Dlaczego warto kupić fizyczny klucz bezpieczeństwa? Do czego się przydaje?

Fizyczny klucz bezpieczeństwa to niewielkie urządzenie przypominające pendrive, które potwierdza tożsamość użytkownika podczas logowania. W odróżnieniu od kodów SMS, klucz automatycznie weryfikuje, czy strona żądająca logowania jest z nim sparowana – nie da się go więc użyć na fałszywej witrynie phishingowej, a haker nie przechwyci go zdalnie.

Artykuł sponsorowany

Czym jest fizyczny klucz bezpieczeństwa?

Klucz sprzętowy przechowuje parę kluczy kryptograficznych w układzie, z którego klucz prywatny nigdy nie wychodzi, dlatego nie da się go skopiować nawet z zainfekowanego komputera. Urządzenie łączy się przez port USB albo zbliżeniowo przez NFC, a autoryzacja wymaga dotknięcia pola na obudowie, więc bez obecności użytkownika logowanie nie dojdzie do skutku.

Klucze pracują w standardach FIDO2 oraz starszym U2F, obsługiwanych przez wszystkie główne przeglądarki, i zabezpieczają pocztę, media społecznościowe, menedżery haseł oraz bankowość elektroniczną.

Jak działa klucz U2F i FIDO2?

Podstawą jest kryptografia asymetryczna. Przy rejestracji klucz tworzy unikalną parę, z której prywatna część zostaje w urządzeniu, a publiczna trafia na serwer usługi. Przy logowaniu serwer wysyła losowe zapytanie, klucz podpisuje je cyfrowo, a serwer weryfikuje podpis, dzięki czemu żaden sekret nie przechodzi przez sieć.

Najważniejsze jest powiązanie podpisu z adresem strony, bo klucz podpisuje zapytanie razem z domeną, z której ono przyszło, więc podrobiona witryna o łudząco podobnym adresie otrzyma podpis, którego prawdziwy serwer nie zaakceptuje. To ten mechanizm, a nie długość klucza, odpowiada za odporność na phishing. Standard FIDO2 pozwala też logować się bez hasła, gdy klucz staje się jedynym dowodem tożsamości.

Dlaczego warto kupić fizyczny klucz bezpieczeństwa?

Zasadniczą korzyścią jest odcięcie całej klasy ataków zdalnych, bo wyciek hasła przestaje wystarczać do przejęcia konta, a napastnik musiałby wejść w fizyczne posiadanie urządzenia. Znika też najsłabsze ogniwo, czyli moment nieuwagi, w którym użytkownik przepisuje kod na stronie wyglądającej jak prawdziwa.

Drugą zaletą jest niezależność od oprogramowania, bo klucz nie wymaga baterii, aplikacji ani zasięgu sieci komórkowej i działa na dowolnym komputerze po podłączeniu do portu. Modele od podstawowych po wersje biometryczne i certyfikowane w standardzie FIPS oferuje każdy większy sklep komputerowy.

Czym różni się klucz U2F od kodów SMS i aplikacji uwierzytelniających?

Wszystkie trzy metody realizują weryfikację dwuetapową, ale różnią się odpornością na oszustwo. Kod SMS można przechwycić po przejęciu numeru u operatora, a kod z aplikacji użytkownik przepisuje sam, więc na podrobionej stronie trafia on do napastnika. Klucz usuwa ten problem u źródła:

• weryfikuje adres strony automatycznie, bez udziału i wiedzy użytkownika,
• nie wyświetla żadnego kodu, którego dałoby się wyłudzić rozmową telefoniczną,
• odmawia działania na witrynie o innej domenie niż zarejestrowana,
• wymaga fizycznego dotknięcia urządzenia, co blokuje ataki prowadzone zdalnie.

Aplikacje uwierzytelniające pozostają rozsądne tam, gdzie usługa nie obsługuje kluczy, natomiast kody SMS warto traktować jako metodę ostatniego wyboru.

Do czego przydaje się klucz bezpieczeństwa w praktyce?

Lista obsługiwanych usług jest na tyle długa, że jeden klucz zabezpiecza całą cyfrową tożsamość:

• konta Google i Microsoft, czyli Gmail oraz Outlook wraz z powiązanymi usługami,
• media społecznościowe, w tym Facebook, gdzie klucz działa jako drugi składnik,
• menedżery haseł, na przykład Bitwarden, w których jedno konto chroni wszystkie pozostałe,
• bankowość elektroniczna, bo PKO Bank Polski udostępnił logowanie kluczem YubiKey w serwisie iPKO,
• dostęp do serwerów przez SSH oraz podpisywanie i szyfrowanie w standardzie OpenPGP.

Ostatni punkt dotyczy programistów i administratorów, dla których klucz zastępuje pliki z kluczami prywatnymi trzymane na dysku. Sprawdź protokoły przed zakupem, bo tańsze modele obsługują wyłącznie FIDO2 i U2F, bez funkcji PGP.

Jak wybrać odpowiedni klucz bezpieczeństwa?

Wybór zaczyna się od portów w posiadanych urządzeniach, bo w laptopach spotkasz USB-A oraz USB-C, a dla telefonu najwygodniejsza jest komunikacja zbliżeniowa, przy której wystarczy przyłożyć klucz do obudowy. Popularnym wyborem w tej klasie jest YubiKey 5 NFC ze złączem USB-A i modułem NFC, obsługujący FIDO oraz FIDO2. Porównując modele, sprawdź pięć cech:

• wersja portu: USB-A do starszych komputerów, USB-C do nowszych laptopów i telefonów,
• NFC, jeżeli klucz ma obsługiwać także smartfon,
• złącze Lightning wyłącznie do iPhone’ów starszych niż piętnasta generacja, bo nowsze mają USB-C,
• biometria, czyli odblokowanie odciskiem palca zamiast kodu PIN,
• zestaw dwóch sztuk, jeżeli od początku planujesz egzemplarz zapasowy.

Dlaczego warto posiadać zapasowy klucz bezpieczeństwa?

Drugi klucz to nie wygoda, lecz warunek bezpiecznego korzystania z pierwszego, ponieważ standardy FIDO2 nie przewidują resetu urządzenia. Jeżeli jedyny klucz zginie, a konto nie ma innej metody logowania, odzyskanie dostępu może być niemożliwe, dlatego producenci sprzedają klucze w zestawach po dwie sztuki.

Google przy rejestracji w Programie Ochrony Zaawansowanej wymaga wskazania zapasowej metody logowania, którą może być drugi klucz bezpieczeństwa, klucz dostępu albo pomocniczy adres e-mail z numerem telefonu. Drugi klucz jest najmocniejszą z tych opcji, bo utrzymuje ten sam poziom ochrony co pierwszy.

Co zrobić w przypadku zgubienia lub uszkodzenia klucza?

Znalazca zgubionego klucza niewiele zdziała, bo urządzenie nie przechowuje haseł ani nazw kont. Realnym problemem jest utrata dostępu po Twojej stronie, dlatego kolejność działań warto znać wcześniej: zaloguj się zapasowym kluczem albo kodem odzyskiwania, usuń zgubione urządzenie z listy zaufanych metod, a potem dodaj nowy egzemplarz i wygeneruj świeże kody.

Zapobiegawczo zrób trzy rzeczy. Pobierz kody odzyskiwania i przechowuj je poza komputerem, najlepiej wydrukowane. Zarejestruj drugi klucz w każdej ważnej usłudze osobno, bo dodanie go tylko do konta pocztowego nie odblokuje pozostałych. Raz na kilka miesięcy przejrzyj listę zaufanych urządzeń.

Artykuł sponsorowany