Mýty o hardvérových kľúčoch: čo je pravda

Mýty o hardvérových kľúčoch vychádzajú z povesti technických zariadení pre skúsených. Zároveň kolujú obavy, že sa dajú ľahko obísť alebo že ich strata znamená koniec prístupu k účtom. Skutočnosť je menej dramatická a bližšia každodennému používaniu.

Prejdime niekoľko mýtov. Technický výklad nájdete v prehľade FIDO2 kľúčov, pojmy v slovníku.

Mýtus: Sú iba pre firmy a technikov

Pôvodne ich nasadzovali organizácie s vysokými nárokmi, ale dnes ich zvládne každý. Registrácia prebieha v nastaveniach účtu a po nej stačí zasunúť kľúč a dotknúť sa ho. Pre bežného používateľa je to často jednoduchšie ako opisovanie kódov z aplikácie.

Reálnou prekážkou je skôr podpora zo strany služieb a nutnosť kupovať dva kusy. Oboje sa dá zvládnuť, no je dobré to vedieť dopredu. Súvisiace možnosti nájdete v sekcii Autentifikátory.

Aj keď sa kľúč používa najčastejšie ako druhý faktor, nie je to jeho jediná úloha. Niektoré služby dovoľujú prihlásenie len kľúčom a PIN-om, bez hesla. Takéto nastavenie je pre bežného používateľa jednoduchšie a pritom odolnejšie, ak služba dobre rieši obnovu prístupu.

Mýtus: Kľúč sa dá jednoducho naklonovať

Súkromný kľúč je uložený v špeciálnom čipe a je navrhnutý tak, aby sa z neho nedal vyčítať. Útoky na hardvér sú možné, no vyžadujú fyzický prístup, špeciálne vybavenie a značné znalosti. Bežný útočník, ktorý sa pokúša o phishing, tieto prostriedky nemá.

To neznamená, že kľúče sú nepremožiteľné. Znamená to, že pre väčšinu hrozieb, ktorým čelí bežný používateľ, sú výrazne odolnejšie než kódy alebo hesla. Zraniteľným miestom sú skôr obnova účtu a človek.

Mýtus: Ak kľúč stratím, prídem o účet

To platí iba vtedy, ak ste si nepripravili zálohu. S druhým kľúčom a uloženými záložnými kódmi je strata nepríjemnosť, nie katastrofa. Stratený kľúč odregistrujete, zaregistrujete nový a pokračujete.

Riziko je teda skôr organizačné. Ak zanedbáte prípravu, výhody kľúča sa môžu obrátiť proti vám. Preto je tak dôležité riešiť zálohu hneď pri registrácii. Viac o ochrane účtov nájdete v osobitnej sekcii.

Mýtus: S kľúčom už nič iné netreba

Kľúč chráni prihlásenie, ale nie zariadenie, z ktorého sa prihlasujete. Ak je počítač napadnutý malvérom, útočník môže zneužiť už otvorenú reláciu. Preto zostáva potrebné aktualizovať systém, používať dôveryhodný softvér a byť opatrný pri sťahovaní súborov.

Podobne platí, že kľúč nepomôže pri podvodoch, kde vás niekto presvedčí vykonať operáciu sám, napríklad poslať platbu na podvodný účet. Takéto situácie rieši pozornosť a overovanie, nie technológia.

Čo si z toho odniesť

Hardvérový kľúč nie je zázračný, ale je jedným z najúčinnejších a najjednoduchších opatrení proti prevzatiu účtu. Jeho hodnota stojí na troch veciach: správnej registrácii, záložnom kuse a premyslenej obnove účtu. Ak ich zvládnete, nepohodlie je minimálne.

Ak váhate, začnite s jedným účtom, napríklad e-mailom, a zistite, ako sa vám s kľúčom pracuje. Skúsenosť vám ukáže, či sa vám oplatí rozšíriť ho na ďalšie služby. Pri rozhodovaní vám pomôže aj prehľad v sekcii Autentifikátory.

Ak sa chcete o téme dozvedieť viac z dôveryhodných zdrojov, začnite dokumentáciou FIDO Alliance a stránkami zameranými na digitálnu bezpečnosť. Vyhýbajte sa tvrdeniam, ktoré sľubujú absolútnu ochranu. Takéto sľuby sú zvyčajne marketingové, nie technické.