Wat is YubiKey en hoe beschermt het je?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: YubiKey is een kleine fysieke beveiligingssleutel van Yubico waarmee je het inloggen op accounts en diensten bevestigt. Met FIDO2 of U2F beschermt hij beter tegen phishing dan codes die je moet overtypen, doordat wordt gecontroleerd of de inlogpoging bij de juiste website hoort. Twee sleutels zijn niet verplicht, maar een reservesleutel verkleint het risico dat je de toegang verliest als je hoofdsleutel kwijtraakt of beschadigd raakt aanzienlijk.
Wat is YubiKey en waartegen beschermt het?
YubiKey lijkt op een kleine USB-stick, maar is niet bedoeld om documenten op te slaan. Afhankelijk van het model steek je hem in de juiste USB-poort of houd je hem bij je telefoon voor verbinding via NFC, een techniek voor draadloze communicatie op korte afstand. Controleer vóór aankoop welke aansluitingen en functies het model precies heeft.
De sleutel kan dienen als tweede authenticatiefactor. Hij levert naast je wachtwoord een extra identiteitsbewijs: wie probeert in te loggen, moet niet alleen het wachtwoord kennen, maar ook over het fysieke apparaat beschikken. Bij sommige diensten kun je de sleutel ook gebruiken om zonder wachtwoord in te loggen.
Het belangrijkste voordeel is bescherming tegen accountovername, vooral door phishing: het nabootsen van een echte inlogpagina. Dat betekent niet dat je computer volledig beschermd is. YubiKey is geen antivirusprogramma en beschermt niet automatisch tegen schadelijke software of het kapen van een al actieve sessie.
Hoe werkt inloggen met YubiKey?
Een veelgebruikte toepassing van de sleutel maakt gebruik van FIDO2 of het oudere U2F: standaarden om je identiteit met cryptografie te bevestigen. Wanneer je de sleutel aan een account toevoegt, wordt een cryptografisch sleutelpaar aangemaakt. De dienst ontvangt de publieke sleutel; de privésleutel blijft op het apparaat.
Bij het inloggen stuurt de dienst een controleverzoek, waarop YubiKey een digitaal ondertekend antwoord maakt. De browser en de sleutel koppelen deze handeling aan de juiste website. Daardoor kan een nepwebsite het antwoord niet zomaar onderscheppen en gebruiken om bij de echte dienst in te loggen.
Voor de gebruiker verloopt dit meestal als volgt:
- Je opent de website van de dienst en begint met inloggen.
- Als de gekozen configuratie dat vereist, voer je je wachtwoord in.
- Je sluit YubiKey aan of houdt hem bij je telefoon.
- Wanneer daarom wordt gevraagd, voer je de PIN van de sleutel in en raak je het contactvlak aan.
Die aanraking bevestigt meestal alleen dat de gebruiker fysiek aanwezig is, niet diens identiteit aan de hand van een vingerafdruk. Biometrie is een functie van bepaalde modellen en is niet beschikbaar op elke YubiKey.
Met FIDO2 kun je op een geschikte sleutel ook passkeys opslaan: toegangssleutels waarmee je zonder traditioneel wachtwoord kunt inloggen. Of die mogelijkheid beschikbaar is, hangt af van het model, de dienst en de configuratie.
Wat zijn de voordelen ten opzichte van SMS en een app?
Een SMS-code of een code uit een authenticatie-app kun je op een nepwebsite invoeren, waarna een aanvaller deze direct kan gebruiken. Bij YubiKey met FIDO2 of U2F hoef je zo’n code niet over te typen. Daardoor biedt deze methode betere bescherming tegen dit scenario.
Een voorbeeld: je ontvangt een bericht dat je e-mailaccount zogenaamd geblokkeerd is. De link leidt naar een overtuigende kopie van de inlogpagina. Als je daar je wachtwoord en de actuele code uit je app invoert, kan een oplichter proberen je account over te nemen. FIDO-authenticatie werkt op die kopie niet zoals op de echte website, omdat het adres anders is.
Niet elke functie van YubiKey biedt echter dezelfde bescherming. Bepaalde modellen ondersteunen ook eenmalige codes en andere methoden. De hierboven beschreven bescherming tegen phishing geldt voor inloggen via FIDO2 of U2F, niet voor elk gebruik van het apparaat.
De sleutel is vooral nuttig voor het beveiligen van je belangrijkste e-mailaccount, je wachtwoordmanager, beheerdersaccounts en het beheerpaneel bij je domeinregistrar. Wie je e-mailaccount overneemt, kan mogelijk wachtwoorden bij andere diensten opnieuw instellen. Wie toegang krijgt tot je account bij de domeinregistrar, kan de instellingen wijzigen die verkeer naar je website en e-mail leiden.
Heb je twee sleutels nodig?
Meestal is één sleutel voldoende om een dienst te gebruiken, maar twee sleutels zijn een verstandige voorzorg voor noodgevallen. De eerste gebruik je dagelijks; de tweede bewaar je op een andere, veilige plek. Beide aan dezelfde sleutelbos dragen voorkomt niet dat je ze tegelijk kwijtraakt.
Je moet de reservesleutel afzonderlijk aan elk account toevoegen. Hij wordt niet automatisch een kopie van de eerste. Als je pas na het verliezen van de toegang een tweede sleutel koopt, worden de eerdere registraties daarmee niet hersteld. Controleer ook of de dienst toestaat om meerdere sleutels te registreren.
Heb je maar één YubiKey, zorg dan voor een alternatieve manier om je account te herstellen. Dat kunnen herstelcodes zijn die je buiten dat account bewaart, of een andere methode die de dienst toestaat. Een zwakkere noodmethode kan de beveiliging van het hele account wel verzwakken.
Ben je de sleutel kwijt, log dan in met je reservemethode en verwijder het verloren apparaat uit de beveiligingsinstellingen. Een verloren sleutel betekent niet noodzakelijk dat je account is overgenomen, maar laat hem niet als actieve inlogmethode staan.
Hoe kies je YubiKey en stel je die veilig in?
Controleer eerst in de officiële documentatie van je belangrijkste diensten of ze beveiligingssleutels ondersteunen en, als je dat wilt gebruiken, ook inloggen zonder wachtwoord. Vergelijk vervolgens in de documentatie van Yubico de aansluitingen, NFC, standaarden en compatibiliteit van het gekozen model met je telefoon en computer. Een aansluiting die op je apparaat past, garandeert niet dat alle functies worden ondersteund.
Begin met het instellen van één belangrijk account. Voeg de hoofdsleutel toe, registreer de reservesleutel en bewaar de beschikbare herstelcodes. Controleer in een apart browservenster of je met elke sleutel kunt inloggen en de voorziene herstelmethode kunt gebruiken, voordat je andere methoden uitschakelt.
Zie ook: Wat is HAproxy?
Lees ook
