Върху какви алтернативи на паролите работи Google, Сам Шринивас, директор „Продуктово управление и информационна сигурност”, в интервю за Economy.bg
Сам Шринивас е директор „Продуктово управление и информационна сигурност” в Google. Той отговаря за различни вътрешни и външни инициативи, свързани със сигурността в технологичната компания. Екипът му се занимава с новите и с настоящите продукти на Google за потребителска идентификация. Той работи и в тясно сътрудничество с Google Identity отдела.
Преди Google Шринивас е отговарял за технологиите в Security Business звеното на Juniper Networks. Става част от Juniper, след като компанията закупува за 400 млн. долара основания от него стартъп Neoteris. Той е заемал различни позиции и в Healtheon (WebMD), Microsoft Research и Rockwell.
Шринивас има докторска степен по „Компютърни наунки” от Станфорд.
Той е част и от борда на директорите на FIDO Alliance. Това е организация с нестопанска цел, формирана през юли 2012. Целта й е да създаде отворен стандарт, който да замести паролите. Сред членовете на FIDO са компании като Google, PayPal, Lenovo и Mastercard.
Г-н Шринивас, преброени ли са дните на паролите?
Ежедневната употреба на паролите ще намалее драматично. Вече ставаме свидетели на тази промяна и днес – когато настроите телефона си да е винаги „логнат” и го синхронизирате с имейла си или с дадена социална мрежа, вие правите тази настройка веднъж и устройството продължава да комуникира с онлайн услугата. Не се налага да изписвате повторно паролата си за тези услуги. Вместо това можете да изберете да защитите устройството си като заключите екрана му (lock screen) чрез PIN или шаблон (pattern), или чрез четец за пръстови отпечатъци или други биометрични данни, които са новата тенденция на пазара.
Това обаче е само началото. Все още има нужда от допълнително удостоверяване на самоличността ви, въпреки че сте „постоянно логнати”, например когато променяте настройките за акаунта си или при финансови транзакции. Понастоящем услугата няма как да знае дали потребителят се е идентифицирал в устройството си, така че ще му поиска парола.
Представете си, вместо това услугата би могла да ви попита: „Наистина ли искаш да промениш настройките на акаунта си?” и това се показва като стандартен екран, който ви приканва да отключите устройството си и по този начин да удостоверите, че вие сте притежателят му.
Друг вариант би бил услугата все още да ви пита за парола, но освен това тя да получава сериозно доказателство за идентификация от предварително регистрираното ви устройство (2-ра степен на идентификация). Паролата все още съществува, но може да бъде много опростена (например код само от 4 цифри), тъй като ще работи само от устройство, което потребителят вече е регистрирал към онлайн услугата.
Кои технологии биха могли да заместят паролите?
Паролите по същество могат да бъдат заменени от централизирана идентификация от самото устройство, за която споменах по-нагоре. Как обаче устройството ще ви идентифицира – това ще е сферата на иновации. Ще станем свидетели на микс от PIN кодове, 2-ра степен на идентификцаия на устройства, биометрични данни и т.н. Други иновации биха могли да обединяват потребителско поведение, локация и т.н. Например телефонът ви може да остане отключен (т.е. няма да има нужда да го отключвате чрез парола) в колата или когато сте физически близо до него, като устройството ще установява това от чип или друг елемент, който носите на дрехите си. Предизвикателството ще е по-голямо, когато сте навън, а не вкъщи.
Всяка схема за идентификация на локално устройство ще има различни особености по отношение на ползваемостта и сигурността и ще бъде използвана по подходящия начин от услугата, която се нуждае от идентификацията на потребителя.
Кои са основните тенденции при идентификацията на потребителите?
Основната тенденция е преминаване към централизирана идентификация в устройствата. Всяко добро решение трябва да е едновременно лесно за употреба и сигурно. А новостите, свързани със сигурността конкретно, трябва да решат някои от основните проблеми от света на паролите. Вече не трябва да е възможно потребител да бъде подмамен да предостави данните си за достъп. Ако съхранените в даден сайт данни на потребител са изложени на риск, те не би трябвало вече да са използваеми за „логване” в друг сайт, какъвто е случаят с паролите, които се ползват многократно.
На какво трябва да обърнат внимание компаниите, когато търсят добро решение за идентификация?
Компаниите трябва да търсят решения, базирани на отворени стандарти, към които да се придържат. Едновременно с това те трябва да отчитат факта, че предстоят значителни иновации и промени в идентификацията на локалното устройство и че решенията, към които се придържат, трябва да се пригодят към тези промени.
А да може едновременно и вълкът да е сит и агнето цяло, е възможно. Ето как: основните протоколи между устройствата и услугата в „облака” могат да бъдат добре формулирани криптографски протоколи, където устройството по същество регистрира криптографски ключ от потребителското устройство с услугата и по-късно доказва собственост върху ключа, когато услугата отправи някакво предизвикателство. Потребителят позволява използването на ключа на устройството, като предприема стъпки по идентификация на устройството. Потребителските ключове на устройството ще могат да бъдат пригодени за употреба чрез различни форми на идентификация. Тук иновацията и пазарът ще решат кое ще работи най-добре за потребителя.
Например аз може да използвам устройство за 2-ра степен на идентификация, което прави ползваеми ключовете само чрез натискане на бутон. Това е подходящо за използване с по-прости пароли за някои услуги. Друг потребител може да използва устройство, където ключовете стават ползваеми чрез биометрични данни, а услугата може да избере напълно да измести паролите в този случай, тъй като е наясно, че отключването чрез ключ идентифицира потребителя.
Трябва обаче да се име предвид следното: по отношение на собствеността на частния ключ трябва да се отчита фактът, че всяка услуга и акаунт получават собствен ключ от потребителското устройство. Така че не е възможно да проследите устройство чрез услугите, използващи тези ключове. Освен това биометричните данни се съхраняват локално на устройството. Единственото, което отива към услугата, е доказателството за собственост на ключа. Така че когато устройството ви знае как да разпознае сканирания ви очен ирис, данните от сканирането никога няма да бъдат изпратени в „облака”.
Върху какви алтернативи на паролите работи Google?
Google разглежда много алтернативи, тъй като считаме, че това е област, която предлага много възможности. Алтернативите варират от устройства с двуфакторна идентификация до устройства с различни форми на идентификация на локалното устройство.
Google е един от основателите на FIDO Alliance. Защо компанията реши да се присъедини към тази организация?
Според нас в бъдеще постепенно ще преминаваме към концентрирана върху устройства технология за идентификация. В този контекст ние работим върху прост отворен и силен двуфакторен протокол като една от целите в този план. В разговорите ни с PayPal и другите компании, които са част от FIDO, разбрахме, че споделят подобна визия. Ние се присъединихме към FIDO, така че ресурсите на индустрията относно отворения протокол за идентификация да се обединят и той да получи по-голяма тежест.
Каква е основната цел на FIDO?
Целта на FIDO е да създаде добре изследвани отворени стандарти за по-проста и по-сигурна идентификация с по-добра защита за потребителя. Протоколите ще стандартизират криптографираните с публичен ключ взаимодействия между устройства и услуги. Ще се стандартизира и интерфейсът, при който различни форми на идентификация могат да отключват устройствата.
Какви ще са предимствата на FIDO идентификаторите?
Основното предимство на FIDO стандартите ще бъде избор, базиран на стандарти. Потребителят ще може да избира такава идентификация чрез устройство, която най-добре отговаря на нуждите му, и да знае, че може да сърфира из мрежата, без да се налага отново да се оторизира. Услуга, използваща FIDO, ще може да приема идентфикация от различни устройства, които могат постоянно да се променят и подобряват. Производителите на устройства могат да правят иновации по отношение на методите за идентификация, знаейки, че могат да разчитат на пазар чрез стандартния FIDO интерфейс.
Кога FIDO ще е готов с алтернативни методи за идентификация на потребителите?
Първите устройства, поддържащи стандарта FIDO, ще бъдат на пазара през 2014.
Как виждате бъдещето на потребителската идентификация след 10 години?
Независимо какво правим – логваме се в уебсайт, плащаме за нещо, стартираме автомобил, отключваме къщата, показваме снимките си на телевизора на приятел, чекираме се на летището или плащаме билет в автобуса - всичко, което изисква идентификация, ще се случва гладко и сигурно с устройства за персонализирана идентификация. Това ще стане с ясно формулирани стандартизирани протоколи. Аз може да нося гривна на ръката, която използва за идентификация определени биометрични данни за неща, които правя, ти вместо това може да избереш телефон, използващ PIN код, друг може да предпочете очила с нещо, вградено в тях, използващи друго специфично за потребителя сетиво.
Освен удобството и сигурността, за разпространението на тези стандартите значение ще има и още един критичен фактор, а именно защитата на личните данни на потребителя. Няма да е възможно да свържеш потребител с различни услуги само на база ключове, които потребителят използва за всяка от услугите, тъй като всеки ключ е уникален. Цялата физическа информация за потребителя (например биометрични данни) ще остане под контрола на потребителя и на устройствата му.
