Microsoft oznámil, že se běžné spotřebitelské účty Microsoft Account obejdou bez hesel. V nastavení lze heslo odebrat, a pokud tak učiníte, systém vám pogratuluje, že jste zvýšili bezpečnost svého účtu a vylepšili pocit z přihlašování.

Nadále budete pro přihlašování používat mobilní aplikaci (Microsoft Authenticator), autentizační klíč nebo zaslání jednorázového hesla e-mailem nebo SMS. Není to ale tak jednoduché a v některých případech si můžete život zrušením hesla zkomplikovat. 

Nedávno jste již předplatné aktivoval

Je nám líto, ale nabídku na váš účet v tomto případě nemůžete uplatnit.

Pokračovat na článek

Tento článek pro vás někdo odemknul

Obvykle jsou naše články jen pro předplatitele. Dejte nám na sebe e-mail a staňte se na den zdarma předplatitelem HN i vy!

Navíc pro vás chystáme pravidelný výběr nejlepších článků a pohled do backstage Hospodářských novin.

Zdá se, že už se známe

Pod vámi uvedenou e-mailovou adresou již evidujeme uživatelský účet.

Děkujeme, teď už si užijte váš článek zdarma

Na váš e-mail jsme odeslali bližší informace o vašem předplatném.

Od tohoto okamžiku můžete číst neomezeně HN na den zdarma. Začít můžete s článkem, který pro vás někdo odemknul.

Na váš e-mail jsme odeslali informace k registraci.

V e-mailu máte odkaz k nastavení hesla a dokončení registrace. Je to jen pár kliků, po kterých můžete číst neomezeně HN na den zdarma. Ale to klidně počká, zatím si můžete přečíst článek, který pro vás někdo odemknul.

Pokračovat na článek

Oslavný post viceprezidenta Microsoftu pro oblast bezpečnosti Vasu Jakkala dává spoustu dobrých důvodů, proč se hesel zbavit. Základem však je, že uživatelé s hesly neumí správně zacházet. Patnáct procent z nich prý pro inspiraci při tvorbě hesla používá jméno svého domácího mazlíčka. A zjistit takové heslo není v době, kdy spousta psů má nejenom vlastní webovou stránku, ale i účet na Facebooku, žádný problém.

Jeden z deseti uživatelů přiznává, že totéž heslo používá opakovaně v různých systémech a čtyřicet procent udává, že pro generování hesel používá nějaký vlastní „vzoreček“. Co se vzorečků týče, podle mých zkušeností mají společné dva aspekty: jejich autoři jsou na ně pyšní jako na neprolomitelné a přitom jsou úplně k ničemu.

Pokud máte k heslům takový přístup, pak je skutečně lepší, když budete používat „passwordless“ variantu, protože pro vás bude znamenat zvýšení bezpečnosti účtu. Návod jak na to najdete na webu Microsoftu. Jako obvykle to má háček. Přesněji, několik háčků.

První je ryze technický. Ne všechny služby Microsoftu podporují passwordless účty. Bez hesla se nepřihlásíte ke starším službám, jako je Xbox 360, staré verze Office (2010 pro PC, 2011 pro Mac) a Windows (7, 8.1). Ani na Windows 10 však nebudete moci využívat Remote Desktop nebo Credential Manager. Speciální aplikační hesla si pak budete muset vytvořit, pokud používáte pro přístup k e-mailům klasické protokoly POP3 a IMAP.

Druhý háček spočívá v odstranění jednoho autentizačního faktoru. Což ovšem vyžaduje trochu sofistikované vysvětlení. V informační bezpečnosti rozeznáváme tři takzvané „autentizační faktory“. Jedná se o způsoby, jak lze uživatele autentizovat, tedy ověřit si, že je skutečně tím, za koho se prohlašuje.

Prvním je faktor znalosti, tedy něco, co uživatel zná. Mezi autentizujícím a autentizovaným je předem dohodnuto nějaké sdílené tajemství, jehož znalostí se prokazuje identita. Typickým příkladem sdíleného tajemství je klasické heslo: způsob autentizace, který používáme mnohokrát denně.

Autentizace pomocí sdíleného tajemství má ale jeden problém: ono tajemství je mnohdy mnohem méně tajné, než bychom si přáli. Heslo například může někdo odposlechnout. Na počítači samém, pomocí hardwarového nebo softwarového keyloggeru. Cestou po síti, pokud je přenos dat nešifrovaný nebo je šifrovaný nedostatečně. U provozovatele služby, kterému unikla databáze uživatelských účtů a hesel nebo jejich hashů. U uživatele, který se nechal nalákat na phishingový mail… Navíc většina uživatelů používá totéž heslo opakovaně, mezi různými službami. Těžko jim to lze vyčítat, protože nemají a nemohou mít dostatečnou kapacitu na to, aby si zapamatovali stovky různých hesel.

Máme ještě další autentizační faktor: faktor vlastnictví, tedy ověřujeme něco, co uživatel má. Nějaký předmět, který není možné snadno okopírovat a jehož vlastnictví lze na dálku ověřit. Typicky třeba čipovou kartu či USB token s asymetrickým klíčem a certifikátem nebo něco podobného.

Problém tohoto autentizačního faktoru spočívá v tom, že je obecně docela drahý. Patřičné zařízení – čipová karta atd. – něco stojí, ale náročná je zejména správa. Ony předměty je třeba uživatelům nějak rozdistribuovat, řešit případy ztráty nebo zničení… Nyní se hojně začínají využívat chytré telefony, které umí vygenerovat jednorázové heslo – nebo klidně i hloupé telefony a jednorázové heslo zašle provozovatel služby pomocí SMS a občas se lze setkat i s e-mailem.

Třetím a posledním autentizačním faktorem je vlastnost, tedy něco, co uživatel je. Nějaká unikátní charakteristika, jejíž sdílení dvěma různými osobami je velice nepravděpodobné. Dnes se nejčastěji jedná o otisk prstu a u telefonů rozpoznání tváře, existují i systémy na rozpoznání hlasu.

Tento autentizační faktor má zásadní problém v tom, že  funguje jenom lokálně. Lze se tak prokázat vůči zařízení, které máme ve fyzickém dosahu, ale ne na dálku po síti. Některé charakteristiky je také možno napodobit a všechny lze zaznamenat a použít znovu. Například sejmout otisk prstu z předmětu, na který uživatel sáhl, použít fotografii nebo nahrávku hlasu.

Všechny popsané autentizační metody mají výrazné slabiny. Proto se v praxi u systémů, které vyžadují vyšší úroveň zabezpečené, často využívá vícefaktorová autentizace. Tedy kombinace několika faktorů zároveň. Mnoho služeb uživatele tlačí do používání autentizačních aplikací, které generují jednorázová hesla (jako je třeba Microsoft Authenticator) nebo zasílají jednorázová hesla pomocí SMS či e-mailů. Vícefaktorová autentizace je bezpečnější, protože na každý faktor se musí útočit jinak a většinou zcela odlišnými způsoby. Lze si představit hackera, který dokáže do vašeho počítače na dálku nainstalovat malware, aby zjistil vaše heslo. Lze si představit kapsáře, který vám v tramvaji ukradne čipovou kartu. Ale zajistit spolupráci dvou takových osob už je mnohem větší oříšek.

Pokud jste dosud používali pouze jeden faktor – heslo –, pak pro vás „going passwordless“ bude znamenat změnu druhu hrozby. Zatímco dosud pro vás byla kritická možnost, že někdo odhadne nebo ukradne vaše heslo, dnes je pro vás kritické, když někdo získá přístup k vašemu telefonu, e-mailu nebo vám ukradne autentizační USB token. Pro mnoho uživatelů to znamená zvýšení bezpečnosti, ale pro uživatele, kteří s hesly umí zacházet, jde jenom změnu typu hrozby. A pro uživatele, kteří dosud používali dvoufaktorovou autentizaci, tedy heslo a ještě něco, to znamená faktické snížení bezpečnosti, protože právě přišli o jeden autentizační faktor.

Výrazný problém s odstraněním hesel je v tom, že onen vysmívaný faktor znalosti má jednu důležitou a nenahraditelnou vlastnost: musíte ho použít vědomě a dobrovolně. Mobil nebo autentizační token vám může někdo sebrat. Otisk prstu či obraz tváře lze získat i proti vaší vůli. Ale dostat heslo z hlavy je mnohem komplikovanější. Roli tady hrají i právní aspekty. Minimálně v západních zemích dosud platí, že nikdo nesmí být nucen vypovídat sám proti sobě a tato ochrana se vztahuje i na sdělení hesla. Ačkoliv jsou různě po světě snahy tento princip prolomit, většinově zatím nejsou úspěšné. Ale tato ochrana se nevztahuje na ostatní autentizační faktory.

Kromě toho může být přihlašování pomocí jiných autentizačních faktorů pomalejší a méně pohodlné. Zadat i kvalitní heslo je – zejména s vhodným správcem hesel – pořád rychlejší než hledat mobil a něco na něm potvrzovat nebo čekat na autentizační e-mail nebo SMS.

Poslední problém vidím v tom, že minimálně část alternativních metod autentizaci neřeší, ale jenom ji přesouvá na někoho jiného. Zaslání jednorázového hesla pomocí SMS nebo e-mailu činí uživatele závislého na funkčnosti a míře zabezpečení jeho mobilního operátora nebo provozovatele e-mailové služby, což obvykle není žádná velká výhra. Americký NIST již léta nedoporučuje používat SMS pro doručování jednorázových hesel a zabezpečení e-mailové schránky bývá zpravidla ještě tragičtější.

Pro docela významnou skupinu uživatelů je přihlašování bez hesel nepochybně krokem kupředu. Pokud jako heslo používáte jméno svého psa nebo „123456“ (nejčastější heslo  nacházející se v uniklých datech, několik let po sobě), pak se ho s ulehčením zbavte. Ale pokud s ním umíte zacházet, zůstává velice dobrým nástrojem i do budoucna.