Hvorfor Qypher trengs, akkurat nå.

Nyheter om at personopplysninger har lekket fra en stor tjeneste er dessverre ikke lenger sjeldne. Årsakene som stadig nevnes er «gjenbrukte passord», «for enkle passord» og «passord stjålet gjennom phishing».

Dette skyldes ikke bare uforsiktighet fra brukerne. Passordet krever som mekanisme at et menneske holder på en hemmelighet som er «lang, kompleks, ulik for hver tjeneste — og likevel til å huske». Med et stadig økende antall tjenester er det nesten umulig å klare dette perfekt. Når et passord lekker fra én tjeneste, sprer skaden seg videre til alle andre tjenester der det samme passordet er gjenbrukt — det er derfor så mange lekkasjer blir så alvorlige.

Hos Qypher finnes det i utgangspunktet ikke noe «passord» som kan lekke

Å logge inn med Qypher innebærer ikke noe passord — ingen tegnstreng en person må huske. Det eneste som brukes, er ett enkelt Qypher-kort med en QR-kode trykt på. Hendelser som er unike for passord — «en husket hemmelighet blir stjålet», «en gjenbrukt hemmelighet lekker» — kan rett og slett ikke skje i dette designet.

Dette betyr selvsagt ikke at «med Qypher kan ingenting noensinne gå galt». Hvis du mister Qypher-kort, vil umiddelbar nyutstedelse deaktivere det gamle kortet med én gang. Det som teller, er selve designet — at ingen mennesker skal måtte bære på en hemmelighet som ville skape problemer hvis den lekket. Vi går dypere inn i denne tankegangen om sikkerhet senere, i fjerde artikkel.

Sosiale påloggingsalternativer som «Logg inn med Google» eller «Logg inn med Apple» er en praktisk mekanisme som brukes på mange nettsteder. Å kunne logge inn med en gang med en konto du allerede har, er en reell fordel.

Qypher forsøker ikke å konkurrere med denne mekanismen, men sikter mot en annen posisjon. Sosial pålogging binder deg til en konto hos en bestemt stor plattform. Qypher er derimot en uavhengig autentiseringsmekanisme som også fungerer for dem som ikke er medlem av noen bestemt plattform, eller som rett og slett tenker: «Jeg vil ikke overlate all min identifiserende informasjon samlet til ett enkelt selskap.»

Det Qypher verdsetter

• Nøytralitet: Den fungerer som en frittstående påloggingsmetode, uten å avhenge av kontoen til ett bestemt selskap.
• Allsidighet: Ett enkelt Qypher-kort kan brukes på tvers av flere, uavhengige tjenester som støtter Qypher.
• Åpenhet: Du kan selv sjekke og velge, hver gang, nøyaktig hvilke data som sendes til nettstedet du logger inn på.

Dette handler ikke om hvilken som er «best». Vi tror at flere valgmuligheter — avhengig av situasjonen og verdiene som betyr noe for deg — er bra, både for brukere og for de som driver nettsteder.

Nå som internettbruk rett og slett er en del av hverdagen, blir hendelser der barn ved en feil får tilgang til aldersbegrensede tjenester, eller ender opp med utilsiktede, dyre kjøp, i økende grad tatt opp som en samfunnsutfordring.

Qyphers aldersbekreftelse og foresatte-autentisering

Qypher bekrefter alder basert på en registrert fødselsdato, og for brukere under en viss alder er det utformet for å kreve autentisering eller samtykke fra foresatte. Dette betyr at et nettsted aldri trenger å «bygge sin egen identitets- og foresatte-verifiseringsmekanisme fra bunnen av», noe som gjør det langt lettere å spre hensynet til barns sikkerhet til flere tjenester.

Også for foresatte blir det lettere å holde oversikt over hvilke tjenester barnet logger inn på, noe som reduserer risikoen for at det havner et sted som ikke passer for alderen, uten at noen merker det.

Én felles mekanisme, til nytte for hele samfunnets trygghet

Hvis aldersbekreftelse og foresatte-autentisering kan finnes som en felles mekanisme, i stedet for å bli bygget separat av hver enkelt tjeneste, kan hensynet til å beskytte barn spre seg langt smidigere i hele bransjen. Det Qypher ønsker å være, er grunnlaget for en slik positiv sirkel.

Bare ordet «det er trygt» er kanskje ikke nok til å berolige deg. Her forklarer vi, så enkelt som mulig, tankegangen bak hvordan Qypher forblir robust.

Det finnes i utgangspunktet ingen «hemmelighet» verdt å stjele

Som nevnt i første artikkel, innebærer innlogging hos Qypher ikke noe passord som et menneske husker. Fordi det rett og slett ikke finnes noen «hemmelighet» en angriper kan ta sikte på, gjelder ikke vanlige angrepsmetoder — å stjele et passord, gjette det, utnytte gjenbruk av det.

Selv i verste fall lagres ingenting i en brukbar form

Databasen til Qypher lagrer aldri autentiseringsrelatert informasjon i en form som kan reverseres til originalen. Det som lagres, er bare data som har gjennomgått en enveis-transformasjon — som originalen ikke kan regnes tilbake fra. Personopplysninger som navn og adresse lagres også kryptert. Så selv om en del av dataene skulle havne i gale hender, kunne de ikke hentes ut i en direkte brukbar form.

Generering overlatt til maskinen — umulig å gjette

Informasjonen som brukes til innlogging genereres ikke ut fra forutsigbare faktorer som dato og klokkeslett — den produseres av en kryptografisk sikker tilfeldig tallgenerator. Siden det ikke er en tegnstreng en person har funnet på, finnes det ingen mønster å gjette seg frem til.

Sikkerheten til Qypher hviler ikke på å «holde mekanismen hemmelig» — den støttes, som vist her, av et design som holder stand selv når det gjøres offentlig. Hvis du er interessert i de tekniske detaljene, ta også en titt på siden vår for teknikere, «Sikkerhet».