Bezpečnostný kľúč FIDO2: čo to je a ako funguje

Bezpečnostný kľúč FIDO2 je malé fyzické zariadenie, ktoré sa pripája cez USB, NFC alebo Bluetooth a potvrdzuje, že sa prihlasujete vy. Najčastejšie sa používa ako druhý faktor, no môže nahradiť aj heslo. Rozdiel oproti kódom z aplikácie je v tom, že neprepisujete nič, čo by ste mohli prezradiť.

Technológia stojí na štandardoch FIDO2 a WebAuthn, ktoré vyvíja FIDO Alliance spolu s konzorciom W3C. Základný výklad pojmov nájdete v slovníku, súvislosti s ostatnými formami overenia v sekcii Autentifikátory.

Ako prebieha registrácia

Pri registrácii kľúča v službe sa v zariadení vytvorí nový pár kľúčov, súkromný a verejný. Verejný kľúč sa odošle službe a uloží sa pri vašom účte. Súkromný kľúč zostáva v zariadení a nedá sa z neho vyňať, čo je hlavná výhoda hardvérového riešenia.

Pre každú službu vzniká samostatný pár. Preto sa nedá sledovať, ktoré služby používate, porovnaním identifikátorov. Služby si navzájom nemôžu overiť, že ide o ten istý kľúč, pokiaľ to sám nepovolíte.

Čo sa deje pri prihlásení

Pri prihlásení služba pošle náhodnú výzvu. Kľúč ju podpíše súkromným kľúčom, ale pred podpisom zahrnie aj adresu stránky, s ktorou komunikuje. Služba overí podpis verejným kľúčom. Ak je podpis správny a adresa sedí, prihlásenie prebehne.

Dotyk na kľúči slúži ako potvrdenie, že ste fyzicky prítomní. Škodlivý program na počítači preto nemôže kľúč potichu použiť bez vášho zásahu. Niektoré kľúče navyše vyžadujú PIN alebo odtlačok prsta, čo pridáva ďalšiu vrstvu.

Prečo odoláva phishingu

Pri klasickom phishingu vás podvodník zláka na stránku, ktorá vyzerá ako skutočná, a vy tam zadáte heslo aj kód. V prípade kľúča stránka s inou doménou dostane podpis viazaný na túto cudziu doménu, ktorý na skutočnej službe nič neznamená. Útok teda nefunguje, aj keby ste sa nechali oklamať.

Táto vlastnosť odlišuje kľúče od kódov z aplikácie alebo SMS, ktoré sa dajú prepísať akejkoľvek stránke. O podvodoch a ich typických znakoch sa viac dozviete v samostatnej sekcii.

Obmedzenia, na ktoré treba myslieť

Kľúč chráni prihlásenie, nechráni vás pred všetkým. Ak útočník ovláda zariadenie, z ktorého kľúč používate, môže zneužiť už otvorenú reláciu. Pri práci s dôležitými účtami preto pamätajte aj na aktualizácie a ochranu pred malvérom.

Praktickým obmedzením je podpora služieb a nutnosť mať záložný kľúč. Pri strate jediného kľúča sa k účtu môžete dostať iba cez záložné kódy alebo podporu služby. Pri hodnotných účtoch sa preto odporúča registrovať aspoň dva kľúče.

Typy kľúčov a konektory

Kľúče sa líšia najmä spôsobom pripojenia. USB-A a USB-C sa hodia na počítače a novšie telefóny, NFC umožňuje priložiť kľúč k telefónu a Bluetooth sa používa tam, kde konektor nie je dostupný. Pred nákupom si skontrolujte, aké porty majú zariadenia, z ktorých sa najčastejšie prihlasujete, aby ste nekupovali kľúč, ktorý nezapojíte.

Niektoré kľúče podporujú iba overenie dotykom, iné aj PIN alebo odtlačok prsta. Pri vyššom stupni ochrany je kľúč chránený aj vtedy, ak sa dostane do cudzích rúk. Rozdiely medzi modelmi zistíte v dokumentácii výrobcu a v zozname certifikovaných produktov na stránke FIDO Alliance. Ide o všeobecný popis, nie o odporúčanie konkrétnej značky.