اتحادیه فیدو پیشنویس استاندارد انتقال امن پاسکی بین پلتفرمها را منتشر کرد

اتحادیه هویت سریع آنلاین (FIDO) پیشنویس استاندارد جدیدی را منتشر کرده که هدف آن امکان انتقال امن کلیدهای عبور بین پلتفرمها و اپلیکیشنهای مختلف مدیریت رمز است.

این سیستم جدید اساسا موانع و محدودیتهای عملی ناشی از فقدان استانداردهای ایمن برای انتقال مدارک شناسایی بین ارائهدهندگان گوناگون را برطرف میکند. بر اساس گزارش سایت رسمی FIDO، به رهگیری از پاسکی برای ورود به سیستم ۷۵ درصد سریعتر و ۲۰ درصد موفقتر از احراز هویت مبتنی بر رمز عبور سنتی بوده است.

کلید عبور روشی برای احراز هویت بدون رمز است که از رمزنگاری کلید عمومی برای شناسایی کاربران بدون نیاز به نگهداری یا مدیریت رشتههای طولانی کاراکترها استفاده میکند.

سیستم رمز عبور سنتی در برابر فیشینگ مقاوم نیست اما یکی از چالشهای مهم پاسکیها عدم وجود راه امنی برای انتقال آنها بین پلتفرمها و ارائهدهندگان مختلف از جمله مدیریتکنندههای رمز عبور بوده است.

به عنوان مثال، کاربران که کلیدهای عبور را در نرمافزار مدیریت رمز گو گل ایجاد کردهاند، نمیتوانند در هنگام تعویض دستگاه، آنها را به صورت ایمن به اپل منتقل کنند و به نوعی به دستگاه جاری خود محدود میشوند.

این موضوع باعث میشود کلیدهای عبور به جای ایجاد آزادی بیشتر، در زمان تلاش برای انتقال به پلتفرم دیگر، ریسکهای امنیتی ایجاد کنند. اما اتحادیه FIDO با آگاهی از این مسئله، سیستمی جدید طراحی کرده که در حال حاضر در مراحل اولیه گسترش قرار دارد.

مشخصات این سیستم تازه در دو پیشنویس جداگانه ارائه شده است پروتکل تبادل اعتبار (CXP) و فرمت تبادل اعتبار (CXF).

روش سیستم جدید اتحادیه FIDO برای انتقال

پروتکل CXP روشی برای انتقال ایمن اعتبارنامهها بین ارائهدهندگان گوناگون با به رهگیری از تبادل کلید دیفی-هلمن و رمزگذاری کلید عمومی ترکیبی (HPKE) تعریف میکند؛ به این دلیل دادهها در طول انتقال ایمن خواهند ماند.

فرمت CXF ساختاری استاندارد برای انتقال امن اعتبارنامهها بین ارائهدهندگان در طول جابهجایی تعریف میکند و از قابلیت همکاری و یکپارچگی دادهها اطمینان حاصل میکند. فرمتهای پیشنهادی شامل JSON در فایل ZIP است که در آن هر بخش از اطلاعات به روشی که CXP مشخص کرده، رمزگذاری میشود.

این پیشنویسها با مشارکت متخصصان شرکتهایی نظیر، ۱، و گو گل تهیه شدهاند.

اتحادیه FIDO که متشکل از رهبران فضای فناوری نظیر گو گل، مایکروسافت، اپل، ویزا، مسترکارت، پیپل، اینتل، سامسونگ، متا و آمازون است، امیدوار است دستورالعملهای تازه به پذیرش هرچه بیشتر کلیدهای عبور یاری رساند.

استانداردهای پیشنهادی در حال حاضر به صورت پیشنویس منتشر شدهاند و امکان تغییر دارند. فعلا هیچ برنامه زمانی برای ارائه نهایی آنها اعلام نشده است.