더 이상 암호가 없습니다. 암호가 암호를 대체하는 방법

모호함을 피하기 위해 다음 용어가 사용됩니다.

인증자 ; 로그인에 사용되는 휴대폰

웹사이트 ; 사용자가 로그인 요청을 하기 위해 사용하는 웹사이트 또는 애플리케이션

서비스 ; 해당 서비스를 제공하는 공급업체(예: Google Mail, Microsoft Outlook)

암호의 문제는 무엇입니까?

비밀번호는 인터넷 사용과 동의어이며 이메일, 소셜 미디어 계정에 로그인하거나 은행 잔고를 확인하는 데 비밀번호를 사용합니다. 좋은 모양에 대한 자체 정의가 있는 각 사이트와 함께 '좋은' 복합 암호를 설정해야 합니다.

이러한 노력에도 불구하고 많은 계정에서 취약한 비밀번호 및/또는 동일한 비밀번호를 사용하기 때문에 비밀번호는 여전히 약점으로 남아 있습니다. 종종 일부는 피싱으로 알려진 정품 서비스인 것처럼 가장한 웹사이트의 희생양이 됩니다. 이것은 사용자가 진짜라고 믿는 링크를 클릭하는 곳이지만 사실은 사용자의 비밀번호를 훔치기 위해 만들어진 가짜 웹사이트입니다.

아주 좋은 가짜 '피싱' 웹사이트는 MFA 유형이 피싱 공격에 저항하도록 설계되지 않은 경우 사용자를 다단계 인증(MFA)으로 속일 수도 있습니다. 그러나 MFA가 있는 것이 MFA가 전혀 없는 것보다 낫습니다.

패스키란?

암호 키는 암호를 대체하며 피싱 공격을 방지하도록 설계되었습니다. 또한 사용자의 로그인 프로세스를 훨씬 쉽게 만들고 보안을 강화합니다.

Batool을 예로 들어 보겠습니다. 그녀는 비밀번호를 사용하여 Gmail 계정에 로그인했습니다. 패스키로 이동하면 지문이나 얼굴로 로그인할 수 있습니다. 암호는 그녀가 암호 키를 사용할 수 없는 경우 대체 방법이 됩니다(암호는 언젠가 폐기됩니다).

암호키 는 암호 대신 개인 및 공개 키 개념을 사용합니다 . Batool은 이제 휴대폰에서 원활하게 생성, 저장 및 관리되는 개인 키를 가집니다. 이는 인증 앱을 통하거나 운영 체제 내에서 이루어질 수 있습니다.

Batool의 전화는 Gmail.com에서 암호 키 생성의 일부로 새 공개 키를 Gmail에 자동으로 업로드하는 방법을 알고 있습니다.

Gmail은 이제 Batool의 공개 키에 대해 알고 있으므로 Batool이 휴대전화의 잠금을 해제하고 개인 키를 사용하여 서명하도록 요구하여 그것이 자신의 것인지 확인하도록 그녀에게 요청할 것입니다.

이 모든 작업은 Gmail.com과 휴대전화 사이의 백그라운드에서 발생하므로 Batool은 평소처럼 지문이나 얼굴 생체 인식 잠금 해제에 대해서만 걱정하면 됩니다. 다른 Gmail.com 계정이 많이 설정되어 있는 경우 사용할 패스키를 선택해야 할 수 있습니다.

가짜 웹사이트는 이제 Batool의 공개 키가 없기 때문에 덜 위협적이므로 그녀는 로그인할 수 없습니다. 개인 키는 절대 그녀의 휴대폰을 떠나지 않는다는 것을 기억하십시오.

그렇다면 Batool은 어떻게 암호에서 패스키로 이동합니까?

아래 다이어그램은 Batool이 암호 사용에서 Gmail 계정의 암호 키로 이동하는 방법을 보여줍니다.

1- Batool은 사용자 이름과 비밀번호를 사용하여 서비스(Gmail)에 로그인합니다.

2- 이제 Gmail에서 암호 키를 지원합니다. 암호 키를 생성하라는 요청이 Batool로 전송되거나 g.co/passkeys를 탐색해야 할 수 있습니다 .

3- 패스키를 생성하라는 알림이 나타납니다.

4- Batool은 암호 키 생성을 선택하고 생체 인식 옵션을 사용하여 휴대폰 잠금을 해제하라는 메시지를 표시합니다. 이렇게 하면 휴대폰에서 Gmail.com용 새 암호 키를 안전하게 생성하고 안전하게 저장할 수 있습니다.

5- 개인 키는 그녀의 사용자 프로필에 바인딩됩니다. 즉, 그녀의 장치 간에 동기화됩니다. 이 예에서 Batool은 iPhone을 사용하므로 iCloud를 사용하여 동기화할 수 있습니다. 그러나 Microsoft Authenticator 또는 Google Password Manager와 같은 다른 공급업체에서 대체 방법을 사용할 수 있습니다.

6 - 해당 공개 키가 Gmail로 전송됩니다.

7- Google은 이 공개 키만 저장하며 Batool의 서명된 서명을 확인하기 위해 향후 로그인 시도에 사용됩니다.

Batool이 패스키를 사용하기 위해 지문이나 얼굴을 사용하는 동안 이것은 장치의 잠금을 해제하거나 온라인 뱅킹에 로그인하는 것과 같습니다. 지문이나 얼굴의 디지털 표현은 절대 휴대폰을 떠나지 않으며 휴대폰에 암호화되어 저장되며 Gmail 또는 Apple 또는 Android와 같이 장치를 만든 사람이 액세스합니다.

이제 Batool에는 패스키가 있습니다. 로그인 프로세스는 어떻게 작동합니까?

아래 다이어그램은 Batool이 패스키를 사용하여 Gmail 계정에 로그인하는 방법을 보여줍니다.

1- Batool은 특정 서비스(이 경우 Gmail)의 로그인 웹사이트로 이동합니다.

2- Batool은 이전에 Gmail용 암호 키(위 참조)를 만들었으므로 Gmail 서비스에서 질문이 전송됩니다.

3- 챌린지가 Batool의 전화로 수신되고 서비스에서 사용 가능한 패스키 목록으로 나타납니다. 예를 들어 Batool에 Gmail 계정이 두 개 이상 있는 경우 두 개의 패스키가 나타납니다.

4- Batool은 Gmail 계정의 패스키를 선택한 다음 생체 인식을 사용하여 휴대폰 잠금을 해제하고 휴대폰에서 개인 키를 사용할 수 있도록 합니다.

5- 그런 다음 Google의 챌린지는 Batool의 개인 키로 서명됩니다.

6- 그런 다음 서명된 챌린지가 Google로 전송되어 Batool이 로그인하고 있다는 강력한 확신을 제공합니다.

7 - Google은 성공적인 로그인을 확인하기 위해 Batool의 공개 키를 사용합니다.

지금부터 Google에 로그인할 때 Google은 가능할 때마다 패스키를 요청합니다. Passkey를 사용할 수 없는 경우 Batool은 Google 비밀번호를 계속 사용할 수 있습니다.

이것은 더 많은 서비스가 암호 키를 수용함에 따라 암호 키로의 단계적 이동의 일부이며 암호가 없는 미래와 피싱에 대한 더 강력한 탄력성을 기대합니다.

Apple, Google 및 Microsoft는 여기 에 대한 자세한 정보와 함께 암호 키에 대한 인식 및 채택을 높이기 위해 협력하고 있습니다 .

이 글을 검토한 Joel Samuel 과 Ali Sarraf 에게 많은 감사를 드립니다 .