Passkeys: Έρχεται το Τέλος των Passwords; Πώς Λειτουργεί η Τεχνολογία που Θέλει να Αντικαταστήσει τους Κωδικούς

Για περισσότερα από 50 χρόνια χρησιμοποιούμε σχεδόν την ίδια βασική μέθοδο για να αποδείξουμε ποιοι είμαστε στον ψηφιακό κόσμο.

Ένα username.

Και έναν κωδικό.

Το password έγινε τόσο αυτονόητο μέρος της τεχνολογίας ώστε δύσκολα φανταζόμαστε το internet χωρίς αυτό.

Όμως υπάρχει ένα πρόβλημα.

Τα passwords είναι ένας από τους πιο αδύναμους κρίκους της ψηφιακής ασφάλειας.

Τα ξεχνάμε.

Τα επαναχρησιμοποιούμε.

Επιλέγουμε εύκολους κωδικούς.

Τα γράφουμε κάπου.

Τα δίνουμε κατά λάθος σε ψεύτικες ιστοσελίδες.

Διαρρέουν από βάσεις δεδομένων.

Και οι εγκληματίες έχουν αναπτύξει ολόκληρη βιομηχανία γύρω από την κλοπή τους.

Για αυτό η τεχνολογική βιομηχανία επιχειρεί κάτι πολύ μεγαλύτερο από τη δημιουργία «καλύτερων passwords».

Προσπαθεί σταδιακά να καταργήσει την ανάγκη ύπαρξής τους.

Η τεχνολογία ονομάζεται:

Passkeys.

Και η ιδέα είναι απλή.

Αντί να πληκτρολογείς έναν μυστικό κωδικό που μπορεί να κλαπεί, η συσκευή σου αποδεικνύει κρυπτογραφικά ότι είσαι εσύ.

Face ID.

Fingerprint.

PIN της συσκευής.

Ένα άγγιγμα.

Και είσαι μέσα.

Αλλά πίσω από αυτή την απλή εμπειρία κρύβεται μία από τις σημαντικότερες αλλαγές στην ασφάλεια του internet των τελευταίων ετών.

Γιατί τα passwords έχουν γίνει τεράστιο πρόβλημα

Ένας σωστός κωδικός θα έπρεπε να είναι:

μεγάλος,

μοναδικός,

τυχαίος,

διαφορετικός για κάθε υπηρεσία,

και δύσκολος να προβλεφθεί.

Αυτό όμως δημιουργεί ένα προφανές ανθρώπινο πρόβλημα.

Ένας μέσος χρήστης μπορεί να έχει δεκάδες ή ακόμη και εκατοντάδες online accounts.

Είναι πρακτικά αδύνατο να θυμάται έναν εντελώς διαφορετικό και πολύπλοκο κωδικό για καθένα από αυτά.

Έτσι κάνουμε κάτι απολύτως προβλέψιμο.

Χρησιμοποιούμε ξανά τους ίδιους κωδικούς.

Ένα password leak μπορεί να ανοίξει πολλές πόρτες

Ας υποθέσουμε ότι χρησιμοποιείτε τον ίδιο συνδυασμό email και password σε:

ένα ηλεκτρονικό κατάστημα,

ένα social network,

και μία άλλη online υπηρεσία.

Αν παραβιαστεί η βάση δεδομένων της πρώτης υπηρεσίας και οι επιτιθέμενοι αποκτήσουν τα credentials, μπορούν να δοκιμάσουν τα ίδια στοιχεία σε άλλες ιστοσελίδες.

Η τεχνική αυτή ονομάζεται credential stuffing.

Δεν χρειάζεται καν να «χακάρουν» τον δεύτερο λογαριασμό.

Απλώς δοκιμάζουν ένα password που έχει ήδη διαρρεύσει αλλού.

Το phishing είναι ακόμη μεγαλύτερο πρόβλημα

Φανταστείτε ότι λαμβάνετε ένα email που μοιάζει απόλυτα πραγματικό.

«Εντοπίσαμε ύποπτη δραστηριότητα στον λογαριασμό σας.»

Πατάτε το link.

Βλέπετε μια ιστοσελίδα που μοιάζει σχεδόν ακριβώς με την πραγματική.

Βάζετε:

email,

password,

και ίσως ακόμη και έναν κωδικό επιβεβαίωσης.

Η ιστοσελίδα όμως είναι ψεύτικη.

Μόλις δώσατε τα στοιχεία στον επιτιθέμενο.

Αυτό είναι ένα από τα θεμελιώδη προβλήματα των passwords:

ο άνθρωπος πρέπει να γνωρίζει σε ποιον δίνει το μυστικό του.

Και εδώ εμφανίζονται τα passkeys

Ένα passkey δεν είναι ένας ακόμη πιο περίπλοκος κωδικός.

Δεν είναι κάτι όπως:

X8!g7#Kp29@L

Δεν χρειάζεται να το θυμάστε.

Δεν χρειάζεται να το πληκτρολογείτε.

Και κυρίως:

δεν υπάρχει ένας κοινός μυστικός κωδικός που στέλνετε στην ιστοσελίδα κάθε φορά που συνδέεστε.

Αντίθετα, χρησιμοποιείται κρυπτογραφία δημόσιου κλειδιού.

Πώς λειτουργεί ένα passkey;

Όταν δημιουργείται ένα passkey για μια υπηρεσία, δημιουργείται ουσιαστικά ένα ζεύγος κρυπτογραφικών κλειδιών.

Ένα:

private key

και ένα:

public key.

Το public key μπορεί να αποθηκευτεί στην υπηρεσία.

Το private key παραμένει προστατευμένο στην πλευρά του χρήστη και δεν χρειάζεται να σταλεί στον server για να πραγματοποιηθεί η σύνδεση.

Αυτό αλλάζει θεμελιωδώς το μοντέλο authentication.

Τι είναι το public key;

Το δημόσιο κλειδί δεν χρειάζεται να παραμείνει μυστικό.

Η υπηρεσία μπορεί να το αποθηκεύσει μαζί με τον λογαριασμό.

Δεν μπορεί όμως πρακτικά να χρησιμοποιήσει αυτό το public key για να δημιουργήσει το αντίστοιχο private key.

Το private key είναι αυτό που χρησιμοποιείται για την κρυπτογραφική απόδειξη ότι ο χρήστης διαθέτει το σωστό credential.

Τι συμβαίνει όταν πατάμε “Sign in”;

Σε απλοποιημένη μορφή:

Η ιστοσελίδα στέλνει μία κρυπτογραφική πρόκληση στη συσκευή.

Η συσκευή ζητά από τον χρήστη να επιβεβαιώσει ότι είναι ο νόμιμος κάτοχος.

Για παράδειγμα μέσω:

Face ID,

δακτυλικού αποτυπώματος,

PIN,

ή άλλου τοπικού μηχανισμού.

Στη συνέχεια χρησιμοποιεί το private key για να δημιουργήσει την κατάλληλη κρυπτογραφική απάντηση.

Η υπηρεσία την επαληθεύει χρησιμοποιώντας το public key.

Αν όλα είναι σωστά:

ο χρήστης συνδέεται.

Το Face ID δεν στέλνεται στην ιστοσελίδα

Αυτό είναι σημαντικό.

Όταν χρησιμοποιείτε το πρόσωπο ή το δακτυλικό αποτύπωμα για να ξεκλειδώσετε ένα passkey, η υπηρεσία στην οποία συνδέεστε δεν χρειάζεται να λάβει το biometric data σας.

Το Face ID ή το fingerprint λειτουργεί ως τοπικός μηχανισμός που επιτρέπει στη συσκευή να χρησιμοποιήσει το credential.

Με απλά λόγια:

η ιστοσελίδα δεν χρειάζεται να γνωρίζει το πρόσωπό σας.

Χρειάζεται μόνο την κρυπτογραφική απόδειξη ότι η σωστή συσκευή και ο σωστός χρήστης ενέκριναν τη διαδικασία.

Γιατί αυτό είναι πολύ πιο ανθεκτικό στο phishing;

Εδώ βρίσκεται ίσως το μεγαλύτερο πλεονέκτημα των passkeys.

Τα passkeys συνδέονται κρυπτογραφικά με την υπηρεσία για την οποία δημιουργήθηκαν.

Αν ένας απατεώνας δημιουργήσει μια ψεύτικη ιστοσελίδα που μοιάζει με την πραγματική, δεν μπορεί απλώς να εμφανίσει ένα κουτί και να σας πει:

«Γράψε εδώ το passkey σου».

Δεν υπάρχει κάτι χρήσιμο που μπορείτε να πληκτρολογήσετε και να του παραδώσετε.

Αυτό αφαιρεί ένα τεράστιο μέρος του ανθρώπινου λάθους από την εξίσωση.

Ένα τέλειο fake site μπορεί να ξεγελάσει εσένα — όχι απαραίτητα το passkey

Αυτό είναι η μεγάλη διαφορά.

Ένα phishing site μπορεί να αντιγράψει:

το logo,

τα χρώματα,

τη γραμματοσειρά,

το layout,

ακόμη και ολόκληρη την εμφάνιση μιας υπηρεσίας.

Ο άνθρωπος μπορεί να μην καταλάβει τη διαφορά.

Το authentication protocol όμως γνωρίζει για ποιο domain έχει δημιουργηθεί το credential.

Άρα η προστασία δεν βασίζεται μόνο στο αν ο χρήστης θα παρατηρήσει ότι η διεύθυνση είναι λάθος.

Γιατί αυτό γίνεται ακόμη σημαντικότερο στην εποχή της AI

Οι επιθέσεις phishing γίνονται όλο και πιο πειστικές.

Generative AI μπορεί να βοηθήσει στη δημιουργία:

πολύ φυσικών emails,

σωστής γραμματικής,

προσωποποιημένων μηνυμάτων,

ψεύτικων ιστοσελίδων,

φωνητικών deepfakes,

και ιδιαίτερα στοχευμένων social-engineering επιθέσεων.

Άρα η παραδοσιακή συμβουλή:

«κοίτα προσεκτικά το email για ορθογραφικά λάθη»

γίνεται ολοένα και λιγότερο αποτελεσματική.

Η καλύτερη άμυνα είναι να σχεδιάσουμε authentication συστήματα που δεν βασίζονται τόσο στην ικανότητα του ανθρώπου να εντοπίσει την απάτη.

Passkey και password: η θεμελιώδης διαφορά

Με password:

γνωρίζετε ένα μυστικό.

Ο server πρέπει να μπορεί να επαληθεύσει αυτό το μυστικό.

Με passkey:

η συσκευή διαθέτει ένα ιδιωτικό κρυπτογραφικό κλειδί.

Ο server έχει το αντίστοιχο δημόσιο κλειδί.

Δεν χρειάζεται να μοιράζεστε το private key με την υπηρεσία.

Αυτή είναι μια πολύ σημαντική αλλαγή στην αρχιτεκτονική της ασφάλειας.

Τι γίνεται αν παραβιαστεί ο server;

Σε μια παραδοσιακή παραβίαση βάσης δεδομένων passwords, οι επιτιθέμενοι μπορεί να αποκτήσουν password hashes και να προσπαθήσουν offline να ανακτήσουν αδύναμους κωδικούς.

Σε ένα passkey σύστημα ο server αποθηκεύει το public key.

Αν κάποιος κλέψει το public key, δεν αποκτά αυτομάτως το private key.

Και χωρίς το private key δεν μπορεί απλώς να το χρησιμοποιήσει σαν κλεμμένο password για να συνδεθεί.

Άρα τα passkeys είναι αδύνατο να παραβιαστούν;

Όχι.

Καμία σοβαρή τεχνολογία ασφάλειας δεν πρέπει να παρουσιάζεται ως «αδύνατο να χακαριστεί».

Ένας λογαριασμός μπορεί να κινδυνεύσει από:

malware,

κλοπή μιας ήδη ξεκλειδωμένης συσκευής,

social engineering σε διαδικασίες account recovery,

παραβίαση άλλων συνδεδεμένων λογαριασμών,

λάθη υλοποίησης,

ή άλλους μηχανισμούς.

Το σημαντικό είναι ότι τα passkeys εξαλείφουν ή περιορίζουν δραστικά ορισμένες πολύ κοινές κατηγορίες επιθέσεων που βασίζονται στην κλοπή reusable passwords.

Και τι γίνεται με το SMS verification;

Το SMS αποτέλεσε σημαντική βελτίωση σε σχέση με τη χρήση μόνο password.

Αν κάποιος κλέψει τον κωδικό σας, χρειάζεται επίσης τον κωδικό που φτάνει στο κινητό.

Αλλά το SMS έχει δικές του αδυναμίες.

Υπάρχουν επιθέσεις:

SIM swapping,

social engineering,

κλοπής μηνυμάτων,

real-time phishing.

Ένα passkey μπορεί να παρέχει ισχυρή authentication χωρίς να χρειάζεται να πληκτρολογηθεί ένας προσωρινός κωδικός σε μια ιστοσελίδα.

Passkeys και authenticator apps

Τα authenticator apps που δημιουργούν προσωρινούς κωδικούς TOTP είναι συνήθως ισχυρότερη επιλογή από ένα απλό password.

Όμως εξακολουθούν να απαιτούν από τον χρήστη να πληκτρολογήσει έναν αριθμό.

Ένα εξελιγμένο phishing site μπορεί σε ορισμένες περιπτώσεις να ζητήσει τον κωδικό και να τον προωθήσει αμέσως στην πραγματική υπηρεσία.

Τα passkeys είναι σχεδιασμένα ώστε να είναι phishing-resistant authentication.

Αυτό είναι πολύ σημαντικότερο από το να προσθέσουμε απλώς ένα ακόμη βήμα login.

Τι είναι το FIDO2;

Η τεχνολογία πίσω από μεγάλο μέρος του passwordless authentication βασίζεται στα πρότυπα της FIDO Alliance και στο WebAuthn.

Το FIDO σημαίνει:

Fast Identity Online.

Η βασική φιλοσοφία είναι να αντικατασταθούν τα shared secrets με ισχυρή public-key cryptography.

Έτσι η ταυτότητα μπορεί να αποδεικνύεται χωρίς να μεταδίδεται ένας επαναχρησιμοποιήσιμος μυστικός κωδικός.

Τι είναι το WebAuthn;

Το Web Authentication API — WebAuthn — είναι πρότυπο του World Wide Web Consortium.

Επιτρέπει σε ιστοσελίδες και εφαρμογές να χρησιμοποιούν ισχυρή authentication βασισμένη σε public-key credentials.

Αποτελεί βασικό τεχνικό κομμάτι του οικοσυστήματος των passkeys.

Ο χρήστης όμως δεν χρειάζεται να γνωρίζει τίποτα από αυτά.

Για εκείνον η εμπειρία μπορεί να είναι απλώς:

κοιτάζω το κινητό → συνδέθηκα.

Γιατί Apple, Google και Microsoft κινούνται προς αυτή την κατεύθυνση

Για να πετύχει μια αντικατάσταση των passwords, δεν αρκεί να δημιουργηθεί ένα καλό πρωτόκολλο.

Πρέπει να υποστηρίζεται από:

λειτουργικά συστήματα,

browsers,

smartphones,

υπολογιστές,

ιστοσελίδες,

εφαρμογές.

Η υποστήριξη των μεγάλων τεχνολογικών οικοσυστημάτων είναι επομένως κρίσιμη.

Όσο περισσότερες υπηρεσίες υιοθετούν passkeys, τόσο περισσότερο η διαδικασία μπορεί να γίνει φυσιολογικό μέρος της καθημερινότητας.

Πού αποθηκεύεται ένα passkey;

Ανάλογα με το σύστημα, τα passkeys μπορούν να συνδέονται με ασφαλείς μηχανισμούς credential management και να συγχρονίζονται μεταξύ συσκευών ενός οικοσυστήματος.

Αυτό λύνει ένα από τα σημαντικότερα προβλήματα που είχαν παλαιότερες μορφές passwordless authentication:

τι γίνεται όταν αγοράσω καινούριο κινητό;

Η δυνατότητα ασφαλούς συγχρονισμού κάνει τα passkeys πολύ πιο πρακτικά για τον μέσο χρήστη.

Τι γίνεται αν χάσω το κινητό μου;

Αυτό είναι ίσως η πρώτη ερώτηση που σκέφτεται κάποιος.

«Αν το passkey είναι στο κινητό και χάσω το κινητό, τελείωσε ο λογαριασμός μου;»

Όχι απαραίτητα.

Τα σύγχρονα οικοσυστήματα μπορούν να υποστηρίζουν συγχρονισμό passkeys μεταξύ εξουσιοδοτημένων συσκευών και μηχανισμούς ανάκτησης.

Επιπλέον, ένας λογαριασμός μπορεί να διαθέτει περισσότερα από ένα credentials ή άλλες ασφαλείς recovery επιλογές.

Το account recovery όμως παραμένει κρίσιμο σημείο.

Γιατί το account recovery μπορεί να γίνει ο νέος αδύναμος κρίκος

Ας δημιουργήσουμε το τέλειο authentication system.

Δεν υπάρχει password.

Δεν υπάρχει SMS code.

Το passkey είναι εξαιρετικά ασφαλές.

Αλλά μετά προσθέτουμε ένα κουμπί:

«Δεν έχω πρόσβαση στη συσκευή μου».

Αν αυτή η διαδικασία επιτρέπει σε κάποιον να ανακτήσει εύκολα τον λογαριασμό μέσω αδύναμων ερωτήσεων ή social engineering, τότε ο επιτιθέμενος δεν χρειάζεται να σπάσει το passkey.

Θα επιτεθεί στο recovery process.

Στην κυβερνοασφάλεια ο επιτιθέμενος συνήθως αναζητά τον ευκολότερο δρόμο.

Μπορεί κάποιος να μου κλέψει το passkey από το cloud;

Η απάντηση εξαρτάται από τον τρόπο υλοποίησης και προστασίας του συγκεκριμένου οικοσυστήματος.

Τα passkeys που συγχρονίζονται μεταξύ συσκευών πρέπει να προστατεύονται ισχυρά.

Για αυτό χρησιμοποιούνται μηχανισμοί κρυπτογράφησης και προστασίας των credentials.

Το σημαντικό είναι ότι δεν αντιμετωπίζονται σαν ένα απλό αρχείο κειμένου που περιέχει passwords.

Τι είναι τα hardware security keys;

Υπάρχει και μια διαφορετική προσέγγιση.

Μικρές φυσικές συσκευές ασφαλείας που μπορούν να λειτουργούν ως authenticator.

Μπορεί να συνδέονται μέσω:

USB,

NFC,

ή άλλης τεχνολογίας.

Για χρήστες υψηλού κινδύνου, επιχειρήσεις και administrators, τα hardware security keys μπορούν να αποτελέσουν πολύ ισχυρό επίπεδο προστασίας.

Θα εξαφανιστούν πραγματικά τα passwords;

Πιθανότατα όχι από τη μία ημέρα στην άλλη.

Η τεχνολογία έχει ένα τεράστιο πρόβλημα:

legacy systems.

Υπάρχουν δισεκατομμύρια λογαριασμοί.

Παλιές εφαρμογές.

Εταιρικά συστήματα.

Routers.

IoT συσκευές.

Βιομηχανικός εξοπλισμός.

Servers που λειτουργούν εδώ και χρόνια.

Η μετάβαση θα είναι σταδιακή.

Για μεγάλο χρονικό διάστημα passwords και passkeys θα συνυπάρχουν.

Το παράδοξο της μεταβατικής περιόδου

Ένας λογαριασμός μπορεί να διαθέτει passkey.

Αλλά αν εξακολουθεί να επιτρέπει login με ένα αδύναμο password ως fallback, τότε μέρος του πλεονεκτήματος χάνεται.

Ο επιτιθέμενος δεν έχει λόγο να επιτεθεί στο ισχυρότερο authentication method.

Θα επιλέξει το πιο αδύναμο.

Για αυτό η πραγματική μετάβαση σε passwordless συστήματα είναι πιο περίπλοκη από την απλή προσθήκη ενός κουμπιού «Create passkey».

Τα passkeys είναι καλύτερα και για τον χρήστη

Η ασφάλεια συχνά έχει ένα πρόβλημα.

Όσο πιο ασφαλές γίνεται ένα σύστημα, τόσο πιο ενοχλητικό γίνεται.

Μεγάλα passwords.

Authenticator apps.

SMS.

Recovery codes.

Security questions.

Τα passkeys έχουν τη δυνατότητα να ανατρέψουν αυτή τη σχέση.

Μπορούν να είναι ταυτόχρονα:

ασφαλέστερα και ευκολότερα.

Αντί να θυμάστε έναν κωδικό 20 χαρακτήρων, χρησιμοποιείτε τον ίδιο τρόπο με τον οποίο ήδη ξεκλειδώνετε το κινητό σας.

Δεν χρειάζεται πλέον να θυμάσαι 100 διαφορετικά μυστικά

Αυτό είναι τεράστια αλλαγή στη φιλοσοφία.

Σήμερα μεγάλο μέρος της online ασφάλειας βασίζεται σε μια σχεδόν παράλογη απαίτηση:

ο άνθρωπος πρέπει να δημιουργήσει και να θυμάται δεκάδες μοναδικά μυστικά.

Με τα passkeys, το βάρος μεταφέρεται από την ανθρώπινη μνήμη στην κρυπτογραφία και στο ασφαλές hardware/software της συσκευής.

Σημαίνει αυτό το τέλος των password managers;

Όχι απαραίτητα.

Οι password managers έχουν ήδη εξελιχθεί πέρα από την απλή αποθήκευση passwords.

Και το οικοσύστημα credentials μπορεί να περιλαμβάνει:

passwords,

passkeys,

payment information,

secure notes,

identity information.

Καθώς η μετάβαση θα χρειαστεί χρόνια, password managers και passkeys πιθανότατα θα συνυπάρχουν για μεγάλο διάστημα.

Τι γίνεται όταν θέλω να μπω από ξένο υπολογιστή;

Αυτό είναι ακόμη ένα σημαντικό πρακτικό ζήτημα.

Δεν σημαίνει απαραίτητα ότι πρέπει να μεταφέρεις το private key στον ξένο υπολογιστή.

Τα passkey συστήματα μπορούν να επιτρέπουν cross-device authentication.

Για παράδειγμα, ένας υπολογιστής μπορεί να εμφανίσει QR code και ο χρήστης να επιβεβαιώσει τη σύνδεση μέσω του κινητού του.

Έτσι η συσκευή που ήδη εμπιστεύεται ο χρήστης συμμετέχει στη διαδικασία authentication.

Τα QR codes όμως δεν είναι από μόνα τους ασφαλή

Εδώ χρειάζεται μια σημαντική διευκρίνιση.

Το γεγονός ότι μια διαδικασία χρησιμοποιεί QR code δεν σημαίνει ότι κάθε QR code είναι ασφαλές.

Υπάρχει ήδη phishing μέσω κακόβουλων QR codes, γνωστό και ως quishing.

Η ασφάλεια των passkeys προέρχεται από το κρυπτογραφικό πρωτόκολλο και την επαλήθευση της υπηρεσίας, όχι απλώς από την παρουσία ενός QR code.

Τι γίνεται με τις επιχειρήσεις;

Για μια εταιρεία, τα passwords δημιουργούν τεράστιο λειτουργικό κόστος.

Ξεχασμένα passwords.

Password resets.

Helpdesk tickets.

Phishing.

Compromised accounts.

Credential theft.

Τα passwordless συστήματα μπορούν θεωρητικά να μειώσουν τόσο τον κίνδυνο όσο και το λειτουργικό κόστος.

Αλλά η μετάβαση απαιτεί:

σωστό identity management,

διαχείριση συσκευών,

recovery policies,

εκπαίδευση,

συμβατότητα με παλαιότερα συστήματα.

Οι administrators είναι ιδιαίτερα σημαντικός στόχος

Ένας απλός λογαριασμός μπορεί να δώσει πρόσβαση σε συγκεκριμένα δεδομένα.

Ένας administrator account μπορεί να δώσει πρόσβαση σε ολόκληρο σύστημα.

Για αυτό privileged accounts αποτελούν πολύ ελκυστικό στόχο για phishing.

Η phishing-resistant authentication μπορεί να έχει ιδιαίτερα μεγάλη αξία σε τέτοιους λογαριασμούς.

Και οι τράπεζες;

Οι χρηματοπιστωτικές υπηρεσίες έχουν εξαιρετικά αυστηρές απαιτήσεις authentication.

Η μετάβαση δεν είναι απλώς τεχνικό ζήτημα.

Υπάρχουν:

ρυθμιστικές απαιτήσεις,

fraud detection,

device binding,

risk scoring,

transaction approval,

identity verification.

Τα passkeys μπορούν να αποτελέσουν σημαντικό κομμάτι αυτής της αρχιτεκτονικής, αλλά δεν αντικαθιστούν αυτομάτως όλα τα υπόλοιπα συστήματα ασφαλείας.

Το passwordless internet δεν σημαίνει authentication χωρίς ασφάλεια

Η λέξη «passwordless» μπορεί να δημιουργήσει λάθος εντύπωση.

Δεν σημαίνει:

«μπαίνω χωρίς να αποδείξω ποιος είμαι».

Σημαίνει:

«αποδεικνύω ποιος είμαι χωρίς reusable password».

Στην πραγματικότητα, πίσω από μια απλή βιομετρική επιβεβαίωση μπορεί να λειτουργεί πολύ ισχυρότερη κρυπτογραφία από εκείνη που αντιλαμβάνεται ο χρήστης.

Και εδώ εμφανίζεται το επόμενο μεγάλο πρόβλημα: οι κβαντικοί υπολογιστές

Τα passkeys βασίζονται σε public-key cryptography.

Παράλληλα όμως η ίδια η κρυπτογραφία του internet βρίσκεται μπροστά σε μια διαφορετική τεχνολογική μετάβαση.

Οι μελλοντικοί μεγάλης κλίμακας κβαντικοί υπολογιστές θα μπορούσαν θεωρητικά να απειλήσουν συγκεκριμένους αλγόριθμους δημόσιου κλειδιού που χρησιμοποιούνται σήμερα.

Για αυτό κυβερνήσεις και τεχνολογικοί οργανισμοί έχουν ήδη ξεκινήσει τη μετάβαση προς νέους quantum-resistant αλγόριθμους.

Στο YourNews έχουμε αναλύσει αναλυτικά αυτή την επόμενη φάση στο άρθρο Post-Quantum Cryptography: Η Νέα Κρυπτογράφηση που Ετοιμάζεται για την Εποχή των Κβαντικών Υπολογιστών.

Η σύνδεση των δύο τεχνολογικών αλλαγών είναι ιδιαίτερα ενδιαφέρουσα:

το internet προσπαθεί ταυτόχρονα να απαλλαγεί από τα passwords και να προετοιμάσει την κρυπτογραφική του υποδομή για την κβαντική εποχή.

Τα σημερινά passkeys είναι post-quantum;

Δεν πρέπει να θεωρούμε αυτομάτως κάθε σημερινή υλοποίηση passkey ως post-quantum secure.

Τα σημερινά authentication ecosystems βασίζονται σε συγκεκριμένες μορφές public-key cryptography και η ευρύτερη μετάβαση σε post-quantum algorithms βρίσκεται σε εξέλιξη.

Αυτό όμως δείχνει κάτι σημαντικό:

οι τεχνολογίες authentication πρέπει να διαθέτουν crypto-agility.

Δηλαδή να μπορούν στο μέλλον να αλλάζουν τους κρυπτογραφικούς αλγόριθμους που χρησιμοποιούν χωρίς να χρειάζεται να ξαναχτιστεί ολόκληρο το internet από την αρχή.

Η Post-Quantum Cryptography έχει ήδη περάσει από τη θεωρία στην εφαρμογή

Το NIST έχει ήδη τυποποιήσει τα πρώτα βασικά post-quantum standards.

Τα ML-KEM, ML-DSA και SLH-DSA αποτελούν πλέον επίσημα πρότυπα.

Η αμερικανική υπηρεσία τονίζει ότι η μετάβαση πρέπει να ξεκινήσει τώρα, πριν εμφανιστούν κβαντικοί υπολογιστές ικανοί να απειλήσουν τη σημερινή public-key cryptography.

Αυτό δεν σημαίνει ότι το σημερινό internet «σπάει».

Σημαίνει ότι η αλλαγή μιας παγκόσμιας κρυπτογραφικής υποδομής χρειάζεται τόσο πολύ χρόνο ώστε η προετοιμασία πρέπει να ξεκινήσει χρόνια πριν από την πραγματική απειλή.

Γιατί τα passkeys και η post-quantum cryptography δείχνουν το ίδιο μέλλον

Φαινομενικά πρόκειται για δύο διαφορετικά θέματα.

Τα passkeys αντιμετωπίζουν κυρίως το πρόβλημα της ταυτότητας και των passwords.

Η PQC αντιμετωπίζει τον μελλοντικό κβαντικό κίνδυνο για την κρυπτογραφία.

Στην πραγματικότητα όμως αποτελούν δύο πλευρές της ίδιας αλλαγής:

το internet επανασχεδιάζει τα θεμέλια της ασφάλειάς του.

Το πρώτο ερώτημα είναι:

«Πώς αποδεικνύουμε ποιος είναι ο χρήστης;»

Το δεύτερο:

«Πώς προστατεύουμε την κρυπτογραφική απόδειξη απέναντι στους υπολογιστές του μέλλοντος;»

Το μέλλον μπορεί να είναι αόρατο για τον χρήστη

Αυτό είναι ίσως το πιο ενδιαφέρον.

Ο μέσος άνθρωπος δεν πρόκειται να μάθει:

WebAuthn,

public-key cryptography,

digital signatures,

post-quantum algorithms,

cryptographic key exchange.

Και δεν χρειάζεται.

Μπορεί απλώς να ανοίγει μια εφαρμογή.

Να κοιτάζει το κινητό.

Και να συνδέεται.

Στο παρασκήνιο όμως μπορεί να πραγματοποιείται μια εξαιρετικά σύνθετη κρυπτογραφική διαδικασία.

Η καλύτερη τεχνολογία ασφαλείας είναι συχνά εκείνη που ο χρήστης σχεδόν δεν αντιλαμβάνεται ότι υπάρχει.

Τι πρέπει να κάνει κάποιος σήμερα;

Δεν χρειάζεται να διαγράψουμε ξαφνικά όλους τους κωδικούς μας.

Όπου μια αξιόπιστη υπηρεσία προσφέρει passkeys, μπορούμε να εξετάσουμε τη χρήση τους.

Για τους λογαριασμούς που εξακολουθούν να βασίζονται σε passwords, οι βασικοί κανόνες παραμένουν σημαντικοί:

μοναδικός κωδικός για κάθε σημαντικό account,

password manager όπου χρειάζεται,

ενεργοποίηση ισχυρού multi-factor authentication,

προσοχή στο phishing,

ενημερωμένες συσκευές,

ασφαλείς recovery επιλογές.

Η μετάβαση στο passwordless internet δεν θα ολοκληρωθεί σε μία νύχτα.

Το μεγαλύτερο πρόβλημα μπορεί τελικά να μην είναι τεχνικό

Τα passkeys μπορούν να λύσουν πολλά τεχνικά προβλήματα.

Αλλά η επιτυχία τους εξαρτάται από κάτι πολύ πιο απλό:

να καταλαβαίνει ο χρήστης τι συμβαίνει.

Αν η εμπειρία γίνει πολύ περίπλοκη, οι άνθρωποι θα αναζητούν fallback επιλογές.

Αν δεν καταλαβαίνουν πώς θα ανακτήσουν τον λογαριασμό τους, μπορεί να φοβούνται να εγκαταλείψουν τα passwords.

Αν διαφορετικές πλατφόρμες λειτουργούν με διαφορετικό τρόπο, δημιουργείται σύγχυση.

Η τεχνολογία επομένως πρέπει να γίνει όχι μόνο ασφαλής αλλά και απλή.

Το password μπορεί κάποτε να μοιάζει τόσο παλιό όσο η δισκέτα

Σήμερα φαίνεται φυσιολογικό να γράφουμε:

username.

password.

login.

Αλλά πολλές τεχνολογίες που κάποτε θεωρούσαμε αυτονόητες εξαφανίστηκαν.

Δισκέτες.

Dial-up internet.

CD-ROM.

Φυσικά εισιτήρια σε πολλές υπηρεσίες.

Το password μπορεί να ακολουθήσει την ίδια πορεία.

Όχι επειδή θα βρεθεί ένας «τέλειος κωδικός».

Αλλά επειδή θα σταματήσουμε σταδιακά να χρειαζόμαστε κωδικούς.

Συμπέρασμα

Για δεκαετίες προσπαθούσαμε να λύσουμε το πρόβλημα των passwords λέγοντας στους ανθρώπους:

βάλε μεγαλύτερο password.

Βάλε κεφαλαία.

Βάλε αριθμούς.

Βάλε σύμβολα.

Μην το χρησιμοποιείς αλλού.

Άλλαζέ το.

Μην το ξεχνάς.

Μην το γράφεις.

Μην το δίνεις σε phishing site.

Τα passkeys προτείνουν μια πολύ διαφορετική λύση.

Τι θα γινόταν αν απλώς σταματούσαμε να βασιζόμαστε στα passwords;

Η συσκευή δημιουργεί ένα κρυπτογραφικό credential.

Το private key προστατεύεται.

Η υπηρεσία διαθέτει το public key.

Ο χρήστης επιβεβαιώνει την ταυτότητά του τοπικά.

Και η σύνδεση πραγματοποιείται χωρίς να μεταδίδεται ένα reusable μυστικό.

Δεν σημαίνει ότι εξαφανίζονται όλοι οι κίνδυνοι.

Δεν σημαίνει ότι το phishing ή το hacking τελειώνουν.

Σημαίνει όμως ότι μία από τις παλαιότερες και πιο προβληματικές ιδέες της πληροφορικής μπορεί σταδιακά να αντικατασταθεί από κάτι καλύτερο.

Και καθώς παράλληλα η Post-Quantum Cryptography προετοιμάζει την κρυπτογραφία για την επόμενη γενιά υπολογιστών, γίνεται σαφές ότι η ψηφιακή ασφάλεια περνά μια πολύ μεγαλύτερη αλλαγή.

Το internet του μέλλοντος μπορεί να είναι ένα internet στο οποίο δεν θα θυμόμαστε δεκάδες passwords.

Θα αποδεικνύουμε απλώς —κρυπτογραφικά— ότι είμαστε εμείς.

Τι είναι τα passkeys;

Τα passkeys είναι credentials σύνδεσης που βασίζονται σε public-key cryptography και επιτρέπουν στον χρήστη να συνδέεται χωρίς να πληκτρολογεί παραδοσιακό password.

Χρειάζεται να θυμάμαι το passkey;

Όχι. Δεν πρόκειται για έναν κωδικό που πρέπει να απομνημονεύσετε. Η συσκευή και το credential-management σύστημα διαχειρίζονται το κρυπτογραφικό κλειδί.

Το Face ID είναι το passkey;

Όχι. Το Face ID, το fingerprint ή το PIN μπορούν να χρησιμοποιούνται για να επιβεβαιώσουν τοπικά ότι επιτρέπεται η χρήση του passkey. Το ίδιο το passkey βασίζεται σε κρυπτογραφικό credential.

Η ιστοσελίδα παίρνει το δακτυλικό μου αποτύπωμα;

Όχι στο μοντέλο λειτουργίας των passkeys. Η βιομετρική επαλήθευση γίνεται τοπικά στη συσκευή και η υπηρεσία λαμβάνει την κρυπτογραφική απόδειξη που απαιτείται για το authentication.

Γιατί τα passkeys προστατεύουν από phishing;

Επειδή τα credentials συνδέονται με τη συγκεκριμένη υπηρεσία και δεν υπάρχει reusable password που μπορεί ο χρήστης απλώς να πληκτρολογήσει σε μια ψεύτικη ιστοσελίδα.

Τι γίνεται αν χάσω το κινητό μου;

Ανάλογα με το οικοσύστημα, μπορεί να υπάρχουν συγχρονισμένα passkeys σε άλλες συσκευές και διαδικασίες ασφαλούς account recovery. Για αυτό είναι σημαντικό να υπάρχουν σωστά recovery mechanisms.

Είναι τα passkeys 100% ασφαλή;

Όχι. Καμία μέθοδος authentication δεν εξαλείφει κάθε πιθανή επίθεση. Περιορίζουν όμως σημαντικά κινδύνους όπως password theft, credential stuffing και πολλές μορφές phishing.

Θα εξαφανιστούν τα passwords;

Η μετάβαση θα είναι σταδιακή. Υπάρχουν τεράστιες legacy υποδομές και δισεκατομμύρια λογαριασμοί που εξακολουθούν να χρησιμοποιούν passwords.

Τα passkeys είναι post-quantum ασφαλή;

Δεν πρέπει να θεωρούμε αυτομάτως όλες τις σημερινές υλοποιήσεις passkeys quantum-resistant. Η μετάβαση της public-key cryptography σε post-quantum πρότυπα αποτελεί ξεχωριστή και ήδη ενεργή διαδικασία.

Πρέπει να χρησιμοποιήσω passkey όταν μια υπηρεσία μου το προσφέρει;

Σε αξιόπιστες υπηρεσίες και σωστές υλοποιήσεις, τα passkeys μπορούν να προσφέρουν πολύ ισχυρή και ιδιαίτερα phishing-resistant authentication, ενώ συνήθως είναι και πιο εύχρηστα από σύνθετους μοναδικούς κωδικούς.

Πηγές & References

• FIDO Alliance – Passkeys
• FIDO Alliance – How Passkeys and Post-Quantum Cryptography Are Reshaping Security
• W3C – Web Authentication: WebAuthn
• Google – Passkeys
• Apple – Passkeys Overview
• Microsoft – Passkeys
• NIST – Post-Quantum Cryptography
• NIST – Migration to Post-Quantum Cryptography
• NIST – Transition to Post-Quantum Cryptography Standards