вы используете имя пользователя и пароль, сервер удерживает замок (ваше имя пользователя) и ключ (ваш пароль). Чтобы открыть замок, вы показываете серверу, что у вас есть аналогичный ключ, и он открывает вам дверь.
Но с паролями Apple сервер никогда не будет удерживать ключ. Вместо этого он вручает вам замок, и вы сами открываете его. А поскольку сервер выдаст вам блокировку только в том случае, если она у него физически есть (т. е. ваши данные фактически хранятся на его сервере), фишинговые атаки станут неэффективны, потому что у них нет блокировки (т. е. они не могут запросить ключ, потому что ключи доступа Apple выпустят его только в том случае, если они доставят действительный замок).
В этой системе только действительный объект может запросить ключ доступа, гарантируя, что пользователи с меньшей вероятностью станут жертвами фишинга и других атак социальной инженерии. Это также намного удобнее, поскольку пользователям больше не нужно запоминать множество учетных данных для входа. Все, что им нужно, это войти в свой Apple ID, защищенный 2FA.
Еще один пример беспарольной системы
Хотя Apple может быть первой, кто эффективно внедрил ОС для смартфонов, это не первая компания, внедрившая системы без паролей. Если у вас есть учетная запись Microsoft, вы, вероятно, сталкивались с этой технологией.
Если вы настроили вход без пароля с вашей учетной записью Microsoft, вы можете войти в него с помощью приложения Microsoft Authenticator — имя пользователя и пароль не требуются. Хотя он в основном доступен в браузере Microsoft Edge, вы также можете использовать Windows Hello или систему безопасности. ключ, чтобы использовать приложение Microsoft Authenticator для входа в свою учетную запись Microsoft в других браузерах, таких как Google Хром.
Прощание с паролями?
Хотя имена пользователей и пароли защищали пользователей на протяжении большей части 60 лет, они могут быть приближается к концу своей жизни благодаря лучшим системам безопасности в других местах, которые проще в использовании слишком. Поскольку мы подписываемся на все больше и больше сервисов, идея запоминания десятков, если не сотен комбинаций имени пользователя и пароля может быть пугающей.
Хакеры также становятся все более изощренными, что позволяет им компрометировать данные даже при повышенной безопасности. И хотя многофакторная аутентификация несколько повысила безопасность традиционных учетных данных для входа в систему, она по-прежнему оставляет пользователя значительной уязвимостью.
С ключами доступа мы можем перейти от имени пользователя и пароля к более безопасному будущему. А по мере разработки и выпуска на рынок новых технологий, таких как квантовые вычисления, традиционная комбинация имени пользователя и пароля рискует устаревать в одночасье.
