Протокол обмена учетными данными (CXP) и формат обмена (CXF)

Ключи доступа быстро становятся золотым стандартом в онлайн-аутентификации, предлагая безопасную, устойчивую к фишингу альтернативу традиционным паролям. Поддерживаемые FIDO Alliance, ключи доступа основаны на стандартах WebAuthn и FIDO2 и используют криптографию с открытым ключом для устранения рисков кражи учетных данных.

Но по мере ускорения внедрения возникла ключевая проблема: Как импортировать или экспортировать ключи доступа между разными провайдерами — скажем, из Bitwarden в 1Password или из iCloud Keychain от Apple в Google Password Manager?

В отличие от паролей, у ключей доступа нет формата, который можно было бы легко экспортировать или импортировать. Это отсутствие совместимости создает неудобства для пользователей и увеличивает риск привязки к поставщику.

Именно здесь на помощь приходят два новых стандарта:

• Протокол обмена учетными данными (CXP): определяет безопасный механизм для передачи ключей доступа между провайдерами.

• Формат обмена учетными данными (CXF): определяет стандартизированный формат данных для самих учетных данных, таких как ключи доступа, данные кредитных карт или коды TOTP.

Вместе CXP и CXF призваны сделать переносимость ключей доступа не просто возможной, а безопасной, гибкой и удобной для пользователя. В этой статье мы ответим на следующие вопросы:

1. Что такое протокол обмена учетными данными (CXP) и как он работает?

2. Что такое формат обмена учетными данными (CXF) и как он выглядит?

3. Каково текущее состояние разработки протокола обмена учетными данными и формата обмена учетными данными?

По мере того как все больше пользователей и организаций внедряют ключи доступа, остается одна критическая проблема: перенос учетных данных между платформами. В отличие от паролей, которые можно экспортировать в виде простого текста или CSV-файлов (что небезопасно), ключи доступа основаны на криптографических парах ключей. Это делает импорт/экспорт гораздо более сложным и чувствительным.

Вот что в настоящее время не работает в миграции ключей доступа:

• Отсутствие стандартного формата: В отличие от CSV для паролей, у ключей доступа нет универсального представления. Каждый провайдер хранит их по-своему.

• Небезопасная передача: В некоторых редких попытках поддержать миграцию учетные данные экспортировались в незашифрованных форматах, что создавало серьезные риски для безопасности (см. это обсуждение на GitHub).

• Сбои при миграции: Без единой структуры миграция ключей доступа между провайдерами может завершиться неудачей, что приведет к потере учетных данных или заставит пользователей заново создавать ключи доступа.

• Блокировка политиками: Корпоративные среды могут полностью отключать экспорт учетных данных, опасаясь небезопасной передачи или проблем с совместимостью.

• Привязка к поставщику: Без надежных способов экспорта ключей доступа пользователи оказываются привязанными к своему текущему провайдеру, что подрывает свободу пользователя и конкуренцию.

Эта проблема не гипотетическая, она существует уже сейчас. Поскольку люди используют несколько устройств, браузеров и приложений для управления ключами доступа, необходимость импортировать ключи доступа из одной экосистемы и экспортировать в другую становится неотложной.

Именно поэтому в начале 2023 года ведущие игроки, такие как 1Password, Dashlane, Bitwarden и NordPass, объединились для создания прототипа решения. Результатом стала совместная работа по определению открытых стандартов для безопасного обмена учетными данными — протокола обмена учетными данными (CXP) и формата обмена учетными данными (CXF).

Для решения проблем миграции ключей доступа появились два взаимодополняющих стандарта: протокол обмена учетными данными (CXP) и формат обмена учетными данными (CXF). Поддерживаемые лидерами отрасли, включая Apple, Google, Microsoft и 1Password, эти спецификации призваны сделать импорт и экспорт ключей доступа безопасным, стандартизированным и совместимым.

Протокол обмена учетными данными (CXP) — это спецификация, которая определяет безопасный метод передачи учетных данных между двумя провайдерами учетных данных / ключей доступа. В настоящее время это рабочий проект в рамках FIDO Alliance, его дизайн все еще находится в разработке, но он направлен на создание стандартизированного и безопасного канала для экспорта учетных данных от Отправителя и их импорта Получателю.

Хотя детали еще не окончательны, ожидается, что протокол будет использовать гибридное шифрование с открытым ключом (HPKE) для обеспечения сквозного шифрования учетных данных во время передачи. Эта надежная криптографическая основа защитит конфиденциальные данные от перехвата или подделки.

Предполагается, что CXP будет особенно важен для сторонних провайдеров, таких как менеджеры паролей, для облегчения обмена учетными данными между различными платформами, например, между расширениями браузера. В таких сценариях потребность в стандартизированном и высокозащищенном транспортном протоколе является критической. Поскольку он все еще находится на ранней стадии разработки, его окончательная форма и сроки стандартизации неясны, по оценкам, это произойдет в начале 2026 года.

Формат обмена учетными данными (CXF) определяет, как структурированы сами учетные данные для обмена. В настоящее время он находится в статусе проекта на рассмотрении, что означает, что он близок к завершению в качестве стандарта.

В отличие от CXP, который занимается безопасной передачей, CXF фокусируется исключительно на формате данных. Он определяет стандартную структуру на основе JSON для различных типов учетных данных, гарантируя, что учетные данные, экспортированные от одного провайдера, могут быть правильно поняты другим.

CXF определяет типы для:

• Ключей доступа (public-key-credential)
• Паролей (password)
• Секретов TOTP (totp)
• Заметок (note)

Этот стандартизированный словарь — ключ к совместимости. Например, Apple и Google уже используют CXF для передачи учетных данных между нативными приложениями на одном устройстве. Поскольку передача происходит локально, специальный транспортный протокол, такой как CXP, не требуется.

Стандартизируя структуру, CXF устраняет такие проблемы, как несоответствие форматов или частичная потеря данных во время миграции. Он также расширяем по своей сути, что позволяет добавлять новые типы учетных данных в будущих версиях без нарушения обратной совместимости.

По состоянию на конец 2024 года и протокол обмена учетными данными (CXP), и формат обмена учетными данными (CXF) достигли разных стадий зрелости, имея за собой сильную поддержку со стороны отрасли.

Разработка CXP и CXF координируется через FIDO Alliance при активном участии крупных игроков, таких как Apple, Google, Microsoft, 1Password, Bitwarden и Dashlane.

Такое широкое сотрудничество свидетельствует об общей приверженности идее сделать переносимость ключей доступа реальностью. Фактически, несколько компаний уже внедряют решения на основе черновиков:

• Apple и Google будут использовать CXF для передачи учетных данных между приложениями на одном устройстве.
• Сторонние менеджеры паролей создают прототипы на основе ранних черновиков CXP, чтобы подготовиться к безопасному межплатформенному обмену.

Две спецификации находятся на разных этапах разработки:

• Формат обмена учетными данными (CXF) находится на стадии проекта на рассмотрении. Ожидается, что он будет окончательно утвержден в качестве официального стандарта до конца 2024 года.
• Протокол обмена учетными данными (CXP) является рабочим проектом. Его путь к стандартизации длиннее, с возможным выпуском в начале 2026 года, поскольку отзывы сообщества интегрируются для обеспечения его надежности и безопасности для межплатформенных сценариев использования.

Проекты спецификаций общедоступны на веб-сайте FIDO Alliance, и отзывы от разработчиков активно поощряются для их доработки перед финализацией.

Для поддержки ранних экспериментов и планирования внедрения экосистема ключей доступа теперь включает:

• Отладчик Passkeys: Платформа, которая помогает отлаживать запросы WebAuthn в понятной форме.

• Сообщество Passkey: Сообщество разработчиков программного обеспечения и менеджеров по продукту, обсуждающих вопросы, связанные с ключами доступа.

• Сабреддит Passkey: Специализированный сабреддит для обсуждения новостей о ключах доступа и WebAuthn, включая CXP и CXF.

• passkeys.eu: Инструменты для тестирования, позволяющие разработчикам проверять потоки WebAuthn и поведение ключей доступа.

• Черновик CXP на GitHub: Полная структура сообщений протокола и криптографический поток.

• Черновик CXF на GitHub: Структура ZIP-файла и формат упаковки учетных данных.

Хотя CXP и CXF еще не полностью стандартизированы, они явно находятся на пути к тому, чтобы стать последним недостающим элементом в пазле ключей доступа, обеспечивая безопасный и бесшовный импорт/экспорт для пользователей и организаций.

Протокол обмена учетными данными (CXP) и формат обмена учетными данными (CXF) возникли из-за необходимости сделать импорт и экспорт ключей доступа безопасным и бесшовным. Но их потенциал на этом не заканчивается.

Эти стандарты создают основу для передачи любых конфиденциальных учетных данных между провайдерами — безопасно, надежно и на разных платформах. Это открывает двери для более широких сценариев использования в области идентификации, аутентификации и даже для учетных данных, выданных государством.

Одной из самых больших проблем при текущем внедрении ключей доступа является привязка к поставщику. Без возможности безопасного переноса учетных данных пользователи часто оказываются привязанными к своему первоначальному провайдеру, даже если их потребности меняются.

С CXP и CXF мы движемся к по-настоящему совместимой экосистеме ключей доступа, где пользователи и предприятия могут:

• Свободно переносить ключи доступа между провайдерами

• Избегать создания дубликатов учетных данных

• Упрощать переходы между устройствами и платформами

Это напрямую поддерживает выбор потребителя, способствует конкуренции и укрепляет доверие к модели ключей доступа.

Как сказал Кристиан Бранд, менеджер по продукту группы по идентификации и безопасности в Google:

«В будущем это может применяться к мобильным водительским удостоверениям, паспортам — любым секретам, которые вы хотите экспортировать куда-либо и импортировать в другую систему».

Представьте себе безопасную передачу:

• Ключей доступа (public-key-credential)

• Секретов TOTP (totp)

• Платежных данных (credit-card)

• Государственных удостоверений личности (identity-document)

все через один и тот же стандартизированный механизм обмена. Это будущее, которое помогают формировать CXP и CXF.

С превращением зашифрованного обмена проверяемыми учетными данными в норму, организации наконец-то смогут отказаться от небезопасного экспорта в CSV, избежать подверженных ошибкам ручных процессов и внедрять политики, ориентированные на шифрование, для всей обработки учетных данных.

Будь то в потребительской сфере, корпоративном IT или системах идентификации государственного сектора, этот сдвиг повышает стандартный уровень безопасности без ущерба для удобства использования.

Протокол обмена учетными данными (CXP) и формат обмена учетными данными (CXF) представляют собой критическую эволюцию в экосистеме ключей доступа. Устраняя давние пробелы в миграции учетных данных, они предлагают безопасную, стандартизированную основу для импорта и экспорта ключей доступа между различными платформами и провайдерами. В то время как CXF стандартизирует «что» (формат данных), а CXP — «как» (безопасную передачу), вместе они прокладывают путь к истинной переносимости ключей доступа.

Благодаря широкой поддержке со стороны лидеров отрасли и растущей динамике в сообществе FIDO, эти спецификации готовы устранить один из последних серьезных барьеров на пути к внедрению ключей доступа: переносимость.

Для разработчиков и организаций, создающих системы на основе ключей доступа сегодня, опережение CXP и CXF — это не просто обеспечение будущего, это создание лучших пользовательских впечатлений, более строгой безопасности и большей гибкости.

В Corbado мы внимательно следим за этими разработками и помогаем предприятиям внедрять ключи доступа в больших масштабах — без привязки к поставщику, проблем с миграцией пользователей или компромиссов в безопасности. По мере созревания экосистемы мы будем одними из первых, кто поддержит потоки на основе CXP/CXF, чтобы сделать безопасный обмен учетными данными реальностью.

Ключи доступа уже здесь. CXP и CXF помогут им распространиться повсюду.