Chceme, aby lidé přestali používat hesla, říká viceprezident Googlu

Heslo je pro většinu lidí synonymem zabezpečení na internetu. A také noční můrou. Vybrat bezpečné, unikátní a silné heslo pro každou službu je obtížné. I pak jsou navíc uživatelé vystavení útokům podvodníků, kteří z nich heslo zkouší vylákat.

„Nemyslím si, že by ochrana dat měla být ponechána na uživateli,“ míní Phil Venables, viceprezident pro bezpečnost společnosti Google. U příležitosti otevření nového bezpečnostního centra ve Španělsku mi popsal, jak konkrétně si budoucnost bez hesel představuje a proč je optimistický ohledně zapojení umělé inteligence.

Co by měli všichni – i běžní uživatelé – vědět o bezpečnosti v on-line světě?

Věřím, že je důležité nastavit správně výchozí zabezpečení. To je jeden z nejlepších způsobů, jak uživatele uchránit. Také je důležité, abychom postupně upustili od hesel jako hlavního způsobu zabezpečení.

Proto postupně více a více nabízíme přechod na tzv. přístupové klíče (passkeys). To je silnější forma ověření než hesla. Což znamená, že značně omezíme útočníkům možnost ukrást někomu identitu, nebo jinak kompromitovat cizí data.

Moje rada je: používejte takové služby, které jsou silně zabezpečené už v základu. Velké firmy, jako třeba my a Mandiant, sledují dění po celém světě, a mohou tak dobře čelit hrozbám. Tím můžeme fungovat jako jakýsi imunitní systém.

Když budeme v této metafoře pokračovat, jak byste uživatele naočkoval, aby se lépe chránili?

Vlastně si nemyslím, že by měla být ochrana dat práce pro běžné uživatele. To je naše práce, abychom udělali produkty maximálně bezpečné. Abychom nabídli přirozenou ochranu.

Některé phishingové útoky jsou opravdu velmi chytré. Nemůžeme čekat, že lidé takto sofistikované podvody sami odhalí. Proto také prosazujeme odchod od hesel a přechod na bezpečnější bezpečnostní klíče.

Chceme, aby bylo samotné ověření identity odolné vůči útokům. Místo toho, abychom uživatele učili rozpoznávat phishing, tak je zcela vyjmeme z toho rybníku, ve kterém útočníci loví. Když tam není žádné heslo, není ani způsob, jak toho uživatele nachytat na dálku.

Většina lidí, myslím, tomu konceptu tzv. přístupových klíčů nerozumí. Pomohl byste nám to vysvětlit?

Ve spojení s FIDO Alliance a dalšími organizacemi jsme dali dohromady otevřené standardy, pomocí kterých je možné nahradit hesla bezpečnější formou ověření. Původně se jednalo o hardwarové kryptografické klíče, které jste připojili ke svému zařízení a tak jej jednoznačně identifikovali jako své zařízení.

Ale po pár letech jsme museli uznat, že ne každý bude chtít takovou věc používat. Lidé s sebou nechtějí nosit další zařízení. Ale nyní můžete jak na telefonech s Androidem, tak na telefonech s Apple mít softwarovou verzi tohoto klíče. Váš počítač se pak domluví s vaším telefonem a váš telefon slouží jako klíč. Nikdo vás pak nemůže „ulovit“, protože to ověření nemůže útočník napodobit.

Tento koncept navazuje na dvoukrokové zabezpečení pomocí kódu, který lidé opisují z mobilní aplikace?

To jsme zavedli už dávno, ale teprve nedávno jsme z toho udělali výchozí nastavení. Od té doby využívání této možnosti strmě vzrostlo.

Pamatuji si, že před pěti lety Google zavedl ověření pomocí hardwarového klíče interně.

Ano, máme po světě více než 180 tisíc zaměstnanců a všichni máme povinně bezpečnostní hardwarové klíče. A od té doby prostě nemáme případy, kdy by se někdo naboural do nějakého zaměstnaneckého účtu. Všem firmám doporučujeme, aby se zabezpečily podobně. Záměrně si ty technologie nenecháváme pro sebe a preferujeme otevřené standardy. Chceme, aby všichni mohli stavět bezpečnější internet.

Vnímáte nějaký rozpor mezi transparencí a soukromím? Zjednodušeně řečeno, pokud všem ukážete, jakým způsobem data chráníte, nesnižujete tím sílu takové ochrany?

To tak vůbec nevnímám. Jsme velkými fanoušky a podporovateli open-source (používání softwaru, který využívá veřejně známý a svobodně použitelný zdrojový kód, pozn. red.), což je velice, velice transparentní. Sami jsme stáli u zrodu řady iniciativ. Naše datová infrastruktura podléhala a podléhá řadě auditů. Nemáme nic tajného, naopak, podporujeme open-source přístup.

Klienti mají přístup k záznamům o tom, co se s jejich daty dělo, dokonce i do serverových logů (záznamům o operacích na serveru, pozn. red.). Navíc máme i řešení nazvané externí klíče. Zákazníci si mohou spravovat své vlastní šifrování, a Google pak do jejich dat vůbec nevidí. To je ta nejvyšší míra jistoty. Věřím, že když se bezpečnost dělá správně, tak může být plně transparentní.

V počítačové bezpečnosti se pohybujete už přes 20 let. Jak byste popsal změny, kterými toto odvětví prošlo? Je dnes internet nebezpečnější místo?

Útoky na internetu jsou dnes nepochybně sofistikovanější a agresivnější. Často o sobě říkám, že jsem pesimistou v krátkodobém výhledu, ale optimistou v tom dlouhodobém. Rozhodně je hodně firem, které by měly lépe zabezpečit své sítě.

Je řada firem, které přešly na silné zabezpečení. To je jeden z důvodů, proč jsem přešel do firmy nabízející cloudové prostředí. Došlo mi, že jen přechodem na cloudové technologie může firma razantně zvýšit svou odolnost vůči útokům.

Neříkám, že firmy jsou pak vůči útokům úplně imunní, ale útočníci se rozhodně musejí více snažit, nasadit dražší techniky. Většina útočníků nejdou po konkrétním cíli, ale hledají nejslabší článek. Chcete, abyste byli pro útočníky tak neatraktivní a drahý cíl, že půjdou jinam. A když obecně zvedneme zabezpečení všech uživatelů, tak je odstavíme od jejich příjmů.

Jak si myslíte, že se do bezpečnosti na internetu promítnou nové technologie založené na umělé inteligenci?

Hodně investujeme do ochrany běžných uživatelů ve službách, jako je Gmail, a mnoha dalších. Využíváme k tomu už více než deset let umělou inteligenci, především tradiční přístupy jako hluboké učení neuronových sítí, ne tedy tu novou generativní AI.

Pomocí těchto nástrojů denně chráníme miliardy lidí. Analyzujeme webové stránky, abychom ověřili, jestli tam nejsou odkazy na falešné weby nebo škodlivé programy. Detekujeme spam a malware, to všechno dělají nástroje umělé inteligence.

Ale ta generativní inteligence už umí docela děsivé věci. Jsou podle vás lidé připraveni na to, že nyní nemohou věřit ostatním lidem třeba na základě hlasu?

Rozhodně to urychlí tempo některých dnes již používaných podvodů a útoků. Budou tu lepší podvody psané lidem na míru. Právě proto si myslíme, že je potřeba ochránit uživatele tím, že je ověříme jinak než pomocí hesla.

Jsou tu i další typy útoků skrze lidský faktor (tzv. social engineering), tam dá generativní umělá inteligence útočníkům možnost tvořit přesvědčivé kampaně v mnoha různých jazycích. Řekl bych ale, že i pro obránce je tu minimálně stejné množství příležitostí. Umělou inteligenci lze využít ke kvalitnější detekci těchto útoků.

Míváte jako viceprezident pro bezpečnost telefonáty od rodiny, abyste jim pomohl nastavit počítač?

Dříve ano, teď už ne. Už jsou soběstační.

Naletěl jste někdy na nějaký podvod on-line?

Ne, nenaletěl.

Nebo o tom nevíte.

Už dlouho používám opravdu silné metody ověření. A požaduji to od všech služeb, od své pojišťovny, od své banky, aby nabízely zabezpečenou komunikaci. Musel jsem kvůli tomu změnit poskytovatele, nebudu samozřejmě jmenovat, ale pokud nenabízí silné kvalitní zabezpečení, je čas se ohlédnout jinde. Ve všech ohledech zkrátka preferuji bezpečnost, což asi nikoho nepřekvapuje.

Čím dál víc se zabezpečení běžných uživatelů blíží úrovni, která by ještě nedávno vypadala jako ze špionážního filmu. Měli by si lidé také připravit tajné fráze, jako mají špióni pro komunikaci pod tlakem?

Ano, v naší rodině jsem to zavedl. Máme tajnou frázi, kterou si pamatujeme. Kdyby mi zavolal nějaký umělou inteligencí vygenerovaný hlas, který by zněl jako můj syn, a tvrdil by, že jej někdo unesl a chtějí výkupné… Tak já se zeptám, jaké je tajné číslo. A pokud jej nezná, vím, že je to podvod.

A pokud by to byl pravý telefonát, ale jen zapomněl číslo, tak je to jeho chyba…

Každých pár týdnů děláme rodinný nácvik nouzového protokolu. Takže si to všichni pamatují.