Apple приступила к убийству паролей в интернете

13.12.2018 |

Александр Абрамов.

Компания Apple готовится сделать новый кардинальный шаг вперед. Речь не идет о каком-то смартфоне или ином «железном» продукте. Сейчас проходит эксперимент с фирменным браузером Safari. Инициативную разработку ведет подразделение, сосредоточившееся на отработке программного движка WebKit. В новую пробную версию добавлен стандарт идентификации без пароля. Он получил наименование WebAuthn.

Вместо пароля для получения доступа к учетным записям требуется аппаратный ключ. Подключать его нужно через порты USB. Новация введена в 71-ю версию браузера, разработанную для компьютеров под управлением macOS. Особенностью WebAuthn является то, что программная новинка взаимодействует с протоколом CTAP. Сутью же протокола является генерация одними ключами безопасности других ключей безопасности.

Разработчики акцентируют внимание максимально на том, что подобная система носит сугубо экспериментальный характер. Нет никаких подтверждений того что решено уже внедрить систему отказа от паролей в потребительский, готовый вариант браузера. Неясно также, какие разработки будут проводиться дальше, в каком направлении планируется дорабатывать беспарольный программный комплекс. Известно, что функционал FIDO2 дает возможность подсоединения аппаратных ключей и по каналам Bluetooth.

Однако пока даже неясно, когда начнется проработка соответствующего функционала. Уже само по себе внедрение штатных возможностей STAR2 потребует крупных усилий. Ведь надо предусмотреть все тонкости, свести к минимуму, как ложные срабатывания, так и возможности для вторжения злоумышленников.

WebAuthn - пусть и неодинаково реализован в браузерах от Mozilla, Google. Также поддерживается он и в Microsoft Edge. Конкуренты Apple не слишком сильно опережают ее: все упомянутые только что достижения были представлены публике лишь в 2018 году. Хотя Microsoft представила свою версию беспарольного доступа довольно поздно, сильной стороной ее предложения является возможность использовать один канал доступа и к офисным программам, и к электронной почте, и к облачным хранилищам. И даже к Skype. В Интернете WebAuthn используется в таких знаковых ресурсах, как Dropbox, Facebook, GitHub.

Возможно применение аппаратных ключей в качестве второй стадии двухфакторного распознавания удаленных пользователей. Google уже активно продвигает именно такую систему. В качестве первой ступени используется стандартная парольная защита. В результате хакерская атака значительно усложняется - злоумышленникам придется наряду с паролем красть еще и аппаратный ключ. Разумеется, это увеличит время атаки, повысит ее трудоемкость, риск провала хакеров возрастет. Соответственно, вне зависимости от того, удастся ли Apple реализовать свой проект, такое нововведение будет распространяться и дальше.