Klucze dostępu — szyfrowany dostęp zamiast używania hasła

Co to są klucze dostępu? Niektórzy z Was pewnie zadają sobie pytanie, że po WWDC22 i przed premierą iOS 16, iPadOS 16, macOS Ventura i Co. poniżej wymieniłem odpowiedź na to pytanie. Czyniąc to, nie tylko zagłębiam się w zalety obiecane użytkownikom technologii Passkey. Pokazuję też źródła, które mogą być interesujące dla programistów. Ponieważ logowanie się za pomocą haseł Apps a na stronach internetowych, według Apple, można je łatwo wdrożyć; w tym celu oferowany jest „Authentication Services API”.

Co to są klucze dostępu?

Klucze dostępu mają zastąpić hasła używane wcześniej do logowania się do aplikacji lub stron internetowych. Całość powinna działać podobnie do automatycznego wypełniania pól logowania i potwierdzania za pomocą Face ID lub Touch ID. W przypadku użytkowników urządzeń Apple i pęku kluczy iCloud nie ma prawie żadnej różnicy w przypadku korzystania z tej nowej metody logowania. 

Jednak – i to jest właściwie różnica – klucze dostępu to zaszyfrowane klucze dostępu, które są tworzone indywidualnie i raz dla każdego konta. Są one zaszyfrowane od końca do końca i mogą być używane tylko z odpowiednią usługą, w odpowiedniej aplikacji lub na stronie internetowej. To sprawia, że ​​jest to trudne phishing za pośrednictwem fałszywych stron internetowych lub innych masek wejściowych. Tak więc hasło jest znacznie bezpieczniejsze niż hasło.

Tak działają klucze dostępu

Podczas tworzenia konta dla aplikacji lub witryny system operacyjny (iOS, macOS, iPadOS itp.) generuje zaszyfrowaną parę kluczy. Składa się z klucza publicznego przechowywanego na serwerze i klucza używanego tylko lokalnie. Służy do tego standard WebAuthentication, w skrócie WebAuthn. Ponadto dostawcy platform współpracują z FIDO Alliance, aby zapewnić, że klucze dostępu działają na różnych platformach na wielu różnych urządzeniach.

Klucze dostępu można traktować jako parę kluczy. Masz klucz, a mianowicie ten unikatowo utworzony i silnie zaszyfrowany. Powiązany klucz, który jest publiczny i nie jest dalej chroniony, należy do operatora usługi, z której chcesz skorzystać. Dopiero gdy obie te rzeczy się spotkają, otworzą się drzwi i uzyskasz dostęp do swojego konta i ofert, do których masz dostęp (zakupy, zawartość aplikacji, bankowość internetowa itp.). 

Dlaczego hasła są bezpieczniejsze niż hasła?

Hasła można uzyskać od nieostrożnych osób, łowiąc ryby lub innymi metodami. Ale nawet ostrożni użytkownicy mogą np Spyware monitorowane, które mogą również ujawnić swoje hasła. A nawet jeśli do weryfikacji autouzupełniania używasz tylko Touch ID i Face ID na Macu i iPhonie, hasła nadal znajdują się na serwerze usługi, z której chcesz korzystać.

Ponieważ własny klucz dostępu użytkownika nie przypomina żadnego innego klucza (w przeciwieństwie do haseł, które są używane kilka razy) i ponieważ jest mocno zaszyfrowany i przechowywany w bezpiecznym magazynie lokalnym, jest praktycznie niemożliwy do zhakowania. Według Apple hasła i klucze dostępu przechowywane w iCloud można chronić i odzyskiwać nawet w przypadku włamania na konto, ataku z zewnątrz lub uzyskania dostępu przez pracowników. Więcej informacji można znaleźć w dokumencie pomocy „Informacje o zabezpieczeniach hasła” z numerem HT213305.

Informacje dla programistów, którzy chcą korzystać z kluczy dostępu

Hasła są silne, nie można ich odgadnąć i nie można ich ponownie używać. To są argumenty, które Apple na odpowiedniej stronie programisty dołącza Jeśli chcesz zaimplementować metodę logowania, możesz o tym poczytać tam, a także znajdziesz odniesienie do wspomnianego wyżej API usług uwierzytelniania. Przykładowe kody można również przeglądać, aby ułatwić wdrożenie. Z tym linkiem Jeśli jesteś zainteresowany, znajdziesz również filmy z WWDC21 i WWDC22, które dotyczą haseł i ich użycia (w Twojej własnej aplikacji). Filmy można również znaleźć w Aplikacja deweloperska.

Johannesa Domke’a

Po ukończeniu szkoły średniej Johannes odbył praktykę jako asystent biznesowy specjalizujący się w językach obcych. Po tym jednak zdecydował się na badania i pisanie, z których został samozatrudniony. Od kilku lat pracuje m.in. dla Sir Apfelota. Jej artykuły obejmują premiery produktów, wiadomości, poradniki, gry wideo, konsole i nie tylko. Śledzi Apple Keynotes na żywo za pośrednictwem transmisji strumieniowej.