FIDO и Webauthn в BSD: Аутентификация для тех, кто легко отвлекается - Тейлор Р. Кэмпбелл - EuroBSDCon 2023

• Вступление: автор рассказывает о своем опыте использования аппаратных крипто-токенов и их преимуществах.  

• Традиционный подход к повышению безопасности с помощью систем входа в систему - двухфакторная аутентификация.  

• Пример: автор получает электронное письмо со ссылкой на Google Docs, но на самом деле это ссылка на страницу входа в Google.  

• Фишинг: злоумышленник может использовать push-уведомления или коды OTP для входа в систему под вашим именем.  

• Усталость от уведомлений: злоумышленник может отправлять вам уведомления, чтобы вы устали и не заметили фишинговую атаку.  

• Проблема одноразовых кодов: они годятся только для одноразового использования, но вы все равно копируете и вставляете секрет, который не привязан к фактическому источнику.  

• Фишинг - самая большая угроза для большинства людей и организаций, а также для большинства людей, стоящих между ними и их деньгами.  

• Модель угрозы номер один - фишинг, так как он представляет собой низкую планку входа и может быть легко осуществлен.  

• Важно управлять рисками, а не просто повышать уровень безопасности.  

• Аппаратные токены, такие как RSA SecureID, могут быть использованы для защиты от фишинга, но они сложны в использовании и могут представлять угрозу для конфиденциальности.  

• FIDO (Fast IDentity Online) - это протокол, который защищает от фишинга и может быть использован для входа на веб-сайты.  

• FIDO работает под капотом, используя генерацию криптографических ключей с эллиптической кривой для обеспечения безопасности.  

• Когда пользователь регистрирует устройство, оно генерирует идентификатор учетных данных и пару ключей, которые используются для входа на веб-сайт.  

• Когда пользователь входит в систему, сервер генерирует запрос и список сохраненных идентификаторов учетных данных, которые используются для подтверждения входа.  

• FIDO - это стандарт для аппаратных криптографических токенов, которые используются для входа в систему.  

• Они независимы для каждого сайта, что позволяет использовать одно устройство для входа на множество различных сайтов.  

• FIDO не хранит видимое состояние пользователя, что делает его менее привлекательным для отслеживания.  

• FIDO также может использоваться в качестве второго фактора для входа в систему, что уменьшает вероятность атаки на цепочку поставок.  

• FIDO может отправлять данные о количестве подписей, что может дать некоторую информацию для снятия отпечатков пальцев.  

• FIDO может быть использован для определения, было ли устройство клонировано, что может ограничить доступ к нему.  

• FIDO не отслеживает пользователя на разных сайтах, что делает его менее похожим на супер-куки.  

• FIDO может быть использован в веб-приложениях с помощью веб-API WeAuth.  

• FIDO также может быть использован в качестве второго фактора для входа в систему в веб-приложениях.  

• FIDO и WeAuth - взаимозаменяемые термины, хотя FIDO является более старым названием стандартов.  

• FIDO - это протокол для аутентификации, который поддерживается в BSD.  

• FIDO работает на USB-устройствах, которые не требуют специальных драйверов ядра.  

• FIDO также поддерживает смарт-карты и Bluetooth.  

• В Firefox есть приложение Authenticator RS, которое поддерживает FIDO.  

• FIDO можно использовать в SSH для аутентификации.  

• Для этого нужно сгенерировать ключ с типом "ecdsa sk".  

• FIDO также поддерживает резидентные ключи и обнаруживаемые учетные данные.  

• FIDO можно использовать для шифрования дисков, но для этого требуются новые фитоключи.  

• FIDO также можно использовать для подписи сообщений и отправки зашифрованных сообщений.  

• FIDO может быть использован для предотвращения фишинга тикетов Kerberos или паролей Kerberos.  

• FIDO может быть использован в качестве второго фактора для получения билетов Kerberos.  

• Для работы Yubikey или Phytokey необходимо иметь долгосрочный начальный секретный ключ, который может быть сгенерирован на устройстве.  

• При переустановке устройства, секретный ключ будет стерт, и устройство будет работать как новое, не связанное с предыдущими учетными записями.  

• Организатор мероприятия не знает, будет ли проводиться аукцион в конце мероприятия.  

• Участник хочет продать пару устройств на аукционе и внести свой вклад в мероприятие.  

• Организатор предлагает использовать ключ безопасности Yubico для участия в аукционе.