Lozinka je dugo vremena bila osnovna linija odbrane za naše različite naloge, ali ako se osvrnemo, koliko su zapravo lozinke sigurne?
Naše lozinke su često kombinacija imena kućnih ljubimaca, važnih datuma, ključnih događaja, imena i slično, sve informacije koje se mogu prikupiti sa naših profila na društvenim mrežama.
Pored toga, potreba za velikim brojem lozinki za različite naloge, kako bismo izbegli kompromitovanje u slučaju curenja informacija, dodatno je otežala upravljanje lozinkama.
Izvor slike: blog.google
„Početak kraja lozinki“ – tako je naslovljen Google blog post. Već neko vreme se vode razgovori i ulažu napori da se postepeno ukine era lozinki, a vodeće kompanije kao što su Google, Apple i Microsoft predvode ovaj proces napuštanja ove dugogodišnje tehnologije i prelaska na pristupne ključeve.
U ovom članku ćemo razmotriti šta su pristupni ključevi, zašto su bolji i dati detaljan vodič o tome kako postaviti pristupni ključ na vašem Google nalogu.
Šta su pristupni ključevi?
Pristupni ključevi su novi, sigurniji i bolji način za autentifikaciju korisnika od tradicionalnih lozinki. Oni eliminišu potrebu za lozinkama i korisničkim imenima, zamenjujući stari metod autentifikacije, koji je podložan hakerskim napadima, fišingu i curenju podataka, bezbednijim rešenjem.
Za razliku od široko korišćenog sistema lozinki, pristupni ključevi ne zahtevaju pamćenje lozinke jer su bez lozinke. Umesto toga, pristupni ključevi koriste PIN kod, šablon ili biometrijske senzore kao što su otisak prsta ili prepoznavanje lica za verifikaciju vašeg identiteta pre nego što vam se odobri pristup nalogu. Zbog toga, za korišćenje pristupnih ključeva, korisnici moraju imati uređaje koji podržavaju ovu tehnologiju.
Uprkos savetima stručnjaka za bezbednost o korišćenju jakih i jedinstvenih lozinki za svaki nalog, mnogi korisnici i dalje koriste slabe lozinke ili istu lozinku na više platformi, što dodatno povećava ranjivosti povezane sa sistemom lozinki.
Razvoj pristupnih ključeva inicirali su World Wide Web Consortium (W3C) i FIDO Alliance, udruženje koje je predvodilo napore da se smanji oslanjanje na lozinke.
Upotreba pristupnih ključeva je razvijena kao odgovor na bezbednosne propuste u postojećoj tehnologiji lozinki. Zbog ovih nedostataka, svedoci smo masovnog prihvatanja dvofaktorske autentifikacije, koja predstavlja dodatni nivo sigurnosti i identifikacije pre nego što korisnik dobije pristup nalogu, kao i široke upotrebe menadžera lozinki za pomoć korisnicima da prate brojne lozinke koje imaju za različite naloge.
Kako funkcionišu pristupni ključevi?
Pristupni ključevi koriste WebAuthn API za autentifikaciju zasnovanu na vebu. Web autentifikacija koristi javni i privatni ključ, poznat kao kriptografija javnog ključa, kako bi se osiguralo da je korisnik pravi vlasnik naloga.
Za razliku od tradicionalnih lozinki, svako ko ima vašu lozinku može se prijaviti i pristupiti vašem nalogu sa bilo kog mesta. Pristupni ključevi koriste stroge mehanizme kako bi potvrdili vaš identitet.
Pristupni ključ se sastoji od dva ključa: javnog i privatnog. Oba su neophodna jer zajedno rade kao slagalica za otključavanje i verifikaciju identiteta korisnika. Javni ključ se može čuvati na bilo kojoj veb lokaciji ili aplikaciji za koju kreirate pristupni ključ, dok se privatni ključ, kao što i ime sugeriše, čuva na sigurnom i može mu se pristupiti samo sa uređaja korišćenog pri kreiranju pristupnog ključa.
Privatni ključ nije dostupan i ne čuva se ni na jednoj platformi u oblaku, što otežava hakovanje i čini pristupne ključeve sigurnijim. Da pojednostavimo, zamislite da želite da se prijavite na svoj Google nalog pomoću pristupnog ključa.
Zapamtite, vaš pristupni ključ se sastoji od dva ključa. Google šalje šifrovan izazov vašem uređaju; imajte na umu da Google sada ima vaš javni ključ.
Kada vaš uređaj primi šifrovani izazov, od vas će biti zatraženo da otključate telefon pomoću PIN-a, šablona ili prepoznavanja lica, koji zatim potpisuje izazov vašim privatnim ključem i šalje ga nazad Google-u.
Google zatim verifikuje taj izazov koristeći kopiju javnog ključa. Ako se oba ključa podudaraju, šifrovani izazov se dešifruje i Google potvrđuje da ste to vi. Ako pažljivo razmislite, pristupni ključ funkcioniše slično kao 2FA, ali na bolji način.
Zašto su pristupni ključevi bolji?
Bolji i jači od lozinki
Pristupni ključevi koriste kriptografiju javnog ključa, sigurniji metod za autentifikaciju korisnika. Oni su otporniji na fišing i druge oblike napada u poređenju sa autentifikacijom zasnovanom na lozinkama. Vaš privatni ključ nikada se ne deli u oblaku, što osigurava da samo vi imate pristup svom nalogu.
Praktični
Za razliku od lozinki, koje zahtevaju da ih uvek pamtite, sa velikim i malim slovima, sa pristupnim ključevima se možete osloniti na biometrijski senzor da potvrdite svoj identitet, koji upravlja slanjem i autentifikacijom vašeg identiteta, i omogućava vam da konačno zaboravite na brigu o lozinkama.
Nula mogućnosti proboja
Iako vam je potreban i javni i privatni ključ za verifikaciju identiteta i s obzirom da se vaš javni ključ javno čuva u oblaku veb lokacije, u slučaju proboja, javni ključ se ne može promeniti da bi se dobio pristup vašem privatnom ključu, čineći vaš nalog i dalje neranjivim.
Poboljšano korisničko iskustvo
Kao što je navedeno, pristupni ključevi pomažu da se eliminiše potreba za pamćenjem svih vaših lozinki i uklanja rizik od zaboravljanja lozinki i gubljenja pristupa nalogu, čineći proces autentifikacije jednostavnijim i besprekornijim za korisnika.
Postavljanje pristupnog ključa na vašem Google nalogu
Google je najavio uvođenje pristupnih ključeva tokom Svetskog dana lozinki 2022. Trenutno korisnici imaju mogućnost da aktiviraju pristupne ključeve koji će zameniti autentifikaciju zasnovanu na lozinkama. U ovom delu ćemo proći kroz korake za aktivaciju pristupnog ključa na vašem postojećem Google nalogu.
Sada je vaš pristupni ključ aktiviran i više ne koristite lozinku.
Aktiviranje pristupnog ključa na mobilnom uređaju (Android)
Da li je lozinka mrtva?
U ovom trenutku, prihvatanje ove nove tehnologije, kao i bilo koje druge, će potrajati. Stoga, za sada, možemo očekivati da će lozinke i dalje biti široko korišćene, ali kako sve više kompanija prihvata trend bez lozinki i korišćenja pristupnih ključeva, lozinke bi na kraju mogle biti ukinute.
Zaključak
Pristupni ključevi su dobrodošla tehnologija. Javni ključ je kao brava koja je javno dostupna, ali je može otključati samo osoba sa pravim ključem (privatni ključ) koji se čuva u tajnosti. Dugoročno gledano, prednosti korišćenja pristupnih ključeva bez lozinki će nadmašiti njegove nedostatke.
Sa povećanjem prihvatanja pristupnih ključeva od strane kompanija kao sredstva za autentifikaciju, sve više ljudi će ih prihvatiti kada u potpunosti shvate njihove prednosti.
U nastavku možete pročitati više o tome kako da implementirate pristupne ključeve/FIDO autentifikaciju u svojim aplikacijama.