Protokol FIDO2 ukladá autentifikačný kľúč iba na zariadení používateľa v podmienkach offline. Preto je oveľa bezpečnejší, spoľahlivejší a ľahšie sa používa.
Aktualizácia 2 (13. 8. 2019 o 9:50 ET): Google zavádza autentifikáciu FIDO2 bez hesla pre účty Google na zariadeniach so systémom Android.
Aktualizácia 1 (7.5.2019 o 13:31 ET): Google má oznámil všeobecná dostupnosť tejto novej funkcie, ktorá vám umožní používať telefón ako bezpečnostný kľúč pre dvojstupňové overenie.
Život vo svete bez hesla je budúcnosť, o ktorej snívajú mnohí tech nadšenci. Neexistuje žiadny odhadovaný čas príchodu alebo ukazovateľ pokroku o vrchole pokroku tejto technológie, ale jej príchod je nevyhnutný. Heslá sú datované, ľahko zabudnuteľné a veľmi často neisté, aj keď prijmete dodatočné opatrenia ako 2-faktorové overenie. Rovnako ako mnoho ďalších hlavných nadchádzajúcich trendov, aj v tomto zohráva rolu Google. To by nemalo byť trochu prekvapujúce, ak vezmeme do úvahy, že táto spoločnosť vlastní najpopulárnejší mobilný operačný systém, webový prehliadač a vyhľadávač. Google už niekoľko rokov pracuje na vývoji tejto technológie s partnermi ako Microsoft a ďalšími technologickými gigantmi. Spoločnosť včera urobila ďalší veľký krok smerom k funkcii bez hesla.
Aliancia FIDO oznámil včera na Mobile World Congress, že Android je teraz certifikovaný FIDO2. Ak ste o nich ešte nepočuli, FIDO Alliance je združenie, ktoré pracuje a definuje štandardy autentifikácie bez hesla. Niektorí z členov aliancie sú Google, Facebook, GitHub, Dropbox, eBay a mnoho ďalších. Spolu s partnermi z celého sveta pracuje Aliancia FIDO už niekoľko rokov na certifikácii FIDO2.
Okrem zrejmého pohodlia a zlepšení použiteľnosti oproti bežným datovaným heslám ponúka protokol FIDO2 aj oveľa lepšiu bezpečnosť. Ako vidíte, autentifikácia pomocou hesiel tradične fungovala takto: používateľ aj služba mali na serveri a v zariadení uložený tajný kľúč. Počas procesu autentifikácie používateľ odošle heslo na server, kde sa zašifruje a porovná s uloženým kľúčom. Ak sa kľúče zhodujú, používateľ získa prístup k svojmu účtu/obsahu. Teraz má táto metóda veľkú chybu: autentifikačné kľúče sú uložené na dvoch rôznych miestach, vďaka čomu sú 2-krát zraniteľnejšie voči útokom. Je pravda, že existujú metódy, ako je šifrovanie typu end-to-end, aby sa im zabránilo, ale hackeri vždy prichádzajú s novými spôsobmi, ako tieto zjavné nedostatky využiť.
Protokol FIDO2 ukladá autentifikačný kľúč iba na zariadení používateľa v podmienkach offline. Preto je oveľa bezpečnejší, spoľahlivejší a ľahšie sa používa. Certifikácia FIDO2 je teraz k dispozícii na všetkých mobilných zariadeniach so systémom Android 7.0 Nougat alebo novším. Vývojári mobilných a webových aplikácií už môžu použiť API na implementáciu funkcie do svojich vlastných služieb.
Aktualizácia 2: Účty Google
Google začal zavádzať autentifikáciu FIDO2 bez hesla pre účty Google na zariadeniach so systémom Android 7+, počnúc dnešným dňom so zariadeniami Pixel. Používatelia môžu pri návšteve určitých služieb Google namiesto zadávania hesla použiť metódu odtlačku prsta alebo zámku obrazovky. To znamená, že používateľ môže zaregistrovať svoj prst raz a použiť ho pre množstvo natívnych a webových služieb. Odtlačok prsta sa nikdy neodošle na servery Google.
Ak si to chcete hneď vyskúšať, prejdite na stránku passwords.google.com, vyberte stránku, na ktorej chcete zobraziť alebo spravovať uložené heslo, a podľa pokynov potvrďte svoju identitu.
Zdroj: Google