A jelszómentes jövőn dolgozik a LastPass magyar csapata (x)

Hirdetés

A jelszavak a bennük rejlő sebezhetőséggel és a felhasználók frusztrációjával együtt lassan átadják helyüket a jelszómentességnek. Ebben az izgalmas folyamatban a LastPass magyarországi fejlesztői kulcsszerepet játszanak azzal, hogy olyan innovatív megoldásokat valósítanak meg, melyek fokozzák a biztonságot és zökkenőmentessé teszik a bejelentkezési folyamatot, bármilyen eszközről is legyen szó.

A világ egyik legnagyobb, független felhőalapú jelszókezelő szolgáltatójaként ismert LastPass tavaly vezette be a jelszó nélküli bejelentkezést a LastPass Authenticatoron keresztül magánszemélyek és vállalkozások számára is. A fejlesztés azonnal népszerűvé vált, már a megjelenése pillanatában ezer felhasználó kezdte el használni a funkciót, ezáltal is jelezve: minimális erőfeszítéssel és fokozott biztonsággal szeretnének belépni alkalmazásaikba.

A következő lépésre idén nyáron került sor, amikor a LastPass közölte, hogy a jelszó nélküli bejelentkezés a LastPass-ba mostantól bármilyen FIDO2 kompatibilis eszköz (például Windows Hello, Mac Touch ID szoftverkulcsok, és USB biztonsági kulcsok, mint a YubiKey vagy a Feitian) segítségével elérhető. A több mint 250 fős magyar bázist működtető jelszókezelő szolgáltató korábban azt is bejelentette: aktívan dolgozik rajta, hogy bevezesse a passkey, azaz azonosítókulcs támogatást, mely lehetővé teszi, hogy a felhasználók passkey-eket tudjanak tárolni a jelszókezelő széfjükben, és beléphessenek velük olyan weboldalakra, melyek támogatják ezt az azonosítási lehetőséget.

Összetett feladat egy profi csapatnak

A jelszó nélküli bejelentkezést és a FIDO2 támogatást a LastPass-nál egy tapasztalt front-end, back-end és teszt-automatizáló mérnökökből álló magyar csapat fejlesztette ki, amelyet UX-szakértők és technical writerek támogattak. A fő kihívást az jelentette, hogy a támogatott platformokon a zero knowledge architektúra megtartása mellett kellett eliminálni a mesterjelszót a bejelentkezési folyamatból.

Miután megvalósították a termékbe való jelszómentes bejelentkezést a LastPass Authenticatorral, a következő cél a FIDO2 eszköztámogatás lehetővé tétele volt. Mivel a LastPass fejlesztői úttörők voltak ezen a területen, és korlátozott mennyiségű szakmai dokumentáció állt rendelkezésükre, a fejlesztéssel párhuzamosan kellett kísérletezniük. A megvalósítási fázisban a csapat szorosan együttműködött mobil és desktop fejlesztőkkel, és a munkát a security csapatok is támogatták.

A mérnökök innovatív hozzáállása és szorgalma arra ösztönzi az egész csapatot, hogy mindig találjanak megoldást

-válaszolja Szabó Sándor, a LastPass Magyarország senior managere, szoftverfejlesztő mérnöke arra a kérdésre, hogy szerinte miért tud ennyire jól együtt dolgozni a magyar csapat.

Az üzleti felhasználók számára megvalósították azt is, hogy a rendszergazdák meghatározhassák, mely FIDO2 eszközöket engedélyezik a jelszómentes bejelentkezéshez. Ez segít az adminoknak abban, hogy megkövetelhessék ugyanazon FIDO2 eszközök használatát a LastPassban, mint az IT-infrastruktúrájuk más területein.

Az end-to-end tesztautomatizálás megvalósítása kihívás volt, hiszen nem minden böngészőtípus automatizálható a FIDO2 bejelentkezések szimulálására. Sajnos voltak olyan böngészők, ahol a FIDO2-vel kapcsolatos változásokat manuálisan kellett tesztelni, ami további kapacitást igényelt a csapat részéről.

A nettó fejlesztés hat-nyolc hónapot vett igénybe a tapasztalt szakemberek számára az első iterációig. Fontos elmondani, hogy ez nem a végső állapot: folyamatosan javítják és bővítik a funkciókat az analitikák és a felhasználói felmérések alapján.

A felhasználói igények továbbra is a fókuszban

A FIDO2 támogatás számos kérdés megoldását hozta magával, egyik közülük a platformhitelesítés. Elsősorban annak lehetővé tételét, hogy a felhasználó zökkenőmentesen tudjon bejelentkezni a különböző eszközein és operációs rendszereken (Mac kontra Windows). Valódi kihívást jelentett UX-oldalról, hogy kényelmes megoldást kellett létrehozni a több eszközt/több platformot használók számára. Szintén jelentős kérdés volt a böngészőfüggőség. Mivel a LastPass az összes főbb böngészőt támogatja, a fejlesztőknek meg kellett győződnie arról, hogy az összes FIDO2 felhasználói folyamat megfelelően működik ezeken.

A biztonságosabb online jövőért

Az olyan felhasználóbarát hitelesítési módszerek, mint a FIDO2, javítják a fiókok biztonságát, illetve magát a felhasználói élményt. A LastPass jelszómentes működése biztonságos MFA módszerek használatára épül, extra védelmet biztosít a fiókok számára. A funkciók megvalósítása során a kategóriájában legjobb FIDO2 szabványokat alkalmazták, és ez jelentősen csökkentheti az adathalászat és a social engineering (pszichológiai befolyásolás) lehetőségét és kockázatát.

A világ már most is rohamléptekkel halad abba az irányba, ahol az élet minden területén a jelszó nélküli megoldások kerülnek a középpontba. A magyarországi csapat ennek az izgalmas útnak már a közepén jár, és folyamatosan azon dolgozik, hogy felhasználóinak zökkenőmentes hitelesítési élményt nyújtson rendkívül biztonságos megoldásokkal.

A jövőben a LastPass Magyarországhoz csatlakozó, újításokra elszánt fejlesztő kollégák így olyan izgalmas innovációk megvalósítása által fejlődhetnek tovább, amelyek egy még biztonságosabb online világ megvalósítását teszik lehetővé.

Nézd meg most, milyen nyitott pozíciókkal vár a LastPass!

[A LastPass megbízásából készített, fizetett anyag.]

Ahelyett hogy értékelnéd, hogy tudnak alkalmazkodni. Elvesztették a jelszavakat, így rájöttek hogy azok gyűjtése nem jó ötlet, így előre menekülnek innovációval. Az is csoda, hogy nem rokkant bele a cég ebbe az eseménybe, így hihető hogy brutális motiváció van hogy hogyan építsenek újra bizalmat.

Engem konkrétan az érintett csapat vezetésével kapcsolatban kerestek meg - némi hezitálás után akkor léptem volna tovább ha a szakmai vezetést is megkapom.
Erre nem voltak nyitottak, mert a csapatban nincs erre szükség, önszerveződő. :)

Mivel jomagam is hasonlo pozicioban mozgok igy rendkivuli modon erdekelne valami konkretum, pontosan mit es hogyan vezetsz egy engineering teamen ha a szakmai reszbe nincs beleszolasod? Beallithatod a prioritasokat a sprint planningen? Mert a felsovezetes fele tartott preziket, meg az onnan jovo szar barikadozasat nehezen neveznem effektive vezetesnek :)
Esetleg a team kegyeskedik azt mondani onszervezodoen hogy most atterunk java-rol kotlinra mert ugy gondoljuk szakmailag, te meg tartsd a hatad felfele hogy 3 honapig miert 0 a team delivery-je a business fele? :)

Összeírtam azokat a feladatokat amit a szakmai munkámon és projekt-menedzsmentet felül végzek:

1. Fel kell mérnie hogy a csapatoknak elegendő kapacitása van-e a feladatok elvégzésére, amennyiben nem, vagy a feladatok mennyiségén / minőségén kell változtatni vagy új embereket kell felvenni
2. Utóbbi esetben ezt az üzlettel el kell fogadtatnia
3. Ehhez ismernie kell a munkaerőpiacot, tudnia kell hogy mennyibe fog kerülni és milyen értéket fog tudni előállítani
4. Létre kell hoznia a megfelelő profilt, recruitment folyamatot kialakítani, kapcsolatot tartani a headhunterekkel
5. Részt kell vennie az interjúkon, képesnek kell lennie szelektálni a jelölteket, el kell tudnia adni a céget a jelöltek felé
6. Segitenie kell az új kolléga beilleszkedését
7. Célokat kell kitüznie a csapattagok számára, ösztönözni és támogatni kell őket hogy ezeket képesek legyenek elérni
8. Ki kell dolgoznia valamiféle bér és bónuszstratégiát
9. Felmerülő belső és külső konfliktusokat kezelnie kell, képesnek kell lennie eladni a csapat és egyéni teljesitményt a vezetőség felé
11. Ha vannak külső beszállítók, meg kell szerveznie a kapcsolatot velük
10. Munkaidő, eszközök, projektórák adminisztrálása, budget kezelése
11. Felsővezetés, szolgáltató csapatokkal való kommunikáció

Ritka az olyan csillagállás hogy egy architect ezeket képes ellátni.

Alapvetoen nem is a betoressel van a fo gond, bar az is oriasi gaz, hanem a hogyan-al:

- megnyomtak egy dev hozzaferest

- honapok mulva kiderult hogy a megnyomott dev hozzaferesen keresztul hozzafertek az osszes prod menteshez

- miutan rajottek az egeszre utana meg egy ideig hazudoztak meg probaltak elkenni

- csak akkor vallottak be hogy mindent elvittek a faszba amikor mar elkezdtek feltunedezni a dark weben a kinyitott vault tartalmak

Szoval lehetnek a fejlesztok nagyon motivaltak (mint ahogy valaki irta itt a kommentekben), de az biztos hogy a vezetoseg, azt IT sec team illetve a belso policyk egy jo turhas kopedelem minoseget sem erik el, ami a ceg profiljat tekintve eleg nagy szegyen.
Sajnos nem ugy tunik hogy mindenki otthagyja oket es csodbe mennek, de ez utan a sztori utan pontosan ezt erdemelnek.

Sztálin azt mondta, ha nincs ember, nincs probléma sem. Valami ilyesmi gondolkodást érzek a háttérben jelszavakra vetítve. 

Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.

Nekem sose volt szimpatikus. Nálam alapelv, hogy az adatok, jelszavak nálam legyenek, ezért eleinte KeePassXC-t használtam, de annak nem tetszettek a függőségei, meg a GUI-ja kényelmetlennek érződött, lassúnak, így váltottam keepass-cli-re, de az meg eltört Arch-on állandóan a Perl függőségeinek a frissülésekor (valami crypto-rijandel modul, vagy hogy hívták). Így létrehoztam a saját gnugpg-t használó POSIX shell scriptet, ami egy plain text file-t kódol ki-be a memóriába (ramdrive-ról) egy mesterjelszóval, és abban van minden jelszavam, belépési adatom, nem csak Linuxon, de BSD-ken, MacOS-en is működik. Androidon meg az OpenKeyChain nevű ingyenes FOSS appal használom ugyanezt az adatbázist. Windows alatt is használható, de ott valami szutyok gnupgp App kell hozzá, mondjuk az egy kicsit gyopár, de működik, már nem is emlékszem a nevére, rég használtam Windows alatt. Talán valami Gpg4win a neve.

Így egyedi megoldást használok, amit nem nyomnak fel, az adatokat nem adtam ki a kezemből, eszközök között kézi másolással szinkronizálom. Ha valaki rá is teszi a kezét, akkor egy ismeretlen kiterjesztésű, 4 KB alatti titkosított fájlt kaparint meg (azt is csak a telefonról tudja, a PC-jeim mind titkosítottak hardveres SSD titkosítással), semmit nem fog kezdeni vele. 256 bit AES-sel van titkosítva, szándékosan, hogy szimmetrikus legyen a titkosítás, ne kelljen publikus meg magánkulcsokkal operálni, meg lejárattal szívni.

Szög egyszerű megoldás, mindig működik, mindenhol, 0 függőség (hiszen valamilyen GPG implementáció minden POSIX rendszeren van előtelepítve), sehol nem hagyott még cserben, nem szivárgott ki senkihez, nem tört el.

“Windows 95/98: 32 bit extension and a graphical shell for a 16 bit patch to an 8 bit operating system originally coded for a 4 bit microprocessor, written by a 2 bit company that can't stand 1 bit of competition.”

A gopass-t nem ismerem. A pass-t próbálgattam, mivel az lenne a unixos klasszikus megoldás, de mindenféle hülye tárolókat csinál magának, meg lehet asszimetrikus kulcsozni, állandóan kulcsokat importálni, generálni, nekem túl bonyolult volt, de abban igazad lehet, hogy én vagyok hozzá túl normi, és nem értem rendesen a működését. Természetesen a pass is egy megfelelő jelszókezelő, jobb, mint az online és fizetős megoldások.

“Windows 95/98: 32 bit extension and a graphical shell for a 16 bit patch to an 8 bit operating system originally coded for a 4 bit microprocessor, written by a 2 bit company that can't stand 1 bit of competition.”

( YleGreg | 2023. 10. 30., h – 15:56 )

Cegtol es termektol fuggetlenul, aki egy mondatban szerepelteti a biztonsag es a kenyelem szavakat, az szerintem vagy hazudik, vagy teved.

( nagyjoco | 2023. 10. 30., h – 16:15 )

A mérnökök innovatív hozzáállása és szorgalma arra ösztönzi az egész csapatot, hogy mindig találjanak megoldást

 

Fúbazdmeg.

Ha tartós rendszert építesz és okos csapatot nevelsz, akkor száz kiadásban sem érheti baj; ha csak a gépekre hagyatkozol, akkor egyszer jól jársz, máskor rosszul; de ha sem a rendszer nem bírja a terhet, sem a csapat nem tanul a hibákból, akkor minden egyes kiadás kockázat.

( uid_17626 | 2023. 10. 30., h – 20:44 )

Nagyon okos willsmithes meme, ha nincs jelszó, akkor azt nem lehet ellopni! ;)

( an-dee | 2023. 10. 31., k – 22:28 )

nem passwordless, hanem less password, a kettő nem ugyanaz.

az mindig jó ha a usernek van egy masterpass-a, belép, sso van mindenhol, a gépén windows hello (pin vagy fingerprint), aztán az első helyen ahol valami miatt kéne a jelszó, pl új gép, új mobil, hívja a supportot hogy nem tudom a jelszavamat.

az tény hogy igy tényleg nehéz lesz ellopni, tőle :)