Google vs. hasła. Czy przyjdzie nam pożegnać się z ●●●●●●●● ?

Jakiś czas temu pisałem o największych zmorach współczesnego internetu. Jednym z wymienionych upiorów był sposób uwierzytelniania polegający na podaniu hasła. Złamanie tego rodzaju zabezpieczenia okazuje się być w dużej części przypadków prostsze niż trudniejsze, a nasz finezja w wymyślaniu ciągów znaków sprowadza się do "12345". Google postanowił temu zaradzić sprzętowo.

Google przygotowuje się do opublikowania opracowania naukowego, które ma opisać nowy sposób uwierzytelniania w usługach giganta. Tekst ukaże się w IEEE Security & Privacy Magazine i będzie traktował między innymi o nowoczesnych formach korzystania ze sprzętowego tokena (czym jest ów token wyjaśnię za chwilę) w możliwie szybkiej i wygodnej postaci.

Powodem stworzenia takiego opracowania jest wszechobecne przekonanie, że hasło przegrywa z brutalną cyfrową rzeczywistością. Wystarczy poznać jeden ciąg znaków, czasami banalnie prosty, by uzyskać dostęp do wszystkich informacji ofiary. I nie chodzi tu tylko o skrzynkę e-mail, ale także o telefon, tablet, laptop, chmurę, konto bankowe - wszystko to kryje się najczęściej za pojedynczą, cienką linią obrony jaką jest hasło.

Token w powszechnym rozumieniu jest małym urządzeniem z ekranem, które generuje jednorazowy kod dostępu do usługi. Ale to nie jedyne znaczenie tego słowa. Może to być także specjalny pendrive z programem kryptograficznym, którego wpięcie do portu USB powoduje automatyczne zalogowanie do programu/usługi. Przedmiotem zainteresowania Google jest token firmy Yubico. Po umieszczeniu pendrive'a Yubico w porcie USB następuje zalogowanie do usług Google - bez wpisywania hasła. Chrome już został przystosowany do nowej metody i wykrywa urządzenie zaraz po jego podpięciu. Potencjalną ścieżką rozwojową jest zawarcie w urządzeniu wszystkich wykorzystywanych usług, nie tylko dostępu do konta Google. Token zmieniłby formę np. na obrączkę, którą dotykalibyśmy komputera w celu uwierzytelnienia. Podobnie sytuacja wyglądałaby ze smartfonem, który za pomocą technologii NFC mógłby stać się takim tokenem.

Cieżko przewidzieć, kiedy usługa się upowszechni. Choć sprzęt i protokół zabezpieczeń są już gotowe, to Google będzie musiał poczekać na innych usługodawców, by mogli nadążyć za zmianami. Tymczasem dość dobrze sprawdza się system podwójnej autoryzacji do usług Google. Polega on na wpisaniu kodu, który otrzymamy na telefon podczas logowania się z nieznanego komputera. Tylko znowu... tracimy na to cenny czas! Poniżej możecie obejrzeć, jak dokładnie wygląda pendrive Yubico, także w wersji nano.