Ako učinite samo jednu stvar na cijeloj ovoj stranici, učinite ovu. Svaka druga mjera ovdje smanjuje rizik na margini; ova uklanja cijelu kategoriju napada, a to je kategorija koja se stvarno događa ljudima koji rade ovaj posao. Košta manje od para cipela i traje jedno poslijepodne.
01Zašto se kod može ukrasti, a ključ ne može
Vidjeli ste taj napad čak i ako nije uspio na vama. E-poruka ili poruka kaže da postoji problem s vašim računom. Veza vodi na stranicu koja je savršena kopija pravog prijavnog ekrana. Unesete svoju lozinku. Traži vaš autentifikacijski kod. Unesete i njega.
Iza kulisa, napadačev poslužitelj prijavljuje se na pravu stranicu u istom trenutku, prenoseći sve što upišete, u stvarnom vremenu. Vaš je kod bio pravi. Bio je valjan trideset sekundi. Samo ste ga upisali u pogrešan prozor, a trideset sekundi je sasvim dovoljno.
Aplikacija generira broj iz zajedničke tajne i sata. Nema pojma koju stranicu gledate, pa ne može razlikovati pravu prijavnu stranicu od kopije. Kod nije slabost, ljudsko oko jest. Svaka obrana koja ovisi o tome da prepoznate lažnu domenu na kraju će zakazati, jer su lažne vrlo dobre, a vi ćete biti umorni.
Sigurnosni ključ radi drugačije. Kada ga registrirate na nekoj stranici, on pohranjuje tajnu vezanu uz pravu domenu te stranice. Pri prijavi stranica šalje izazov; ključ ga potpisuje, ali tek nakon što provjeri da se domena koja traži podudara s domenom s kojom je registriran. Slična domena pita, a ključ jednostavno ne odgovara. Nema ničega za prosljeđivanje, ničega za upisivanje i ničega što možete pogriješiti.
Google je prebacio cijelu svoju radnu snagu — desetke tisuća ljudi, na sigurnosne ključeve i izvijestio o nula uspješnih phishing preuzimanja korisničkih računa nakon toga. To je najjači dokaz u potrošačkoj sigurnosti za bilo koju pojedinačnu mjeru i zato je ovaj vodič prvi, a ne peti.
02Što se nalazi na ključu
YubiKey 5 nije jedna stvar. To je nekoliko neovisnih sigurnosnih uređaja u istom komadu plastike, a većina ljudi koristi jedan od njih i nikada ne sazna da su ostali tamo. Evo svega, jednostavnim riječima.
| Značajka | Koristiti? | Čemu služi |
|---|---|---|
| FIDO2 / WebAuthn | Da, ovo je taj | Moderni standard. Prijava otporna na phishing i osnova za passkeye. Ovo ćete koristiti na Googleu, Microsoftu, GitHubu, Cloudflareu, Protonu i većini stvari koje su važne. |
| Passkeys (rezidentni ključevi) | Da | Ista stvar, ali ključ pohranjuje i identitet računa, pa se možete prijaviti bez upisivanja korisničkog imena ili lozinke. Pohrana je ograničena — pogledajte napomenu u nastavku. |
| U2F | Automatski | Starija verzija iste ideje. Još ga koriste neke stranice; ključ to rješava bez da vi birate. |
| OATH-TOTP | Situacijski | Pohranjuje vaše uobičajene šesteroznamenkaste kodove na ključu umjesto u aplikaciji na telefonu, a čitaju se putem Yubico Authenticatora. Korisno za stranice koje ne podržavaju FIDO2. To je još uvijek kod i još uvijek podložan phishing napadima, štiti tajnu, a ne prijavu. |
| Challenge-response (HMAC-SHA1) | Da, uz KeePassXC | Čini da vaša baza podataka lozinki zahtijeva fizički ključ za otvaranje. Obrađeno u KeePassXC vodiču, ovo je kombinacija koja oba alata čini znatno jačima. |
| PIV / pametna kartica | Napredno | Sadrži certifikate. Koristi se za SSH ključeve koji se ne mogu kopirati s uređaja i za neke korporativne i državne sustave. |
| OpenPGP | Napredno | Drži GPG ključeve na hardveru, tako da se potpisivanje i dešifriranje odvijaju na ključu, a privatni ključ nikada ne dotiče vaše računalo. |
| Yubico OTP | Rijetko | Naslijeđena shema jednokratne zaporke koja prethodi FIDO-u. Neke starije usluge je koriste. Ostavite je na miru osim ako nešto ne zatraži. |
| Statička zaporka | No | Upisuje fiksni niz znakova kada dodirnete ključ. Pogodnost iz drugog doba. Ne koristite je ni za što važno. |
Rezidentni ključevi, oni koji vam omogućuju prijavu bez korisničkog imena, zauzimaju trajna mjesta na uređaju, a njihov je broj ograničen. Stariji YubiKey 5 firmware drži oko 25; noviji firmware drži znatno više. Obične FIDO2 registracije drugog faktora nisu ograničene na taj način, pa možete dodati ključ na stotine stranica bez da išta popunite. Ako ostanete bez mjesta, to će biti zbog pristupnih ključeva, a ne 2FA.
03Koji kupiti
Odluka se uglavnom svodi na priključak na kraju i želite li dodatne značajke. Uskladite konektor sa svojim telefonom i računalom, a ako se razlikuju, kupite po jedan od svakoga umjesto da nosite adapter koji ćete izgubiti.
| Model | Najbolje za | Bilješke |
|---|---|---|
| Serija Security Key (plavi) | Većina ljudi | Samo FIDO2 i U2F, što je dio koji vam treba. Otprilike upola niža cijena od YubiKey 5. Ako nećete koristiti PGP, PIV ili uparivanje s KeePassXC, ovo je iskrena preporuka. |
| YubiKey 5 NFC | USB-A računalo + bilo koji telefon | Ključ punih mogućnosti. Prislonite ga na telefon za NFC, uključite u prijenosno računalo za USB. Zadani izbor ako želite sve iz gornje tablice. |
| YubiKey 5C NFC | USB-C računalo + bilo koji telefon | Identičan, s USB-C utikačem. Najvjerojatnije pravi izbor ako je vaše prijenosno računalo novije. |
| YubiKey 5Ci | iPhone s Lightning | Ima i USB-C i Lightning. Relevantan samo za starije iPhone modele; noviji imaju USB-C i ionako mogu koristiti NFC. |
| YubiKey 5 Nano | Ostavljen u laptopu | Sićušan, trajno stoji u portu. Praktično, ali uklanja prednost fizičkog odvajanja; ako se laptop uzme, ključ se uzima s njim. |
| Bio serija | Dijeljeni prostori | Otisak prsta umjesto PIN-a. Zaista lijepo; skuplje; pažljivo razmislite je li biometrija pravi način otključavanja tamo gdje živite, jer se u mnogim jurisdikcijama od vas može lakše zatražiti otisak prsta nego PIN. |
Jedan ključ je jedna točka kvara: izgubite li ga, možete trajno ostati zaključani iz vlastitih računa, što je svojevrsna katastrofa. Registrirajte oba ključa na svakom računu, nosite jedan, a drugi čuvajte na fizički odvojenom mjestu, u ladici kod kuće, u sefu, kod osobe kojoj vjerujete. Drugi ključ je rezervni plan i košta manje nego oporavak.
Ne s tržišnog oglasa, ne rabljeno, ne kao poklon od nekoga koga ne poznajete dobro. Sigurnosni ključ je uređaj kojemu ćete povjeriti sve; dobavni lanac je dio proizvoda. Yubico firmware namjerno nije ažuriran, što je dobro za otpornost na neovlaštene izmjene i znači da se kompromitirani ključ nikada ne može popraviti, samo zamijeniti.
04Postavljanje, pravim redoslijedom
Redoslijed je važan. Počnite s računom koji može resetirati sve ostale i pobrinite se da se pritom ne možete zaključati.
-
Počnite sa svojim e-mailom
Svaki drugi račun koji posjedujete oporavlja se preko njega, što ga čini pravom metom. Idite na sigurnosne postavke svog pružatelja usluge e-pošte i dodajte oba ključa prije nego što bilo što drugo dirate. Ako vaš pružatelj usluge e-pošte ne podržava sigurnosne ključeve, to je razlog za promjenu pružatelja, a ne razlog da ovo preskočite.
-
Registrirajte oba ključa istovremeno
Učinite to u jednom sjedenju, na svakom računu. Način na koji ljudi obično pogriješe jest da registriraju jedan ključ sada i "dodaju rezervni kasnije" — kasnije nikada ne dođe, a onda prvi ključ završi u perilici rublja.
-
Spremite kodove za oporavak kako treba
Svaka stranica daje vam skup jednokratnih kodova za oporavak. Oni su potpuni zaobilazni put oko vašeg ključa, pa zaslužuju istu pažnju kao i sam ključ. Stavite ih u svoj upravitelj lozinkama ili ih ispišite i čuvajte na fizički sigurnom mjestu. Nemojte ih fotografirati i nemojte ih ostavljati u mapi za preuzimanja.
-
Sada pregledajte slabije metode
Ako SMS kodovi ostaju rezervna opcija, SIM swap može zaobići ključ. Kada oba ključa rade, isključite SMS gdje god vam usluga to dopušta. Zadržite kod autentifikatora samo tamo gdje vam je potreban kao put za oporavak, zaštitite njegov seed i kodove za oporavak u svom upravitelju lozinkama i nikada ne uklanjajte metodu dok ne testirate preostale načine povratka.
-
Radite redom po popisu
Nakon e-pošte: vaš upravitelj lozinkama ako podržava ključeve, zatim pohrana u oblaku, zatim društveni računi s kojih objavljujete, zatim sve što ima priloženu metodu plaćanja, zatim hosting koda. Sve preostalo može pričekati neku slobodnu večer.
-
Testirajte rezervni ključ prije nego što ga odložite
Odjavite se i ponovno prijavite koristeći konkretno rezervni ključ. Netestirana rezerva je nagađanje.
05Od čega vas ne štiti
Sigurnosni ključ najjača je pojedinačna kontrola dostupna običnoj osobi i još je uvijek ograničena. Pobjeđuje phishing. Ne pobjeđuje sljedeće.
- Phishing stranice, koliko god uvjerljive, uključujući napade u stvarnom vremenu s posrednikom.
- Popunjavanje vjerodajnicama, vaša lozinka s neke druge stranice koja je bila kompromitirana sada je sama po sebi beskorisna.
- Pogađanje i raspršivanje lozinki.
- Većinu SIM-swap napada, nakon što se SMS ukloni kao rezervna opcija.
- Zlonamjerni softver koji je već na vašem računalu. Ako nešto promatra vašu sesiju nakon što se prijavite, ključ je već odradio svoj posao i bio zaobiđen.
- Krađu sesijskog kolačića. Napadaču koji ukrade aktivni sesijski token uopće nije potrebna prijava.
- Put oporavka. Ako se osoblje za podršku može nagovoriti da resetira vaš račun, vaš ključ je nevažan. To je danas najčešći način na koji računi zaštićeni ključem propadaju.
- Fizičko zapljenjivanje vas i ključa zajedno.
- Račune koje ste zaboravili zaštititi, a upravo tamo će napadači krenuti sljedeće.
Potpuno zatvara prednja vrata, a napadač se premješta na prozore. To je ipak ogromno poboljšanje, prednja vrata su tamo gdje je bio gotovo sav promet, ali to je razlog da nastavite čitati ostatak ove stranice, a ne da stanete ovdje.
06Ako ne želite YubiKey
YubiKey je zadani izbor jer ima najširu podršku i najtemeljitije je recenziran, a ne zato što je jedina opcija. Ne primamo novac ni od koga od njih.
Nitrokey
Njemački, s otvorenim izvornim kodom firmwarea i hardverskih dizajna, izbor ako vam je "želim ga moći pregledati" važnije od maksimalne kompatibilnosti. Obrađen kao alternativa u odjeljku vodiča o sigurnosnim ključevima.
nitrokey.com ↗Token2
Švicarski, jeftin, fokusiran na FIDO2. Razuman način da kupite dva ključa uz ograničen proračun, a da ne posegnete za nepoznatim brendom.
token2.com ↗Vaš telefon kao passkey
Moderni telefoni mogu djelovati kao FIDO2 autentifikator, što vam besplatno daje istu otpornost na phishing. Slabiji je na jedan specifičan način: telefon je uređaj koji će najvjerojatnije biti otuđen, otključan ili kompromitiran. Dobar je kao drugi faktor, ali ne kao jedini.
07Pitanja koja ljudi zapravo postavljaju
Što se događa ako izgubim ključ?
Ništa, ako ste to učinili kako treba: upotrijebite drugi ključ, a zatim uklonite izgubljeni sa svakog računa i registrirate zamjenski. Upravo zato vodič inzistira na kupnji dva ključa. Ako niste, vraćate se na svoje kodove za oporavak, a ako nemate ni njih, oslanjate se na proces oporavka računa kod pružatelja usluge, koji može potrajati tjednima i ponekad ne uspije.
Može li se netko tko mi ukrade ključ prijaviti u moje račune?
Ne sam po sebi. Ključ je drugi faktor, i dalje im treba tvoja lozinka, a za većinu konfiguracija treba im i PIN ključa, koji zaključava uređaj nakon malog broja pogrešnih pokušaja. Ukradeni ključ je za tebe neugodnost, a ne proboj. Ipak ga ukloni sa svojih računa.
Moram li ga nositi posvuda?
Samo kad se prijavljuješ na novo mjesto. Većina stranica dopušta da označiš uređaj kao pouzdan, pa ćeš ključ iz dana u dan rijetko dirati — obično kad postavljaš novo računalo ili nakon brisanja kolačića. NFC modeli rade dodirom o telefon, što uklanja većinu trenja koje ljudi zamišljaju.
Je li passkey ista stvar?
Passkey je ista kriptografija s istom otpornošću na phishing. Razlika je u tome gdje se nalazi. Passkey u tvom telefonu ili u računu preglednika sinkronizira se putem korporativnog oblaka, što je praktično i znači da snaga tog računa postaje snaga tvog passkeya. Passkey na hardverskom ključu ne može se sinkronizirati, kopirati ni izvući. Za račune koji su važni, stavi ga na hardver.
Koji bi računi trebali prvi dobiti jedan?
E-pošta, uvijek. Zatim tvoj upravitelj lozinkama, pa sve odakle objavljuješ, pa sve što drži novac. Ako dokumentiraš ili izvještavaš o ovoj temi, račun s kojeg objavljuješ vrijedi protivniku više od tvoje banke — izgubiti ga znači da netko drugi govori u tvoje ime, što se ne može poništiti chargebackom.
08Izvori i dodatno štivo
- Yubico — službena stranica i usporedba modela yubico.com
- FIDO Alliance, standard FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternativni hardver i firmware otvorenog koda nitrokey.com
- EFF Surveillance Self-Defense — sigurnost računa ssd.eff.org
- Privacy Guides — višefaktorska autentifikacija privacyguides.org
Posljednja provjera: 25. rujna 2026.