За життя

Дочка підігнала сир Брюност з Норвегії. Двох видів, і обидва мають яскравий смак та післясмак солоної карамелі. Оскільки солону карамель ми дуже любимо і поважаємо, то сир для нас неймовірно смачний. Я і не знав, що так можна  було -  цукор та цукерки я не їм, а тут сир, тут можна.

Придбав собі на погратися пристрій Yubikey 5 NFC з USB-C роз'ємом.

Що воно таке - це комбінований пристрій для автентифікації. Працює як PassKey (новомодне слово від ябла, що означає ключ протоколу FIDO2), а також підтримує PIV (тобто, можна завантажити туди сертифікати з ключем та PGP ключі), та OTP кількох видів. Тут цікаво - туди можна завантажувати seed'и, але для генерації звісно потрібен зовнішній додаток від Yubico.

В аспекті входу PassKey/FIDO виступає першим і єдиним способом авторизації, тобто якщо використовується Passkey, то вводити чи виконувати інші додаткові дії непотрібно.

До телефону під'єднується або через роз'єм або по NFC. І той і інший способи працюють та є помірно зручними (звісно, NFC зручніший, бо основа пристрою розміром з двоєврову монету, його просто прикладаєш до телефону і все). Підозрюю, що по NFC працюватиме лише FIDO, а не PIV/OTP, але потрібно перевірити.

В десктоп він втикається по USB-C. В принципі, теж зручно і у фізичній системі працює, але у віртуальній машині VMWare мені не вдалося його використати для авторизації в Google - не працювало як слід.

Щоб підтвердити авторизацію, слід натиснути сенсорну кнопку на пристрої. Є ще модель з біометрією, але там немає NFC. Враховуючи, що в мене для біометрії є читач в комп'ютері та в телефоні, вигоди від біометрії в ключі жодної, а коштує вона вдвічі дорожче.

Вигоди та невигоди такі самі як в будь-яких апаратних ключів - його можна загубити, його можуть вкрасти, його можна забути на столі в офісі тощо. Вигоди в тому, що він носиться, що його можна комусь передати за потреби, і що не потрібно вводити пароль.

Водночас, зараз смартфони підтримують Passkey, тому головна перевага саме Yubikey залишається в тому, що його можна прямо або непрямо передати іншому для використання без ризику його копіювання.
Щоб з такого ключа була користь, потрібно ширше поширення підтримки такого способу авторизації. Але тут теж-таки виникає така колізія - більшість сайтів підтримують вхід через обліковий запис google / microsoft / facebook, а ті всі підтримують ключі а також підтвердження через мобільний пристрій. Тому за великим рахунком вхід через мобільний телефон, здається, має ширші перспективи.

Але, як не дивно, підтримка ключів саме в десктопних додатках (я знаю, що вони відмирають) може мати сенс. Там, де паролі використовуються для входу в додаток та захисту якихось даних, можна генерувати сесійний пароль, яким і шифрувати дані. А далі вже шифрувати сесійний пароль  або ключем, виведеним з пароля користувача, або за допомогою ключа на такому пристрої. Мав би бути цікавий механізм, який можна переносити між пристроями (що важливо, оскільки в DPAPI ключ лежить в системі і перенесенню не підлягає).  

Volkswagen - ще одні неонацисти. В Cupra є Wifi, bluetooth, мобільний інтернет і точка доступу ... все працює. Є також Android Auto та Apple Car Play, як через кабель так і Wireless. Так от, Wireless режим для східної Європи (знаю про Румунію, Словаччину та Польщу) заблоковано. Його можна розблокувати пристроєм через OBD, що люди і роблять.

Для внутрішніх потреб компанії встановив on-premises рішення для зберігання паролів. Архітектура та інтерфейс десь в районі середини 90-их (ймовірно, і сам продукт розвивається з тих часів), хоча рішення дуже потужне. Купа інструкцій з налаштування, зав'язка на Active Directory та MS SQL. Рішенню явно потрібно, щоб в компанії був окремий password administrator.