Comments 31
:-) А можно мне (как пользователю сервисов) самому решать пользоваться ли "не надежным" входом на конкретный сервис с применением собственного пароля? Или "глядя на Apple" все начинают решать за пользователей "что им лучше и удобнее"?
Это биги же. Сами решат в одностороннем порядке. Максимум сошлются на анализ от своих экспертов.
Сами решат в одностороннем порядке.
Они как-то странно решают. Завалить рынок, чтобы в каждом супермаркете в отделе "замки и ключи" лежали аппаратные токены для этих пасскеев по цене железного замка - не, как-то такого не наблюдается.
Меня больше всего смущает, что планомерно популяризируют такие способы входа как отпечатки пальцев и идентификация по лицу. Пароли утекли - ну, окей, сгенерировать можно еще, плюс обновить двухфакторку, если требуется. На мой взгляд, более опасная утечка - это утечка слепков биометрических данных, которые не меняются так быстро. Причем такие данные могут быть экспортированы в иные информационные системы.
п.с. О, прикольно. Кто-то в карму минусанул.
что планомерно популяризируют такие способы входа как отпечатки пальцев и идентификация по лицу.
...
На мой взгляд, более опасная утечка - это утечка слепков биометрических данных, которые не меняются так быстро.
Это разная биометрия. Ту, которую популяризируют в контексте Passkeys - это локальная биометрия, где слепок только внутри твоего устройства есть.
А то что у нас в контексте банков(особенно их), госуслуг итд - это я доже не очень понимаю, для чего так усиленно мозги промывают. Для тех целей, где государству оно могло бы понадобиться - можно было бы и по другому, более прямолинейно и визуально более безопасно устроить.
Большого доверия к корпорациям добра у меня нет. Одна рука делает так, чтобы ключи могли храниться только локально, а другая рука внедряет облачное хранилище с синхронизацией данных между устройствами или великий ИИ, который анализирует с чем работаете и с кем общаетесь.
В данном случае корпорацию добра могут вполне успешно поймать за руку, если секреты как-то раскрываться будут.
А сама по себе синхронизация не очень страшна, пока криптоконтейнер в облаке зашифрован так, что только ты расшифровать можешь.
И, еще раз - если паранойя не велит верить предлагаемым системой хранилищу, используй специализированную железку, которая ключики из себя не выпускает по смыслу своего существования.
без разницы где хранится. Если атрибут доступа скомпрометирован - он должен быть немедленно заменен. С биометрией есть проблемка - количество замен весьма ограничено.
Если атрибут доступа скомпрометирован
Это не строгое булевское значение. Есть еще стоимость использования скомпрометированного атрибута доступа. Чисто локальная биометрия его резко повышает, потому что злодею в другом городе, даже если он научится воспроизводить скомпрометированную биометрию так, что она принимается всеми возможными сенсорами - придется еще устройство добывать, к которому эту биометрию приложить нужно.
Вообще, конечно, хорошо бы чтобы требовалась и и биометрия и пинопароли одновременно - но это пока, увы, с некоторым шаманством и костылями связано.
Согласен. Более того, я бы не стал быть уверенным, что компании боятся быть пойманными за руку. За руку кем? Все тайные сборы информации могут осуществляться в так называемых национальных интересах. Поэтому тех, кто будут кричать о том, что не надёжно у них там, либо слушать не будут, либо потом попросят помолчать.
Нельзя. Когда утечёт миллиард учёток, скажете, что надо было по современному аутентификацию делать. То есть по сути это работа над предотвращением падения репутации в виду немалых рисков.
А можно мне самому решать "может утечь моя учетка или нет"? А остальные 999 999 999 учеток пусть сами решают...
Репутация - это когда пользователя 3 раза попросят подтвердить что он хочет использовать "не безопасный" пароль, но позволят ему это сделать. А то что творится сейчас - это "мы лучше вас знаем что вам нужно"... :-(
Пароли завязанные на уникальность биоданных (папиллярка, лицо, голос и т.д.) - самый худший из возможных вариантов подхода к генерации паролей. Т.к. в случае копирования или утраты этих биоданных - смена их является либо очень сложной задачей, либо вообще невыполнимой.
А где уникальность Passkey? Возможно пользуюсь не так. Например на гитхабе место пароля просит уже Passkey вести, но я вожу пароль от ПК, и если у меня войдут в ПК, то благодаря Passkey смогу зайти и украсть данные, как пароль требует не новый или уникальный, а тот же самый.
Я еще понимаю подтверждение на телефоне для входа, как двухэтапную аутентификацию, но это ппц.
ps Не пытался разобраться как это вырубить, особенно в браузере, где для просмотра твоих паролей нужно вести пароль с ПК и все данные увидеть можно
А где уникальность Passkey?
Один из рекомендованных режимов использования - создавать свой для каждого устройства, откуда пользователь заходит, а не пользоваться синхронизированным. Которой потом можно отозвать чтобы получить "с украденного ноута в сервис больше не пускаем"
Например на гитхабе место пароля просит уже Passkey вести, но я вожу пароль от ПК, и если у меня войдут в ПК то благодаря Passkey смогу зайти и украсть данные, как пароль требует не новый или уникальный, а тот же самый.
Но это сработает только на том же самом ПК, где Passkey в защищенном хранилище есть.
Точно так же как вход с 2FA сработает только тогда, когда устройство-генератор на руках есть.
Все это задумано от злодея 'где-то там' а не от тех, которые устройство жертвы на руках имеют. Что в некотором роде логично.
в некотором роде логично
нет, НЕ логично! цена взлома Супер-Пупер Защищенного Хранилища == цена взлома Васиного ПК.
хотя Васе конечно приятно.
нет, НЕ логично! цена взлома Супер-Пупер Защищенного Хранилища == цена взлома Васиного ПК.
Логично, логично. Потому что всем злодеям, которым хочется в сервис без ведома владельца учетки залезть, придется задумываться о том, как бы стать ворами физических объектов. И, соответственно, всячески оставлять следы в физическом мире. Т.е. цена становится не только ценой взлома но еще и цена кражи добавляется.
Пример - смотри банковские карты. Случаев, когда до счета добрались именно путем вытаскивания ключа из чипа карты - исчезающе мало.
цена взлома Васиного ПК.
Точнее, TPM или эквивалента в ПК. Которые, теоретически должны быть довольно устойчивыми к этому мероприятию. И, скорее всего, вполне таковыми являются.
А у кого паранойя или обязательства не позволяют защищенности TPM верить - берет 'настоящий' насмерть сертифицированный токен-'флешку'
Теоретически - тпм устойчив. А вот практически..? Недавно еще ломался в офлайне, вытащив дамп на каких то лаптопах. Поправьте если путаю.
По теме хардварных токенов-флешек. Их проблема опять же: их пароль. В энтерпрайзе токены, пароли тпма и прочие заканчиваются одним: 123456 или asd123. Поэтому я проверчивал на детородном органе любителей сертификатов, как панацею от всех бед. Особенно, если эта панацея против детских болячек с Эксчём.
По теме хардварных токенов-флешек. Их проблема опять же: их пароль. В энтерпрайзе токены, пароли тпма и прочие заканчиваются одним: 123456 или asd123.
Ну так с паролями точно так же. Но одно дело, когда этот 123456 можно использовать из любой точки земного шара. И другое - когда сначала нужно хардварный токен на руки получить.
Пароли в подавляющем большинстве случаев угоняют дистанционно (фишинг, утечки из сервисов и так далее).
Если для угона пароля нужно красть физическое устройство это на порядки увеличивает сложность атаки (хотя бы банально потому, что красть через интернет можно из любой точки земного шара, а красть физически можно лишь в определенном радиусе от себя). И её стоимость. Если для угона аккаунта майнкрафта школьника Васи Пупкина, нужно отжать у Васи девайс, то овчинка тупо не стоит выделки - ради кражи аккаунта стоимостью 300 рублей идти на разбой?
на гитхабе место пароля просит уже Passkey вести, но я вожу пароль от ПК, и если у меня войдут в ПК, то благодаря Passkey смогу зайти и украсть данные
отлично! мы здесь https://habr.com/en/companies/ru_mts/articles/861822/ обсуждали именно этот вопрос:
у вас есть пароль для самого Vault?
Если нет, то злоумышленник прочитает Vault и получит пароль БД...
Если да, то вам нужен Vault2 чтобы хранить пароль Vault...
Получается что пин код надёжнее пароля?
В том случае, если этот PIN является дополнением к какому-то секрету, например, ключу, хранящемуся на стороннем устройстве (например, в токене или TPM). В этом случае сам PIN не имеет никакого смысла отдельно от устройства хранения ключа.
А как зайти на новом устройстве, если старое потеряно?
А как зайти на новом устройстве, если потерян текстовый файл с паролями или база KeePass?
Точно так же и с пасскеями - хранить пасскеи в менеджере паролей и делать резервные копии.
А как зайти на новом устройстве, если старое потеряно?
Подумать заблаговременно о методах восстановления доступа в таких ситуациях. Например, резервные коды на бумажку и хранить в укромном месте. Если боитесь, что кто-то физически всё же сможет их утащить и воспользоваться - можно слегка обфусцировать их, выполнив обратимые преобразования, известные только вам.
У меня дочка в печали. Они с подругой что-то там грандиозное строили в майнкрафт в мире подруги, а та как-то умудрилась попасть под раздачу, при попытке восстановить пароль ее акк забанили вместе с миром.
Удалено.
Очередная попытка максимально прикрепить аккаунты к человеку заставив его использовать один ключ для всех дверей (при этом дубликат ключа будет как минимум у владельцев операционной системы) чтобы зная всего один ключ можно получить доступ абсолютно ко всем аккаунтам которые человек когда либо создавал. Пароли могут быть вообще ни к чему не привязаны. А значит более анонимны, автономны и без какого либо отслеживания в принципе. Если ключ угонят. То пропадут возможно все аккаунты, а не 1, как это было бы с паролем
Microsoft подтвердила удаление паролей у 1 млрд пользователей в рамках внедрения Passkeys