Slo-Tech - Konzorcij za svetovni splet (W3C), ki je pristojen za potrjevanje standardov, je objavil končno verzijo Web Authentication API, ki je s tem postal standard WebAuthn. Gre za tehnologijo, ki so jo leta 2015 prvi predlagali velikani Apple, Google, Microsoft, Intel in drugi, prva pa sta jo v praksi udejanjila Dropbox in Microsoft. Danes jo podpirajo vsi veliki brskalniki, tudi Chrome, Firefox in Safari.
WebAuthn je API, ki spletnim stranem omogoča izvajanje avtentikacije (preverjanje pristnosti) s komunikacijo z varnostno napravo, ki ji uporabnik dovoli dostop. To je lahko na primer varnostni ključ FIDO ali biometrika. Tako lahko sedaj uporabljamo prstne odtise, žetone v USB, drugo biometriko itd. WebAuthn podpira USB, Bluetooth in NFC.
To ne pomeni, da bomo gesla prenehali uporabljati takoj ali sploh kdaj. Daje pa WebAuthn na voljo infrastrukturo, ki bo to omogočala. In morebiti za vse spletni strani res ni potrebno, da si zanje izmišljujemo geslo. Morda je za kakšne nepomembne forume laže imeti eno kartico FIDO, za bančništvo pa čitalnik prstnega odtisa. Ali pa tudi ne, WebAuthn bo namreč le možnost in ne obveza, podpreti pa jo morajo tudi ponudniki storitev na svojih straneh.
Despite these shortcomings Paragon Initiative Enterprises still encourage users to continue to use WebAuthn but have come up with some recommendations for potential implementors and developers of the standard that they hope can be implemented before the standard is finalized.
Ena zadeva mi ni cisto jasna, bo public key generiran za vsako stran posebaj ali bo enak za vse strani. Predvidevam, da ga bo ob registraciji treba naloziti na stran. Kar pomeni, da dobis single identifyer preko vseh strani (kar bi razlozilo zakaj google sodeluje pri tem), ce bo pa na novo generiran imas pa spet password manager, ki bo namesto kratkih passwordov hranil blobe podatkov. Predvidevam, da se bo uporabljal en private/public key pair. Ker je pac super, da imas elektronsko osebno izkaznico, ki jo potem se kaksen paypal poveze na fizicno identiteto.
(Za vsak slucaj naj pojasnim; v zadnjem stavku sem cinicen - ce bi se ta zadeva prijela, bi bili vsi uporabniki browserjev v enaki situaciji kot uporabniki chroma - trackani bi bili vsepovsod)
Se prav zbiral bodo prstne odtise, oči, glas in sliko obraza pod pretvezo varnosti. Koji kriminalci.
Saj tako kot danes, za "varnost" (da kogs ne napadejo teroristi ali pedofili), hocejo telefonsko, da ti kdo ne ukrade osebnih podatkov... Ker to lahko samo oni, ostali ne veljajo...
ROFL, pa smo tam, server ti poslje js, kjer je "zacahnjeno" attestation: The attestation data that is returned from the authenticator has information that could be used to track users. This option allows servers to indicate how important the attestation data is to this registration event. A value of "none" indicates that the server does not care about attestation. A value of "indirect" means that the server will allow for anonymized attestation data. direct means that the server wishes to receive the attestation data from the authenticator.
Komaj cakam, da tole enablajo na googlu, prwprican sem, da bo attestation = "none"... not...
Pa ob prvem generiranju kljuca za gmail bo chrome posiljal samo se ta public key... tole se da zlorabit na toliko nacinov, da bom kar pri passwordih ostal.
Varnostni sistem, ki sloni na biometriji je en velik EPIC FAILL!
Heker ugotovi tvoje geslo, in ga lahko brez problema v 5 minutah zamenjaš.
Heker ugotovi tvoj prstni odtis ... kaj pa boš zdaj? Si prst odrezal stran? Kaj pa posnetek roženice? Si boš iztaknil oko, in na črnem trgu eno novo oko od enega Kitajca kupil? (Pa še vsi Azijci imajo iste črne oči kako jih boš ločil?)
Varnostni sistem, ki sloni na biometriji je en velik EPIC FAILL!
Heker ugotovi tvoje geslo, in ga lahko brez problema v 5 minutah zamenjaš.
Heker ugotovi tvoj prstni odtis ... kaj pa boš zdaj? Si prst odrezal stran? Kaj pa posnetek roženice? Si boš iztaknil oko, in na črnem trgu eno novo oko od enega Kitajca kupil? (Pa še vsi Azijci imajo iste črne oči kako jih boš ločil?)
Biometrija je en velik FAILL!!!
Biometrija je username. Ki ga ne mores spremeniti. In preprican sem, da ima google prstne odtise vseh, ki so ga kdaj uporabili na telefonu z google playem.
Varnostni sistem, ki sloni na biometriji je en velik EPIC FAILL!
Heker ugotovi tvoje geslo, in ga lahko brez problema v 5 minutah zamenjaš.
Heker ugotovi tvoj prstni odtis ... kaj pa boš zdaj? Si prst odrezal stran? Kaj pa posnetek roženice? Si boš iztaknil oko, in na črnem trgu eno novo oko od enega Kitajca kupil? (Pa še vsi Azijci imajo iste črne oči kako jih boš ločil?)
Biometrija je en velik FAILL!!!
bo treba fingrprint anonimajzer met skos pr seb. pa še enga doma, za vsak slučaj
Ena zadeva mi ni cisto jasna, bo public key generiran za vsako stran posebaj ali bo enak za vse strani. Predvidevam, da ga bo ob registraciji treba naloziti na stran. Kar pomeni, da dobis single identifyer preko vseh strani (kar bi razlozilo zakaj google sodeluje pri tem), ce bo pa na novo generiran imas pa spet password manager, ki bo namesto kratkih passwordov hranil blobe podatkov. Predvidevam, da se bo uporabljal en private/public key pair. Ker je pac super, da imas elektronsko osebno izkaznico, ki jo potem se kaksen paypal poveze na fizicno identiteto.
Protokol deluje tako, da pri registraciji, FIDO2 cert. naprava prvo zgenerira random keyhandle, ki se uporabi za generiranje determinističnega private key preko secreta v napravi, in poslednično iz njega izvleče pubkey-a. Ta keyhandle in pubkey, si naprava ne shrani ampak, pošle nazaj strani, ki je zahtevala registracijo. Pri prijavi mora stran poleg "iziva" poslati tudi keyhandle, da lahko FIDO2 naprava zgenerira pravilen podpis za pukey, ki je bil zgeneriran med registracijo.
Varnostni sistem, ki sloni na biometriji je en velik EPIC FAILL!
Heker ugotovi tvoje geslo, in ga lahko brez problema v 5 minutah zamenjaš.
Heker ugotovi tvoj prstni odtis ... kaj pa boš zdaj? Si prst odrezal stran? Kaj pa posnetek roženice? Si boš iztaknil oko, in na črnem trgu eno novo oko od enega Kitajca kupil? (Pa še vsi Azijci imajo iste črne oči kako jih boš ločil?)
Biometrija je en velik FAILL!!!
bo treba fingrprint anonimajzer met skos pr seb. pa še enga doma, za vsak slučaj
po drugi strani pa ni nobene ovire da ne bi varnostni sistem uporabljal biometrije in gesla in še ključa na usbju/tekefonu..... če se jih dovolj ujema ta spusti naprej (pač odvisno od željene stopnje varnosti), če ne ne
ja sam mali poštar, kurac mi je oštar
čuvajte se žene, bit ćete jebene
Lahko bi kot dober vzor slotech to podprl. (ne pa da podpirajo proprietary sistem evil google-a)
Ce bo se tema za dipl. nalogo na to temo, na FERIju prosta, se bom spusto v tole, pa lahk naceloma sodelujemo.
Sporocim, k mi prof. odpise
"Everybody is a genius. But if you judge a fish by its ability to climb a tree
it will live its whole life believing that it is stupid."
-Albert Einstein
