Vlákno názorů k článku
Záruku na úrovni Vysoká půjde s mojeID získat i s klíčenkou od Yubico od Robin77 - Danny, ty vyridis vse z gauce za pomoci...

Danny, ty vyridis vse z gauce za pomoci nejake identity obcana, nejakeho tokenu s nejakou urovni overeni.... Ja udelam to same tady v US bez vsech tech nesmyslu za x miliard vytunelovanych penez...

Tohle (biometrie) je fajn, pokud/dokud funguje.
Moje zkušenost je, že otisky prstů mi nechce správně (ověřitelně) brát skoro žádná čtečka (nechtějte vědět, jak jsem žádal o pas!), rozpoznání obličeje mne poznává asi tak mizerně, jako já práno před zrcadlem ten ksicht naproti, a CAPTCHA mne považuje za robota. ;oD
Jsem vděčný za technologie, které se bez té biometrie obejdou!

A jestli je něco jen záloha, tak pro mne je to ten věčně vybitej a někde zapomenutej mobil. Platební karty, občanský průkaz a klíče nezapomenu - to zůstává v kapse a doma to není třeba vytahovat. Pokud ale nechám v bundě mobil, bude vybitej, až bude potřeba. A když ho dám doma na nabíječku, nebude v té kapse, až bude potřeba...

Na danove priznani staci nizsi urovne a do vetsich interakci snad nebudu v dohledne budoucnosti donucen.

Ale zase jezdit pokaždé do Ameriky, když potřebuji něco zařídit ...

To ja samozrejme tez, ale cca 90 % te interakce je podavani priznani a na to vysoka uroven netreba, na to staci pristupy do DS. Ten zbytek interakce je typicky novy doklad a to se z gauce uplne neda bez ohledu na vysku pristupu. Jestli to dobre chapu, tak vysoka uroven je treba pro par specialit, ktere se me netykaji, jako napriklad zrizeni jakehosi majetkoveho uctu na statni dluh.
Navic osobne jsem nedavno byl na urade a aniz bych je chtel prechvalit, tak tam na me byly velmi mile a k zmatenemu chudakovi, ktery poradne netusi, kde je a co tam dela, ohleduplne.

Mám štěstí, že do takového hotelu nepojedu - telefon s sebou obvykle do zahraničí nevozím. (A kromě toho nemá NFC.) ;oD

Takze, jestli to chapu dobre, tak dneska je to u statnich dokladu stejne jako u bankovni karty, zazadate elektronicky a prijdou vam domu. Na pas si k vam na gauc prijdou urednici pro otisky nebo vam pooslou domu fotografa. To jsme mnohem dal, nez jsem si myslel. ;-)

Vetsinou tam je nejake FIDO/WebAuthn a tam je fakt jedno, jakeho vyrobce tokenu mate. Rozhodne si nevzpominam, ze by nekde s GoTrust tokenem byl problem. Konkretniho vyrobce bude vynucovany max. v ramci nejake korporatni politiky ve firme.

Já mám telefon na telefonování - a protože to je v mém případě minoritní forma komunikace, tak ho vlastně většinu času nepotřebuji.
Zato v práci musím strpět IPhone, kvůli aplikaci pro přihlašování (OTP) - což znamená to dát na nabíječku, zapnout, připojit BT klávesnici, zadat heslo k odemčení telefonu, olíznout (navlhčit) prsty - a pak konečně vygenerovat tu řadu čísel k opsání. Přijde mi, že použití nějakého USB/NFC tokenu by bylo mnohem pohodlnější a pravděpodobně i bezpečnější.

To je jak kdyby se kopac rozciloval nad znackou krumpace... :-)

Opravdu vam obcanku nebo ridicak prinesou na gauc? Ja jsem podobnou sluzbu nejak nebyl schopen dohledat ;-)

To je fajn, kdyz jsem se na nekterych sluzbach dival na moznosti 2FA, tak jsem se s podporou Yubikey od Yubico setkal mnohem casteji nez s GoTrust.

Ono to bude spíš tak, že nic jiného, než Yubikey (např. Yubikey) neznají a nemají otestované, takže to prostě neuvádějí.

Vic to nepotrebuje. Ale jen tlacitko to taky neni, jsou mista kde se mj. vynucuje zadani PINu, ktery je v tom tokenu ulozeny.

Tohle je zařízení mého zaměstnavatele: jeho telefon, jeho síť, jeho aplikace, jeho pravidla.
(Ostatně: jak bych se přihlásil do toho počítače, abych si vygeneroval kód pro přihlášení...? ;oD )

Mozna mate pravdu, ale je velmi casto zminovano vyslovne Yubikey, jestli je to vymahano, bych zjistil az po pripadne investici do Gotrustu a to se priznam, ze zas tak zvidavy jsem nebyl.

8. 3. 2024, 15:47 editováno autorem komentáře

Jsou sluzby, kde "vysoka" uroven overeni potreba je. Neni jich mnoho, ale na druhou stranu take zas tak moc prostredku mimo eOP neexistuje... aneb s BankID ostrouhate :-)

WebAuthn je super a na spoustě webů se přihlašuju už jen přes Touch ID. Klíčenky jsou trochu 1990s UX.

8. 3. 2024, 17:12 editováno autorem komentáře

Chápu, že to měla být nadsázka, ale v devadesátkách bylo takovéto ověřování rozhodně spíš "SF", než "UX". ;oD
Touch ID je možná fajn, ale rozhodně má své limity - jako každá biometrie - a není na to spolehnutí: i kdyby fungovalo 99 % lidí, stále by to jen ČR bylo velké krajské město těch, kterým nefunguje. Je prostě dobré mít nějakou zálohu.

Nemylim-li se, tak treba prave k tomu vysokemu mojeID by mel byt PIN treba.

9. 3. 2024, 08:23 editováno autorem komentáře

To provedení čistě tlačítko je pro tu nižší úroveň, tedy v podstatě potvrzujete, že něco máte (ke jménu a heslo).
Vyšší úroveň potřebuje ještě ten PIN, aby se ověřilo, že to něco má v rukou zrovna ten, komu to patří (kdo i něco zná - nad rámec hesla).

Do banky si clovek driv take musel chodit pro kartu... ;-) A dnes uz nemusi, ze?

A k tomu mi uplne staci systémový fingerprint nebo Face ID, kterým se prihlasuju do všech ostatních zařízení.
Ted je cas aby to okopirovali Windows/Linux laptopy. :)
Nebo to propojit s telefonem, který uz secure core i Face ID/Touch ID ma i na Androidech.

Yubikey je mrtvy, stejně jako plastove platební karty a RFID (kde ta adopce trvá, ale postupně i zámky doma/v hotelech budeme otvírat jen telefonem, nez pres RF tags nebo nedej boze klice. To bude jen zaloha.)

(Ja mam samozrejme i heslo od SSH pod Touch ID, atd. Jen je keychain unlocked, at to neotravuje :)

9. 3. 2024, 14:53 editováno autorem komentáře

Btw v Singapuru v jedne siti hotelu uz maji pristup pouze pres NFC pres telefon. V Thajsku zatim porad spis fyzické RF tagy. A v Cesku... klice. 3 generace za zbytkem sveta, stejne jako Yubi.

Tak radim spis jinou destinaci, protoze v SG uz se predpoklada platba metra hlavne pres Apple Pay/Google Pay :D
S penezma uz nic neudelate, jedine platebni kartou.

Ja si myslim, ze to je otazka casu. V Cine uz dnes maji pronajem powerbank na kazdem rohu, stejne jako pujcovny destniku pres appku.

Moana to bude par let trvat, ale bez telefonu nic nepujde. A nebo to bude vse 10x slozitejsi.

OTP se dá generovat i na počítači. Telefon vůbec netřeba. Generuji si takhle automaticky OTP kód pro VPN.

No mam oboji... :-) Gotrust na "vysokou" u MojeID uz davno, FIPSovy Yubikey5 jsem tam pridaval uz nekdy pred mesicem coby zalohu. Trosku zrada je, ze "obycejny" Yubikey5 tu L2 certifikaci nema, takze s nim se dosahne jen na "znacnou" uroven v pripade MojeID - i kdyz cip je tam stejny (SLE78).
Obecne se snazim mit vice registrovanych tokenu, pokud to sluzba umoznuje - spis je obcas problem, ze vic nez jeden token nedovoli - ale krome firemniho prostredi jsem na enforcovany typ nenarazil. Takze kde to jde ja mam vsecky ctyri tokeny - svuj historicky "modry" SecurityKey, Gotrust, a dva Yubikey5 (jeden FIPS a druhy "obycejny"). Netaham u sebe vsechny, ale chodit si doma na vesak pro klice s "primarnim" tokenem jsem taky liny... :-)

Tak ted z toho nejsem moudry, podle zpravicky i podle toho, jak jsem nic pochopil, by nemel byt FIPS treba, pisi i o mnohem levnejsim Security Key.
Tech tokenu je urcite rozumne mit vic, zejmena pokud sluzba typu MojeID nema rozumnou nahradu a to, predpokladam, nema, protoze si moc neumim predstavit, ze bych si s nizsi nez vysokou urovni (treba jmeno, heslo a overovaci app) mohl zaregistrovat novy token.
Kazdopadne se v tom mozna zbytecne vrtam, vetsina sluzeb nabizi jine moznosti overeni nez token nebo overeni tokenem vubec nepodporuje a vysoke MojeID zatim k nicemu nepotrebuji a je otazka, jake budou podminky a podporovane tokeny, pokud tato potreba nekdy v budoucnu nastane.

Ja teda nevim jak vy, ale ja radsi tu interakci se statem zrealizuju z pohodli sveho gauce v case, kdy se mi chce... a ne tak, ze se s nejakym papirem v ruce musim trmacet na nejaky urad v predepsanem case a koukat u toho na kysely xicht urednika :-) A samozrejme nikdy dopredu nevite, co budete potrebovat treba za pul roku... ale samozrejme nic vam nebrani s temi lejstry po uradech obihat :D

Ty fyzické RSA klíčenky na TOTP s displejem jsou určitě strašně staré. Yubi má jinak jen připojení a tlačítko.

Vidite a ja i tech zbylych 10% odbavim z gauce :-) A vy to stale hodnotite dle dnesniho statusu quo, a vubec si nepripoustite fakt, ze to za pet let muze byt jinak a tech mist vyzadujicich vysokou uroven overeni muze byt vic. Zatim tomu mj. aktivne brani nikoliv 100% penetrace obcanek s cipem, ale za par let tim budou vybaveni uz defacto vsichni... cervenec 2028 zas tak daleko neni, ze? ;-)

Nejen nemusí - oni ji ani jinak člověku nevydají!
Marně jsem vysvětloval, že posílat mi to poštou je blbost, když mi do schránky dají jen upozornění, abych si na poštu došel v těch pár hodinách týdně uprostřed mé pracovní doby... (Byl tu problém s vykrádáním schránek, tak peníze, karty a cennosti radši neroznáší.)

Tak zalezi na implementaci. Na Apple nemam nikdy problem.

V Thajsku třeba ty nejdražší bytové projekty používají face recognition pro vstup do budovy a pro výtah, a otisk prstu pro samotne bytové dveře. Dodává to Hikvision. Funguje to úplně skvěle, jako zaloha je RFID karta.

U tech RFID karet je vic moznosti, ted mam zamek Igloohome, který ma ještě cylindricky klic a tím se to da otevřít i bez karty a i když jsou vybite baterky. Plus to umí i kod, když není karta.
Jak si to kdo nainstaluje.

Samozrejme at si kazdy pouziva co chce, ani ta face recognition tam neni povinna :)

Jen ze Yubikey dneska ma malo výhod, pokud verim OS. A pokud neverim OS, tak je mi to stejně k ničemu.

Pokud by mi někdo tlačil iPhone, jdu jinam.

Zbytečná malichernost - stejně ho používám pouze jako OTP, jinak už jen k pravidelným aktualizacím iOS. Za to mi hledání si jiné práce nestojí.