【無密碼化】三大巨頭大推 驗證密鑰登入成主流

    雖然近期 Google、MicrosoftApple都各自在其平台推出了無密碼的驗證密鑰(passkey)功能,但大多數人仍然選擇使用自己的密碼。Google 最近開始透過FIDO 聯盟(Fast Identity Online Alliance)測試 Chrome 和 Android 中的驗證密鑰支援功能,而 FIDO 的密鑰是以智能手機傳感器進行生物識別身份驗證,以完成無密碼登入。Apple 於 6 月宣布 iOS 和 macOS 支援使用 Face ID 和 Touch ID 作為登入應用程式和網站的模式,可見驗證密鑰技術又向前邁進。

    Google 表示,驗證密鑰比密碼更安全,因為它們不能重複使用,也不會在伺服器中洩漏。Android 用戶可以創建和使用與 Google 密碼管理器同步的密碼,而開發人員則可以使用 WebAuthn API,但該方法目前尚處於測試階段。

    根據 FIDO 聯盟對英國、法國、德國、美國、澳大利亞、新加坡、日本、韓國、印度和中國的 10,000 名用家的調查,即使 WebAuthn 標準於 2019 年最終敲定,但密碼仍然是最常用的身份驗證方法。在過去 60 天,約 51% 的用戶在登入其網上銀行賬戶時使用密碼登入,有 28% 的用戶使用發送到流動裝置的一次性密碼(OTP),14% 的用戶使用密碼管理器登入。其他身份驗證方法包括 Google 及 Microsoft Authenticator 等應用程式、YubiKey 和 Google Titan 等安全密鑰、二維碼、瀏覽器的自動填寫功能,或者是保持登入帳戶的狀態。

    研究亦發現,在使用金融服務時利用輸入密碼登入的情況下降了 5%,使用工作帳戶時輸入密碼情況下降了 7%,使用社交媒體和串流媒體帳戶時輸入密碼下降了 8%,而使用智能家居設備時輸入密碼下降了 9%。

    即使使用密碼的情況減少了,但使用密碼仍然是線上身份驗證的主要形式,而這個習慣將為個人用戶和企業帶來嚴重問題。FIDO 表示,例如 70% 的人需要在一個月內至少恢復一次密碼,而服務提供商和零售商也受影響,其中 59% 的人在一個月內放棄存取線上服務;有 43% 的人因為忘記密碼而放棄購買服務。

    SMS OTP 雖一直被視為不安全的登入方式,但金融服務卻經常用到;而在德國的主要銀行早於 2019 年開始放棄使用。Microsoft 在 2020 年時曾表示,人們應使用以應用程式開啟的多因素身份驗證(MFA)方式,而不是使用SMS ,因為員工可能會被騙進行 SIM swapping,而 SMS OTP 有可能會被釣魚方式偷取。

    與此同時,以密碼噴灑攻擊的情況在過去十年持續增加,洩露涉及數百萬個密碼,令 MFA 成為最有效緩解密碼外洩的措施之一。然而,FIDO 聯盟發現更多的服務供應商使用 SMS OTP。用戶報告指出,金融服務、工作帳戶、社交媒體、串流媒體帳戶和智能家居設備的 SMS OTP 使用率也呈上升趨勢。

    儘管驗證密鑰是一個相對較新的概念,但調查也發現了人們對這些密鑰有高度認知。在整個市場中,平均有 39% 的受訪者非常或有點熟悉驗證密鑰的概念。

    資料來源:https://www.zdnet.com/article/passwords-still-dominate-and-are-causing-headaches-for-everyone/

    #Apple #FIDO #google #Microsoft #Passkey #驗證密鑰

    相關文章