คลังเก็บป้ายกำกับ: FIDO

Safari 14 จะรองรับระบบล็อกอินแบบไม่ใช้รหัสผ่านตามมาตรฐาน WebAuthn ในปีนี้

Apple ปล่อยวิดีโอเซสชั่นใน WWDC 2020 โดยมีตอนหนึ่งโชว์ฟังก์ชันการล็อกอินเว็บไซต์บน Safari 14 แบบ frictionless experience ซึ่ง FIDO Alliance ระบุว่าเป็นการใช้เทคโนโลยี WebAuthn ระบบล็อกอินโดยไม่ต้องใช้รหัสผ่านที่ทาง W3C รับเข้าเป็นมาตรฐานเว็บในปีที่แล้ว

เทคโนโลยี WebAuthn หรือ Web Authentication API เป็นมาตรฐานกลางในการยืนยันตัวตนแบบใหม่ที่ให้นักพัฒนาเว็บไซต์เลือกเปิดใช้งาน ซึ่งระบบนี้พัฒนาโดย FIDO Alliance โดยกรณีของ iOS และ macOS คือ Apple จะเปิดให้ใช้ Touch ID หรือ Face ID ในการยืนยันตัวตนบนเว็บไซต์ต่าง ๆ ดังนั้นผู้ใช้จึงล็อกอินได้โดยไม่ต้องใส่ชื่อผู้ใช้งานและรหัสผ่านเหมือนเดิม

ตอนนี้ Safari เวอร์ชันรองรับ WebAuthn ยังอยู่ระหว่างการทดสอบ คาดว่าจะปล่อยพร้อมกับ macOS และ iOS ปลายปีนี้ ส่วนเบราว์เซอร์อื่นอย่าง Edge, Chrome, Firefox ได้รองรับมาตรฐาน WebAuthn ไปสักระยะหนึ่งแล้ว

ที่มา – TechCrunch

No Description
ภาพจาก Apple Newsroom

Topics: 

from:https://www.blognone.com/node/117160

OpenSSH 8.2 ออกแล้ว รองรับ FIDO/U2F Hardware Authenticator ได้ในตัว

ในวันวาเลนไทน์ที่ผ่านมา ทีมพัฒนา OpenSSH ได้ออกมาประกาศเปิดตัว OpenSSH 8.2 ที่เพิ่มเติมความสามารถใหม่ๆ และอุดช่องโหว่ต่างๆ เพิ่มเติม ดังนี้

Credit: OpenSSH
  • รองรับ FIDO/U2F Hardware Authenticator ได้ โดยมี Middleware สำหรับเชื่อมต่อไปยัง Hardware Token ให้ในตัว
  • ยกเลิกการใช้งาน SSH-RSA Public Key Signature Algorithm เพื่อไม่ให้เกิดการโจมตี SHA1 Collision Attack
  • เพิ่ม Keyword “Include” เพื่อเพิ่ม sshd configuration file ได้
  • ปรับปรุงด้าน Portability
  • แก้ไขบั๊กต่างๆ

ผู้ที่สนใจสามารถอ่าน Release Note ฉบับเต็มได้ที่ https://www.openssh.com/releasenotes.html#8.2 และศึกษาข้อมูลเพิ่มเติมเกี่ยวกับ OpenSSH ได้ที่ https://www.openssh.com/

ที่มา: https://www.phoronix.com/scan.php?page=news_item&px=OpenSSH-8.2-Released

from:https://www.techtalkthai.com/openssh-8-2-is-released-with-fido-u2f-support/

Apple เข้าร่วม FIDO Alliance เพื่อผลักดันมาตรฐานยืนยันตัวตนที่ปลอดภัยกว่ารหัสผ่าน

FIDO Alliance กลุ่มบริษัทเทคโนโลยีที่เน้นการหาระบบทดแทนรหัสผ่านได้ประกาศอย่างเป็นทางการว่า ตอนนี้ Apple ได้เข้าเป็นสมาชิกของกลุ่มอย่างเป็นทางการแล้ว โดยเป็นสมาชิกระดับบอร์ด (Board Level Members) ซึ่งเป็นระดับเดียวกับ Amazon, Arm, Facebook, Google, Intel, Lenovo, Microsoft และบริษัทเทคโนโลยีชื่อดังอื่น ๆ

แนวคิดของกลุ่ม FIDO คือการสร้างมาตรฐานกลางเพื่อการยืนยันตัวตนที่ปลอดภัยกว่าการใช้รหัสผ่าน เนื่องจากปัจจุบันรหัสผ่านนั้นเป็นระบบการยืนยันตัวตนรูปแบบเก่าที่มีจุดอ่อนหลายข้อ แต่ก็ยังไม่มีมาตรฐานกลางที่จะมาเสริมหรือทดแทนการยืนยันตัวตนแบบรหัสผ่านได้ดีพอ

การที่ Apple ซึ่งเป็นบริษัทเทคโนโลยีขนาดใหญ่เข้าร่วมกับ FIDO อีกราย เป็นสัญญาณที่ดีเพื่อผลักดันมาตรฐานกลางที่ออกโดย FIDO ให้ใช้งานกันอย่างแพร่หลายมากยิ่งขึ้น

ที่มา – FIDO Alliance, AppleInsider, 9to5Mac

No Description
ภาพจาก FIDO Alliance

from:https://www.blognone.com/node/114614

กูเกิลเปิดซอร์สโค้ดกุญแจล็อกอิน FIDO2 เขียนด้วยภาษา Rust

กูเกิลเปิดซอร์สโค้ด OpenSK เฟิร์มแวร์กุญแจล็อกอินขั้นตอนที่สอง FIDO U2F และ FIDO2 โดยเขียนด้วยภาษา Rust และรองรับชิป Nordic nRF52840 โดยระบุว่าเลือกชิปตัวนี้เพราะมันรองรับการเชื่อมต่อวิธีหลักๆ แทบทั้งหมด ทั้ง NFC, Bluetooth LE, และ USB นอกจากนี้ยังมีวงจรเร่งความเร็วเข้ารหัสไว้ให้ด้วย

ในชิป nRF52840 มีคอร์ ARM CryptoCell-310 อยู่ภายในแต่ตอนนี้เฟิร์มแวร์ที่เปิดเผยออกมายังไม่ได้ใช้ความสามารถส่วนนี้ แต่ใช้โค้ดเข้ารหัสภาษา Rust ไปก่อน แม้โค้ดจะใช้งานได้แต่กูเกิลเตือนว่ายังไม่ได้ตรวจสอบการโจมตีแบบ side channel และไม่ได้ผ่านการรับรองจาก FIDO แต่อย่างใด

ตัวเฟิร์มแวร์เป็นแอปพลิเคชั่นของ Tock OS ระบบปฎิบัติการขนาดเล็กสำหรับอุปกรณ์จิ๋วอยู่แล้ว สำหรับเคสทางกูเกิลก็มีพิมพ์เขียวสำหรับพิมพ์สามมิติให้ด้วย

ตัวบอร์ด Nordic nRF52840-dongle นั้นมีราคาถูกเพียงประมาณ 300 บาทเท่านั้น สำหรับโมดูลที่ใช้ชิป nRF52840 พร้อมเสาอากาศสำเร็จรูปอาจจะมีราคาเพียง 100 บาทเท่านั้นจึงมีโอกาสที่จะสร้างชิปยืนยันตัวตนราคาถูกมากๆ ได้

ที่มา – Google Security Blog

No Description

Topics: 

from:https://www.blognone.com/node/114427

กูเกิลรองรับการใช้ไอโฟนเป็นกุญแจล็อกอินขั้นตอนที่สอง, มีกุญแจเพิ่มอีกอันก็เลิกใช้ SMS กู้รหัสผ่านได้

กูเกิลประกาศรองรับการใช้ไอโฟนเป็นโทเค็นล็อกอินขั้นตอนที่สองตามมาตรฐาน FIDO ทำให้การล็อกอินเว็บหรือบริการที่รองรับ FIDO ใช้สามารถกดแอปบนไอโฟนเพื่อยืนยันการล็อกอินได้ทันที

การเปิดใช้งานต้องเปิดด้วยแอป Smart Lock ของกูเกิล และระหว่างใช้งานต้องเปิด Bluetooth ไว้ แต่ไม่ต้อง pair อุปกรณ์แต่อย่างใด และไอโฟนต้องรัน iOS 10.0 ขึ้นไปเท่านั้น

การใช้ไอโฟนล็อกอินขั้นตอนที่สองช่วยลดความเสี่ยงลงได้ นอกจากนี้ยังทำให้คนทั่วไปเข้าร่วม Advanced Protection Program ของกูเกิลได้ง่ายขึ้น โดยจากเดิมที่ต้องใช้กุญแจ FIDO สองชุด หลังจากนี้ก็ต้องการโทรศัพท์และกุญแจต่างหากอีกชุดเดียวเท่านั้น โดยหลังจากเข้าร่วมโครงการ บัญชีกูเกิลจะไม่สามารถกู้คืนด้วย SMS ได้อีกต่อไป เป็นการลดความเสี่ยงที่จะถูกขโมยบัญชีลง

ที่มา – Google Security Blog

No Description

Topics: 

from:https://www.blognone.com/node/114160

กูเกิลปล่อยฟีเจอร์ FIDO2 บนโทรศัพท์ ล็อกอินด้วยลายนิ้วมือได้ทันที

กูเกิลปล่อยฟีเจอร์ FIDO2 บนโทรศัพท์ ทำให้ผู้ใช้ที่เคยล็อกอินบริการและลงทะเบียนโทรศัพท์เอาไว้ สามารถล็อกอินซ้ำโดยไม่ต้องใส่รหัสผ่านอีกครั้งเมื่อใช้โทรศัพท์เครื่องเดิม (local user verification)

การปรับปรุงครั้งนี้ใช้ฟีเจอร์ของมาตรฐาน FIDO2, WebAuthn, และ FIDO CTAP เมื่อเข้าเว็บหรือแอปที่เคยลงทะเบียนโทรศัพท์ไว้ เว็บจะเรียก WebAuthn API เพื่อข้อข้อมูลเข้ารหัสลับยืนยันว่าเป็นโทรศัพท์เครื่องเดิมที่เคยลงทะเบียนไว้ ตัวโทรศัพท์จะขอให้ผู้ใช้ยืนยันลายนิ้วมือหรือปลดล็อกหน้าจอด้วยวิธีอื่น เช่น PIN หรือรหัสผ่านของโทรศัพท์

มาตรฐาน FIDO2 อาศัยระบบรักษากุญแจ (key storage) ของตัวโทรศัพท์ และการยืนยันผู้ใช้ด้วยลายนิ้วมือก็ไม่ได้เก็บตัวลายนิ้วมือบนเซิร์ฟเวอร์ของบริการแต่อย่างใด แต่เป็นการยืนยันในตัวโทรศัพท์เองเพื่อส่งข้อมูลยืนยันไปยังเซิร์ฟเวอร์อีกที

ตอนนี้ฟีเจอร์ local user verification จะเปิดให้กับผู้ใช้ Pixel ก่อน แล้วค่อยๆ ปล่อยให้กับผู้ใช้ Android 7 ขึ้นไป ทางกูเกิลแนะนำว่าหากต้องการความปลอดภัยเพิ่มเติมก็ยังเลือกใช้กุญแจ FIDO เพื่อล็อกอินสองขั้นตอนเพิ่มเติมได้ ตอนนี้บริการที่รองรับก่อนแล้วคือบริการเก็บรหัสผ่านของกูเกิลเอง (passwords.google.com) และอนาคตจะรองรับบริการอื่นเพิ่มไปเรื่อยๆ

ที่มา – Google Security Blog

No Description

from:https://www.blognone.com/node/111317

กูเกิลเริ่มวางขาย กุญแจยืนยันตัวตน Titan Security Keys นอกสหรัฐอเมริกา

กูเกิลเริ่มขยายตลาดของ กุญแจยืนยันตัวตน Titan Security Keys ที่เชื่อมต่อกับพีซีหรืออุปกรณ์พกพาผ่าน USB/Bluetooth/NFC ไปยังประเทศอื่นนอกสหรัฐอเมริกาแล้ว

ประเทศชุดที่สองที่ Titan Security Keys วางขายมี 4 ประเทศคือ แคนาดา ฝรั่งเศส ญี่ปุ่น สหราชอาณาจักร โดยยังจำกัดช่องทางการขายผ่านร้านออนไลน์ Google Store ในแต่ละประเทศเท่านั้น

กุญแจ Titan Security Keys ถือเป็นกุญแจยืนยันตัวตนแบรนด์ของกูเกิลเอง ถือเป็นอีกหนึ่งทางเลือกนอกเหนือจากกุญแจยี่ห้อ Yubico ที่นิยมใช้งานกันทั่วไป

โอกาสที่กุญแจตัวนี้จะวางขายในประเทศไทยในเร็ววันนี้คงยังน้อย แต่อย่างน้อยการขยายประเทศรอบนี้ ก็น่าจะช่วยให้คนที่สนใจอยากซื้อหามาใช้กันมีทางเลือกมากขึ้น นอกจากการซื้อในสหรัฐอเมริกาเพียงอย่างเดียว

ที่มา – Google

No Description

Topics: 

from:https://www.blognone.com/node/111133

ไมโครซอฟท์ปล่อยฟีเจอร์ล็อกอินไม่ใช้รหัสผ่านบน Azure AD ใช้งานได้ทุกองค์กร

ไมโครซอฟท์ประกาศปล่อยฟีเจอร์ล็อกอินโดยไม่ใช้รหัสผ่าน (passwordless login) บนบริการ Azure AD ให้ทุกองค์กรใช้งานแล้วหลังจากประกาศฟีเจอร์นี้มาตั้งแต่ปลายปีที่ผ่านมา

ฟีเจอร์นี้เปิดให้ผู้ใช้สามารถล็อกอินได้ผ่านทางกุญแจ FIDO2 (ต้องเวอร์ชั่น 2 เท่านั้น) หรือผ่านทางแอป Microsoft Authenticator ที่จะแจ้งเตือนเมื่อมีการล็อกอิน แล้วให้กดยืนยันจากในแอป

ไมโครซอฟท์ประกาศแนวทางการลดใช้รหัสผ่านด้วย FIDO 2.0 มาเป็นเวลานานตั้งแต่ปี 2015 โดยก่อนหน้านี้เริ่มใช้งานใน Windows Hello มาก่อนแล้ว และหลังจากนี้ก็เริ่มใช้งานในระดับองค์กรได้แล้ว

ฟีเจอร์นี้เปิดได้จากคอนโซล Azure AD แต่ยังเป็นระดับพรีวิวอยู่ การใช้งานในองค์กรใหญ่ๆ ก็อาจจะควรรอให้นิ่งกว่านี้สักระยะ ส่วนกุญแจ FIDO2 ไมโครซอฟท์ทำโปรโมชั่นร่วมกับผู้ผลิตสามรายหลัก ได้แก่ FEITIAN, Yubico, และ HID Global มีส่วนลดพิเศษในช่วงนี้ด้วย

ที่มา – Azure Active Directory Identity Blog

No Description

from:https://www.blognone.com/node/110818

FIDO ตั้งกลุ่มกำหนดมาตรฐานความปลอดภัยของอุปกรณ์ IoT

FIDO Alliance ประกาศตั้งกลุ่มกำหนดมาตรฐานอุตสาหกรรมด้าน IoT ขึ้นมาสองกลุ่ม เพื่อนำระบบยืนยันตัวตนของ FIDO เข้ามาใช้งานเป็นมาตรฐานในกลุ่มสินค้าประเภท IoT เพื่อให้ IoT ที่กำลังจะแพร่หลายในอนาคตมีมาตรฐานด้านความปลอดภัยที่ชัดเจนและรัดกุมกว่าปัจจุบัน

กลุ่มที่กำหนดมาตรฐานกลุ่มแรกคือ Identity Verification and Binding Working Group ที่จะกำหนดกฎเกณฑ์ของ remote ID verification รวมถึงพัฒนาเอกสารให้ความรู้และจัดทำกระบวนการออกใบรับรองให้ผู้ผลิตสินค้า IoT ที่ผ่านมาตรฐานด้วย

ส่วนอีกกลุ่มคือ IoT Technical Working Group จะกำหนดมาตรฐานระบบยืนยันตัวตนแบบครอบคลุมให้อุปกรณ์ IoT เพื่อให้เป็นไปตามพันธกิจที่ก่อตั้ง FIDO Alliance คือการยืนยันตัวตนแบบไม่ต้องใช้รหัสผ่าน

ปัจจุบัน IoT ถือเป็นผลิตภัณฑ์ที่มีช่องโหว่จำนวนมาก ไม่ว่าจะเป็นการมาตรฐานความปลอดภัยที่ต่ำ รวมถึงกระบวนการอย่างเช่นใช้รหัสผ่านค่าเริ่มต้นก็เสี่ยงต่อการถูกโจมตีในวงกว้าง จึงต้องควบคุมด้านความปลอดภัยให้เข้มงวดยิ่งขึ้น เพราะอีกไม่นาน อุปกรณ์ IoT จะมีจำนวนมากขึ้นเรื่อย ๆ จนกลายเป็นส่วนหนึ่งในชีวิตประจำวันของผู้ใช้

ที่มา – FIDO Alliance

No Description
ภาพจาก Shutterstock โดย Adam Hoglund

from:https://www.blognone.com/node/110597

Windows Hello รองรับ FIDO2 ใช้ล็อกอินเข้าเว็บไซต์โดยไม่ต้องมีรหัสผ่านเลยก็ได้

ไมโครซอฟท์ประกาศว่าฟีเจอร์ Windows Hello ของ Windows 10 (นับตั้งแต่ v1903 หรือ May 2019 Update เป็นต้นไป) ผ่านการรับรองมาตรฐาน FIDO2 แล้ว นั่นแปลว่าเราสามารถนำ Windows Hello ไปใช้ล็อกอินเว็บไซต์หรือแอพต่างๆ ที่รองรับมาตรฐาน FIDO ได้แล้ว

การรับรองนี้ทำให้เราสามารถใช้ Firefox 66 ที่รองรับ WebAuthn บนวินโดวส์ สามารถนำข้อมูลตัวตนของเราจาก Windows Hello ไปล็อกอินกับเว็บไซต์ที่รองรับ FIDO (เช่น Microsoft Account) ส่วน Microsoft Edge ที่เป็น Chromium จะได้ฟีเจอร์นี้ตามมาในอนาคต

นั่นแปลว่ากระบวนการล็อกอินทั้งหมดจะไม่ต้องใช้รหัสผ่านเลย ใช้การยืนยันตัวตนด้วยไบโอเมทริก (ใบหน้า/ลายนิ้วมือ) หรือคีย์ที่เป็นฮาร์ดแวร์แทน

ที่มา – Microsoft, FIDO

No Description

from:https://www.blognone.com/node/109747