Video: FIDO Alliance Webinar: The Right Mix Intuit’s Journey with FIDO Authentication (November 2024)
Is het tijdperk van het wachtwoord misschien achter de rug? Dat voorspelde de Chief Security Officer van PayPal Michael Barrett tijdens een van de meest interessante keynotes op de Interop-show van deze week in Las Vegas.
Barrett zei dat wachtwoorden sinds 1961 wijdverbreid worden gebruikt, maar dat de prevalentie van cloudservices ons te veel sites heeft achtergelaten die wachtwoorden vereisen. Mensen hebben te veel wachtwoorden en zijn dus gefrustreerd. Daarom zei hij: "Wachtwoorden beginnen ons te falen."
Wanneer ze op hun eigen apparaat worden achtergelaten, kiezen gebruikers slechte wachtwoorden en gebruiken ze ze overal. Dat betekent dat de beveiliging van hun belangrijkste account is beperkt tot die van de minst veilige plaats waar ze dat wachtwoord gebruiken. Ondertussen heeft de beschikbaarheid van goedkope verwerkingskracht in de cloud, inclusief GPU's, het voor mensen gemakkelijker gemaakt om wachtwoordhash te kraken.
Een alternatief - tweefactorsystemen met wachtwoordsleutelringen - zei hij: "de droom van een toezichthouder, maar de nachtmerrie van een gebruiker", omdat elke site een eigen beveiligd tokensysteem heeft.
Daarom hebben we iets anders nodig en dat is waar de FIDO Alliance van pas komt. Gebruikers willen iets dat zowel veilig als gemakkelijk is, zei Barrett. Elke oplossing moet een sterkere authenticatie bieden, maar moet gemakkelijker te gebruiken zijn en toch de privacy van mensen respecteren.
De alliantie bestaat al meer dan twee jaar en de eerste van dergelijke oplossingen staat op het punt te worden gelanceerd.
Met het model van vandaag worden wachtwoorden op een apparaat ingevoerd en vervolgens door het apparaat aan de andere kant van de service doorgegeven. In het FIDO-model verifiëren gebruikers met een klein aantal apparaten en in plaats daarvan verifiëren ze zich op hun apparaat. Een FIDO-stack op het apparaat weet vervolgens hoe deze opnieuw moet worden geverifieerd bij de service. De informatie voor de verbinding kan worden opgeslagen in de TPM-chip op een pc of in een beveiligde container op een smartphone.
Om te verifiëren met het apparaat, kunt u een vingerafdruk gebruiken. Barrett suggereerde dat Apple later dit jaar met een vingerafdruklezer op een smartphone uitkomt, met Android-apparaten binnenkort. Apparaten kunnen ook "stembiometrie" (een stemafdruk), oogherkenning of gezichtsherkenning gebruiken. Individuele sites kunnen een of meer van deze betekenaars aanvragen die ze willen accepteren.
Dit plan werkt alleen als beide apparaten de standaard ondersteunen en services ondersteunen die FIDO-authenticatie accepteren. Barrett zei dat PayPal bezig is om FIDO-compatibel te worden. Als een site eenmaal is ingeschakeld, wordt deze gebruikt als er een FIDO-client is; anders wordt het genegeerd.
Hoewel hij denkt dat wachtwoorden bijna op zijn, heeft Barrett erkend dat het enkele jaren zal duren voordat we echte massale adoptie beginnen te zien. De kansen zijn slechts "50/50 of we dit kunnen doen, " zei hij.
Maar gezien het aantal wachtwoordhacks waarover we blijven lezen en de frustraties waarmee we allemaal worden geconfronteerd met onze huidige wachtwoorden, valt niet te ontkennen dat velen van ons iets beters willen.
