Bylo by fajn mít nějakou autentizaci, která nevyžaduje, abych posílal serveru heslo. Tady se shodneme. Problém je, že by byla potřeba kooperace tří stakeholderů:
1. Prohlížeče. Pokud to prohlížeč nepodporuje, není moc o čem se bavit. Dnes mají prohlížeče podporu klientských certifikátů, ale jak moc je to user friendly? Kolik lidí zvládne ten certifikát přenést mezi počítačem a telefonem? A kolik lidí to udělá bezpečně, aby nešel nikým zneužít?
2. Webové stránky. Nebude-li podpora odtud, není sebelepší systém kde použít.
3. Uživatelé. Největší a nejrůznorodější skupina. Podle mého nevědeckého průzkumu tu vidím nejvíce problémů, které jsou i důvody, proč dnes nepoužívají správce hesel. Vytvoření jediného místa, kde lze zaútočit a získat všechno. Obava, že se člověk nebude schopen přihlásit na jiném stroji. Otázka, jak sdílet s nějakým strojem jen část přístupů – například na pracovním stroji budu chtít si koupit jízdenku ze svého účtu, ale nebudu chtít tam dát přístup ke svému IB. Rozhodně netvrdím, že vždy jde o racionální obavy (zvlášť vzhledem ke zvolené alternativě), ale jsou tu a nebude snadné to vyřešit.
Když řešení prakticky selže u jedné ze skupin, nepřinese to (skoro) žádný užitek, protože to (skoro) nebude používáno.
Proti tomu zde máme správce hesel (a vygenerovaná unikátní silná hesla). Neříkám, že jde o dokonalé řešení. Má proti třeba certifikátům své nevýhody. Třeba když útočník získá dump DB ze serveru, kde ukládají hesla v plaintextu, může se na mě na tom jednom serveru přihlásit – ale všude jinde má smůlu, což je za mě hlavní. (V případě plného ovládnutí serveru mi o moc víc nepomůže ani asymetrická kryptografie.) Proti teoreticky lepším řešením založeným nejspíše na asymetrické kryptografii tu ale jsou významné výhody. Projdeme si jednotlivé stakeholdery:
1. Prohlížeče – samy mají typicky vestavěný správce hesel, plus lze různé správce doinstalovat.
2. Webové stránky – nepotřebují speciální podporu, stačí nevymýšlet příliš kreativní řešení jako třeba input type="text" nastylovaný jako heslo. Jako má RegioJet. I tak ale na drtivé většině stránek to funguje.
3. Uživatelé – tady to částečně drhne a zdaleka ne všichni je používají. Ale asi jde o řešení poněkud uchopitelnější než asymetrická kryptografie, takže čekám, že i přijatelnější. Když chci přidat přístup na jiný počítač, prostě přepíšu heslo. Dokonalé to není, uchopitelné ano.