Що таке YubiKey — простими словами про апаратний ключ безпеки

YubiKey — це невеликий фізичний пристрій, який підключається до комп’ютера через USB або прикладається до смартфона через NFC і підтверджує, що в акаунт заходите саме ви. Його випускає шведсько-американська компанія Yubico. По суті це ключ від ваших онлайн-акаунтів: без нього зловмисник не увійде, навіть якщо знає ваш пароль.

Розберемо, як він працює і навіщо потрібен.

Як виглядає YubiKey

YubiKey схожий на звичайну USB-флешку, розміром приблизно з невеликий ключ. Всередині — захищений криптографічний чип (secure element), у якому зберігаються приватні ключі. Ззовні — золотий металевий контакт, якого треба торкнутися пальцем.

Кілька важливих особливостей конструкції:

• Немає батареї. Ключ живиться від порту або від NFC-поля смартфона. Він не розряджається і не потребує заряджання.
• Немає драйверів. Операційна система бачить його як стандартний пристрій. Нічого встановлювати не треба.
• Немає екрана і кнопок. Тільки контактна пластина.
• Захист IP68 від води і пилу, витримує тиск і падіння. Розрахований на щоденне носіння в кишені або на зв’язці ключів.

Як працює YubiKey — простими словами

Коли ви реєструєте ключ у своєму акаунті, всередині ключа створюється пара криптографічних ключів:

• приватний ключ — залишається в захищеному чипі й ніколи його не покидає;
• публічний ключ — передається сервісу (Google, Microsoft, Binance тощо) і зберігається у вашому профілі.

При наступному вході сервіс надсилає ключу випадковий запит і домен сайту. Ви торкаєтесь контакту — ключ підписує цей запит приватним ключем і повертає підпис. Сервіс перевіряє підпис публічним ключем і впускає вас.

Ключовий момент: приватний ключ ніколи не передається через інтернет. Його неможливо перехопити, бо він фізично не залишає пристрій — навіть якщо ваш комп’ютер повністю під контролем зловмисника або заражений вірусами.

Чому фішинг не працює проти YubiKey

Це найважливіша властивість, і саме її не мають ні SMS, ні додатки-автентифікатори.

Уявіть класичну атаку. Вам приходить лист «підозріла активність в акаунті», ви переходите за посиланням і потрапляєте на сторінку, яка виглядає точно як сторінка входу Google. Але домен — accounts.goog1e.com з «1» (один) замість «l». Ви вводите пароль, потім код з SMS. Обидва одразу йдуть до зловмисника, який у цей момент вводить їх на справжньому сайті.

З YubiKey сценарій ламається. Ключ шукає у себе облікові дані, створені для цього домену. Їх немає — при реєстрації ви створювали ключ для accounts.google.com, а не для фейкової сторінки. Ключ повертає помилку і не підписує нічого. На цьому атака закінчується.

Атака падає не тому, що ви щось помітили. А тому, що ключ все перевірив за вас.

YubiKey vs SMS vs Google Authenticator

SMS і додатки-автентифікатори видають число, яке проходить через вас. Вкрали число — використали. YubiKey не видає нічого, що можна вкрасти й перевикористати: підпис створюється всередині пристрою і прив’язаний до конкретного сайту.

Які бувають YubiKey

Yubico випускає кілька серій:

• Security Key Series — базова серія, підтримує тільки протоколи FIDO2/WebAuthn і U2F. Найдоступніша за ціною, підходить для захисту особистих акаунтів. Бувають з роз’ємами USB-A та USB-C, обидва з NFC (для безконтактної роботи).
• YubiKey 5 Series — основна багатопротокольна серія. Крім FIDO2 підтримує PIV (смарт-карта), OATH-TOTP, OpenPGP, Yubico OTP, Challenge-Response. Доступна у різних форм-факторах USB-A, USB-C та навіть Lightning для iPhone, також є моделі з NFC.
• YubiKey Bio Series — з вбудованим сканером відбитка пальця. Замість PIN — біометрія.
• YubiKey 5 FIPS Series — сертифікована за американським стандартом FIPS 140-3. Потрібна держструктурам і компаніям з вимогами комплаєнсу.

Детальне порівняння всіх серій — у статті «Який YubiKey обрати».

Актуальна прошивка ключів на серпень 2026 року — 5.8, вона відпускається виробником з 21 липня 2026 року, але в Україні буде доступна щонайменше з вересня.
Проте серія FIPS залишається на прошивці 5.7.4, бо саме вона пройшла сертифікацію NIST за FIPS 140-3.

Що можна захистити за допомогою YubiKey

Список сервісів з підтримкою апаратних ключів вимірюється сотнями. Найпопулярніші напрямки:

• Пошта й акаунти: Google, Microsoft 365, Apple ID, Proton Mail, Facebook, X, GitHub
• Криптобіржі: Binance, Coinbase, Kraken, OKX, WhiteBIT, ByBit
• Менеджери паролів: 1Password, Bitwarden, KeePassXC
• Вхід в операційну систему: Windows (через Windows Hello for Business або PIV), macOS, Linux
• Робочі системи: VPN, SSH-доступ до серверів, корпоративні системи
• Українські сервіси: зокрема система Delta — YubiKey підтримується як фактор автентифікації

Каталог сумісних сервісів, верифікований Yubico: yubico.com/works-with-yubikey/catalog/

Один ключ може бути зареєстрований у необмеженій кількості сервісів одночасно.

Чого YubiKey не робить

Тут найбільше плутанини, тому окремо:

Це не флешка. На YubiKey не можна записати файли, seed-фразу чи документи. Це не накопичувач.

Це не апаратний гаманець. YubiKey не зберігає криптовалюту й не підписує блокчейн-транзакції. Він захищає вхід в акаунт на біржі — а не самі монети. Для зберігання крипти потрібен апаратний гаманець (Ledger, Trezor, Keystone).

Металевий контакт — це не сканер відбитка. У серіях Security Key і YubiKey 5 дотик просто підтверджує, що біля пристрою є жива людина, а не віддалений скрипт. Відбиток зчитує тільки серія Bio.

Ключ не замінює пароль автоматично. У більшості сервісів він працює як другий фактор. Повністю безпарольний вхід (passkey) можливий там, де сервіс це підтримує.

Що буде, якщо загубити ключ

Це головне питання, яке зупиняє людей від покупки. Відповідь проста: купуйте одразу два ключі.

Yubico й усі великі сервіси рекомендують саме таку схему — основний ключ носите з собою, запасний лежить удома або в сейфі. Обидва реєструєте в акаунті одночасно, ще на етапі налаштування.

Якщо основний ключ загубився:

1. Заходите в акаунт запасним ключем.
2. Видаляєте загублений ключ зі списку зареєстрованих пристроїв.
3. Купуєте новий і реєструєте як запасний.

Якщо ви відв’язали загублений ключ, тоді той, хто знайшов ваш ключ, з ним нічого не зробить — витягнути будь-яку інформацію з YubiKey неможливо. Хіба що він налаштує ключ для захисту власних акаунтів.

Якщо запасного ключа немає, доведеться відновлювати доступ через резервні коди сервісу або процедуру відновлення акаунта. Це довго й нервово. Тому два ключі — не маркетинг, а мінімальна робоча конфігурація.

Часті питання

Де купити YubiKey в Україні офіційно

Ключі безпеки YubiKey доступні в NAI (newage-invest.com) — авторизованому партнері Yubico в Україні. Статус підтверджено на сайті виробника.

Ми імпортуємо товар напряму від Yubico, без посередників, з офіційною сплатою всіх податків. Це має значення: ключ безпеки з сірого ринку може бути попередньо налаштований або підмінений.

Замовити можна на newage-invest.com. Доставка Новою Поштою по всій Україні, самовивіз в Івано-Франківську. Оплата при отриманні наложеним платежем, карткою, Google Pay, Apple Pay або на рахунок.

Читайте далі: Що таке апаратний ключ безпеки — і чому саме Yubico. Епізод 1 відеокурсу і Який YubiKey обрати