Dacă faci un singur lucru pe tot acest site, fă-l pe acesta. Orice altă măsură de aici reduce riscul la marjă; aceasta elimină o întreagă categorie de atac, și este categoria care li se întâmplă de fapt oamenilor care fac această muncă. Costă mai puțin decât o pereche de pantofi și durează o după-amiază.
01De ce un cod poate fi furat, iar o cheie nu
Ai văzut atacul chiar dacă nu a funcționat împotriva ta. Un e-mail sau un mesaj spune că există o problemă cu contul tău. Linkul duce la o pagină care este o copie identică a autentificării reale. Introduci parola. Ți se cere codul din aplicația de autentificare. Îl introduci și pe acela.
În spate, serverul atacatorului se autentifică pe site-ul real în același moment, retransmițând tot ce tastezi, în timp real. Codul tău era autentic. Era valabil treizeci de secunde. Doar l-ai tastat în fereastra greșită, iar treizeci de secunde sunt mai mult decât suficiente.
O aplicație generează un număr dintr-un secret partajat și un ceas. Nu are nicio idee la ce site te uiți, așa că nu poate distinge o pagină de autentificare reală de o copie. Codul nu este punctul slab, ochiul uman este. Orice apărare care depinde de faptul că observi un domeniu fals va eșua în cele din urmă, pentru că falsurile sunt foarte bune și tu vei fi obosit.
O cheie de securitate funcționează diferit. Când o înregistrezi pe un site, aceasta stochează un secret legat de domeniul real al acelui site. La autentificare, site-ul trimite o provocare; cheia o semnează, dar numai după ce verifică că domeniul care solicită corespunde domeniului cu care a fost înregistrată. Un domeniu care imită aspectul cere, iar cheia pur și simplu nu răspunde. Nu există nimic de transmis mai departe, nimic de tastat și nimic pe care să greșești.
Google și-a mutat întreaga forță de muncă — zeci de mii de oameni, pe chei de securitate și a raportat zero preluări de cont prin phishing reușite ale conturilor angajaților după aceea. Aceasta este cea mai puternică dovadă din securitatea pentru consumatori pentru orice măsură individuală și este motivul pentru care acest ghid este primul, nu al cincilea.
02Ce se află pe cheie
Un YubiKey 5 nu este un singur lucru. Este mai multe dispozitive de securitate independente în aceeași bucată de plastic, iar majoritatea oamenilor folosesc unul dintre ele și nu știu niciodată că restul există. Iată totul, pe înțelesul tuturor.
| Caracteristică | Îl folosești? | Pentru ce este |
|---|---|---|
| FIDO2 / WebAuthn | Da, acesta este cel potrivit | Standardul modern. Autentificare imună la phishing și baza pentru passkeys. Acesta este ceea ce vei folosi pe Google, Microsoft, GitHub, Cloudflare, Proton și pe majoritatea lucrurilor care contează. |
| Passkeys (chei rezidente) | Da | Același lucru, dar cheia stochează și identitatea contului, astfel încât te poți autentifica fără să tastezi deloc un nume de utilizator sau o parolă. Spațiul de stocare este limitat — vezi nota de mai jos. |
| U2F | Automat | Versiunea mai veche a aceleiași idei. Încă folosită de unele site-uri; cheia o gestionează fără să fie nevoie să alegi. |
| OATH-TOTP | În funcție de situație | Stochează codurile tale obișnuite de șase cifre pe cheie în loc de o aplicație de telefon, citite prin Yubico Authenticator. Util pentru site-urile care nu acceptă FIDO2. Este tot un cod și poate fi totuși furat prin phishing, protejează secretul, nu autentificarea. |
| Challenge-response (HMAC-SHA1) | Da, cu KeePassXC | Face ca baza ta de date de parole să necesite cheia fizică pentru a fi deschisă. Tratat în ghidul KeePassXC, aceasta este asocierea care face ambele instrumente considerabil mai puternice. |
| PIV / card inteligent | Avansat | Deține certificate. Folosit pentru chei SSH care nu pot fi copiate de pe dispozitiv și pentru unele sisteme corporative și guvernamentale. |
| OpenPGP | Avansat | Păstrează cheile GPG pe hardware, astfel încât semnarea și decriptarea au loc pe cheie, iar cheia privată nu ajunge niciodată pe computerul tău. |
| Yubico OTP | Rar | O schemă legacy de parole de unică folosință, anterioară FIDO. Unele servicii mai vechi o folosesc. Las-o în pace dacă nimic nu o cere. |
| Parolă statică | No | Tastează un șir fix când atingi cheia. O funcție de comoditate dintr-o altă eră. Nu o folosi pentru nimic important. |
Cheile rezidente, cele care îți permit să te autentifici fără nume de utilizator, ocupă sloturi permanente pe dispozitiv, iar numărul lor este fix. Firmware-ul mai vechi YubiKey 5 stochează în jur de 25; firmware-ul recent stochează considerabil mai multe. Înregistrările obișnuite FIDO2 ca al doilea factor nu sunt limitate în acest fel, așa că poți adăuga o cheie la sute de site-uri fără să umpli nimic. Dacă rămâi fără sloturi, se va întâmpla din cauza passkey-urilor, nu a 2FA.
03Pe care să o cumperi
Decizia ține în principal de conectorul de la capăt și de dacă vrei funcțiile suplimentare. Potrivește conectorul cu telefonul și computerul tău, iar dacă diferă, cumpără câte una din fiecare în loc să cari un adaptor pe care îl vei pierde.
| Model | Cel mai potrivit pentru | Note |
|---|---|---|
| Seria Security Key (cele albastre) | Majoritatea oamenilor | Doar FIDO2 și U2F, care este partea de care ai nevoie. Aproximativ jumătate din prețul unui YubiKey 5. Dacă nu vei folosi PGP, PIV sau asocierea cu KeePassXC, aceasta este recomandarea onestă. |
| YubiKey 5 NFC | Computer USB-A + orice telefon | Cheia cu toate funcțiile. Atinge-o de un telefon pentru NFC, conecteaz-o la un laptop pentru USB. Alegerea implicită dacă vrei tot ce este în tabelul de mai sus. |
| YubiKey 5C NFC | Computer USB-C + orice telefon | Identică, cu un conector USB-C. Cel mai probabil cea potrivită dacă laptopul tău este recent. |
| YubiKey 5Ci | iPhone cu Lightning | Are atât USB-C, cât și Lightning. Relevantă doar pentru iPhone-uri mai vechi; cele mai noi sunt USB-C și oricum pot folosi NFC. |
| YubiKey 5 Nano | Lasă-l în laptop | Minuscul, stă fix în port în permanență. Convenabil, dar elimină beneficiul separării fizice: dacă laptopul este luat, cheia este luată cu el. |
| Seria Bio | Spații comune | Amprentă digitală în loc de PIN. Chiar plăcut; mai scump; gândește-te bine dacă biometria este deblocarea potrivită acolo unde locuiești, deoarece în multe jurisdicții poți fi obligat să oferi o amprentă digitală mai ușor decât un PIN. |
O singură cheie este un singur punct de eșec: pierde-o și poți fi blocat definitiv din propriile conturi, ceea ce este un dezastru în sine. Înregistrează ambele chei pe fiecare cont, poartă una și păstrează a doua într-un loc fizic separat, un sertar acasă, un seif, la cineva în care ai încredere. A doua cheie este planul de rezervă și costă mai puțin decât recuperarea.
Nu dintr-o listare de marketplace, nu second-hand, nu cadou de la cineva pe care nu-l cunoști bine. O cheie de securitate este un dispozitiv cu care vei avea încredere pentru tot; lanțul de aprovizionare face parte din produs. Firmware-ul Yubico nu este actualizabil în mod deliberat, ceea ce este bun pentru rezistența la manipulare și înseamnă că o cheie compromisă nu poate fi niciodată reparată, doar înlocuită.
04Configurarea, în ordinea corectă
Ordinea contează. Începe cu contul care le poate reseta pe toate celelalte și asigură-te că nu te poți bloca singur pe parcurs.
-
Începe cu emailul tău
Fiecare alt cont pe care îl deții se recuperează prin el, ceea ce îl face ținta reală. Mergi la setările de securitate ale furnizorului tău de email și adaugă ambele chei înainte de a atinge orice altceva. Dacă furnizorul tău de email nu acceptă chei de securitate, acesta este un motiv să schimbi furnizorul, nu un motiv să sari peste acest pas.
-
Înregistrează ambele chei în același timp
Fă-o într-o singură sesiune, pe fiecare cont. Modul de eșec pe care îl întâlnesc oamenii este să înregistreze o cheie acum și „să adauge cheia de rezervă mai târziu” — mai târziu nu vine niciodată, iar apoi prima cheie ajunge în mașina de spălat.
-
Salvează codurile de recuperare corespunzător
Fiecare site îți oferă un set de coduri de recuperare de unică folosință. Acestea ocolesc complet cheia ta, așa că merită aceeași grijă ca cheia însăși. Pune-le în managerul tău de parole sau tipărește-le și păstrează-le undeva sigur din punct de vedere fizic. Nu le fotografia și nu le lăsa într-un folder de descărcări.
-
Acum verifică metodele mai slabe
Dacă codurile SMS rămân o metodă de rezervă, un SIM swap poate ocoli cheia. Odată ce ambele chei funcționează, dezactivează SMS oriunde serviciul îți permite. Păstrează un cod de autentificare doar acolo unde ai nevoie de el ca cale de recuperare, protejează-i seed-ul și codurile de recuperare în managerul tău de parole și nu elimina niciodată o metodă până nu ai testat căile rămase de acces.
-
Parcurge lista în ordine
După email: managerul tău de parole dacă acceptă chei, apoi stocarea în cloud, apoi conturile sociale de pe care postezi, apoi orice are o metodă de plată atașată, apoi găzduirea codului. Orice rămâne poate aștepta o seară liberă.
-
Testează cheia de rezervă înainte de a o pune deoparte
Deconectează-te și reconectează-te folosind în mod specific cheia de rezervă. O copie de rezervă netestată este o presupunere.
05De ce nu te protejează
O cheie de securitate este cel mai puternic control unic disponibil unei persoane obișnuite și tot este limitată. Învinge phishingul. Nu învinge acestea.
- Pagini de phishing, oricât de convingătoare, inclusiv atacuri de retransmisie în timp real.
- Umplerea acreditărilor, parola ta de pe alt site compromis este acum inutilă de una singură.
- Ghicirea și pulverizarea parolelor.
- Majoritatea atacurilor de tip SIM-swap, odată ce SMS-ul este eliminat ca metodă de rezervă.
- Malware deja prezent pe computer. Dacă ceva îți monitorizează sesiunea după ce te autentifici, cheia și-a făcut deja treaba și a fost ocolită.
- Furtul cookie-urilor de sesiune. Un atacator care fură un token de sesiune activ nu are nevoie să se autentifice deloc.
- Ruta de recuperare. Dacă personalul de suport poate fi convins să-ți reseteze contul, cheia ta este irelevantă. Acesta este acum cel mai comun mod în care conturile protejate cu chei cad.
- Confiscarea fizică a ta și a cheii împreună.
- Conturile pe care ai uitat să le protejezi, care este locul unde vor merge atacatorii în continuare.
Închide ușa din față complet, iar atacatorul se mută la ferestre. Aceasta este totuși o îmbunătățire enormă, ușa din față este locul unde se afla aproape tot traficul, dar este un motiv să continui să citești restul acestui site, nu să te oprești aici.
06Dacă nu doriți un YubiKey
YubiKey este opțiunea implicită pentru că este cea mai larg acceptată și cea mai temeinic verificată, nu pentru că ar fi singura opțiune. Nu primim bani de la niciunul dintre aceștia.
Nitrokey
Germană, cu firmware și design hardware open-source, alegerea dacă „Vreau să pot să îl inspectez” contează mai mult pentru dumneavoastră decât compatibilitatea maximă. Prezentat ca alternativă în secțiunea despre chei de securitate a ghidului.
nitrokey.com ↗Token2
Elvețian, ieftin, axat pe FIDO2. O modalitate rezonabilă de a cumpăra două chei cu buget limitat fără a ajunge la un brand necunoscut.
token2.com ↗Telefonul dumneavoastră ca passkey
Telefoanele moderne pot acționa ca autentificator FIDO2, ceea ce vă oferă aceeași rezistență la phishing gratuit. Mai slab într-un mod specific: telefonul este dispozitivul cel mai probabil să fie luat, deblocat sau compromis. Bun ca al doilea factor, nu ca singurul.
07Întrebări pe care oamenii le pun de fapt
Ce se întâmplă dacă pierd cheia?
Nimic, dacă ați făcut acest lucru corect: folosiți a doua cheie, apoi eliminați cheia pierdută din fiecare cont și înregistrați una de schimb. Exact de aceea ghidul insistă să cumpărați două. Dacă nu ați făcut-o, reveniți la codurile de recuperare, iar dacă nu le aveți nici pe acelea, vă bazați pe procesul de recuperare a contului al furnizorului, care poate dura săptămâni și uneori eșuează.
Poate cineva care îmi fură cheia să intre în conturile mele?
Nu de una singură. Cheia este un al doilea factor, au nevoie în continuare de parola ta, iar pentru majoritatea configurațiilor au nevoie și de PIN-ul cheii, care blochează dispozitivul după un număr mic de încercări greșite. O cheie furată este un inconvenient pentru tine, nu o breșă. Elimină-o oricum din conturile tale.
Trebuie să o port peste tot?
Doar când te autentifici undeva nou. Majoritatea site-urilor îți permit să marchezi un dispozitiv ca fiind de încredere, așa că zi de zi vei atinge rar cheia — de obicei când configurezi o mașină nouă sau după ce îți ștergi cookie-urile. Modelele NFC funcționează prin atingerea unui telefon, ceea ce elimină cea mai mare parte a fricțiunii pe care și-o imaginează oamenii.
O passkey este același lucru?
O passkey este aceeași criptografie cu aceeași rezistență la phishing. Diferența este unde se află. O passkey din telefonul tău sau dintr-un cont de browser se sincronizează prin cloud-ul unei companii, ceea ce este convenabil și înseamnă că puterea acelui cont devine puterea passkey-ului tău. O passkey pe o cheie hardware nu poate fi sincronizată, copiată sau extrasă. Pentru conturile care contează, pune-o pe hardware.
Care conturi ar trebui să primească una prima dată?
Emailul, întotdeauna. Apoi managerul tău de parole, apoi orice cont de pe care publici, apoi orice deține bani. Dacă documentezi sau raportezi pe acest subiect, contul de pe care postezi valorează mai mult pentru un adversar decât banca ta — pierderea lui înseamnă că altcineva vorbește în numele tău, ceea ce nu poate fi anulat printr-un chargeback.
08Surse și lecturi suplimentare
- Yubico — site oficial și comparație de modele yubico.com
- FIDO Alliance, standardul FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — alternativă hardware și firmware open-source nitrokey.com
- EFF Surveillance Self-Defense — securitatea contului ssd.eff.org
- Privacy Guides — autentificare multi-factor privacyguides.org
Ultima verificare: 25 septembrie 2026