211service.com
Więcej haseł, więcej problemów
Jedną nazwę użytkownika i hasło łatwo zapamiętać. Utrzymanie pięciu lub dziesięciu prostych jest znacznie trudniejsze. Przeciążenie hasła od dawna nęka techników, ale ponieważ wszyscy spędzamy więcej czasu na robieniu wszystkiego, od zakupów przez bankowość po granie w gry w Internecie, staje się to coraz bardziej powszechnym problemem.
Wiele firm próbuje zwalczyć ten problem. Podejścia obejmują zarówno menedżery haseł, które zabezpieczają dane logowania jednym hasłem głównym, jak i metody, które przede wszystkim eliminują potrzebę stosowania wielu haseł.
Do 2007 badanie Microsoft Research zbadał siłę, częstotliwość i użycie haseł należących do 500 000 użytkowników komputerów. Badanie wykazało, że każda osoba miała średnio 6,5 hasła, którego używała do 25 różnych kont internetowych, co oznacza, że każde hasło było przetwarzane około cztery razy.
Pięć lat później większość z nas ma znacznie więcej kont, do których uzyskujemy dostęp na komputerach stacjonarnych, smartfonach i tabletach. Ale prawdopodobnie nie jesteśmy lepsi w wymyślaniu bezpiecznych haseł — takich, których nie można łatwo odgadnąć ani złamać za pomocą komputera — a jak pokazują głośne naruszenia bezpieczeństwa w witrynach takich jak LinkedIn i eHarmony, słabe hasła nadają naszej tożsamości online zagrożone.
Najczęstszym narzędziem do organizowania nadmiaru haseł jest menedżer haseł, ale niewiele osób z nich korzysta, mówi Cormac Herley , autor badania Microsoft Research z 2007 roku. Startup o nazwie Dashlane ma nadzieję to zmienić za pomocą prostego zarządzania hasłami i automatycznego narzędzia do wypełniania formularzy, które, jak twierdzi, może ułatwić robienie zakupów w Internecie. Dashlane szyfruje i przechowuje hasła na komputerze lub smartfonie użytkownika. Wtedy tylko hasło główne – które nie jest przechowywane na serwerach Dashlane – może być użyte do uzyskania dostępu do informacji.
Firma wyszła z prywatnego testu beta w kwietniu, a Daniela Perdomo, dyrektor ds. rozwoju użytkowników w Dashlane, twierdzi, że obecnie ma setki tysięcy użytkowników, którzy łącznie przechowują 1,5 miliona haseł z oprogramowaniem na komputery stacjonarne i smartfony (większość korzysta z bezpłatnej wersji usługi). Twierdzi, że technologia automatycznego wypełniania formularzy firmy Dashlane jest dokładna w około 90 do 95 procent przypadków.
Słabym punktem tutaj jest oczywiście zapomnienie hasła głównego. Ale podejście to utrudnia również innym uzyskanie dostępu do Twoich danych poprzez zwykłą kradzież urządzenia. Skonfigurowanie menedżera haseł może zainspirować Cię do zwiększenia bezpieczeństwa Twoich indywidualnych haseł, wiedząc, że teraz wystarczy zapamiętać to jedno hasło główne, aby uzyskać dostęp do wszystkich kont na komputerze. Perdomo przyznaje, że większość ludzi nie jest gotowa na proaktywne podejście do słabych lub identycznych haseł. Przeciętny człowiek nie dba o to, dopóki nie zostanie zhakowany, mówi, powtarzając opinię kilku ekspertów ds. Bezpieczeństwa.
Inną kluczową wadą menedżerów haseł jest to, że często trzeba je instalować i synchronizować na każdym urządzeniu, z którego korzystasz, aby uzyskać dostęp do swoich kont. Może to być wygodne, jeśli korzystasz z komputera w domu lub w pracy, ale mniej, jeśli jesteś w domu znajomego.
Istnieje jednak szansa, że będziesz mieć przy sobie smartfona. To również wchodzi w grę jako sposób na zrównoważenie bezpieczeństwa i wygody logowania. To jest idea Identyfikator telefonu , który inżynierowie oprogramowania Mike Thomas i Vahur Roosimaa stworzyli na początku września podczas hackathonu — wydarzenia związanego z kodowaniem maratonu, podczas którego programiści wymyślają nowe pomysły — prowadzonego na blogu technicznym TechCrunch. PhoneID, będący obecnie prototypem, umożliwia logowanie się do witryn internetowych za pomocą komputera stacjonarnego za pomocą smartfona do zeskanowania wyświetlanego na ekranie kodu QR, mówi Thomas. W ten sposób nigdy nie będziesz musiał wpisywać nazwy użytkownika i hasła.
Gdy po raz pierwszy odwiedzisz uczestniczącą witrynę internetową na komputerze stacjonarnym, na ekranie pojawi się kod QR. Zeskanowanie go za pomocą telefonu spowoduje, że komputer poprosi o podanie numeru telefonu, a PhoneID wyśle do telefonu komórkowego wiadomość SMS, na którą można kliknąć, aby zalogować się do witryny i uwierzytelnić. Przy kolejnych wizytach zeskanowanie kodu QR na ekranie spowoduje natychmiastowe zalogowanie.
PhoneID wymaga strony internetowej, aby dodać kilka linii kodu. I chociaż można go skonfigurować do pracy z witrynami, w których masz już konto i hasło, obecnie jest on ukierunkowany na założenie nowego konta w witrynie. Thomas twierdzi, że takie podejście może uchronić strony internetowe przed koniecznością przechowywania i ochrony informacji o hasłach, a konsumentów przed zapamiętywaniem ich danych logowania. Mówi, że nawet dla kogoś, kto ma wiedzę techniczną, śledzenie wszystkich haseł jest trudne.
Analityk Gartnera Gregg Kreizman uważa, że rozwiązania takie jak PhoneID staną się coraz bardziej powszechne, ponieważ firmy będą wykorzystywać kamery, czujniki i możliwości geolokalizacji smartfonów. Te funkcje mogą pomóc, zapewniając inne sposoby uwierzytelniania użytkowników, mówi.
Ale co, gdybyśmy mogli po prostu całkowicie ograniczyć hasła? Najpopularniejszymi istniejącymi przykładami tego podejścia są Facebook Connect i Zaloguj się za pomocą Twittera, dwie usługi, które umożliwiają logowanie się do witryn internetowych przy użyciu poświadczeń z Facebooka lub Twittera. Ułatwia to użytkownikom korzystanie, a jednocześnie zapewnia witrynom dostęp do niektórych danych osobowych. Jednak to nie wszystko jest takie bezpieczne. Inne podejście pojawiło się niedawno od Intela, który na Intel Developer Forum ogłosił futurystycznie brzmiący plan uwierzytelniania ludzi poprzez odczytywanie wzorców żył.
Startup o nazwie OneID ma inny pomysł. Wymaga od witryn internetowych korzystania z metody logowania, która wykorzystuje kryptografię klucza publicznego — technologię zabezpieczeń, która szyfruje i odszyfrowuje dane przy użyciu dwóch rodzajów kluczy należących do każdej ze stron, jednego utrzymywanego w tajemnicy, a drugiego publikowanego w sposób jawny — oraz znajomości urządzeń używanych do bezpiecznego zaloguj się jednym kliknięciem.
Założyciel OneID, Steve Kirsch, który założył również wyszukiwarkę Infoseek, mówi, że gdy użytkownik kliknie przycisk OneID na stronie internetowej, witryna wysyła jego klucz publiczny do komputera użytkownika. Ten klucz jest następnie przesyłany do serwera OneID, który może szybko określić na podstawie specyfikacji witryny i preferencji użytkownika, co musi się wydarzyć dalej — czy wymagane jest dodatkowe uwierzytelnienie lub czy użytkownik może po prostu wejść na stronę.
Użytkownicy OneID nie muszą ustawiać hasła. Jednak aplikacja na smartfona, która zatwierdza czynności o podwyższonym ryzyku, takie jak robienie zakupów online, wymaga kodu PIN. Chociaż ktoś nadal może ukraść twój komputer, a następnie uzyskać dostęp do niektórych witryn o niskim poziomie bezpieczeństwa, które nie wymagają uwierzytelniania dwuskładnikowego, możesz zdalnie wyłączyć dostęp OneID tego urządzenia, aby powstrzymać naruszenie.
OneID jest w trakcie wdrażania swojej technologii, chociaż firma nie może wymienić żadnych witryn, które z niej korzystają. Kirsch twierdzi, że firma szuka witryn, takich jak sklepy internetowe i banki, które wymagają wysokiego poziomu bezpieczeństwa. Kiedy dają mu szansę, a ludzie widzą wyniki, to coraz więcej osób to zrobi, mówi Kirsch.
Moxie Marlinspike , badacz zajmujący się bezpieczeństwem komputerowym z San Francisco, twierdzi, że pojedyncze logowanie, które koncentruje się na bezpieczeństwie, to trudna sprzedaż. Większość z tych witryn nie widzi wygody, jaką jest brak konieczności zarządzania nazwą użytkownika i hasłem jako realną korzyścią, mówi, a jeśli zdecydują się na włączenie jednej z nich, zwykle skorzystają z opcji Facebooka lub Twittera, ponieważ da im to dostęp do niektórych informacji społecznościowych użytkownika.
Marlinspike uważa, że aby skłonić użytkowników do zmiany swoich zachowań, programiści będą musieli nadal pracować nad tym, aby zabezpieczenia były jak najbardziej niewidoczne. Ale, jak mówi, hasła prawdopodobnie będą z nami przez jakiś czas.