Fido-allianse: passord begynner å svikte oss

Kan det hende at passordet er bak oss? Det var det PayPal sikkerhetsansvarlig Michael Barrett spådde under en av de mest interessante grunntonene på denne ukens Interop-show i Las Vegas.

Barrett sa at passord har vært i utbredt bruk siden 1961, men utbredelsen av skytjenester har etterlatt oss med for mange nettsteder som krever passord. Folk har for mange passord og er dermed frustrerte. Som et resultat sa han: "Passord begynner å svikte oss."

Når de blir overlatt til sine egne enheter, vil brukerne velge dårlige passord og bruke dem overalt. Det betyr at sikkerheten til den viktigste kontoen deres blir redusert til det minst sikre stedet de bruker passordet. I mellomtiden har tilgjengeligheten av billig prosessorkraft i skyen, inkludert GPU-er, gjort det lettere for folk å knekke passord-hasj.

Et alternativ - tofaktorsystemer med nøkkelringer for passord - sa han er "en regulators drøm, men en brukers mareritt", ettersom hvert nettsted kan ha sitt eget sikre token-system.

Som et resultat trenger vi noe annet, og det er der FIDO-alliansen kommer inn. Brukere vil ha noe som er både trygt og enkelt, sa Barrett. Enhver løsning må gi sterkere autentisering, men må være enklere å bruke, og likevel respektere folks personvern.

Alliansen har kjørt i mer enn to år, og de første slike løsninger er i ferd med å bli lansert.

Med dagens modell legges passord inn på en enhet og føres deretter gjennom enheten til tjenesten i den andre enden. I FIDO-modellen autentiserer brukere med et lite antall enheter, og i stedet autentiserer de til enhetene sine. En FIDO-stabel på enheten vet da hvordan du kan autentisere tilbake til tjenesten. Informasjonen for tilkoblingen kan lagres i TPM-brikken på en PC, eller i en sikker beholder på en smarttelefon.

For å autentisere med enheten, kan du bruke et fingeravtrykk. Barrett antydet at Apple kan komme ut med en fingeravtrykkleser på en smarttelefon senere i år, med Android-enheter etter kort tid. Enheter kan også bruke "stemmebiometri" (stemmeavtrykk), øyegjenkjenning eller ansiktsgjenkjenning. Individuelle nettsteder kan be om en eller flere av disse signalene de vil godta.

For at denne planen skal fungere, vil det kreve at begge enhetene støtter standarden og tjenestene som godtar FIDO-godkjenning. Barrett sa at PayPal er i ferd med å bli FIDO-aktivert. Når et nettsted er aktivert, hvis det er en FIDO-klient, blir det brukt; Ellers blir det ignorert.

Selv om han tror passordet går tom for damp, erkjente Barrett at det vil ta flere år før vi begynner å se virkelig masseadopsjon. Oddsen er bare "50/50 om vi kan trekke dette, " sa han.

Men gitt antall passordhakk vi fortsetter å lese om og frustrasjonene vi alle står overfor med de nåværende passordene våre, er det ingen som benekter at mange av oss vil ha noe bedre.