Microsoft: biometrisch inloggen veiliger dan wachtwoorden
Microsoft wil dat internetgebruikers geen wachtwoorden meer hoeven te gebruiken en heeft daarom in een testversie van Windows 10 een biometrische inlogfunctie aan Microsoft Edge toegevoegd. Volgens de softwaregigant is biometrisch inloggen namelijk veiliger dan het gebruik van een wachtwoord.
"Wachtwoorden zijn lastig. De meeste mensen kiezen geen sterke wachtwoorden of gebruiken niet voor elke website een ander wachtwoord. Mensen kiezen eenvoudig te herinneren wachtwoorden en gebruiken dat meestal voor al hun accounts", aldus Microsoft. Zodra een wachtwoord dat op meerdere websites wordt gebruikt is gecompromitteerd, lopen alle accounts op deze websites risico.
Microsoft zegt dan ook uit te kijken naar een toekomst waar internetgebruikers geen wachtwoord meer hoeven te onthouden en de server geen wachtwoord meer hoeft op te slaan om een gebruiker in te laten loggen. Om dit te realiseren ontwikkelde Microsoft "Windows Hello". Window Hello is een biometrische inlogmethode, die naast de vingerafdruk ook gezichts- en irisscans ondersteunt. In plaats van een wachtwoord kunnen gebruikers straks via een lichaamskenmerk op websites inloggen.
Om een gebruiker in te laten loggen stuurt de server eerst een 'plain text challenge' naar de browser. Zodra Microsoft Edge de gebruiker via Windows Hello heeft geverifieerd zal het systeem de challenge met een privésleutel van de gebruiker signeren en terug naar de server sturen. Als de server de handtekening via de publieke sleutel van de gebruiker kan valideren en ziet dat de challenge correct is, kan de gebruiker worden ingelogd.
Volgens Microsoft zijn deze sleutels niet alleen sterker dan inloggegevens, ze kunnen ook niet worden geraden en voor meerdere websites worden gebruikt. "De publieke sleutel is op zich zinloos en de privésleutel wordt nooit gedeeld. Niet alleen is Windows Hello een mooie gebruikerservaring, het is ook veiliger omdat het het raden van wachtwoorden, phishing en keylogging voorkomt en het is bestand tegen database-aanvallen op de server", zo claimt Microsoft in een uitleg over de inlogmethode.
Of mijn snappertje begrijpt het gewoon niet helemaal, dat kan ook natuurlijk.
Het grote probleem met biometrische gegevens gebruiken is, dat als ze worden gecompromitteerd, ze voor altijd een gevaar blijven vormen voor de betreffende gebruiker.
Opzich vind ik het idee van public/private key gebruik toe te juichen, echter vingerafdrukken of je iris kun je nooit veranderen dus dat is leuk totdat het 1x uitlekt.
Klopt! Mijn biometrische kenmerken, aan de andere kant, zijn supersterk (want door niemand te achterhalen), en ik gebruik voor elke website andere. :-)
1) Biometrie is per definitie niet veiliger omdat je je biometrische gegevens niet kunt wijzigen.
2) SSO = SPOF
3) Microsoft hoeft, middels Windows Hello, echt niet te weten wanneer ik op welke sites inlog en waar vandaan. De zoveelste inbreuk op mijn privacy.
Maar ik ben het helemaal eens met de eerste reactie hierboven. Ik hoop dat ze er snel mee gaan komen en dan, onvermijdelijk natuurlijk, faliekant mee onderuit gaan. Dan hebben we dat gezeur over biometrisch inloggen ook weer gehad. ;-)
Voor de liefhebbers:
Al eerder hier op de site (niet van mij overigens). Biometrische data als backdoor: https://www.security.nl/posting/453398/Biometrische+data+als+backdoor
EFF | Biometrics: https://www.eff.org/issues/biometrics
Dashlane Blog | 10 Reasons Why Biometrics Won’t Replace Passwords Anytime Soon: http://blog.dashlane.com/10-reasons-biometrics-wont-replace-passwords-anytime-soon/
Of mijn snappertje begrijpt het gewoon niet helemaal, dat kan ook natuurlijk.
Dat is het denk ik ja. Het wordt vrij duidelijk uitgelegd in dat artikel vind ik.
Biometrie met een volledige bodyscan zal vrijwel volledige zekerheid kunnen gaan geven. Wat vandaag nog knullig is, zal morgen met andere sensors geheel anders kunnen uitpakken. De industrialisatie met ICT staat nog in de kinderschoenen.
We hebben nog lang niet alles gezien. Je kunt die verandering proberen te stoppen, geef je weinig kans op data success.
Biometrie met een volledige bodyscan zal vrijwel volledige zekerheid kunnen gaan geven. Wat vandaag nog knullig is, zal morgen met andere sensors geheel anders kunnen uitpakken. De industrialisatie met ICT staat nog in de kinderschoenen.
We hebben nog lang niet alles gezien. Je kunt die verandering proberen te stoppen, geef je weinig kans op data success.
Ah, daar is ie: "...Het is niet meer van deze tijd..." Ja, dat is altijd een heel sterk argument. ;-)
Na PRISM kunnen we ons bovendien ook wel realiseren dat deze data een goudmijn is voor inlichtingendiensten.
http://www.forensischonderzoeksbureau.nl/index/294/146/Vingerafdrukken.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
