Autora viedoklis: piekļuves atslēgas (passkeys) nav tik brīvas, kā šķiet
Tehnoloģiju komentētājs savā esejā brīdina, ka piekļuves atslēgas, kas aizvieto paroles, lietotājam dod mazāku kontroli nekā paroles vai autentifikatoru lietotnes. Viņš kritizē arī FIDO Alliance sastāvu, jo tajā nav patērētāju tiesību organizāciju.
Interneta lietotājiem arvien biežāk piedāvā pāriet no parolēm uz piekļuves atslēgām (angļu val. passkeys). Vietnē Substack publicētā esejā autors apgalvo, ka šī tehnoloģija ir drošāka par parolēm un var būt ērtāka, taču lietotājam nedod pilnu kontroli pār savu pieslēgšanās datu likteni. Raksts ir autora viedoklis, nevis neatkarīgs pētījums.
Kas stāv aiz piekļuves atslēgām
Piekļuves atslēgas izstrādājusi FIDO Alliance, apvienība, kurā ir lielie tehnoloģiju uzņēmumi, mazāki uzņēmumi, valstu valdības, izlūkdienesti, bankas, publiskas iestādes un dažas bezpeļņas organizācijas, piemēram, Mozilla. Autors norāda, ka starp dalībniekiem nav neviena patērētāju interešu aizstāvja. Salīdzinājumam viņš min World Wide Web Consortium (W3C), kas nosaka tīmekļa standartus un kurā darbojas arī sabiedrisko interešu grupas, universitātes un tīmekļa izgudrotājs Tims Berners-Lī.
Paroles un TOTP
Autors piekrīt, ka paroles ir nedrošas, un min SolarWinds serveru paroli “solarwinds123” un Havaju Ārkārtas situāciju pārvaldes paroli, kas nejauši bija redzama fotogrāfijā uz līmlapiņas. Tomēr, pēc viņa teiktā, drošības problēma jau ir atrisināta ar divfaktoru autentifikāciju un laikā balstītām vienreizējām parolēm (TOTP, tā sauktajām autentifikatoru lietotnēm). TOTP ik pēc 30 sekundēm ģenerē jaunu skaitli, pamatojoties uz laiku un lietotāja unikālo atslēgu. Tas balstās uz atklātu standartu RFC 6238, tāpēc nav jālieto konkrēta programma, piemēram, Google Authenticator. Lietotājs pats izlemj, kur glabāt datus un ar ko tos dalīt.
Piekļuves atslēgu “slazds”
Piekļuves atslēgas balstās uz atklātu standartu WebAuthn, un autors sākumā demonstrē, ka tās var izveidot ar atvērtā koda programmatūru un nosūtīt draugam pa e-pastu. Taču, viņaprāt, FIDO Alliance ar vārdu “passkey” apzīmē vairākus atšķirīgus veidus, kas var būt kopējami vai nekopējami, pārsūtāmi vai nepārsūtāmi, saglabāti failā vai drošā mikroshēmā (piemēram, Trusted Platform Module vai iPhone Secure Enclave). Autors uzskata, ka tas lietotājus apmulsina, un aicina precīzi zināt, kāda veida atslēgu viņi izveido. Teksta turpinājums avota fragmentā nav iekļauts.
