Security Key NFC і Security Key C NFC: підтримка протоколів і ліміти

Protsenko Alisa • 5 Жовтня, 2026

Зміст

Security Key NFC і Security Key C NFC підтримують два протоколи: FIDO2/WebAuthn і FIDO U2F. Цього достатньо, щоб входити у вебсервіси з passkey або використовувати ключ як другий фактор, стійкий до фішингу. Нижче пояснено, як працюють обидва протоколи, скільки облікових даних вміщує ключ і чого серія не підтримує.

Чи працює конкретний вебсервіс із Security Key, можна перевірити в каталозі Yubico Works with YubiKey: у фільтрі за ключем оберіть Security Key NFC або Security Key C NFC.

Які протоколи підтримує Security Key

Протокол	Підтримка
FIDO2 / WebAuthn (passkey)	✔
FIDO U2F	✔
Yubico OTP	✖
OATH-TOTP / OATH-HOTP	✖
PIV (смарт-карта)	✖
OpenPGP	✖

Обидві моделі серії підтримують однаковий набір протоколів. Відрізняються вони лише роз’ємом: у Security Key NFC — USB-A, у Security Key C NFC — USB-C. NFC є в обох.

Скільки облікових даних вміщує ключ

Ліміти нижче діють для прошивки 5.7 і новіших. Обидві моделі Security Key, які зараз є в NAI, мають прошивку 5.8.

Тип облікових даних	Місткість
FIDO2: passkey на ключі	до 100
FIDO2: облікові дані поза ключем	без обмежень
FIDO U2F	без обмежень

На ключах із прошивкою до 5.7 вміщується до 25 passkey. Ліміти для облікових даних поза ключем і для U2F від версії прошивки не залежать.

FIDO2 / WebAuthn: passkey і другий фактор

FIDO2 працює у двох режимах, і від режиму залежить, чи займає обліковий запис місце в пам’яті ключа.

Passkey на ключі (discoverable credentials). Ключ зберігає запис про обліковий запис у своїй пам’яті, тож вхід можливий без логіна й пароля: вебсервіс сам знаходить потрібний запис на ключі. Такі облікові дані захищені PIN-кодом FIDO2. На прошивці 5.7 і новіших їх може бути до 100.
Облікові дані поза ключем (non-discoverable credentials). Ключ нічого не зберігає: потрібні дані вебсервіс передає йому під час входу, а ключ відновлює з них закритий ключ. Так ключ найчастіше працює як другий фактор після пароля. Кількість таких облікових даних пам’яттю ключа не обмежена.

Який режим використовується, вирішує вебсервіс під час реєстрації ключа.

Чому FIDO2 стійкий до фішингу. Облікові дані прив’язуються до домену вебсервісу під час реєстрації. Коли користувач відкриває підроблену сторінку з іншим доменом, браузер передає ключу саме цей домен. Ключ не знаходить для нього облікових даних і нічого не підписує, тож атакуючому нічого перехопити.

Алгоритми: ECC P-256, P-384 і Ed25519.

FIDO U2F: другий фактор для старіших сервісів

U2F — попередник FIDO2. Він працює лише як другий фактор після пароля і так само прив’язує облікові дані до домену, тому теж стійкий до фішингу. Кількість вебсервісів, де можна зареєструвати ключ через U2F, не обмежена. Цей протокол потрібен для сумісності з вебсервісами, які ще не перейшли на FIDO2.

Керування ключем у Yubico Authenticator

Застосунок Yubico Authenticator у версії для комп’ютера працює із Security Key: у ньому можна задати або змінити PIN FIDO2, переглянути passkey, збережені на ключі, і видалити непотрібні. Коди автентифікатора (TOTP) у цьому застосунку доступні лише для YubiKey 5 Series, бо Security Key не має застосунку OATH.

Чого Security Key не підтримує

Yubico OTP, статичний пароль і challenge-response;
коди автентифікатора OATH-TOTP і OATH-HOTP на ключі;
PIV: вхід у Windows через смарт-карту, підпис документів, шифрування пошти;
OpenPGP: підпис і шифрування в GnuPG;
вхід за відбитком пальця;
сертифікацію FIPS 140-3.

Усі протоколи з цього списку, крім біометрії та FIPS, підтримує YubiKey 5 Series. Їх розібрано в статті «YubiKey 5 Series: підтримка протоколів».

Що змінилось у прошивках 5.7 і 5.8

Прошивку записують на заводі, і оновити її неможливо. Загальний огляд версій є в статті «Який YubiKey обрати». Тут зібрано лише те, що змінилось для FIDO2 на Security Key.

Прошивка 5.7 і новіших

До 100 passkey на ключі (раніше 25).
Функції CTAP 2.1: адміністратор може задати мінімальну довжину PIN або вимагати змінити тимчасовий PIN.
Режим, у якому ключ запитує PIN при кожному використанні (вмикається окремо).
Сховище даних для вебсервісів (large blob) — 4096 байт.
Сертифікація FIDO Level 2.
Обмежений режим NFC на нових ключах (див. нижче).

Прошивка 5.8

Прошивка 5.8 має все, що є у 5.7, і додає функції протоколу CTAP 2.3. Серед них: показ passkey з ключа в списку автозаповнення браузера, отримання ключа шифрування (PRF) одразу під час створення passkey, підтвердження онлайн-платежів (Secure Payment Confirmation). Ці функції працюють лише тоді, коли їх підтримують операційна система, браузер і вебсервіс.

Обмежений режим NFC на нових ключах

На нових Security Key із прошивкою 5.7 і новіших NFC обмежено, щоб ключем не можна було скористатися під час транспортування. У цьому режимі ключ через NFC лише відкриває на телефоні сторінку Yubico з інструкцією. Щоб увімкнути NFC повністю, вставте ключ на 3 секунди в USB-порт комп’ютера або USB-зарядку.

Інтерфейси

Обидві моделі мають інтерфейс USB 2.0 і NFC, і FIDO2 та U2F працюють через обидва. Через NFC ключ працює з телефонами Android та iPhone 7 і новішими. Який роз’єм обрати, пояснено в статті «Форм-фактори YubiKey: Security Key чи YubiKey 5».

Фізичні характеристики

Корпус без батареї і рухомих частин, усередині — захищений елемент (secure element).

Захист від пилу й води: IP68.
Стійкість до роздавлювання: до 25 Н·м.
Робоча температура: від 0 °C до 40 °C.
Температура зберігання: від −20 °C до 85 °C.
Цикли підключення USB: понад 100 000.
Цикли запису/стирання: понад 500 000.

На звороті корпусу звичайних Security Key нанесено напис FIDO. Серійного номера ці ключі не мають.

Кому підійде Security Key і коли потрібна інша серія

Security Key підходить, якщо ключ потрібен лише для входу у вебсервіси: passkey або другий фактор через FIDO2 чи U2F. Якщо потрібні коди автентифікатора на ключі, вхід у Windows через смарт-карту чи OpenPGP, підійде YubiKey 5 Series. Сценарії вибору розібрано в статті «Який YubiKey обрати», базові поняття — у матеріалі «Що таке YubiKey». Security Key не зберігає криптовалюту і не замінює апаратний гаманець.

Часті питання

Скільки passkey можна зберегти на Security Key?

До 100 на прошивці 5.7 і новіших, до 25 на старіших ключах. Ліміт стосується лише passkey, збережених на ключі. Як другий фактор ключ можна зареєструвати в будь-якій кількості вебсервісів.

Чи можна зберігати на Security Key коди для двофакторної автентифікації, як у Google Authenticator?

Ні. Коди TOTP і HOTP зберігає застосунок OATH, якого немає в Security Key. Для кодів на ключі потрібна YubiKey 5 Series.

Чи потрібен PIN для Security Key?

Для входу з passkey — так: ключ запитує PIN FIDO2, який ви задаєте під час першого створення passkey або в Yubico Authenticator. Коли ключ працює як другий фактор після пароля, вебсервіс може не вимагати PIN, і тоді достатньо дотику.

Чому на Security Key немає серійного номера?

Звичайні Security Key не мають серійного номера: на звороті корпусу нанесено лише напис FIDO. Справжність ключа перевіряють інакше, це пояснено в статті про перевірку оригінальності пристроїв Yubico.

Чому новий Security Key NFC не працює з телефоном через NFC?

На нових ключах із прошивкою 5.7 і новіших NFC обмежено до першого підключення через USB. Вставте ключ на 3 секунди в USB-порт комп’ютера або USB-зарядку, після цього NFC запрацює повністю.

Чи захищає Security Key від фішингу?

Так, FIDO2 і U2F стійкі до фішингу: облікові дані прив’язані до домену, і на підробленому сайті ключ не знаходить облікових даних і нічого не підписує. Захист працює, лише якщо вебсервіс підтримує вхід із ключем безпеки.

Купити Security Key в Україні

NAI (newage-invest.com) — авторизований партнер Yubico в Україні, працюємо з 2019 року. Security Key NFC і Security Key C NFC у наявності з прошивкою 5.8. Гарантія 12 місяців. Доставка Новою Поштою по всій Україні, самовивіз в Івано-Франківську. Оплата при отриманні, карткою, через Google Pay, Apple Pay або на рахунок для фізичних і юридичних осіб.

Як перевірити, що ключ оригінальний, пояснено в статті «Як переконатися, що ваш пристрій Yubico справжній».

Ключі Security Key у каталозі NAI