Oto jak Apple chce wycofać z użycia zwykłe hasła

Tradycyjne hasła, ale także uwierzytelnianie dwupoziomowe, mają swoje słabe strony. W oparciu o WebAuthn i iCloud, Apple już pracuje nad następcą obecnych systemów zabezpieczających.

W rzeczywistości użytkownicy mają już do dyspozycji cztery różne metody zarządzania hasłami:

  • samodzielne wymyślanie hasła
  • menedżer haseł
  • uwierzytelnianie wielopoziomowe
  • zlecenie logowania

Nie zaleca się samodzielnego wymyślania haseł, a tym bardziej używania ich więcej niż raz. Ze względu na powtarzające się wycieki haseł i phishing, tradycyjne hasła okazały się zbyt słabe. W zasadzie dotyczy to jednak wszystkich sposobów generowania haseł, nawet jeśli organizujesz je za pomocą menedżera, który automatycznie tworzy długie i bezpieczne ciągi znaków.

Kolejny sposób to uwierzytelnianie wielopoziomowe, które zamiast wprowadzania stałych danych uwierzytelniających, takich jak nazwa użytkownika i hasło, wymaga oddzielnych kodów weryfikacyjnych dla każdego logowania. Tak więc macOS Monterey po raz pierwszy otrzymuje również nowy system uwierzytelniania dla dodatkowego bezpieczeństwa logowania.

Zobacz również:

Ostatnim sposobem jest zlecenie logowania do systemu (np. poprzez Zaloguj się, używając konta Apple), zwane również Federated Identity. Jednak Apple pracuje już nad zupełnie nową koncepcją, która w ciągu najbliższych kilku lat może całkowicie zastąpić tradycyjne hasła.

Oto jak Apple chce wycofać z użycia zwykłe hasła

Nowa metoda Apple

Klucze bezpieczeństwa zamiast danych logowania

Nawet w przypadku najnowszych rozwiązań, dane muszą być współdzielone pomiędzy użytkownikiem a usługą. Zamiast wciąż podatnych na ataki danych logowania, można to jednak obejść, używając kluczy bezpieczeństwa do logowania - zamiast danych logowania, które muszą być przechowywane zarówno przez użytkownika, jak i usługę, użytkownik otrzymuje klucz prywatny. Urządzenie Apple generuje klucz publiczny i prywatny, a serwis dostaje tylko klucz publiczny, który jest bezwartościowy dla hakerów. Jednak tylko przy użyciu klucza prywatnego możliwe jest zalogowanie się (tzw. private key challenge).

Oto jak Apple chce wycofać z użycia zwykłe hasła

Tylko osoba posiadająca klucz prywatny może złożyć podpis

Apple nie korzysta z własnego projektu, ale z branżowego standardu WebAuthn. Nie jest to nowość i jest już obsługiwana w Safari od iOS 14.5, może być również używana w Big Sur. Jednym ze sposobów, aby już teraz korzystać z tego standardu, są rozwiązania sprzętowe, takie jak Yubi-key, który jest podłączany przez USB lub Lightning i dzięki temu również spełnia najwyższe standardy bezpieczeństwa firm. Ale to, co jest nowe, to wsparcie dla tych plików kluczy poprzez iCloud keychain, który jest nadal w fazie beta.

Apple wprowadza do tego celu nowy typ Passkey, lecz nie jest wymagany osobny sprzęt. Dane są przesyłane za pośrednictwem iCloud i powinny - automatycznie synchronizowane - być dostępne na wszystkich urządzeniach, a także powinny być tworzone ich kopie zapasowe. Zaletą jest również łatwość obsługi, bowiem logowanie jest możliwe dzięki kluczowym danym za pomocą kliknięcia lub stuknięcia. Funkcja jest dostępna po raz pierwszy w iOS 15 i macOS Monterey, ale nie jest jeszcze przeznaczona dla systemów produkcyjnych. Trzeba więc najpierw aktywować ją do celów testowych.