Objaśnienie KS 3.3.8: Dostępne uwierzytelnianie (minimum) (poziom AA)

Testy funkcji poznawczych

Zapamiętanie hasła specyficznego dla danej witryny jest testem funkcji poznawczych. Wiadomo, że takie testy są problematyczne dla wielu osób z problemami poznawczymi. Niezależnie od tego, czy chodzi o zapamiętywanie losowych ciągów znaków, czy też wykonywanie gestów na ekranie dotykowym, testy funkcji poznawczych wykluczą niektóre osoby. W przypadku korzystania z testu funkcji poznawczych musi być dostępna co najmniej jedna inna metoda uwierzytelniania, która nie jest testem funkcji poznawczych.

Jeśli w procesie uwierzytelniania jest więcej niż jeden krok, na przykład w przypadku uwierzytelniania wieloskładnikowego, wszystkie kroki muszą być zgodne z tym kryterium sukcesu. Musi istnieć ścieżka uwierzytelniania, która nie opiera się na testach funkcji poznawczych.

Możliwość odzyskania lub zmiany adresu e-mail i hasła jest ważną częścią uwierzytelniania. Jeśli użytkownik uwierzytelnia się za pomocą alternatywnych informacji w celu odzyskania konta, musi istnieć metoda, która nie jest testem funkcji poznawczych.

Wiele organizacji jest zobowiązanych do stosowania uwierzytelniania dwuskładnikowego, które łączy niezależne źródła w celu potwierdzenia tożsamości użytkownika. Źródła te mogą polegać na łączeniu uwierzytelniania poprzez:

• wiedzę (np. hasło, litery w haśle lub zapamiętana ścieżka przeciągnięcia);
• (np. posiadanie kodu weryfikacyjnego wygenerowanego lub odebranego na urządzeniu lub zeskanowanie kodu QR na urządzeniu zewnętrznym);
• dane biometryczne (np. skanowanie odcisków palców, rozpoznawanie twarzy lub dynamika naciśnięć klawiszy).

Większość metod uwierzytelniania opartych na wiedzy opiera się na teście funkcji poznawczych, więc muszą być dostępne mechanizmy pomagające użytkownikom. Gdy uwierzytelnianie polega na wykonaniu czynności na oddzielnym urządzeniu, powinno być możliwe wykonanie tej czynności bez konieczności przepisywania informacji. Może nie być możliwe poznanie metod uwierzytelniania opartych na urządzeniach dostępnych dla użytkownika; oferowanie wyboru metod może pozwolić im wybrać ścieżkę, która najbardziej im odpowiada.

Metody uwierzytelniania

Strony internetowe mogą wykorzystywać wprowadzanie nazwy użytkownika (lub adresu e-mail) i hasła jako metodę uwierzytelniania, jeśli autor zezwoli programowi użytkownika (przeglądarkom i menedżerom haseł innych firm) na automatyczne wypełnianie pól. Ogólnie rzecz biorąc, jeśli formularz logowania spełnia kryterium sukcesu 1.3.5 Określenie pożądanej wartości, a kontrolki formularza mają odpowiednią dostępną nazwę zgodnie z kryterium sukcesu 4.1.2 Nazwa, rola, wartość, program użytkownika powinien być w stanie niezawodnie rozpoznać pola i automatycznie je wypełnić. Jeśli jednak program użytkownika jest aktywnie blokowany przed wypełnieniem pól (na przykład przez skrypt), wówczas strona nie spełni tego kryterium, ponieważ uniemożliwia działanie mechanizmu.

Kopiuj i wklej

Kopiowanie i wklejanie pozwala uniknąć przepisywania. Użytkownicy mogą skopiować swoje dane logowania z lokalnego źródła (takiego jak samodzielny menedżer haseł innej firmy) i wkleić je w polach nazwy użytkownika i polach hasła w formularzu logowania lub w internetowych interfejsach wiersza poleceń z prośbą o podanie hasła. Zablokowanie możliwości wklejania danych do pól uwierzytelniania lub użycie innego formatu między skopiowanym tekstem a polem wprowadzania (na przykład „Wprowadź trzeci, czwarty i szósty znak swojego hasła”) zmusiłoby użytkownika do przepisania informacji, a tym samym nie spełniłoby tego kryterium, chyba że dostępna jest inna metoda.

Systemy uwierzytelniania dwuskładnikowego (kody weryfikacyjne)

Oprócz nazw użytkowników i haseł, niektóre witryny mogą korzystać z uwierzytelniania dwuskładnikowego, prosząc użytkownika o wprowadzenie kodu weryfikacyjnego (zwanego również kodem dostępu lub hasłem jednorazowym). Usługa wymagająca ręcznego przepisania kodu weryfikacyjnego nie zapewnia zgodności. Podobnie jak w przypadku nazw użytkowników i haseł, użytkownik musi mieć możliwość przynajmniej wklejenia kodu (np. z samodzielnego zewnętrznego menedżera haseł, aplikacji do obsługi wiadomości tekstowych lub klucza bezpieczeństwa opartego na oprogramowaniu) lub umożliwienia programom użytkownika automatycznego wypełniania pól.

Istnieją scenariusze, w których kod weryfikacyjny musi zostać odebrany lub wygenerowany na urządzeniu dodatkowym. Na przykład uwierzytelnianie w przeglądarce internetowej na laptopie wymaga kodu weryfikacyjnego, który jest wysyłany jako wiadomość tekstowa SMS na telefon komórkowy. Jednak w większości przypadków możliwe jest wysłanie kodu bezpośrednio na urządzenie główne, gdzie można go skopiować i wkleić (na przykład kopiując kod na urządzeniu dodatkowym i wysyłając go e-mailem na urządzenie główne lub korzystając ze współdzielonego schowka między urządzeniami, w którym kopiowanie treści na urządzeniu dodatkowym udostępnia ją do wklejenia na urządzeniu głównym). Ocena, czy kod można płynnie przenieść z urządzenia dodatkowego na urządzenie podstawowe, wykracza poza zakres tego kryterium sukcesu. Do celów oceny treści internetowych, które opierają się na uwierzytelnianiu przy użyciu tego typu systemów urządzeń dodatkowych, zakłada się, że zapewniona jest możliwość udostępniają kodu w schowku użytkownika. Ocena tego kryterium wymaga zatem jedynie sprawdzenia, czy zawartość strony internetowej umożliwia wklejenie zawartości schowka w powiązanym polu wyzwania uwierzytelniania.

Należy pamiętać, że systemy dwuskładnikowe, które nie opierają się na kodach - w tym sprzętowe urządzenia uwierzytelniające (takie jak YubiKey), aplikacje pomocnicze (na tym samym urządzeniu głównym lub na urządzeniu dodatkowym), które oczekują od użytkownika potwierdzenia, że to rzeczywiście on próbuje się zalogować, oraz metody uwierzytelniania zapewniane przez system operacyjny użytkownika (takie jak Windows Hello lub Touch ID/Face ID w macOS i iOS) - nie są testem funkcji poznawczych.

Rozpoznawanie obiektów

Jeśli CAPTCHA jest używane jako część procesu uwierzytelniania, musi istnieć metoda, która nie obejmuje testu funkcji poznawczych, chyba że spełnia wyjątek. Jeśli test opiera się na czymś ustawionym przez stronę internetową, takim jak zapamiętywanie lub przepisywanie słowa lub rozpoznawanie obrazu dostarczonego przez stronę internetową, byłby to test funkcji poznawczych. Rozpoznawanie obiektów lub obrazków dostarczonych przez użytkownika jest testem funkcji poznawczych, jednak jest on wyłączony na poziomie AA.

Obiekt w tym kontekście oznacza ogólną angielską definicję („materialna rzecz, którą można zobaczyć i dotknąć”) i może obejmować pojazdy i zwierzęta. Jeśli test wykracza poza rozpoznawanie (np. pomnożenie liczby kotów przez liczbę psów), nie spełnia to wyjątku.

Niektóre formy rozpoznawania obiektów mogą wymagać zrozumienia konkretnej kultury. Na przykład taksówki mogą wyglądać inaczej w różnych miejscach. Jest to problem dla wielu osób, w tym osób z niepełnosprawnościami, ale nie jest on uważany za kwestię związaną z dostępnością.

Niektóre CAPTCHA i testy funkcji poznawczych używane do uwierzytelniania mogą pojawiać się tylko w określonych sytuacjach, takich jak obecność blokerów reklam lub po wielokrotnym wprowadzeniu nieprawidłowego hasła. Kryterium to ma zastosowanie w przypadku korzystania z tych testów, niezależnie od tego, czy są one używane za każdym razem, czy tylko uruchamiane przez określone scenariusze.

Istnieje szereg technologii, które można zastosować, aby zapobiec nadużyciom procesu uwierzytelniania przez skrypty.

• 1.1.1. Dostęp ograniczony limitem
• 1.1.2. Geolokalizacja klienta
• 1.1.3. Uwierzytelnianie metodami zapewniającymi prywatność

Żaden z tych systemów nie jest w 100% skuteczny. Mogą one jednak zmniejszyć prawdopodobieństwo wyświetlenia CAPTCHA.

Treść osobista

Treści osobiste są czasami wykorzystywane jako drugi czynnik uwierzytelniania. Na przykład, w ramach tworzenia konta użytkownik mógłby przesłać zdjęcie, a podczas logowania zostałby poproszony o wybranie tego zdjęcia spośród kilku możliwych alternatyw. W tym przypadku należy zadbać o zapewnienie odpowiedniego bezpieczeństwa, ponieważ nieuprawnieni użytkownicy mogą być w stanie odgadnąć prawidłową treść osobistą, gdy zostanie im przedstawiony wybór.

Treści osobiste oparte na tekście nie kwalifikują się do tego wyjątku, ponieważ opierają się na przypominniu sobie (a nie rozpoznawaniu) i wpisaniu (a nie wybieraniu elementu). Podczas gdy treści osobiste oparte na obrazach nadal będą stanowić barierę dla niektórych osób, wersje tekstowe stanowią znacznie większą barierę.

Ukrywanie znaków

Innym czynnikiem, który może przyczyniać się do obciążenia poznawczego, jest ukrywanie znaków podczas pisania. Chociaż to kryterium wymaga, aby użytkownicy nie musieli wpisywać (transkrybować) hasła, istnieją scenariusze, w których jest to konieczne, takie jak tworzenie hasła do zapisania przez menedżera haseł. Zapewnienie funkcji opcjonalnego wyświetlania hasła może zwiększyć szansę powodzenia dla niektórych osób z problemami poznawczymi lub osób, które mają trudności z dokładnym wpisywaniem.

Techniki wystarczające

1. G218: Uwierzytelnianie linków e-mail
2. H100: Zapewnienie odpowiednio oznaczonych danych wejściowych e-mail i hasła
3. Udostępnianie WebAuthn jako alternatywy dla nazwy użytkownika/hasła (potencjalna przyszła technika)
4. Zapewnienie logowania strony trzeciej przy użyciu OAuth (potencjalna przyszła technika)
5. Korzystanie z dwóch technik w celu zapewnienia uwierzytelniania dwuskładnikowego (potencjalna przyszła technika)

Błędy

Poniżej wymieniono typowe błędy, które Grupa Robocza WCAG uważa za naruszenie tego kryterium sukcesu.

1. F109: Niespełnienie kryterium sukcesu 3.3.8 i 3.3.9 z powodu uniemożliwienia ponownego wprowadzenia hasła lub kodu w tym samym formacie.