Jeśli masz zrobić jedną rzecz na całej tej stronie, zrób tę. Każdy inny środek tutaj zmniejsza ryzyko na marginesie; ten usuwa całą kategorię ataku, i to tę kategorię, która faktycznie przytrafia się osobom wykonującym tę pracę. Kosztuje mniej niż para butów i zajmuje jedno popołudnie.
01Dlaczego kod można ukraść, a klucza nie
Widziałeś ten atak, nawet jeśli nie zadziałał na tobie. E-mail lub wiadomość mówi, że jest problem z twoim kontem. Link prowadzi do strony będącej co do piksela kopią prawdziwego logowania. Wpisujesz swoje hasło. Prosi o kod z aplikacji uwierzytelniającej. Wpisujesz go również.
Za kulisami serwer atakującego loguje się do prawdziwej witryny w tym samym momencie, przekazując wszystko, co wpisujesz, w czasie rzeczywistym. Twój kod był autentyczny. Był ważny przez trzydzieści sekund. Po prostu wpisałeś go w niewłaściwym oknie, a trzydzieści sekund to aż nadto.
Aplikacja generuje liczbę na podstawie współdzielonego sekretu i zegara. Nie ma pojęcia, na jaką witrynę patrzysz, więc nie potrafi odróżnić prawdziwej strony logowania od kopii. Kod nie jest słabością, słabością jest ludzkie oko. Każda obrona opierająca się na tym, że zauważysz fałszywą domenę, w końcu zawiedzie, bo fałszywki są bardzo dobre, a ty będziesz zmęczony.
Klucz bezpieczeństwa działa inaczej. Gdy rejestrujesz go w witrynie, przechowuje on sekret powiązany z prawdziwą domeną tej witryny. Przy logowaniu witryna wysyła wyzwanie; klucz je podpisuje, ale tylko po sprawdzeniu, czy domena pytająca zgadza się z domeną, w której został zarejestrowany. Domena łudząco podobna pyta, a klucz po prostu nie odpowiada. Nie ma nic do przekazania, nic do wpisania i nic, co możesz zrobić źle.
Google przeniósł całą swoją załogę — dziesiątki tysięcy osób, na klucze bezpieczeństwa i odnotował zero udanych przejęć kont pracowników w wyniku phishingu po tym fakcie. To najsilniejszy dowód w bezpieczeństwie konsumenckim dla jakiegokolwiek pojedynczego środka i dlatego ten przewodnik jest pierwszy, a nie piąty.
02Co jest na kluczu
YubiKey 5 to nie jedna rzecz. To kilka niezależnych urządzeń bezpieczeństwa w tym samym kawałku plastiku, a większość ludzi używa jednego z nich i nigdy nie dowiaduje się, że pozostałe tam są. Oto wszystko, w prostych słowach.
| Funkcja | Używać? | Do czego służy |
|---|---|---|
| FIDO2 / WebAuthn | Tak, to jest ten | Nowoczesny standard. Logowanie odporne na phishing i podstawa passkeys. To właśnie tego będziesz używać w Google, Microsoft, GitHub, Cloudflare, Proton i w większości rzeczy, które mają znaczenie. |
| Passkeys (klucze rezydentne) | Tak | To samo, ale klucz przechowuje również tożsamość konta, więc możesz zalogować się bez wpisywania nazwy użytkownika ani hasła. Pamięć jest ograniczona — patrz uwaga poniżej. |
| U2F | Automatyczne | Starsza wersja tego samego pomysłu. Wciąż używana przez niektóre strony; klucz obsługuje to bez konieczności wyboru. |
| OATH-TOTP | Sytuacyjne | Przechowuje Twoje zwykłe sześciocyfrowe kody na kluczu zamiast w aplikacji na telefonie, odczytywane przez Yubico Authenticator. Przydatne dla stron, które nie obsługują FIDO2. To wciąż kod i wciąż podatny na phishing, chroni sekret, a nie logowanie. |
| Challenge-response (HMAC-SHA1) | Tak, z KeePassXC | Sprawia, że otwarcie bazy haseł wymaga fizycznego klucza. Omówiono w przewodniku KeePassXC, to połączenie znacząco wzmacnia oba narzędzia. |
| PIV / karta inteligentna | Zaawansowane | Przechowuje certyfikaty. Używane do kluczy SSH, których nie można skopiować z urządzenia, oraz w niektórych systemach korporacyjnych i rządowych. |
| OpenPGP | Zaawansowane | Przechowuje klucze GPG w sprzęcie, więc podpisywanie i odszyfrowywanie odbywa się na kluczu, a klucz prywatny nigdy nie trafia do twojego komputera. |
| Yubico OTP | Rzadko | Starszy schemat jednorazowych haseł poprzedzający FIDO. Niektóre starsze usługi go używają. Zostaw go w spokoju, chyba że coś o niego poprosi. |
| Hasło statyczne | No | Wpisuje stały ciąg znaków, gdy dotkniesz klucza. Funkcja wygody z innej epoki. Nie używaj jej do niczego, co ma znaczenie. |
Klucze rezydentne, te które pozwalają zalogować się bez nazwy użytkownika, zajmują trwałe sloty na urządzeniu, a ich liczba jest stała. Starszy firmware YubiKey 5 przechowuje około 25; nowszy firmware przechowuje znacznie więcej. Zwykłe rejestracje FIDO2 jako drugiego czynnika nie są w ten sposób ograniczone, więc możesz dodać klucz do setek stron bez zapełniania czegokolwiek. Jeśli zabraknie ci miejsca, to z powodu passkeys, a nie 2FA.
03Który kupić
Decyzja dotyczy głównie wtyczki na końcu i tego, czy chcesz dodatkowe funkcje. Dopasuj złącze do swojego telefonu i komputera, a jeśli się różnią, kup po jednym z każdego, zamiast nosić adapter, który zgubisz.
| Model | Najlepsze do | Uwagi |
|---|---|---|
| Seria Security Key (niebieskie) | Większość ludzi | Tylko FIDO2 i U2F, czyli to, czego potrzebujesz. Około połowy ceny YubiKey 5. Jeśli nie zamierzasz używać PGP, PIV ani parowania z KeePassXC, to szczera rekomendacja. |
| YubiKey 5 NFC | Komputer USB-A + dowolny telefon | Klucz z pełnym zestawem funkcji. Przyłóż go do telefonu, aby użyć NFC, podłącz go do laptopa przez USB. Domyślny wybór, jeśli chcesz mieć wszystko z powyższej tabeli. |
| YubiKey 5C NFC | Komputer USB-C + dowolny telefon | Identyczny, z wtyczką USB-C. Najprawdopodobniej właściwy, jeśli twój laptop jest nowy. |
| YubiKey 5Ci | iPhone z Lightning | Ma zarówno USB-C, jak i Lightning. Istotny tylko dla starszych iPhone'ów; nowsze mają USB-C i tak czy inaczej mogą używać NFC. |
| YubiKey 5 Nano | Zostaw w laptopie | Malutki, na stałe tkwi w porcie. Wygodne i niweluje korzyść z fizycznego oddzielenia – jeśli laptop zostanie zabrany, klucz zostanie zabrany razem z nim. |
| Seria Bio | Przestrzenie współdzielone | Odcisk palca zamiast PIN-u. Naprawdę przyjemne; droższe; dokładnie rozważ, czy biometria to właściwy sposób odblokowania w miejscu, w którym mieszkasz, ponieważ w wielu jurysdykcjach można zostać zmuszonym do podania odcisku palca łatwiej niż PIN-u. |
Pojedynczy klucz to pojedynczy punkt awarii: zgub go i możesz zostać trwale zablokowany dostępu do własnych kont, co samo w sobie jest katastrofą. Zarejestruj oba klucze na każdym koncie, noś jeden, a drugi trzymaj w fizycznie oddzielnym miejscu – w szufladzie w domu, w sejfie, u kogoś, komu ufasz. Drugi klucz to plan awaryjny, a kosztuje mniej niż kosztowałoby odzyskiwanie dostępu.
Nie z oferty na marketplace, nie z drugiej ręki, nie w prezencie od kogoś, kogo dobrze nie znasz. Klucz bezpieczeństwa to urządzenie, któremu zaufasz wszystko; łańcuch dostaw jest częścią produktu. Firmware Yubico celowo nie podlega aktualizacji, co jest dobre dla odporności na manipulacje i oznacza, że skompromitowanego klucza nigdy nie da się naprawić, tylko wymienić.
04Konfiguracja, we właściwej kolejności
Kolejność ma znaczenie. Zacznij od konta, które może zresetować wszystkie pozostałe, i upewnij się, że po drodze nie zablokujesz sobie dostępu.
-
Zacznij od swojego e-maila
Każde inne konto, które posiadasz, odzyskuje dostęp przez nie, co czyni je prawdziwym celem. Przejdź do ustawień bezpieczeństwa swojego dostawcy poczty e-mail i dodaj oba klucze, zanim cokolwiek innego zrobisz. Jeśli Twój dostawca poczty e-mail nie obsługuje kluczy bezpieczeństwa, to jest powód, aby zmienić dostawcę, a nie powód, aby to pominąć.
-
Zarejestruj oba klucze w tym samym czasie
Zrób to za jednym posiedzeniem, na każdym koncie. Tryb awarii, na który ludzie trafiają, to zarejestrowanie jednego klucza teraz i „dodanie zapasowego później” — później nigdy nie nadchodzi, a wtedy pierwszy klucz przechodzi przez pralkę.
-
Zapisz kody odzyskiwania prawidłowo
Każda witryna daje Ci zestaw jednorazowych kodów odzyskiwania. Stanowią one całkowite obejście Twojego klucza, więc zasługują na taką samą troskę jak sam klucz. Umieść je w swoim menedżerze haseł albo wydrukuj je i trzymaj w fizycznie bezpiecznym miejscu. Nie fotografuj ich i nie zostawiaj ich w folderze pobranych plików.
-
Teraz przejrzyj słabsze metody
Jeśli kody SMS pozostają metodą zapasową, podmiana karty SIM może obejść klucz. Gdy oba klucze działają, wyłącz SMS wszędzie, gdzie usługa na to pozwala. Zachowaj kod z aplikacji uwierzytelniającej tylko tam, gdzie potrzebujesz go jako ścieżki odzyskiwania, chroń jego ziarno i kody odzyskiwania w swoim menedżerze haseł i nigdy nie usuwaj metody, dopóki nie przetestujesz pozostałych dróg powrotu.
-
Przechodź kolejno przez listę
Po poczcie e-mail: Twój menedżer haseł, jeśli obsługuje klucze, potem przechowywanie w chmurze, potem konta społecznościowe, z których publikujesz, potem wszystko, do czego przypisana jest metoda płatności, potem hosting kodu. Wszystko, co zostanie, może poczekać na wolny wieczór.
-
Przetestuj zapasowy klucz, zanim go odłożysz
Wyloguj się i zaloguj ponownie, używając konkretnie klucza zapasowego. Nieprzetestowana kopia zapasowa to zgadywanie.
05Czego cię nie chroni
Klucz bezpieczeństwa to najsilniejsza pojedyncza kontrola dostępna dla zwykłej osoby i wciąż jest wąska. Pokonuje phishing. Nie pokonuje tego.
- Strony phishingowe, choćby najbardziej przekonujące, w tym ataki typu real-time relay.
- Credential stuffing, twoje hasło z wycieku na innej stronie jest teraz bezużyteczne samo w sobie.
- Zgadywanie i spraying haseł.
- Większość ataków SIM-swap, gdy SMS zostanie usunięty jako metoda zapasowa.
- Złośliwe oprogramowanie już na twoim komputerze. Jeśli coś obserwuje twoją sesję po zalogowaniu, klucz już wykonał swoją pracę i został ominięty.
- Kradzież ciasteczek sesyjnych. Atakujący, który ukradnie aktywny token sesji, nie musi się w ogóle logować.
- Ścieżka odzyskiwania. Jeśli personel wsparcia da się namówić na zresetowanie twojego konta, twój klucz jest nieistotny. To obecnie najczęstszy sposób, w jaki padają konta chronione kluczem.
- Fizyczne zajęcie ciebie i klucza razem.
- Konta, o których ochronie zapomniałeś, do których atakujący skierują się w następnej kolejności.
Zamyka całkowicie drzwi frontowe, a atakujący przenosi się do okien. To wciąż ogromna poprawa, drzwi frontowe to miejsce, przez które przechodziła niemal cała komunikacja, ale to powód, by czytać dalej resztę tej strony, a nie by na tym poprzestać.
06Jeśli nie chcesz YubiKey
YubiKey jest domyślnym wyborem, ponieważ jest najszerzej obsługiwany i najdokładniej przeanalizowany, a nie dlatego, że jest jedyną opcją. Nie bierzemy pieniędzy od żadnego z tych dostawców.
Nitrokey
Niemiecki, z otwartoźródłowym oprogramowaniem układowym i projektami sprzętu — wybór, jeśli „chcę móc to sprawdzić” liczy się dla ciebie bardziej niż maksymalna zgodność. Omówiony jako alternatywa w sekcji przewodnika poświęconej kluczom bezpieczeństwa.
nitrokey.com ↗Token2
Szwajcarski, niedrogi, skupiony na FIDO2. Rozsądny sposób, by kupić dwa klucze przy ograniczonym budżecie, nie schodząc do nieznanej marki.
token2.com ↗Twój telefon jako passkey
Nowoczesne telefony mogą działać jako authenticator FIDO2, co daje ci tę samą odporność na phishing za darmo. Słabsze w jednym konkretnym aspekcie: telefon to urządzenie, które najłatwiej może zostać zabrane, odblokowane lub przejęte. Dobry jako drugi czynnik, ale nie jako jedyny.
07Pytania, które ludzie naprawdę zadają
Co się stanie, jeśli zgubię klucz?
Nic, jeśli zrobiłeś to prawidłowo: używasz drugiego klucza, a następnie usuwasz zgubiony ze wszystkich kont i rejestrujesz zamiennik. Właśnie dlatego przewodnik nalega na kupno dwóch. Jeśli tego nie zrobiłeś, pozostają ci kody odzyskiwania, a jeśli ich również nie masz, zdajesz się na proces odzyskiwania konta u dostawcy, który może potrwać tygodnie i czasami się nie udaje.
Czy ktoś, kto ukradnie mój klucz, może dostać się na moje konta?
Sam klucz nie wystarczy. Klucz jest drugim składnikiem, nadal potrzebują twojego hasła, a w większości konfiguracji potrzebują także PIN-u klucza, który blokuje urządzenie po kilku nieudanych próbach. Skradziony klucz to dla ciebie niedogodność, a nie włamanie. Mimo to usuń go ze swoich kont.
Czy muszę go wszędzie nosić?
Tylko gdy logujesz się w nowym miejscu. Większość stron pozwala oznaczyć urządzenie jako zaufane, więc na co dzień będziesz dotykać klucza rzadko — zwykle przy konfiguracji nowego komputera lub po wyczyszczeniu plików cookie. Modele NFC działają przez przyłożenie do telefonu, co usuwa większość trudności, które sobie wyobrażają ludzie.
Czy passkey to to samo?
Passkey to ta sama kryptografia z taką samą odpornością na phishing. Różnica polega na tym, gdzie się znajduje. Passkey w telefonie lub w koncie przeglądarki synchronizuje się przez chmurę firmy, co jest wygodne i oznacza, że siła tego konta staje się siłą twojego passkey. Passkey na kluczu sprzętowym nie może być synchronizowany, kopiowany ani wyodrębniony. Dla kont, które mają znaczenie, umieść go na sprzęcie.
Które konta powinny dostać go najpierw?
E-mail, zawsze. Potem twój menedżer haseł, potem wszystko, z czego publikujesz, a potem wszystko, co trzyma pieniądze. Jeśli dokumentujesz lub relacjonujesz ten temat, konto, z którego publikujesz, jest warte dla przeciwnika więcej niż twój bank — jego utrata oznacza, że ktoś inny mówi w twoim imieniu, czego nie da się cofnąć przez chargeback.
08Źródła i dalsza lektura
- Yubico — oficjalna strona i porównanie modeli yubico.com
- FIDO Alliance, standard FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternatywa z otwartym sprzętem i oprogramowaniem układowym nitrokey.com
- EFF Surveillance Self-Defense — bezpieczeństwo konta ssd.eff.org
- Privacy Guides — uwierzytelnianie wieloskładnikowe privacyguides.org
Ostatnia weryfikacja: 25 września 2026