Комментарии 20
По словам Адлера, такие пароли нельзя подделать, поскольку они
сохраняются строго на устройстве и никуда не передаются. Он также
объяснил, что пароли будут мгновенно доступны и получат опцию
синхронизации на устройствах Apple, включая Mac, iPhone, iPad и
устройства Apple TV, через службу iCloud Keychain.
Мне кажется или фраза "сохраняются строго на устройстве и никуда не передаются" полностью противоречит продолжению "получат опцию синхронизации на устройствах Apple"?
Нативная поддержка и удобство?
Основая идея в том, что пароль передаётся для доказательства владения, а в private-public криптографических протоколах секрет никуда не передаётся, а вы доказываете владение секретом без его раскрытия при помощи хитрой математики (без знания секрета — невозможно вычислить некоторые преобразования за любое разумное время).
Чем плохи пароли? Если соединение с сайтом не безопасно по какой-то причине (например, использование недоверенного компьютера в интернет-кафе или уязвимость протокола), то злоумышленник может узнать ваш пароль и использовать его в будущем без вашего ведома снова, чтобы авторизоваться на этом сайте. С одной стороны от этого помогает 2-фактор авторизация, но это тоже не панацея. С приватным-публичным ключом же вы никогда не раскрываете секрет, можете кликнуть на iphone «разрешить это соединение по qr коду» в интернет кафе и потом не менять пароль.
private-public криптографических протоколах секрет никуда не передаётся
Вон оно как теперь "ассиметричное шифрование" называется ).
Похоже в Apple решили авторизацию по ассиметричному ключу преподнести миру под новым соусом.
UPD:
Только это все потребует "доработки" сервиса в котором происходит авторизация. Такиме темпами можно просто начать везде прикручивать авторизацию по ssh ключу.
Соус старый, Яндекс что-то похожее делал в 2015: https://habr.com/ru/company/yandex/blog/249547/.
Если с собой смартфон, то Интернет-кафе как бы не особо нужно. А если нет, то, если нужно зайти в определённый аккаунт с чужого компьютера, надо будет, получается, аутентифицироваться на нём, и дать потенциальную возможность зайти в любой из своих аккаунтов? Или без своего iPhone просто не зайдёшь?
Просто узкое место перемещается далее по цепочке - теперь все будет зависеть только от телефона. Потерял/забыл/сломал телефон, и вот ты уже никуда не попадаешь. А пароль хоть запомнить можно.
Риск, конечно есть: потерять разом сразу все аккаунты перманентно, если бумажный пароль спрятать под клавиатуру или под чехол телефона. Но этот риск эквивалентен риску «ставить на все аккаунты одинаковый пароль `KOTIK2002@_@`»
Не совсем, тут за счет использования пары секретного и публичного ключа, избавляются от необходимости создавать пароль.
Вот тут с 8:13 обьясняется принцип
Ты регистрируешься с помощью своего устройства, оно передает сервису публичный ключ, а при аутентификации, сервис говорит хочешь войти, ну вот эту проверочку своим секретным ключом зашифруй, и мне результат пришли, на сверение. Смотрит результат сходится, значит, у того кто шифровал проверку действительно есть приватный ключ. Значит это он.
В итоге:
- Эпплу не нужно хранить у себя никакие секреты/пароли, он даже не знает где ты зарегистрован
- Сервису не нужно хранить у себя никакие секреты.
- Пользователю легче создавать себе аккаунт на сервисе, потому что не нужно каждый раз придумывать новый пароль и беспокоиться о нем.
- Сервис может избавиться от проблемы создания нескольких аккаунтов. Т.е. Пользователю для создания новой учетки на сервисе понадобится новое устройство (и/или эппл/гугл аккаунт).
Есть и не совсем понятные моменты. Что происходит при сбросе телефона на заводские настройки, при перепродаже телефона, как восстанавливать доступ после потери устройства. Видимо приватный ключ будет привязываться как-то к аккаунту и создаваться его резервная копия, но тогда эппл гугл уже будут знать секрет. Либо имея доступ к Эппл/Гугл аккаунту можно будет всегда создать одну и ту же пару ключей.
Я не понял. Вот я написал свой сайт с регистрацией и входом по паре (email, пароль). Как именно пользователь Passkeys сможет зарегистрироваться на моем сайте и при этом не передать пароль?
По словам Адлера, такие пароли нельзя подделать, поскольку они сохраняются строго на устройстве и никуда не передаются.
Насколько я понимаю, никакой магии автоматически не произойдёт. Вам, как разработчику, придётся добавить поддержку этой технологии на свой сайт самостоятельно. Аналогично тому, как надо добавить поддержку OpenID, если хотите разрешить пользователям такой вариант входа.
Я так понимаю, походя сделали подмену понятий - вместо "замена паролей в интернете" нужно читать "замена паролей в интернете для пользователей Apple-устройств". Причем, как водится, слезть с этих устройст в сторону винды/линукса/андроида станет еще и болью, потому что зайти на часть сайтов станет невозможно без этих самых apple-устройств.
Как водится, чуда не будет ни в том, что оно "само" никак не заработает - потребуется еще один метод авторизации реализовывать на всех сайтах. И мне бы, честно, хотелось бы спросить: что будет с набором авторизаций, если у человек погибнет (напр., физически) последнее и единственное apple-устройство? Ну вот живет человек, телефон у него iPhone, на ноуте винда, других маков нет, а авторизация у нас планируется с привязкой к девайсу - и потеря iPhone мгновенно инвалидирует все такие "привязанные" "замены пароля", после чего юзер плюется, и зарекается кактус жрать владеть только одним, а хочет скупить весь эпл-модельный ряд!
В общем, инновация ради инновации. Что им стоило довести до выпуска RFC, чтобы и другие реализовали бы то же?
Эти Passkeys и WebAuthn пытаются заменить фактор "знание" на фактор "владение". С одной стороны хорошо -- невозможен брутфорс, подбор по радужным таблицам и ограничена социальная инженерия. Фактор "владение" в целом более надёжен с точки зрения безопасности.
С другой стороны -- привязываемся к физическому объекту (токену) для аутентификации. А этот токен можно забыть, потерять, сломать, много чего.
Apple анонсировала функцию Passkeys на замену стандартным паролям