Комментарии 25
We cannot currently ship to:
China, Afghanistan, Russia, Ukraine, North Korea, Iran, Sudan, Cuba, or Syria
Серьезно?
Но можно по сети пробросить один ключ на сотню компьютеров. Но можно ограничивать количество логинов с одного колюча в единицу времени.
Сэмулировать не получится, т.к. проверяется, что ключ подписан производителем. И по этой же причине обычному человеку не получится использовать такие устройства, как Trezor либо самодельные. Потому что в этом случае ключ будет без подписи производителя.
А ещё cf отказался принять мой андроид-телефон в качестве ключа. Современные андроиды/iOS это умеют, но правда в рамках самого устройства, использовать их для аутентификации на ПК нельзя
Осталось подключить апи чипированых паспортов к этой системе и, вуаля, готовая авторизация по паспорту в интернете
Т.к. в обычном U2F токене ключ прошит постоянный, то получаем гарантированную идентификацию пользователя. Понятно, что токены можно регулярно менять, но это недёшево.
Не все так плохо.
Судя по статье Cloudflare
More importantly, this challenge protects users' privacy since the attestation is not uniquely linked to the user device. All device manufacturers trusted by Cloudflare are part of the FIDO Alliance. As such, each hardware key shares its identifier with other keys manufactured in the same batch (see Universal 2nd Factor Overview, Section 8). From Cloudflare’s perspective, your key looks like all other keys in the batch.
Получается, что вся защита сводится к стоимости ключа.
А что мешало просто добавить регистрацию по стандартному FIDO U2F без привязки к производителю? Взял ключ, зарегистрировал на капче — пользуйся в удовольствие.
Ну, и секурность в плане анонимности запредельная — пользователя можно будет гарантированно и однозначно идентифицировать на различный ресурсах даже без регистрации — тупо по прохождению капчи. Молодцы, чё!
либо анонимность, либо интернет строго поВы забыли третий вариант — оставить капчу.паспортуаппаратному ключу
Подозреваю, что большинство рядовых пользователей (не гиков-айтишников) выберет второй вариант.
подозреваю, что большинству рядовых пользователей плевать на ботов с высокой колокольни
добавить регистрацию по стандартному FIDO U2F без привязки к производителю
U2F 1.0: Verifying That a U2F Device Is 'genuine' — это описано в стандарте.
Идея Cloudflare в том, что стоимость токена будет ограничивать злоумышленников. Именно потому, что в хардварном токене открытый ключ подписан производителем. А в эмуляторах и самодельных токенах — не подписан.
С другой стороны получаем угрозу анонимности в интернете. Да, пока токены относительно дорогие и мало у кого есть, но если эта идея взлетит, то в ближайшие годы мы сможем увидеть тот самый «интернет по паспорту».
Аж нос защекотало, пока читал. Вроде общепринято «капча» же.
Cloudflare пообещал избавить пользователей от каптчи системой ключей безопасности