Αν κάνετε ένα μόνο πράγμα σε ολόκληρο αυτόν τον ιστότοπο, κάντε αυτό. Κάθε άλλο μέτρο εδώ μειώνει τον κίνδυνο οριακά· αυτό αφαιρεί μια ολόκληρη κατηγορία επίθεσης, και είναι η κατηγορία που πράγματι συμβαίνει σε ανθρώπους που κάνουν αυτή τη δουλειά. Κοστίζει λιγότερο από ένα ζευγάρι παπούτσια και παίρνει ένα απόγευμα.
01Γιατί ένας κωδικός μπορεί να κλαπεί και ένα κλειδί δεν μπορεί
Έχετε δει την επίθεση ακόμα κι αν δεν έχει λειτουργήσει σε εσάς. Ένα email ή μήνυμα λέει ότι υπάρχει πρόβλημα με τον λογαριασμό σας. Ο σύνδεσμος οδηγεί σε μια σελίδα που είναι πανομοιότυπο αντίγραφο της πραγματικής σύνδεσης. Εισάγετε τον κωδικό πρόσβασής σας. Ζητά τον κωδικό του authenticator σας. Τον εισάγετε κι αυτόν.
Στα παρασκήνια, ο διακομιστής του επιτιθέμενου συνδέεται στον πραγματικό ιστότοπο την ίδια στιγμή, αναμεταδίδοντας ό,τι πληκτρολογείτε, σε πραγματικό χρόνο. Ο κωδικός σας ήταν γνήσιος. Ήταν έγκυρος για τριάντα δευτερόλεπτα. Απλώς τον πληκτρολογήσατε στο λάθος παράθυρο, και τα τριάντα δευτερόλεπτα είναι υπεραρκετά.
Μια εφαρμογή παράγει έναν αριθμό από ένα κοινόχρηστο μυστικό και ένα ρολόι. Δεν έχει ιδέα σε ποιον ιστότοπο κοιτάτε, οπότε δεν μπορεί να ξεχωρίσει μια πραγματική σελίδα σύνδεσης από ένα αντίγραφο. Ο κωδικός δεν είναι η αδυναμία, το ανθρώπινο μάτι είναι. Οποιαδήποτε άμυνα βασίζεται στο να εντοπίσετε εσείς έναν ψεύτικο τομέα θα αποτύχει τελικά, επειδή τα ψεύτικα είναι πολύ καλά και εσείς θα είστε κουρασμένοι.
Ένα κλειδί ασφαλείας λειτουργεί διαφορετικά. Όταν το καταχωρείτε σε έναν ιστότοπο, αποθηκεύει ένα μυστικό συνδεδεμένο με τον πραγματικό τομέα αυτού του ιστότοπου. Κατά τη σύνδεση, ο ιστότοπος στέλνει μια πρόκληση· το κλειδί την υπογράφει, αλλά μόνο αφού ελέγξει ότι ο τομέας που ρωτά ταιριάζει με τον τομέα με τον οποίο καταχωρήθηκε. Ένας τομέας που μοιάζει ζητά, και το κλειδί απλώς δεν απαντά. Δεν υπάρχει τίποτα να μεταβιβαστεί, τίποτα να πληκτρολογηθεί και τίποτα να κάνετε λάθος.
Η Google μετέφερε ολόκληρο το εργατικό δυναμικό της — δεκάδες χιλιάδες ανθρώπους, σε κλειδιά ασφαλείας και ανέφερε μηδενικές επιτυχημένες υποκλοπές μέσω phishing λογαριασμών εργαζομένων στη συνέχεια. Αυτή είναι η ισχυρότερη απόδειξη στην ασφάλεια καταναλωτών για οποιοδήποτε μεμονωμένο μέτρο, και γι' αυτό αυτός ο οδηγός είναι πρώτος αντί για πέμπτος.
02Τι υπάρχει στο κλειδί
Ένα YubiKey 5 δεν είναι ένα πράγμα. Είναι πολλές ανεξάρτητες συσκευές ασφαλείας στο ίδιο κομμάτι πλαστικού, και οι περισσότεροι άνθρωποι χρησιμοποιούν μία από αυτές και ποτέ δεν μαθαίνουν ότι οι υπόλοιπες είναι εκεί. Ορίστε τα πάντα, με απλά λόγια.
| Χαρακτηριστικό | Να το χρησιμοποιήσω; | Για τι χρησιμεύει |
|---|---|---|
| FIDO2 / WebAuthn | Ναι, αυτό είναι το ένα | Το σύγχρονο πρότυπο. Σύνδεση με προστασία από phishing και η βάση των passkeys. Αυτό θα χρησιμοποιήσετε σε Google, Microsoft, GitHub, Cloudflare, Proton και στα περισσότερα πράγματα που έχουν σημασία. |
| Passkeys (resident keys) | Ναι | Το ίδιο πράγμα, αλλά το κλειδί αποθηκεύει και την ταυτότητα του λογαριασμού, ώστε να μπορείτε να συνδεθείτε χωρίς να πληκτρολογήσετε καθόλου όνομα χρήστη ή κωδικό πρόσβασης. Ο χώρος αποθήκευσης είναι περιορισμένος — δείτε τη σημείωση παρακάτω. |
| U2F | Αυτόματο | Η παλαιότερη εκδοχή της ίδιας ιδέας. Χρησιμοποιείται ακόμη από ορισμένους ιστότοπους· το κλειδί τη χειρίζεται χωρίς να χρειάζεται να επιλέξετε εσείς. |
| OATH-TOTP | Κατά περίπτωση | Αποθηκεύει τους συνηθισμένους εξαψήφιους κωδικούς σας στο κλειδί αντί σε εφαρμογή τηλεφώνου, και τους διαβάζετε μέσω του Yubico Authenticator. Χρήσιμο για ιστότοπους που δεν υποστηρίζουν FIDO2. Εξακολουθεί να είναι κωδικός και εξακολουθεί να είναι ευάλωτος σε phishing· προστατεύει το μυστικό, όχι τη σύνδεση. |
| Challenge-response (HMAC-SHA1) | Ναι, με το KeePassXC | Κάνει τη βάση δεδομένων κωδικών πρόσβασής σας να απαιτεί το φυσικό κλειδί για να ανοίξει. Καλύπτεται στον οδηγό KeePassXC· αυτός ο συνδυασμός κάνει και τα δύο εργαλεία σημαντικά ισχυρότερα. |
| PIV / έξυπνη κάρτα | Για προχωρημένους | Περιέχει πιστοποιητικά. Χρησιμοποιείται για κλειδιά SSH που δεν μπορούν να αντιγραφούν από τη συσκευή, και για ορισμένα εταιρικά και κυβερνητικά συστήματα. |
| OpenPGP | Για προχωρημένους | Κρατά κλειδιά GPG σε υλικό, ώστε η υπογραφή και η αποκρυπτογράφηση να γίνονται στο κλειδί και το ιδιωτικό κλειδί να μην αγγίζει ποτέ τον υπολογιστή σας. |
| Yubico OTP | Σπάνια | Ένα παλαιό σχήμα κωδικού μίας χρήσης που προηγείται του FIDO. Κάποιες παλαιότερες υπηρεσίες το χρησιμοποιούν. Αφήστε το ήσυχο εκτός αν κάτι το ζητήσει. |
| Στατικός κωδικός πρόσβασης | No | Πληκτρολογεί μια σταθερή συμβολοσειρά όταν αγγίζετε το κλειδί. Ένα χαρακτηριστικό ευκολίας από άλλη εποχή. Μην το χρησιμοποιείτε για τίποτα που έχει σημασία. |
Τα resident keys, αυτά που σας επιτρέπουν να συνδεθείτε χωρίς όνομα χρήστη, καταλαμβάνουν μόνιμες θέσεις στη συσκευή, και ο αριθμός τους είναι σταθερός. Το παλαιότερο firmware του YubiKey 5 κρατά περίπου 25· το πρόσφατο firmware κρατά σημαντικά περισσότερα. Οι συνηθισμένες εγγραφές FIDO2 ως δεύτερος παράγοντας δεν περιορίζονται με αυτόν τον τρόπο, οπότε μπορείτε να προσθέσετε ένα κλειδί σε εκατοντάδες ιστότοπους χωρίς να γεμίσετε τίποτα. Αν εξαντληθούν, θα είναι εξαιτίας των passkeys, όχι του 2FA.
03Ποιο να αγοράσετε
Η απόφαση αφορά κυρίως το βύσμα στην άκρη και το αν θέλετε τις επιπλέον λειτουργίες. Ταιριάξτε τον συνδετήρα με το τηλέφωνό σας και τον υπολογιστή σας, και αν διαφέρουν, αγοράστε έναν από τον καθένα αντί να κουβαλάτε έναν αντάπτορα που θα χάσετε.
| Μοντέλο | Ιδανικό για | Σημειώσεις |
|---|---|---|
| Σειρά Security Key (τα μπλε) | Οι περισσότεροι άνθρωποι | Μόνο FIDO2 και U2F, που είναι το κομμάτι που χρειάζεστε. Περίπου η μισή τιμή ενός YubiKey 5. Αν δεν πρόκειται να χρησιμοποιήσετε PGP, PIV ή το ζευγάρωμα με KeePassXC, αυτή είναι η ειλικρινής σύσταση. |
| YubiKey 5 NFC | Υπολογιστής USB-A + οποιοδήποτε τηλέφωνο | Το κλειδί με όλες τις λειτουργίες. Ακουμπήστε το σε ένα τηλέφωνο για NFC, συνδέστε το σε έναν φορητό υπολογιστή για USB. Η προεπιλεγμένη επιλογή αν θέλετε τα πάντα στον παραπάνω πίνακα. |
| YubiKey 5C NFC | Υπολογιστής USB-C + οποιοδήποτε τηλέφωνο | Πανομοιότυπο, με βύσμα USB-C. Πιθανότατα το σωστό αν ο φορητός υπολογιστής σας είναι πρόσφατος. |
| YubiKey 5Ci | iPhone με Lightning | Έχει και USB-C και Lightning. Σχετικό μόνο για παλαιότερα iPhone· τα νεότερα είναι USB-C και μπορούν να χρησιμοποιήσουν NFC ούτως ή άλλως. |
| YubiKey 5 Nano | Αφήστε-στο- laptop | Μικροσκοπικό, κάθεται επίπεδα στη θύρα μόνιμα. Βολικό, και αφαιρεί το πλεονέκτημα του φυσικού διαχωρισμού, αν πάρουν το laptop, παίρνουν και το κλειδί μαζί του. |
| Σειρά Bio | Κοινόχρηστοι χώροι | Δακτυλικό αποτύπωμα αντί για PIN. Πραγματικά ωραίο· πιο ακριβό· σκεφτείτε προσεκτικά αν το βιομετρικό είναι το σωστό ξεκλείδωμα εκεί που ζείτε, καθώς σε πολλές δικαιοδοσίες μπορείτε να αναγκαστείτε να παρέχετε δακτυλικό αποτύπωμα πιο εύκολα από ένα PIN. |
Ένα μόνο κλειδί είναι ένα μοναδικό σημείο αποτυχίας: χάστε το και μπορείτε να κλειδωθείτε έξω από τους δικούς σας λογαριασμούς μόνιμα, που είναι ένα είδος καταστροφής από μόνο του. Καταχωρίστε και τα δύο κλειδιά σε κάθε λογαριασμό, κρατήστε το ένα μαζί σας, και φυλάξτε το δεύτερο κάπου φυσικά ξεχωριστά, ένα συρτάρι στο σπίτι, ένα χρηματοκιβώτιο, κάποιον που εμπιστεύεστε. Το δεύτερο κλειδί είναι το σχέδιο backup, και κοστίζει λιγότερο από όσο θα κόστιζε η ανάκτηση.
Όχι από αγγελία marketplace, όχι μεταχειρισμένο, όχι δώρο από κάποιον που δεν γνωρίζετε καλά. Ένα κλειδί ασφαλείας είναι μια συσκευή που θα εμπιστευτείτε με τα πάντα· η αλυσίδα εφοδιασμού είναι μέρος του προϊόντος. Το firmware της Yubico σκόπιμα δεν είναι ενημερώσιμο, που είναι καλό για αντοχή σε παραβίαση και σημαίνει ότι ένα compromised κλειδί δεν μπορεί ποτέ να διορθωθεί, μόνο να αντικατασταθεί.
04Ρύθμισή του, με τη σωστή σειρά
Η σειρά έχει σημασία. Ξεκινήστε με τον λογαριασμό που μπορεί να επαναφέρει όλους τους άλλους, και βεβαιωθείτε ότι δεν μπορείτε να κλειδωθείτε έξω στην πορεία.
-
Ξεκινήστε με το email σας
Κάθε άλλος λογαριασμός που έχετε ανακτάται μέσω αυτού, γεγονός που το καθιστά τον πραγματικό στόχο. Μεταβείτε στις ρυθμίσεις ασφαλείας του παρόχου email σας και προσθέστε και τα δύο κλειδιά πριν αγγίξετε οτιδήποτε άλλο. Αν ο πάροχος email σας δεν υποστηρίζει κλειδιά ασφαλείας, αυτός είναι λόγος να αλλάξετε πάροχο, όχι λόγος να το παραλείψετε.
-
Καταχωρίστε και τα δύο κλειδιά ταυτόχρονα
Κάντε το σε μία συνεδρία, σε κάθε λογαριασμό. Ο τρόπος αποτυχίας που συναντούν οι άνθρωποι είναι να καταχωρίσουν ένα κλειδί τώρα και να «προσθέσουν το εφεδρικό αργότερα» — το αργότερα δεν έρχεται ποτέ, και μετά το πρώτο κλειδί περνά από πλυντήριο ρούχων.
-
Αποθηκεύστε σωστά τους κωδικούς ανάκτησης
Κάθε ιστότοπος σας δίνει ένα σύνολο κωδικών ανάκτησης μίας χρήσης. Αυτοί παρακάμπτουν πλήρως το κλειδί σας, οπότε αξίζουν την ίδια φροντίδα με το ίδιο το κλειδί. Βάλτε τους στον διαχειριστή κωδικών πρόσβασης ή εκτυπώστε τους και κρατήστε τους κάπου φυσικά ασφαλή. Μην τους φωτογραφίζετε και μην τους αφήνετε σε φάκελο λήψεων.
-
Τώρα εξετάστε τις πιο αδύναμες μεθόδους
Αν οι κωδικοί SMS παραμένουν ως εφεδρική επιλογή, μια αλλαγή SIM μπορεί να παρακάμψει το κλειδί. Μόλις λειτουργήσουν και τα δύο κλειδιά, απενεργοποιήστε το SMS όπου η υπηρεσία σας το επιτρέπει. Κρατήστε κωδικό εφαρμογής ελέγχου ταυτότητας μόνο όπου τον χρειάζεστε ως οδό ανάκτησης, προστατέψτε το seed και τους κωδικούς ανάκτησής του στον διαχειριστή κωδικών πρόσβασης και μην αφαιρείτε ποτέ μια μέθοδο μέχρι να δοκιμάσετε τους υπόλοιπους τρόπους επιστροφής.
-
Προχωρήστε στη λίστα
Μετά το email: τον διαχειριστή κωδικών πρόσβασης αν υποστηρίζει κλειδιά, μετά το cloud storage, μετά τους λογαριασμούς κοινωνικών δικτύων από τους οποίους δημοσιεύετε, μετά οτιδήποτε έχει συνδεδεμένη μέθοδο πληρωμής, μετά τη φιλοξενία κώδικα. Ό,τι περισσέψει μπορεί να περιμένει για ένα ήσυχο βράδυ.
-
Δοκιμάστε το εφεδρικό πριν το βάλετε στην άκρη
Αποσυνδεθείτε και συνδεθείτε ξανά χρησιμοποιώντας συγκεκριμένα το εφεδρικό κλειδί. Ένα μη δοκιμασμένο εφεδρικό είναι μια εικασία.
05Από τι δεν σε προστατεύει
Ένα κλειδί ασφαλείας είναι ο ισχυρότερος μεμονωμένος έλεγχος που διαθέτει ένας συνηθισμένος άνθρωπος, και είναι ακόμη περιορισμένο. Νικά το phishing. Δεν νικά αυτά.
- Σελίδες phishing, όσο πειστικές κι αν είναι, συμπεριλαμβανομένων των επιθέσεων αναμετάδοσης σε πραγματικό χρόνο.
- Credential stuffing, ο κωδικός πρόσβασής σας από παραβίαση κάποιας άλλης ιστοσελίδας είναι πλέον άχρηστος από μόνος του.
- Μαντεψιά και ψεκασμό κωδικών πρόσβασης.
- Τις περισσότερες επιθέσεις SIM-swap, μόλις αφαιρεθεί το SMS ως εφεδρική επιλογή.
- Κακόβουλο λογισμικό που βρίσκεται ήδη στον υπολογιστή σας. Αν κάτι παρακολουθεί τη συνεδρία σας αφού συνδεθείτε, το κλειδί έχει ήδη κάνει τη δουλειά του και έχει παρακαμφθεί.
- Κλοπή cookie συνεδρίας. Ένας επιτιθέμενος που κλέβει ένα ζωντανό token συνεδρίας δεν χρειάζεται καθόλου να συνδεθεί.
- Τη διαδρομή ανάκτησης. Αν το προσωπικό υποστήριξης μπορεί να πειστεί να επαναφέρει τον λογαριασμό σας, το κλειδί σας είναι άσχετο. Αυτός είναι πλέον ο πιο συνηθισμένος τρόπος με τον οποίο πέφτουν λογαριασμοί με κλειδιά.
- Φυσική κατάσχεση εσάς και του κλειδιού μαζί.
- Λογαριασμούς που ξεχάσατε να προστατεύσετε, όπου θα στραφούν στη συνέχεια οι επιτιθέμενοι.
Κλείνει την μπροστινή πόρτα εντελώς, και ο επιτιθέμενος μετακινείται στα παράθυρα. Αυτό εξακολουθεί να είναι μια τεράστια βελτίωση, η μπροστινή πόρτα είναι εκεί όπου βρισκόταν σχεδόν όλη η κίνηση, αλλά είναι ένας λόγος να συνεχίσετε να διαβάζετε την υπόλοιπη ιστοσελίδα αντί να σταματήσετε εδώ.
06Αν δεν θέλετε YubiKey
Το YubiKey είναι η προεπιλογή επειδή είναι το πιο ευρέως υποστηριζόμενο και το πιο διεξοδικά ελεγμένο, όχι επειδή είναι η μόνη επιλογή. Δεν λαμβάνουμε χρήματα από κανέναν από αυτούς.
Nitrokey
Γερμανικό, με λογισμικό και σχέδια υλικού ανοιχτού κώδικα, η επιλογή αν το «θέλω να μπορώ να το επιθεωρήσω» σας ενδιαφέρει περισσότερο από τη μέγιστη συμβατότητα. Καλύπτεται ως εναλλακτική στην ενότητα για τα κλειδιά ασφαλείας του οδηγού.
nitrokey.com ↗Token2
Ελβετικό, οικονομικό, με έμφαση στο FIDO2. Ένας λογικός τρόπος να αγοράσετε δύο κλειδιά με περιορισμένο προϋπολογισμό χωρίς να καταφύγετε σε άγνωστη μάρκα.
token2.com ↗Το τηλέφωνό σας ως passkey
Τα σύγχρονα τηλέφωνα μπορούν να λειτουργήσουν ως authenticator FIDO2, που σας παρέχει την ίδια αντοχή στο phishing δωρεάν. Υστερούν σε έναν συγκεκριμένο τομέα: το τηλέφωνο είναι η συσκευή που είναι πιο πιθανό να αφαιρεθεί, να ξεκλειδωθεί ή να παραβιαστεί. Καλό ως δεύτερος παράγοντας, όχι ως ο μοναδικός σας.
07Ερωτήσεις που κάνουν πραγματικά οι άνθρωποι
Τι γίνεται αν χάσω το κλειδί;
Τίποτα, αν το κάνατε σωστά: χρησιμοποιείτε το δεύτερο κλειδί και μετά αφαιρείτε το χαμένο από κάθε λογαριασμό και καταχωρίζετε ένα αντικαταστάτη. Αυτός είναι ακριβώς ο λόγος που ο οδηγός επιμένει να αγοράσετε δύο. Αν δεν το κάνατε, καταφεύγετε στους κωδικούς ανάκτησης, και αν δεν τους έχετε ούτε αυτούς, βασίζεστε στη διαδικασία ανάκτησης λογαριασμού του παρόχου, η οποία μπορεί να διαρκέσει εβδομάδες και μερικές φορές αποτυγχάνει.
Μπορεί κάποιος που κλέβει το κλειδί μου να μπει στους λογαριασμούς μου;
Όχι από μόνο του. Το κλειδί είναι δεύτερος παράγοντας, χρειάζεται ακόμα τον κωδικό πρόσβασής σας, και για τις περισσότερες διαμορφώσεις χρειάζεται και το PIN του κλειδιού, το οποίο κλειδώνει τη συσκευή μετά από λίγες λανθασμένες προσπάθειες. Ένα κλεμμένο κλειδί είναι μια ταλαιπωρία για εσάς, όχι παραβίαση. Αφαιρέστε το από τους λογαριασμούς σας ούτως ή άλλως.
Πρέπει να το κουβαλάω παντού;
Μόνο όταν συνδέεστε κάπου νέο. Οι περισσότεροι ιστότοποι σας επιτρέπουν να χαρακτηρίσετε μια συσκευή ως αξιόπιστη, οπότε στην καθημερινότητα θα αγγίζετε το κλειδί σπάνια — συνήθως όταν ρυθμίζετε έναν νέο υπολογιστή ή μετά την εκκαθάριση των cookies σας. Τα μοντέλα NFC λειτουργούν με ένα άγγιγμα σε ένα τηλέφωνο, κάτι που εξαλείφει την περισσότερη δυσκολία που φαντάζονται οι άνθρωποι.
Είναι το passkey το ίδιο πράγμα;
Ένα passkey είναι η ίδια κρυπτογραφία με την ίδια αντοχή στο phishing. Η διαφορά είναι πού βρίσκεται. Ένα passkey στο τηλέφωνό σας ή σε έναν λογαριασμό περιηγητή συγχρονίζεται μέσω του cloud μιας εταιρείας, κάτι που είναι βολικό και σημαίνει ότι η ισχύς αυτού του λογαριασμού γίνεται η ισχύς του passkey σας. Ένα passkey σε ένα hardware key δεν μπορεί να συγχρονιστεί, να αντιγραφεί ή να εξαχθεί. Για λογαριασμούς που έχουν σημασία, βάλτε το σε hardware.
Ποιοι λογαριασμοί πρέπει να πάρουν ένα πρώτοι;
Το email, πάντα. Μετά ο διαχειριστής κωδικών πρόσβασής σας, μετά ό,τι δημοσιεύετε από αυτό, μετά ό,τι κρατάει χρήματα. Αν τεκμηριώνετε ή αναφέρετε αυτό το θέμα, ο λογαριασμός από τον οποίο δημοσιεύετε αξίζει περισσότερο για έναν αντίπαλο από την τράπεζά σας — η απώλειά του σημαίνει ότι κάποιος άλλος μιλάει στο όνομά σας, κάτι που δεν μπορεί να αναιρεθεί με μια επιστροφή χρημάτων.
08Πηγές και περαιτέρω ανάγνωση
- Yubico — επίσημος ιστότοπος και σύγκριση μοντέλων yubico.com
- FIDO Alliance, το πρότυπο FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — εναλλακτική hardware και firmware ανοιχτού κώδικα nitrokey.com
- EFF Surveillance Self-Defense — ασφάλεια λογαριασμών ssd.eff.org
- Privacy Guides — έλεγχος ταυτότητας πολλαπλών παραγόντων privacyguides.org
Τελευταία αναθεώρηση: 25 Σεπτεμβρίου 2026