Co je YubiKey a jak chrání přihlášení?
Autor: Redakce Domeny.ForSale Zveřejněno
Stručně: YubiKey je malý hardwarový bezpečnostní klíč od společnosti Yubico, který slouží k potvrzování přihlášení k účtům a službám. Při použití FIDO2 nebo U2F chrání před phishingem účinněji než ručně přepisované kódy, protože ověřuje, zda přihlášení probíhá na správném webu. Dva klíče mít nemusíte, ale záložní výrazně snižuje riziko ztráty přístupu, pokud hlavní klíč ztratíte nebo poškodíte.
Co je YubiKey a před čím chrání?
YubiKey připomíná malý USB flash disk, ale neslouží k ukládání dokumentů. Podle modelu jej připojíte k odpovídajícímu portu USB nebo přiložíte k telefonu a využijete NFC, tedy bezdrátovou komunikaci na krátkou vzdálenost. Konkrétní konektory a podporované funkce je potřeba ověřit před nákupem.
Klíč může sloužit jako druhý ověřovací faktor. Jde o další důkaz totožnosti vedle hesla: ten, kdo se pokouší přihlásit, musí nejen znát heslo, ale také mít přístup k fyzickému zařízení. Některé služby umožňují používat klíč i k přihlašování bez hesla.
Hlavním přínosem je ochrana před převzetím účtu, zejména pomocí phishingu — podvodného napodobení skutečné přihlašovací stránky. Neznamená to úplnou ochranu počítače: YubiKey není antivirus a automaticky nechrání před škodlivým softwarem ani krádeží již aktivní relace.
Jak funguje přihlašování pomocí YubiKey?
Při běžném použití klíč využívá FIDO2 nebo starší U2F — standardy pro ověřování totožnosti pomocí kryptografie. Při přidávání klíče k účtu vznikne pár kryptografických klíčů. Služba obdrží veřejnou část, zatímco soukromá část zůstává v zařízení.
Při přihlašování služba odešle výzvu, na kterou YubiKey připraví podepsanou odpověď. Prohlížeč a klíč tuto operaci svážou se správným webem. Podvodná stránka tak nemůže jednoduše zachytit odpověď a použít ji k přihlášení ke skutečné službě.
Z pohledu uživatele to obvykle vypadá takto:
- Otevřete web služby a zahájíte přihlašování.
- Pokud to dané nastavení vyžaduje, zadáte heslo.
- Připojíte YubiKey nebo jej přiložíte k telefonu.
- Na vyžádání zadáte PIN klíče a dotknete se jeho dotykové plošky.
Samotný dotyk obvykle potvrzuje fyzickou přítomnost uživatele, nikoli jeho totožnost na základě otisku prstu. Biometrické ověřování nabízejí jen vybrané modely, nikoli každý klíč YubiKey.
FIDO2 také umožňuje ukládat na kompatibilním klíči přístupové klíče neboli passkey, které slouží k přihlašování bez tradičního hesla. Dostupnost této možnosti závisí na modelu, službě a způsobu nastavení.
Co nabízí oproti SMS a ověřovací aplikaci?
Kód ze SMS i z ověřovací aplikace lze zadat na podvodné stránce a útočník jej pak může okamžitě zneužít. YubiKey při použití FIDO2 nebo U2F nevyžaduje přepisování takového kódu, a proto před tímto scénářem chrání lépe.
Příklad: obdržíte zprávu o údajném zablokování e-mailové schránky. Odkaz vede na přesvědčivou kopii přihlašovací stránky. Pokud tam zadáte heslo a aktuální kód z aplikace, podvodník se může pokusit převzít váš účet. Ověření FIDO na této kopii nebude fungovat stejně jako na skutečné stránce, protože má jinou adresu.
Ne každá funkce klíče YubiKey však poskytuje stejnou ochranu. Vybrané modely podporují také jednorázové kódy a další mechanismy. Výše popsaná odolnost vůči phishingu se vztahuje na přihlašování pomocí FIDO2 nebo U2F, nikoli na libovolné použití zařízení.
Klíč je zvlášť užitečný k ochraně hlavní e-mailové schránky, správce hesel, správcovských účtů a administrace u registrátora domén. Převzetí e-mailové schránky může umožnit resetování hesel v jiných službách. Převzetí účtu u registrátora zase může umožnit změnu nastavení, které směruje provoz webu a pošty.
Je potřeba mít dva klíče?
K používání služby obvykle stačí jeden klíč, ale dva představují rozumné záložní řešení. První používáte denně a druhý uchováváte na jiném bezpečném místě. Pokud nosíte oba na jednom kroužku, nechrání vás to před jejich současnou ztrátou.
Záložní klíč je nutné přidat ke každému účtu zvlášť. Nestane se automaticky kopií prvního klíče a nákup druhého až po ztrátě přístupu neobnoví předchozí registrace. Ověřte si také, zda služba umožňuje zaregistrovat více klíčů.
Pokud máte jen jeden YubiKey, zajistěte si jiný způsob obnovení přístupu k účtu. Mohou to být obnovovací kódy uložené mimo tento účet nebo jiná metoda, kterou služba umožňuje. Slabší záložní metoda však může oslabit ochranu celého účtu.
Pokud klíč ztratíte, přihlaste se záložní metodou a ztracené zařízení odeberte v nastavení zabezpečení. Samotná ztráta klíče nemusí znamenat převzetí účtu, ale neměli byste jej ponechávat jako aktivní způsob přihlašování.
Jak vybrat a bezpečně zprovoznit YubiKey?
Nejprve v oficiální dokumentaci svých nejdůležitějších služeb ověřte, zda podporují bezpečnostní klíče a případně i přihlašování bez hesla, pokud o ně stojíte. Poté v dokumentaci Yubico porovnejte konektory, NFC, standardy a kompatibilitu vybraného modelu se svým telefonem a počítačem. Samotný konektor, který do zařízení pasuje, nezaručuje podporu všech funkcí.
S nastavením začněte u jednoho důležitého účtu. Přidejte hlavní klíč, zaregistrujte záložní a uschovejte dostupné obnovovací kódy. Ještě před vypnutím ostatních metod si v samostatném okně prohlížeče ověřte, že se dokážete přihlásit každým klíčem a použít připravený záložní postup.
Přečtěte si také
