اتحاد Fast Identity Online (FIDO) پیش نویس استاندارد جدیدی را منتشر کرده است که هدف آن امکان انتقال امن رمزهای عبور بین برنامه ها و پلتفرم های مختلف مدیریت رمز عبور است.

سیستم جدید پیشنهاد شده توسط FIDO Alliance اساساً عوارض یا محدودیت های عملی نداشتن استانداردهای ایمن برای انتقال اعتبار بین ارائه دهندگان خدمات مختلف را از بین می برد. سایت رسمی FIDO گزارش می دهد که استفاده از رمز عبور برای ورود به سیستم 75 درصد سریع تر و 20 درصد موفق تر از احراز هویت مبتنی بر رمز عبور است.

Passkey یک روش احراز هویت بدون رمز عبور است که از رمزنگاری کلید عمومی برای احراز هویت کاربران بدون نیاز به ذخیره یا مدیریت رشته های طولانی کاراکترها استفاده می کند.

سیستم های رمز عبور سنتی در برابر فیشینگ مقاوم هستند، اما یکی از چالش های اصلی رمز عبور این است که هیچ راه امنی برای انتقال آنها بین پلتفرم ها و سرورهای مختلف از جمله مدیران رمز عبور وجود ندارد.

به عنوان مثال، کاربرانی که پسوردهایی را در نرم‌افزار مدیریت رمز عبور گوگل ایجاد کرده‌اند، نمی‌توانند هنگام تعویض دستگاه، آن‌ها را به‌طور ایمن به iCloud Keychain اپل منتقل کنند و به نوعی محدود به دستگاه فعلی خود هستند.

این باعث می شود که کلیدهای دسترسی به جای ایجاد آزادی بیشتر، هنگام تلاش برای انتقال یک کلید دسترسی به پلتفرم دیگر، خطرات امنیتی ایجاد کنند. اما اتحاد FIDO با آگاهی از این مشکل، سیستم جدیدی را طراحی کرده است که هنوز در مراحل اولیه توسعه است.

مشخصات این سیستم جدید در دو پروژه جداگانه پروتکل تبادل اعتبار (CXP) و فرمت تبادل اعتبار (CXF) ارائه شده است.

روش سیستمی جدید اتحادیه FIDO برای انتقال رمز عبور

CXP روشی را برای انتقال ایمن اعتبارنامه ها بین سرورهای مختلف با استفاده از تبادل کلید Diffie-Hellman و رمزگذاری کلید عمومی ترکیبی (HPKE) تعریف می کند. بنابراین داده ها در حین انتقال محافظت می شوند.

CXF یک ساختار استاندارد را برای انتقال ایمن اعتبارنامه ها بین سرورها در طول مهاجرت تعریف می کند و از قابلیت همکاری و یکپارچگی داده ها اطمینان می دهد. قالب‌های پیشنهادی شامل JSON در ZIP است که در آن هر قطعه داده همانطور که توسط CXP مشخص شده است کدگذاری می‌شود.

این پیش نویس ها با مشارکت کارشناسان شرکت هایی مانند Dashlane، Bitwarden، 1Password، NordPas و Google تهیه شده است.

اتحاد FIDO که شامل رهبران فناوری مانند گوگل، مایکروسافت، اپل، ویزا، مسترکارت، پی پال، اینتل، سامسونگ، متا و آمازون است، امیدوار است دستورالعمل‌های جدید به پذیرش بیشتر رمزهای عبور کمک کند.

استانداردهای پیشنهادی در حال حاضر به صورت پیش نویس هستند و در معرض تغییر هستند. در حال حاضر برنامه مشخصی برای انتشار آن وجود ندارد.