Het protocol dat The Fast Identitiy Online (FIDO) Alliance voor ogen heeft moet inloggen op websites en applicaties of het bevestigen van transacties of gebruikersovereenkomsten veel veiliger maken dan nu gebeurt met traditionele wachtwoorden. Die zijn dan ook niet langer nodig.

Inloggen met een swipe

FIDO werkt op basis van een tweetraps-authenticatie. Enerzijds met een voor iedere gebruiker uniek 'geheim' (bijvoorbeeld de koppeling met het internetaccount) en anderzijds een login, dat zowel biometrisch, met usb of met een pincode kan. Zo kunnen gebruikers bijvoorbeeld met een 'swipe' van de vinger inloggen op een beveiligde webpagina.

Klik voor groot

Hierbij is altijd een browser plug-in nodig die informatie uitwisselt tussen de token en de FIDO- authenticatie server waar de website mee werkt. Het gevolg van de combinatie van meerdere mogelijke tokens zorgt ervoor dat de nieuwe standaard door één gebruiker op meerdere (mobiele) apparaten en platformonafhankelijk kan worden gebruikt. Daarbij wordt log-in data niet ergens op de back-end opgeslagen, wat diefstal moet voorkomen.

Aanvulling op bestaande protocollen

Volgens de bedenkers is FIDO geen alternatief voor bestaande standaarden SAML (Security Assertion Markup Language) en oAuth, maar juist een aanvulling. Ook wil FIDO niet concurreren met OpenID, maar wil het inloggen ook mogelijk maken met tokens van derden.

Naast PayPall en Lenovo maken ook de techbedrijven Agnitio, Infineon, Nok Nok Labs en Validity onderdeel uit van de Alliance, die hoopt dat het nieuwe protocol uiteindelijk door zo veel mogelijk websites wordt omarmd. Daarvoor moet het protocol de komende maanden eerst technisch worden dichtgetimmerd.

Volgens techsite the Register is de Amerikaanse standaardeninstituut NIST onder de indruk van het protocol. Volgende week donderdag volgt een seminar om meer techbedrijven enthousiast te maken voor deelname aan de Alliance.