Digitala identiteter
En annan trevlig artikel, också den från CS och skriven på deras lättsamma sätt är "Mot en smartare ID-hantering" om framtidens identitetslösningar. De puffar mycket för biometri och "federerade" lösningar. Själv är jag inte helt hundra på om jag skulle vilja ha min tumme som "lösenord" (hur byter man?) och vad gäller de federerade lösningarna där olika företag litar på varandra så att du när du har loggat in på ett ställe inte behöver logga in på nästa eftersom de litar på varandra, där ser jag hellre en användarcentrerad lösning där jag själv lagrar mina lösenord på... lämpligt lagringsmedia. :)
Medhåll. Om någon kopierar mitt fingeravtryck, svårt för mig att byta. Dessutom lämnar jag ju det ifrån mig oavsiktligt varje dag, det är helt enkelt en ovanligt dålig lösning.
Allra roligast vore om någon idiot byggde en dator med en blank fin yta och satte en fingeravtrycksläsare på den (med 90% sannolikhet så finns ju authenticeringstoken några centimeter ifrån, där man tummat ytan)
Ett annat problem med biometri är ju just det att det ökar risken för mer extremt våld mot människor. Tummar har kapats för att sno dyra sportbilar. Kidnappningar används ju sedan länge av t.ex. bankrånare.
Det är faktiskt enormt trevligt att kunna ge bort sina nycklar ("something you have") och sina koder/kreditkortnummer ("something you know"). Biometri är "something you are" - när man skall överkomma detta hinder själ man människan eller i vissa fall kroppsdelar.
Vem har minst trevligt:
- den som utsätts för ett rån som tar fem minuter, och lämnar ifrån sig kod m.m?
- den som kidnappas och hålls fången i timmar/dagar för att biometriskt authenticera sig?
- den som tummen kapad?
Man kan ju tänka sig att tillverkare av biometrisk authenticeringsprodukter, eller de som använder deras produkter, hamnar i rejäla stämningar. Blir man lemmlästad i tjänsten så är det nog en arbetsskada i Sverige, inte helt billigt. I USA kan det nog bli än mer saftiga konsekvenser.
pssst... rykte jag läst... förvisso i en deckare, så det kan vara osant... men ändå tänkvärt:
Man slutade med att kedja fast viktiga väskor till kurirers händer. Varför? För att maffian lite för ofta valde att kapa handleden. Mycket jobbigare än att kapa kedjan, men sänder ett avskräckande budskap till företag/myndigheter som bråkar med dem. Blev dyrt att betala skadestånd lemlästad personal helt enkelt.
Som sagt, dubiös källa. Men tänkvärt.
En sak som CS artikeln missar att förklara är varför man authenticerar transaktioner. Många som inte känner till session hijacking, CSRF, man-in-the-browser osv har nog lite svårt att inse värdet av detta.
En annan sak de inte tar upp är dumheten som 90% av alla system bygger på - webläsaren berättar för användaren vad användaren skall göra. Då webläsaren antas vara en förlorad (0wn3d!) TCB, så kan man inte lita på den. Det borde vara dosan som säger till användaren vad användaren skall göra; dvs man borde ha en liten PDA som förklarar hur man genomför transaktioner och ger en rätt koder för det.
Swedbank har börjat hantera detta problem med en billig medelväg. Deras hemsida skriver ut varför numren ser ut som de gör ("Inloggning börjar alltid med en 9:a", "Du skriver in postgironumret här") osv. Tanken är att användaren skall lära sig hur swedbank brukar fungera och kanske bli misstänksam om en man-in-the-browser eller man-in-the-middle attack försöker lura användaren.
Det lustiga är att ett så oseriöst forum som Lunarstorm diskusen "Säkerhet" hade en tråd om detta för ur urminnes tider (typ... 2002 eller nått). Lustigt att ett så oseriöst forum kunde förutse design-problemet som skulle få bankernas säkerhet att rasa :)
Schneier har f.ö. en artikel någonstans på samma tema. Strong authentication is not enough eller nått sånt hette den.