Що таке YubiKey і як він захищає облікові записи
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: YubiKey — це невеликий апаратний ключ безпеки від Yubico для підтвердження входу в облікові записи та сервіси. Завдяки FIDO2 або U2F він захищає від фішингу ефективніше, ніж коди, які потрібно вводити вручну, оскільки перевіряє, чи відбувається вхід саме на належному сайті. Мати два ключі не обов’язково, але запасний суттєво зменшує ризик втратити доступ, якщо основний загубиться або зламається.
Що таке YubiKey і від чого він захищає?
YubiKey нагадує маленьку USB-флешку, проте не призначений для зберігання документів. Залежно від моделі його під’єднують до відповідного USB-порту або підносять до телефона для зв’язку через NFC — технологію передавання даних на малій відстані. Перед купівлею слід перевірити, які саме роз’єми та функції підтримує модель.
Ключ може слугувати другим фактором автентифікації. Це додаткове підтвердження особи, крім пароля: той, хто намагається ввійти, повинен не лише знати секрет, а й мати доступ до фізичного пристрою. Деякі сервіси також дозволяють використовувати ключ для входу без пароля.
Головна перевага — захист від захоплення облікового запису, зокрема через фішинг, тобто підроблення справжньої сторінки входу. Це не означає повного захисту комп’ютера: YubiKey не є антивірусом і не захищає автоматично від шкідливого програмного забезпечення чи викрадення вже активного сеансу.
Як працює вхід із YubiKey?
В одному з поширених сценаріїв ключ використовує FIDO2 або старіший U2F — стандарти підтвердження особи за допомогою криптографії. Під час додавання пристрою до облікового запису створюється пара криптографічних ключів. Сервіс отримує відкритий ключ, а закритий залишається на пристрої.
Під час входу сервіс надсилає запит-виклик, на який YubiKey готує підписану відповідь. Браузер і ключ прив’язують цю операцію до належного сайту. Тому підроблена сторінка не може просто перехопити відповідь і використати її для входу в справжній сервіс.
Для користувача це зазвичай виглядає так:
- Відкриваєте сайт сервісу й починаєте вхід.
- Якщо налаштування цього вимагають, вводите пароль.
- Під’єднуєте YubiKey або підносите його до телефона.
- На запит вводите PIN ключа й торкаєтеся його контактного майданчика.
Сам дотик зазвичай підтверджує фізичну присутність користувача, а не встановлює його особу за відбитком пальця. Біометрію підтримують лише окремі моделі, а не кожен YubiKey.
FIDO2 також дає змогу зберігати на сумісному пристрої облікові дані passkey — ключі доступу, що дозволяють входити без традиційного пароля. Доступність цієї можливості залежить від моделі, сервісу та налаштувань.
Які переваги порівняно із SMS та застосунком?
Код із SMS або застосунку для автентифікації можна ввести на підробленій сторінці, після чого зловмисник негайно ним скористається. Використання YubiKey із FIDO2 або U2F не потребує введення такого коду, тому краще захищає від цього сценарію.
Наприклад, ви отримуєте повідомлення про нібито заблоковану пошту. Посилання веде на переконливу копію сторінки входу. Якщо ввести там пароль і поточний код із застосунку, шахрай може спробувати захопити обліковий запис. Автентифікація FIDO не спрацює на цій копії так, як на справжньому сайті, оскільки її адреса інша.
Однак не кожна функція YubiKey забезпечує однаковий захист. Окремі моделі також підтримують одноразові коди та інші механізми. Описана вище стійкість до фішингу стосується входу через FIDO2 або U2F, а не будь-якого використання пристрою.
Ключ особливо корисний для захисту основної пошти, менеджера паролів, облікових записів адміністратора та панелі реєстратора доменів. Захоплення пошти може дати змогу скидати паролі в інших сервісах, а захоплення облікового запису для керування доменом — змінювати налаштування, що спрямовують трафік до сайту та пошти.
Чи потрібно мати два ключі?
Зазвичай для користування сервісом достатньо одного ключа, але два — розумний варіант на випадок втрати доступу. Першим ви користуєтеся щодня, а другий зберігаєте в іншому безпечному місці. Якщо носити обидва на одному брелоку, це не захистить від їх одночасної втрати.
Запасний ключ потрібно окремо додати до кожного облікового запису. Він не стає копією першого автоматично, а купівля другого після втрати доступу не відновить попередніх реєстрацій. Також перевірте, чи дозволяє сервіс зареєструвати кілька ключів.
Якщо у вас лише один YubiKey, подбайте про альтернативний спосіб відновлення доступу до облікового запису. Це можуть бути коди відновлення, які зберігаються поза цим обліковим записом, або інший спосіб, дозволений сервісом. Однак менш надійний резервний спосіб може послабити захист усього облікового запису.
Якщо ключ загубився, увійдіть резервним способом і видаліть втрачений пристрій у налаштуваннях безпеки. Сама втрата ключа не обов’язково означає захоплення облікового запису, проте залишати його активним способом входу не варто.
Як вибрати й безпечно налаштувати YubiKey?
Спочатку перевірте в офіційній документації найважливіших для вас сервісів, чи підтримують вони ключі безпеки та вхід без пароля, якщо він вам потрібен. Потім за документацією Yubico порівняйте роз’єми, підтримку NFC, стандарти та сумісність вибраної моделі з вашим телефоном і комп’ютером. Самої сумісності роз’єму з пристроєм недостатньо, щоб гарантувати підтримку всіх функцій.
Почніть налаштування з одного важливого облікового запису. Додайте основний ключ, зареєструйте запасний і збережіть доступні коди відновлення. Перш ніж вимикати інші способи входу, перевірте в окремому вікні браузера, чи можете ввійти з кожним ключем і скористатися передбаченим резервним способом.
Дивіться також: Що таке HAproxy?
Читайте також
