Liên minh Fido: mật khẩu bắt đầu làm chúng ta thất bại

Thời đại của mật khẩu có thể ở phía sau chúng ta? Đó là những gì Giám đốc An ninh PayPal, Michael Barrett dự đoán trong một trong những bài phát biểu thú vị nhất tại triển lãm Interop tuần này ở Las Vegas.

Barrett nói rằng mật khẩu đã được sử dụng rộng rãi từ năm 1961 nhưng sự phổ biến của các dịch vụ đám mây đã khiến chúng tôi có quá nhiều trang web yêu cầu mật khẩu. Mọi người có quá nhiều mật khẩu và do đó thất vọng. Kết quả là, ông nói, "Mật khẩu đang bắt đầu làm chúng ta thất bại".

Khi để lại các thiết bị của riêng họ, người dùng sẽ chọn mật khẩu kém và sử dụng chúng ở mọi nơi. Điều đó có nghĩa là tính bảo mật của tài khoản quan trọng nhất của họ bị giảm xuống ở nơi an toàn nhất mà họ sử dụng mật khẩu đó. Trong khi đó, khả năng xử lý giá rẻ trong đám mây, bao gồm cả GPU, đã giúp mọi người dễ dàng bẻ khóa mật khẩu hơn.

Ông nói rằng một hệ thống hai yếu tố khác có khóa mật khẩu được gọi là "giấc mơ của người điều chỉnh, nhưng là cơn ác mộng của người dùng" vì mỗi trang web có thể có hệ thống mã thông báo an toàn riêng.

Do đó, chúng tôi cần một thứ khác và đó là nơi Liên minh FIDO xuất hiện. Người dùng muốn thứ gì đó vừa an toàn vừa dễ dàng, Barrett nói. Bất kỳ giải pháp nào cũng phải cung cấp xác thực mạnh hơn nhưng phải dễ sử dụng hơn và tôn trọng quyền riêng tư của mọi người.

Liên minh đã hoạt động được hơn hai năm và những giải pháp đầu tiên như vậy sắp được đưa ra.

Với mô hình ngày nay, mật khẩu được nhập trên một thiết bị và sau đó được chuyển qua thiết bị đến dịch vụ ở đầu bên kia. Trong mô hình FIDO, người dùng xác thực bằng một số lượng nhỏ thiết bị và thay vào đó họ xác thực với thiết bị của họ. Một ngăn xếp FIDO trên thiết bị sau đó biết cách xác thực trở lại dịch vụ. Thông tin cho kết nối có thể được lưu trữ trong chip TPM trên PC hoặc trong hộp chứa an toàn trên điện thoại thông minh.

Để xác thực với thiết bị, bạn có thể sử dụng dấu vân tay. Barrett gợi ý rằng Apple có thể sẽ ra mắt với đầu đọc dấu vân tay trên điện thoại thông minh vào cuối năm nay, với các thiết bị Android sẽ sớm xuất hiện. Các thiết bị cũng có thể sử dụng "sinh trắc học giọng nói" (in giọng nói), nhận dạng mắt hoặc nhận dạng khuôn mặt. Các trang web cá nhân có thể yêu cầu một hoặc nhiều trong số những người ký tên mà họ muốn chấp nhận.

Để kế hoạch này hoạt động, nó sẽ yêu cầu cả hai thiết bị hỗ trợ tiêu chuẩn và dịch vụ chấp nhận xác thực FIDO. Barrett cho biết PayPal đang trong quá trình kích hoạt FIDO. Khi một trang web được kích hoạt, nếu có ứng dụng khách FIDO, nó sẽ được sử dụng; nếu không, nó sẽ bị bỏ qua.

Mặc dù anh ấy nghĩ rằng mật khẩu sắp hết hơi, Barrett thừa nhận rằng sẽ mất vài năm trước khi chúng tôi bắt đầu thấy việc áp dụng hàng loạt thực sự. Tỷ lệ cược chỉ là "50/50 cho dù chúng tôi có thể thực hiện điều này", ông nói.

Nhưng với số lần hack mật khẩu mà chúng ta tiếp tục đọc và sự thất vọng mà tất cả chúng ta phải đối mặt với mật khẩu hiện tại của chúng ta, không thể phủ nhận rằng nhiều người trong chúng ta muốn thứ gì đó tốt hơn.