В iOS 16, iPadOS 16, tvOS 16 и macOS Ventura Apple отказывается от паролей ради безопасности
В процессе будут участвовать криптографические ключи доступа, а аутентификация будет происходить с помощью Face ID или Touch ID.
В новых версиях операционных систем, представленных на WWDC 2022, будет реализована функция ключей доступа. Об этом сообщается на сайте службы поддержки Apple.
Суть технологии в следующем: авторизация на веб-сайтах и самих устройствах используется с помощью специального токена, который получил название passkey:
Во время регистрации учётной записи операционная система создаёт уникальную пару асимметричных криптографических ключей для связи её с учётной записью приложения или веб-сайта. Эти ключи генерируются устройством безопасно и уникально для каждой учётной записи.
Один из этих ключей является открытым и хранится на сервере. Он не является секретным. Другой ключ закрыт и необходим для фактического входа в систему. Сервер никогда не получит данные об этом закрытом ключе.
Система получает запрос от пользователя на аутентификацию, предоставляя открытый ключ. Пользователь в этот момент с помощью Face ID или Touch ID подтверждает свою личность, и системе переходит информация о закрытом ключе. В этот момент оба ключа подтверждаются, и происходит аутентификация.
Технология «Ключ доступа» разработана FIDO Alliance. К следующему году её раскатят на свои устройства и сервисы не только Apple, но и Google и Microsoft, о чём я писал ранее:
Microsoft, Google и Apple откажутся от паролей ради безопасности
В случае потери устройств или доступа к ним, Apple связала ключи доступа с iCloud. Для этого пользователям придётся пройти многоступенчатую аутентификацию.
FIDO Alliance, разработавшая этот стандарт, утверждает, что ключи доступа безопаснее паролей. Это действительно так: во многих случаях теперь не будет позорных qwerty и 123456:
Подборка худших паролей 2021 года
Такой способ позволит избежать фишинговых атак, когда злоумышленники создают поддельный сайт, чтобы выудить пароли. Дело в том, что подтверждение будет происходить как со стороны сервера с открытым ключом, так и со стороны пользовательского устройства. Таким образом будет гораздо меньше возможностей похитить личные данные пользователей, которые по невнимательности вводят свои логины и пароли не на тех страницах.