Комментарии 26
НЛО прилетело и опубликовало эту надпись здесь
Сканер лица — это очень дорого, что бы он работал хоть как-то безопасно — нужна схема как в Microsoft Kinect / iPhone X т.е с проекцией множества точек, а не только обычная камера. Таким образом дешёвая техника сразу не подойдет. А дорогая техника сейчас и так имеет биометрические датчики — сканеры отпечатков пальцев есть в каждом телефоне, я догадываюсь, что используя данный стандарт можно использовать эти датчики.
Самый дешёвый аналог yubikey видел за 7 баксов, но в отзывах писали, что он хлипкий. Я тоже купил пару ключей, но зря. Так как есть альтернативные способы восстановления (у гугла: смс, otp, доверенное устройство, и спец коды). Во всех сервисах нельзя просто юзать юбикей, обязательно нужно подключить смс или otp. На данный момент не вижу причин покупать второй ключ (как резерв)
НЛО прилетело и опубликовало эту надпись здесь
Это не так, в случае Google, Вы можете воспользоваться Advanced Protection landing.google.com/advancedprotection привязать два ключа и отменить все остальные методы восстановления пароля и альтернативного входа.
В чем революция? Что мешало повсеместно использовать для всех пользователей Гугл Аутентикатор?
Принципиально отличие очень большое. В случае с Google Authenticator на сервере хранится так называемый seed, на основании которого происходит генерация одноразового кода. А значит, что теоретически все учетные записи пользователей могут быть централизованно скомпрометированы. В случае с U2F вы используете асимметричную криптографию — на сервер отдается ваш открытый ключ и потом вы просто подписываете запросы аутентификации своим закрытым ключом. Любая компрометация сервера не приведет к утечке вашего закрытого ключа. Таким образом удается избежать такой неприятности как массовая утечка.
Еще токен Google Authenticator может быть скопирован, а криптографические чипы скопировать гораздо сложнее (обычно считается, что закрытый ключ неизвлекаем).
Еще токен Google Authenticator может быть скопирован, а криптографические чипы скопировать гораздо сложнее (обычно считается, что закрытый ключ неизвлекаем).
Ничего не хнанится там. Он работает без интернета вообще
Тут я не прав. Хранится. Ну по поводу ключец я ещё три года назад делел аутентификацию натоснове сертификата в браузере. Опять в чем тут революция?
Обычная аутентификация по сертификатам не стала популярной из-за ее неудобств и обычно она основана на том, что каждый сервис выпускает свой сертификат. За каждым сертификатом надо следить, перевыпускать, отзывать. А тут у вас будет одна пара ключей, которую примут все сервисы, поддерживающие стандарт, и привяжут к вашей учетной записи.
Революция в том, что теперь использовать асимметричную криптографию для аутентификации станет намного проще обеим сторонам: пользователям и сервисам.
Революция в том, что теперь использовать асимметричную криптографию для аутентификации станет намного проще обеим сторонам: пользователям и сервисам.
Звучит красиво. Боюсь только что основная цель собрать как можно больше биометрических данных и усиление контроля над обществом.
При чем тут сбор биометрических данных? Биометрия вообще не входит в стандарт, а скорее частный пример реализации. Даже если вы решили использовать отпечаток для подтверждения аутентификации, обычно он проверяется локально на устройстве и никто его не «собирает». Централизованные системы биометрической аутентификации — почти всегда не очень хорошая идея.
Но по факиу будут телефоны м отпечптком и сканером глаза и ноутбуки с теми же датчиками. И что выберет рчдовой пользователь? Какой-то там токен на флешке или биометрию?
Чтобы сгенерировать OTP токен интернет не нужен, вот можно здесь порыться для примера github.com/hectorm/otpauth
Почему вы мне это написали?
В случае с Google Authenticator на сервере хранится так называемый seed, на основании которого происходит генерация одноразового кода.
Понял, что вы имеете в виду. Спасибо. Дело в том, что одно и то же значение секрета (seed) хранится и в генераторе и на сервере. При аутентификации сервер просто генерирует OTP аналогично тому, как это происходит в генераторе OTP. И сравнивает с полученным. Интернет тут не требуется. Но я про это и не пишу. А пишу про то, что есть центральная база с общими секретами. В случае с асимметричной криптографией такой базы нет.
В windows 10 ещё не работает (нельзя добавить в windows hello новый yubico security key)
те же токены YubiKey поддерживают аппаратные пинкоды, которые неизвестны серверу, в отличие от обычных смарт-карт
Не могли бы вы пояснить? Разве PIN коды от смарт-карт надо хранить на сервере?
Теперь очередь Google, Mozilla и MicrosoftА что, Apple уже списали со счетов? Webkit, допустим, не поспевает за лидерами браузерного рынка, но не то чтобы сильно…
Никто не пробовал открытую альтернативу YubiKey (на амазоан по 8$ продается)? Вот обсуждают обновление контроллера для поддержки FIDO2 github.com/conorpp/u2f-zero/issues/76
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Стандарт Web Authentication API: беспарольная аутентификация в вебе