| QRL | |
|---|---|
| Typ | Ochrana přihlášení k webu a ověřování |
| Autor | Steve Gibson |
| Vývojář | Steve Gibson |
| Operační systém | Křížová platforma |
| Jazyky rozhraní | 56 jazyků |
| Stát | Aktivně |
| Licence | OTEVŘENO |
| webová stránka | grc.com/sqrl/sqrl.htm |
SQRL nebo Secure, Quick, Reliable Login (vyslovováno jako „veverka“ /ˈskwɝl/ ) je otevřený standardní návrh pro bezpečné přihlašování a ověřování webových stránek . Software obvykle používá QR kód , který poskytuje autentizaci, kdy je uživatel identifikován anonymně, namísto poskytnutí uživatelského jména a hesla. Tato metoda je považována za imunní vůči heslům hrubou silou nebo únikům dat. SQRL navrhl Steve Gibson a jeho Gibson Research Corporation v říjnu 2013 jako způsob, jak zefektivnit proces ověřování bez poskytnutí jakýchkoli podrobností třetí straně.
Protokol je odpovědí na problém fragmentace identity . Vylepšuje protokoly jako oAuth a OpenID , které nevyžadují, aby třetí strana jednala jako prostředník, a neposkytují serveru třetí strany žádná bezpečnostní tajemství (uživatelské jméno nebo heslo). Kromě toho poskytuje standard, který lze volně použít ke zjednodušení procesu přihlašování do správce hesel, jako je LastPass . A co je důležitější, standard je otevřený, takže žádná společnost nemůže mít z vlastnictví této technologie prospěch.
Protokol používaný na webu vyžaduje dvě součásti:
V SQRL klient používá jednosměrnou funkci a jediné hlavní heslo uživatele k dešifrování tajného hlavního klíče. Klíč je generován v kombinaci s názvem webu (včetně názvu domény a volitelně dalšího dílčího identifikátoru[ neznámý termín ] site: "example.com", "example.edu/chessclub") (pod)site-specifický veřejný/soukromý pár klíčů. Používá kryptografický token se soukromým klíčem a dává veřejný klíč webu, aby mohl ověřit zašifrovaná data.
SQRL má některé konstrukční prvky v podobě záměrné ochrany proti phishingu , [1] ale je primárně určen pro autentizaci a ne jako „anti-phishing“, přestože má některé „anti-phishingové“ vlastnosti. [2]
Zkratku SQRL vymyslel Steve Gibson a protokol píše, diskutuje a analyzuje on sám a komunita nadšenců pro internetovou bezpečnost na diskusní skupině news.grc.com a během svého týdenního podcastu Security Now ! , 2. října 2013. Během dvou dnů od odvysílání podcastu W3C a Google projevily zájem o práci na standardu. [3]
Abstrakt SQRL byl analyzován a bylo zjištěno, že „toto se zdá být zajímavým přístupem, jak z hlediska zamýšlené uživatelské zkušenosti, tak z hlediska kryptografie. Celkově si SQRL v kryptografii vedl dobře.“ [čtyři]
Byla provedena řada implementačních důkazů pro různé platformy, včetně serveru:
A pro klienta:
Existují různé testovací a ladicí servery:
Steve Gibson uvádí, že SQRL je „otevřené a bezplatné, jak má být“. [13] Zatímco SQRL vyvolalo velkou pozornost autentizačnímu mechanismu založenému na QR kódu, navrhovaný protokol byl patentován ještě dříve a obecně by neměl být zpřístupněn pro použití ve veřejné doméně. [14] Ale Gibson říká: „To, co tito lidé dělají, jak je popsáno v patentu [15], se zásadně liší od toho, jak funguje SQRL, takže by mezi SQRL a jejich patentem nebyl žádný konflikt. Použitý 2D autentizační kód se na první pohled zdá být „podobný“ ... a navenek naprosto stejná řešení. Ale všechny detaily jsou velmi důležité a způsob, jakým SQRL funguje, je v detailech úplně jiný.“ [16]