Siga ZDNET: Agréganos como fuente preferida en Google.

Conclusiones secreto de ZDNET

• Dashlane ahora le permite iniciar sesión en su administrador de contraseñas con una secreto sin contraseña.
• La característica se plinto en un paño de habitual del World Wide Web Consortium.
• No se aplazamiento que funcione en la lectura móvil de Dashlane hasta principios del próximo año.

La gran mayoría de las transgresiones a la ciberseguridad, muchas de las cuales conducen a la filtración de información confidencial o pérdidas financieras, comienzan con una estafa de phishing de contraseñas.

Investigación muestra que el 98% de los usuarios finales siguen siendo víctimas de phishers a pesar de la formación en ciberseguridad. La única respuesta al flagelo del phishing es un esfuerzo de toda la industria para deshacerse de las contraseñas (adornadas con códigos de segundo hacedor o no) como medio principal de autenticación en sitios web, aplicaciones y otros servicios en bisectriz (denominados colectivamente “partes de confianza”).

Encima: Cómo funcionan las claves de golpe: la capitán completa para su inexcusable futuro sin contraseñas

Y eso es lo que el Tipificado de secreto de golpe sin contraseña de FIDO Alliance Se proxenetismo de: ofrecer una forma nueva y segura de iniciar sesión que no requiere que usted proporcione un secreto como una contraseña como parte de un flujo de trabajo de autenticación distintivo. (Consulte la serie de ZDNET sobre cómo funcionan las claves de golpe). La dialéctica es la venidero: si no hay una contraseña para compartir con una parte legítima de confianza, entonces no hay una contraseña para compartir accidentalmente con phishers y otros ingenieros sociales.

Problema resuelto. ¿Perfectamente? Bueno, más o menos.

La última milla de la encargo de credenciales

Para utilizar claves de golpe, todavía necesitará un interlocutor, como un administrador de contraseñas, que se encargue de su creación, almacenamiento seguro y presentación (en el momento de iniciar sesión). Históricamente, esto ha presentado una paradoja intratable del huevo y la polla cuando se proxenetismo de iniciar sesión en el administrador de contraseñas. Si necesita iniciar sesión en su administrador de contraseñas para poder iniciar sesión en todo lo demás sin una contraseña, entonces ¿cómo es posible iniciar sesión sin contraseña en su administrador de contraseñas sin la ayuda de ese administrador de contraseñas? Posteriormente de todo, no has iniciado sesión. Y, si hay una contraseña por la que nunca querrás que te hagan phishing, es la contraseña de tu administrador de contraseñas: la proverbial secreto del reino.

Aunque esta última milla frágil de la encargo de credenciales se aborda técnicamente mediante una extensión propuesta (WebAuthn PRF) a un habitual del World Wide Web Consortium (WebAuthn: uno de los componentes secreto del habitual de secreto de golpe), el paño del habitual aún no ha sido ampliamente recogido con implementaciones totalmente sin contraseña por parte de administradores de contraseñas multiplataforma de terceros.

BitWarden es uno de los primeros partidarios del habitual en su administrador de contraseñas (aquí hay un vídeo mostrándolo en entusiasmo) y el administrador de contraseñas en Google Chrome se aproxima al concepto cuando los usuarios activan Software de protección destacamento de Google).

Ahora, Dashlane se ha asociado con Yubico para unirse a la cinta de administradores de contraseñas compatibles con WebAuthn PRF para eliminar la exigencia de una contraseña maestra al iniciar sesión en su aplicación de filial de contraseñas del mismo nombre.

Suena a vudú. ¿Cómo funciona?

Cuando se proxenetismo de soluciones de filial de contraseñas de terceros (referidas oficialmente por WebAuthn y los estándares de claves de golpe como autenticadores virtuales), la contraseña del adjudicatario para su administrador de contraseñas en existencia tiene un doble propósito. Como suele ser el caso con muchas otras partes que confían (especialmente aquellas que aún no admiten claves de golpe), la contraseña sirve como pulvínulo para iniciar sesión en la cuenta de filial de contraseñas del adjudicatario.

Encima, en el caso de la mayoría de los administradores de contraseñas, la contraseña maestra del adjudicatario es un fragmento de material secreto que todavía desempeña un papel en los algoritmos utilizados para abreviar y descifrar de forma única la cúpula de filial de contraseñas del adjudicatario. (Este es un contenedor de software peculiar que almacena de forma segura las diversas credenciales de sitios web y aplicaciones del adjudicatario, y a veces otros secretos confidenciales, como números de tarjetas de crédito). Dondequiera que resida esa cúpula, en cualquiera de sus dispositivos o en la aglomeración del administrador de contraseñas, reside allí en forma cifrada. La única forma de descifrarlo, especialmente cuando su dispositivo comienza a ejecutar su administrador de contraseñas como una especie de tarea en segundo plano, es con la contraseña maestra de su administrador de contraseñas. Esta es una de las razones por las que su cúpula está a aparte de los piratas informáticos cuando su administrador de contraseñas sincroniza su cúpula con su aglomeración con el fin de sincronizarla con sus otros dispositivos. Dondequiera que resida en forma cifrada, es inútil para los piratas informáticos.

Encima: Los mejores administradores de contraseñas: probados por expertos

Como tal, sustituir su contraseña por una secreto sin contraseña como pulvínulo para la autenticación con su administrador de contraseñas en existencia presenta dos enigmas técnicos:

1. Debe suceder una forma de recuperar la secreto de golpe al administrador de contraseñas sin la intervención del propio administrador de contraseñas.
2. Se debe sustituir su contraseña por otro secreto único e indestructible como ingrediente confidencial para el oculto y descifrado de la cúpula.

Entra Yubikey de Yubico. Varios modelos de esta popular información de seguridad se pueden conectar a sus dispositivos a través de USB o, en el caso de algunos modelos, a través del habitual inalámbrico de comunicación de campo cercano (NFC) (el mismo habitual de proximidad inalámbrica de la industria que le permite tocar un terminal de polímero de crédito de un punto de cesión con su polímero de crédito o teléfono inteligente).

La concreción WebAuthn PRF prescribe un método habitual de la industria mediante el cual una secreto de seguridad física compatible con FIDO2 (descrita oficialmente como una autenticador itinerante según el habitual WebAuthn) puede contraer entreambos roles; primero, como un contenedor separado y seguro para la secreto de golpe que utilizará para iniciar sesión en su administrador de contraseñas (resolviendo así la paradoja principal del huevo y la polla) y, en segundo ocasión, como fuente del material único y secreto del que se derivan esa secreto de golpe y las claves para abreviar y descifrar su cúpula.

Igualmente: Las mejores llaves de seguridad: probadas por expertos

Al igual que los Secure Enclaves que se encuentran en todos los dispositivos Apple y los Módulos de plataforma segura (TPM) que se encuentran en el hardware que ejecuta Windows, Linux y Android, cada YubiKey está codificada de forma única con información secreta que la distingue de otras YubiKeys (así como de otros autenticadores itinerantes compatibles con FiDO2 como Los titanes de Google). En otras palabras, no hay dos autenticadores itinerantes exactamente iguales.

Una vez que elimine la contraseña de su administrador de contraseñas, y poliedro que su secreto de golpe a su administrador de contraseñas, así como las claves para abreviar y descifrar su cúpula, se derivan de ese fragmento de material secreto, no podrá iniciar sesión en su administrador de contraseñas ni descifrar su cúpula sin antaño conectar ese mismo autenticador itinerante físico a su dispositivo. Por este motivo, una vez que elige utilizar un autenticador itinerante para iniciar sesión en su administrador de contraseñas, los actores de amenazas ya no pueden realizar phishing ni realizar ingeniería social para obtener las credenciales de su administrador de contraseñas. Nadie (ni ellos ni usted) puede iniciar sesión sin estar en posesión física de su autenticador móvil.

Pero hay un problema o dos

Si adecuadamente los administradores de contraseñas compatibles con WebAuth PRF finalmente están resolviendo esa última milla frágil, hay dos trampas, una de las cuales prácticamente elimina la posibilidad de que haga el cambio hoy.

El primero y más obvio de estos problemas tiene que ver con la posibilidad de que pierda su autenticador itinerante. Si todo lo que tiene es un autenticador móvil y lo pierde, todavía perderá el golpe a cualquier cuenta sin contraseña (incluida la de su administrador de contraseñas) cuyas claves de golpe estuvieran almacenadas en ese dispositivo.

Encima: estoy abandonando las contraseñas por claves de golpe por una razón, y no es lo que piensas

Por fortuna, tal como funciona el habitual WebAuth PRF, es posible utilizar el primer autenticador itinerante para inicializar uno o más autenticadores itinerantes de respaldo para acogerse de la pérdida de cualquiera de ellos. Es por eso que no solo se recomienda tener autenticadores itinerantes de respaldo. Es imperativo. Sin dicha copia de seguridad, no existe una rutina de recuperación automatizada como la que existe si pierde u olvida la contraseña de su administrador de contraseñas.

“Hay que configurar una secreto adicional”, dijo a ZDNET el director de innovación de productos de Dashlane, Rew Islam. “Usted (guardaspaldas) esa secreto donde quiera o incluso usa múltiples (autenticadores itinerantes)”. Según Islam, si Dashlane ofreciera un flujo de trabajo de recuperación que involucrara una frase secreta o un correo electrónico, desharía por completo la naturaleza a prueba de phishing del enfoque compatible con WebAuthn utilizando una YubiKey.

Encima: sus claves de golpe podrían ser vulnerables a ataques y todos, incluido usted, deben efectuar

“Si garantizamos el 100% de disponibilidad de su cuenta, entonces textualmente no habrá seguridad”, dijo Islam. Al dar a entender que la mayoría de estos mecanismos de recuperación automatizados son vulnerables a la ingeniería social, Islam dijo: “Puedo obtener golpe a su cuenta”.

Sin incautación, establecer autenticadores itinerantes de respaldo es más tratable de aseverar que de hacer. Por ejemplo, digamos que te vas de delirio y no puedes perder el golpe a tu administrador de contraseñas mientras estás fuera. ¿Cuántos autenticadores itinerantes debería traer y cuál es su organización para almacenarlos de modo que la pérdida de uno no implique todavía la pérdida de los demás? Estas son cosas en las que no necesita pensar con una contraseña recuperable, aunque sea susceptible de phishing.

Si eso no es suficiente para hacerle una pausa, el otro problema lo será.

Las lagunas: compatibilidad con iOS y Android

La idea detrás de un autenticador roaming es que, una vez que lo hayas configurado, puedas “roaming” a cualquiera de tus dispositivos. Por ejemplo, el mismo autenticador itinerante debería permitirle iniciar sesión en su administrador de contraseñas desde su teléfono inteligente y desde su computadora portátil. Posteriormente de todo, lo necesitará para iniciar sesión en todas sus cuentas diferentes desde entreambos dispositivos. Desafortunadamente, hoy en día, cuando se proxenetismo del cumplimiento de WebAuth PRF, existen lagunas en la forma en que se admite el paño del habitual en iOS y Android.

“Cuando existen estos estándares, tenemos que esperar a que las plataformas decidan qué hacer con ellos. Las claves de golpe son un éxito porque Microsoft, Google y Apple se inscribieron para implementarlas; implementar estas cosas en sus sistemas, sus sistemas operativos, sus navegadores”, dijo Islam. “Pero eso no significa que tengan que implementar cada alcoba de la concreción. Entonces, ¿qué ha sucedido? En (iOS) y Android, simplemente errata parte de la tubería para el soporte (autenticador itinerante)”.

Encima: este nuevo ciberataque te engaña para que te hackees a ti mismo. He aquí cómo detectarlo

Islam aplazamiento que, con la ayuda de algunos nuevos kits de explicación de software (SDK) provenientes de Yubico, los vacíos se cubran a principios del próximo año. Pero por el momento, si necesita ceder a Dashlane en su dispositivo móvil, ahora no es un buen momento para cambiar a una configuración del administrador de contraseñas totalmente sin contraseña. El proceso, al menos en lo que se refiere a Dashlane, es irreversible.

“Sabemos que esto está creando una situación que no es en realidad cómoda”, dijo Islam, quien sugirió que el pequeño paso aún era necesario para impulsar la prohijamiento del habitual WebAuthn PRF en toda la industria. “Necesitamos esa incomodidad para impulsar ciertas cosas (en la industria). Así que fue una atrevimiento estratégica. Ahora, es sólo un colección de aplazamiento”.

Manténgase a la vanguardia de las noticiero de seguridad con Tecnología hoyentregado en su bandeja de entrada todas las mañanas.