Пароли сложно набирать и запоминать. Даже если вы создадите надежный пароль, вы, скорее всего, будете использовать его повторно для всех своих важных учетных записей. Хуже того, пароли могут быть украдены с помощью фишинговых сайтов или утечки данных.
Хотя менеджеры паролей могут помочь, мне хотелось чего-то более безопасного. Поэтому я переключился на ключи доступа — альтернативу паролю, устойчивую к фишингу, которая использует криптографические ключи вместо заученных строк. Все, что мне было нужно, это PIN-код моего устройства для входа в систему — все остальное делало мое устройство. Проблема решена, да?
Однако после использования паролей на основе устройства на моем ноутбуке с Windows и телефоне Android ограничения стали очевидными (подробнее об этом позже). По иронии судьбы, решение вернулось к аппаратным ключам безопасности — технологии, которая стала пионером в аутентификации без пароля задолго до того, как Apple, Google и Microsoft присоединились к ней. Итак, я сделал решительный шаг и вложил средства в доступное NFC-устройство YubiKey Security Key NFC, и с тех пор я больше не вводил пароль.
Почему я выбрал аппаратный ключ безопасности
Встроенные пароли в компьютерах и смартфонах недостаточно гибкие.
Ташриф Шариф / MakeUseOf
Я купил YubiKey не сразу. Мой ноутбук с Windows и телефон Android уже имели встроенную поддержку ключей доступа, поэтому я решил, что этого достаточно. Однако, когда я отказался от традиционных паролей для ключей доступа на своих устройствах Windows и Android, я понял, что у новой системы входа в систему есть две особенности.
Во-первых, ключи доступа привязаны к экосистеме устройства. Это означает, что мне нужно было создать отдельный ключ доступа для моего ноутбука с Windows и телефона Android для всех учетных записей, в которые я собираюсь войти с помощью пароля. Хотя он по-прежнему предлагал вход без пароля, он оказался не таким простым, как я надеялся.
Вторая странность, и очень важная, заключается в том, что ключи доступа используют биометрический PIN-код вашего устройства или PIN-код экрана блокировки для аутентификации запросов на вход. Проще говоря, если бы кто-то знал мой PIN-код Windows Hello и имел доступ к моему ноутбуку, он потенциально мог бы получить доступ ко всем моим учетным записям, защищенным паролем — это возможно, особенно если кто-то другой обычно имеет доступ к вашему компьютеру в ваше отсутствие.
Ташриф Шариф / MakeUseOf
Аппаратный ключ безопасности, такой как YubiKey, решает обе проблемы. Он использует собственный PIN-код, не зависит от устройства и хранит ключи доступа независимо. Я могу войти в одни и те же учетные записи на любом устройстве, не полагаясь на Windows, Android или какие-либо серьезные технологии для защиты моих личных ключей.
Да, для YubiKey также требуется PIN-код, но ключевым отличием является физическое разделение. Мой PIN-код Windows набирается постоянно в течение дня, и его легко заметить любому, кто находится поблизости. И как только кто-то это узнает, он получит доступ к моему ноутбуку и всем хранящимся там ключам доступа.
Однако PIN-код YubiKey бесполезен без физического владения самим ключом. Даже если оба PIN-кода были скомпрометированы, злоумышленнику все равно придется украсть оборудование из моей связки ключей, что очень маловероятно.
Как работает YubiKey
Он хранит ключи доступа на самом ключе, а не на вашем устройстве.
Ташриф Шариф / MakeUseOf
YubiKey — это аппаратное устройство аутентификации, сертифицированное по стандарту FIDO2. В отличие от ключей доступа, привязанных к устройству, которые хранятся в чипе Windows TPM или защищенном анклаве iPhone, YubiKey хранит ключи доступа непосредственно на самом физическом ключе. Когда вы создаете ключ доступа для веб-сайта, этот криптографический ключ сохраняется в безопасном хранилище YubiKey, а не на вашем компьютере.
Текущий ключ безопасности YubiKey NFC (более дешевая версия, которую я выбрал) с прошивкой версии 5.7.4 может хранить до 100 ключей доступа. Это может показаться ограничением, но большинству людей не нужно ничего большего для своих основных учетных записей, таких как электронная почта, банковские операции и рабочие инструменты.
Когда вы входите в систему, веб-сайт связывается с YubiKey через протокол FIDO2. Ключ проверяет легитимность веб-сайта, подтверждает вашу личность с помощью собственного PIN-кода, который вы установили (или касания телефона с поддержкой NFC), а затем предоставляет криптографическую подпись, необходимую для входа в систему. Ваш компьютер является всего лишь посредником в этом обмене.
Это делает Yubikeys наиболее безопасной формой хранения ключей доступа, поскольку личные ключи никогда не покидают устройство. Даже если ваш компьютер заражен вредоносным ПО, злоумышленник не сможет извлечь ваши ключи доступа, поскольку они вообще не хранятся на компьютере.
Настройка YubiKey
Начало работы занимает всего несколько минут
Настроить YubiKey легко. Я начал со своей учетной записи Google, потому что она имеет отличную поддержку паролей. Перейдите в настройки безопасности учетной записи Google, включите двухэтапную проверку, если вы еще этого не сделали, а затем выберите опцию добавления ключа безопасности.
При появлении запроса нажмите «Использовать другое устройство», затем вставьте YubiKey. Google автоматически обнаружит это и проведет вас через процесс регистрации. Ключ имеет небольшой металлический контакт, к которому вы прикасаетесь при появлении соответствующего запроса, что подтверждает ваше физическое присутствие, а не удаленного злоумышленника.
После регистрации YubiKey вам необходимо сгенерировать резервные коды для вашей учетной записи Google и сохранить их в безопасном месте. Это очень важно, потому что если вы потеряете ключ, вам понадобится резервный код для восстановления вашей учетной записи. Кроме того, если можете, создайте резервную копию YubiKey и храните ее в надежном месте дома.
Изображение предоставлено самим пользователем (Ташриф Шариф) – указание авторства не требуется
Вы можете зарегистрировать вход на основе YubiKey в любом сервисе, поддерживающем ключи доступа или ключи безопасности. Помимо Google, такие технологические гиганты, как Apple, Microsoft, Amazon, Meta, LinkedIn, Adobe, GitHub, PayPal и Cloudflare, поддерживают вход без пароля. Полный список поддерживаемых сервисов можно увидеть в каталоге FIDO для ключей доступа.
Для управления ключами доступа вы можете использовать приложение YubiKey Authenticator на своем ПК и смартфоне. После установки подтвердите подлинность приложения с помощью PIN-кода или через NFC, чтобы изменить настройки и просмотреть сохраненные ключи доступа.
Ташриф Шариф / MakeUseOf
Приложение для аутентификации показывает все ключи доступа, хранящиеся на вашем YubiKey, а также позволяет использовать их для кодов одноразовых паролей. Вы можете добавить несколько сервисов, сканируя QR-коды, превратив YubiKey в физический аутентификатор, заменяющий такие приложения, как Google Authenticator.
Следует помнить одну вещь: настроить PIN-код для вашего YubiKey. Это добавляет дополнительный уровень безопасности, поскольку даже если кто-то украдет ваш ключ, он не сможет использовать его, не зная вашего PIN-кода. Приложение Yubico Authenticator поможет вам сделать это во время первоначальной настройки.
Будущее за входом без пароля, и аппаратный ключ делает его лучше
Тем, кто разочаровался в паролях или беспокоится о безопасности, стоит рассмотреть аппаратный ключ, такой как YubiKey. Он стоит около 25–50 долларов, в зависимости от модели, но это единоразовая покупка (буквально поставляется с устойчивым к ударам корпусом и рейтингом IP68), которая работает на всех ваших устройствах и учетных записях.
С YubiKey вы не привязаны к какой-либо экосистеме, и ваши самые конфиденциальные учетные записи останутся защищенными, даже если ваши устройства будут взломаны. Хотя уязвимость безопасности, связанная с атакой по побочному каналу, была обнаружена в 2024 году, она не затрагивает устройства YubiKey с прошивкой версии 5.7 и выше. Поэтому все, что вы покупаете сегодня, максимально безопасно.
