Názor ke zprávičce Třetina českých e-shopů má bezpečnostní problémy od Vít Šesták - > Obavu, že se nepřihlásí na jiném stroji,...

> Obavu, že se nepřihlásí na jiném stroji, podle mne velká část uživatelů neřeší. Z těch, kteří to řeší, jich zase velká část zná synchronizaci hesel přes uživatelský profil v cloudu.

To by mi možná znělo uvěřitelně, kdybych podobné protiargumenty neslýchával tak často, jako slýchávám. Na druhou stranu musím uznat, že nemám asi reprezentativní vzorek celé populace. Řekl bych, že toto není překážka pro dvě skupiny lidí:

1. Lidé orientovaní na bezpečnost. S nějakým přenosem (např. synchronizací) si poradí a z cizích strojů se zásadně nepřihlašují. Pokud synchronizují, dost možná použijí řešení, které hesla šifruje a poskytovatel k nim nemá přístup. Když náhodou budou chtít se přihlásit třeba na nákup jízdenky na cizím stroji, heslo třeba opíší z telefonu.
2. Lidé, kteří bezpečnost moc neřeší, ale jde jim o pohodlí. Taky používají jen pár strojů a odjinud se nepřihlašují. Nejspíš nemá tušení, zda provozovatel cloudové služby má přístup k jeho uloženým heslům, nebo jestli jsou zašifrovaná hlavním heslem.

Je tu ale spousta lidí, kteří vidí různé (byť třeba domělé) překážky, například:

* Člověk zvyklý se přihlašovat kdekam ze školních počítačů.
* Člověk, který se z nějakého důvodu nepřihlašuje ze smartphonu.
* Člověk, který sice nemá důvod se přihlašovat z cizích strojů a má možnost použít svůj smartphone, ale má zvyky z doby, kdy tomu tak nebylo. Mám pocit, že do této kategorie patří dost odmítačů správců hesel.
* Člověk, který nechce posílat hesla do cloudu. (Ano, lze to šifrovat, ale tuto obavu reálně slýchávám. Ne každá obava je racionální.)
* Člověk, který nechce dávat všechna hesla do jednoho místa, protože mu to přijde moc riskantní. (Celkem by mě zajímalo, kolik z těchto lidí bude používat jedno univerzální heslo. Ne každý postoj je vždy racionální.)

Není to vědecky zpracované, ale ani vycucané z prstu. Zakládám to na tom, co si vzpomínám, že mi lidi říkají jako důvody proti správcům hesel. Jak těmto lidem chcete „prodat“ řešení postavené na asymetrické kryptografii?

> Problém s externími správci hesel je v tom, že jsou do prohlížečů dohackované.

Existují i API pro správce hesel. Má to Android, má to iOS. Ve WebExtensions jsem to neviděl, ale i tak mi přijde mnohem realističtější to se přidat než razit novou metodu autentizace.

> A všechny správce hesel jsou dohackované do webových stránek – vždy jen hádají, kam se asi má heslo předvyplnit, co je asi vytvoření nového hesla, co asi změna hesla.

Ano. V praxi to ale funguje IMHO mnohem lépe než hypotetické dnes publikované řešení za pět let. Není to hezké, ale je to realita.

> Navíc spoustu bezpečnostních problémů přináší to, že se hesla vyplňují do webové stránky, heslem je chráněný jediný požadavek a pak už vše závisí na nějaké podobě session identifikátoru.

Jistě tu je určitý prostor něco pokazit v případě třeba generování tokenu, museli bychom to ale srovnávat s jinou variantou, která by nejspíš část potenciálních chyb vyřešila a část vytvořila.

> Webové stránky bude snadné donutit k používání jiného systému – stejně, jako už dlouho prohlížeče varují, že se heslo odesílá přes nezabezpečené spojení, mohou varovat před tím, že se heslo zadává do webového formuláře.

Prohlížeče mohou varovat před lecčím. Mohly by varovat i při použití TLS 1.2, protože je zastaralé. Pokud ale varování bude na každé druhé stránce, lidé to přestanou vnímat. A podobně pokud varování nebude vypadat jako dostatečná hrozba. Myslím, že není náhoda, že zmíněné upozornění prohlížeče (byť není dokolané) přišlo teprve relativně nedávno v době masivního nasazení HTTPS a se snahou to omezit na případy, kdy by to uživatele nejspíš mohlo zajímat. Neříkám, že je HTTPS třeba na zpravodajském serveru bez přihlášení zbytečnost, ale při přihlašování ten psychologický efekt asi bude někde jinde…

Neberte mě špatně. Taky bych rád používal technicky vyspělejší řešení. Jenže pokud jeho výhodám rozumí hrstka lidí a jeho úspěch stojí na masivním použití, prosadí se spíše méně vyspělé řešení, které je jednodušší nebo levnější nebo přišlo dříve.