World Wide Web Consortium (W3C) разработал новый стандарт WebAuthn, который позволит отказаться от паролей на различных сайтах в обозримом будущем. С годами пароли должны становиться всё сложнее и длиннее, чтобы избежать риска взлома вашего аккаунта. Такие пароли придумать то сложно, не говоря уже про то, чтобы запомнить и с первого раза ввести их.
Менеджеры паролей, как сторонние, так и встроенные в популярные браузеры, помогают не запоминать такие пароли, только тогда приходится быть привязанными к ним и, как минимум, хранить пароль для доступа к самому менеджеру паролей или главному аккаунту. Современные менеджеры паролей также предлагают и сгенерировать новый, более сложный пароль, что тоже очень удобно, главное, чтобы алгоритм генерации никто не взломал. Так что, минусы есть.
WebAuthn является частью спецификации FIDO2, поддерживающейся одноименным альянсом. В этот альянс входят Apple, Microsoft, Google, Amazon, MasterCard, Visa, AmEx и другие. Цель WebAuthn – отказ от пароля, вместо этого будет применяться фреймворк основанный на открытых ключах.
Пример реализации защиты аккаунта с помощью WebAuthn. Вы заходите на сайт, вводите свою почту или имя аккаунта, система проверяет его и предлагает применить способ подтверждения. В большинстве своем, это будет прикладывание пальца к сканеру отпечатков пальцев, считывание лица, использование сторонней флешки или другие популярные методы. Нечто похожее можно сделать с вводом пароля, но в данном случаи автоввода пароля нет, пароля нет вовсе и поэтому его не взломать.
Ваше лицо, ваши отпечатки пальцев, ваш голос – лучшие пароли, которые не забудешь и не потеряешь. Поэтому, биометрия стала столь распространенной и есть уже даже в бюджетных смартфонах и ноутбуках (почти во всех). Добавим сюда двухфакторную аутентификацию на основе генерирования и вставки одноразовых паролей и уровень безопасности становится невероятно высоким и главное, он доступен всем пользователям.
В iOS 15, iPadOS 15 и macOS 12 Monterey в iCloud Keychain появилась новая возможность, получившая название «Passkeys». По сути, Passkeys и есть одной из реализаций на основе WebAuthn. А поскольку, чаще всего именно Apple является двигателем стандартов для приложений и веба, то есть вероятность начала распространения WebAuthn в сети. Естественно, Apple не одна такая, и поддержка WebAuthn тестируется уже давно в Windows Hello, а также в многочисленны и пока не самых доработанных открытых реализациях, которые можно использовать на всех операционных системах.
По материалам: sixcolors.com