one ring

[stas]

Отличная идея, кстати. Т.е. не хватает портативного ДНК-датчика, позволяющего идентифицировать носителя, но в общем, заменить все ключи, смарткарты и проч. одним RFID-кольцом было бы очень удобно.
И какой потенциал для коммерции! На смарткартах и ключах много денег не заработаешь - они всё время в кармане, да и хвастаться ключами как-то не очень принято. Конечно, есть брелки и т.п., но с кольцами даже в сравнение не идёт.

Comments

[cat_mucius]

Ха. У меня была та же идея пару лет назад - кольцо, RFID, цифровой сертификат. И даже те же аллюзии на Толкиена.

Проблема в следующем: представьте себе, что у Вас на пальце такое кольцо, Вы проходите мимо лэптопа / мобильника / бабкомёта и авторизируетесь на нём, _не зная об этом_ - а я затем спокойно пользуюсь им под Вашим аккаунтом. Аутентификация должна происходить при сознательном желании юзера, иначе он просто будет открывать двери для хакера, и даже не знать об этом.

Можно, конечно, заменить кольцо на перстень, добавив кнопочку, на которую юзер будет нажимать, или сдизайнить лэптопы и терминалы так, чтобы они запирались при пропаже сигнала - но это всё так, паллиативы. Blackberry, кстати, смастрячили что-то похожее - проблему невольной аутентификации они решили, потребовав вводить код для блютуса на лэптопе или смартфоне, но это сильно подрывает то удобство, которое подкупает в идее кольца.

[stas]

Эта проблема легко решается - авторизация выдаётся, например, только если прикоснуться другой рукой к 2 точкам на кольце. Разумеется, возможны и другие решения - идея в том, что авторизация, конечно, должна быть явной.

[cat_mucius]

Эта проблема легко решается - авторизация выдаётся, например, только если прикоснуться другой рукой к 2 точкам на кольце.

Это поможет лишь частично. Да, невольная авторизация не сможет произойти в любой момент. Но представьте себе, что в тот момент, что юзер касается кольца, чтобы залогиниться на какой-то компьютер, параллельно происходит ещё один криптообмен с другим терминалом, о котором юзер не подозревает. Радио-то во все стороны работает, а кольцо - устройство немое, с кем точно происходит обмен ключами - не покажет.

Причём даже необязательно, чтобы второй терминал находился в непосредственной близости от кольца - допустим, рядом с жертвой-кольценосцем находится ретранслятор, который тупо перекидывает радиосигналы между терминалом и кольцом. Причём от этой атаки не защищает самый совершенный криптопротокол - кольцо будет "видеть" совершенно законные запросы от находящегося "рядом" терминала, зашифрованные самыми правильными ключами. При этом за этим скрытым терминалом будет сидеть хакер и ждать, чтобы юзер его любезно залогинил.

Ещё одна попытка решения проблемы - можно научить кольцо обрывать контакт при попытке больше чем одной криптосессии одновременно и выдавать носителю аларм. Но и это обходится достаточно легко. Можно, скажем, подсунуть юзеру ложный терминал, который при попытке на него залогиниться выдаст "извините, что-то мне нездоровится" - юзер сплюнет и пойдёт дальше, но при этом с иным, скрытым терминалом, сессия пройдёт нормально, кольцо увидит ровно одну сессию, а кольценосец вскоре обнаружит, что его банковский счёт несколько похудел.