Kunci sandi mungkin bukan untuk Anda, tetapi aman dan mudah—ini alasannya

Fitur terbaru saya tentang kunci sandi menarik minat yang signifikan, dan sejumlah 1.100 lebih komentar menimbulkan pertanyaan tentang bagaimana sebenarnya sistem kunci sandi bekerja dan apakah dapat dipercaya. Sebagai tanggapan, saya telah menyusun daftar pertanyaan umum ini untuk menghilangkan beberapa mitos dan menjelaskan apa yang kita ketahui—dan tidak kita ketahui—tentang kunci sandi.

T: Saya tidak memercayai Google. Mengapa saya harus menggunakan kunci sandi?

J: Jika Anda tidak menggunakan Google, maka kunci sandi Google bukan untuk Anda. Jika Anda tidak menggunakan produk Apple atau Microsoft, situasinya serupa. Artikel aslinya ditujukan untuk ratusan juta orang yang menggunakan platform utama ini (meskipun dengan enggan).

Meskipun demikian, penggunaan kunci sandi dengan cepat berkembang melampaui pemain teknologi utama. Dalam satu atau dua bulan, misalnya, 1Password dan pihak ketiga lainnya akan mendukung sinkronisasi kunci sandi yang akan mengisi kredensial ke semua perangkat tepercaya Anda. Sementara Google lebih jauh dari layanan lain mana pun dalam mengizinkan login dengan kunci sandi, layanan baru memungkinkan pengguna untuk masuk ke akun mereka dengan kunci sandi hampir setiap minggu. Singkatnya, Anda dapat menggunakan kunci sandi meskipun Anda tidak mempercayai Google, Apple, atau Microsoft.

T: Saya tidak mempercayai perusahaan mana pun untuk menyinkronkan kredensial login saya; Saya hanya menyimpannya di perangkat lokal saya. Mengapa saya pernah menggunakan kunci sandi?

A: Bahkan jika Anda tidak percaya setiap layanan cloud untuk menyinkronkan kredensial login Anda, spesifikasi FIDO memungkinkan sesuatu yang disebut kunci sandi perangkat tunggal. Seperti namanya, kunci sandi ini berfungsi pada satu perangkat dan tidak disinkronkan melalui layanan apa pun. Kunci sandi satu perangkat biasanya dibuat menggunakan kunci keamanan FIDO2, seperti Yubikey.

Namun, jika Anda menyinkronkan kata sandi melalui browser, pengelola kata sandi, Rantai Kunci iCloud, atau salah satu Microsoft atau Google yang setara, ketahuilah bahwa Anda sudah memercayai layanan cloud untuk menyinkronkan kredensial Anda. Jika Anda tidak mempercayai layanan cloud untuk menyinkronkan kunci sandi, Anda juga tidak boleh memercayai mereka untuk menyinkronkan kata sandi Anda.

T: Menyinkronkan kunci sandi tampaknya sangat berisiko. Mengapa saya harus memercayai sinkronisasi dari layanan apa pun?

J: Saat ini, spesifikasi FIDO tidak secara ketat mengamanatkan sinkronisasi dengan enkripsi ujung-ke-ujung, yang menurut definisi berarti tidak lain dari salah satu perangkat pengguna akhir tepercaya yang memiliki akses ke kunci pribadi dalam keadaan tidak terenkripsi (yaitu, dapat digunakan) membentuk. Mekanisme sinkronisasi Apple, misalnya, bergantung pada enkripsi end-to-end yang sama dengan yang sudah digunakan Rantai Kunci iCloud untuk sinkronisasi kata sandi. Apple telah mendokumentasikan desain layanan ini dengan sangat element di sini, di sini, di sini, di sini, dan di sini. Pakar keamanan independen belum melaporkan ketidaksesuaian apa pun dalam klaim Apple bahwa Apple tidak memiliki sarana untuk membuka kunci kredensial yang disimpan di Rantai Kunci iCloud.

T: Saya tidak menggunakan/mempercayai Apple. Bagaimana dengan layanan lainnya? Di mana dokumentasi mereka?

J: Google memiliki dokumentasi di sini. 1Password memiliki dokumentasi tentang infrastruktur yang digunakannya untuk menyinkronkan kata sandi (di sini dan di sini). Sekali lagi, jika Anda sudah percaya setiap platform sinkronisasi kata sandi berbasis cloud, agak terlambat untuk meminta dokumentasi sekarang. Ada sedikit, jika ada, risiko tambahan untuk menyinkronkan kunci sandi juga.

T: Apakah tidak ada artikel terbaru tentang malware macOS baru yang dapat mencuri merchandise Rantai Kunci iCloud?

A: Ini mungkin referensi ke MacStealer, malware yang baru-baru ini diiklankan di discussion board kejahatan bawah tanah. Tidak ada laporan MacStealer digunakan di alam liar, dan tidak ada konfirmasi bahwa malware itu ada. Kami hanya tahu iklan mengklaim bahwa malware semacam itu ada.

Yang mengatakan, iklan menjajakan MacStealer mengatakan itu dalam versi beta awal dan datang dalam bentuk file DMG standar yang harus diinstal secara handbook di Mac. File DMG tidak ditandatangani secara digital, sehingga tidak akan diinstal kecuali jika pengguna akhir mengotak-atik pengaturan keamanan macOS. Meski begitu, korban harus memasukkan kata sandi iCloud mereka ke dalam aplikasi setelah diinstal sebelum information berbasis cloud dapat diekstraksi.

Berdasarkan deskripsi MacStealer dari Uptycs, firma keamanan yang melihat iklan tersebut, menurut saya orang tidak perlu terlalu khawatir. Dan bahkan jika malware memang menimbulkan ancaman, ancaman itu meluas tidak hanya ke kunci sandi tetapi ke hal lain yang sudah disimpan oleh ratusan juta orang di Rantai Kunci iCloud.

T: Kunci sandi memberikan kendali atas kredensial Anda ke Apple/Google/Microsoft, ke layanan sinkronisasi pihak ketiga, atau ke situs tempat Anda masuk. Mengapa saya melakukan itu?

J: Dengan asumsi Anda menggunakan kata sandi untuk masuk ke layanan seperti Gmail, Azure, atau Github, Anda sudah memercayai perusahaan ini untuk menerapkan sistem autentikasi mereka dengan cara yang tidak mengungkapkan rahasia bersama yang memungkinkan Anda untuk masuk. Masuk ke salah satu situs ini dengan kunci sandi alih-alih kata sandi memberi situs kontrol yang sama—tidak lebih dan tidak kurang—atas kredensial Anda daripada sebelumnya.

Alasannya adalah bagian kunci privat dari kunci sandi tidak pernah meninggalkan perangkat terenkripsi milik pengguna. Otentikasi terjadi pada perangkat pengguna. Perangkat pengguna kemudian mengirimkan bukti kriptografi ke situs yang sedang login bahwa kunci pribadi berada pada perangkat yang masuk. Kriptografi yang terlibat dalam proses ini memastikan bahwa bukti tersebut tidak dapat dipalsukan.