YubiKey – co to jest i dlaczego go potrzebujesz?

Wiele aplikacji, których na co dzień używamy, wymaga uwierzytelniania dwuskładnikowego, czyli dodatkowego kroku w procesie logowania, pozwalającego potwierdzić, że jesteś tym, za kogo się podajesz. Dawno temu oznaczało to, że korzystając z 2FA key, musieliśmy wyciągnąć telefon, otworzyć aplikację uwierzytelniającą i ręcznie wprowadzić unikalny kod. Proces ten potrafił być bardzo uciążliwy, szczególnie jeśli nie mieliśmy możliwości skopiowania kodu i musieliśmy go wpisywać ręcznie. Właśnie to było powodem powstania YubiKey, czyli narzędzia pozwalającego na szybką i wygodną weryfikację tożsamości i uwierzytelniania. W naszym kraju Yubikey jest jeszcze stosunkowo mało znany, dlatego w tym artykule przedstawimy, czym jest klucz Youbico i w jaki sposób możesz z niego korzystać.

Co to jest YubiKey?

YubiKey to urządzenie działające w standardzie FIDO2, które maksymalnie upraszcza uwierzytelnianie dwuskładnikowe (2FA). Wiele aplikacji, usług online i komputerów wymusza 2FA za każdym razem, gdy użytkownik chce się połączyć. Zamiast wysyłać Ci kod SMS-em lub generować go przez aplikację uwierzytelniającą, naciskasz przycisk na YubiKey i jesteś zalogowany. To wszystko.

Moglibyśmy zająć się matematyką i rozbić różne protokoły obsługiwane przez takie urządzenia, ale prawdopodobnie wszystko, co musisz wiedzieć, to to, że każde urządzenie ma wbudowany unikalny kod, który służy do generowania kodów pomagających potwierdzić Twoją tożsamość.

UF2 Key nie jest jedynym sprzętowym urządzeniem 2FA na rynku. Jednak jest po prostu najpopularniejszym. Dlatego pamiętaj o tym, że istnieje wiele podobnych urządzeń i większość informacji przedstawionych w tym artykule dotyczy także ich.

Co to jest uwierzytelnianie dwuskładnikowe?

Klasyczne hasła są obecnie niewystarczające do zapewnienia odpowiedniego poziomu cyberbezpieczeństwa. Większość z nich jest zbyt łatwa do odgadnięcia przez hakerów, a pozostałe są zbyt długie lub skomplikowane, aby ludzie mogli je zapamiętać. Nawet bezpieczne hasła są bezużyteczne po wycieku, a wycieki są w zasadzie nieuniknione. Z tych i innych powodów dobrze jest nie polegać wyłącznie na hasłach. Oto cała idea uwierzytelniania dwuskładnikowego.

W przypadku uwierzytelniania dwuskładnikowego do zalogowania potrzebne są dwie rzeczy: hasło i dodatkowe zabezpieczenie, które potwierdzi, że jesteś tym, za kogo się podajesz.
Prawdopodobnie znasz dwa sposoby przeprowadzania 2FA:

Kody SMS lub e-mail. Aplikacje wysyłają Ci kod, który musisz wprowadzić, zanim będziesz mógł się zalogować. Jest to najłatwiejsza metoda konfiguracji, ponieważ nie musisz instalować żadnego oprogramowania ani kupować żadnego sprzętu. Jest także najmniej bezpieczny, ponieważ e-maile i SMS-y są niezaszyfrowane i łatwo je złamać.

Aplikacje uwierzytelniające. Aplikacje, do których chcesz się zalogować, poproszą Cię o kod, który możesz pobrać, otwierając aplikację na telefonie, taką jak Google Authenticator lub Authy. Jest to znacznie bezpieczniejsze niż poleganie na wiadomościach SMS lub e-mailach, ale nie jest do końca wygodne — musisz chwycić telefon, otworzyć aplikację, a następnie ręcznie wprowadzić kod.

Yubico Security Key reprezentuje trzeci sposób przeprowadzania 2FA: uwierzytelnianie sprzętowe. Aplikacje proszą o podłączenie narzędzia takiego jak YubiKey do urządzenia i naciśnięcie przycisku. Następnie Yubico Authenticator wysyła unikalny kod, który potwierdzi Twoją tożsamość.

Oczywiście jest o wiele więcej niuansów, jednak w większości przypadków musisz po prostu wiedzieć, że sprzętowa technologia U2F NFC jest bezpieczniejsza i łatwiejsza w użyciu.

Dlaczego YubiKey jest lepszy od innych urządzeń 2FA?

Dlaczego YubiKey (i podobne urządzenia) jest lepszy niż inne formy 2FA? Poniżej wymienimy kilka powodów:

Wygoda. Wszystkie aplikacje do obsługi SMS-ów, e-maili i uwierzytelniania wymagają ręcznego wprowadzenia lub skopiowania i wklejenia kodu. Dzięki kluczom U2F YubiKey wystarczy nacisnąć przycisk na urządzeniu podłączonym do komputera, aby wprowadzić kod.

Znacznie dłuższe kody. Inne metody 2FA zazwyczaj wysyłają jedynie sześciocyfrowy kod w celu potwierdzenia Twojej tożsamości, głównie dlatego, że nierozsądnym byłoby oczekiwać, że ludzie wpiszą znacznie więcej. Klucze YubiKeys nie wymagają ręcznego wprowadzania kodu, więc mogą używać znacznie dłuższych kodów. To bezpieczniejsze.

Łatwa migracja. Dostałeś nowy komputer? Po prostu odłącz YubiKey od starego i podłącz go do nowego. Nadal będziesz mógł logować się do wszystkich swoich aplikacji, tak samo jak wcześniej. Możesz także używać jednego klucza do logowania się do swojego konta na wielu komputerach.

Naprawdę trudno zhakować YubiKey. Hakerom stosunkowo łatwo jest złamać Twoje wiadomości e-mail lub SMS-y. O wiele trudniej sfałszować kody wygenerowane przez unikalne urządzenie sprzętowe.

Jak skonfigurować YubiKey?

Konfigurowanie YubiKey nie różni się zbytnio od konfigurowania innych aplikacji 2FA. Jeśli używasz YubiKey (a nie innego sprzętowego uwierzytelniacza), oto co musisz zrobić:

• Podłącz swój YubiKey.
• Przejdź do Yubico.com/setup i kliknij swoje urządzenie.
• W sekcji Zgodne konta i usługi przejrzyj listę obsługiwanych aplikacji i usług i wybierz te, które chcesz zabezpieczyć na swoim urządzeniu.
• Twój wybór pojawi się na liście obok dostępnych aplikacji.
• Kliknij ikonę odtwarzania obok wybranej aplikacji i postępuj zgodnie z instrukcjami konfiguracji wideo. Możesz też kliknąć ukośną strzałkę w polu, aby uzyskać dostęp do wersji tekstowej.
• Witryna Yubico z listą aplikacji i usług, które można zabezpieczyć za pomocą YubiKey.
• Konfiguracja będzie się różnić w zależności od aplikacji i urządzenia, ale jako przykład skonfiguruję Google na moim komputerze.
• Kliknij łącze z instrukcjami tekstowymi.
• Pojawią się instrukcje dodawania YubiKey do konta Google.
• Kliknij opcję Zarejestruj klucz bezpieczeństwa.
• Włóż YubiKey do portu USB komputera i naciśnij znajdujący się na nim przycisk.
• Następnie wyskoczy okienko Google umożliwiające wprowadzenie klucza bezpieczeństwa.
• W razie potrzeby zezwól przeglądarce na dostęp do YubiKey.
• Poproś Google o udostępnienie Twojego YubiKey
  Opcjonalnie możesz nadać swojemu YubiKey nazwę, co jest przydatne, jeśli masz klucze bezpieczeństwa.
• Potwierdzenie od Google, że YubiKey jest zarejestrowany
  Teraz możesz używać swojego YubiKey do logowania się na swoje konto Google na dowolnym urządzeniu. Powtórz ten proces dla każdego konta, które chcesz zablokować w ten sposób.

Co to jest YubiKey: często zadawane pytania

Nadal masz pytania dotyczące korzystania z kluczy YubiKey? Sprawdź odpowiedzi na te często zadawane pytania.

Jak zatrzymać przypadkowe uruchomienie mojego YubiKey?

Kiedy przypadkowo dotkniesz klawisz YubiKey, system pomyśli, że próbujesz się do czegoś zalogować, co powoduje umieszczenie bezpiecznego kodu w dowolnym otwartym polu tekstowym.

Kody UF2 te są generowane przez OTP, który jest jednym z protokołów używanych przez Twój YubiKey do łączenia się z serwerami. Można temu całkowicie zapobiec, wyłączając OTP, ale może to uniemożliwić logowanie się do niektórych usług.

Z reguły dla większości użytkowników lepiej jest skonfigurować OTP tak, aby nie uruchamiało się przy krótkim naciśnięciu przycisku, chyba że przytrzymasz przycisk przez trzy sekundy. YubiKey oferuje instrukcje naprawienia tego problemu, ale są one dość trudne do wykonania, więc oto podsumowanie.

• Pobierz menedżera YubiKey na swój komputer.
• Zainstaluj go.
• Otwórz program.
• Kliknij Aplikacje, a następnie wybierz OTP.
• Aplikacja menedżera YubiKey z wybraną aplikacją OTP.
• Domyślnie skonfigurowane jest krótkie dotknięcie w gnieździe 1; Długie dotknięcie w gnieździe 2 jest puste. Kliknij Zamień, aby to zmienić.

Czy przypadkowe uruchomienie mojego YubiKey na czacie jest naprawdę groźne?

Jeśli przypadkowo wkleisz swój klucz sprzętowy U2F yubikey do czegoś takiego jak Slack lub edytor tekstu, nie jest to powód do natychmiastowej paniki — nie jest do końca jasne, do kogo należy i do czego można się za jego pomocą zalogować. A jeśli opublikowałeś to na Slacku, musisz mieć nadzieję, że twoi współpracownicy nie spróbują cię zhakować.

Pamiętaj jednak, iż zawsze istnieje ryzyko, że wyciekający kod 2FA może pomóc szczególnie kreatywnemu hakerowi, więc staraj się unikać tego typu działań.

Czy mogę używać jednego YubiKey na wielu urządzeniach?

Tak! Możesz używać swojego YubiKey do logowania się na dowolnej liczbie urządzeń, o ile jest na to miejsce. Po prostu podłącz YubiKey do dowolnego komputera i zaloguj się w zwykły sposób.

Co się stanie, jeśli zgubię YubiKey?

Bez klucza YubiKey prawdopodobnie nie będziesz mógł się zalogować na konkretne konto. Jest jednak kilka rzeczy, które możesz zrobić, aby zmniejszyć ryzyko.

Użyj kodów zapasowych. Większość usług obsługujących 2FA (w tym YubiKey) umożliwia tworzenie kodów zapasowych. Upewnij się, że to robisz i przechowujesz kody w bezpiecznym miejscu – najlepiej offline. Jeśli możesz, rozważ ich wydrukowanie i włożenie do skrytki.

Dodaj zapasowy klucz bezpieczeństwa. Możesz kupić drugi YubiKey jako rozwiązanie awaryjne, dodać go jako opcję dla wszystkich swoich usług, a następnie przechowywać go w bezpiecznym miejscu (może w innej skrytce niż ta, w której znajdują się Twoje kody zapasowe?). Możesz też dodać inny rodzaj 2FA opartego na aplikacji do dowolnej usługi skonfigurowanej za pomocą YubiKey.

Jeśli nie masz kodów zapasowych lub innej metody 2FA i zgubiłeś już YubiKey, to nie wszystko stracone. Większość usług oferujących 2FA ma jakiś proces weryfikacji logowania po utracie danych uwierzytelniających, ale uważaj: zajmie to trochę czasu i będzie problematyczne. O wiele lepiej być przygotowanym, więc upewnij się, że masz kody zapasowe w bezpiecznym miejscu lub skonfiguruj drugą metodę 2FA.

Pamiętaj, aby po odzyskaniu dostępu do konta usunąć utracony klucz YubiKey w ramach metody 2FA. Jest prawdopodobne, że ktokolwiek znajdzie Twój YubiKey, nie będzie wiedział, do jakich kont zapewnia dostęp, ale lepiej dmuchać na zimne.

Dla wyjaśnienia: Twój Yubikey nie przechowuje możliwych do zidentyfikowania nazw użytkowników i nie przechowuje żadnych Twoich haseł. Każdy, kto znajdzie Twój YubiKey, nie będzie miał pojęcia, do jakich kont może się zalogować. Sytuacja ta jest inna, jeśli osoba, która „znajdzie” urządzenie wie, że jest Twoje. Ale każdy, kto znajdzie YubiKey na ulicy lub na lotnisku, nie będzie w stanie dowiedzieć się, czyj to klucz.

Zautomatyzuj swoje cyfrowe bezpieczeństwo

Aktualnie nikt nie pozostaje niezauważony przez cyberprzestępców i inne podmioty działające w obszarze cyberbezpieczeństwa. Wszyscy, w tym właściciele małych firm, są narażeni na ryzyko problemów związanych z bezpieczeństwem cyfrowym. Podjęcie proaktywnych kroków może poprawić skuteczność bezpieczeństwa cyfrowego przed wszystkimi zagrożeniami. Dowiedz się więcej o tym, jak możesz poprawić swoje bezpieczeństwo cyfrowe dzięki automatyzacji, którą zapewni Ci system antywirusowy Bitdefender GravityZone. Więcej informacji znajdziesz tutaj.