วันนี้ W3C (องค์กรกำหนดมาตรฐานเว็บ) และ FIDO Alliance (ซึ่งกำลังทำงานอย่างหนักเพื่อจัดหาวิธีการตรวจสอบสิทธิ์ที่ง่ายและมีประสิทธิภาพมากขึ้นเพื่อทดแทนรหัสผ่าน) ได้ประกาศว่าได้สรุปมาตรฐาน WebAuthn สำหรับการเชื่อมต่อที่ปลอดภัยโดยไม่ต้องใช้รหัสผ่านแล้ว
WebAuthn เป็นบริบทด้านความปลอดภัยที่เกิดจากการโจรกรรมรหัสผ่านและการรั่วไหลของข้อมูล ซึ่งในเดือนพฤษภาคม 2016 กลุ่มทำงาน WebAuthn ของ W3C และพันธมิตร FIDO (Fast IDentity Online) ได้เผยแพร่ร่างข้อกำหนดสำหรับมาตรฐานการตรวจสอบสิทธิ์สำหรับเบราว์เซอร์ต่างๆ ซึ่งก็คือมาตรฐาน WebAuthn
จุดประสงค์คือเพื่อให้เว็บไซต์หรือบริการออนไลน์ใด ๆ สามารถใช้แอปพลิเคชัน รหัสความปลอดภัย หรือข้อมูลไบโอเมตริกเป็นวิธีการเข้าสู่ระบบแทนรหัสผ่าน หรือใช้วิธีการทางเลือกเหล่านี้เป็นวิธีการตรวจสอบยืนยันตัวตนขั้นที่สองได้
มาตรฐานนี้มีวัตถุประสงค์เพื่อขจัดความจำเป็นในการป้อนรหัสผ่านเมื่อผู้ใช้เชื่อมต่ออินเทอร์เน็ต
เป้าหมายหลักคือการรับประกันการเข้าถึงแอปพลิเคชันบนเว็บ
ถึงเวลาแล้วที่บริการเว็บและธุรกิจต่างๆจะต้องใช้ WebAuthn เพื่อป้องกันช่องโหว่ของรหัสผ่านและเพิ่มความปลอดภัยให้กับประสบการณ์ออนไลน์ของผู้ใช้เว็บ” Jeff Jaffe กล่าว
ด้วยคำพูดเหล่านี้ที่ CEO ของ W3C แสดงความคิดเห็นเกี่ยวกับความสำเร็จของความพยายามในการสรุปรหัสผ่าน
ดังนั้น ปัจจุบันWebAuthn จึงได้รับการยอมรับอย่างเป็นทางการในฐานะมาตรฐานเว็บ ซึ่งถือเป็นก้าวสำคัญในการทำให้เว็บมีความปลอดภัยและใช้งานง่ายยิ่งขึ้นสำหรับผู้ใช้ทั่วโลก
ตอนนี้พวกเขากำลังขอให้แพลตฟอร์มออนไลน์นำมาตรฐานใหม่นี้มาใช้
“ เว็บแอปพลิเคชันและบริการสามารถและควรเปิดใช้งานคุณลักษณะนี้เพื่อให้ผู้ใช้สามารถเชื่อมต่อผ่านทางชีวภาพอุปกรณ์เคลื่อนที่หรือคีย์ความปลอดภัย FIDO ได้ง่ายขึ้นโดยมีความปลอดภัยมากกว่าคำพูด รหัสผ่าน“ โต้แย้งร่วมกันกับ W3C และพันธมิตร FIDO
FIDO2 และ WebAuthn: วิธีแก้ปัญหารหัสผ่าน
สำหรับข้อมูลของคุณ FIDO2 เป็นไปตามข้อกำหนด W3C Web Authentication และ FIDO Alliance Client Authentication Protocol (CTAP)
ทั้งสององค์กรเชื่อว่าด้วยมาตรฐาน FIDO2 และ WebAuthn ชุมชนเทคโนโลยีทั่วโลกได้ พัฒนาวิธีการแก้ปัญหาทั่วไปเกี่ยวกับรหัสผ่าน นั่นคือ วิธีการแก้ปัญหาที่ใช้งานง่ายเพื่อป้องกันการขโมยรหัสผ่าน การหลอกลวงทางอีเมล และการโจมตีประเภทอื่นๆ ที่คล้ายคลึงกัน
FIDO2 จะแก้ปัญหาทั้งหมดที่เกี่ยวข้องกับการตรวจสอบสิทธิ์แบบดั้งเดิมดังที่ได้อธิบายไว้ในข่าวประชาสัมพันธ์จาก W3C และพันธมิตร FIDO:
ความปลอดภัย:ข้อมูลประจำตัวการเข้าสู่ระบบแบบเข้ารหัส FIDO2 นั้นเป็นเอกลักษณ์เฉพาะสำหรับแต่ละเว็บไซต์ และไม่มีข้อมูลไบโอเมตริกหรือข้อมูลลับอื่นๆ เช่น รหัสผ่าน ออกจากเครื่องของผู้ใช้หรือถูกจัดเก็บไว้บนเซิร์ฟเวอร์
รูปแบบการรักษาความปลอดภัยนี้ช่วยลดความเสี่ยงจากฟิชชิงการขโมยรหัสผ่านทุกรูปแบบและการโจมตีแบบ "เล่นซ้ำ"
ความสะดวกสบาย:ผู้ใช้สามารถเชื่อมต่อได้ด้วยวิธีการที่สะดวก เช่น เครื่องอ่านลายนิ้วมือ กล้องถ่ายรูป กุญแจรักษาความปลอดภัย FIDO หรืออุปกรณ์มือถือของตนเอง
การรักษาความลับ:รหัส FIDO เป็นเอกลักษณ์เฉพาะสำหรับแต่ละเว็บไซต์ และไม่สามารถนำไปใช้ในการติดตามข้ามเว็บไซต์ได้
ความสามารถในการปรับขนาด:เว็บไซต์สามารถเปิดใช้งาน FIDO2 ได้ด้วยการเรียกใช้ API ง่ายๆ บนทุกเบราว์เซอร์และแพลตฟอร์ม
WebAuthn จะช่วยประหยัดเวลาและให้ความปลอดภัย
จากการศึกษาด้านความปลอดภัยของ Verizon ในปี 2017 องค์กร W3C Alliance และ FIDO อธิบายว่า ปัจจุบันได้มีการพิสูจน์แล้วว่ารหัสผ่านนั้นไม่มีประสิทธิภาพอีกต่อไป
รหัสผ่านเริ่มต้นต่ำหรือถูกขโมยไม่เพียง แต่ทำให้เกิดการละเมิดข้อมูลถึง 81% แต่ยังทำให้เสียเวลาและทรัพยากรอีกด้วย
นอกจากนี้ ยังอ้างอิงจากการศึกษาล่าสุดโดย Yubico ผู้ให้บริการคีย์ความปลอดภัยระบุว่าผู้ใช้ใช้เวลา 10.9 ชั่วโมงต่อปีในการป้อนหรือรีเซ็ตรหัสผ่าน ซึ่งทำให้บริษัทต่างๆ เสียค่าใช้จ่ายโดยเฉลี่ย 5.2 ล้านดอลลาร์ต่อปี
WebAuthn มีการสนับสนุนอยู่แล้ว
ขณะนี้ WebAuthn สามารถใช้งานร่วมกับ Windows 10 และ Android รวมถึงเว็บเบราว์เซอร์ Google Chrome, Mozilla Firefox, Microsoft Edge และ Apple Safari (ในเวอร์ชันทดลองใช้งาน) ได้แล้ว
สิ่งนี้แสดงให้เห็นว่าการนำไปใช้กำลังดำเนินไปในทิศทางที่ถูกต้องพันธมิตร FIDO ยังได้เปิดตัวโครงการรับรองสำหรับผู้จำหน่ายที่พร้อมจะนำมาตรฐานนี้ไปใช้ในเบราว์เซอร์หรือแพลตฟอร์มของตน ซึ่งจะช่วยเร่งให้การเลิกใช้รหัสผ่านเกิดขึ้นเร็วขึ้น
ที่มา: www.w3.org