Názor ke zprávičce Třetina českých e-shopů má bezpečnostní problémy od Vít Šesták - Bylo by fajn mít nějakou autentizaci, která nevyžaduje,...

Bylo by fajn mít nějakou autentizaci, která nevyžaduje, abych posílal serveru heslo. Tady se shodneme. Problém je, že by byla potřeba kooperace tří stakeholderů:

1. Prohlížeče. Pokud to prohlížeč nepodporuje, není moc o čem se bavit. Dnes mají prohlížeče podporu klientských certifikátů, ale jak moc je to user friendly? Kolik lidí zvládne ten certifikát přenést mezi počítačem a telefonem? A kolik lidí to udělá bezpečně, aby nešel nikým zneužít?

2. Webové stránky. Nebude-li podpora odtud, není sebelepší systém kde použít.

3. Uživatelé. Největší a nejrůznorodější skupina. Podle mého nevědeckého průzkumu tu vidím nejvíce problémů, které jsou i důvody, proč dnes nepoužívají správce hesel. Vytvoření jediného místa, kde lze zaútočit a získat všechno. Obava, že se člověk nebude schopen přihlásit na jiném stroji. Otázka, jak sdílet s nějakým strojem jen část přístupů – například na pracovním stroji budu chtít si koupit jízdenku ze svého účtu, ale nebudu chtít tam dát přístup ke svému IB. Rozhodně netvrdím, že vždy jde o racionální obavy (zvlášť vzhledem ke zvolené alternativě), ale jsou tu a nebude snadné to vyřešit.

Když řešení prakticky selže u jedné ze skupin, nepřinese to (skoro) žádný užitek, protože to (skoro) nebude používáno.

Proti tomu zde máme správce hesel (a vygenerovaná unikátní silná hesla). Neříkám, že jde o dokonalé řešení. Má proti třeba certifikátům své nevýhody. Třeba když útočník získá dump DB ze serveru, kde ukládají hesla v plaintextu, může se na mě na tom jednom serveru přihlásit – ale všude jinde má smůlu, což je za mě hlavní. (V případě plného ovládnutí serveru mi o moc víc nepomůže ani asymetrická kryptografie.) Proti teoreticky lepším řešením založeným nejspíše na asymetrické kryptografii tu ale jsou významné výhody. Projdeme si jednotlivé stakeholdery:

1. Prohlížeče – samy mají typicky vestavěný správce hesel, plus lze různé správce doinstalovat.
2. Webové stránky – nepotřebují speciální podporu, stačí nevymýšlet příliš kreativní řešení jako třeba input type="text" nastylovaný jako heslo. Jako má RegioJet. I tak ale na drtivé většině stránek to funguje.
3. Uživatelé – tady to částečně drhne a zdaleka ne všichni je používají. Ale asi jde o řešení poněkud uchopitelnější než asymetrická kryptografie, takže čekám, že i přijatelnější. Když chci přidat přístup na jiný počítač, prostě přepíšu heslo. Dokonalé to není, uchopitelné ano.