PayPal изменит способ аутентификации пользователей

Платежная система PayPal планирует отказаться от использования паролей для аутентификации пользователей. Новый стандарт будет верифицировать личность пользователя через его смартфон.

“Мы намерены действительно стереть пароли и PIN–коды с лица земли через несколько лет”, – говорит директор по ИТ–безопасности PayPal Майкл Барретт. По его словам, в первую очередь пароли подлежат уничтожению в корпоративных внутренних сетях.

С таким заявлением на этой неделе в рамках конференции Interop в Лас–Вегасе выступил Барретт. Второй работой Барретта является должность президента в недавно созданном альянсе FIDO Alliance, который собирается создать открытый стандарт, способный заменить пароли. Кроме PayPal в совет директоров FIDO Alliance также входят компании Google, Lenovo и другие. FIDO (Fast Identity Online) будет работать, требуя от пользователей аутентификации на их смартфонах и других личных устройствах (а те будут авторизовываться на таких сайтах.

“Существует FIDO–клиент или FIDO–стэк, который должен присутствовать на устройстве. Это программное обеспечение, которое по внутренним механизмам обращается к серверу. К примеру, вы единожды указываете, что PayPal.com работает через FIDO и единожды авторизуетесь, пройдя специальный процесс. После того, как вы зайдете к нам на сайт, мы будем пинговать устройство”, – говорит он. Клиентское устройство может по–разному принимать аутентификационную информацию от пользователя – через отпечатки пальцев или сканов сетчатки глаза.

“Преимущество заключается в том, что вы авторизуетесь на устройстве, а устройство безопасно и автоматически заходит на сайты. Данные для аутентификации хранятся только на вашем устройстве и не покидают его”, – говорит Барретт. По его словам, первые устройства с поддержкой FIDO появятся уже в этом году. Это станет возможным, когда смартфоны получат сканеры отпечатков пальцев (ранее появились слухи о том, что в новом iPhone может появиться подобный сканер,

Android–экосистема также движется в этом направлении). Технически, FIDO–аутентификатором может быть и что–то другое: скан лица, специальный USB–носитель или некая последовательность аутентификации. Еще одним преимуществом системы является то, что пользователь сам может устанавливать нюансы авторизации, решать, как часто у него запрашиваются данные на вход, а также добавлять те самые пароли для еще большей стойкости системы опознания легального пользователя.

В будущем также планируется создать своего рода доверенные центры FIDO, где в репозиториях будет храниться информация о ключах и получаться различными пользователями и сайтами. Это необходимо если у пользователя есть множество FIDO–реквизитов. В PayPal говорят, что у FIDO есть несколько преимуществ перед обычными паролями и логинами. Во–первых, система сама управляет аутентификацией на десятках сайтов, во–вторых аутентификационные данные не покидают пользовательского устройства, а в–третьих, пользователь может сам настраивать, что именно использовать в качестве идентификатора.

Напомним также, что инженеры компании Google работают над новыми способами замены пользовательских паролей. Среди таких способов есть и небольшая криптографическая карта YubiKey, при помощи которой пользователи смогут автоматически входить в сервисы Google, такие как Gmail.