Google suggère un bijou ou un appareil comme mot de passe next-gen

Google pense qu'il aurait pu trouver une réponse au problème épineux des mots de passe oubliés ou faibles: mots de passe" physiques ", qui pourraient prendre la forme d'un mot de passe.

Dans un document de recherche, deux de ses ingénieurs écrivent que les stratégies actuelles pour empêcher le détournement de comptes en ligne, y compris le système de vérification d'identité en deux étapes, sont insuffisantes, en partie à cause de la menace constante d'attaques

Google souligne l'hameçonnage, dans lequel les pirates hantent les titulaires de compte en révélant des informations sensibles en les faisant se connecter à une fausse page de connexion au compte, comme l'une des plus grandes menaces de sécurité d'aujourd'hui.

lecture: Comment re déplacer les logiciels malveillants depuis votre PC Windows]

"Il est temps d'abandonner les règles de mot de passe complexes et de chercher quelque chose de mieux", disent les auteurs. Le document de recherche, par Eric Grosse et Mayank Upadhyay de Google, sera publié le 28 janvier dans la publication IEEE Security & Privacy. Il a été rapporté pour la première fois par Wired vendredi.

[[Voir aussi " «Mot de passe» est toujours le pire mot de passe, mais attention à «ninja» et «Comment trouver le bonheur dans un monde de folie mot de passe."]]

Google tests USB device

Au cœur de la proposition de Google une idée qui a été utilisée par les entreprises mais qui a rencontré peu de succès parmi les consommateurs: un périphérique USB crypté que les gens utiliseraient pour se connecter à des sites Web protégés par mot de passe et à des comptes en ligne.

Google dit travailler sur un pilote interne avec un périphérique USB expérimental que les utilisateurs enregistrent d'abord avec plusieurs sites Web où ils ont des comptes. Un navigateur compatible rendrait deux nouvelles API (interfaces de programmation d'applications) disponibles sur le site Web pour être transmises au périphérique connecté.

"L'une de ces API est appelée pendant l'étape d'enregistrement, entraînant une nouvelle génération clé privée et renvoyer la clé publique sur le site Web », explique le journal. "Le site Web appelle la deuxième API pendant l'authentification pour remettre en cause le matériel et retourner la réponse signée."

La méthode ne nécessite aucun logiciel, mais les utilisateurs doivent utiliser un navigateur Web conforme avec l'effort, Google a dit. Les protocoles d'enregistrement et d'authentification seraient ouverts et gratuits, et l'appareil se connecterait à l'USB d'un ordinateur sans avoir besoin de pilotes de système d'exploitation spéciaux.

Les Googlers envisagent un seul appareil que les utilisateurs peuvent glisser dans un port USB et utiliser pour se connecter à un certain nombre de comptes en ligne en un seul clic.

Parce que transporter un autre appareil peut ne pas être populaire parmi les consommateurs, Google suggère que le dispositif d'authentification pourrait être intégré dans un smartphone ou même un bijou. L'appareil serait en mesure d'autoriser un nouvel ordinateur pour une utilisation avec un seul robinet, même dans des situations où le téléphone pourrait être sans connectivité cellulaire.

Équilibrer les tracas, sécurité

La technologie vise à améliorer le courant de l'entreprise, système de vérification facultatif en deux étapes. Avec ce système, lorsque les utilisateurs veulent se connecter à un service Google à partir d'un nouvel ordinateur, ils sont invités à entrer un code envoyé à leur téléphone portable préenregistré, leur accordant l'accès au site.

L'entreprise dit son expérience avec ce le système a été bon, bien qu'il puisse aussi être abusé par les hackers de compte. Après avoir volé un mot de passe et pénétrer dans un compte, ils ont parfois mis en place une authentification à deux facteurs en utilisant leur propre numéro de téléphone, "juste pour ralentir la récupération du compte par le vrai propriétaire". l'approche par clé USB proposée est «spéculative» et qu'elle devra être acceptée à grande échelle. Mais la société a déclaré qu'il est impatient de tester l'appareil avec d'autres sites.

"L'enregistrement des appareils des utilisateurs sur les sites Web cibles devrait être simple et ne devrait pas nécessiter une relation avec Google ou tout autre tiers", écrivent les ingénieurs. "Les protocoles d'enregistrement et d'authentification doivent être ouverts et gratuits pour quiconque peut les implémenter dans un navigateur, un appareil ou un site Web."

Google n'a pas précisé si le système expérimental pourrait être utilisé. "Nous nous efforçons de rendre l'authentification plus sécurisée et plus facile à gérer, car nous pensons que de telles expériences peuvent améliorer les systèmes de connexion", a déclaré un porte-parole par e-mail.