Google ehdottaa koruja tai laitetta seuraavan sukupolven salasanaksi

Google luulee voivansa löytää vastauksen unohdettujen tai heikkojen salasanojen häiritsevään ongelmaan:" fyysiset "salasanat, jotka saattavat tulla osaksi koruja, kuten rengas.

Tutkimusasiakirjassaan kaksi sen insinöörit kirjoittavat, että nykyiset strategiat, joilla estetään verkkotilien kaappaaminen, mukaan lukien kaksivaiheinen henkilöllisyyden tarkistusjärjestelmä, ovat riittämättömiä osittain jatkuvien uhkien vuoksi jotka hyödyntävät uusia vikoja.

Google korostaa tietojenkalastelua, jossa hakkerit antavat salasanan haltijoille paljastaen arkaluonteiset tiedot tekemällä heidät kirjautumalla väärennetyn tilin sisäänkirjautumissivulle yhdeksi tänään suurimmista tietoturvauhista.

[Lisää lukeminen: miten uudelleen siirrä haittaohjelmia Windows-tietokoneeltasi]

"On aika luopua salasanasuojista ja etsiä jotain parempaa", kirjoittajat sanovat. Googlen Eric Grosse'n ja Mayank Upadhyayn tutkimuslehti julkaistaan ​​28. tammikuuta julkaisussa IEEE Security & Privacy. Wiredin ilmoittama ensimmäinen perjantaina.

[[Katso myös " "Salasana" on edelleen huonoin salasana, mutta varo "ninja" "ja" Miten löytää onnellisuutta salamurhassa. "]]

Google testaa USB-laitteen

Googlen ehdotuksen ydin on ajatus, jonka mukaan yritykset ovat käyttäneet, mutta kuluttajat ovat löytäneet vain vähän menestystä: salattua USB-kaltaista laitetta, jota ihmiset käyttäisivät kirjautumalla salasanalla suojattuihin verkkosivustoihin ja verkkotileihin.

Google sanoo, että se työskentelee sisäisen pilotin jossa kokeellinen USB-laite, jonka käyttäjät rekisteröivät ensimmäisen kerran useilla verkkosivustoilla, joilla niillä on tilejä. Yhteensopiva selain tekisi kaksi uutta sovellusrajapintaohjelmaa (application programming interfaces), jotka ovat saatavilla verkkosivustolle, joka siirretään liitteenä olevalle laitteelle.

"Yksi näistä sovellusliittymistä kutsutaan rekisteröintivaiheen aikana, jolloin laitteisto luo uuden julkisen palvelun, yksityinen avainparin ja lähetä julkinen avain takaisin verkkosivuille ", paperissa selitetään. "Verkkosivusto kutsuu toista API: ta autentikoinnin aikana haastaakseen laitteiston ja palauttamaan allekirjoitetun vastauksen."

Menetelmä ei vaadi asennettavaksi mitään ohjelmistoa, vaikka käyttäjien olisi käytettävä verkkoselainta, joka on yhteensopiva vaivaa, Google sanoi. Rekisteröinti- ja todentamisprotokollat ​​olisivat avoimia ja vapaat, ja laite liittäisi tietokoneen USB: n tarvitsematta tarvitsematta mitään erikoislaitteiden laiteajureita.

Periaatteessa Googlen henkilöt käsittelevät yhtä laitetta, jonka ihmiset voivat liukua USB-muistipaikkaan ja käyttää sitten kirjaudu mihinkään verkkotileihin yhdellä hiiren napsautuksella.

Koska toisen laitteen kuljettaminen ei ehkä ole suosittua kuluttajien keskuudessa, Google ehdottaa, että todennuslaite voidaan integroida älypuhelimeen tai jopa koruihin. Laite voi sallia uuden tietokoneen käytön yhdellä kosketuksella, myös tilanteissa, joissa puhelin saattaa olla ilman solukkotietoliikennettä.

Tasapainotus, turvallisuus

Teknologian avulla pyritään parantamaan yrityksen nykyistä, valinnainen kahden vaiheen vahvistusjärjestelmä. Kun järjestelmää käytetään, kun käyttäjät haluavat kirjautua Google-palveluun uudesta tietokoneesta, heitä pyydetään antamaan koodi, joka on lähetetty aiemmin ilmoitetulle matkapuhelimelle ja joka antaa heille pääsyn sivustoon.

Yhtiö kertoo kokemuksestaan, että järjestelmä on ollut hyvä, vaikka tilinhakkereita voi käyttää väärin. Kun he varastivat salasanan ja murtautuvat tiliin, he joskus asettivat kaksitasoisen todentamisen käyttämällä omaa puhelinnumeroaan "vain ajaa reaaliaikaisen tilin omistajan palauttamaan tilisi takaisin". Googlen insinöörit kirjoitti.

Google myöntää sen ehdotettu USB-avain lähestymistapa on "spekulatiivinen" ja että se on hyväksyttävä laajassa mittakaavassa. Mutta yritys sanoi, että se on halukas testata laitetta muiden verkkosivustojen kanssa.

"Käyttäjälaitteiden rekisteröinti tavoiteosoitteiden kanssa on yksinkertaista eikä vaadi suhteita Googlen tai muun kolmannen osapuolen kanssa", insinöörit kirjoittavat. "Rekisteröinti- ja todentamisprotokollat ​​on oltava avoimia ja ilmaisia, jotta kuka tahansa voi toteuttaa selaimessa, laitteessa tai verkkosivustossa."

Google ei sanonut, jos kokeilujärjestelmä saattaisi käyttää sitä. "Olemme keskittyneet tekemään autentikoinnin turvallisemmaksi ja helpommin hallinnoimaan. Uskomme, että tällaiset kokeilut voivat auttaa kirjautumisjärjestelmien parempaan kehittämiseen", tiedottaja sanoi sähköpostilla.