Поставщик услуг DNS Cloudflare пообещал своим пользователям замену «безумной» каптчи совершенно новой системой «криптографической аттестации личности». На данный момент она поддерживает только ограниченное количество USB-ключей безопасности, таких как YubiKeys, HyperFIDO и Thetis FIDO U2F.
![](https://habrastorage.org/getpro/habr/upload_files/163/eae/84e/163eae84e3e429f8f8e1c16f3e21fc77.png)
Как подсчитала компания, на решение каптчи у пользователя уходит, в среднем, 32 секунды. В мире насчитывается 4,6 млрд пользователей Интернета, и каждый сталкивается с такими задачами примерно раз за 10 дней. Таким образом, на решение каптчи ежедневно уходит примерно 500 лет.
Систему можно протестировать на сайте провайдера. Для этого нужно нажать на кнопку «Я человек», а затем, следуя нескольким подсказкам, выбрать свой электронный ключ и разрешить сайту доступ к марке и модели. Весь процесс занимает несколько секунд и имеет большие преимущества в плане доступности, в том числе для людей с ограниченными возможностями по зрению.
Криптографическая аттестация личности основана на аттестации веб-аутентификации (WebAuthn). Это API, стандартизированный консорциумом W3C и уже реализованный в большинстве современных веб-браузеров и операционных систем. Он нацелен на предоставление стандартного интерфейса для аутентификации пользователей в сети и использования криптографических возможностей их устройств.
Каждое устройство имеет встроенный защищенный модуль, содержащий уникальный секрет, запечатанный производителем. Cloudflare запрашивает у устройства доказательства подлинности, не раскрывая информацию о модуле.
![](https://habrastorage.org/getpro/habr/upload_files/60c/352/51c/60c35251c16083399f17457bca46f4e2.png)
Криптография с открытым ключом позволяет создавать неподдающиеся подделке цифровые подписи, а пользователь генерирует их ключ, которым может подписывать сообщения, и ключ проверки, который может использовать кто угодно для проверки их подлинности.
![Иллюстрация криптографической системы на примере общения Алисы и Боба Иллюстрация криптографической системы на примере общения Алисы и Боба](https://habrastorage.org/getpro/habr/upload_files/84c/9ea/319/84c9ea319a56f58359aec4e30efd1d46.png)
Cloudflare проверяет, что открытый ключ пользователя подписан открытым ключом производителя и проверяет цепочку сертификатов вплоть до корневого сертификата производителя.
![](https://habrastorage.org/getpro/habr/upload_files/470/730/c66/470730c669054c75636d038844d1370a.png)
Однако пока это всего лишь эксперимент, доступный «в ограниченных масштабах в англоязычных регионах». Cloudflare обещает, что «как можно скорее рассмотрит возможность добавления других аутентификаторов». Если бы Google и Apple присоединились к методу Cloudflare, это могло бы значительно снизить барьер для входа, поскольку смартфоны гораздо более распространены, чем ключи безопасности.
Однако гендиректор консалтинговой фирмы Webauthn Works Юрий Акерманн отмечает, что система Cloudflare может оказаться худшим решением, так как «аттестация не доказывает ничего, кроме модели устройства», то есть фактически не доказывает, действительно ли человек, использующий устройство для аутентификации, является человеком.
![](https://habrastorage.org/getpro/habr/upload_files/ac5/0a0/e38/ac50a0e38419e90708f07d62744db88d.png)
Cloudflare, по сути, признает это в своем блоге, говоря, что сенсорный датчик на ключе безопасности может нажать даже игрушка.
Ранее Cloudflare перешла от Google reCAPTCHA к сервису от hCaptcha. Первый критиковали за синхронизацию пользовательских файлов cookie с сайтом google.com и их использование в целях рекламы. hCaptcha же использует методы машинного обучения, чтобы сохранять конфиденциальность и в то же время выявлять ботов с высокой точностью.
Однако с появлением новой функции конфиденциальности в iOS 14.5, которая запрещает отслеживание пользователей без их разрешения, сайты, вероятно, будут обращаться к системе авторизованного входа чаще. Возможно, они будут внедрять ключи безопасности вместо пароля. Google уже объявила, что внедрит для всех пользователей Gmail и владельцев учетных записей систему двухфакторной аутентификации.