Google Passkey

Dags att sluta med lösenord?
The beginning of the end of the password

 

Vore väl på tiden att ersätta lösenord med biometrisk inloggning, fantastiskt smidigt om alla ens lösenord kunde ersättas.

 

Jag har läst Swedroids artikel i ämnet, men inte läst Googles blogginlägg som du länkar ännu.

Vad är det som säger att denna lösning är så idiotsäker som Google verkar vilja få det till? På varje enhet jag registrerar för tjänsten så måste ju någon slags kodnyckel/masterkey finnas sparad lokalt, som låser upp kontot när jag visat godkänd biometrisk information. Vad säger att den kodnyckeln inte skulle kunna hackas/extraheras?
Den biometriska informationen (t.ex. datan som genereras när jag registrerar mitt fingeravtryck i telefonens eller datorns fingeravtrycksläsare) skulle väl en angripare kunna få tillgång till också. På något sätt kan den informationen säkert underlätta en attack. Det kan ju finnas buggar och säkerhetshål i respektive operativsystem som förlitas på. Särskilt med ett osäkert operativsystem som Windows så börjar mina varningsklockor ringa, om man förlitar sig på operativsystemets inbyggda inloggningsmetoder för kontots säkerhet.
Om jag förlorar tillgång till dator och mobil (de två enheter de flesta människor äger), hur ska jag då komma åt kontot eller återfå tillgång till det? Det stod något om en övergångsperiod där lösenord funkar också, men det är väl inte tänkt att vara för evigt.
Det blir ju också lättare att behöva lämna bort sitt fingeravtryck under tvång/hot.
Eller ännu värre, om jag blir skadad i en olycka, så att mitt ansikte inte ser likadant ut eller mina fingrar är borta eller förändrade. Vad gör man då?

Själv tycker jag att lösenord + 2FA-kod känns mycket säkrare, och mer begripligt också, än denna lösning.

Jag använder delvis sms för 2FA (fast Googles inloggningsprompt i första hand, för google-kontot). Jag vet att många inte gillar 2FA med sms, men jag har ändå fastnat för den lösningen, och det är ganska osannolikt att någon skulle lyckas med konststycket både att ta reda på mitt lösenord till Google-kontot (unikt lösenord) OCH att kapa mitt mobilabonnemang, samtidigt. Med en sådan 2FA-setup är sms-koden inte knuten till viss hårdvara, som kan försvinna eller raderas, utan snarare knuten till mitt telefonabonnemang, som jag kan återfå åtkomst till hyfsat enkelt även om min telefon skulle försvinna.
Någon som förstår vad fördelarna skulle vara med Passkey?

 

Jag kan rekommendera avsnitt 173 av Bli säker-podden för en bra genomgång av passkeys, tekniken och fördelarna. (Bra podd förövrigt).

Jag kan inte säga att jag begriper hur det funkar till 100 procent ändå, men jag tyckte att jag blev lite klokare på det.

 

Är ju säkerhetsforskare och har ju de facto forskat inom just lösenord, så, jag har ju lite åsikter.
Ja, det är kanske dags att skippa lösenord, men nej, vi kommer inte kunna göra det på alla system, eftersom merparten av gamla system helt enkelt aldrig kommer kunna avskaffas (iaf inte inom decennier) och otroligt mycket jobbsystem är kritiska, men uråldriga.
På moderna tjänster är det såklart bättre med iaf 2FA, men låt oss komma ihåg att lösenord (eller hellre fraser, såklart) faktiskt är tillräckligt säkra för de flesta tjänster.

Googles lösning är käck, och det är klart bättre med flera faktorer. En utmaning är dock _hanteringen_ vid undantag. Yubikeys är kanonbra, men i praktiken behöver du två, där en är gömd på ett säkert ställe. Och, vad händer då om du har inbrott och brand samtidigt och båda nycklarna är borta? Ja, då kan du ha trusted partner, eller liknande, men det blir en till synes oändlig kapprustning om vem som ska identifiera vem. Möjligen rimligt på nyckeltjänster som google, men knappast realistiskt för 100+ webbtjänster. Oavsett är generisk människa helt, totalt, ointresserad att betala ens kronor i månaden för säkerhet, så att få dem köpa yubikeynycklar för 1500kr+ kommer inte hända.

Jag är personligen lite tveksam till den något överdrivna användningen av mobiler som andra enhet för identifiering - kanske framförallt bankid. Bankid är problematiskt med sina sex siffrors pinkoder, eftersom vi _vet_ att de flesta har värdelösa pinkoder - mer värdelösa än lösenord, rent av. Jag är inte heller övertygad över att en äldre, billig, android-enhet inte är trivial att angripa, så det blir ju väldigt höga krav på hela systemet. Och, eftersom folk 1 inte uppdaterar enheter om de inte tvingas och 2 använder enheter mycket längre än det ens kommer uppdateringar - misstänker jag att enheterna kommer vara en svag länk.

Biometri är i sak irrelevant i praktiken, eftersom det i bästa fall är ett komplement till lösenord, men i stort sett aldrig en ersättare. Det innebär att man har biometri _samtidigt_ som lösenord. Sådant är samtliga implementationer jag sett i konsumentled. Således är biometrin bara en ökad svaghet, inte en ökad säkerhet. Skulle såklart gå använda på andra sätt - men då är vi där med "kapat finger-problematiken".

Dessutom kan jag säga mycket om hur angripare fungerar, men det räcker nog att säga att angripare inte fungerar som vi i infosäkbranschen vill att de ska. Klarar de lösenord man har några minuters angrepp är de ofta bra nog i praktiken.

 

Detta är efterlängtat. Har använt liknande system innan men det blev dyrt i längden och jag ansåg mina PWs vara säkra utan.

 

Har aktiverat det på några enheter, funkar fint.