Belangrijkste afhaalrestaurants
- De FIDO Alliance heeft een whitepaper gepubliceerd waarin de tekortkomingen worden geanalyseerd die voorkomen dat de wachtwoordloze authenticatiestandaard mainstream wordt.
- Wachtwoordloze authenticatiemechanismen zijn er niet in geslaagd wachtwoorden te vervangen omdat ze onhandig zijn, suggereert de whitepaper.
-
Het stelt het gebruik van smartphones voor als roaming-beveiligingssleutels.
Sterke wachtwoorden zijn onhandig om te maken en te beheren, maar het toevoegen van extra stappen en apparaten aan het authenticatieproces is een nog grotere hoofdpijn.
Dat is de conclusie van een whitepaper van de Fast ID Online Alliance (FIDO), die bruikbaarheidsproblemen de schuld geeft van het voorkomen dat wachtwoordloze authenticatiemechanismen mainstream worden. De alliantie heeft echter een oplossing bedacht om het probleem voor eens en altijd op te lossen en de FIDO-authenticatiestandaard zo alomtegenwoordig te maken als wachtwoorden.
"FIDO heeft alle aanvankelijke verwachtingen overtroffen", vertelde Bill Leddy, VP Product bij LoginID, aan Lifewire via e-mail na het lezen van de whitepaper. "[Het] is heel dicht bij het oplossen van alle authenticatie [problemen], maar heeft wat meer nodig."
Wachtwoorden annuleren
Leddy gelooft dat wachtwoorden hun gebruik hebben overleefd. Hij geeft de beveiligingsindustrie de schuld van falende mensen door veel te lang op zwakke opties te drukken.
"Wachtwoorden zijn nu 60 jaar oud, maar blijven de primaire authenticatie-optie voor de meeste accounts. Consumenten hebben veel verschillende accounts en er wordt verwacht dat ze voor elk een uniek wachtwoord onthouden. Dat is geen praktische oplossing ", beweerde Leddy. Hij voegde eraan toe dat in het internet van vandaag, waar websites gemakkelijk kunnen worden gekloond, het de taak van de beveiligingsindustrie is om mensen uit te rusten met de juiste tools om accountinbreuken te voorkomen.
De FIDO Alliance, een open branchevereniging, opgericht om de afhankelijkheid van wachtwoorden te verminderen, werkt al ongeveer tien jaar aan dit probleem. Het heeft de FIDO-authenticatiestandaard gecreëerd, die geen grip heeft kunnen krijgen. In de whitepaper denkt de alliantie dat ze eindelijk het ontbrekende stukje van de puzzel heeft geïdentificeerd en ook een strategie heeft geschetst om het te overwinnen.
Volgens de alliantie heeft het huidige wachtwoordloze authenticatiemechanisme van FIDO inherente bruikbaarheidsproblemen waardoor het geen brede acceptatie heeft bereikt.
"[We] hebben een beperkte acceptatie waargenomen [in de consumentenruimte], vanwege het waargenomen ongemak van fysieke beveiligingssleutels (kopen, registreren, dragen, herstellen) en de uitdagingen waarmee consumenten worden geconfronteerd met platformauthenticators (bijv.g., elk nieuw apparaat opnieuw moeten inschrijven; geen gemakkelijke manieren om te herstellen van verloren of gestolen apparaten) als een tweede factor, "merkte de krant op.
Om de problemen op te lossen, roept de whitepaper op om onze smartphones te gebruiken als roaming-authenticators of draagbare beveiligingssleutels.
"Het apparaat van een gebruiker als roaming-authenticator is een geweldige gebruikerservaring en veel veiliger dan wachtwoorden op een semi-vertrouwd apparaat als het correct wordt gedaan. Aangezien nieuwe smartphones native FIDO ondersteunen en consumenten zelden ver van hun telefoon zijn, is het is een goede optie, " beaamt Leddy.
De weg vooruit
De whitepaper suggereert echter dat om smartphones succesvol te maken als draagbare beveiligingssleutels, FIDO een soepel proces moet bedenken voor mensen om hun mobiele apparaten toe te voegen of te wisselen tussen hun mobiele apparaten.
Het betoogt dat als het proces voor essentiële taken, zoals het opzetten van een nieuwe telefoon of het overschakelen naar een nieuwe, niet eenvoudig is, mensen het hele idee waarschijnlijk als onhandig zullen afwijzen. Om dit te voorkomen, stelt de paper voor om een nieuwe techniek te introduceren die ze multi-device FIDO-referenties of "passkeys" noemen.
"Inloggegevens voor meerdere apparaten beantwoorden aan een al lang bestaande vraag rond FIDO. De vraag was hoe ik naar een nieuw apparaat kon verhuizen als ik 50 domeinspecifieke inloggegevens op mijn oude apparaat had ingeschreven en vervolgens een nieuwe kreeg apparaat. Niemand wil accountherstel voor 50 verschillende services doorlopen om nieuwe FIDO-referenties opnieuw te binden ", legt Leddy uit.
FIDO beweert dat wachtwoorden deze situatie helemaal helpen voorkomen door ervoor te zorgen dat wanneer we van het ene apparaat naar het andere overschakelen, onze FIDO-referenties daar al op ons wachten. Natuurlijk is de paper conceptueel, en Leddy denkt dat een dergelijk mechanisme gemakkelijker voor te stellen dan te implementeren is.
"Het zou jammer zijn als de toegangssleuteloplossingen leverancierspecifiek zouden zijn, zodat een consument niet kan schakelen tussen apparaatfabrikanten of zelfs maar een heterogene (MacBook en Android-telefoon) set apparaten", waarschuwde Leddy.
Hij heeft er echter alle vertrouwen in dat de FIDO-alliantie, die zwaargewichten als Apple, Meta, Google, PayPal, Wells Fargo, American Express en Bank of America tot haar leden rekent, met oplossingen zal komen die ' t alleen universeel maar ook grondig doorgelicht tegen aanvallen.
FIDO gelooft dat de FIDO-inloggegevens voor meerdere apparaten de laatste nagel aan de kist voor wachtwoorden zullen worden. "Door deze nieuwe mogelijkheden te introduceren, hopen we websites en apps in staat te stellen een end-to-end echt wachtwoordloze optie te bieden; geen wachtwoorden of eenmalige toegangscodes (OTP) vereist", aldus de alliantie.
