Kung isang bagay lang ang gagawin mo sa buong site na ito, ito na iyon. Bawat ibang hakbang dito ay nagpapababa ng panganib sa maliit na antas; ang isang ito ay nag-aalis ng buong kategorya ng pag-atake, at ito ang kategoryang talagang nangyayari sa mga taong gumagawa ng ganitong trabaho. Mas mura pa ito sa isang pares ng sapatos at kaya itong tapusin sa isang hapon.
01Bakit ang code ay maaaring nakawin at ang key ay hindi
Nakita mo na ang pag-atake kahit hindi ito gumana sa iyo. Sinasabi ng isang email o mensahe na may problema sa iyong account. Ang link ay papunta sa isang pahina na perpektong kopya ng tunay na login. Ilalagay mo ang iyong password. Hihingin nito ang iyong authenticator code. Ilalagay mo rin iyon.
Sa likod ng eksena, ang server ng attacker ay nagla-log in sa tunay na site sa parehong sandali, ipinapasa ang lahat ng iyong ini-type, sa real time. Tunay ang iyong code. Balido ito sa loob ng tatlumpung segundo. Nag-type ka lang nito sa maling bintana, at sapat na ang tatlumpung segundo.
Ang app ay gumagawa ng numero mula sa isang shared secret at isang orasan. Wala itong ideya kung anong site ang tinitingnan mo, kaya hindi nito matukoy ang tunay na login page mula sa kopya. Hindi ang code ang kahinaan, ang mata ng tao ang kahinaan. Anumang depensa na umaasa sa iyo para makita ang pekeng domain ay sa huli ay mabibigo, dahil napakagaling ng mga peke at ikaw ay mapapagod.
Iba ang paraan ng paggana ng security key. Kapag ini-rehistro mo ito sa isang site, nag-iimbak ito ng sikreto na nakaugnay sa tunay na domain ng site na iyon. Sa pag-login, nagpapadala ang site ng hamon; pinipirmahan ito ng key, ngunit pagkatapos lamang suriin na tumutugma ang domain na humihiling sa domain kung saan ito nagrehistro. May humihiling na kamukhang domain, at hindi lang basta sumasagot ang key. Walang maipapasa, walang ita-type, at walang mali sa iyong gagawin.
Inilipat ng Google ang buong workforce nito — sampu-sampung libong tao, sa mga security key at iniulat ang zero na matagumpay na phishing takeover ng mga account ng empleyado pagkatapos. Iyon ang pinakamalakas na ebidensya sa seguridad ng consumer para sa anumang iisang hakbang, at iyon ang dahilan kung bakit ito ang una sa gabay na ito kaysa panglima.
02Ano ang nasa key
Ang YubiKey 5 ay hindi isang bagay lamang. Ito ay ilang independiyenteng security device sa parehong piraso ng plastik, at karamihan sa mga tao ay gumagamit ng isa sa mga ito at hindi alam na naroon ang iba pa. Narito ang lahat ng ito, sa simpleng pananalita.
| Feature | Gamitin? | Para saan ito |
|---|---|---|
| FIDO2 / WebAuthn | Oo, ito na iyon | Ang modernong pamantayan. Phishing-proof na pag-login, at ang batayan ng mga passkey. Ito ang gagamitin mo sa Google, Microsoft, GitHub, Cloudflare, Proton at karamihan ng mahahalagang bagay. |
| Mga passkey (resident keys) | Oo | Ang parehong bagay, ngunit iniimbak din ng key ang pagkakakilanlan ng account, kaya makakapag-log in ka nang hindi nagta-type ng username o password. Limitado ang storage — tingnan ang tala sa ibaba. |
| U2F | Awtomatiko | Ang mas lumang bersyon ng parehong ideya. Ginagamit pa rin ng ilang site; hinahawakan ito ng key nang hindi mo pinipili. |
| OATH-TOTP | Batay sa sitwasyon | Iniimbak ang iyong ordinaryong anim na digit na code sa key sa halip na sa isang phone app, binabasa sa pamamagitan ng Yubico Authenticator. Kapaki-pakinabang para sa mga site na hindi sumusuporta sa FIDO2. Code pa rin ito at maaari pa ring ma-phish, pinoprotektahan nito ang secret, hindi ang login. |
| Challenge-response (HMAC-SHA1) | Oo, kasama ang KeePassXC | Ginagawang kailangan ang pisikal na key para mabuksan ang iyong password database. Saklaw sa gabay sa KeePassXC, ito ang pagtatambal na nagpapalakas nang malaki sa parehong tool. |
| PIV / smart card | Advanced | Naglalaman ng mga certificate. Ginagamit para sa mga SSH key na hindi makokopya palabas ng device, at para sa ilang corporate at government system. |
| OpenPGP | Advanced | Nagtataglay ng mga GPG key sa hardware, kaya ang pag-sign at pag-decrypt ay nangyayari sa key at ang private key ay hindi kailanman humahawak sa iyong computer. |
| Yubico OTP | Bihira | Isang legacy na one-time-password scheme na nauna pa sa FIDO. Ginagamit ito ng ilang mas lumang serbisyo. Iwanan ito maliban kung may humihingi. |
| Static password | No | Nagta-type ng fixed na string kapag hinawakan mo ang key. Isang convenience feature mula sa ibang panahon. Huwag itong gamitin para sa anumang mahalaga. |
Ang mga resident key, ang mga nagpapahintulot sa iyong mag-log in nang walang username, ay kumukuha ng permanenteng slot sa device, at may fixed na bilang ng mga ito. Ang mas lumang YubiKey 5 firmware ay may hawak na humigit-kumulang 25; ang kamakailang firmware ay may hawak na mas marami. Ang mga ordinaryong FIDO2 second-factor registration ay hindi limitado sa ganitong paraan, kaya makakapagdagdag ka ng key sa daan-daang site nang hindi napupuno ang anuman. Kung maubusan ka, ito ay dahil sa mga passkey, hindi sa 2FA.
03Alin ang bibilhin
Ang desisyon ay halos tungkol sa plug sa dulo at kung gusto mo ang mga extra feature. Itugma ang connector sa iyong telepono at computer, at kung magkaiba sila, bumili ng isa sa bawat isa sa halip na magdala ng adapter na mawawala mo.
| Model | Pinakamainam para sa | Mga Tala |
|---|---|---|
| Security Key series (ang mga asul) | Karamihan ng tao | FIDO2 at U2F lamang, na siyang kailangan mo. Halos kalahati ng presyo ng YubiKey 5. Kung hindi mo gagamitin ang PGP, PIV o ang pagpapares sa KeePassXC, ito ang tapat na rekomendasyon. |
| YubiKey 5 NFC | USB-A na computer + anumang telepono | Ang key na may lahat ng feature. I-tap ito sa telepono para sa NFC, isaksak sa laptop para sa USB. Ang default na pagpipilian kung gusto mo ang lahat ng nasa talahanayan sa itaas. |
| YubiKey 5C NFC | USB-C na computer + anumang telepono | Kapareho, may USB-C na plug. Malamang ito ang tama kung bago ang iyong laptop. |
| YubiKey 5Ci | iPhone na may Lightning | May parehong USB-C at Lightning. Mahalaga lamang para sa mas lumang iPhone; ang mga bago ay USB-C at maaaring gumamit ng NFC. |
| YubiKey 5 Nano | Iwan-sa-laptop | Napakaliit, permanente itong nakalapat sa port. Maginhawa, at inaalis nito ang benepisyo ng pisikal na paghihiwalay, kung makuha ang laptop, makukuha rin ang key kasama nito. |
| Bio series | Mga pinagsasaluhang espasyo | Fingerprint sa halip na PIN. Talagang maganda; mas mahal; pag-isipang mabuti kung ang biometric ang tamang unlock sa lugar kung saan ka nakatira, dahil sa maraming hurisdiksyon, mas madali kang mapipilitang magbigay ng fingerprint kaysa sa PIN. |
Ang isang key ay isang punto ng pagkabigo: mawala ito at maaari kang permanenteng ma-lock out sa sarili mong mga account, na isang uri rin ng sakuna. Irehistro ang dalawang key sa bawat account, dalhin ang isa, at itago ang pangalawa sa pisikal na hiwalay na lugar, isang drawer sa bahay, isang safe, isang taong pinagkakatiwalaan mo. Ang pangalawang key ang backup plan, at mas mababa ang halaga nito kaysa sa recovery.
Hindi isang marketplace listing, hindi secondhand, hindi regalo mula sa taong hindi mo kilala nang mabuti. Ang security key ay isang device na pagkakatiwalaan mo ng lahat; bahagi ng produkto ang supply chain. Ang firmware ng Yubico ay sadyang hindi naa-update, na mabuti para sa tamper-resistance at nangangahulugan na ang compromised na key ay hindi na maaayos, mapapalitan lamang.
04Pag-set up nito, sa tamang pagkakasunod-sunod
Mahalaga ang pagkakasunod-sunod. Magsimula sa account na makakapag-reset sa lahat ng iba pa, at tiyaking hindi mo mai-lock out ang sarili mo sa proseso.
-
Magsimula sa iyong email
Bawat iba pang account na pagmamay-ari mo ay dumadaan sa pag-recover dito, kaya ito ang tunay na target. Pumunta sa security settings ng iyong email provider at idagdag ang dalawang key bago mo pa hawakan ang anumang bagay. Kung hindi sinusuportahan ng iyong email provider ang security keys, iyon ay dahilan para magpalit ng provider, hindi dahilan para laktawan ito.
-
Irehistro ang dalawang key nang sabay
Gawin ito sa isang upuan, sa bawat account. Ang failure mode na nararanasan ng mga tao ay ang pagrehistro ng isang key ngayon at "idagdag ang spare mamaya" — hindi dumarating ang mamaya, at pagkatapos ay dumadaan ang unang key sa washing machine.
-
I-save nang maayos ang recovery codes
Bawat site ay nagbibigay sa iyo ng isang set ng one-time recovery codes. Ang mga ito ay kumpletong bypass ng iyong key, kaya nararapat silang bigyan ng parehong pag-aalaga tulad ng key mismo. Ilagay ang mga ito sa iyong password manager, o i-print at itago sa isang pisikal na ligtas na lugar. Huwag kumuha ng litrato ng mga ito, at huwag iwanan ang mga ito sa downloads folder.
-
Ngayon suriin ang mas mahihinang pamamaraan
Kung nananatiling fallback ang SMS codes, ang SIM swap ay maaaring lumampas sa key. Kapag gumana na ang dalawang key, i-off ang SMS saanman pinapayagan ka ng serbisyo. Panatilihin ang authenticator code lamang kung kailangan mo ito bilang recovery path, protektahan ang seed at recovery codes nito sa iyong password manager, at huwag kailanman mag-alis ng pamamaraan hangga't hindi mo pa nasubukan ang natitirang mga paraan upang makabalik.
-
Magtrabaho pababa sa listahan
Pagkatapos ng email: ang iyong password manager kung sinusuportahan nito ang keys, pagkatapos ay cloud storage, pagkatapos ay mga social account na pinagpo-postan mo, pagkatapos ay anumang may nakakabit na payment method, pagkatapos ay code hosting. Anumang natitira ay maaaring maghintay para sa isang walang gawain na gabi.
-
Subukan ang spare bago mo ito itabi
Mag-log out at mag-log back in gamit ang backup key partikular. Ang hindi nasubukang backup ay isang hula.
05Ano ang hindi nito pinoprotektahan ka
Ang security key ay ang pinakamalakas na solong kontrol na magagamit ng isang ordinaryong tao, at ito ay makitid pa rin. Natalo nito ang phishing. Hindi nito natalo ang mga ito.
- Mga phishing page, gaano man ito kapani-paniwala, kabilang ang real-time relay attacks.
- Credential stuffing, ang iyong password mula sa breach ng ibang site ay wala nang silbi nang mag-isa.
- Paghula at pag-spray ng password.
- Karamihan ng SIM-swap attacks, kapag naalis na ang SMS bilang fallback.
- Malware na nasa iyong computer na. Kung may nagmamanman sa iyong session pagkatapos mong mag-log in, nagawa na ng key ang trabaho nito at nalampasan na ito.
- Pagnanakaw ng session cookie. Ang attacker na magnanakaw ng live session token ay hindi na kailangang mag-log in.
- Ang recovery route. Kung makukumbinsi ang support staff na i-reset ang iyong account, wala nang saysay ang iyong key. Ito na ngayon ang pinakakaraniwang paraan kung paano nababagsak ang mga account na may key.
- Pisikal na pagsamsam sa iyo at sa key nang sabay.
- Mga account na nakalimutan mong protektahan, kung saan pupunta ang mga attacker.
Nagsasara ito nang tuluyan sa harapang pinto, at lumilipat ang attacker sa mga bintana. Malaking pagbuti pa rin ito, ang harapang pinto ang pinagdadaanan ng halos lahat ng trapiko, ngunit isa itong dahilan para ipagpatuloy ang pagbabasa sa iba pang bahagi ng site na ito kaysa huminto dito.
06Kung ayaw mo ng YubiKey
Ang YubiKey ang default dahil ito ang pinakamalawak na sinusuportahan at pinakamabusising nasuri, hindi dahil ito lang ang opsyon. Wala kaming tinatanggap na pera mula sa alinman sa mga ito.
Nitrokey
Aleman, may open-source na firmware at disenyo ng hardware, ang pipiliin kung ang "gusto kong masuri ito" ay mas mahalaga sa iyo kaysa sa pinakamataas na compatibility. Tinatalakay bilang alternatibo sa seksyon ng security-key ng gabay.
nitrokey.com ↗Token2
Swiss, mura, nakatuon sa FIDO2. Isang makatwirang paraan para makabili ng dalawang key sa limitadong badyet nang hindi bumababa sa hindi kilalang brand.
token2.com ↗Ang iyong telepono bilang passkey
Ang mga modernong telepono ay maaaring gumana bilang FIDO2 authenticator, na nagbibigay sa iyo ng parehong proteksyon laban sa phishing nang libre. Mas mahina sa isang partikular na paraan: ang telepono ang device na pinakamalamang na makuha, ma-unlock, o ma-compromise. Mabuti bilang pangalawang factor, hindi bilang tanging isa.
07Mga tanong na talagang itinatanong ng mga tao
Ano ang mangyayari kung mawala ko ang key?
Wala, kung ginawa mo ito nang tama: gagamitin mo ang pangalawang key, at pagkatapos ay aalisin mo ang nawalang key mula sa bawat account at magrerehistro ng kapalit. Ito mismo ang dahilan kung bakit pinipilit ng gabay na bumili ng dalawa. Kung hindi mo ginawa, babalik ka sa iyong recovery codes, at kung wala ka rin ng mga iyon, umaasa ka sa proseso ng account-recovery ng provider, na maaaring tumagal ng linggo at kung minsan ay nabibigo.
Makakapasok ba sa mga account ko ang sinumang magnanakaw ng aking key?
Hindi mag-isa. Ang key ay isang pangalawa na factor, kailangan pa rin nila ang iyong password, at para sa karamihan ng mga configuration kailangan din nila ang PIN ng key, na nagla-lock sa device pagkatapos ng ilang maling pagtatangka. Ang ninakaw na key ay isang abala sa iyo, hindi isang breach. Alisin mo pa rin ito sa iyong mga account.
Kailangan ko bang dalhin ito kahit saan?
Lamang kapag nagla-log in sa isang bagong lugar. Karamihan sa mga site ay nagpapahintulot sa iyo na markahan ang isang device bilang pinagkakatiwalaan, kaya sa araw-araw ay madalang mo lang hahawakan ang key — karaniwang kapag nagse-set up ng bagong machine o pagkatapos i-clear ang iyong cookies. Ang mga NFC model ay gumagana sa pamamagitan ng pag-tap laban sa isang telepono, na nag-aalis ng karamihan sa friction na iniisip ng mga tao.
Pareho ba ang passkey?
Ang passkey ay parehong cryptography na may parehong phishing resistance. Ang pagkakaiba ay kung saan ito nakatira. Ang passkey sa iyong telepono o sa browser account ay nag-sync sa cloud ng isang kumpanya, na maginhawa at nangangahulugan na ang lakas ng account na iyon ay nagiging lakas ng iyong passkey. Ang passkey sa isang hardware key ay hindi maaaring i-sync, kopyahin o kunin. Para sa mga account na mahalaga, ilagay ito sa hardware.
Aling mga account ang dapat unang bigyan ng isa?
Email, palagi. Pagkatapos ang iyong password manager, pagkatapos ang anumang pinagla-publishan mo, pagkatapos ang anumang may hawak ng pera. Kung nagdodokumento ka o nag-uulat tungkol sa paksang ito, ang account na pinagpo-postan mo ay mas mahalaga sa isang kalaban kaysa sa iyong bangko — ang pagkawala nito ay nangangahulugan na may ibang nagsasalita sa iyong pangalan, na hindi maibabalik ng chargeback.
08Mga pinagmulan at karagdagang babasahin
- Yubico — opisyal na site at paghahambing ng modelo yubico.com
- FIDO Alliance, ang FIDO2 / WebAuthn standard fidoalliance.org
- Nitrokey — open-source na hardware at firmware na alternatibo nitrokey.com
- EFF Surveillance Self-Defense — seguridad ng account ssd.eff.org
- Privacy Guides — multi-factor authentication privacyguides.org
Huling sinuri: 25 Setyembre 2026