Security Key чи YubiKey 5: чотири серії та всі формфактори. Епізод 2 відеокурсу

Вибір YubiKey зводиться до двох питань: який порт у вашого основного ноутбука і який у вас телефон. Серію визначає набір протоколів, які потрібні саме вам, формфактор — ваші пристрої. Усе інше — деталі, які розбираємо нижче.

Це другий епізод нашого відеокурсу «YubiKey: від вибору до щоденного користування». У першому епізоді ми розібрали, що таке апаратний ключ і чому фішинг проти нього не працює. Сьогодні — чотири серії Yubico, формфактори від USB-A до Nano, окремі правила для iPhone та iPad і чому за ключ платять один раз. Підписуйтесь на канал, щоб не пропустити наступні серії.

Таймкоди відео

• 0:00 — Вступ
• 0:46 — Security Key: базова лінійка
• 1:34 — YubiKey 5: універсальна лінійка
• 2:10 — Bio: біометрія (і важливий нюанс про NFC)
• 2:48 — FIPS: для регульованих індустрій
• 3:20 — Правило вибору
• 3:43 — Формфактори: USB-A, USB-C, NFC
• 4:30 — Огляд всіх моделей
• 5:44 — Як обрати під свої пристрої (+iPad)
• 7:23 — Який ключ обрати
• 8:13 — Без підписок і додаткових плат
• 8:41 — Підсумок

Чотири серії Yubico: дві базові і дві для окремих сценаріїв

Yubico випускає чотири серії ключів. На вітрині вони виглядають майже однаково, і різниця між ними не в матеріалі й не в «рівні захисту». Різниця — у наборі протоколів, які підтримує чип, і в доступних формфакторах.

Дві серії базові — вони покривають переважну більшість випадків. Дві дорожчі — для окремих сценаріїв, які у більшості людей не виникають.

Security Key: тільки веблогін

Security Key — найпростіша і найдоступніша серія. Підтримує один клас протоколів — FIDO2/WebAuthn і його попередника FIDO U2F. FIDO — Fast Identity Online — це стандарт захищеного входу в онлайн-сервіси.

На практиці це означає: ключ тільки для входу у вебсервіси — як другий фактор після пароля або як passkey замість пароля (Google, Microsoft, Proton, криптобіржі, соціальні мережі). Якщо завдання — захистити свої онлайн-акаунти, Security Key цілком вистачить.

Це також типовий варіант для компаній, які масово видають ключі співробітникам: серія суттєво дешевша за решту. Для великих організацій Yubico випускає окрему Enterprise Edition Security Key із серійним номером на корпусі — вона доступна лише за корпоративною програмою YubiKey as a Service і в роздріб не продається.

Моделей дві, обидві з NFC: Security Key NFC (USB-A) і Security Key C NFC (USB-C).

YubiKey 5: універсальна серія

Друга базова серія — YubiKey 5. Один ключ підтримує кілька криптографічних протоколів одночасно:

• FIDO2 / U2F — вхід у вебсервіси, те саме, що робить Security Key
• PIV (смарт-картка) — вхід у macOS, Linux, Windows і корпоративні системи
• OATH-TOTP / HOTP — одноразові коди для бірж і застосунків, замість Google Authenticator на телефоні
• OpenPGP — шифрування пошти і підписання коду
• Challenge-Response — для менеджерів паролів

Один ключ, п’ять задач. Про кожен протокол буде окремий епізод курсу.

У п’ятої серії найширший вибір формфакторів — шість моделей. Їх розбираємо нижче.

YubiKey Bio: вхід за відбитком

Перша з двох серій для окремих випадків — YubiKey Bio. Якщо коротко — це як Security Key, тільки з біометрією: та сама функціональність, лише FIDO2/U2F. Але замість того, щоб вводити PIN, ви прикладаєте палець до сенсора відбитка.

Один важливий нюанс: Bio-серія не підтримує NFC. Підключається тільки фізично — через USB-A або USB-C (docs.yubico.com — YubiKey Bio Series Specifics). Для роботи з телефоном у більшості сценаріїв це незручно; Yubico прямо пише, що серія створена насамперед для настільних комп’ютерів.

Моделей дві: YubiKey Bio – FIDO Edition (USB-A) і YubiKey C Bio – FIDO Edition (USB-C).

YubiKey 5 FIPS: для регульованих індустрій

Друга серія для окремих випадків. Функціонально це та сама п’ята серія — той самий набір протоколів, ті самі формфактори, — але з сертифікацією FIPS 140. Це американський федеральний стандарт для криптографічних модулів; актуальна валідація серії — FIPS 140-3 (yubico.com/products/yubikey-fips).

Якщо ви працюєте в банку, страховій компанії, медицині, держустанові чи іншій регульованій індустрії, де вимагається відповідність NIST, — потрібна саме ця серія.

Для домашнього користувача FIPS-версія сенсу не має: ті самі функції у звичайній п’ятій серії коштують менше.

Просте правило вибору серії

• Потрібен тільки веблогін — Security Key
• Хочете все, що може знадобитись у житті, — YubiKey 5
• Хочете відбиток замість PIN і NFC не критичний — Bio
• Працюєте в регульованій індустрії — FIPS

Це правило, схему вибору за пристроями і перелік моделей ми зібрали в один PDF — гайд «Як обрати YubiKey». Детальний розбір моделей з цінами, таблицею протоколів і прошивками — у статті «Який YubiKey обрати — порівняння серій».

Формфактори: USB-A, USB-C, NFC

Тут важливо: доступні формфактори залежать від серії. Спочатку — що означають три позначки.

USB-A — класичний прямокутний роз’єм. Досі стоїть на більшості стаціонарних комп’ютерів і на частині ноутбуків.

USB-C — сучасний стандарт. Усі нові MacBook, більшість нових Windows-ноутбуків і практично всі сучасні Android-смартфони використовують саме його. iPhone 15 і новіші — теж USB-C (support.yubico.com — FAQ).

NFC — не роз’єм, а безконтактна технологія. Так само, як ви платите телефоном у супермаркеті, ви прикладаєте ключ із NFC до телефона — і він спрацьовує. NFC підтримують сучасні Android-смартфони і всі iPhone, починаючи з iPhone 7: у старіших моделях NFC працює тільки для Apple Pay і ключ не зчитує.

Хто з чим випускається

Джерела: docs.yubico.com — Introduction to the YubiKey Series, yubico.com/store/yubikey-5-series, yubico.com/products/yubikey-fips.

Кілька моментів, які варто винести з таблиці.

Security Key — два варіанти, USB-A або USB-C, обидва завжди з NFC.

Bio — теж USB-A або USB-C, але без NFC взагалі.

YubiKey 5 — найширший вибір, і саме тут з’являються ще два формфактори:

• 5Ci — окрема модель для пристроїв з Lightning, старим роз’ємом Apple. Має два роз’єми одразу: USB-C і Lightning. NFC немає.
• Nano — мініатюрна версія, яка вставляється в роз’єм і майже не виступає назовні. Розрахована на те, щоб постійно стояти в ноутбуці. Є у варіантах USB-A і USB-C, NFC немає.

Найпопулярніші та найуніверсальніші моделі серії — YubiKey 5 NFC і YubiKey 5C NFC: роз’єм плюс NFC в одному ключі.

Як обрати модель під свої пристрої

У більшості випадків вибір зводиться до двох питань: який порт у вашого основного ноутбука і який у вас телефон.

Якщо ви зупинилися на Security Key — вибір зовсім простий. Беріть роз’єм під ваш комп’ютер, USB-A або USB-C. З телефоном будь-який з них працюватиме через NFC.

Якщо ви обрали п’яту серію — варіантів більше:

• Сучасний Mac або ноутбук з USB-C, телефон Android або iPhone — YubiKey 5C NFC. Один ключ працює і з ноутбуком через USB-C, і з телефоном через NFC або через роз’єм.
• Ноутбук з USB-A — YubiKey 5 NFC. Той самий функціонал, класичний роз’єм.
• Ключ, який постійно стоїть у ноутбуці, — 5 Nano або 5C Nano. Але для роботи з телефоном тоді потрібен другий ключ із NFC.

Apple: iPhone та iPad — різні правила

iPhone 7 і новіші підтримують NFC для ключів безпеки: будь-який ключ із NFC до нього прикладається і працює. Lightning-роз’єм для самого телефона вам не потрібен. iPhone 15 і новіші додатково мають USB-C, тому до них підходить і будь-який USB-C ключ напряму.

iPad — інша ситуація. Жодна модель iPad не підтримує NFC для зовнішніх ключів безпеки. Ключ до iPad підключається тільки через фізичний роз’єм, і роз’єм ключа має збігатися з роз’ємом планшета. І ось тут починається різниця:

• iPad з Lightning — єдиний варіант це YubiKey 5Ci. Yubico прямо вказує: для iPad з Lightning працюють тільки 5Ci і 5Ci FIPS.
• iPad з USB-C — підійде будь-який USB-C ключ.

5Ci — універсальна модель для змішаної Apple-екосистеми. Вона працює і з iPad з Lightning, і з iPhone із Lightning, і з MacBook через USB-C, і з новими iPhone через порт.

Ключів має бути два

Ключ обов’язково має бути в парі з резервним. Фактично ви купуєте два — і вони не обов’язково мають бути однаковими. Робоча комбінація: основний з NFC на зв’язці ключів і резервний Nano, який стоїть у домашньому комп’ютері.

Одне обмеження, яке варто знати: Yubico рекомендує брати резервний ключ з тієї самої серії, що й основний. Формфактор може відрізнятися, серія — ні: якщо основний ключ з п’ятої серії, резервний теж має бути з п’ятої. Причина — набір протоколів: резервний Security Key не зможе замінити YubiKey 5 там, де використовується PIV або OATH.

Стратегію резервного ключа і план відновлення доступу детально розбираємо в наступному епізоді.

Перехідники: працюють, але не всі

Ключі Yubico можуть працювати через перехідник, наприклад USB-A ключ через адаптер на USB-C. Але не всі перехідники передають дані: частина дешевих моделей розрахована тільки на зарядку.

Yubico протестувала низку перехідників і опублікувала список тих, що працювали в її тестах, і тих, які вона не рекомендує. Тести проводились без USB-хабів, і Yubico радить спершу перевірити перехідник у своєму середовищі (support.yubico.com — Using a YubiKey with USB-C adapters).

Простіше правило: якщо є вибір, беріть ключ із потрібним роз’ємом і підключайте напряму.

Без підписок і додаткових плат

У Yubico немає абонплати за ключ. Ви платите один раз — за сам пристрій. Жодних щомісячних платежів: ні за функціонал, ні за активацію, ні за щось ще. На сайті Yubico роздрібні ключі продаються за разовою ціною, і жоден протокол чи формфактор не вимагає окремої плати.

Це фактична відмінність від багатьох хмарних рішень для двофакторної автентифікації, де оплата йде щомісяця за кожного користувача.

Для повноти: Yubico має корпоративну програму YubiKey as a Service — підписку для організацій від 500 користувачів (yubico.com/resource/yubikey-as-a-service-vs-perpetual). Це окрема модель постачання для великого бізнесу, а не умова роботи ключа. Роздрібний ключ, куплений один раз, працює без будь-яких подальших платежів — стільки, скільки він фізично прослужить.

Один ключ — скільки акаунтів

Формулювання «один ключ = один акаунт» — помилкове. У режимі U2F і в режимі FIDO2 без резидентних облікових даних: дані для входу зберігає сам сервіс, а ключ під час входу відтворює з них потрібний приватний ключ. Тому на самому ключі місце не закінчується.

Ліміт з’являється лише для резидентних облікових даних — passkey, які зберігаються на самому ключі й дозволяють вхід без імені користувача. На прошивці 5.7 і новіших ключ вміщує до 100 passkey (support.yubico.com — YubiKey 5C NFC). Для OATH-кодів на прошивці 5.7 і новіших — до 64 записів (docs.yubico.com — OATH). Більшості приватних користувачів цього достатньо.

Що ще варто знати про серії

Bio: PIN залишається. Відбиток — основний спосіб підтвердження, але PIN на ключі теж є. Він спрацьовує як запасний, якщо відбиток кілька разів поспіль не розпізнано: у такому разі ключ блокує біометрію і приймає тільки PIN. Відбитками керують у Yubico Authenticator для комп’ютера — там їх додають, видаляють і знімають блокування.

YubiKey 5 підтримує ще й Yubico OTP — власний протокол одноразових паролів Yubico, який використовує частина сервісів і менеджерів паролів. У відео ми рахували п’ять задач; формально протоколів більше.

Що варто винести з другого епізоду

1. Серію визначають протоколи. Security Key — тільки веблогін. YubiKey 5 — для всього. Bio — як Security Key, тільки з біометрією і без NFC. FIPS — для регульованих індустрій.
2. Формфактор — під ваш порт і ваш телефон, з окремим врахуванням iPad, якщо він у вас є: NFC там не працює, потрібен фізичний роз’єм.
3. Ключів завжди мінімум два, і вони можуть бути різними моделями — але з однієї серії.

Що далі

У наступному епізоді — тема, на якій провалюється більшість новачків: чому обов’язково мати другий ключ, де його правильно зберігати і як побудувати план відновлення доступу, щоб втрата ключа не означала втрату акаунтів.

Третій епізод уже на каналі: «Два ключі і відновлення доступу».

Підписуйтесь на канал, щоб не пропустити.

---

Купити YubiKey в Україні

NAI (newage-invest.com) — авторизований партнер Yubico в Україні, статус підтверджено на офіційному сайті виробника yubico.com/support/partners.

Всі ключі у нашому асортименті — з актуальною прошивкою 5.7 або вище, з офіційною гарантією Yubico на 12 місяців.

Усі серії, про які йшлося в епізоді:

• Security Key — базовий захист вебсервісів, USB-A або USB-C, обидва з NFC
• YubiKey 5 — універсальна серія, шість формфакторів
• YubiKey Bio — вхід за відбитком, без NFC
• YubiKey 5 FIPS — для регульованих індустрій

Доставка Новою Поштою по всій Україні, самовивіз в Івано-Франківську. Оплата при отриманні наложеним платежем, карткою, Google Pay, Apple Pay або на рахунок для фізичних та юридичних осіб.

Часті питання