Στο Παγκόσμιο Συνέδριο Προγραμματιστών (WWDC) η Apple παρουσίασε ένα νέο σύστημα, το Passkeys. Ένα σύστημα που θα μπορούσε να κάνει τους κωδικούς πρόσβασης να ανήκουν στο παρελθόν, με ένα σύστημα σύνδεσης χωρίς password. Ο Darin Adler, αντιπρόεδρος του τμήματος Internet Technologies της Apple, χαρακτήρισε το Passkey ως «πιο ασφαλές, πιο εύκολο στη χρήση και στοχεύει να αντικαταστήσει οριστικά τους κωδικούς πρόσβασης». Αυτό είναι ένα καλό νέο, αν αναλογιστεί κανείς πόσο άθλιοι είναι οι κωδικοί πρόσβασης. Όμως πολλοί έχουν προσπαθήσει να καταργήσουν τους κωδικούς πρόσβασης στο παρελθόν.

Apple Passkeys

Ο Adler περιέγραψε τα Passkeys ως εξής: «Δημιουργείται ένα μοναδικό ψηφιακό κλειδί που λειτουργεί μόνο για τον ιστότοπο για τον οποίο δημιουργήθηκε». Αντί για κωδικούς πρόσβασης, οι χρήστες της Apple θα επαληθεύουν την ταυτότητά τους χρησιμοποιώντας βιομετρικό έλεγχο ταυτότητας. Αυτός είναι ήδη ενσωματωμένος στα περισσότερα προϊόντα της εταιρείας με Face ID, για την αναγνώριση προσώπου, και το Touch ID για τη σάρωση δακτυλικών αποτυπωμάτων.

Στην παρουσίαση βλέπουμε να δημιουργείται ένας νέος λογαριασμός σε έναν ιστότοπο. Εισάγουν τη διεύθυνση του email τους, αλλά αντί να δημιουργήσουν έναν κωδικό πρόσβασης, εμφανίζεται ένα παράθυρο που τους ρωτά αν θέλουν να δημιουργήσουν ένα Passkey. Ο χρήστης πιστοποιείται χρησιμοποιώντας βιομετρικά στοιχεία ―στην προκειμένη περίπτωση, το Touch ID στο Mac του― και αυτό είναι όλο.

Ο Adler εξήγησε ότι τα Passkeys συγχρονίζονται αυτόματα μεταξύ των συσκευών Apple ενός χρήστη, συμπεριλαμβανομένων των Apple TV, χρησιμοποιώντας την κλειδοθήκη (Keychain) του iCloud. Προορίζονται να λειτουργούν τόσο σε εφαρμογές όσο και στο διαδίκτυο. Τα Passkeys προορίζονται επίσης να λειτουργούν σε διαφορετικές πλατφόρμες. Στην επίδειξη, ένας χρήστης πηγαίνει να συνδεθεί με το κλειδί του και του παρουσιάζεται ένας κωδικός QR για σάρωση. Ο Adler δήλωσε ότι σε αυτό το σενάριο, το iPhone του χρήστη θα πιστοποιούσε τη σύνδεση, πιθανώς σαρώνοντας τον κωδικό QR.

Ενώ η ευχρηστία ήταν εμφανής στην παρουσίαση του WWDC, ο Adler τόνισε τα οφέλη των Passkeys για την ασφάλεια. «Τα Passkeys δεν μπορούν να υποκλαπούν, αφού το Passkey δεν φεύγει ποτέ από τις συσκευές σας», είπε. «Οι χάκερ δεν μπορούν να σας ξεγελάσουν για να το μοιραστείτε σε έναν ψεύτικο ιστότοπο. Και τα passkeys δεν μπορούν να διαρρεύσουν, επειδή τίποτα μυστικό δεν διατηρείται σε έναν διακομιστή ιστού».

Σύνδεση FIDO

Στο WWDC ο Adler δήλωσε ότι τα Passkeys δημιουργήθηκαν σε συνεργασία με τη FIDO Alliance. Είναι η εμπορική ομάδα που διαχειρίζεται τη δημιουργία προτύπων για τον πολυπαραγοντικό έλεγχο ταυτότητας και την είσοδο χωρίς κωδικό πρόσβασης. Τόνισε επίσης ειδικά τη συνεργασία της Apple με την Google και τη Microsoft.

Η FIDO Alliance μας επιβεβαίωσε ότι τα Passkeys της Apple χρησιμοποιούν το πιστοποιητικό FIDO πολλαπλών συσκευών. Δηλαδή ένα σύστημα σύνδεσης χωρίς κωδικό πρόσβασης. Στο άρθρο του, ο δημοσιογράφος του PCMag, Michael Kan εξήγησε πώς λειτουργεί το νέο σύστημα FIDO.

«Το άλλο σημαντικό πλεονέκτημα είναι ότι κατά τη διαδικασία σύνδεσης δεν μεταδίδονται πιστοποιημένα δεδομένα από το τηλέφωνο στον ιστότοπο. Αντ’ αυτού, το τηλέφωνό σας θα αποθηκεύει ένα πιστοποιητικό FIDO, που ονομάζεται κλειδί πρόσβασης (passkey). Αυτό χρησιμοποιείται για να ξεκλειδώνει τον online λογαριασμό σας», δήλωσε η Google.

«Με άλλα λόγια, ο ιστότοπος εκδίδει μια ψηφιακή “πρόκληση” την οποία μπορεί να υπογράψει το κλειδί σας. Κλειδί που στη συνέχεια θα ξεκλειδώσει την πρόσβαση στο λογαριασμό. Αυτή η προσέγγιση θα μπορούσε να είναι πιο ασφαλής από ορισμένα συστήματα ελέγχου ταυτότητας δύο παραγόντων που περιλαμβάνουν κωδικούς πρόσβασης μίας χρήσης, οι οποίοι μπορούν να κλαπούν ή να υποκλαπούν».

Ο Andrew Shikiar, εκτελεστικός διευθυντής και CMO της FIDO Alliance, έδωσε περισσότερες πληροφορίες για το πώς λειτουργούν όλα αυτά. «Τα “Passkeys” αξιοποιούν κυρίως το πρωτόκολλο WebAuth στο πλαίσιο του προτύπου FIDO2», δήλωσε. «Η Apple, η Google και η Microsoft έχουν εργαστεί στο πλαίσιο των τεχνικών ομάδων εργασίας του FIDO μαζί με δεκάδες άλλες εταιρείες για την εξέλιξη των προτύπων του FIDO και αυτής της εφαρμογής».

Μεγαλύτερο από την Apple

Παρά το γεγονός ότι οι κωδικοί πρόσβασης είναι τόσο κακοί που έχουμε μια ολόκληρη κατηγορία προϊόντων σχεδιασμένη να τους κάνει ελαφρώς καλύτερους, αρχίζει να αναπτύσσεται η ιδέα για την οριστική κατάργηση τους.

«Οι κωδικοί πρόσβασης αποτελούν τη μεγαλύτερη απειλή για την ακεραιότητα των λογαριασμών και της ψηφιακής ζωής», μας είπε ο Shikiar. «Βγάζοντας τους κωδικούς πρόσβασης από την εξίσωση, οι καταναλωτές θα προστατεύονται από το phishing και άλλες απομακρυσμένες επιθέσεις, που συνεχίζουν να μαστίζουν τη σημερινή δικτυωμένη οικονομία. Και οι επιχειρήσεις θα απαλλαγούν από την ευθύνη της διατήρησής τους στους διακομιστές τους».

Μέχρι στιγμής, η ανάγκη για ειδικό hardware έχει περιορίσει την υιοθέτηση της τεχνολογίας χωρίς κωδικό πρόσβασης. Η Microsoft πειραματίζεται εδώ και αρκετό καιρό με τη σύνδεση χωρίς κωδικό πρόσβασης σε υπολογιστές χρησιμοποιώντας το Microsoft Hello και την αναγνώριση προσώπου ή στο διαδίκτυο χρησιμοποιώντας ένα hardware κλειδί ασφαλείας. Βασιζόμενοι σε τηλέφωνα και άλλες συσκευές που έχουν ήδη οι χρήστες, οτιδήποτε χρησιμοποιεί το πιστοποιητικό FIDO πολλαπλών συσκευών ―συμπεριλαμβανομένων των Passkeys της Apple― θα πρέπει να είναι πιο προσιτό.

Αν και πολλές από τις πιο αμφιλεγόμενες αποφάσεις της Apple ήταν το τι αφήνει έξω (μονάδες δισκέτας, υποδοχές ακουστικών κλπ.), η εταιρεία έχει επίσης προωθήσει την υιοθέτηση νέων τεχνολογιών ενσωματώνοντάς τις στα υπάρχοντα προϊόντα της. Ως μέρος του οικοσυστήματος της Apple, το Passkey είναι πιθανό να υιοθετηθεί περισσότερο απ’ ό,τι αν ήταν μια επιλογή που παρουσιάστηκε από τρίτους. Μια άλλη πρόκληση για την εξάλειψη του κωδικού πρόσβασης ήταν να πείσει άλλους ιστότοπους και υπηρεσίες να υιοθετήσουν νέα, πιο ασφαλή συστήματα σύνδεσης. Παρόλο που περισσότεροι ιστότοποι από ποτέ υποστηρίζουν έλεγχο ταυτότητας πολλαπλών παραγόντων, δεν το κάνουν όλοι και μόνο λίγοι υποστηρίζουν hardware κλειδιά ασφαλείας για σύνδεση MFA. Τα πολυπαραγοντικά συστήματα FIDO και οι συνδέσεις χωρίς κωδικό πρόσβασης απαιτούν από τους ιστότοπους να ενσωματώνουν την τεχνολογία FIDO. Οπότε μπορούμε να υποθέσουμε ότι το ίδιο θα ισχύει και για τα Passkeys της Apple.

Αν η Apple ήταν μόνη της, θα ήμουν επιφυλακτικός ως προς το αν θα μπορούσε να ασκήσει την απαραίτητη πίεση για να προωθήσει την υποστήριξη τρίτων για τα Passkeys. Ωστόσο, το ότι έχουν συμπεριληφθεί η Google, η Microsoft και η FIDO Alliance καθιστά την αποδοχή πολύ πιο πιθανή. Μπορεί η Apple να κερδίζει τα εύσημα για τα Passkeys στην πλατφόρμα της, αλλά μόνο μια συνεργασία θα σκοτώσει τον κωδικό πρόσβασης (password).

Ακόμα και με τη δυναμική προς ένα μέλλον χωρίς κωδικό πρόσβασης, η Apple φρόντισε να θέσει τις προσδοκίες. Στο τμήμα του WWDC, ο Adler άφησε να εννοηθεί ότι κάποιες από τις προκλήσεις είναι ακόμα μπροστά μας: «Η μετάβαση από τους κωδικούς πρόσβασης θα είναι ένα ταξίδι».

Αυτό που δεν είναι τόσο σαφές είναι αν αυτό το ταξίδι φτάνει στο τέλος του ή αν μόλις αρχίζει.

[vc_video link=’https://youtu.be/BkH9zvAPb7c’]

[via]