Продолжаем следить за развитием FIDO. Предыдущая статья тут .
Все имеющиеся данные указывают на то, что безопасность системы, основанная на вводе паролей, больше не надежна.
Мозг человека может запомнить многое, но все же память способна достичь предела из-за необходимости запоминать огромное число логинов и паролей. Мы вынуждены использовать их везде – начиная от доступа к электронной почте и заканчивая оплатой счета за отопление.
Попытка пользователей запомнить все пароли и логины лишь усугубляет ситуацию и создает бреши в безопасности. Эксперты по вопросам кибербезопасности выступают против двух широко используемых методов – хранения в компьютере «основного списка» всех логинов и паролей и использования одного и того же пароля для входа на разные аккаунты. Проблема заключается в том, что стоит скомпрометировать один файл или пароль, то угроза будет распространяться со скоростью лесного пожара.
Этим объясняется тенденция перехода от использования паролей к модели безопасности с применением аутентификации. Вместо того, чтобы полагаться на память пользователя, такая модель основывается на идентификации личности пользователя. Определение используемого устройства и биометрические данные (например, программное обеспечение для снятия отпечатков пальцев) являются двумя главными достижениями, содействующими отказу от применения паролей.
Проблема, однако, заключается в том, что организации традиционно применяли аутентификацию, характерную для специфики их отрасли. Но теперь Альянс FIDO разработал набор стандартов, дающий возможность всем участникам иметь единую методологию для безопасной аутентификации пользователей в различных отраслях промышленности.
Создание организации, которая будет устанавливать стандарты, даст возможность разработать лучшие варианты аутентификации в интересах всех организаций и создать единый фронт, нацеленный против потенциального компромисса и нарушений.
Если заглянуть вперед, то становится ясно, что Альянс FIDO будет ключевой фигурой в нацеливании отрасли на отказ от применения паролей. В то же время, производители и корпорации смогут действовать независимо от Альянса FIDO, избавляясь от излишней зависимости от паролей и заменяя ее биометрическим подходом.
Второй стороной-инициатором подобного перехода будут потребители. Клиенты явно разочарованы статус-кво и будут требовать использования предпочтительной для них системы аутентификации, будь то отпечатки пальцев, голос, сетчатка глаза или даже селфи.
Прогресс в этой сфере, однако, не произойдет в одночасье. Если смотреть на отрасль в целом, то полный отказ от использования паролей может занять годы. Тем не менее, принятие клиентами биометрической аутентификации идет довольно быстрыми темпами. Как только пользователь один раз попробовал использовать отпечатки пальцев для входа в систему, он больше никогда не захочет вернуться к использованию пароля. Такой метод аутентификации является довольно быстрым, при этом не напрягающим человеческую память.
Ожидается, что будут и некоторые скептически настроенные клиенты, которые опасаются, что и биометрические параметры однажды подвергнуться компромиссу. Однако этот риск весьма невелик в тех случаях, когда примеряется FIDO (или аналогичная) инфраструктура. В системе FIDO биометрический идентификатор никогда не покидает устройство, т.е. никогда не хранится в таком месте, которое может быть скомпрометировано.
Некоторые интернет-магазины, такие как Amazon, уже внедрили использование биометрических данных в функционал совершения покупок. Ожидается, что легкость использования подобной функции приведет к усилению давления со стороны клиентов на розничных продавцов, финансовые учреждения и другие задействованные в транзакциях организации с целью получения аналогичных услуг.
По мере того, как все больше производителей встраивают аутентификаторы в устройства или операционные системы, становится проще взаимодействовать с данными методами аутентификации, особенно если устройство совместимо с системой FIDO или на нем уже установлена архитектура FIDO. Это упрощает создание своего собственного метода аутентификации.
Тем не менее, Альянс FIDO сталкивается и с некоторыми препятствиями. Как и во многих других случаях, все зависит от применения и динамики. Так, например, компания Apple до сих пор не вступила в Альянс, что серьезно ограничивает рынок распространения стандартов FIDO. Кроме того, произошли некоторые задержки в завершении работы над спецификацией FIDO 2.0, в результате чего некоторые корпорации пребывают в недоумении, должны ли они устанавливать соответствие стандарту 1.0 или же ожидать выпуска нового стандарта. Некоторые корпорации могут даже выбрать свой собственный путь и использовать встроенные биометрические аутентификаторы, не следуя стандартам FIDO.
Хотя корпорации и выступают в поддержку биометрической аутентификации, для построения соответствующей системы безопасности необходимо принимать во внимание и имеющийся бюджет.
Тем не менее, польза биометрической аутентификации как для клиентов, так и для организаций серьезно перевешивают затраты на ее интеграцию. В действительности, девиз FIDO «более простая и более надежная аутентификация» является актуальным и направляет нас в эпоху, когда нам не придется больше запоминать сотни различных паролей. Подобные перемены принесут пользу всем заинтересованным сторонам.
Can biometrics and the FIDO Alliance save us from password overload?
