Autentifikazio irisgarria ez al da hain segurua?

Web Content Accessibility Guidelines jarraibideek (Web Edukiaren Irisgarritasun Jarraibideak) betekizun berriak ezartzen dituzte autentifikazio bat irisgarritzat jotzeko. 'Autentifikazio irisgarria' lortzeko irizpideek debekatu egiten dute autentifikazio-prozesuan elementu kognitiboak soilik erabiltzea, nahiz eta salbuespen batzuk dauden.

Web-orrien diseinatzaileek eta programatzaileek teknika ugari dituzte eskura irizpide horiek betetzeko. Eraginkorrenetako bat sarbide-protokolo delegatuak erabiltzea da, hala nola Open Authorization (OAuth), edo beste irtenbide batzuk, web-autentifikazioa (Web Authn) kasu, eta horrek galdera garrantzitsu bat dakar: Eragina al dute irtenbide horiek segurtasunean?

Erantzuna, jakina, kasu bakoitzean nola inplementatzen den araberakoa da. Ikus ditzagun webgune baten garatzaileek kontuan hartu beharreko puntu batzuk.

Autentifikazio irisgarriko metodoek segurtasuna hobe dezakete, erabiltzaileei kalterik egin gabe

Zehaztasun pixka bat emateko, ‘’OAuth’’ protokoloan jarriko dugu arreta, orain arteko protokolo seguruenetako batean. OAuth teknika irisgarri bat da, erabiltzaileek beren datuak sartu, erregistratu edo saioa azkar hasi ahal izan dezaten, beste webgune batzuetatik ateratako kredentzialak erabiliz (adibidez, Google edo Facebookeko datuak)

''Sarbide seguru'' horrek pribatutasuna eta segurtasuna hobe ditzake. Ez du datuak edo pasahitzak buruz ikasteko beharrik, eta horrela segurtasuneko funtsezko arazo bat kentzen du. Security.org-ek egindako ikerketa baten arabera, AEBko helduen % 68k pasahitz bera erabiltzen dute kontu guztietan, eta hori ez da batere egokia segurtasunari dagokionez

Erabiltzaile bakoitzeko identifikazio-erregistroak sortzeak nahi gabeko ezabaketak ekar ditzake, kanpoko eragileen eraginez. OAuth aukera erosoagoa, irisgarriagoa eta seguruagoa da, plataforma guztietan pasahitz bera erabiltzearekin alderatuta. Hala ere, teknologia hori behar bezala erabiltzen bada bakarrik har daiteke kontuan.

   - OAuth segurua da, ondo eta zentzuz erabiltzen denean

Duela gutxi, Salt laborategiko segurtasun-ikertzaileek aurkitu zuten OAuth-en inplementazioek arazoak dituztela, eta ehunka webguneko milioika erabiltzaileri eragin diezaieketela. Webgune garrantzitsu batzuek gaizki kudeatzen dute bezeroen sarbidearen egiaztapena; horrek hackerrak erakar ditzake eta erabiltzaileen informazio pribatua haien esku utzi. 

OAuth-en arazoa, larria izan arren, inplementazio-akatsetan dago batez ere, ez teknologiaren gabezietan. Horregatik, aldizkako auditoriak eta berrikuspenak egitea, irisgarritasun-txostenak sortzeaz gain, lehentasuntzat hartu behar da enpresaren segurtasunaren eta pribatutasunaren arloan. Garatzaileek eskura dauden jardunbide onenak aplikatu behar dituzte edozein baimen-protokolo inplementatzean.

OAuth-en kasuan, hauek dira jardunbide horietako batzuk:

• Muturretik muturrerako babesa, saio-hasieren, baliozkotze-eskaeren edo bestelakoen kopurua mugatuz

• Transport Layer Security (TLS) edo Secure Socket Layer (SSL) protokoloaren azken bertsioa erabiltzea

• Sarbide-baimenen irismena ezartzea, behar diren aldietan bakarrik sartzen utziz

• Beharrezkoak ez diren edo erabiltzen ez diren erregistroak ezabatzea

Kontuan izan behar dugu hau ez dela jardunbide onen zerrenda osoa. OAuth nola inplementatuko dugun arretaz aztertu behar da aldez aurretik, eta sistema bakoitzera egokitu. Argi gera dadin, hori bera aplikatzen zaio edozein autentifikazio-metodori.

WCAGek ez du autentifikazio-irtenbide jakin bat eskatzen irisgarria izateko

Azpimarratu behar da WCAG 2.2 jarraibideek ez dutela derrigortzen OAuth, Web Authn edo beste programa espezifikorik erabiltzea irtenbide bat aurkitzeko. Aitzitik, funtzio kognitiboak eskatzen dituzten elementuen erabilera-maiztasuna mugatzean jartzen dute arreta, web-diseinu irisgarrian.

Baliteke akats horretan erortzen aritzea, erabiltzaileei pasahitza idazteko ohiko metodoa erabiltzen uzten badiezu, horrek buruz ikasi beharra dakarrelako eta, beraz, funtzio kognitibo bat. Hala ere, zure saio-hasierako pantailak erabiltzaileei pasahitza kopiatu eta itsasten uzten badie, WCAG 2.2ren oinarrizko betekizunak beteko zenituzke.

Halaber, captchen eta egiaztapen bikoitzaren erabilera berrikusi beharko zenuke, segurtasunaren eta irisgarritasunaren arteko oreka aurkitzeko.

Robert