Hızlı Kimlik Online (FIDO) Alliance, farklı sağlayıcılar arasında pasiflerin güvenli aktarılmasını sağlamayı amaçlayan yeni bir spesifikasyonun çalışma taslağı yayınladı.
Passeyler, kullanıcıları uzun karakter dizilerini hatırlamalarını veya yönetmelerini gerektirmeden kimlik doğrulaması yapmak için ortak anahtar kriptografisini kullanan bir şifre olmadan bir kimlik doğrulama yöntemidir.
Fido, işaretlerin şifre tabanlı kimlik doğrulamalarından% 75 daha hızlı ve% 20 daha başarılı olduğunu ve bu yeni teknolojinin faydalarını vurguladığını bildirdi.
Uygun ve kimlik avlamaya dayanıklı olmasına rağmen, passeyler ile ilgili en büyük zorluklardan biri, bunları farklı platformlar ve hizmet sağlayıcılarına aktarmanın güvenli bir yolu olmamasıdır.
Örneğin, Google’ın şifre yöneticisinde passeyler oluşturan kullanıcılar, cihazları değiştirirken, bir tür 'satıcı kilitlenmesi' veya hatta 'cihaz kilitleme' durumu oluştururken Apple’ın iCloud anahtarına güvenli bir şekilde aktaramazlar.
Bu nedenle, daha fazla özgürlük sağlamak yerine, passeyler kullanıcı deneyiminde istenmeyen parçalanma yarattı ve bunları farklı bir platforma taşımaya çalışırken güvenlik riskleri getirdi.
Fido'nun önerdiği yeni özellik, esasen kimlik bilgisi aktarımı için yaygın olarak kabul görmüş güvenli standartların eksikliğini ele alır, bu da sağlayıcılar arasında geçiş yaparken komplikasyonları veya pratik sınırlamaları ortadan kaldırır.
Spesifikasyonlar, kimlik bilgisi değişim protokolü (CXP) ve kimlik bilgisi değişim biçimi (CXF) olmak üzere iki ayrı taslakta sunulmaktadır.
CXP, Diffie-Hellman Key Exchange ve Hibrid Public Anahtar Şifreleme (HPKE) kullanan farklı sağlayıcılar arasında kimlik bilgilerini güvenli bir şekilde aktarmak için bir yöntem tanımlar, böylece veriler transit sırasında sabitlenir.
CXF, geçiş sırasında sağlayıcılar arasında kimlik bilgilerinin güvenli bir şekilde aktarılması için standartlaştırılmış bir yapı tanımlar ve birlikte çalışabilirlik ve veri bütünlüğünü sağlar. Önerilen formatlar zip içinde JSON'u içerir, her parça CXP tarafından belirtildiği gibi şifrelenir.
Taslaklar, FIDO ortak üyelerinden ve Dashlane, Bitwarden, 1Password, Nordpass ve Google gibi paydaşların uzmanlarının katkılarıyla geliştirildi.
Google, Microsoft, Apple, Visa, Mastercard, PayPal, Intel, Samsung, Meta ve Amazon gibi teknoloji alanındaki liderlerden oluşan Fido Alliance, yeni spesifikasyonun bugünkü passeylerin benimsenmesini sağlayacağını umuyor. 12 milyardan fazla çevrimiçi hesabı korumak için kullanılır.
Önerilen özellikler şu anda taslak formdadır ve değişime tabidir.
Spesifikasyonların formülasyonuna katılmak isteyenler, bu GitHub sayfası üzerinden geri bildirimlerini sağlayabilir. Taslaklar, katılaşana kadar eklemeleri ve değişiklikleri yansıtacak şekilde yavaş yavaş güncellenecek, ancak şu anda verilmedi.
Amazon, 175 milyon müşterinin artık giriş yapmak için paskuk kullandığını söylüyor
Google Şifre Yöneticisi artık pasiflerinizi otomatik olarak senkronize ediyor
Yeni Eucleak Saldırısı, Tehdit Oyuncuları Klon Yubikey Fido Keys
Kaynak: Bleeping Computer