Kaj je FIDO2?
Spoznajte osnove preverjanja pristnosti brez gesla FIDO2, vključno z načinom delovanja in zaščito posameznikov in organizacij pred spletnimi napadi.
FIDO2 je določen
FIDO2 (Fast IDentity Online 2) je odprt standard za preverjanje pristnosti uporabnika, ki želi izboljšati način vpisa oseb v spletne storitve za izboljšanje splošnega zaupanja. FIDO2 izboljša varnost in ščiti posameznike in organizacije pred kibernetskim kriminalom z uporabo šifriranih poverilnic, ki so odporne na lažno predstavljanje, za preverjanje veljavnosti identitet uporabnikov.
FIDO2 je najnovejši odprti standard za preverjanje pristnosti,ki ga je razvila zveza FIDO Alliance, industrijski konzorcij družbe Microsoft in drugih tehnoloških, komercialnih in vladnih organizacij. Zveza je leta 2014 izdala standard za preverjanje pristnosti FIDO 1.0, ki je uvedel večkratno preverjanje pristnosti (MFA), odporno na lažno predstavljanje, leta 2018 pa še najnovejši standard za preverjanje pristnosti brez gesla FIDO2 (imenovan tudi FIDO 2.0 ali FIDO 2).
Kaj so ključi in kako so povezani s FIDO2?
Ne glede na to, kako dolga ali zapletena so gesla in kako pogosto jih spreminjamo, jih lahko ogrozimo, če jih hote ali nehote damo v skupno rabo. Tudi z zapletenim geslom je vsaka organizacija izpostavljena določenemu tveganju zaradi lažnega predstavljanja, vdorov in drugih kibernetskih napadov, pri katerih so gesla ukradena. Ko gesla pridejo v napačne roke, lahko z njimi pridobite nepooblaščen dostop do spletnih računov, naprav in datotek.
Ključi so poverilnice za vpis FIDO2, ki so ustvarjene s šifriranjem javnega ključa. Učinkovito nadomeščajo gesla in povečujejo kibernetsko varnost, hkrati pa je vpis v podprte spletne aplikacije in spletna mesta prijaznejši do uporabnika kot tradicionalni načini.
Preverjanje pristnosti brez gesla FIDO2 temelji na šifriranih algoritmih za ustvarjanje para zasebnega in javnega ključa – dolgih naključnih števil, ki so matematično povezana. Par ključev se uporablja za preverjanje pristnosti uporabnika neposredno v napravi končnega uporabnika, ne glede na to, ali gre za namizni računalnik, prenosnik, mobilni telefon ali varnostni ključ. Ključ je lahko vezan na posamezno uporabniško napravo ali pa je samodejno sinhroniziran v več napravah uporabnika prek storitve v oblaku.
Kako deluje preverjanje pristnosti FIDO2?
Preverjanje pristnosti brez gesla FIDO2 deluje tako, da kot prvi in glavni dejavnik za preverjanje pristnosti računa na splošno uporablja ključe. Skratka, ko se uporabnik registrira v spletno storitev s podporo FIDO2, odjemalska naprava, registrirana za preverjanje pristnosti, ustvari par ključev, ki deluje samo za to spletno aplikacijo ali spletno mesto.
Javni ključ je šifriran in v skupni rabi s storitvijo, zasebni ključ pa ostane varno shranjen v uporabnikovi napravi. Vsakič, ko se uporabnik poskuša vpisati v storitev, mu storitev predstavi enoličen izziv. Odjemalec aktivira napravo s ključem, da zahtevo podpiše z zasebnim ključem in jo vrne. S tem je postopek šifrirano zaščiten pred lažnim predstavljanjem.
Vrste preverjevalnikov pristnosti FIDO2
Preden lahko naprava ustvari enoličen nabor ključev FIDO2, mora potrditi, da uporabnik, ki zahteva dostop, ni nepooblaščen uporabnik ali vrsta zlonamerne programske opreme. To naredi s preverjevalnikom pristnosti, ki je naprava, ki lahko sprejme kodo PIN, biometrične podatke ali drugo uporabnikovo potezo.
Obstajata dve vrsti preverjevalnikov pristnosti FIDO:
Preverjevalniki pristnosti gostovanja (ali v več platformah)
Ti preverjevalniki so prenosne naprave strojne opreme, ki so ločene od uporabnikovih odjemalskih naprav. Aplikacije za preverjanje pristnosti gostovanja vključujejo varnostne ključe, pametne telefone, tablične računalnike, prenosne naprave in druge naprave, ki se z odjemalskimi napravami povezujejo prek protokola USB ali tehnologijo kratkega dosega NFC (near-field communication) in brezžične tehnologije Bluetooth. Uporabniki svojo identiteto preverijo na različne načine, na primer tako, da priključijo ključ FIDO in pritisnejo gumb ali da v pametnem telefonu posredujejo biometrični podatek, na primer prstni odtis. Preverjevalniki pristnosti gostovanja so znani tudi kot preverjevalniki pristnosti na več platformah, ker uporabnikom omogočajo preverjanje pristnosti v več računalnikih, kadar koli in kjer koli.
Preverjevalnik pristnosti platforme (ali vezani preverjevalniki)
Ti preverjevalniki pristnosti so vdelani v uporabnikove odjemalske naprave, bodisi namizne računalnike, prenosnike, tablične računalnike ali pametne telefone. Preverjevalniki pristnosti platforme, ki vključujejo biometrične zmogljivosti in čipe strojne opreme za zaščito ključev, od uporabnika zahtevajo vpis v storitve, ki podpirajo FIDO, s svojo odjemalsko napravo, nato pa preverijo pristnost v isti napravi, običajno z biometričnim podatkom ali kodo PIN.
Primeri preverjevalnikov pristnosti platforme, ki uporabljajo biometrične podatke, vso Microsoft Windows Hello, Apple Touch ID in Face ID ter Android Fingerprint.
Kako se registrirati in vpisati v storitve, ki podpirajo FIDO2:
Če želite izkoristiti večjo varnost, ki jo ponuja preverjanje pristnosti FIDO2, upoštevajte ta osnovna navodila:
Kako se registrirati v storitev, ki podpira FIDO2:
- 1. korak: Pri registraciji v storitev boste pozvani k izbiri podprtega načina za preverjanje pristnosti FIDO.
- 2. korak: Aktivirajte preverjevalnik pristnosti FIDO s preprosto potezo, ki jo podpira preverjevalnik pristnosti, in sicer z vnosom kode PIN, dotikom bralnika prstnih odtisov ali vstavitvijo varnostnega ključa FIDO2.
- 3. korak: Ko je preverjevalnik pristnosti aktiviran, naprava ustvari par zasebnega in javnega ključa, ki je enoličen za vašo napravo, račun in storitev.
- 4. korak: Vaša lokalna naprava varno hrani zasebni ključ in vse zaupne informacije, ki se nanašajo na način preverjanja pristnosti, na primer vaše biometrične podatke. Javni ključ je šifriran in skupaj z naključno ustvarjenim ID-jem poverilnic registriran v storitvi ter shranjen v strežniku za preverjanje pristnosti.
Kako se vpisati v storitev, ki podpira FIDO2:
- 1. korak: Storitev s šifriranim izzivom potrdi vašo prisotnost.
- 2. korak: Ob pozivu izvedite isto potezo preverjevalnika pristnosti, ki ste jo uporabili med registracijo računa. Ko s potezo potrdite prisotnost, bo naprava za podpisovanje izziva uporabila zasebni ključ, ki je lokalno shranjen v napravi.
- 3. korak: Vaša naprava pošlje podpisan izziv nazaj v storitev, ki ga preveri z varno registriranim javnim ključem.
- 4. korak: Ko končate, ste prijavljeni.
Kakšne so prednosti preverjanja pristnosti FIDO2?
Poveča varnost
Preverjanje pristnosti brez gesla FIDO2 znatno izboljša varnost prijave tako, da se zanaša na enolične ključe. S FIDO2 hekerji ne morejo zlahka pridobiti dostopa do teh občutljivih informacij z lažnim predstavljanjem, izsiljevalsko programsko opremo in drugimi pogostimi kibernetskimi tatvinami. Biometrični ključi in ključi FIDO2 pomagajo odpraviti tudi ranljivosti tradicionalnih načinov večkratnega preverjanja pristnosti, kot je pošiljanje enkratnih gesel (OTP-ji) prek besedilnih sporočil.
Izboljša zasebnost uporabnika
Preverjanje pristnosti FIDO izboljša zasebnost uporabnika tako, da varno shranjuje zasebne šifrirane ključe in biometrične podatke v uporabniške naprave. Poleg tega ta način preverjanja pristnosti ustvari enolične pare ključev, zato ponudnikom storitev preprečuje, da bi sledili uporabnikom na več spletnih mestih. Zaradi zaskrbljenosti potrošnikov zaradi morebitne zlorabe biometričnih podatkov vlade sprejemajo zakone o zasebnosti, ki organizacijam preprečujejo prodajo ali izmenjavo biometričnih podatkov.
Spodbuja preprosto uporabo
S preverjanjem pristnosti FIDO lahko posamezniki hitro in priročno preverijo svojo identiteto s ključi FIDO2, aplikacijami za preverjanje pristnosti, bralniki prstnih odtisov ali kamerami, vdelanimi v njihove naprave. Čeprav morajo uporabniki opraviti še drugi ali celo tretji varnostni korak (na primer, ko je za preverjanje identitete zahtevanih več biometričnih podatkov), si prihranijo čas in težave, povezane z ustvarjanjem, zapomnitvijo, upravljanjem in ponastavitvijo gesel.
Izboljša prilagodljivost
FIDO2 je odprt standard brez licenc, ki podjetjem in drugim organizacijam omogoča prilagajanje načinov preverjanja pristnosti brez gesla po vsem svetu. S FIDO2 lahko vsem zaposlenim, strankam in partnerjem zagotavljajo varno in poenostavljeno izkušnjo vpisa, ne glede na izbrani brskalnik in platformo.
Poenostavi upravljanje dostopa
Skupinam za IT ni treba več uvajati in upravljati pravilnikov o geslih in infrastrukture, kar zmanjšuje stroške in jim omogoča, da se osredotočijo na dejavnosti z večjo vrednostjo. Poleg tega se poveča storilnost osebja skupine za pomoč, saj mu ni treba reševati zahtev, ki temeljijo na geslih, kot je ponastavljanje gesel.
Kaj sta WebAuthn in CTAP2?
Nabor specifikacij FIDO2 je sestavljen iz dveh delov: Spletno preverjanje pristnosti (WebAuthn) in protokol CTAP2 (Client-to-Authenticator Protocol 2). Glavna komponenta, WebAuthn, je API za JavaScript, ki je uveden v združljive spletne brskalnike in platforme, tako da lahko registrirane naprave izvajajo preverjanje pristnosti FIDO2. Skupnost W3C (W3C), mednarodna organizacija za standardizacijo svetovnega spleta, je WebAuthn razvila v sodelovanju z zvezo FIDO Alliance. WebAuthn je leta 2019 postal uradni spletni standard W3C.
Druga komponenta, CTAP2, ki jo je razvila zveza FIDO Alliance, omogoča preverjevalnikom pristnosti gostovanja, kot so varnostni ključi FIDO2 in prenosne naprave, da komunicirajo z brskalniki in platformami, ki podpirajo FIDO2.
Kaj sta FIDO U2F in FIDO UAF?
FIDO2 se je razvil iz FIDO 1.0, prve specifikacije preverjanja pristnosti FIDO, ki jih je zveza objavila leta 2014. Te izvirne specifikacije so vključevale protokol FIDO Universal Second Factor (FIDO U2F) in protokol FIDO Universal Authentication Framework (FIDO UAF).
FiDO U2F in FIDO UAF sta obliki večkratnega preverjanja pristnosti, ki za preverjanje pristnosti uporabnika zahteva dva ali tri dokaze (ali dejavnike). Ti dejavniki so lahko nekaj, kar ve le uporabnik (na primer geslo ali koda PIN), kar ima (na primer ključ FIDO ali aplikacija za preverjanje pristnosti v prenosni napravi) ali kar je (na primer biometrija).
Več informacij o teh specifikacijah:
FIDO U2F
FIDO U2F krepi standarde preverjanja pristnosti, ki temeljijo na geslu, z dvojnim preverjanjem pristnosti (2FA), ki uporabnika preveri z dvema dokazoma. Protokol FIDO U2F zahteva, da posameznik kot prvi dejavnik navede veljavno kombinacijo uporabniškega imena in gesla, nato pa kot drugi dejavnik uporabi napravo USB, NFC ali Bluetooth, pri tem pa običajno preveri pristnost tako, da pritisne gumb ali tipko na časovno občutljivem enkratnem geslu.
FIDO U2F je naslednik CTAP 1 in predhodnik CTAP2, ki posameznikom omogoča uporabo prenosnih naprav poleg ključev FIDO kot naprav drugega dejavnika.
FIDO UAF
FIDO UAF omogoča večkratno preverjanje pristnosti brez gesla. Kot prvi dejavnik zahteva, da se posameznik prijavi z odjemalsko napravo, registrirano za FIDO, ki potrdi prisotnost uporabnika z biometričnim preverjanjem, kot je prstni odtis ali prepoznavanje obraza, ali s kodo PIN. Naprava nato ustvari enoličen par ključev kot drugi dejavnik. Spletno mesto ali aplikacija lahko uporablja tudi tretji dejavnik, na primer biometrične podatke ali geografsko lokacijo uporabnika.
FIDO UAF je predhodnik preverjanja pristnosti brez gesla FIDO2.
Kako uvesti FIDO2
Če želite standard FIDO2 uvesti v spletna mesta in aplikacije, mora vaša organizacija imeti sodobno strojno in programsko opremo. Na srečo FIDO2 podpirajo vse vodilne spletne platforme, vključno s sistemi Microsoft Windows, Apple iOS in MacOS ter Android, in vsi glavni spletni brskalniki, vključno z Microsoft Edge, Google Chrome, Apple Safari in Mozilla Firefox. Vaša rešitev za upravljanje identitete in dostopa (IAM) (IAM) mora podpirati tudi preverjanje pristnosti FIDO2.
Na splošno uvedba preverjanja pristnosti FIDO2 na novih ali obstoječih spletnih mestih in v aplikacijah vključuje te ključne korake:
- Opredelite način prijave uporabnikov in načine preverjanja pristnosti ter določite pravilnike za nadzor dostopa.
- Ustvarite novo ali spremenite obstoječe strani za registracijo in vpis z ustreznimi specifikacijami protokola FIDO.
- Nastavite strežnik FIDO za preverjanje pristnosti zahtev za registracijo in preverjanje pristnosti FIDO. Strežnik FIDO je lahko samostojni strežnik, integriran v spletni ali aplikacijski strežnik ali pa je na voljo kot modul IAM.
- Ustvarite nove ali spremenite obstoječe poteke dela preverjanja pristnosti.
FIDO2 in biometrično preverjanje pristnosti
Biometrično preverjanje pristnosti uporablja enolične biološke ali vedenjske značilnosti osebe za potrditev, da je oseba tista, za katero se izdaja. Biometrični podatki se zbirajo in pretvorijo v biometrične predloge, ki so dostopne le s skrivnim algoritmom. Ko se posameznik poskuša vpisati, sistem znova zajame podatke, jih pretvori in primerja s shranjenimi biometričnimi podatki.
Primeri biometričnega preverjanja pristnosti so naslednji:
Biološko
- Optično branje prstnih odtisov
- Optično branje mrežnice
- Prepoznavanje govora
- Ujemanje z DNK
- Optično branje žil
Vedenjsko
- Uporaba zaslona na dotik
- Hitrost tipkanja
- Bližnjice na tipkovnici
- Dejavnost miške
Preverjanje pristnosti z biometričnimi podatki je v današnjih hibridnih, digitalnih delovnih mestih resničnost. Zaposlenim je všeč, da jim omogoča hitro in varno preverjanje pristnosti, kjer koli se odločijo. Podjetjem je všeč, da se s tem bistveno zmanjša tarča napada, kar odvrača od kibernetskega kriminala, ki bi sicer lahko napadel njihove podatke in sisteme.
Vendar pa biometrično preverjanje pristnosti ni popolnoma varno pred hekerji. Nepridipravi lahko na primer uporabijo biometrične podatke nekoga drugega, na primer fotografijo ali silikonski prstni odtis, in se izdajajo za to osebo. Lahko pa združijo več optično prebranih prstnih odtisov in ustvarijo primarni pregled, ki jim omogoča dostop do več uporabniških računov.
Biometrično preverjanje pristnosti ima tudi druge slabosti. Nekateri sistemi prepoznavanja obrazov so na primer pristranski do žensk in temnopoltih. Poleg tega se nekatere organizacije odločijo, da bodo biometrične podatke shranile v strežnike zbirke podatkov in ne v naprave končnih uporabnikov, kar sproža vprašanja o varnosti in zasebnosti. Kljub temu je večkratno biometrično preverjanje pristnosti eden od najbolj varnih načinov, ki so danes na voljo za preverjanje identitet uporabnikov.
Primeri preverjanja pristnosti FIDO2
Bančništvo, finančne storitve in zavarovalništvo
Za zaščito občutljivih poslovnih podatkov in podatkov o strankah zaposleni, ki delajo v poslovnih pisarnah, pogosto uporabljajo namizne računalnike ali prenosnike, ki jih zagotovi podjetje, s preverjevalniki pristnosti platforme. Pravilnik podjetja jim prepoveduje uporabo teh naprav v zasebne namene. Zaposleni v podružnicah in klicnih centrih na lokaciji pogosto uporabljajo naprave v skupni rabi ter preverjajo svojo identiteto s preverjanjem pristnosti gostovanja.
Letalstvo in letalske družbe
Organizacije v teh panogah se morajo prilagoditi tudi posameznikom, ki delajo v različnih okoljih in imajo različne odgovornosti. Vodstveni delavci, kadroviki in drugi zaposleni v pisarnah pogosto uporabljajo namenske namizne računalnike in prenosnike ter preverjajo pristnost s platformo ali preverjevalniki pristnosti gostovanja. Letališki uslužbenci, mehaniki in člani posadke pogosto uporabljajo varnostne ključe strojne opreme ali aplikacije za preverjanje pristnosti v osebnih pametnih telefonih za preverjanje pristnosti na skupnih tabličnih računalnikih ali delovnih postajah.
Proizvodnja
Za zagotavljanje fizične varnosti proizvodnih obratov pooblaščeni zaposleni in drugi posamezniki za odklepanje vrat uporabljajo preverjevalnike gostovanja, kot so pametne kartice FIDO2 in ključi FIDO2, ali registrirane osebne pametne telefone s preverjevalniki pristnosti platforme. Poleg tega skupine za načrtovanje izdelkov pogosto uporabljajo namenske namizne računalnike ali prenosnike s preverjevalniki pristnosti platforme za dostop do spletnih sistemov za načrtovanje, ki vsebujejo lastniške informacije.
Službe za nujne primere
Vladne agencije in drugi ponudniki storitev za nujne primere ne morejo vedno preveriti pristnosti reševalcev in drugih prvih reševalcev s prstnim odtisom ali optičnim branjem šarenice. Ti posamezniki pogosto nosijo rokavice ali ščitnike za oči, hkrati pa morajo hitro dostopati do spletnih storitev. V teh primerih jih namesto tega prepoznajo sistemi za prepoznavanje glasu. Uporabljajo se lahko tudi nove tehnologije za optično branje oblik ušes s pametnimi telefoni.
Ustvarite varnost brez skrbi s FIDO2
Preverjanje pristnosti brez geslaPreverjanje pristnosti brez gesla hitro postaja najboljša praksa za IAM. Če vdelate FIDO2, veste, da uporabljate zaupanja vreden standard, ki zagotavlja, da so uporabniki tisti, za katere se predstavljajo.
Če želite začeti uporabljati FIDO2, skrbno ocenite svoje posebne organizacijske in panožne zahteve za preverjanje identitete. Nato poenostavite uvedbo FIDO2 s storitvijo Microsoft Entra ID (prej imenovano Azure Active Directory). Čarovnik za načine brez gesel v storitvi Microsoft Entra ID poenostavi upravljanje storitve Windows Hello za podjetja, aplikacije Microsoft Authenticator in varnostnih ključev FIDO2.
Več informacij o Microsoftovi varnosti
Microsoft Entra ID (prej imenovano Azure Active Directory)
Zaščitite dostop do virov in podatkov z zmogljivim preverjanjem pristnosti ter prilagodljivim dostopom, ki temelji na tveganju.
Microsoft Entra Identity Governance
Povečajte storilnost in izboljšajte varnost tako, da avtomatizirate dostop do aplikacij in storitev.
Preverjeni ID Microsoft Entra
Samozavestno izdajajte in preverjajte službene in druge poverilnice z rešitvijo, ki temelji na odprtih standardih.
Identiteta delovne preobremenitve Microsoft Entra
Zmanjšajte tveganje tako, da aplikacijam in storitvam na enem mestu omogočite pogojni dostop do virov v oblaku.
Pogosta vprašanja
-
FIDO2 je kratica za (Fast IDentity Online 2), najnovejši odprti standard preverjanja pristnosti, ki ga je izdala zveza FIDO Alliance. Zveza, ki jo sestavljajo Microsoft ter druge tehnološke, komercialne in vladne organizacije, si prizadeva za odpravo uporabe gesel v svetovnem spletu.
Specifikacije FIDO2 vključujejo spletno preverjanje pristnosti (WebAuthn), spletni API, ki spletnim storitvam omogoča komunikacijo s preverjevalniki pristnosti platforme FIDO2 (kot so tehnologije prepoznavanja prstnih odtisov in obrazov, vdelane v spletne brskalnike in platforme). WebAuthn je uradni standard W3C, ki ga je razvila mednarodna organizacija za standardizacijo svetovnega spleta v sodelovanju z zvezo FIDO Alliance.
FIDO2 vključuje tudi protokol CTAP2 (Client-to-Authenticator Protocol 2), ki ga je razvila zveza. CTAP2 poveže preverjevalnike pristnosti gostovanja (kot so zunanji varnostni ključi FIDO2 in prenosne naprave) z odjemalskimi napravami FIDO2 prek vrat USB, BLE ali NFC.
-
FIDO2 je odprt standard brez licence za večkratno preverjanje pristnosti brez gesla v mobilnih in namiznih okoljih. FIDO2 deluje tako, da namesto gesel uporablja šifriranje javnega ključa za preverjanje identitet uporabnikov, preprečevanje kibernetskih kriminalnih dejanj, ki poskušajo ukrasti uporabniške poverilnice prek lažnega predstavljanja, zlonamerne programske opreme in drugih napadov z geslom.
-
Prednosti preverjanja pristnosti FIDO2 so večja varnost in zasebnost, uporabniku prijazna izkušnja ter izboljšana prilagodljivost. FIDO2 prav tako poenostavlja nadzor dostopa za skupine za IT in osebje skupine za pomoč tako, da zmanjša delovne obremenitve in stroške, povezane z upravljanjem uporabniških imen in gesel.
-
Ključ FIDO2, imenovan tudi varnostni ključ FIDO2, je fizična strojna naprava, potrebna za dvojno in večkratno preverjanje pristnosti. Kot preverjevalnik FIDO v strežniku uporablja USB, NFC ali Bluetooth za povezovanje z odjemalsko napravo FIDO2, kar uporabnikom omogoča preverjanje pristnosti v več računalnikih, bodisi v pisarni, doma ali v drugi nastavitvi.
Odjemalska naprava preveri identiteto uporabnika tako, da od njega zahteva, da s ključem FIDO2 izvede potezo, na primer dotik bralnika prstnih odtisov, pritisk gumba ali vnos kode PIN. Ključi FIDO2 vključujejo ključe za vtičnike, pametne telefone, tablične računalnike, prenosne naprave in druge naprave.
-
Organizacije uvedejo načine preverjanja pristnosti FIDO2 na podlagi svojih enoličnih varnostnih, logističnih in panožnih zahtev.
Banke in proizvajalci, ki se ukvarjajo z raziskavami, na primer pogosto zahtevajo, da pisarniški in drugi zaposleni uporabljajo namizne računalnike in prenosnike, ki jih zagotavlja podjetje, in so namenjeni samo poslovni uporabi, s preverjevalniki pristnosti platforme. Organizacije z osebami na poti, kot so letalske posadke in reševalne ekipe, pogosto dostopajo do tabličnih računalnikov ali delovnih postaj v skupni rabi in nato preverijo pristnost z varnostnimi ključi ali aplikacijami za preverjanje pristnosti v svojih pametnih telefonih.
Spremljajte Microsoftovo varnost