Co to jest YubiKey?
Autor: Redakcja Domeny.ForSale Opublikowano
W skrócie: YubiKey to niewielki sprzętowy klucz bezpieczeństwa firmy Yubico, który służy do potwierdzania logowania do kont i usług. Przy użyciu FIDO2 lub U2F chroni przed phishingiem skuteczniej niż przepisywane kody, ponieważ sprawdza zgodność logowania z właściwą witryną. Nie musisz mieć dwóch kluczy, ale zapasowy wyraźnie zmniejsza ryzyko utraty dostępu po zgubieniu lub uszkodzeniu podstawowego.
Czym jest YubiKey i przed czym chroni?
YubiKey przypomina małą pamięć USB, ale nie służy do przechowywania dokumentów. Zależnie od modelu podłączasz go do odpowiedniego portu USB albo zbliżasz do telefonu przez NFC, czyli łączność na niewielką odległość. Dokładne złącza i obsługiwane funkcje trzeba sprawdzić przed zakupem.
Klucz może pełnić rolę drugiego składnika uwierzytelniania. To dodatkowy dowód tożsamości poza hasłem: osoba próbująca się zalogować musi nie tylko znać sekret, lecz także mieć dostęp do fizycznego urządzenia. Niektóre usługi pozwalają też używać klucza do logowania bez hasła.
Najważniejszą korzyścią jest ochrona przed przejęciem konta, zwłaszcza przez phishing — podszywanie się pod prawdziwą stronę logowania. Nie oznacza to pełnej ochrony komputera: YubiKey nie jest antywirusem i nie zabezpiecza automatycznie przed złośliwym oprogramowaniem ani kradzieżą już aktywnej sesji.
Jak działa logowanie z YubiKey?
W popularnym zastosowaniu klucz korzysta z FIDO2 lub starszego U2F — standardów potwierdzania tożsamości za pomocą kryptografii. Podczas dodawania klucza do konta powstaje para kluczy kryptograficznych. Usługa otrzymuje część publiczną, natomiast część prywatna pozostaje na urządzeniu.
Przy logowaniu serwis wysyła wyzwanie, na które YubiKey przygotowuje podpisaną odpowiedź. Przeglądarka i klucz wiążą tę operację z właściwą witryną. Dzięki temu fałszywa strona nie może po prostu przechwycić odpowiedzi i wykorzystać jej do zalogowania w prawdziwej usłudze.
Z perspektywy użytkownika wygląda to zwykle tak:
- Otwierasz stronę usługi i rozpoczynasz logowanie.
- Jeśli dana konfiguracja tego wymaga, wpisujesz hasło.
- Podłączasz YubiKey lub zbliżasz go do telefonu.
- Na żądanie wpisujesz PIN klucza i dotykasz jego pola kontaktowego.
Sam dotyk zwykle potwierdza fizyczną obecność użytkownika, a nie jego tożsamość na podstawie odcisku palca. Biometria jest funkcją wybranych modeli, nie każdego YubiKey.
FIDO2 umożliwia również przechowywanie na zgodnym kluczu poświadczeń passkey, czyli kluczy dostępu pozwalających logować się bez tradycyjnego hasła. To, czy taka opcja będzie dostępna, zależy od modelu, serwisu i sposobu konfiguracji.
Co daje w porównaniu z SMS i aplikacją?
Kod SMS i kod z aplikacji uwierzytelniającej mogą zostać wpisane na fałszywej stronie, a następnie natychmiast wykorzystane przez napastnika. YubiKey używany z FIDO2 lub U2F nie polega na przepisywaniu takiego kodu, dlatego lepiej broni przed tym scenariuszem.
Przykład: otrzymujesz wiadomość o rzekomym zablokowaniu poczty. Link prowadzi do przekonującej kopii strony logowania. Jeśli wpiszesz tam hasło i aktualny kod z aplikacji, oszust może spróbować przejąć konto. Uwierzytelnienie FIDO nie zadziała na tej kopii tak jak na prawdziwej stronie, ponieważ jej adres jest inny.
Nie każda funkcja YubiKey daje jednak identyczną ochronę. Wybrane modele obsługują również kody jednorazowe i inne mechanizmy. Odporność na phishing opisana powyżej dotyczy logowania przez FIDO2 lub U2F, a nie dowolnego użycia urządzenia.
Klucz jest szczególnie przydatny do ochrony głównej poczty, menedżera haseł, kont administratora oraz panelu rejestratora domen. Przejęcie poczty może umożliwić resetowanie haseł w innych usługach, a przejęcie konta domenowego — zmianę ustawień kierujących ruch do strony i poczty.
Czy trzeba mieć dwa klucze?
Zwykle jeden klucz wystarcza do korzystania z usługi, ale dwa to rozsądna konfiguracja awaryjna. Pierwszego używasz na co dzień, a drugi przechowujesz w innym, bezpiecznym miejscu. Noszenie obu na jednym breloku nie chroni przed ich jednoczesną utratą.
Zapasowy klucz trzeba osobno dodać do każdego konta. Nie staje się automatycznie kopią pierwszego, a zakup drugiego po utracie dostępu nie odtworzy wcześniejszych rejestracji. Sprawdź też, czy usługa pozwala zarejestrować kilka kluczy.
Jeśli masz tylko jeden YubiKey, zadbaj o alternatywną drogę odzyskania konta. Mogą to być kody odzyskiwania przechowywane poza tym kontem albo inna metoda dopuszczona przez usługę. Słabsza metoda awaryjna może jednak osłabić ochronę całego konta.
Po zgubieniu klucza zaloguj się metodą zapasową i usuń utracone urządzenie z ustawień bezpieczeństwa. Sama utrata klucza nie musi oznaczać przejęcia konta, ale nie należy pozostawiać go jako aktywnej metody logowania.
Jak wybrać i bezpiecznie uruchomić YubiKey?
Najpierw sprawdź w oficjalnej dokumentacji najważniejszych usług, czy obsługują klucze bezpieczeństwa oraz logowanie bez hasła, jeśli na nim ci zależy. Następnie porównaj w dokumentacji Yubico złącza, NFC, standardy i zgodność wybranego modelu ze swoim telefonem oraz komputerem. Samo złącze pasujące do urządzenia nie gwarantuje obsługi wszystkich funkcji.
Zacznij konfigurację od jednego ważnego konta. Dodaj klucz podstawowy, zarejestruj zapasowy i zachowaj dostępne kody odzyskiwania. Jeszcze przed wyłączeniem innych metod sprawdź w osobnym oknie przeglądarki, czy umiesz zalogować się każdym kluczem i skorzystać z przewidzianej ścieżki awaryjnej.
Zobacz też: Co to jest HAproxy?
Przeczytaj także
