Google fremlægger deres femårs plan for autentifikation

Tidligere på ugen kunne Erik Grosse og Mayank Upadhyay fra Googles sikkerhedsafdeling fortælle, hvordan de så fremtiden uden brug af kodeord.

Læs mere her: Googles sikkerhedsafdeling vil af med kodeord

Eric Sachs fra Google, som er ansvarlig for identifikation, fortalte på konferencen, Internet Identity Workshop, at Google har en femårs plan, der skal flytte autentifikation over på enheden og væk fra brugeren. Hermed mener han, at en enhed skal være i stand til at identificere sig selv, brugeren og være en del af et kompleks flow af autentifikation. Desuden skal enheden også kunne detektere unormal opførsel. Når enheden gøres klar, skal brugeren dog indtaste et kompleks kodeord.

Eric Sachs fortæller samtidig, at han ikke ser noget problem i at gøre det mere besværligt for brugeren at autentifikation sig selv, hvis det kun skal gøres en gang under opsætningen af enheden.

Erich Sachs, Google skrev:

We will change sign-in to a once-per-device action and make it higher friction, not lower friction, for all users. We don’t mind making it painful for users to sign into their device if they only have to do it once.

I dag har Google en to-faktor log-in-model, som er valgfri. Fremover vil Google have alle brugere til at benytte 2-faktor log-in, indtil opsætningsmodellen er klar.

I et dokument publiceret på Google Drive, fortæller Eric Sachs og holdet bag hos Google mere om planerne for de næste fem år. Her ses det, at udover at erstatte log-in med opsætning af enheden, fokuseres der også på ChannelID, intelligente telefoner og bedre skærmlås.

ChannelID er et projekt, der arbejder på at udvikle et ”certifikat”, der kan bruges som autentifikation af en bruger har brugt denne enhed før. Med intelligente telefoner håber Google på at kunne binde usædvanlige handlinger sammen med en bekræftelse fra brugeren, hvori bekræftelsen består i, at brugeren bekræfter den geografiske lokation af enheden. En bedre og sikker skærmlås er også ønsket.

Google lavede i 2008 en fem års plan, der fokuserede på to-faktor log-in, udfordringer ved log-in, OpenID og OAuth-protokollen, der skulle gøre det overflødigt for apps at bruge kodeord. Siden 2008 har det dog vist sig svært at få apps til at bruge OAuth-protokollen, og at OpenID ikke havde den ønskede udbredelse. Desuden tog planen fra 2008 ikke højde for den store brug af smartphones, som den nye plan gør.