WebAuthn मानक औपचारिक रूप से पूरा हुआ

W3C और FIDO एलायंस ने WebAuthn के पासवर्डलेस प्रमाणीकरण मानक को पूरा करने की घोषणा की है , जो 2015 से लागू है। हम आपको इसके बारे में बाद में बताएंगे।


/ फ़्लिकर / मार्क बर्नेट / सीसी बाय (फोटो का आकार परिवर्तन)

आपको मानक की आवश्यकता क्यों है

कमजोर पासवर्ड कंपनियों में डेटा लीक का सबसे आम कारण है। वेरीज़न के अनुसार, ज्यादातर हमलों के लिए जिम्मेदार हैं - 81% मामले। वे संगठन जो वास्तव में पासवर्ड नीतियों पर काम करते हैं, इस पर बहुत सारे संसाधन खर्च करते हैं। पोमॉन इंस्टीट्यूट का दावा है कि कुल मिलाकर, प्रमाणीकरण डेटा लागत कंपनियों के लिए रीसेट और अपडेट प्रक्रिया $ 5.2 मिलियन सालाना है।

यदि हम प्रमाणीकरण के क्षेत्र में सामान्य स्थिति के बारे में बात करते हैं, तो हम कैम्ब्रिज विश्वविद्यालय के विशेषज्ञों के डेटा का उल्लेख कर सकते हैं। 2010 में वापस, उन्होंने 150 बड़ी साइटों की सुरक्षा नीतियों का विश्लेषण किया और पाया कि उनमें से 57% टीएलएस का उपयोग नहीं करते हैं। उसी समय, 84% साइटें आपको प्रमाणीकरण डेटा का अंतहीन चयन करने की अनुमति देती हैं।

नौ साल बाद, एन्क्रिप्शन के प्रसार के साथ स्थिति में सुधार हुआ है, लेकिन यह अभी भी कुछ चिंताएं बढ़ाता है - 2018 की तीसरी तिमाही के वॉचगार्ड के आंकड़ों के अनुसार, 100 हजार एलेक्सा शीर्ष साइटों में से लगभग 21% HTTPS का उपयोग नहीं करते हैं ।

WebAuthn पासवर्ड रहित प्रमाणीकरण मानक यहाँ बचाव के लिए आता है। उसे उपरोक्त समस्याओं का समाधान करना होगा । पासफ़्रेज़ के बजाय, इसके डेवलपर्स बायोमेट्रिक डेटा का उपयोग करने का सुझाव देते हैं: फिंगरप्रिंट, रेटिना और चेहरा।

यह कैसे काम करता है

प्रमाणीकरण प्रक्रिया में तीन संस्थाएँ शामिल हैं। सबसे पहले वेबथॉन रैलिंग पार्टी है । यह एक साइट है जो एक उपयोगकर्ता दर्ज करना चाहता है।

दूसरी इकाई WebAuth API है । यह पंजीकरण और लॉगिन के लिए जिम्मेदार दो बुनियादी तरीकों पर आधारित है: navigator.credentials.create () और navigator.credentials.get () । एक नया खाता पंजीकृत करते समय एक एक्सेस विवरण बनाता है और एक मौजूदा जोड़े को एक मौजूदा जोड़े के साथ जोड़ता है। अन्य - साइट पर प्राधिकरण के लिए ज्ञात डेटा का उपयोग करता है। दोनों विधियाँ सूचना प्रसारित करने के लिए एक सुरक्षित कनेक्शन का उपयोग करती हैं (उदाहरण के लिए, HTTPS)।

तीसरी इकाई प्रमाणक है । यह उपयोगकर्ता क्रेडेंशियल्स का प्रबंधन करता है और सार्वजनिक खाता कुंजी बनाने के लिए जिम्मेदार है।

सामान्य तौर पर, साइट पर प्राधिकरण प्रक्रिया इस तरह दिख सकती है:

• उपयोगकर्ता साइट पर जाता है और पासवर्ड रहित प्रमाणीकरण का विकल्प चुनता है (उदाहरण के लिए, टेलीफोन का उपयोग करके)।
• साइट WebAuthn क्लाइंट (ब्राउज़र) को संबंधित जावास्क्रिप्ट अनुरोध भेजती है।
• ब्राउज़र प्रमाणीकरणकर्ता (स्मार्टफोन) से संपर्क करता है ताकि यह कुंजी उत्पन्न करे और उन्हें निर्भर पार्टी को भेज दे।
• सर्वर लॉगिन जानकारी की जाँच करता है।
• यदि सब कुछ क्रम में है, तो उपयोगकर्ता साइट पर अधिकृत है।

फ़िशिंग से बचाने के लिए, मानक विशेष लेनदेन का उपयोग करता है जो एक विशिष्ट सत्र से जुड़े होते हैं। यदि सर्वर ने नोटिस किया कि पहचानकर्ता बदल गया है, तो यह समझता है कि अनुरोध धोखेबाजों से आता है और प्राधिकरण की पुष्टि नहीं करेगा।

संभावित और नुकसान

WebAuthn के रचनाकारों के अनुसार, नए मानक के कार्यान्वयन से पासवर्ड से छुटकारा पाने में मदद मिलेगी, और इसलिए उन कमजोरियों को जो उनके साथ जुड़ी हुई हैं। FIDO एलायंस के वरिष्ठ प्रमाणन इंजीनियर यूरी एकरमैन का कहना है कि पासवर्ड-फ्री लॉगिन उपयोगकर्ताओं को फ़िशिंग से बचाता है, साइटों के साथ सहभागिता को सरल बनाता है, और बायोमेट्रिक तकनीकों को अधिक सुलभ बनाता है।

हमारे ब्लॉग में हमने यूरी के साथ एक साक्षात्कार प्रकाशित किया , जिसमें हमने वेब सुरक्षा और पासवर्ड रहित समाधान के बारे में बात की।

IaaS प्रदाता 1cloud.ru के विकास के प्रमुख सर्गेई बेलकिन ने कहा, "वेबथॉन इंटरनेट संसाधनों के साथ बातचीत करने के तरीके को बदल सकता है।" - उपयोगकर्ताओं को पासवर्ड का आविष्कार और याद रखने की आवश्यकता नहीं है। हालांकि, इस बिंदु तक, वेबसाइट के मालिकों और एप्लिकेशन डेवलपर्स को मानक का उपयोग करना शुरू करना चाहिए। यह Google, ड्रॉपबॉक्स, बैंक ऑफ अमेरिका द्वारा पहले से ही लागू किया जा रहा है। लेकिन पासवर्ड रहित प्रमाणीकरण व्यापक होने से पहले, इसमें कुछ समय लगेगा। ”

हालाँकि, कई सुरक्षा विशेषज्ञ इस तथ्य से चिंतित हैं कि WebAuthn एक असममित ECDAA एन्क्रिप्शन योजना का उपयोग करता है। डिजिटल हस्ताक्षर बनाने के लिए यह आवश्यक है। पैरागॉन इंजीनियरों का मानना ​​है कि दीर्घवृत्तीय वक्रों के आधार पर क्रिप्टोग्राफी विधियों का उपयोग करना (जो ECDAA का उपयोग करता है) कई संभावित कमजोरियों के कारण असुरक्षित है।

पैरागॉन ने स्वयं मानक के रचनाकारों की भी आलोचना की। कथित तौर पर, उन्होंने बड़े पैमाने पर क्रिप्टोग्राफ़िक परीक्षणों के संचालन के लिए एक मानक प्रदान किए बिना, आईटी उद्योग के प्रमुख क्रिप्टोग्राफर्स के साथ परामर्श नहीं किया और "गुप्त रूप से" विकास का नेतृत्व किया।

लेकिन उपरोक्त सभी के बावजूद, पैरागॉन इनिशिएटिव के प्रतिनिधि अभी भी पासवर्डलेस प्रमाणीकरण की संभावना में विश्वास करते हैं और वेबथॉन के बड़े पैमाने पर कार्यान्वयन के लिए वकालत करते हैं।

WebAuthn पहले से ही सबसे लोकप्रिय ब्राउज़रों और OS में समर्थित है। मानक का पूरा होना केवल पासवर्ड-मुक्त सिस्टम के प्रसार की दिशा में पहला कदम था।

हम एक कॉर्पोरेट ब्लॉग में क्या लिखते हैं:

• फ़ाइल बैकअप: डेटा हानि से सुरक्षित कैसे रहें
• व्यक्तिगत डेटा की सुरक्षा कैसे करें और इससे क्या संरक्षित करें
• व्यक्तिगत डेटा: सार्वजनिक क्लाउड सुविधाएँ