Rsac: yubico og fido-alliansen lover slutt på passord

Yubico introduserte Yubikey-maskinvareautentiseringsenheten i 2008, men den gangen var det ikke mye den gjennomsnittlige forbrukeren kunne bruke den til bortsett fra å logge på LastPass. Selskapet har vokst kraftig siden den gang, og vil snart tilby en unik "universal second factor" -godkjenningsteknikk. På RSA-konferansen i San Francisco delte Yubico administrerende direktør og grunnlegger Stina Ehrensvärd entusiastisk hva som kommer fra Yubico.

"Vi ønsket å bringe smartkortgodkjenningsteknologi til massekonsummarkedet, men fjerne drivere, mellomvare… noe som har like god sikkerhet som et smartkort uten kompleksiteten, " sa hun. "Vi startet dette prosjektet med Google, og det brukes nå i Google."

FIDO-tilkobling

FIDO (Fast IDentity Online) Alliance inkluderer noen enorme spillere, blant dem Microsoft, Mastercard, PayPal, Bank of America og mange flere. "Vi har slått sammen vår innsats med FIDO, " sa Ehrensvärd. "Resultatet er FIDO Universal Second Factor, eller U2F, implementert i vår Yubikey Neo-enhet. Problemet med eksisterende Yubikeys og andre maskinvaresikkerhetsenheter er at du har en enhet for hver tjeneste. Du kan bruke en telefon og ha flere sikkerhetsapper for forskjellige tjenester, men telefoner kan bli hacket."

"Med en U2F-enhet kan du ha en enhet for ubegrensede tjenester, " sa hun. "Det har jeg alltid ønsket. Firmanavnet Yubico kommer fra ordet 'allestedsnærværende'."

Enkel autentisering

Når du registrerer en Yubikey Neo med et støttende nettsted, genererer det et unikt offentlig / privat nøkkelpar. For Android-smarttelefoner kobles den til via NFC; for PC og Mac, via USB. (Støtte for iOS er i verk, men Ehrensvärd var ikke fri til å diskutere detaljer). Skriv inn PIN-koden din om nødvendig, trykk på enheten, og den bekrefter deg.

"Det viktige, " sa Ehrensvärd, "er at enheten samhandler direkte med hvert nettsted. Det er ingen tredjeparts lagring som kan hackes. Det er heller ingen spesielle lesere som trengs som med en chip og PIN-kredittkort."

"Yubikey Neo vil ikke være tilgjengelig for publikum før senere i år, " sa hun, "men flere store partnere bruker allerede det internt for sine ansatte. Det fungerer veldig bra. Det er som et sjåførløst smartkort."

Personvern, for

"Folk er mer og mer bevisste på personvernproblemer, delvis på grunn av NSA-avsløringene, " sa Ehrensvärd. "Med U2F får brukere kontroll over identiteten sin. De kan kjøpe sin sikre enhet mange steder; vi er de første, men det vil være andre. Bruk deretter den til å autentisere uten å gi bort detaljer om identiteten din. Den er sikker, men anonym. Det eies eller kontrolleres ikke av myndighetene, banken eller skyen. Det er brukereid identitet."

"Dette er forstyrrende !, fortsatte hun. "Banker og bedrifter trenger ikke å presse det. Bruker vil ønske å kjøpe det. De trenger ikke å bekymre seg for passord. Åh, det er et supplement til passordledere, men til slutt trenger du kanskje ikke en passordbehandler."

Gratis, enkel implementering

"Tjenesteleverandører kan enkelt støtte U2F ved å bruke gratis, open source-komponenter, " forklarte Ehrensvärd. "Eller de kan betale for å få det til for dem. Min visjon var å komme hit, å innse hva som nå er FIDO U2F. Mange enhetsleverandører kan konkurrere og sameksistere."

"Hvis standarder er låst inne hos en leverandør, kan det bli kostbart, " sa hun. "Vi sier at teknologien er gratis. Den eneste som må betale er brukeren, og det er en engangskostnad. Vi skal rulle den ut senere i år. Det er nyttig at så mange store navn allerede er i FIDO-alliansen, fordi for at enheten skal være nyttig, trenger du mange nettsteder som støtter den for den store distribusjonen."

Omtrent alle er enige om at passord er vondt. Biometriske løsninger, fra fingeravtrykk til hjerterytme til øyebollanalyse, er hele veien mer kompliserte enn Yubicos foreslåtte løsning. Og darn tingene er holdbare; Jeg har holdt på nøkkelringa mi i fem år. Dette er bare oppfinnelsen som staver slutten på dumme passord.