Čo je FIDO2?
Naučte sa základy overovania bez hesla FIDO2 vrátane toho, ako funguje a pomáha chrániť jednotlivcov a organizácie pred online útokmi.
Definícia FIDO2
FIDO2 (Fast IDentity Online 2) je otvorený štandard pre overovanie používateľov, ktorého cieľom je posilniť spôsob prihlasovania do online služieb a zvýšiť celkovú dôveryhodnosť. FIDO2 zlepšuje zabezpečenie a chráni jednotlivcov a organizácie pred kybernetickou kriminalitou tým, že na overovanie totožnosti používateľov používa kryptografické poverenia odolné voči neoprávnenému získavaniu údajov.
FIDO2 je najnovší otvorený štandard overovania, ktorý vyvinula aliancia FIDO, priemyselné konzorcium spoločnosti Microsoft a ďalších technologických, komerčných a vládnych organizácií. Aliancia vydala štandardy overovania FIDO 1.0, ktoré zaviedli viacfaktorové overovanie (MFA) odolnú voči neoprávnenému získavaniu údajov, v roku 2014 a najnovší štandard overovania bez hesla FIDO2 (nazývaný aj FIDO 2.0 alebo FIDO 2) v roku 2018.
Čo sú to prístupové heslá a ako súvisia s FIDO2?
Bez ohľadu na to, aké dlhé, zložité alebo ako často sa menia, heslá môžu byť kompromitované ich dobrovoľným alebo nedobrovoľným zdieľaním. Aj pri silnom riešení ochrany heslom je každá organizácia vystavená určitému riziku neoprávneného získavania údajov, hackerských útokov a iných kybernetických útokov, pri ktorých sú heslá odcudzené. Ak sa heslá dostanú do nesprávnych rúk, môžu sa použiť na získanie neoprávneného prístupu k online kontám zariadeniam a súborom.
Prístupové heslá sú prihlasovacie údaje FIDO2, ktoré sa vytvárajú pomocou kryptografie s verejným kľúčom. Sú účinnou náhradou hesiel, zvyšujú kybernetickú bezpečnosť a zároveň umožňujú prihlasovanie do podporovaných webových aplikácií a webových stránok, ktoré je používateľsky jednoduchšie ako tradičné metódy.
Overovanie bez hesla FIDO2 sa spolieha na kryptografické algoritmy na generovanie dvojice súkromných a verejných prístupových kľúčov – dlhých náhodných čísel, ktoré spolu matematicky súvisia. Pár kľúčov sa používa na overenie používateľa priamo v zariadení koncového používateľa, či už ide o stolový počítač, prenosný počítač, mobilný telefón alebo kľúč zabezpečenia. Prístupové heslo môže byť viazané na jedno zariadenie používateľa alebo automaticky synchronizovaný s viacerými zariadeniami používateľa prostredníctvom cloudovej služby.
Ako funguje overovanie FIDO2?
Overovanie bez hesla FIDO2 funguje tak, že ako prvý a hlavný faktor overovania konta sa vo všeobecnosti používajú prístupové kľúče. Stručne povedané, keď sa používateľ zaregistruje v online službe podporovanej technológiou FIDO2, klientske zariadenie zaregistrované na vykonanie overenia vygeneruje pár kľúčov, ktorý funguje len pre danú webovú aplikáciu alebo webovú lokalitu.
Verejný kľúč je zašifrovaný a zdieľaný so službou, ale súkromný kľúč zostáva bezpečne v zariadení používateľa. Potom pri každom pokuse používateľa prihlásiť sa do služby predstavuje služba pre klienta jedinečný overovací test. Klient aktivuje zariadenie s prístupovým kľúčom, aby podpísal požiadavku súkromným kľúčom a vrátil ju. Vďaka tomu je proces kryptograficky chránený pred neoprávneným získavaním údajov.
Typy overovateľov FIDO2
Predtým, ako zariadenie vygeneruje jedinečnú sadu prístupových kľúčov FIDO2, musí potvrdiť, že používateľ, ktorý žiada o prístup, nie je neoprávnený používateľ alebo typ škodlivého softvéru. Využíva na to overovateľ, čo je zariadenie, ktoré dokáže prijať PIN kód, biometrické údaje alebo iné gestá používateľa.
Existujú dva typy overovateľov FIDO:
Roamingové (alebo na viacerých platformách) overovače
Tieto overovače sú prenosné hardvérové zariadenia, ktoré sú oddelené od klientskych zariadení používateľov. Medzi roamingové overovače patria kľúče zabezpečenia, smartfóny, tablety, nositeľné zariadenia a iné zariadenia, ktoré sa pripájajú ku klientskym zariadeniam prostredníctvom protokolu USB alebo bezdrôtovej technológie NFC (Near Field Communication) a Bluetooth. Používatelia overujú svoju totožnosť rôznymi spôsobmi, napríklad pripojením kľúča FIDO a stlačením tlačidla alebo zadaním biometrických údajov, napríklad odtlačku prsta, na svojom smartfóne. Roamingové overovače sú známe aj ako multiplatformové overovače, pretože umožňujú používateľom overiť sa na viacerých počítačoch kedykoľvek a kdekoľvek.
Platformové (alebo viazané) overovače
Tieto overovače sú zabudované v klientskych zariadeniach používateľov, či už ide o stolný počítač, prenosný počítač, tablet alebo smartfón. Overovače platforiem, ktoré obsahujú biometrické funkcie a hardvérové čipy na ochranu prístupových kódov, vyžadujú, aby sa používateľ prihlásil do služieb podporovaných FIDO pomocou svojho klientskeho zariadenia a potom sa overil prostredníctvom toho istého zariadenia, spravidla pomocou biometrických údajov alebo kódu PIN.
Príklady overovačov platforiem, ktoré využívajú biometrické údaje, sú Microsoft Windows Hello, Apple Touch ID a Face ID a Android Fingerprint.
Ako sa zaregistrovať a prihlásiť do služieb podporovaných technológiou FIDO2:
Ak chcete využiť výhody zvýšeného zabezpečenia, ktoré ponúka overovanie FIDO2, postupujte podľa týchto základných krokov:
Ako sa zaregistrovať do služby podporovanej technológiou FIDO2:
Krok č. 1: Pri registrácii služby sa zobrazí výzva na výber podporovanej metódy overovania FIDO.
2. krok: Overovač FIDO aktivujete jednoduchým gestom, ktoré overovač podporuje, či už zadaním PIN kódu, dotykom čítačky odtlačkov prstov alebo vložením kľúča zabezpečenia FIDO2.
3. krok: V lokálnom zariadení je bezpečne uložený súkromný kľúč a všetky dôverné informácie týkajúce sa metódy overovania, napríklad vaše biometrické údaje.
Krok č. 4: V lokálnom zariadení je bezpečne uložený súkromný kľúč a všetky dôverné informácie týkajúce sa metódy overovania, napríklad vaše biometrické údaje. Verejný kľúč sa zašifruje a spolu s náhodne vygenerovaným ID prihlasovacích údajov sa zaregistruje v službe a uloží na jej overovací server.
Ako sa prihlásiť do služby podporujúcej FIDO2:
Krok č. 1: Služba vydá kryptografickú výzvu na potvrdenie vašej prítomnosti.
2. krok: Po výzve vykonajte rovnaké gesto overenia, aké ste použili pri registrácii konta. Po potvrdení svojej prítomnosti gestom vaše zariadenie použije súkromný kľúč uložený lokálne v zariadení na podpísanie výzvy.
3. krok: Vaše zariadenie odošle podpísanú výzvu späť službe, ktorá ju overí pomocou bezpečne zaregistrovaného verejného kľúča.
Krok č. 4: Po dokončení ste znova prihlásení.
Aké sú výhody overovania FIDO2?
-
Zvyšuje zabezpečenie
Overovanie FIDO2 bez hesla výrazne zvyšuje zabezpečenie prihlásenia tým, že sa spolieha na jedinečné prístupové heslá. Vďaka FIDO2 hackeri nemôžu ľahko získať prístup k týmto citlivým informáciám prostredníctvom neoprávneného získavania údajov, ransomvéru a iných bežných kybernetických krádeží. Biometrické kľúče a kľúče FIDO2 tiež pomáhajú eliminovať zraniteľnosti tradičných metód viacfaktorového overovania, ako je zasielanie jednorazových prístupových kódov (OTP) prostredníctvom textových správ.
-
Zlepšuje súkromie používateľov
Overovanie FIDO posilňuje súkromie používateľov bezpečným ukladaním súkromných kryptografických kľúčov a biometrických údajov v zariadeniach používateľov. Okrem toho, keďže táto metóda overovania generuje jedinečné páry kľúčov, pomáha zabrániť poskytovateľom služieb sledovať používateľov na rôznych lokalitách. V reakcii na obavy spotrebiteľov z možného zneužitia biometrických údajov vlády prijímajú zákony o ochrane osobných údajov, ktoré bránia organizáciám predávať alebo zdieľať biometrické údaje.
-
Podporuje zjednodušenie používania
Vďaka overovaniu FIDO môžu jednotlivci rýchlo a pohodlne overovať svoju totožnosť pomocou kľúčov FIDO2, aplikácií na overovanie alebo čítačiek odtlačkov prstov či kamier zabudovaných v zariadeniach. Hoci používatelia musia vykonať druhý alebo dokonca tretí krok zabezpečenia (napríklad keď sa na overenie totožnosti vyžaduje viac ako jeden biometrický údaj), ušetria si čas a problémy spojené s vytváraním, zapamätaním, správou a resetovaním hesiel.
-
Zlepšuje škálovateľnosť
FIDO2 je otvorený štandard bez licencie, ktorý umožňuje podnikom a iným organizáciám celosvetovo rozšíriť metódy overovania bez hesla. Vďaka technológii FIDO2 môžu poskytovať bezpečné a zjednodušené prihlasovanie všetkým zamestnancom, zákazníkom a partnerom bez ohľadu na ich zvolený prehliadač a platformu.
-
Zjednodušuje správu prístupu
IT Tímy už nemusia zavádzať a spravovať politiky a infraštruktúru hesiel, čím sa znižujú náklady a môžu sa sústrediť na aktivity s vyššou hodnotou. Okrem toho sa zvyšuje produktivita pracovníkov technickej podpory, pretože nemusia vybavovať požiadavky založené na heslách, ako je napríklad resetovanie hesiel.
-
Čo sú WebAuthn a CTAP2?
Množina špecifikácií FIDO2 má dve súčasti: Webové overovanie (WebAuthn) a protokol Client-to-Authenticator Protocol 2 (CTAP2). Hlavná súčasť WebAuthn je rozhranie JavaScript API, ktoré je implementované v kompatibilných webových prehliadačoch a platformách, takže registrované zariadenia môžu vykonávať overovanie FIDO2. World Wide Web Consortium (W3C), medzinárodná organizácia pre štandardy pre World Wide Web, vyvinula WebAuthn v spolupráci s alianciou FIDO. WebAuthn sa v roku 2019 stal oficiálnym webovým štandardom W3C.
Druhá súčasť, CTAP2, ktorú vyvinula aliancia FIDO, umožňuje roamingovým overovačom, ako sú kľúče zabezpečenia FIDO2 a mobilné zariadenia, komunikovať s prehliadačom a platformami podporujúcimi FIDO2.
Čo je to FIDO U2F a FIDO UAF?
FIDO2 sa vyvinulo z FIDO 1.0, prvej špecifikácie overovanie FIDO, ktorú aliancia vydala v roku 2014. Tieto pôvodné špecifikácie zahŕňali protokol FIDO Universal Second Factor (FIDO U2F) a protokol FIDO Universal Authentication Framework (FIDO UAF).
FIDO U2F aj FIDO UAF sú formy viacfaktorového overovania, ktoré si vyžaduje dva alebo tri dôkazy (alebo faktory) na overenie používateľa. Tieto faktory môže poznať len používateľ (napríklad prístupový kód alebo PIN kód), môže ich vlastniť (napríklad kľúč FIDO alebo overovacia aplikácia v mobilnom zariadení) alebo nimi môže byť (napríklad biometrický údaj).
Získajte ďalšie informácie o týchto špecifikáciách:
FIDO U2F
FIDO U2F posilňuje overovacie štandardy založené na hesle o dvojfaktorové overovanie (2FA), ktorá overuje používateľa pomocou dvoch dôkazným materiálom. Protokol FIDO U2F vyžaduje, aby jednotlivec ako prvý faktor uviedol platnú kombináciu používateľského mena a hesla a ako druhý faktor použil zariadenie USB, NFC alebo Bluetooth, pričom sa spravidla overí stlačením tlačidla alebo zadaním časovo citlivého protokolu OTP.
FIDO U2F je nástupcom CTAP 1 a predchodcom CTAP2, ktorý umožňuje jednotlivcom používať ako zariadenia druhého faktora okrem kľúčov FIDO aj mobilné zariadenia.
FIDO UAF
FIDO UAF uľahčuje viacfaktorové overovanie bez hesla. Ako prvý faktor sa vyžaduje, aby sa jednotlivec prihlásil pomocou klientskeho zariadenia registrovaného v systéme FIDO, ktoré potvrdzuje prítomnosť používateľa pomocou biometrickej kontroly, ako je napríklad odtlačok prsta alebo sken tváre, alebo pomocou PIN kódu. Zariadenie potom vygeneruje jedinečný pár kľúčov ako druhý faktor. Webová stránka alebo aplikácia môže použiť aj tretí faktor, napríklad biometrický údaj alebo geografickú polohu používateľa.
FIDO UAF je predchodca overovania FIDO2 bez hesla.
Ako implementovať FIDO2
Implementácia štandardu FIDO2 na webových stránkach a v aplikáciách si vyžaduje, aby vaša organizácia mala moderný hardvér a softvér. Našťastie všetky popredné webové platformy vrátane systémov Microsoft Windows, Apple iOS a MacOS a Android a všetky hlavné webové prehliadače vrátane prehliadačov Microsoft Edge, Google Chrome, Apple Safari a Mozilla Firefox podporujú FIDO2. Vaše riešenie správy identít a prístupu (IAM) musí podporovať aj overovanie FIDO2.
Implementácia overovania FIDO2 do nových alebo existujúcich webových stránok a aplikácií vo všeobecnosti zahŕňa tieto kľúčové kroky:
- Definujte spôsob prihlasovania používateľov a metódy overovania a nastavte politiky riadenia prístupu.
- Vytvorte nové alebo upravte existujúce registračné a prihlasovacie stránky s príslušnými špecifikáciami protokolu FIDO.
- Nastavte server FIDO na overovanie registračných a overovacích požiadaviek FIDO. Server FIDO môže byť samostatný server, integrovaný s webovým alebo aplikačným serverom alebo poskytovaný ako modul IAM.
- Vytvorte nové alebo upravte existujúce pracovné postupy overovania.
FIDO2 a biometrické overovanie
Biometrické overovanie využíva jedinečné biologické alebo behaviorálne charakteristiky osoby na potvrdenie toho, že osoba je tá, za ktorú sa vydáva. Biometrické údaje sa zhromažďujú a konvertujú na biometrické šablóny, ktoré sú prístupné len pomocou tajného algoritmu. Keď sa osoba pokúsi prihlásiť, systém znovu zachytí informácie, skonvertuje ich a porovná s uloženými biometrickými údajmi.
Medzi príklady biometrického overovania patria:
Biologické
- Skenovanie odtlačkov prstov
- Skenovanie sietnice
- Rozpoznávanie reči
- Porovnávanie DNA
- Skenovanie žíl
Správanie
- Používanie dotykovej obrazovky
- Rýchlosť písania
- Klávesové skratky
- Aktivita myšou
Biometrické overovanie je realitou na dnešných hybridných digitálnych pracoviskách. Zamestnancom sa páči, že im poskytuje flexibilitu, vďaka ktorej sa môžu rýchlo a bezpečne overiť kdekoľvek si vyberú. Podnikom sa páči, že výrazne zmenšuje počet útokov, čím odrádza od kybernetickej kriminality, ktorá by inak mohla byť zameraná na ich údaje a systémy.
Biometrické overovanie však nie je úplne odolné voči hackerom. Škodliví aktéri môžu napríklad použiť biometrické údaje niekoho iného, ako je fotografia alebo silikónový odtlačok prsta, aby sa vydávali za túto osobu. Alebo môžu skombinovať viacero skenov odtlačkov prstov a vytvoriť primárny sken, ktorý im umožní prístup k viacerým používateľským kontám.
Biometrické overovanie má aj ďalšie nevýhody. Niektoré systémy na rozpoznávanie tváre sú napríklad prirodzene zaujaté voči ženám a farebným ľuďom. Okrem toho sa niektoré organizácie rozhodli ukladať biometrické údaje na databázové servery, a nie na zariadenia koncových používateľov, čo vyvoláva otázky týkajúce sa zabezpečenia a ochrany súkromia. Viacfaktorové biometrické overovanie je však aj naďalej jednou z najbezpečnejších metód overovania totožnosti používateľa.
Príklady overovania FIDO2
-
Bankovníctvo, finančné služby a poisťovníctvo
Na ochranu citlivých obchodných údajov a údajov o zákazníkoch zamestnanci, ktorí pracujú v kanceláriách firiem, často používajú firemné stolové počítače alebo notebooky s overovačmi platforiem. Politika spoločnosti im zakazuje používať tieto zariadenia na osobné účely. Zamestnanci pobočiek a call centier na pracovisku často používajú zdieľané zariadenia a overujú svoju identitu pomocou roamingových overovačov.
-
Letectvo a letecké spoločnosti
Organizácie v týchto odvetviach sa musia prispôsobiť aj jednotlivcom, ktorí pracujú v rôznych prostrediach a majú rôzne zodpovednosti. Vedúci pracovníci, zamestnanci ľudských zdrojov a ďalší zamestnanci v kanceláriách často používajú vyhradené stolové počítače a prenosné počítače a overujú sa buď pomocou overovačov platformy, alebo roamingových overovačov. Pracovníci letiskových brán, mechanici lietadiel a členovia posádky často používajú hardvérové kľúče zabezpečenia alebo overovacie aplikácie na svojich osobných smartfónoch na overovanie na zdieľaných tabletoch alebo pracovných staniciach.
-
Výroba
Na zaistenie fyzickej bezpečnosti výrobných zariadení používajú oprávnení zamestnanci a iné osoby na odomykanie dverí roamingové overovače – napríklad čipové karty s podporou FIDO2 a kľúče FIDO2 – alebo registrované osobné smartfóny s overovačmi platformy. Okrem toho tímy zaoberajúce sa návrhom produktov často používajú na prístup k online návrhovým systémom, ktoré obsahujú chránené informácie, vyhradené stolové počítače alebo notebooky s overovačmi platforiem.
-
Záchranné služby
Vládne agentúry a iní poskytovatelia pohotovostných služieb nemôžu vždy overovať zdravotníkov a iných pracovníkov poskytujúcich prvú pomoc pomocou odtlačkov prstov alebo skenov dúhovky. Tieto osoby často nosia rukavice alebo chrániče očí a zároveň potrebujú rýchlo pristupovať k online službám. V týchto prípadoch sa namiesto toho identifikujú pomocou systémov rozpoznávania hlasu. Možno použiť aj nové technológie na snímanie tvaru uší pomocou smartfónov.
Vytvorte zabezpečenie bez obáv pomocou FIDO2
Overovanie bez hesielOverovanie bez hesla sa rýchlo stáva osvedčeným postupom pre IAM. Ak prijmete štandard FIDO2, viete, že používate dôveryhodný štandard na zabezpečenie toho, že používatelia sú tí, za ktorých sa vydávajú.
Ak chcete začať používať FIDO2, starostlivo zhodnoťte konkrétne požiadavky organizácie a odvetvia na overenie identity. Potom zjednodušte implementáciu FIDO2 pomocou služby Microsoft Entra ID (predtým známe ako Azure Active Directory). Sprievodca metódami bez hesla v službe Microsoft Entra ID zjednodušuje správu aplikácie Windows Hello for Business, aplikácie Microsoft Authenticator a kľúčov zabezpečenia FIDO2.
Ďalšie informácie o zabezpečení od spoločnosti Microsoft
Služba Microsoft Entra ID (predtým známe ako Azure Active Directory)
Chráňte prístup k zdrojom a údajom pomocou silného overovania a adaptívneho prístupu s vyhodnocovaním rizík.
Microsoft Entra Identity Governance
Zvýšte produktivitu a posilnite zabezpečenie automatizáciou prístupu k aplikáciám a službám.
Microsoft Entra Správa povolení
Spravujte oprávnenia pre akúkoľvek identitu alebo prostriedok v rámci svojej multicloudovej infraštruktúry.
Microsoft Entra Overenie ID
S istotou vydávajte a overujte pracovné a iné poverenia pomocou riešenia s otvorenými štandardmi.
Microsoft Entra Identity workloadov
Znížte riziko tým, že aplikáciám a službám poskytnete podmienený prístup ku cloudovým zdrojom na jednom mieste.
Najčastejšie otázky
-
FIDO2 je skratka pre (Fast IDentity Online 2), najnovší otvorený štandard overovania vydaný alianciou FIDO. Cieľom aliancie, ktorú tvoria spoločnosť Microsoft a ďalšie technologické, komerčné a vládne organizácie, je odstrániť používanie hesiel na webe.
Špecifikácie FIDO2 zahŕňajú Web Authentication (WebAuthn), webové rozhranie API, ktoré umožňuje online službám komunikovať s overovačmi platformy FIDO2 (ako sú technológie rozpoznávania odtlačkov prstov a tváre zabudované vo webových prehliadačoch a platformách). WebAuthn, ktorý vyvinulo konzorcium World Wide Web Consortium (W3C) v spolupráci s alianciou FIDO, je formálnym štandardom W3C.
FIDO2 zahŕňa aj protokol CTAP2 (Client-to-Authenticator Protocol 2), ktorý vyvinula aliancia. CTAP2 spája roamingové overovače (napríklad externé kľúče zabezpečenia FIDO2 a mobilné zariadenia) s klientskými zariadeniami FIDO2 prostredníctvom USB, BLE alebo NFC.
-
FIDO2 je otvorený štandard bez licencie na viacfaktorové overovanie bez hesla v mobilných a desktopových prostrediach. FIDO2 funguje tak, že na overovanie totožnosti používateľov sa namiesto hesiel používa kryptografia s verejným kľúčom, čím sa zabraňuje kybernetickým zločincom, ktorí sa pokúšajú ukradnúť poverovacie údaje používateľov prostredníctvom neoprávneného získavania údajov, malvéru a iných útokov založených na heslách.
-
Medzi výhody overovanie FIDO2 patrí väčšie zabezpečenie a ochrana súkromia, používateľsky prívetivé prostredie a lepšia škálovateľnosť. FIDO2 tiež zjednodušuje riadenie prístupu pre IT tímy a pracovníkov technickej podpory tým, že znižuje workloady a náklady spojené so správou používateľských mien a hesiel.
-
Kľúč FIDO2, nazývaný aj kľúč zabezpečenia FIDO2, je fyzické hardvérové zariadenie potrebné na dvojfaktorové a viacfaktorové overovanie. Funguje ako roamingový overovač FIDO a na pripojenie ku klientskemu zariadeniu FIDO2 využíva USB, NFC alebo Bluetooth, čo používateľom umožňuje overovanie na viacerých počítačoch v kancelárii, doma alebo v inom prostredí.
Klientske zariadenie overí totožnosť používateľa tak, že ho požiada, aby pomocou kľúča FIDO2 vykonal gesto, napríklad dotyk čítačky odtlačkov prstov, stlačenie tlačidla alebo zadanie kódu PIN. Kľúče FIDO2 zahŕňajú kľúče plug-in, smartfóny, tablety, nositeľné zariadenia a iné zariadenia.
-
Organizácie zavádzajú metódy overovania FIDO2 na základe svojich jedinečných bezpečnostných, logistických a priemyselných požiadaviek.
Napríklad banky a výrobcovia, ktorí sa zaoberajú výskumom, často vyžadujú, aby kancelárski a iní zamestnanci používali stolové počítače a notebooky s overovačmi platforiem, ktoré im poskytla spoločnosť a ktoré sú určené len na obchodné účely. Organizácie s ľuďmi na cestách, ako sú posádky leteckých spoločností a záchranné tímy, namiesto toho často pristupujú k zdieľaným tabletom alebo pracovným staniciam a potom sa overujú pomocou kľúčov zabezpečenia alebo overovacích aplikácií v smartfónoch.
Sledujte Microsoft 365