Lepsze uwierzytelnianie, bez haseł! #fido

🔭 Zastanawialiście się może kiedyś nad tym kto i kiedy może, nawet tylko teoretycznie, podglądać Wasze hasła? Opowiem Wam przy okazji o metodzie, która hasła po prostu… całkowicie eliminuje. No, prawie całkowicie. Pokażę też jak polski startup umożliwia dodanie uwierzytelniania dwuetapowego albo FIDO do dowolnej aplikacji, nawet bardzo przestarzałej, którą kontrolujecie. Mowa o firmie Secfense, która jest partnerem i zarazem sponsorem tego odcinka.

Źródła:
🌍 Secfense

❔ Czym jest bezpieczne uwierzytelnianie?

🤝 Stowarzyszenie FIDO

🖼️ Źródło grafiki-schematu z procesem rejestracji konta w usłudze z użyciem FIDO

Jeżeli nie ufasz skracanym linkom (bardzo dobrze!) to dodaj na ich końcu plusik ‘+’.

© Wszystkie znaki handlowe należą do ich prawowitych właścicieli.

Dziękuję za Waszą uwagę. ❤️

Znajdziecie mnie również na;
Podcasty na;

Dziękuję za gościnę katowickiej restauracji Sztolnia!

Rozdziały:
00:00 Intro
01:14 Zagrożenie
03:03 Rozwiązanie
04:46 FIDO
08:03 DORA
08:43 Secfense
10:40 Wady
12:11 Co Robić i Jak Żyć?

#współpraca #FIDO #hasła #Secfense

[MateuszChrobok]

Zresztą w tajemnicy zdradzę Wam, że szykują pod koniec marca webinar z Andrew Shikiarem, czyli twarzą stowarzyszenia FIDO, a moderowany przez Adama z Zaufanej Trzeciej Strony. Jeżeli chcecie wziąć w nim udział, to śledźcie uważnie sociale Secfense!
Smacznej kawusi!

[secfense]

Bardzo dziękujemy za zaproszenie do odcinka i za świetną współpracę!

[szafirmeru]

Fajnie jakby inne banki śladem ING też zapowiedziały wprowadzenie kluczy jako opcję do logowania się.

[Derpeusz]

Realizujesz bardzo merytoryczne i fajne odcinki, aż chce się słuchać!

[andrzejmurzyn]

nie sądziłem że w kawiarni można sobie na spokojnie ponagrywać :3
a tak serio to fajny film

[HUW-]

Pytanie co z faktem ze klucze powiazane są z urządzeniem? "Zaletą" klasycznych haseł jest to że mamy je ze sobą, w głowie. Natomiast przy fido co gdy zgubimy telefon?

[bartoszp]

Kiedyś podczas biegania rozkminiałem jak zabezpieczyć kluczowe urządzenia inteligentnego domu jak np. zamek drzwi wejściowych i wpadłem dokładnie na taki pomysł. Jeden klucz publiczny na urządzeniu końcowym i drugi klucz prywatny na serwerze schowanym głęboko w murach. Każda prośba o odblokowanie drzwi będzie zawierała inne dane, więc żadne zewnętrzne nasłuchiwanie nie pomoże. Do tego jakiś alarm i blokada czasowa w przypadku próby bombardowania zamka metodą brute force.

[damianstelmach]

Czy to nie jest poprostu wariacja techniki znanej z kluczy SSH?

[Vulver]

Jest już tak wiele tych metod i protokołów uwierzytelniania, że integracja kolejnej cudownej i bezpiecznej metody uwierzytelniania w aplikacji śni się programistom po nocach. Potem do tych "jednolitych" standardów przychodzą jeszcze różne implementacje, programistę głowa boli, użytkownicy mają dość, złodzieje nadal znajdują sposoby by kraść, a wynalazcy tych cudownych standardów zacierają łapki, bo zawsze można zarobić na certyfikacji, oprogramowaniu czy sprzedaży fizycznych kluczy, czytników biometrycznych etc.

[Micz]

Dla małych stron [roblemem z wdrożeniem tego typu rozwiązań jest powszechność wśród użytkowników. Mały sklep nie może sobie pozwolić na wymuszenie tego typu uwierzytelniania. Ryzykuje, że klienci uznają, że to przesada wymagać instalowania dodatkowej aplikacji. Oczywiście możnaby to zrobić jako opcja i tylko zachęcać do skorzytania.
Problemem może być też rozdrobnienie. Jeśli każda większa firma technologiczna opracowałąby własne rozwiązanie tego typu to mogłoby to zniechęcić użytkowników, bo musieliby mieć klika aplikacji tego typu. Myślę, że aby zwiększyć szansę na szerokie użycie wśród ludzi musiałaby powstać organizacja non-profit wspierana przez tech gigantów, która wprowadziłaby takie rozwiązanie na rynek.

[marcinmantor]

Cześć Mateusz, widzę, że już hasło DORA pojawia się w Twoich filmikach, a to temat rzeka, który fajnie jak będzie pojawiać się coraz częściej. tym bardziej, że do DORA powstanie jeszcze dużo rrs-ów... nowe i stare wymogi dla IT, bezpieczeństwa, pytanie co zrobią ostatecznie z cyberustawą, dostawcy usług, co będą mieć niezłe wyzwanie, pełno audytów, wewnętrznych, zewnętrznych, ach będzie się działo, będzie "zabwa";)

[paczkaczka]

Może odcinek o tym co wie o nas nasz dostawca internetu? :)

[asfaltyka]

Idealna długość materiału, co do samego produktu to nie powalił podczas prezentacji, pozostaje przy keycloaku.

[krzychu]

Ja mam takie pytanie: na jakie konsekwencje można się narazić tworząc fałszywą stronę logowania do strony z memami żeby wykraść hasło i wrzucać średniej jakości memy w celu pozbycia sie konkurencji?

[_shy_fox_]

Mógłbym zaakceptować go, ale..
Jeśli dało by się skopiować klucze prywatne tak jak secret key w 2FA.
Tak aby w przypadku utraty urządzenia zgrać je z backupu.

Zabezpieczyć klucze hasłem, bo piny i biometria to słabe zabezpieczenie.

Jak będzie to otwarty projekt to powstanie masa aplikacji z różnymi implementacjami może któraś mi przypasuję.

[karolkulbaka]

Fajny odcinek, ale małe sprostowanie - biometria w urządzeniach mobilnych jest traktowana jako element posiadany, bo techniczne jedynie uwalnia zachowane klucze, a same dane biometryczne są przetwarzane wyłącznie wewnątrz urządzenia.

[szymonjackiewicz]

02:27 "No i mamy pro8l3m." - Dobry smaczek :D

[nielot]

W świecie Tora logowanie kluczami od lat już jest wykorzystywane, a jak coś tam jest, to znak że jest to całkiem bezpieczne.

[brus]

Nie ma bardziej wkurzających stron niż te rządowe i od dostawców np energii. Gdzie chcesz zapłacić tylko rachunek ale oczywiście albo musisz hasło zmienić bo wymyślili, ze tak będzie bezpiecznie po czym za miesiąc już nie pamiętasz tej zmiany. Albo aplikacja jest tak wymyślona jak by ktoś chciał Zrobić pozłości.

[riddick]

Jeżeli programiści opracowali szyfratory, to adekwatnie i możliwość deszyfratory. Wystarczy, że któryś ze zwolnionych pracowników firmy, nagle przestanie być lojalny. To prawidłowość stara jak świat, niczym rakiety i antyrakiety. Wojna trwa nadal.