Apple, Google i Microsoft “ubijaju” lozinke
Sistem za kreiranje lozinki potiče iz vremena pre interneta, a smislio ih je Fernando Corbato još šezdesetih godina prošlog veka. On je u to vreme razvio Compatible Time-Sharing System (CTSS), koji je korisnicima omogućavao da dele neki računar i istovremeno štite svoje privatne fajlove.
Corbato je kasnije i sam priznao da su lozinke postale problematične, te istakao da je taj sistem napravljen za neko prošlo vreme – doba pre interneta. Tako lozinke nisu napravljene da se koriste u okviru mreže, što znači da je neophodno da se načini za čuvanje privatnosti promene što pre. I sam tvorac lozinki poziva na njihovo ukidanje, budući da skoro nijedno ljudsko biće ne može da upamti sve lozinke koje koristi. Zbog toga se pribegava upotrebi istih passworda, ili pak nekom programu za upravljanje lozinkama, što je već samo po sebi bezbednosni propust.
Microsoft, Google, Apple i drugi giganti već neko vreme rade na sistemima autentifikacije bez lozinki, a u okviru Fast Identity Online (FIDO) alijanse. Tako je još početkom 2018. najavljeno da bi internet pretraživači uskoro mogli da omoguće drugačiji način za logovanje, a preko novog standarda WebAuthn, koji se još tada našao u novoj verziji Firefoxa, a kasnije i drugih pregledača.
Početkom maja, budući da je prvi četvrtak u ovom mesecu označen kao Svetski dan lozinki, Microsoft, Google i Apple su još jednom podsetili na svoje udružene napore da lozinke ukinu jednom za svagda, te na FIDO standard. To znači da bi korisnici uskoro mogli da se oslobode lozinki, te krenu prema sigurnijim login metodama, koje bi uključivale biometrijske parametre i USB tokene. Opcija se već koristi na platformama kao što su Google i Facebook, gde korisnici pored tradicionalnog načina logovanja na svoje profile mogu da koriste i Yubikey token koji je kreiran prema FIDO standardu.
FIDO standard se zasniva na “dokazu nultog znanja” (zero-knowledge proof), koji u kriptografiji predstavlja metodu zahvaljujući kojoj jedna strana može da dokaže drugoj da zna neku vrednost X, a da ne pruža dodatne informacije, sem činjenice da joj je poznata pomenuta vrednost X. Budući da u okviru te metode ne postoji niz slova i brojeva, koji nazivamo lozinkom, već se nalogu pristupa samo preko „dokaza nultog znanja,“ konvencionalni phishing, te drugi napadi, biće praktično nemogući. Ovakav način logovanja se dugo izbegavao, čak i na servisima na kojima je dostupan, ali je sigurno da pruža pouzdan način za osiguravanje privatnih i poslovnih naloga.
U novom blog postu kompanije Google stoji da bi Apple, Google i Microsoft FIDO mogli da usvoje već do kraja 2023. godine, pa bi lozinke uskoro zaista mogle da postanu stvar prošlosti.
Izvor: Ars Technica
