Hacker News Digest

Пароли постепенно вытесняются «пасключами» (passkeys), которые подаются как более безопасная и удобная альтернатива. Однако, в отличие от паролей, приложений-аутентификаторов или физических ключей, пользователь не имеет полного контроля над пасключами: у сайтов есть скрытый механизм, позволяющий постепенно отбирать у вас возможность распоряжаться ими по своему усмотрению. Технологию продвигает альянс FIDO — консорциум, куда входят корпорации, спецслужбы, банки и госструктуры, но не входит ни одна организация по защите прав потребителей. У каждой стороны свой интерес: реклама, слежка, снятие ответственности.

В комментариях отмечают ещё одну опасность: в США для разблокировки устройства по биометрии не нужен ордер — полиция может просто поднести телефон к лицу и получить доступ к данным. Пароль же, будучи «речью», принудительно выдать сложнее, а данные можно шифровать несколькими паролями, контролируя, что именно раскрывается. К тому же биометрия уступает хорошему паролю по стойкости: подделать отпечаток или лицо несопоставимо проще, чем взломать надёжный пароль.

Обсуждение дополняет статью примерами плохого UX, опасениями по поводу вендор-лока и юридических рисков. Многие участники защищают passkeys как единственную эффективную защиту от фишинга и MITM-атак. Сторонники passkeys (@advisedwang, @ttul) утверждают, что TOTP уязвим для фишинга и MITM-атак, в то время как passkeys решают эти проблемы, делая их на порядок безопаснее. Пользователь @agwa считает сценарий массового переключения на аттестацию ключей маловероятным, так как Apple не поддерживает аттестацию, а браузеры запрашивают разрешение пользователя. Механизм удаленной аттестации (remote attestation) воспринимается как серьезная угроза приватности и инструмент усиления дуополии Apple и Google (@userbinator, @elric, @djfergus). Для минимизации рисков потери доступа рекомендуется использовать несколько passkeys для одного аккаунта, храня их в разных менеджерах паролей (@skybrian). Текущий UX passkeys оценивается как фрагментированный и неудобный: разные сайты реализуют разные сценарии входа, а процесс отмены подписки на passkeys часто скрыт в глубоких настройках (@tonymet, @bmitch3020). Существует проблема ограниченного объема памяти аппаратных ключей; например, дорогие YubiKey вмещают лишь около 100 passkeys, что недостаточно для пользователей с сотнями аккаунтов (@elric). По опыту @oefrha, внедрение требования userVerification в 1Password привело к необходимости вводить и мастер-пароль менеджера, и пароль сайта, что нарушает концепцию «одного пароля». Высказываются опасения, что централизация учетных данных через passkeys облегчит доступ правоохранительных органов к данным пользователей и станет шагом к внедрению государственных цифровых ID (@beaker52). Отмечается риск юридической незащищенности: в отличие от паролей, биометрическая разблокировка passkeys может не подпадать под защиту некоторых поправок к Конституции США (@waterheater).

Утечка CPR произошла из‐за слабой политики паролей, отсутствия MFA и использования номера CPR как секретного аутентификатора, что является ошибкой проектирования, поскольку такой идентификатор не должен быть секретным. Слабый пароль «123456» и отсутствие MFA позволили злоумышленникам получить доступ к базе CPR, что подтверждают участники. Надзор за сторонними провайдерами оказался недостаточным. Совет: Проводить регулярные аудиты третьих сторон, имеющих доступ к гражданскому реестру, и вводить обязательную сложность паролей (минимум 12 символов, специальные символы) и двухфакторную аутентификацию для всех привилегированных аккаунтов. Спор: Одни винят отдельных сотрудников и их некомпетентность (ionwake), другие — конфликт интересов между командами безопасности и продуктивности, где отсутствие баланса приводит к утечкам (zkmon). Отсутствие надзора и базовых процедур (обязательный контроль паролей, MFA, ограничение выгрузок) в государственных системах приводит к системным уязвимостям, как отмечают sneak и 0xbadcafebee.

GrapheneOS обеспечивает мощную защиту данных на заблокированных устройствах, опираясь на аппаратные возможности современных Pixel и других совместимых устройств. Основа — защищённый элемент с жёстким ограничением попыток ввода: после 10 неудач — задержка 4 часа, после 15 — 41 день, всего разрешено лишь 20 попыток. При этом система блокирует повторные ошибки, а обновление прошивки защищённого элемента требует аутентификации владельца, что предотвращает принудительное отключение лимитов даже под угрозой. Устройства с Pixel 2 используют эту технологию с 2017 года, а с 2027 года поддержка расширится на устройства Motorola и Qualcomm.

Для усиления защиты GrapheneOS увеличивает максимальную длину пароля до 128 символов, позволяя использовать сложные фразы на основе Diceware. Введён дополнительный двухфакторный режим: после 5 неудачных попыток отпечатка требуется ввод короткого PIN-кода, который считается частью лимита попыток. Это позволяет использовать биометрию для удобства, но требует сильного пароля для полного разблокирования. Также отключена передача данных по USB при заблокированном экране, а система активно использует аппаратные механизмы защиты, включая MTE, для предотвращения эксплойтов. Такие меры особенно важны для защиты активистов, осведомителей и жертв репрессий.

Пользователи GrapheneOS должны обеспечивать полное резервное копирование данных для предотвращения потери при повреждении или конфискации устройства. Обсуждаются риски физических атак на заблокированные устройства — они требуют специального оборудования и экспертизы, но возможны. Для защиты рекомендуется включить автоматическую перезагрузку в режим Before First Unlock (BFU); стандартный интервал — 18 часов, но можно сократить для повышения безопасности. Использование паттерна блокировки менее безопасно, чем длинный пароль или PIN-код — их следует применять для усиления защиты.

Troy Hunt объявил о добавлении в Have I Been Pwned 2 миллиардов уникальных email-адресов (точнее 1,957,476,021) и 1,3 миллиарда паролей, из которых 625 миллионов ранее нигде не встречались. Это крупнейшая база данных утечек, которую когда-либо обрабатывали. Данные поступили из двух источников: логов вредоносного ПО, собирающего данные с зараженных устройств, и списков для подбора паролей, полученных из других утечек. Hunt отмечает, что такие списки становятся "ключами от замка" из-за привычки пользователей использовать один и тот же пароль на разных ресурсах.

Для проверки данных Hunt проанализировал собственные старые email-адреса и обратился к подписчикам. Один пользователь подтвердил, что в базе находились как его старые, так и текущие пароли. Особенно показателен случай, когда человек использовал простой пароль, состоящий из другого пароля с добавлением в конце "!!". Это подтверждает распространенную практику создания слабых вариаций паролей, что делает пользователей уязвимыми при утечках данных.

• Пользователи обсуждают, что их данные уже неоднократно оказались в утечках, но при этом не ясно, какие именно сервисы пострадали и что делать с этим дальше.
• Обсуждается, что вместо того, чтобы собирать и продавать наши данные, компании могли бы просто не собирать лишние данные и не хранить их нешифрованными.
• Участники обмениваются опытом использования уникальных email-адресов и менеджеров паролей, но при этом отмечается, что даже при наличии таких инструментов, большинство сайтов всё ещё требуют email-адрес и не поддерживают вход через SSO-провайдеров.
• Поднимается вопрос, почему до сих пор не введён стандарт веб-автентификации через асимметричные ключи, вместо паролей, и почему пароли всё ещё не храняться в виде хеша, а не в открытом виде.