Názory k článku Passkey: nový způsob přihlašování bez hesla bude pohodlný a zruší phishing

Nelíbí se mi ta technologická závislot na smartphonech, kdy se předpokládá že ho vlastní každý a má ho vždy u sebe, ještě navíc on-line. Když se chci přihlásit k nějaké službě, má to být možné pouze s využitím prostředků toho zařízení, na kterém se přihlašuji.

Podle toho textu a podle toho, že za tím stojí FIDO Aliance, se zdá, že smartphone aplikace naštěstí bude jen jednou z alternativ, ne jedinou možností (jak si to představují např. některé naše banky).

Spíš se mi nelíbí ta idea synchronizace druhého faktoru. Jednou z významných výhod zabezpečení autentizace a autorizace pomocí hardwarového tokenu je právě to, že je (přinejmenším běžnými prostředky) neduplikovatelný. Je tam sice ta možnost nutnosti "potvrdit nové zařízení", ale to není totéž a navíc se bojím, že se na to řada implementací prostě vykašle. Rozumnější mi přijde to, co už dnes většina služeb podporuje: uživatel si zaregistruje víc druhých faktorů (třeba i různého typu), takže bude mít backup. (Zdá se to absurdní, ale bohužel existují i služby, kde si nelze zaregistrovat třeba dva různé FIDO2 tokeny.)

Do banky se potřebujete nejen přihlašovat, ale i potvrzovat příkazy (a další operace) s tím, že na zařízení máte kontrolu, co potvrzujete a to velká část těch dalších řešení neumí.

A co zabrání falešné aplikaci, aby mi zobrazila něco a ve skutečnosti podepsala něco jiného nebo i něco jiného?

Podepsat může, ale ne soukromým klíčem odpovídajícím párování, takže to banka nebude akceptovat.

A neodporuje tato poziadavka prave tomu cislu 2 v 2FA?
Pokial vlastnite pocitac je na 99% pravdepodobne ze vlastnite aj smartphone. Pokial viem nikto vas do toho nenuti, mozte pouzivat aj kalkulacku, pero a papier alebo sa presunutie do 21 storocia.

Jenže ono to není jen "vlastnit i (chytrý) mobilní telefon" (a to třeba moje děti ještě nemají - a přihlašovat se potřebují), ale především "používat jej u počítače".
A tady nastává drobný zádrhel, protože spousta lidí má ty telefony dva (soukromý a služební). A nemusí mít při ruce oba...
U nás v práci máme pro změnu vypnuté bluetooth na počítačích, aby se nepřipojovala necertifikovaná zařízení. Doma to mám na PC vypnuté taky, protože neustále se ohlašující/od­pojující sousedova televize totálně zablokuje systém - a nemám důvod používat u desktopu žádná BT zařízení.

Tak si pořídíte USB token a budete mačkat potvrzovací tlačítko na něm. Nebo použijete hesla + opisování čísel z generátoru jako dosud.

Já se obávám, že fígl bude v tom že desktopy už nikoho nezajímají. I dnes už mají doma desktopový počítač akorát hráči a geekové. A to že má někdo PC neznamená že ho používá na všechny služby. Zrovna jsem se o tom bavil s bratrem - počíač má, ale do bankovnictví chodí výhradně z telefonu přes aplikaci, a přijde mu to tak zcela přirozené. Z počítače ani z hlavy neví na jakou by měl jít adresu.

Pokud máte vše na tom telefonu, pak to v podstatě není pořádné 2FA - ten požadavek něco mít by se měl brát ve smyslu něco dalšího.
Blbě funhující "slabé" BT v sousedství umí simulovat DoS i na notebooku. Problém nastává v okamžiku, kdy má BT přednost před ostatním, protože zrovna "navazuje komunikaci"...

Pokial vlastnite pocitac je na 99% pravdepodobne ze vlastnite aj smartphone.

muzu se zeptat odkud mate to cislo? diky

Taky by mě to zajímalo. Tohle je hodně hloupý předpoklad.

TL;DR je to softwarovy token, ktory vyzaduje nosit so sebou miesto tokenu nabity mobil^Wsmarfon, inak sa vymknem. Som si isty, ze to maju premyslene, ale eliminacia hesla ako hlavny marketingovy bod mi nepride ako najlepsi a najbezpecnejsi napad.

(Putting tinfoil hat on) Tajny plan ako donutit kazdeho pouzivat osobne trackovacie zariadenie?

A kto dnes nepouziva osobne trackovacie zariadenie?

Kto ho pouziva dobrovolne?

Najdou se tací a není jich málo, ale to rozhodně neznamená, že nad tím každý bude nadšeně jásat. Nebude.

Tak snad se to povede - osobně vnímám hesla jako největší selhání informatiků vůči běžným lidem.

Osobně vnímám klíče a zámky ve dveřích jako největší selhání projektantů domů vůči běžným lidem.

Tak si nekdy prohlednete svazky klicu, se kterymi jezdi postaci... nebo popelari :-)

A pak se jich zeptejte, jestli by místo toho těžkého, nepřehledného paklu klíčů neocenili něco jednoduššího, chytřejšího.

Co by ocenil pošťák je mi jedno. V mém bytě či domě je podstatné, co oceňuji já!

Vždyť to byl jen vtip ;-)

Věcně souhlas, jakékoliv správně použité a uživatelsky přívětivé krypto nebo autentizaci jsem rád.
Mě pobavila ta argumentační konstrukce :-D

No tak teď pošlete klíče od všeho do Microsoftu(Google, nebo Applu).
Nejenom že budou vědět kdy a kde jste který klíč použil, ale budou ho umět použít taky.
MS, Goo, Appl jsou tak vysoce trust společnosti, že přes jejich API bude probíhat(v reálu) potvrzení téměř jakékoliv auth transakce.
No a to víte, že nebudou potřebovat Vaše trust zařízení ať je to cokoliv (mobil app, HW token, sken sítnice)…
Nad tím je potřeba se zamyslet do hloubky !!!
Teď budete mít pocit, že si vybíráte své, lepší a likely řešení, oproti starým nefunkčním heslům.
Ale omyl, teď teprve uděláte eště vetší krok vedle než Ti zmiňovaní IT-ci.

A to si ako predstavujete, ze maju pristup k privatnemu klucu?

Ono staci mnohdy vedet kdy a jaky klic (resp. k cemu) kdo pouzil.

Nestaci. Komentovany prispevek je napsany v takovem duchu, ze dotcene spolecnosti budou mit autonomni pristup k cilovym systemum. A to je samozrejme nesmysl :-)

Ak bude mozne pri strate svojho privatneho kluca obnovit pristup z pomoci providera, tak je zrejme ze provider k ziskaniu pristupu nepotrebuje ani vas a vas privatny kluc uz vobec nie...

Ne nemyslím si, že MsGooAppl bude mít Váš privátní klíč.
Vy si budete hrát s univerzální službou od MsGooAppl na ověřování s Vašim privátním klíčem.
A pak půjdete na web, kde se budete chtít ověřit účtem od M$. No ale proč by Vás M$ proboha znova vyzíval na ověřování ? Tím by Vás odradil od používání.
Tak raději, náhradou za Vás, použijí svojí autentizační metodu se svým klíčem, pokud požadavek rovnou nepotvrdí přes API .

Vy sa autorizujete voci MS alebo Google, sluzba sa autorizuje voci MS alebo Google nie voci vam. To je predsa uplne jasne. Ale to ako keby ste si stazovali ze server kam sa pripajate tak tam niekto moze zmenit heslo, prihlasit sa a vratit. To predsa nie je predmet diskusie.
Predmetom diskusie ci sa zjednodusi 2FA a ako. Trust nadalej zostava ci tam 2FA mate alebo nie.

Podle článku si služba (nebo možná i uživatel, to mi není z textu jasné) může říct, že chce vyšší úroveň zabezpečení a pak se musíte přímo ověřit pro tuto službu pokaždé, místo aby se to vzalo "nacachované" od toho poskytovatele.

Vysoce trust? Tohle jsou top společnosti, kterým bych nevěřil ani "dobrý den".

Globalni metriky muzou davat jina cisla nez Vase soukrome metriky. Jenom se teda nabizi otazka, komu teda verite a na zaklade jakych metrik... :-)

A jak se prihlasim na svych stolnich PC (v praci, doma), kde nemam zadne Bluetooth?

https://www.tsbohemia.cz/gembird-usb-bluetooth-v4-0-dongle_d253531.html
Jestli vás teda 139 Kč nezruinuje.

Někdy to může být i BT musím vypnout, pokud tam je - takovou situaci mám doma a nejsem sám. Příliš agresivně bluetooth-komunikující zařízení v sousedství mohou zafungovat jako spolehlivý DoS útok - paradoxně to spíš ustojí mobilní telefon, než PC.

Jenže to je jen pro Windows (10), takze když mám linux-PC a nemám
patlafon (pardon, smartphone) ani notebook, je mi to celé k ničemu.
Sice jsem na konferenci IT-21.2 dostal jakýsi token, ale s tím to zase neumí
Firefox a pouštět jen kvůli tomu Chrome nebo jinou obludu pokládám za
masochismus.

Tak si vyberete jiný dongle, který na Linuxu supportovaný je. A pokud máte vlastní jádro bez podpory bluetooth, tak to je už jen vaše rozhodnutí. :-)

A Firefox USB tokeny podporuje. Jen možná ne všechny.

To je krásná teorie. Má praxe s bluetooth je, že ho obecně používám na třech počítačích přičemž spárování třeba s telefonem na jednom funguje spolehlivě (notebook Dell), na jednom funguje víceméně (nesériový desktop a podobný dongle na jaký odkazuje předřečník výše) a na jednom víceméně nefunguje protože po chvíli vypadne (notebook Fujitsu).

"Supportované" (omg, snad "podporované", ne?) jsou teoreticky všechny všude.

Tady máte jeden pro Linux. Stojí sice o 90 Kč víc, ale pod Linuxem funguje bezvadně.

Ale ten stojí 351.-Kč. To i na Alze ho mají za 259.-Kč. Jinak díky za informaci že je podporován Linuxem https://www.alza.cz/asus-usb-bt400-d510631.htm

Bluetooth je nejděravější technologie, tak děravá, že třeba OpenBSD už ji úplně odstranila z kernelu.

This is an oft-repeated but completely inaccurate statement, there is no general objection to Bluetooth. The implementation we had in OpenBSD was simply removed because it was unmaintained and had several longstanding design issues that were not easy to fix.

... na operačním systému pro routery to není potřeba, tak tomu nikdo z té hrstky vývojářů nebude dávat svůj čas.

Vy jste asi nikdy nepracoval v korporátu. Usb strčit do pc? Hehe...

Pokud je to korporátní USB token, tak to obvykle funguje; ale běda, kdyby se chtěl člověk ověřit vlastním.

Tohle řešení v podstatě odstřihne od služeb více než půlku Afriky s Jižní Amerikou. Nepředpokládám, že to bude fungovat na feature phones a nutnosti nonstop data připojení ani nemluvě. To zejména ocení lidé cestující mimo EU. Mě třeba mě u GibTelecom stál JEDEN MB dat v roamingu v Maroku 10 Liber. Co je sakra špatně s TOTP.

11. 5. 2022, 07:06 editováno autorem komentáře

Ten telefon nemusí být online, aby to fungovalo. Má v sobě privátní klíč a komunikuje s počítačem pomocí Bluetooth. Když se vám to takhle nelíbí, můžete používat USB token, který je plně offline a umí tuhle autorizaci taky.

Na TOTP je z pohledu Passkey špatně úplně všechno. Je to nepohodlné a uživatelé to nechtějí používat, není to odolné proti phishingu a hlavně to neumožňuje zbavit se hesel.

zbavit hesel se chce tak leda M$ a Google, aby se dostali lidem opět více pod kůži. Passkey je totální zhovadilost protože k tomu potřebuje další HW. Na druhou stranu, vše kde má M$ svůj podíl se časem jen zk**ví...

Zbavit hesel se (bezpecnym zpusobem) chce kazdy, kdo neni moc nadseny z toho, ze se pak hesla vali napsana na listeccich nalepenych kolem monitoru ci pouzivaji jedno heslo vsude... ne, on kazdy neni takovy "geek" a s password-managery se take kazdy nekamaradi (notabene, kdyz ma treba privatni a firemni zarizeni; pak muze byt v dusledku korporatnich politik i problem se synchronizaci)...

Moc jsem to nepochopil. Na jedne strane je ve clanku psane ze "Celé řešení je postaveno multiplatformně, nezáleží tedy na operačním systému telefonu, ale ani prohlížeči či platformě použité třeba na notebooku před uživatelem."

Na druhe strane je porad zminovano bluetooth. Takze pokud je to multiplatformni, tak muzu pouzit 2 linuxove desktopy co si spolu budou povidat pres bluetooth? No nechapu to.

Osobně používám raději hesla, protože poskytuje skutečně anonymní přístup.
Obávám se toho, že zmíněné standardy půjdou směrem ke sběru dalších dat o uživateli a to je pro mě neakceptovatelné.

Doporučuji přečíst si něco o U2F nebo lépe o novějším standardu FIDO2, na kterém je tohle celé postavené. Na Rootu o tom bylo několik článků. Je to vymyšlené právě tak, aby žádná data o uživateli neunikala. Neprobíhá tam přihlašování přes nějakého prostředníka, jako třeba u OAuth nebo OpenID.

Uživatel se přihlašuje pomocí svého privátního klíče, který je ještě před použitím kombinován s částí získanou od služby. Je to celé vymyšlené tak, aby ani jednotlivé služby nemohly rozeznat a sledovat jednoho uživatele, z jejich pohledu se vždy jedná o unikátní přihlášení za použití unikátního veřejného klíče.

Přiznávám, že standard jsem nečetl, ale mám obavu, že pokud to implementují firmy typu google, microsoft, apple a podobně, tak vsadím boty na to, že data sbírat budou. Bude to pojmenované jako bezpečnostní prvky, ale data o uživateli to budou. Minimálně nějaké ID zařízení, telefonní číslo, IP adresy, unikátní klíče certifikátů atd. To všechno spárované do nějakého frameworku jako například google pay atd.

IP adresu má úplne každý server, s ktorým komunikujete... bez IP adresy by totiž nevedel kam poslať odpoveď... takže to v podstate privátna informácia nie je... bežne za deň zistí vašu IP aj niekoľko tisícok serverov... takže snažiť sa neodoslať IP serverom nedáva žiadny zmysel... IP sa vám nikdy už z podstaty že je to základ pre komunikáciu po sieti nepodarí utajiť, nikdy sa vám nepodarí zabrániť zberu IP... ID zariadenia, hmm a čo s tým, vedia rozoznať maximálne či si stejný ako už v minulosti prihlásený používateľ, ale ID zariadenia sa dá meniť (ak používaš hypervisor, tak máš virtuálne ID)... ak sa snažíte utajiť takéto informácie, tak to sa môžete odstrihnúť komplet od Internetu... tie kľúče certifikátov stále nechápete, oni nebudú mať prístup k privátnym kľúčom, len verejným... a tie sú z podstaty ako už názov napovedá, verejné... moc na tom neviem čo chcete utajiť... žiaľ niekto už až tak moc chce byť "anonymný" že keď ide do obchodu tak si každý deň urobí plastickú operáciu, aby ho ľudia nerozoznali... bežne na ulici vás vidí kde kdo a nevadí vám to... trocha myslím že ohľadom utajenosti sú ľudia už trocha posadnutý... a to hovorím ako človek čo si na súkromie silne potrpí a odmieta zber akýchkoľvek dát, ktoré služby nepotrebujú... ale je rozdiel zbierať IP adresy a je rozdiel zbierať dáta ako meno, priezvisko, dátum narodenia, adresa, tel.č., a podobne... btw. k tomu tel.č. nie to zbierať nebude.

jenže realita bude jiná. Pamatujete třeba na nesmysl jménem GDPR? Jak nám mazali med kolem huby. A co se stalo, nic...

Tyhle snahy jsou jen o tom, že soudruzi nahoře nechtějí anonymy na netu, ale chtějí nás donutit používat zhovadilosti jako passkey, bankovní identita a další ko**tiny, jen aby věděli, kdo je na druhé straně.

Tolik nesmyslů v jednom komentáři, jak se vám to povedlo?

Ak ste po nasadeni GDPR direktivy nic nezbadal tak to ste asi slabo pozeral. Zmenilo sa toho dost.

Máte pravdu!
Osobně považuji HW token (ne duplikovatelný faktor) za jedinou cestu tady z toho marasmu ven.
A klidně to pak celé může být pouze 1FA ověřování.
Velké korporáty se tomuto řešení brání a vymýšlí různé, vzletné názvy a standardy.
Důležité je pak, to jak to dopadne v reálu. Bez M$ se nikam ani nepřihlásíte.
Tak jak M$ v minulosti zneužíval své dominantí postavení, teď to umí dělat chyře, za chválospěvu laických uživatelů.

Hledat mobil při každém přihlašování mi nepřijde moc pohodlné.
Už teď mi tečou nervy, když se potřebuju někam přihlásit a kvůli 2FA mi to nejde. Někdy to jde přes mail kam se bez mobilu dostanu, ale třeba do banky je to někdy hroznej oser.
Aspoň jsem přišel na to, jak se dostat do KB i bez mobilu a ověřovací SMS - stačí cca 10x zadat špatný kód ze SMS (přes TOR browser, v běžném browseru co použivám jsem to schválně zadal špatně snad 30x a nic), pak ta jejich "appka" zahlásí, že tenhle způsob přihlašování mi zablokovali, a přitom při tom následujícím pokusu se do banky přihlásím i bez SMS kódu :)

Ale preto bot vymysleny tento sposob kedy vam vybehne na mobile nejake okno a vy stlacite OK. To je vsetko.

Tedy platí: musím najít mobil a přihlásit se na něm, abych mohl odmáčknout přihlášení do aplikace/počítače.

No dnešné 2FA je fakt hrôza... skúšal som sa prihlásiť na PayPal a bolo tam možnosť len SMS alebo volania... SMS samozrejme nechodila asi 10 minút, dovolať sa nešlo (bývam v okresnom meste takže tu mám max 2G s minimálnym signálom ktorý vypadáva, áno realita na Slovensku), a tak som sa nemohol prihlásiť.

Tie 2FA sú často práve že to znemožňuje prihlásiť sa legitímnym používateľom ale proti hackerom to skoro nechráni (SMS sa dá uniesť veľmi jednoducho ako už bolo aj v článku spomenuté)

Takže celé 2FA mi príde na hlavu, a najmä ako to vnucujú...

na druhú stranu ak to riešenie skutočne prejde do stavu že sa bude možné prihlásiť bez potreby opisovať čísla ako kokot, alebo čakať na SMS, hovor, či mail čo nemusí prísť alebo že by bolo potrebné pripojenie k Internetu, tak si myslím že by to mohlo byť fajn... hlavne nech je to offline a pohodlné...

btw. HW mení človek zriedka (mobil má človek zvyčajne aj rok stejný, počítač tiež, a to hovorím ešte o tých čo to menia ako ponožky, bežne aj 5 rokov stejný PC), tak v takej situácii overenie len na základe zariadenia (resp. nejakého kľúča uloženého v ňom) mi príde ako veľmi rozumný nápad.

Osobne jediné faktory authentifikácie ktoré považujem za rozumné a bezpečné sú heslo + nejaký FIDO key (alebo resp. unikátny token)...

som silne proti authentifikáciám pomocou kódov z SMS, mailu, a pod. alebo pomocou biometrických údajov ako otisk prsta či sken obličeje.

Celé Keypass znie ako veľmi dobrá vec, uvidíme ale aká bude realita... no dúfam že sa to podarí. Stále ale považujem Heslá ako jeden z tých najlepších faktorov autentifikácie, spolu s týmito jednorázovými tokenmi...

Používání sms je takové poor man's choice, vzniklé ještě v době, kdy smartphony nebyly. A zvládne to použít i člověk, co si s technikou nerozumí a v záplavě aplikací a možností smartphone se ztrácí. Pro většinu uživatelů i ta SMS dělá svou práci. Unést číslo není možná zas tak obtížné, ale už je to záležitost nějakého cíleného útoku, ne automatizovaného zkoušení uniklých údajů. Nicméně, je to doplněk k heslu, ne jeho náhrada, a k ideálu má rozhodně daleko.

Co se hesel samotných týče - tam je tolik příležitostí udělat něco blbě... Nejen technicky, ale i procesně, a jak na straně služby, tak u uživatele. Vynucené časté změny hesel, co vedou k "yellow sticky paper of doom," stejné heslo všude, plaintext v databázi, ... Že pro běžné použití na webu je možná fakt lepší se jich obecně zbavit, a nechat je jen pro vysoce zabezpečené systémy nebo specifické případy (např. administrace soho wifi routeru).

No jo, ale keď to SMS na bezpečnosti pridáva len "špetku", ale user experience zhoršuje o tonu, tak nie čo nie je v poriadku.... to je ako keby som teraz kvôli zabezpečeniu domu zamuroval dvere a chodil dnu rozbitým oknom... to je tá bezpečnosť, ktorú chceme? Keď už legitímny používateľ musí do svojho domu ísť komínom, tak to nie je v poriadku... však sme bežný ľudia, nie Ježíško....

Heslá sú hneď po jednorázových tokenoch jeden z najlepších foriem autentifikácie... problém sú akurát ľudia, ktorý heslá používajú nesprávne... Ale ak sú použité správne, som si istý že do účtu je nabúrať sa ťažšie než trebárs zabezpečenie na základe odtlačku prstu, skenu tváre, a pod.

Nezkoumal jsem detaily, ale muze se ten nosic tokenu (mobil), zaroven prihlasit sam sebe do te sluzby? Jakoze jsem na mobilu a chci se podivat do internetoveho bankovnictvi.

Pokud ano, nepada tim prave ta jedna polovina zabezpeceni, ze "neco mam"?

Z meho podledu veskery benefit 2FA je prave v tom, ze mam 2 oddelena zarizeni. Jakmile mam oba faktory na jednom zarizeni, tak jsem podle me zpet na urovni hesla.

Offtopic: A z toho duvodu me jeste zadna banka neutahla na jejich mobilni aplikaci. SMS muze byt nebezpecna, ale pokud neprijde driv, nez nekdo zada do IB kombinaci jmeno/heslo, kterou ten mobil nikdy nevidel, tak je podle furt bezpecnejsi, nez vsechny mobilni aplikace dohromady.

Ano, na mobilu je možné se tím tokenem přihlásit a funguje to tak už teď. Android je certifikovaný na L1, takže se s ním přihlásíte třeba i ke službám státu. Mám to tak a používám to.

Potíž je ale v tom, že neexistuje způsob, jak ten token v mobilu využít na vedlejším zařízení – chybí právě nějaký standard pro použití Bluetooth nebo kabelu pro komunikaci třeba s počítačem. Což je vlastně hlavní inovace Passkey, to ostatní už dávno existuje. Google to třeba pro přihlášení umí použít, ale používá na to vlastní protokol, který nefunguje s jinými službami. Proto je fajn, že FIDO vyvíjí otevřený standard pro všechny.

Úplně stejně se dá použít třeba Windows Hello nebo jiné rozhraní v operačním systému. Ten systém je pak autorizován, aby vás hlásil k dalším službám. Je to vlastně nakonec stejné jako třeba SSH klíče – taky máte privátní klíč v počítači a hlásíte se s ním ke službám.

Tak to ma ale porad stejny problem, jako soucasne metody. Typicky ten priklad s SSH a certifikatem. Jakmile se nekdo dostane k memu pocitaci/certi­fikatu, tak je v podstate burt, jestli mam na SSH heslo "Password1" nebo mam pro pristup k privatnimu klici heslo "Password1" a ten pak pouziju na SSH.

Budu velmi vdecny, pokud mi nekdo predchozi odstavec vyvrati. Je to neco, co se snazim uz dost dlouho pochopit, ale bud je to presne tak, jak pisu, nebo mi neco unika.

S touhle novou aplikaci v mobilu, jakmile ma nekdo pristup k tomu mobilu, tak potrebuje uz je to "heslo". Bezpecnejsi je to mozna jen o to, ze nedovoli uzivatel pouzit heslo, ale donuti je se nejak oskenovat (palec, oko,...).

Uzitecne mi to prijde bez toho mobilu. Pokud nekdo zacne vyrabet jednoucelovou klicenku velikosti max klice od auta, ktera krome bluetooth a nejakyho sifrovaciho cipu nic nema a na jednu baterku pobezi 5 let, tak si dovedu predstavit, ze bych to pouzival.

Takové klíčenky samozřejmě existují, vyrábí je třeba Yubico pod názvem Yubikey. Existují i varianty s Bluetooth, ty zase dělá Feitian. Tohle je běžná věc, která existuje mnoho let a dá se použít teď hned. Sám jich tu několik mám a používám je.

Ani tyhle klíčenky ale neřeší vámi zmíněný problém „když je někdo má, přihlásí se za mě“. Tohle v praxi není problém a zřejmě se vám běžně nestává, že by vám někdo ukradl mobil a vyndal peníze z banky. Neznám nikoho, komu by se to stalo a ani podobný případ z médií.

Většina útoků probíhá na dálku, kdy unikne heslo z jedné služby a útočník se přihlásí na druhou službu. Nebo je to heslo tak slabé, že se dá prostě uhádnout a útočník se přihlásí přímo. Tohle je současný hlavní a skutečný problém, který se tím dobře implementovaným druhým faktorem dobře řeší. Proto to taky nasazují povinně banky a egovernment.

Ano, prosim takto: https://www.ftsafe.com/Products/Power_Card/Fingerprint

Pokud se nekdo dostane k memu telefonu/pc, muzu byt v klidu, pokud nema taky tu kartu. Pokud ji ma, bojim se jen trochu, protoze je chranena tim otiskem. Zaroven vyhoda je, ze ten otisk je jen v te karte.

Muj (pravdepodobne prilis paranoidni) scenar s jednim zarizenim je, ze si stahnu nejakou aplikaci, ktera si pomoci systemovych chyb/sdileni dat mezi aplikacema zahraje na MITM. Tzn vylaka ze me pod nejakou zaminkou otisk/heslo a pak uz si dela, co chce s mym uctem.

Pokud mam dve zarizeni, tak uz musi jit o vylozene cileny utok na moji osobu. Tzn nekdo se potrebuje dostat do meho PC + do meho mobilu.

Jestli se nepeltu tak Feitian ani Yubikey nemaji klice pro FIDO2 L2 a tohle reseni by melo byt podle vseho neco na takoveto urovni. Celkove sehant neco s FIDO2 L2 co ma NFC nebo aspon bluetooth je dost problem.

To ze vetsina utoku je dnes na dalku nemusi znamenat ze po masivnim nasazeni Passkey se nevratime ke staremu dobremu kapsarstvi. Utocnici preci provadeji utoky tak jak je to pro ne nejvyhodnejsi, a vyvijise.

cílené útoky na konkrétní osobu se dějí a jsou také nebezpečné, mělo by se na to myslet, tj. pořád je vhodné mít nějaké krátké piny, "otisky" či jiné věci, které nejsou zapsané/fyzické a má je dotyčné pouze u sebe a nelze je snadno odcizit.

Naprosto bezpečný systém nejde prakticky udělat. Nedal by se používat. Celá bezpečnost je tak nakonec o snaze balancovat překážky pro útočníky a uživatelskou přívětivost.

Většina lidí se nepotká s tím, že by jim někdo na dálku napadl zařízení a vytahoval z toho data bez jejich vědomí. Mnohem pravděpodobnější je zneužití uniknutého či uhodnutelného hesla, nebo phishing. Takže proč heslo nenahradit jiným tokenem, jehož uniknutí je mnohem obtížnější a omezenější (je třeba napadnout konkrétního uživatele a z něj dostatnete jen jeho přístupy, namísto db dumpu všech uživatelů) a který ztěžuje (nikoliv znemožňuje) phishing.

U toho SSH není až takové riziko, že někdo ovládne ten váš stroj, ale že se bruteforcem dostane na ten vzdálený server. Na SSH certifikát se můžete dívat jako na způsob, jak z "Password1" udělat řádově silnější a delší heslo (které navíc klidně zadáte jen jednou po startu a nemusíte to dělat pro každé přihlášení, když si nastavíte ssh-agent).

Bluetooth je další bezpečnostní díra (vypínám v biosu) a představa, že na trase autorizace je Android mě v noci budí ze sna. Snad to půjde i "nějak normálněji"...

Vcelku by mě zajímalo, zda si někdo uvědomuje, že tohle celkem slušně rozbije VDI (Virtual Desktop Infrastructure). Už se těším na taková zvěrstva jako BluetoothOverIP. Stoprocentně to zabiji řešení jako Apache Guacamole, remote desktop access pres web, apod. Tady vidim velký špatný.

Proč by je to mělo rozbít? Akorát to řešení bude muset umět přenést i ten autentizační protokol.

Třeba proto, že se můžete hlásit právě z toho zařízení, na kterém máte aplikaci - pokud pominu fakt, že pak už nejde o dodatečné ověření, zbývá vyřešit, jak si to samo sobě z BT na BT pošle ten kód. (To vše nádavkem k tomu, že to ta aplikace bude muset umět přenést.)
A třešnička na dortu: používáme Virtual Desktop za VPN, z virtuálního stroje - připojit skrz to integrovaný BT je nereálné, občas - když bezpečáci dovolí a elementálové budou nakloněni - by mohlo fungovat z USB.
Netvrdím, že to je neřešitelné, ale poněkud technicky komplikované. Je otázkou, zda na takové případy budou autoři připraveni.

11. 5. 2022, 14:54 editováno autorem komentáře

Máte zařízení s aplikací, která vyžaduje přihlášení pomocí Passkey. K tomu máte konektory poskytující Passkey – standardní bude přes Bluetooth, ale aplikace pro vzdálenou plochu poskytne svůj vlastní konektor a protokol protuneluje skrz síť stejně, jako tuneluje obraz, zvuk, pohyby myší apod. No a na druhém konci sedí uživatel, tam se ta aplikace napojí opět na dostupné konektory – ať už to bude standardní bluetooth nebo třeba USB token se čtečkou otisků prstu.

A teď v čem je ten problém?

Když pominu tu čtečku otisků prstu... Problém máme (u nás) hlavně v připojování USB zařízení do té virtuálky, respektive v předávání dál. Z bezpečnostních důvodů totiž není dovoleno k firemním zařízením (a to ta virtuálka je!) připojovat USB ani BT zařízení. Proto se pro všechny kroky (po standardním přihlášení k té virtuálce, tedy jménem + heslem) konají pomocí TOTP ověřování, ručním opisováním kódů.
Pokud by se někdo do tohoto proprietálního closed-source firemního řešení pokusil vstoupit s něčím jednodušším, setká se, zcela pochopitelně, s neúspěchem.
Hlavní princip navíc spočívá v tom, že se potvrzuje každý krok, tedy VPN + tunel k virtuálkám (ano, tunel v tunelu, trochu overkill, ale má to svůj důvod...), přihlášení k VDI - a pak přihlášení na tu stanici jménem + heslem.

Mě to příjde úplně děsivé. Za pohodlí obětujeme úplně všechno. Proč bych měl svůj otisk prstu někomu dávat? Jsem snad zločinec?

A pak 2f authorization vzniklo jako pokus ty věci ODDĚLIT. Takže pokud nám stačí jeden token ke všemu, tak je to fakt popření všeho, k čemu jsme zatím došli.

Další věc Proč by se mělo všechno dělat přes "chytré" mobily? Je to samá bezpečnostní díra, do čínských může čínská vláda, cokoli od googlu je přístupné pro americkou vládu a MAC ani neskrývá, že iphony sledují uživatele a oni mají klíč k zařízení. Já ho například nemám, a dokonce znám hromadu lidí, co ho nepoužívají kromě práce právě z bezpečnostních důvodů, a není mezi nimi jen moje babička.

Tohle fakt není rozumná cesta, je to spíš cesta do totality a unifikace. Jeden token vládne všem, a když nebudeš poslouchat, tak ti ho vypneme.....

Neviem preco, ale jednoducho mi toto nepride bezpecnejsie ako dobre silne heslo. Ano, je to otravne, ale to je tak vsetko. Pripomina mi to situaciu s mobilnymi telefonmi a kamerami na nich. Prve mali hardwarove tlacidlo na vypinanie, a bolo dobre. Potom ale prisla paradna technologicka inovacia, ze zapinanie bude softwarove s tym, ze ked sa niekto opytal na bezpecnost, odpoved bola nebojte, to sa nemoze stat, mame to zabezpecene a urcite sa vam kamera len tak zapinat nebude. A hla. V tejto dobe dokaze z kamery bez suhlasu nahravat akykolvek javascript stiahnuty prave z webu :D Davat tokeny a podobne veci do mobilu mi pride doslova nebezpecne. Trpnem vzdy, ked v tom otvaram internet banking, nie to este aby som sa cez to prihlasoval do aplikacii.

Me osobne treba smartphone prijde jako bezpecnostni dira. Zdrojovy kod nemam (android je sice opensource, ale co ja vim jestli to same bezi na mem mobilu). Root prava nemam. Proc bych mel vubec takovemu pristroji verit a pouzivat ho jako soucast autentizacniho procesu?
A pokud je moznost Passkey pouzivat bez mobilu, pak jsem z clanku nepochopil zda a jak vlastne.
Mozna by se hodil clanek, kde je to vsechno ukazane. Vcetne toho jak to pouzit bez smartphonu a bluetooth. Ma to byt prece nezavisle na hardwaru, ne?

Ziadny stress, toto dopadne podobne ako IPv6... 10 rokov po tom nestekne ani pes a aj potom na to vacsina bude kaslat...

Poněkud se obávám okamžiku, kdy banka přijde a řene, že se bez bluetooth nepřihlásím k bankovnictví. Sci-fi? Vzpomeňme na potvrzování přihlášení přes SMS. Přitom jen já znám několik lidí, co smartphone nepoužívají (a to mi fakt není osmdesát, i do padesátky ještě velice daleko).

Smartphony se rozšířily samy, měly jiné výhody, ale fakt se těším, až budu řešit bluetooth pro desktopy, zvlášť starší. Ne, není to přece problém, koupit dongle, ale je to další zbytečná věc, jejiž funkcionalitu je třeba řešit, navíc na úrovní operačního systému (už dlouho jsme neřešili funkčnost bankovnictví v linuxu) a navíc často na počítačích uživatelů, kteří o dané věci netuší vůbec nic.

Snad k tomu nedojde a bude to navždy dobrovolné.

Pro potvrzení přihlášení přes SMS nepotřebujete smartphone, SMS umí přijímat i ty nejhloupější mobily. Vy jste ale možná myslel potvrzování přes aplikaci ve smartphonu – na což se přecházelo proto, že SMS nejsou bezpečné.

A pořád zůstává možnost jít na kamennou pobočku banky.

Jestli se "na roota" budu přihlašovat jak do banky, tak mi obávám se brzy dojde trpělivost. Hesla nejsou ideální, ale "per se" je heslo naprosto decentralizované a stupidně jednoduché. Nic nepotřebuju navíc, ergo se nemá co pokazit. Už se těším, až mi odejde mobil a já si budu muset kupovat bezdrátový převodník, aby si mohl starý počítač povídat s novým mobilem.

Kolikrát si říkám, že Charles Babbage udělal chybu, když nakreslil svůj analytický stroj...

Takže kvůli 1-2% tydýtů, kteří kašlou na bezpečnost a kteří se chovají hloupě se má přejít na nový standard? Stejně tak tento standard pak přes sociální inženýring nebo technickou perličku(způsobená uživatelsky přívětivým postupem) půjde obejít.

Radši kdyby se pořádně věnovaly tomu čemu mají a nedělaly ve svých produktech chyby.

Kdyby to opravdu bylo "1-2%", nikdo by si s tím tu práci nedával.

A muzete prosim uvest zdroj tech k tem Vasim 1-2%...? :-) Ze tydytu je <2% mate urcite podlozene nejakym verohodnym zdrojem.

ve vasi socialni bubline bych chtel zit. Se bojim, ze to cislo bude presne obracene. Uz jen z toho, kolik lidi pouziva password manager.

V článku nevidím, v čem je to lepší než 2FA, případně to co dělá banka.
A bluetooth mi připadá jako redflag. Však už nejsou devadesátky, ne?

mám obavu, že to nezabrání podvodům při investicích do kryptoměn, u kterých škody dosahují statisíců u převážně hamižných seniorů (ale i mladších "investorů").

V těchto případech si poškozený dobrovolně nainstaluje vzdálený přístup AnyDesk a finanční operace za něj provádí, na jeho počítači a s jeho asistencí, pachatel na dálku.

Tam ale asi nepomůže ani svěcená voda.

Ale jo - stačí do ní ten přístroj ponořit a garantuji, že veškeré ďábelské vzdálené přístupy ustanou!

Jak3 jsou bezpecnostni aspekty? Nemuze to znamenat ze se vic šluzeb dozvi ze franta123 a frnta222 je jedna osoba? Ve svete hesel hesla(hashe se soli) ma nezavisle kazda sluzba

Otazk a na autora: co myslel "přejít od jednoho poskytovatele a " tim poskytovatelem?