IFA 2015: bezpieczeństwo na wynos

Głównym trendem akcentowanym na targach elektroniki konsumenckiej IFA 2015 były innowacje dotyczące integralności technologicznej. Programiści już nie ścigają się w wymyślaniu coraz to nowszych urządzeń – w zamian pracują nad łączeniem życia codziennego z technologią.

I tak na przykład podczas prezentacji Kaspersky Lab jeden z mężczyzn zaimplementował sobie chip. Dzisiaj nosimy nasze technologiczne gadżety na nadgarstku lub w kieszeni, jednak za kilka lat popularne będę chipy podskórne.

Internet Rzeczy (Internet of Things), mimo że jest dość młodym zjawiskiem, zostanie zastąpiony Internetem Wszechrzeczy (Internet of Everything). W globalnej sieci każdy żyjący byt będzie miał takie same prawa jak zamrażarka czy żelazko.

Wizja ta może wydawać się nieco przerażająca, zwłaszcza dla miłośników trylogii filmowej „Matrix” czy fanów literatury z gatunku antyutopii. I rzeczywiście mogą mieć ku temu całkiem racjonalny powód – istniejące rozwiązania IT nie są wystarczająco zabezpieczone. Pionierskie oprogramowania są pełne luk, które mogą zostać wykorzystane przez hakerów na wiele rozmaitych sposobów, łącznie z kradzieżą tożsamości.

Rainer Bock — trzeci BionicMan w firmie Kaspersky Lab

Dane przechowywane w chipach są chronione jedynie 4-cyfrowym kodem PIN, który łatwo złamać. Ponadto zaimplementowane chipy mają niską wydajność (np. można przechowywać w nich tylko 880 bajtów danych), przez co znacznie trudniej je zabezpieczyć.

Oczywiście najlepszym zabezpieczeniem jest odpowiednio ustawiony zasięg działania – około 5 cm. Oznacza to, że haker musiałby być naprawdę blisko Ciebie, aby wykraść dane. Jednak na dłuższą metę takie rozwiązanie nie zda egzaminu: gdy chipy zyskają na popularności, przestępca będzie mógł np. udać się do metra i zebrać pokaźny zbiór nowych tożsamości.

Tymczasem czytniki linii papilarnych zaadaptowali producenci smartfonów – pomysł ten pobudził wyobraźnię uczestników rynku i obecnie nawet urządzenia ze średniej półki (pokroju chińskiego ZTE) są wyposażone w czujniki biometryczne.

Pojawiają się także nowe miejsca stosowania sensorów; do tej pory nie traktowano ich jako alternatywy dla hasła podczas uwierzytelnienia konta. Nieważne, ile podjąłeś nieskutecznych prób – hasło i tak musiało być wprowadzone, tymczasem sensory pierwszej generacji były dalekie od doskonałości.

Mieliśmy więc niedziałającą zabawkę, która nie służyła niczemu poza zapewnianiem wątpliwej jakości dodatkowej ochrony. Sytuację odmieniła firma Apple, która całkowicie zmieniła tok myślenia o sensorach. Eksperci z tej firmy zaprezentowali system Apple Pay (który cały czas zdobywa aprobatę użytkowników) wraz z czujnikiem, który umożliwia autoryzację w nowym systemie płatności.

Teraz producenci prześcigają się w innowacyjnych zastosowaniach czujników linii papilarnych – firma Huawei użyła go w panelach dotykowych modelu Mate S, zaprojektowanych do przewijania zdjęć oraz odbierania połączeń. Sony wdrożył autoryzację liniami papilarnymi przy pomocy sensora Qualcomm SenseID (o którym wspominaliśmy już przy okazji postu-relacji z MWC), a także wsparł usługi Fido.

Nie chodzi tu jednak o FidoNet, lecz o FIDO Alliance – grupę firm, która opracowuje integralną sieć dla uwierzytelniania bez hasła. Ta technologia może być wykorzystana do płatności, logowania na witrynach oraz w wielu innych sytuacjach, gdzie wymagane jest potwierdzenie tożsamości.

FIDO stosuje protokół UAF (Universal Authentification Framwork), który nie wymaga hasła i działa w prosty sposób: podczas logowania system generuje połączenie, które pozwala skorzystać z alternatywy dla standardowego hasła – odcisku palca, identyfikacji twarzy czy głosu. Dla zwiększenia bezpieczeństwa można również tworzyć wiele mieszanych kombinacji (o wiele trudniejszym zadaniem dla cyberprzestępcy będzie złamanie kilku elementów biometrycznych).

FIDO wykorzystuje również model dwustopniowego uwierzytelniania U2X. Pozwala to zastosować 4-cyfrowy kod PIN wraz ze sprzętowym modułem szyfrowania. Nie będziesz już przywiązany do jednego urządzenia, lecz będziesz mógł korzystać z różnych urządzeń, używając jednego klucza, np. podłączonego pod USB tokena czy znacznika NFC dla urządzeń mobilnych (jako znacznik możesz używać wszczepionego chipu).

IFA15 – Kolejny krok w erę bez haseł z nowymi standardami biometrycznymi

Tweet

Dalej wszystko działa jak zwykle. Tworzone są 2 rodzaje kluczy: prywatny i publiczny. Ten pierwszy jest przechowywany lokalnie (na smartfonie) i nie jest przesyłany do innego zasobu. Drugi klucz jest wykorzystywany podczas żądania autoryzacji. Mówiąc krótko – żadnych haseł!

Chociaż nie wygląda to na innowacyjne rozwiązanie, FIDO Alliance opracowuje wspólny standard, który będzie obsługiwany przez wszystkich deweloperów. Obecnie sojusz ten obejmuje ponad 200 firm (np. Visa, Mastercard, PayPal, Google czy Microsoft), więc z dużym prawdopodobieństwem upowszechni się w przyszłości.