Если вы сделаете на этом сайте только одну вещь, сделайте эту. Все остальные меры здесь снижают риск лишь незначительно; эта же устраняет целую категорию атак — и именно эта категория реально случается с людьми, занимающимися такой работой. Это стоит меньше пары обуви и занимает один день.
01Почему код можно украсть, а ключ — нет
Вы видели эту атаку, даже если она не сработала на вас. В письме или сообщении говорится, что с вашим аккаунтом проблема. Ссылка ведёт на страницу, которая является попиксельной копией настоящей страницы входа. Вы вводите пароль. Она запрашивает код из приложения-аутентификатора. Вы вводите и его.
За кулисами сервер атакующего в тот же момент входит на настоящий сайт, передавая всё, что вы вводите, в реальном времени. Ваш код был подлинным. Он был действителен тридцать секунд. Вы просто ввели его не в то окно, а тридцати секунд вполне достаточно.
Приложение генерирует число из общего секрета и часов. Оно понятия не имеет, на какой сайт вы смотрите, поэтому не может отличить настоящую страницу входа от копии. Слабость не в коде, а в человеческом глазе. Любая защита, зависящая от того, заметите ли вы поддельный домен, в конце концов даст сбой, потому что подделки очень хороши, а вы будете уставать.
Ключ безопасности работает иначе. Когда вы регистрируете его на сайте, он сохраняет секрет, привязанный к реальному домену этого сайта. При входе сайт отправляет запрос; ключ подписывает его, но только после проверки, что запрашивающий домен совпадает с доменом, с которым он был зарегистрирован. Похожий домен запрашивает — и ключ просто не отвечает. Нечего передавать, нечего вводить, и вы не можете ошибиться.
Google перевела всю свою рабочую силу — десятки тысяч человек — на ключи безопасности и сообщила о нуле успешных фишинговых захватов учётных записей сотрудников после этого. Это самое сильное доказательство в потребительской безопасности для любой отдельной меры, и именно поэтому это руководство стоит первым, а не пятым.
02Что находится на ключе
YubiKey 5 — это не одна вещь. Это несколько независимых устройств безопасности в одном куске пластика, и большинство людей используют одно из них и никогда не узнают, что остальные там есть. Вот всё это, простыми словами.
| Функция | Использовать? | Для чего это нужно |
|---|---|---|
| FIDO2 / WebAuthn | Да, это тот самый | Современный стандарт. Защищённый от фишинга вход и основа passkeys. Это то, что вы будете использовать в Google, Microsoft, GitHub, Cloudflare, Proton и большинстве важных сервисов. |
| Passkeys (резидентные ключи) | Да | То же самое, но ключ также хранит идентификатор учётной записи, поэтому вы можете войти, вообще не вводя имя пользователя или пароль. Объём памяти ограничен — см. примечание ниже. |
| U2F | Автоматически | Более старая версия той же идеи. Всё ещё используется некоторыми сайтами; ключ обрабатывает это без вашего выбора. |
| OATH-TOTP | Ситуативно | Хранит ваши обычные шестизначные коды на ключе, а не в приложении на телефоне, и считывается через Yubico Authenticator. Полезно для сайтов, которые не поддерживают FIDO2. Это всё ещё код, и его всё ещё можно украсть с помощью фишинга: он защищает секрет, а не вход в систему. |
| Запрос-ответ (HMAC-SHA1) | Да, с KeePassXC | Заставляет вашу базу паролей требовать физический ключ для открытия. Рассмотрено в руководстве по KeePassXC; это сочетание делает оба инструмента существенно надёжнее. |
| PIV / смарт-карта | Продвинутый | Хранит сертификаты. Используется для SSH-ключей, которые нельзя скопировать с устройства, а также в некоторых корпоративных и государственных системах. |
| OpenPGP | Продвинутый | Хранит ключи GPG на аппаратном уровне, поэтому подпись и расшифровка происходят на ключе, а закрытый ключ никогда не касается вашего компьютера. |
| Yubico OTP | Редко | Устаревшая схема одноразовых паролей, предшествующая FIDO. Некоторые старые сервисы её используют. Не трогайте её, если что-то её не запрашивает. |
| Статический пароль | No | Вводит фиксированную строку при касании ключа. Удобная функция из другой эпохи. Не используйте её ни для чего важного. |
Резидентные ключи, те, что позволяют входить без имени пользователя, занимают постоянные слоты на устройстве, и их количество фиксировано. Старая прошивка YubiKey 5 вмещает около 25; недавняя прошивка вмещает значительно больше. Обычные регистрации FIDO2 в качестве второго фактора не ограничены таким образом, поэтому вы можете добавить ключ к сотням сайтов, ничего не заполняя. Если они закончатся, это будет из-за passkey, а не 2FA.
03Какой купить
Решение в основном касается разъёма на конце и того, хотите ли вы дополнительные функции. Подберите разъём к вашему телефону и компьютеру, и если они различаются, купите по одному каждого, а не носите переходник, который потеряете.
| Модель | Лучше всего подходит для | Заметки |
|---|---|---|
| Серия Security Key (синие) | Большинство людей | Только FIDO2 и U2F — именно то, что вам нужно. Примерно вдвое дешевле YubiKey 5. Если вы не собираетесь использовать PGP, PIV или сопряжение с KeePassXC, это честная рекомендация. |
| YubiKey 5 NFC | Компьютер с USB-A + любой телефон | Ключ со всеми функциями. Приложите его к телефону для NFC, подключите к ноутбуку через USB. Выбор по умолчанию, если вы хотите всё из таблицы выше. |
| YubiKey 5C NFC | Компьютер с USB-C + любой телефон | Идентичен, но с разъёмом USB-C. Скорее всего, подойдёт вам, если ноутбук новый. |
| YubiKey 5Ci | iPhone с Lightning | Имеет и USB-C, и Lightning. Актуален только для старых iPhone; новые используют USB-C и в любом случае могут работать через NFC. |
| YubiKey 5 Nano | Оставлен в ноутбуке | Крошечный, навсегда плотно сидит в порту. Удобно, но это лишает преимущества физического разделения: если ноутбук заберут, ключ заберут вместе с ним. |
| Серия Bio | Общие пространства | Отпечаток пальца вместо PIN. Действительно приятно; дороже; тщательно подумайте, подходит ли биометрия для разблокировки там, где вы живёте, поскольку во многих юрисдикциях вас могут легче принудить предоставить отпечаток пальца, чем PIN. |
Один ключ — это единая точка отказа: потеряете его, и вас навсегда могут заблокировать в ваших собственных аккаунтах, а это своего рода катастрофа. Зарегистрируйте оба ключа на каждом аккаунте, носите один с собой, а второй храните в физически отдельном месте: в ящике дома, в сейфе, у человека, которому вы доверяете. Второй ключ — это план резервного восстановления, и он стоит меньше, чем само восстановление.
Не на торговой площадке, не с рук, не в подарок от человека, которого вы плохо знаете. Ключ безопасности — это устройство, которому вы доверите всё; цепочка поставок — часть продукта. Прошивка Yubico намеренно не обновляется, что хорошо для защиты от вмешательства и означает, что скомпрометированный ключ никогда нельзя исправить, только заменить.
04Настройка в правильном порядке
Порядок имеет значение. Начните с аккаунта, который может сбросить все остальные, и убедитесь, что по пути вы не заблокируете себя.
-
Начните с электронной почты
Каждый другой ваш аккаунт восстанавливается через него, что делает его настоящей целью. Зайдите в настройки безопасности вашего почтового провайдера и добавьте оба ключа, прежде чем трогать что-либо ещё. Если ваш почтовый провайдер не поддерживает ключи безопасности, это повод сменить провайдера, а не повод пропустить этот шаг.
-
Зарегистрируйте оба ключа одновременно
Сделайте это за один подход, для каждого аккаунта. Типичная ошибка, в которую попадают люди, — зарегистрировать один ключ сейчас, а «добавить запасной позже» — «позже» никогда не наступает, и потом первый ключ проходит через стиральную машину.
-
Сохраните коды восстановления правильно
Каждый сайт выдаёт вам набор одноразовых кодов восстановления. Это полный обход вашего ключа, поэтому они заслуживают такого же обращения, как и сам ключ. Положите их в ваш менеджер паролей или распечатайте и храните в физически защищённом месте. Не фотографируйте их и не оставляйте в папке загрузок.
-
Теперь проверьте более слабые методы
Если SMS-коды остаются запасным вариантом, подмена SIM-карты может обойти ключ. Как только оба ключа работают, отключите SMS везде, где сервис это позволяет. Оставляйте код аутентификатора только там, где он нужен вам как путь восстановления, защищайте его seed и коды восстановления в вашем менеджере паролей и никогда не удаляйте метод, пока не проверите оставшиеся способы входа.
-
Пройдитесь по списку
После почты: ваш менеджер паролей, если он поддерживает ключи, затем облачное хранилище, затем социальные аккаунты, из которых вы публикуете, затем всё, к чему привязан способ оплаты, затем хостинг кода. Всё оставшееся может подождать свободного вечера.
-
Проверьте запасной ключ, прежде чем убрать его
Выйдите из системы и войдите снова, используя именно резервный ключ. Непроверенная резервная копия — это догадка.
05От чего это не защищает вас
Ключ безопасности — самый сильный отдельный контроль, доступный обычному человеку, и он всё равно узок. Он побеждает фишинг. Он не побеждает это.
- Фишинговые страницы, какими бы убедительными они ни были, включая атаки с ретрансляцией в реальном времени.
- Подстановка учётных данных, ваш пароль из какой-то другой утечки теперь бесполезен сам по себе.
- Угадывание и распыление паролей.
- Большинство атак с подменой SIM-карты, как только SMS исключено как запасной вариант.
- Вредоносное ПО, уже находящееся на вашем компьютере. Если что-то следит за вашей сессией после входа в систему, ключ уже сделал своё дело и был обойдён.
- Кража сессионных cookie. Злоумышленнику, укравшему действующий токен сессии, вообще не нужно входить в систему.
- Маршрут восстановления. Если службу поддержки можно уговорить сбросить ваш аккаунт, ваш ключ не имеет значения. Сейчас это самый распространённый способ, которым падают аккаунты, защищённые ключом.
- Физическое изъятие вас вместе с ключом.
- Аккаунты, которые вы забыли защитить, — именно туда злоумышленники направятся дальше.
Он полностью закрывает входную дверь, и злоумышленник перебирается к окнам. Это всё равно огромное улучшение — входная дверь там, где был почти весь трафик, — но это причина продолжать читать остальную часть этого сайта, а не останавливаться на этом.
06Если вы не хотите использовать YubiKey
YubiKey используется по умолчанию, потому что он наиболее широко поддерживается и наиболее тщательно проверен, а не потому, что это единственный вариант. Мы не получаем денег ни от одного из них.
Nitrokey
Немецкий, с открытым исходным кодом прошивки и аппаратного дизайна, выбор, если «я хочу иметь возможность проверить его» для вас важнее максимальной совместимости. Рассматривается как альтернатива в разделе руководства о ключах безопасности.
nitrokey.com ↗Token2
Швейцарский, недорогой, ориентированный на FIDO2. Разумный способ купить два ключа при ограниченном бюджете, не переходя на неизвестный бренд.
token2.com ↗Ваш телефон как passkey
Современные телефоны могут выступать в роли аутентификатора FIDO2, что даёт вам такую же защиту от фишинга бесплатно. Слабее в одном конкретном отношении: телефон — это устройство, которое чаще всего могут забрать, разблокировать или скомпрометировать. Хорош как второй фактор, но не как единственный.
07Вопросы, которые люди действительно задают
Что произойдёт, если я потеряю ключ?
Ничего, если вы всё сделали правильно: вы используете второй ключ, а затем удаляете потерянный из каждой учётной записи и регистрируете замену. Именно поэтому руководство настаивает на покупке двух. Если вы этого не сделали, вы полагаетесь на свои коды восстановления, а если у вас нет и их, вы полагаетесь на процесс восстановления учётной записи провайдера, который может занять недели и иногда не срабатывает.
Может ли кто-то, кто украл мой ключ, получить доступ к моим аккаунтам?
Сам по себе — нет. Ключ — это второй фактор, ему всё ещё нужен ваш пароль, а в большинстве конфигураций также нужен PIN ключа, который блокирует устройство после нескольких неудачных попыток. Украденный ключ — это неудобство для вас, а не взлом. Но всё равно удалите его из своих аккаунтов.
Обязательно ли носить его с собой везде?
Только при входе в новое место. Большинство сайтов позволяют отметить устройство как доверенное, поэтому в повседневной жизни вы будете касаться ключа редко — обычно при настройке нового компьютера или после очистки файлов cookie. Модели с NFC работают при прикладывании к телефону, что устраняет большую часть неудобств, которые люди себе представляют.
Passkey — это то же самое?
Passkey — это та же криптография с той же устойчивостью к фишингу. Разница в том, где он хранится. Passkey в вашем телефоне или в аккаунте браузера синхронизируется через облако компании, что удобно и означает, что надёжность этого аккаунта становится надёжностью вашего passkey. Passkey на аппаратном ключе нельзя синхронизировать, скопировать или извлечь. Для важных аккаунтов используйте аппаратный ключ.
На какие аккаунты стоит поставить его в первую очередь?
На электронную почту — всегда. Затем на ваш менеджер паролей, затем на всё, откуда вы публикуете, затем на всё, где хранятся деньги. Если вы документируете или освещаете эту тему, аккаунт, с которого вы публикуете, для противника ценнее вашего банка — его потеря означает, что кто-то другой говорит от вашего имени, и это нельзя отменить через возврат платежа.
08Источники и дополнительная литература
- Yubico — официальный сайт и сравнение моделей yubico.com
- FIDO Alliance, стандарт FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — альтернатива с открытым исходным кодом аппаратного обеспечения и прошивки nitrokey.com
- EFF Surveillance Self-Defense — безопасность аккаунтов ssd.eff.org
- Privacy Guides — многофакторная аутентификация privacyguides.org
Последняя проверка: 25 сентября 2026