SQRL

Протокол є відповіддю на задачу ідентичності фрагментації. Він покращує протоколи, такі як oAuth і OpenID, які не вимагають від третьої сторони виступати в ролі посередника і не надають серверу третьої сторони ніяких секретів захисту (ім'я користувача або пароль). Крім того, він забезпечує стандарт, який може бути вільно використаний для спрощення входу в менеджер паролів, наприклад LastPass. І, що ще більш важливо, стандарт є відкритим, тому жодна компанія не може мати вигоди з володіння цією технологією.

Приклад QR-коду, який створений для SQRL, може бути відсканований або перевірений на сайті на справжність.

Для протоколу, що використовується на сайті, необхідні дві складові:

• Реалізація, яка відображає QR-код або спеціально створену URL-адресу згідно з специфікацією протоколу, є частиною веб-сервісу, до якого здійснюється автентифікація.
• Плагін для браузера або для мобільного додатка, який може прочитати цей код в цілях забезпечення безпечної автентифікації.

У SQRL клієнт використовує односторонню функцію і єдиний майстер-пароль користувача для розшифрування секретного майстер-ключа. Ключ генерується в поєднанні з назвою сайту (включаючи доменне ім'я і, за бажанням, додатковий суб-ідентифікатор сайту: «example.com», «example.edu/chessclub») (суб) сайт-специфічну пару відкритий/приватний ключ. Він використовує криптографічний токен з закритим ключем і дає загальний ключ до сайту, так, що він може перевірити зашифровані дані.

SQRL має деякі конструктивні особливості у вигляді навмисного фішинг-захисту[1], але вона в основному призначена для перевірки автентичності, а не як «антифішинг», незважаючи на те, що має деякі «антифішинг» властивості.[2]

Абревіатуру SQRL придумав Стів Гібсон, а протокол складений, обговорений та проаналізований ним самим і спільнотою ентузіастів Інтернет-безпеки на news.grc.com в групі новин і під час його щотижневого подкасту, Security Now!, 2 жовтня 2013 року. Протягом двох днів після виходу в ефір цього подкасту, консорціум W3C і Google висловили зацікавленість в роботі над стандартом.[3]

Тези SQRL були проаналізовані і було виявлено, що «це, здається, цікавий підхід, як в плані передбачуваної роботи користувача, так і з точки зору криптографії. В цілому SQRL добре зарекомендував себе в криптографії».[4]

Ряд доказів принципової схеми реалізації був зроблений для різноманітних платформ, в тому числі і для сервера:

• PHP[5]
• Drupal[6]
• C# .NET[7]

І для клієнта:

• Android[8][9][10]
• C# .NET[7]
• Java[11]
• Python[12]

Існують різні сервери тестування і налагодження:

• https://www.grc.com/sqrl/demo.htm
• https://www.grc.com/sqrl/diag.htm
• https://web.archive.org/web/20150402131033/https://sqrl-test.paragon-es.de/
• https://web.archive.org/web/20150316131413/http://sw.squaltech.com:8080/

Стів Гібсон заявляє, що SQRL є «відкритим і безкоштовним, як це повинно бути».[13] У той час як SQRL викликав велику увагу до механізму автентифікації на основі QR-коду, запропонований протокол був запатентований ще раніше і, як правило, не повинен бути доступний для використання у вільному доступі.[14] Але Гібсон говорить: «Що ці хлопці, які роблять, як описано в патенті[15] в корені відрізняється від способів роботи SQRL, так що не було б ніяких конфліктів між SQRL і їх патентом. На перший погляд, використовувані 2D коди для перевірки справжності начебто „схожі“ … і зовні точно такі ж рішення. Але всі деталі дуже важливі, і способи роботи SQRL повністю відрізняються в деталях.»[16]

• Авторизація
• OAuth
• OpenID
• Single sign-on
• Ідентифікація (інформаційна безпека)

• Grc.com
• SQRL

• Grc.com
• Ghacks.net
• SQRL Illustrated Guide
• Techrepublic review: SQRL: A new method of authentication with QR codes
• «Authentication without Passwords Implementing SQRL» — Intel презентація Даніеля Холмлунда в 2014 «HTML5 з конференції розробників»
• www.sqrl.pl Google Play Store — тест реалізації SQRL