SQRL (pronunciat "squirrel") o Secure, Quick, Reliable Login (anteriorment Secure QR Login) és un esborrany d'estàndard obert per a l'inici de sessió i l'autenticació segura de llocs web. El programari normalment utilitza un enllaç de l'esquema sqrl:// o opcionalment un codi QR, on un usuari s'identifica mitjançant una prova de coneixement zero pseudònim en lloc de proporcionar un ID d'usuari i una contrasenya. Es creu que aquest mètode és impermeable a un atac de contrasenya de força bruta o a una violació de dades. Desplaça la càrrega de la seguretat de la part que sol·licita l'autenticació i l'acosta a la implementació del sistema operatiu del que és possible al maquinari, així com a l'usuari. SQRL va ser proposat per Steve Gibson de Gibson Research Corporation a l'octubre de 2013 com una manera de simplificar el procés d'autenticació sense el risc de revelació d'informació sobre la transacció a un tercer.
Història L'acrònim SQRL va ser encunyat per Steve Gibson i el protocol va ser redactat, discutit i analitzat en profunditat per ell mateix i una comunitat d'entusiastes de la seguretat a Internet als grups de notícies news.grc.com i durant el seu podcast setmanal, Security Now!, el 2 d'octubre de 2013. En els dos dies posteriors a l'emissió d'aquest podcast, el W3C va expressar el seu interès per treballar en l'estàndard.
Els desenvolupadors de Google Cloud Platform, Ian Maddox i Kyle Moschetto, van esmentar SQRL al seu document "Modern Password Security for System Designers".
Una tesi sobre SQRL va analitzar i va concloure que "sembla ser un enfocament interessant, tant pel que fa a l'experiència d'usuari prevista com a la criptografia subjacent. SQRL combina principalment criptografia ben establerta d'una manera innovadora".
Beneficis El protocol és una resposta a un problema de fragmentació d'identitat. Millora protocols com ara OAuth i OpenID en no requerir que un tercer gestioni la transacció i en no donar a un servidor cap secret per protegir, com ara el nom d'usuari i la contrasenya.
A més, proporciona un estàndard que es pot utilitzar lliurement per simplificar els processos d'inici de sessió disponibles per a les aplicacions de gestió de contrasenyes. El més important és que l'estàndard és obert, de manera que cap empresa es pot beneficiar de la propietat de la tecnologia. Segons el lloc web de Gibson, una tecnologia tan robusta hauria de ser de domini públic perquè la seguretat i la criptografia es puguin verificar, i no restringir-se deliberadament per motius comercials o d'altra índole.
Proteccions contra la suplantació d'identitat (phishing) SQRL té algunes defenses contra el phishing inherents al disseny i intencionades, però està pensat principalment per a l'autenticació, no per a l'antiphishing, tot i tenir algunes propietats antiphishing.
Exemple de cas d'ús Perquè el protocol s'utilitzi en un lloc web, calen dos components: una implementació, que forma part del servei web al qual s'autentica la implementació, que mostra un codi QR o una URL especialment dissenyada segons les especificacions del protocol, i un complement del navegador o una aplicació mòbil, que pot llegir aquest codi per tal de proporcionar una autenticació segura.
El client SQRL utilitza funcions unidireccionals i la contrasenya mestra única de l'usuari per desxifrar una clau mestra secreta, a partir de la qual genera –en combinació amb el nom de domini del lloc i opcionalment un identificador de sublloc addicional: per exemple, example.com o example.edu/chessclub un parell de claus pública/privada específica del (sub)lloc. Signa els tokens de transacció amb la clau privada i proporciona la clau pública al lloc, de manera que pot verificar les dades xifrades.
No hi ha "secrets compartits" que un compromís del lloc web podria exposar per permetre atacs a comptes d'altres llocs. L'única cosa que un atacant amb èxit podria obtenir, la clau pública, es limitaria a verificar signatures que només s'utilitzen al mateix lloc. Tot i que l'usuari desbloqueja la clau mestra amb una única contrasenya, mai surt del client SQRL; els llocs individuals no reben cap informació del procés SQRL que es pugui utilitzar en cap altre lloc.
Implementacions de SQRL S'han fet diverses implementacions de prova de concepte per a diverses plataformes.
Per al servidor C#.NET Drupal Vés PHP Pitó WordPress
Per al client Android C#.NET iOS Java Pitó Rovella
Per al navegador Firefox
També hi ha diversos llocs web de proves i depuració disponibles al servidor.
Aspectes legals Steve Gibson afirma que SQRL és "obert i gratuït, com hauria de ser", i que la solució "no està subjecta a patents". Després que SQRL prestés molta atenció als mecanismes d'autenticació basats en codis QR, el blogger Michael Beiter va dir que el protocol suggerit havia estat patentat anteriorment i, per tant, no estava disponible generalment per a ús lliure de drets d'autor. La patent en qüestió (que no caduca fins al 2030) va ser sol·licitada i concedida a l'empresa espanyola GMV Soluciones Globales Internet SA (una divisió de la corporació tecnològica i aeroespacial GMV Innovating Solutions, amb seu a Madrid), entre el 2008 i el 2012 per les oficines de patents dels Estats Units, la Unió Europea, Espanya i Portugal.
Gibson va respondre: "El que fan aquests nois tal com es descriu en aquesta patent és completament diferent de la manera com funciona SQRL, de manera que no hi hauria cap conflicte entre SQRL i la seva patent. Superficialment, qualsevol cosa que utilitzi un codi 2D per a l'autenticació sembla 'similar'". ... i superficialment totes aquestes solucions ho són. Però els detalls importen, i la manera com funciona SQRL és completament diferent en els detalls."
Referències
Categoria:Protocols d'Internet