Пароли

MUST

DIE

Аккерманн Юрий

twitter/github/habrahabr: @herrjemand

Специалист по беспарольной аутентификации

Дисклеймер

Все ниже сказанное является личным мнением автора и ни в коем смысле не выражает позицию его работодателей

Немного истории...

до: 1980х

Чистая, парольная, аутентификация

В чём проблема?

Взлом базы данных ведет к компрометации пароля

1980е

Парольная аутентификация с хешированием и солью

1990е

Атака по середине

В чём проблема?

https://twitter.com/durumcrustulum/status/983613760995774464

2000e

Безопасное соединение с помощью TLS

БОТЫ

В чём проблема?

2010e

Двухфакторная аутентификация на одноразовых паролях

Три фактора аутентификации

То что я знаю

То что я имею

То что я наследую

Фишинг

В чём проблема?

2014й

Универсальная двух-факторная аутентификация

http://kotomatrix.ru/show/51546/

Как можно компрометировать пароль?

В чём проблема?

Пароли это как борщь

Куда ни ступи, он будет везде.

Поговорим о FIDO

Пользователь

Протокол

Транспорт

Пользователь

Протокол

Вызов-ответ

Защита от фишинга

Защита от атаки повтором

Регистрационно зависимые пары ключей

Аттестация

Без Табу: беспарольная аутентификация

Верификация

Аутентификация

Ваш паспорт?

О да! Оболонь светлое!

Аутентификация/Верификация

Парольная аутентификация

Беспарольная аутентификация

Тест на присутствие пользователя

Пользовательская верификация

FIDO2

Веб ориентированный протокол
Ключики безопасности
Обратная совместимость с U2F
Все ваши виндовсы и адроиды теперь FIDO2 аутентификаторы
Легкий JS API. Большое комьюнити. Много опен соурса
Поддерка AzureAD. Можно входить в ноуты по ключику.
С 2020го можно использовать для гибридных решений. Давай до свидания PIV

Король умер, да зравствует король!

CTAP2

Браузерная
Поддержка FIDO2

UAF

Ориентирован на мобильную среду
Самый используемый протокол FIDO.
(est 800млн пользователей)
Поддержка криптографического подтверждения тразнзакций (показал, отпечаток, подписал)
Гибкость решений для всевозможных сценариев
iOS и Android
Большой рынок коммерческих решений.
Мало опенсоурса :(

Когда вы банк и PDS2 ваш враг

Подведем итоги