Якщо ви зробите лише одну річ на цьому сайті, зробіть саме цю. Кожен інший захід тут зменшує ризик на маргінесі; цей усуває цілу категорію атак, і саме ця категорія трапляється з людьми, які займаються цією роботою. Це коштує менше, ніж пара взуття, і займає один день.
01Чому код можна вкрасти, а ключ — ні
Ви бачили цю атаку, навіть якщо вона не спрацювала на вас. Електронний лист або повідомлення каже, що з вашим обліковим записом є проблема. Посилання веде на сторінку, яка є піксель-у-піксель копією справжньої сторінки входу. Ви вводите свій пароль. Вона запитує ваш код автентифікатора. Ви вводите і його.
За лаштунками сервер зловмисника входить на справжній сайт у той самий момент, передаючи все, що ви вводите, у реальному часі. Ваш код був справжнім. Він був дійсний тридцять секунд. Ви просто ввели його у неправильне вікно, а тридцяти секунд цілком достатньо.
Застосунок генерує число зі спільного секрету та годинника. Він не має жодного уявлення, на який сайт ви дивитеся, тому не може відрізнити справжню сторінку входу від копії. Слабким місцем є не код, а людське око. Будь-який захист, який залежить від того, чи помітите ви підроблений домен, зрештою зазнає невдачі, бо підробки дуже якісні, а ви будете втомлені.
Ключ безпеки працює інакше. Коли ви реєструєте його на сайті, він зберігає секрет, прив'язаний до справжнього домену цього сайту. Під час входу сайт надсилає запит; ключ підписує його, але лише після перевірки, що домен, який запитує, збігається з доменом, на якому він був зареєстрований. Схожий домен надсилає запит, і ключ просто не відповідає. Немає нічого, що можна передати, нічого, що потрібно вводити, і нічого, у чому ви можете помилитися.
Google перевів усіх своїх співробітників — десятки тисяч людей — на ключі безпеки та повідомив про нуль успішних захоплень акаунтів співробітників через фішинг після цього. Це найсильніший доказ у сфері споживчої безпеки для будь-якого окремого заходу, і саме тому цей посібник стоїть першим, а не п'ятим.
02Що є на ключі
YubiKey 5 — це не одна річ. Це кілька незалежних пристроїв безпеки в одному шматку пластику, і більшість людей використовують один із них і навіть не знають, що решта там є. Ось усе це, простими словами.
| Функція | Використовувати? | Для чого це |
|---|---|---|
| FIDO2 / WebAuthn | Так, це саме той | Сучасний стандарт. Захищений від фішингу вхід і основа passkeys. Це те, що ви будете використовувати в Google, Microsoft, GitHub, Cloudflare, Proton і більшості важливих сервісів. |
| Passkeys (резидентні ключі) | Так | Те саме, але ключ також зберігає ідентифікатор облікового запису, тож ви можете увійти, взагалі не вводячи імені користувача чи пароля. Обсяг пам'яті обмежений — див. примітку нижче. |
| U2F | Автоматично | Старіша версія тієї самої ідеї. Досі використовується деякими сайтами; ключ обробляє її без вашого вибору. |
| OATH-TOTP | Залежно від ситуації | Зберігає ваші звичайні шестизначні коди на ключі, а не в застосунку на телефоні, і зчитує їх через Yubico Authenticator. Корисно для сайтів, які не підтримують FIDO2. Це все ще код, і його все ще можна виманити фішингом: він захищає секрет, а не вхід. |
| Challenge-response (HMAC-SHA1) | Так, з KeePassXC | Змушує вашу базу паролів вимагати фізичний ключ для відкриття. Розглянуто в посібнику з KeePassXC; це поєднання робить обидва інструменти значно надійнішими. |
| PIV / смарткарта | Для досвідчених | Містить сертифікати. Використовується для SSH-ключів, які неможливо скопіювати з пристрою, а також для деяких корпоративних і державних систем. |
| OpenPGP | Для досвідчених | Зберігає GPG-ключі на апаратному забезпеченні, тому підписування та розшифрування відбуваються на ключі, і приватний ключ ніколи не торкається вашого комп'ютера. |
| Yubico OTP | Рідко | Застаріла схема одноразових паролів, що передувала FIDO. Деякі старіші сервіси її використовують. Не чіпайте її, якщо щось не попросить. |
| Статичний пароль | No | Вводить фіксований рядок, коли ви торкаєтеся ключа. Зручна функція з іншої епохи. Не використовуйте її ні для чого важливого. |
Резидентні ключі, ті, що дозволяють входити без імені користувача, займають постійні слоти на пристрої, і їхня кількість фіксована. Старіша прошивка YubiKey 5 вміщує близько 25; новіша прошивка вміщує значно більше. Звичайні реєстрації FIDO2 як другого фактора не обмежені в такий спосіб, тож ви можете додати ключ до сотень сайтів, нічого не заповнюючи. Якщо у вас закінчаться слоти, це станеться через парольні ключі, а не через 2FA.
03Який купити
Рішення переважно стосується роз'єму на кінці та того, чи хочете ви додаткові функції. Підберіть конектор до вашого телефону та комп'ютера, і якщо вони різняться, купіть по одному з кожного, а не носіть перехідник, який ви загубите.
| Модель | Найкраще для | Нотатки |
|---|---|---|
| Серія Security Key (сині) | Більшість людей | Лише FIDO2 і U2F, а це саме те, що вам потрібно. Приблизно вдвічі дешевше за YubiKey 5. Якщо ви не збираєтеся використовувати PGP, PIV або спарювання з KeePassXC, це чесна рекомендація. |
| YubiKey 5 NFC | Комп'ютер із USB-A + будь-який телефон | Ключ із повним набором функцій. Прикладіть його до телефону для NFC, під'єднайте до ноутбука для USB. Вибір за замовчуванням, якщо ви хочете все, що в таблиці вище. |
| YubiKey 5C NFC | Комп'ютер із USB-C + будь-який телефон | Ідентичний, з роз'ємом USB-C. Найімовірніше, саме він вам підійде, якщо ваш ноутбук новий. |
| YubiKey 5Ci | iPhone з Lightning | Має і USB-C, і Lightning. Актуальний лише для старіших iPhone; новіші мають USB-C і в будь-якому разі можуть використовувати NFC. |
| YubiKey 5 Nano | Залишковий у ноутбуці | Крихітний, назавжди вставляється в порт врівень. Зручно, але це усуває перевагу фізичного розділення: якщо ноутбук заберуть, ключ заберуть разом із ним. |
| Серія Bio | Спільні простори | Відбиток пальця замість PIN-коду. Справді зручно; дорожче; ретельно подумайте, чи біометрія — правильний спосіб розблокування там, де ви живете, адже в багатьох юрисдикціях вас можуть примусити надати відбиток пальця легше, ніж PIN-код. |
Один ключ — це єдина точка відмови: загубіть його, і вас може бути назавжди заблоковано від ваших власних акаунтів, а це свого роду катастрофа. Зареєструйте обидва ключі на кожному акаунті, носіть один із собою, а другий тримайте в фізично окремому місці: у шухляді вдома, у сейфі, у людини, якій ви довіряєте. Другий ключ — це план відновлення, і він коштує менше, ніж саме відновлення.
Не з оголошення на маркетплейсі, не з рук, не як подарунок від когось, кого ви погано знаєте. Ключ безпеки — це пристрій, якому ви довірите все; ланцюг постачання є частиною продукту. Прошивка Yubico навмисно не оновлюється, що добре для захисту від втручання і означає, що скомпрометований ключ ніколи не можна виправити, лише замінити.
04Налаштування, у правильному порядку
Порядок має значення. Почніть з акаунта, який може скинути всі інші, і подбайте, щоб ви не заблокували себе по дорозі.
-
Почніть зі своєї електронної пошти
Кожен інший ваш акаунт відновлюється через нього, що робить його справжньою ціллю. Перейдіть до налаштувань безпеки вашого постачальника електронної пошти та додайте обидва ключі, перш ніж торкатися чогось іншого. Якщо ваш постачальник електронної пошти не підтримує ключі безпеки, це причина змінити постачальника, а не причина пропустити це.
-
Зареєструйте обидва ключі одночасно
Зробіть це за один підхід, на кожному акаунті. Типова помилка, з якою стикаються люди, — зареєструвати один ключ зараз і «додати запасний пізніше» — «пізніше» ніколи не настає, а потім перший ключ потрапляє до пральної машини.
-
Збережіть коди відновлення належним чином
Кожен сайт надає вам набір одноразових кодів відновлення. Вони є повним обходом вашого ключа, тому заслуговують такого ж піклування, як і сам ключ. Помістіть їх у ваш менеджер паролів або роздрукуйте та зберігайте в фізично безпечному місці. Не фотографуйте їх і не залишайте в папці завантажень.
-
Тепер перегляньте слабші методи
Якщо SMS-коди залишаються резервним варіантом, підміна SIM-карти може обійти ключ. Коли обидва ключі працюють, вимкніть SMS всюди, де сервіс це дозволяє. Залишайте код автентифікатора лише там, де він потрібен як шлях відновлення, захищайте його seed і коди відновлення у вашому менеджері паролів і ніколи не видаляйте метод, доки не перевірите решту способів повернення доступу.
-
Рухайтеся списком
Після електронної пошти: ваш менеджер паролів, якщо він підтримує ключі, потім хмарне сховище, потім соціальні акаунти, з яких ви публікуєте, потім усе, до чого прив'язаний платіжний метод, потім хостинг коду. Усе, що залишилося, може зачекати до вільного вечора.
-
Перевірте запасний ключ, перш ніж прибрати його
Вийдіть із системи та увійдіть знову, використовуючи саме резервний ключ. Неперевірена резервна копія — це лише здогад.
05Від чого це вас не захищає
Ключ безпеки — це найсильніший окремий засіб контролю, доступний звичайній людині, і він усе одно обмежений. Він протидіє фішингу. Він не протидіє цьому.
- Фішингові сторінки, якими б переконливими вони не були, включно з атаками з ретрансляцією в реальному часі.
- Підстановка облікових даних, ваш пароль із витоку на якомусь іншому сайті тепер марний сам по собі.
- Вгадування та розпилення паролів.
- Більшість атак із підміною SIM-карти, щойно SMS вилучено як резервний варіант.
- Шкідливе програмне забезпечення, яке вже на вашому комп'ютері. Якщо щось стежить за вашою сесією після входу, ключ уже виконав свою роботу і був обійдений.
- Крадіжка сесійних cookie. Зловмиснику, який викрав активний токен сесії, взагалі не потрібно входити.
- Шлях відновлення. Якщо службу підтримки вдасться вмовити скинути ваш акаунт, ваш ключ не має значення. Це тепер найпоширеніший спосіб, у який втрачають акаунти із ключами.
- Фізичне вилучення вас і ключа разом.
- Акаунти, які ви забули захистити, і саме туди зловмисники підуть далі.
Він повністю зачиняє вхідні двері, і зловмисник переходить до вікон. Це все одно величезне покращення, вхідні двері — це місце, де був майже весь трафік, але це причина продовжити читати решту цього сайту, а не зупинятися тут.
06Якщо ви не хочете використовувати YubiKey
YubiKey є типовим вибором, тому що він найбільш широко підтримується та найретельніше перевірений, а не тому, що це єдиний варіант. Ми не отримуємо грошей від жодного з них.
Nitrokey
Німецький, з відкритим вихідним кодом прошивки та апаратних дизайнів, вибір, якщо "я хочу мати можливість перевірити його" для вас важливіше за максимальну сумісність. Розглядається як альтернатива в розділі посібника про ключі безпеки.
nitrokey.com ↗Token2
Швейцарський, недорогий, орієнтований на FIDO2. Розумний спосіб придбати два ключі за обмеженого бюджету, не переходячи до невідомого бренду.
token2.com ↗Ваш телефон як passkey
Сучасні телефони можуть діяти як автентифікатор FIDO2, що дає вам такий самий захист від фішингу безкоштовно. Слабший в одному конкретному аспекті: телефон — це пристрій, який найімовірніше можуть забрати, розблокувати або скомпрометувати. Гарний як другий фактор, але не як єдиний.
07Питання, які люди насправді ставлять
Що станеться, якщо я загублю ключ?
Нічого, якщо ви зробили це правильно: ви використовуєте другий ключ, а потім видаляєте загублений з кожного акаунта та реєструєте заміну. Саме тому посібник наполягає на купівлі двох. Якщо ви цього не зробили, ви покладаєтеся на свої коди відновлення, а якщо у вас немає й їх, ви покладаєтеся на процес відновлення акаунта постачальника, який може тривати тижнями і іноді зазнає невдачі.
Чи може той, хто вкраде мій ключ, отримати доступ до моїх акаунтів?
Сам по собі — ні. Ключ є другим фактором, зловмиснику все ще потрібен ваш пароль, а для більшості конфігурацій також PIN-код ключа, який блокує пристрій після кількох невдалих спроб. Викрадений ключ — це незручність для вас, а не злам. Утім, видаліть його зі своїх акаунтів.
Чи потрібно носити його всюди з собою?
Лише коли ви входите в новому місці. Більшість сайтів дозволяють позначити пристрій як довірений, тож у повсякденному житті ви торкатиметеся ключа рідко — зазвичай під час налаштування нового комп'ютера або після очищення файлів cookie. Моделі з NFC працюють шляхом прикладання до телефону, що усуває більшість незручностей, які люди собі уявляють.
Чи те саме це passkey?
Passkey — це та сама криптографія з тим самим захистом від фішингу. Різниця в тому, де він зберігається. Passkey у вашому телефоні або в акаунті браузера синхронізується через хмару компанії, що зручно, але означає, що надійність того акаунта стає надійністю вашого passkey. Passkey на апаратному ключі не можна синхронізувати, скопіювати чи витягти. Для важливих акаунтів використовуйте апаратний ключ.
На які акаунти варто встановити його насамперед?
Електронна пошта — завжди. Потім ваш менеджер паролів, далі все, звідки ви публікуєте, а потім усе, що зберігає гроші. Якщо ви документуєте або висвітлюєте цю тему, акаунт, з якого ви публікуєте, для супротивника цінніший за ваш банк — його втрата означає, що хтось інший говоритиме від вашого імені, а це не можна скасувати через повернення платежу.
08Джерела та додаткова література
- Yubico — офіційний сайт і порівняння моделей yubico.com
- FIDO Alliance, стандарт FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — альтернатива з відкритим апаратним забезпеченням і прошивкою nitrokey.com
- EFF Surveillance Self-Defense — безпека акаунтів ssd.eff.org
- Privacy Guides — багатофакторна автентифікація privacyguides.org
Останній перегляд: 25 вересня 2026