Jika anda hanya melakukan satu perkara di seluruh tapak ini, lakukan yang ini. Setiap langkah lain di sini mengurangkan risiko pada peringkat marginal; langkah ini menghapuskan seluruh kategori serangan, dan itulah kategori yang benar-benar berlaku kepada orang yang melakukan kerja ini. Kosnya kurang daripada sepasang kasut dan mengambil masa satu petang.
01Mengapa kod boleh dicuri dan kunci tidak boleh
Anda pernah melihat serangan itu walaupun ia tidak berjaya ke atas anda. E-mel atau mesej mengatakan ada masalah dengan akaun anda. Pautan itu menuju ke halaman yang merupakan salinan tepat bagi log masuk sebenar. Anda memasukkan kata laluan anda. Ia meminta kod pengesah anda. Anda memasukkannya juga.
Di sebalik tabir, pelayan penyerang sedang log masuk ke tapak sebenar pada masa yang sama, menyampaikan semula segala yang anda taip, secara masa nyata. Kod anda adalah tulen. Ia sah selama tiga puluh saat. Anda hanya menaipnya ke dalam tetingkap yang salah, dan tiga puluh saat sudah cukup.
Aplikasi menjana nombor daripada rahsia kongsi dan jam. Ia tidak tahu tapak apa yang anda lihat, jadi ia tidak boleh membezakan halaman log masuk sebenar daripada salinan. Kod itu bukan kelemahannya, mata manusia yang menjadi kelemahannya. Sebarang pertahanan yang bergantung pada anda mengenal pasti domain palsu akhirnya akan gagal, kerana yang palsu itu sangat baik dan anda akan keletihan.
Kunci keselamatan berfungsi secara berbeza. Apabila anda mendaftarkannya dengan sesuatu laman, ia menyimpan rahsia yang terikat dengan domain sebenar laman itu. Semasa log masuk, laman menghantar cabaran; kunci menandatanganinya, tetapi hanya selepas menyemak bahawa domain yang meminta sepadan dengan domain yang didaftarkan. Domain yang menyerupai akan meminta, dan kunci itu langsung tidak menjawab. Tiada apa-apa untuk disampaikan, tiada apa-apa untuk ditaip, dan tiada apa-apa untuk anda lakukan dengan salah.
Google memindahkan seluruh tenaga kerjanya — puluhan ribu orang, kepada kunci keselamatan dan melaporkan sifar pengambilalihan pancingan data yang berjaya ke atas akaun pekerja selepas itu. Itu bukti terkuat dalam keselamatan pengguna bagi mana-mana langkah tunggal, dan itulah sebabnya panduan ini di tempat pertama dan bukan kelima.
02Apa yang ada pada kunci
YubiKey 5 bukan satu benda. Ia adalah beberapa peranti keselamatan bebas dalam sekeping plastik yang sama, dan kebanyakan orang menggunakan salah satu daripadanya dan tidak pernah tahu yang lain ada di situ. Berikut adalah kesemuanya, dalam istilah mudah.
| Ciri | Guna ia? | Untuk apa ia |
|---|---|---|
| FIDO2 / WebAuthn | Ya, inilah dia | Standard moden. Log masuk kalis pancingan data, dan asas kepada passkey. Inilah yang anda akan gunakan pada Google, Microsoft, GitHub, Cloudflare, Proton dan kebanyakan perkara yang penting. |
| Passkey (kunci kediaman) | Ya | Perkara yang sama, tetapi kunci itu menyimpan identiti akaun juga, jadi anda boleh log masuk tanpa perlu menaip nama pengguna atau kata laluan langsung. Storan terhad — lihat nota di bawah. |
| U2F | Automatik | Versi lama bagi idea yang sama. Masih digunakan oleh sesetengah laman web; kunci itu mengendalikannya tanpa anda perlu memilih. |
| OATH-TOTP | Situasional | Menyimpan kod enam digit biasa anda pada kunci dan bukan dalam aplikasi telefon, dibaca melalui Yubico Authenticator. Berguna untuk laman web yang tidak menyokong FIDO2. Ia masih merupakan kod dan masih boleh dipancing, ia melindungi rahsia itu, bukan log masuk. |
| Cabaran-tindak balas (HMAC-SHA1) | Ya, dengan KeePassXC | Menjadikan pangkalan data kata laluan anda memerlukan kunci fizikal untuk dibuka. Dibincangkan dalam panduan KeePassXC, ini adalah pasangan yang menjadikan kedua-dua alat jauh lebih kukuh. |
| PIV / kad pintar | Lanjutan | Menyimpan sijil. Digunakan untuk kunci SSH yang tidak boleh disalin keluar dari peranti, dan untuk sesetengah sistem korporat dan kerajaan. |
| OpenPGP | Lanjutan | Menyimpan kunci GPG pada perkakasan, jadi penandatanganan dan penyahsulitan berlaku pada kunci tersebut dan kunci peribadi tidak pernah menyentuh komputer anda. |
| Yubico OTP | Jarang | Skema kata laluan sekali guna legasi yang mendahului FIDO. Sesetengah perkhidmatan lama menggunakannya. Biarkan sahaja melainkan ada sesuatu yang memintanya. |
| Kata laluan statik | No | Menaip rentetan tetap apabila anda menyentuh kunci. Ciri kemudahan dari era lain. Jangan gunakannya untuk apa-apa yang penting. |
Kunci residen, yang membolehkan anda log masuk tanpa nama pengguna, mengambil slot kekal pada peranti, dan bilangannya terhad. Firmware YubiKey 5 yang lebih lama menyimpan sekitar 25; firmware terkini menyimpan jauh lebih banyak. Pendaftaran faktor kedua FIDO2 biasa tidak terhad seperti ini, jadi anda boleh menambah kunci pada ratusan laman tanpa memenuhi apa-apa. Jika anda kehabisan, ia akan disebabkan oleh passkey, bukan 2FA.
03Yang mana untuk dibeli
Keputusan kebanyakannya bergantung pada palam di hujungnya dan sama ada anda mahukan ciri tambahan. Padankan penyambung dengan telefon dan komputer anda, dan jika berbeza, beli satu untuk setiap satu daripada membawa penyesuai yang akan hilang.
| Model | Terbaik untuk | Nota |
|---|---|---|
| Siri Security Key (yang biru) | Kebanyakan orang | FIDO2 dan U2F sahaja, iaitu bahagian yang anda perlukan. Harganya kira-kira separuh daripada YubiKey 5. Jika anda tidak akan menggunakan PGP, PIV atau pasangan KeePassXC, ini adalah cadangan yang jujur. |
| YubiKey 5 NFC | Komputer USB-A + mana-mana telefon | Kunci ciri penuh. Ketuk pada telefon untuk NFC, pasang pada komputer riba untuk USB. Pilihan lalai jika anda mahu semua yang ada dalam jadual di atas. |
| YubiKey 5C NFC | Komputer USB-C + mana-mana telefon | Sama, dengan palam USB-C. Kemungkinan besar yang sesuai jika komputer riba anda baharu. |
| YubiKey 5Ci | iPhone dengan Lightning | Mempunyai kedua-dua USB-C dan Lightning. Hanya relevan untuk iPhone lama; yang lebih baharu menggunakan USB-C dan boleh menggunakan NFC juga. |
| YubiKey 5 Nano | Tinggal-dalam-laptop | Kecil, duduk rata dalam port secara kekal. Mudah, dan ia menghapuskan faedah pemisahan fizikal, jika laptop diambil, kunci turut diambil bersama. |
| Siri Bio | Ruang kongsi | Cap jari dan bukan PIN. Sungguh bagus; lebih mahal; pertimbangkan dengan teliti sama ada biometrik adalah buka kunci yang sesuai di tempat anda tinggal, kerana dalam banyak bidang kuasa anda boleh dipaksa memberikan cap jari lebih mudah daripada PIN. |
Satu kunci adalah satu titik kegagalan: hilangkannya dan anda boleh terkunci daripada akaun anda sendiri secara kekal, yang merupakan bencana tersendiri. Daftarkan kedua-dua kunci pada setiap akaun, bawa satu, dan simpan yang kedua di tempat yang berasingan secara fizikal, laci di rumah, peti besi, seseorang yang anda percayai. Kunci kedua ialah pelan sandaran, dan kosnya kurang daripada pemulihan.
Bukan senarai marketplace, bukan terpakai, bukan hadiah daripada seseorang yang anda tidak kenal dengan baik. Kunci keselamatan ialah peranti yang anda akan percayai dengan segala-galanya; rantaian bekalan adalah sebahagian daripada produk. Firmware Yubico sengaja tidak boleh dikemas kini, yang baik untuk ketahanan terhadap gangguan dan bermakna kunci yang terjejas tidak boleh dibaiki, hanya diganti.
04Menyediakannya, dalam urutan yang betul
Urutan itu penting. Mulakan dengan akaun yang boleh menetapkan semula semua yang lain, dan pastikan anda tidak boleh mengunci diri anda sepanjang proses.
-
Mulakan dengan e-mel anda
Setiap akaun lain yang anda miliki dipulihkan melaluinya, menjadikannya sasaran sebenar. Pergi ke tetapan keselamatan penyedia e-mel anda dan tambah kedua-dua kunci sebelum anda menyentuh apa-apa lagi. Jika penyedia e-mel anda tidak menyokong kunci keselamatan, itu adalah sebab untuk menukar penyedia, bukan sebab untuk melangkaunya.
-
Daftarkan kedua-dua kunci pada masa yang sama
Lakukannya dalam satu sesi, pada setiap akaun. Mod kegagalan yang orang hadapi ialah mendaftarkan satu kunci sekarang dan "menambah kunci simpanan kemudian" — kemudian tidak pernah tiba, dan akhirnya kunci pertama melalui mesin basuh.
-
Simpan kod pemulihan dengan betul
Setiap laman memberikan anda satu set kod pemulihan sekali guna. Ini adalah pintasan lengkap kepada kunci anda, jadi ia patut diberi penjagaan yang sama seperti kunci itu sendiri. Masukkan ke dalam pengurus kata laluan anda, atau cetak dan simpan di tempat yang selamat dari segi fizikal. Jangan fotografinya, dan jangan biarkannya dalam folder muat turun.
-
Sekarang semak kaedah yang lebih lemah
Jika kod SMS masih menjadi sandaran, pertukaran SIM boleh memintas kunci. Setelah kedua-dua kunci berfungsi, matikan SMS di mana-mana sahaja perkhidmatan membenarkannya. Simpan kod pengesah hanya di tempat yang anda perlukan sebagai laluan pemulihan, lindungi benih dan kod pemulihannya dalam pengurus kata laluan anda, dan jangan sekali-kali membuang sesuatu kaedah sehingga anda telah menguji cara-cara lain untuk masuk semula.
-
Ikut senarai dari atas ke bawah
Selepas e-mel: pengurus kata laluan anda jika ia menyokong kunci, kemudian storan awan, kemudian akaun sosial yang anda gunakan untuk menyiarkan, kemudian apa-apa sahaja yang mempunyai kaedah pembayaran dilampirkan, kemudian pengehosan kod. Apa-apa yang tinggal boleh menunggu pada malam yang lapang.
-
Uji kunci simpanan sebelum anda menyimpannya
Log keluar dan log masuk semula menggunakan kunci sandaran secara khusus. Sandaran yang tidak diuji adalah tekaan.
05Apa yang tidak dilindunginya daripada anda
Kunci keselamatan ialah kawalan tunggal terkuat yang tersedia untuk orang biasa, dan ia masih terhad. Ia menewaskan pancingan data. Ia tidak menewaskan perkara-perkara ini.
- Halaman phishing, walau semeyakinkan mana pun, termasuk serangan geganti masa nyata.
- Credential stuffing, kata laluan anda daripada kebocoran tapak lain kini tidak berguna dengan sendirinya.
- Teka kata laluan dan penyemburan.
- Kebanyakan serangan SIM-swap, sebaik sahaja SMS dialih keluar sebagai pilihan sandaran.
- Perisian hasad yang sudah ada pada komputer anda. Jika sesuatu memantau sesi anda selepas anda log masuk, kunci itu sudah menjalankan tugasnya dan telah dipintas.
- Kecurian kuki sesi. Penyerang yang mencuri token sesi langsung tidak perlu log masuk sama sekali.
- Laluan pemulihan. Jika kakitangan sokongan boleh dipujuk untuk menetapkan semula akaun anda, kunci anda tidak lagi relevan. Ini kini cara paling biasa akaun berkunci jatuh.
- Rampasan fizikal ke atas anda dan kunci itu bersama-sama.
- Akaun yang anda terlupa lindungi, di situlah penyerang akan pergi seterusnya.
Ia menutup pintu depan sepenuhnya, dan penyerang beralih ke tingkap. Itu masih satu peningkatan yang sangat besar, pintu depan ialah tempat hampir semua trafik berada, tetapi ia adalah sebab untuk terus membaca seluruh tapak ini dan bukannya berhenti di sini.
06Jika anda tidak mahu YubiKey
YubiKey ialah pilihan lalai kerana ia paling meluas disokong dan paling teliti disemak, bukan kerana ia satu-satunya pilihan. Kami tidak menerima wang daripada mana-mana pihak ini.
Nitrokey
Buatan Jerman, dengan perisian tegar dan reka bentuk perkakasan sumber terbuka, pilihan jika "Saya mahu dapat memeriksanya" lebih penting kepada anda daripada keserasian maksimum. Diliputi sebagai alternatif dalam bahagian kunci keselamatan panduan.
nitrokey.com ↗Token2
Buatan Switzerland, murah, berfokuskan FIDO2. Cara yang munasabah untuk membeli dua kunci dengan bajet ketat tanpa beralih kepada jenama yang tidak dikenali.
token2.com ↗Telefon anda sebagai passkey
Telefon moden boleh bertindak sebagai pengesah FIDO2, yang memberikan anda rintangan phishing yang sama secara percuma. Lebih lemah dalam satu aspek khusus: telefon ialah peranti yang paling berkemungkinan dirampas, dibuka kunci, atau dikompromi. Baik sebagai faktor kedua, bukan sebagai satu-satunya faktor anda.
07Soalan yang orang sebenarnya tanya
Apa yang berlaku jika saya kehilangan kunci?
Tiada apa-apa, jika anda melakukannya dengan betul: anda menggunakan kunci kedua, kemudian anda mengalih keluar kunci yang hilang daripada setiap akaun dan mendaftarkan pengganti. Inilah sebabnya panduan menegaskan supaya membeli dua. Jika anda tidak melakukannya, anda bergantung pada kod pemulihan anda, dan jika anda juga tidak memilikinya, anda bergantung pada proses pemulihan akaun penyedia, yang boleh mengambil masa berminggu-minggu dan kadangkala gagal.
Bolehkah seseorang yang mencuri kunci saya masuk ke akaun saya?
Tidak dengan sendirinya. Kunci itu ialah faktor kedua, mereka masih perlukan kata laluan anda, dan bagi kebanyakan konfigurasi mereka juga perlukan PIN kunci itu, yang mengunci peranti selepas beberapa percubaan salah. Kunci yang dicuri adalah satu kesulitan kepada anda, bukan pelanggaran keselamatan. Buangnya daripada akaun anda juga.
Adakah saya perlu membawanya ke mana-mana?
Hanya apabila log masuk di tempat baharu. Kebanyakan laman membenarkan anda menandakan peranti sebagai dipercayai, jadi dalam kehidupan harian anda jarang menyentuh kunci itu — biasanya apabila menyediakan mesin baharu atau selepas mengosongkan kuki anda. Model NFC berfungsi dengan mengetuk pada telefon, yang menghilangkan sebahagian besar kerumitan yang dibayangkan orang.
Adakah passkey perkara yang sama?
Passkey ialah kriptografi yang sama dengan ketahanan phishing yang sama. Bezanya ialah di mana ia disimpan. Passkey dalam telefon anda atau dalam akaun pelayar disegerakkan melalui awan syarikat, yang memudahkan dan bermakna kekuatan akaun itu menjadi kekuatan passkey anda. Passkey pada kunci perkakasan tidak boleh disegerakkan, disalin atau diekstrak. Bagi akaun yang penting, letakkan pada perkakasan.
Akaun mana yang patut diutamakan?
E-mel, sentiasa. Kemudian pengurus kata laluan anda, kemudian apa-apa yang anda terbitkan, kemudian apa-apa yang menyimpan wang. Jika anda mendokumentasikan atau melaporkan tentang subjek ini, akaun tempat anda menyiarkan lebih bernilai kepada pihak lawan daripada bank anda — kehilangannya bermakna orang lain bercakap atas nama anda, yang tidak boleh dipulihkan dengan caj balik.
08Sumber dan bacaan lanjut
- Yubico — laman rasmi dan perbandingan model yubico.com
- FIDO Alliance, standard FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternatif perkakasan dan perisian tegar sumber terbuka nitrokey.com
- EFF Surveillance Self-Defense — keselamatan akaun ssd.eff.org
- Privacy Guides — pengesahan berbilang faktor privacyguides.org
Kali terakhir disemak: 25 September 2026