tiistai 14. toukokuuta 2013

Perinteinen kirjautuminen epäsuosiossa

Eilen kirjoitimme jutun jossa Google ilmoittaa muuttavansa palveluidensa kirjautumiskäytäntöjä, nyt myös suosittu PayPal maksunvälitysyritys haluaa muuttaa kirjautumistekniikkaa.

Verkkopankeista tutut tunnuslistat eivät ole PayPalin mieleen, eikä myöskään nykyisin käytössä oleva käyttäjätunnus+salasana käytäntö, sen katsotaan olevan liian yksinkertainen juurikin käyttäjien itsensä vuoksi, he valitsevat heikot salasanat on kyse sitten mistä tahansa tiedosta jota salasanan takaa löytyy.

PayPalin tietohallintojohtaja Micheal Barret on sitä mieltä että kirjautuminen pitää tapahtua ulkoisen tunnistamisen kautta, kuten vaikkapa matkapuhelimella, iirislukijalla tai sormenjälkitunnistimella, jos näitä hyödynnetään päästään heikkojen salasanojen ongelmasta eroon.

Barret on FIDO (Fast Identity Online) liittouman puheenjohtaja. FIDOssa kehitetään erilaisia ulkoisen tunnistautumisen tekniikoita, muutamia FIDOsta tulleita tekniikoita ollaan jo tuomassa markkinoille. Liittoumaan kuuluu PayPalin lisäksi myös muita alan toimijoita kuten Lenovo.

Barret ei tyydy muuttamaan vain PayPalin kirjautumista, hän haluaa koko internetin seuraavan FIDO;n tarjoamia vaihtoehtoja ja toivoo kovasti että salasanoista päästäisiin lopulta kokonaan eroon, myöskin yritysten intraneteissä. Hän tietää kertoa myös että Apple on tuomassa sormenjäljenlukijan iPhoneen vuoden loppupuolella ja että Googlen Android alusta olisi tulossa mukaan myöhemmin.

Tekniikaltaan FIDO toimii laitetason ja ohjelmistotason yhteispelillä, itse autentikointi voi olla vaikkapa USB-tikulla jota esimerkiksi selainlaajennus kuuntelee, kun tikku laitetaan koneeseen ymmärtää selain kuka käyttäjä on ja kirjautuu palveluihin sisään. Toinen vaihtoehto on sitten vaikkapa sormenjäljenlukija jota käytetään tarvittaessa.

Nykyisin hyvin monessa kannettavassa tietokoneessa on jo ollut pitkän aikaa sormenjäljenlukija, tätä voinee mahdollisesti käyttää lopultakin järkevästi, mikäli vain FIDO tukee sitä.

PayPaliinkaan FIDO -tunnistautumista ei vielä ole tulossa, eikä mitään tarkkoja aikatauluja sen käyttöönottamisesta ole vielä annettu mutta Barret ilmoitti kuitenkin jo nyt että jos käyttäjän ei ole mahdollista käyttää FIDO –tunnistautumista silloin kun se otetaan käyttöön, on salasana kirjautumista edelleen mahdollista käyttää, ainakin toistaiseksi.