Protokol FIDO2 ukládá ověřovací klíč pouze na zařízení uživatele v offline podmínkách. Proto je mnohem bezpečnější, spolehlivější a snadněji se používá.
Aktualizace 2 (8/13/19, 9:50 ET): Google zavádí ověřování FIDO2 bez hesla pro účty Google na zařízeních Android.
Aktualizace 1 (7. 5. 2019 ve 13:31 ET): Google má oznámil obecná dostupnost této nové funkce, která vám umožní používat telefon jako bezpečnostní klíč pro dvoufázové ověření.
Život ve světě bez hesel je budoucností, o které sní mnoho technologických nadšenců. Neexistuje žádný odhadovaný čas příjezdu nebo ukazatel pokroku ohledně vrcholu pokroku této technologie, ale její příchod je nevyhnutelný. Hesla jsou datovaná, snadno zapomenutelná a velmi často nezabezpečená, i když přijmete další opatření jako dvoufaktorové ověřování. Stejně jako mnoho hlavních nadcházejících trendů je Google také v tomto trendu. To by nemělo být trochu překvapivé, vezmeme-li v úvahu, že tato společnost vlastní nejpopulárnější mobilní OS, webový prohlížeč a vyhledávač. Google již několik let pracuje na vývoji této technologie s partnery, jako je Microsoft a další tech giganti. Společnost včera udělala další velký krok směrem k funkci bez hesla.
Aliance FIDO oznámil na Mobile World Congress včera, že Android je nyní certifikován FIDO2. Pokud jste o nich ještě neslyšeli, FIDO Alliance je sdružení, které pracuje na standardech autentizace bez hesla a definuje je. Někteří z členů aliance jsou Google, Facebook, GitHub, Dropbox, eBay a mnoho dalších. Spolu s partnery z celého světa pracuje FIDO Alliance na certifikaci FIDO2 již několik let.
Kromě zjevného pohodlí a vylepšení použitelnosti oproti běžným datovaným heslům nabízí protokol FIDO2 také mnohem lepší zabezpečení. Jak vidíte, autentizace pomocí hesel tradičně fungovala takto: uživatel i služba měli tajný klíč uložený na serveru a zařízení. Během procesu ověřování uživatel odešle heslo na server, kde je zašifrováno a porovnáno s uloženým klíčem. Pokud se klíče shodují, uživatel získá přístup ke svému účtu/obsahu. Nyní má tato metoda velkou chybu: ověřovací klíče jsou uloženy na dvou různých místech, díky čemuž jsou 2krát zranitelnější vůči útokům. Je pravda, že existují metody, jako je end-to-end šifrování, jak jim zabránit, ale hackeři vždy přicházejí s novými způsoby, jak tyto zjevné nedostatky využít.
Protokol FIDO2 ukládá ověřovací klíč pouze na zařízení uživatele v offline podmínkách. Proto je mnohem bezpečnější, spolehlivější a snadněji se používá. Certifikace FIDO2 je nyní k dispozici na všech mobilních zařízeních se systémem Android 7.0 Nougat nebo novějším. Vývojáři mobilních a webových aplikací již mohou pomocí API implementovat funkci do svých vlastních služeb.
Aktualizace 2: Účty Google
Google začal zavádět ověřování FIDO2 bez hesla pro účty Google na zařízeních se systémem Android 7+, počínaje dneškem se zařízeními Pixel. Uživatelé mohou při návštěvě určitých služeb Google místo zadávání hesla použít otisk prstu nebo metodu zámku obrazovky. To znamená, že uživatel může zaregistrovat svůj prst jednou a použít jej pro řadu nativních a webových služeb. Otisk prstu se nikdy neodesílá na servery Google.
Chcete-li to hned vyzkoušet, přejděte na passwords.google.com, vyberte web, na kterém chcete zobrazit nebo spravovat uložené heslo, a podle pokynů potvrďte svou identitu.
Zdroj: Google