FIDO2 ключі для Delta — як обрати, налаштувати та купити в Україні

Вступ

Delta — українська бойова система ситуаційної обізнаності ЗСУ. Доступ до неї захищений двофакторною автентифікацією, і Міністерство оборони офіційно рекомендує використовувати фізичні ключі безпеки стандарту FIDO2. Це найнадійніший спосіб захисту облікового запису від фішингу та несанкціонованого доступу.

Цей гайд допоможе обрати правильний ключ, уникнути типових помилок при покупці та налаштуванні, а також зрозуміти, що відрізняє надійний ключ від ризикованого.

NAI (newage-invest.com) — авторизований партнер Yubico в Україні, підтверджений на сайті виробника yubico.com/support/partners/. Всі ключі, що ми продаємо, мають актуальну прошивку 5.7+ та офіційну гарантію виробника.

У відео — повний розбір за 15 хвилин. Нижче — текстова версія з усіма деталями.

Чому саме FIDO2

FIDO2 — стандарт автентифікації, розроблений FIDO Alliance, до якого входять Microsoft, Google, Apple та інші технологічні компанії. NIST (Національний інститут стандартів США) та CISA (Агентство кібербезпеки США) рекомендують FIDO2 як єдиний метод двофакторної автентифікації, стійкий до фішингу.

Як це працює з Delta:

Коли ви реєструєте ключ у Delta, всередині пристрою створюється криптографічна пара ключів, прив’язана до домену delta.mil.gov.ua. Приватний ключ зберігається у захищеному елементі ключа і фізично не може бути зчитаний — навіть власником. На сервер Delta передається тільки публічний ключ.

При вході ключ перевіряє домен сайту. Якщо ви потрапили на фішингову копію Delta — ключ просто не спрацює, бо домен не збігається. На відміну від SMS-кодів та додатків-автентифікаторів, тут немає спільного секрету, який можна перехопити чи скопіювати.

Ключ працює без інтернету, без батареї та без мобільного оператора. Достатньо USB-порту або NFC.

Які YubiKey підходять для Delta

Delta підтримує будь-який ключ зі стандартом FIDO2/WebAuthn. На українському ринку найповнішу сумісність і підтримку забезпечує Yubico. Нижче — повна таблиця актуальних моделей, які підходять для Delta.

Всі моделі мають захист IP68 — стійкі до води та пилу, не мають батареї та рухомих частин.

Що обрати найчастіше:

Для більшості користувачів Delta достатньо Security Key NFC (USB-A) або Security Key C NFC (USB-C). Ці моделі підтримують FIDO2/WebAuthn — саме те, що потрібно Delta, і коштують значно дешевше за серію YubiKey 5.

YubiKey 5 серія актуальна, якщо ви хочете один ключ для всього: Delta, корпоративний VPN, GPG для пошти, менеджер паролів, BitLocker, SSH-ключі. Розширений набір протоколів (PIV, OpenPGP, OATH-TOTP) виправдовує різницю в ціні.

YubiKey 5Ci (5 серія) — єдина модель з роз’ємом Lightning. Якщо у вас iPhone з Lightning (не USB-C) і хочете підключати ключ без NFC — це ваш варіант.

YubiKey Bio — для тих, кому важлива зручність біометричного входу. Замість PIN-коду — відбиток пальця. Майте на увазі: якщо біометрія з якоїсь причини не спрацьовує (мокрий палець, поріз, інший палець) — завжди є можливість увійти з PIN-кодом. Біометрія не блокує доступ, а доповнює його.

Security Key vs YubiKey 5 — у чому різниця

Обидві лінійки виробляються Yubico. Обидві надійно працюють з Delta. Різниця в наборі додаткових протоколів.

Security Key (Series) — базова лінійка з підтримкою FIDO2 і FIDO U2F. Цього достатньо для:

• Delta
• Google, Gmail, YouTube
• Microsoft, Apple ID
• Facebook, X
• Binance, OKX, WhiteBIT
• Будь-який сервіс, що підтримує WebAuthn

YubiKey 5 (Series) — розширена лінійка. Додатково до FIDO2/U2F підтримує:

• PIV (смарт-картка) — вхід у корпоративні системи, підпис документів, шифрування дисків BitLocker та FileVault
• OpenPGP 3 — шифрування і підпис електронної пошти, робота з GPG в Git
• OATH-TOTP/HOTP — одноразові паролі, що зберігаються на ключі замість телефону
• Yubico OTP, Challenge-Response, Static Password — додаткові методи

Якщо ключ потрібен виключно для Delta та звичайних сервісів — Security Key буде оптимальним вибором. Якщо ви IT-спеціаліст або працюєте з корпоративною інфраструктурою — YubiKey 5.

Прошивка 5.7+ і чому це важливо

У вересні 2024 року дослідники з французької лабораторії NinjaLab оприлюднили звіт про криптографічну вразливість у бібліотеці Infineon, яка використовувалась у YubiKey 5 серії з прошивкою до версії 5.7.0. Вразливість отримала назву EUCLEAK, з ідентифікатором CVE-2024-45678.

Що це означає на практиці

Вразливість залишалась непоміченою 14 років, попри численні сертифікації найвищого рівня. Теоретично вона дозволяє клонувати ключ — створити його точну копію. Але є важливі застереження:

• Потрібен фізичний доступ до пристрою та спеціалізоване обладнання для електромагнітного аналізу
• Потрібен значний час і експертиза в апаратному криптоаналізі
• За оцінкою самих дослідників, ключ із вразливістю все одно безпечніший за відсутність ключа взагалі — фішинг блокується надійно

Тобто для звичайного користувача реальний ризик мінімальний. Але для державних і військових застосувань, де ключ може потрапити до рук серйозного супротивника зі спеціальним обладнанням, оновлення критичне.

Yubico відреагувала швидко. Yubico була повідомлена про вразливість 19 квітня 2024 року. Усі YubiKey 5 серії та Security Key серії, що почали поставлятись з 21 травня 2024 року, не зачеплені вразливістю — вони мають нову прошивку 5.7 з власною криптографічною бібліотекою Yubico замість бібліотеки Infineon.

Важливо знати:

• Прошивку YubiKey неможливо оновити — це не помилка, а свідома міра безпеки. Якщо прошивку можна було б оновити, її можна було б замінити на шкідливу. Тому ключі з прошивкою до 5.7 залишаються вразливими назавжди.
• Перевірити версію прошивки можна через додаток Yubico Authenticator — у налаштуваннях ключа відображається його модель і версія firmware.
• Купуючи ключ зараз, особливо для роботи з Delta, переконайтесь, що це YubiKey з прошивкою 5.7 або вище.

У NAI всі YubiKey мають прошивку 5.7 або вище. Ми прямо імпортуємо ключі від Yubico, тому в нашому асортименті немає старих залишків зі складів дистриб’юторів. Якщо купуєте YubiKey на маркетплейсах або в неофіційних магазинах — обов’язково перевірте версію прошивки після отримання, бо там можуть продаватись запаси, привезені ще до травня 2024 року.

Чого НЕ варто купувати для Delta

Не всі апаратні ключі підходять для Delta. Ось категорії, яких варто уникати:

1. YubiKey з прошивкою нижче 5.7

Як описано вище, ці ключі мають криптографічну вразливість і не можуть бути оновлені. Для роботи з державними системами це критично.

2. Старі ключі тільки з підтримкою FIDO U2F

Delta вимагає FIDO2 (WebAuthn). FIDO U2F — це старіший стандарт, попередник FIDO2. Перші покоління YubiKey U2F, Google Titan v1 та подібні пристрої не підтримують FIDO2 і не зможуть зареєструватись у Delta. Сучасні ключі майже всі підтримують обидва стандарти, але старі моделі з маркетплейсів — ні.

3. Дешеві Bluetooth-донгли без сертифікації

На AliExpress та подібних майданчиках продаються “ключі безпеки” за 5-10 доларів. Зазвичай це Bluetooth-донгли без сертифікації FIDO Alliance, без захищеного криптографічного модуля і без жодних гарантій безпеки. Використання таких пристроїв для Delta — це гірше, ніж відсутність ключа взагалі, бо створює ілюзію захисту.

4. Безіменні китайські ключі

Сертифікованих виробників FIDO2 у світі небагато — окрім Yubico, це Google (Titan), Feitian, Token2. Але на українському ринку офіційно представлений лише Yubico — через NAI як авторизованого партнера в сфері електронної комерції. Ключі інших виробників в Україні зазвичай продаються через випадкових продавців на маркетплейсах, без офіційного імпорту, без гарантії виробника, часто з невідомою прошивкою та без можливості звернутись до виробника у разі проблем.

Якщо на пристрої немає назви виробника, серійного номера та гарантійних документів — це не сертифікований FIDO2 ключ, незалежно від того, що написано в описі товару. Для роботи з державною системою такий ключ використовувати не варто.

Налаштування PIN-коду на ключі

Перед реєстрацією ключа в Delta потрібно встановити на ньому PIN-код. Це окремий код, який захищає сам ключ — без нього, навіть якщо хтось отримає фізичний доступ до вашого пристрою, він не зможе ним скористатись.

PIN встановлюється один раз і запам’ятовується ключем. Спосіб налаштування залежить від платформи. Нижче — відео-інструкції для кожної.

На Windows

На Windows PIN можна встановити трьома способами: через параметри браузера, через додаток Yubico Authenticator або через додаток Yubico Manager. У відео нижче показано всі три варіанти з реальним інтерфейсом, а також важливі моменти: скільки спроб дається до блокування ключа, що буде якщо забути PIN, як його змінити чи скинути.

Відео-інструкція, як встановити пін-код на ключ Yubikey на Windows

На macOS

На MacBook також доступні три способи встановлення або зміни PIN-коду:

• Через параметри Google Chrome
• Через програму Yubico Authenticator
• Через програму Yubico Manager

У відео окремо розглядаються важливі нюанси PIN-коду ключів Yubico та для яких моделей підходить ця інструкція.

Відео-інструкція, як встановити пін-код на ключ Yubikey на MacBook

На iPhone та Android

На смартфонах PIN встановлюється через додаток Yubico Authenticator. На Android ключ можна підключити через USB-C, USB-A або через NFC. На iPhone — тільки через NFC (працює для моделей iPhone 7 і новіших). У відео показано обидва процеси з реальним інтерфейсом.

Відео-інструкція, як встановити пін-код на ключ Yubikey на iPhone та Android

Важливі моменти

• PIN-код від ключа і пароль від облікового запису — це різні речі. PIN захищає сам ключ, а пароль захищає акаунт в сервісі.
• Після 8 невдалих спроб ввести PIN ключ скидається до заводських налаштувань — і всі зареєстровані сервіси стираються також. Тож увійти з таким ключем в раніше додані облікові записе не вийде. Сервіси доведеться додати заново.
• PIN повинен бути від 4 до 63 символів (ці параметри можуть змінюватись залежно від версії прошивки ключа). Запам’ятайте його надійно — ніхто, навіть Yubico, не може відновити забутий PIN.
• Для роботи з Delta PIN-код обов’язковий, на відміну від деяких інших сервісів, які можуть приймати ключ без PIN.

Реєстрація ключа в Delta

Офіційні покрокові інструкції реєстрації FIDO2 ключа в Delta доступні на сайті Міністерства оборони: delta.mil.gov.ua/open-wiki/mfa

Команда Delta підтримує цю інструкцію в актуальному стані і додає гайди для всіх платформ — Windows, Linux, macOS, Android та iOS. Тому окремо дублювати її в цій статті немає сенсу — нижче зібрані тільки ключові моменти, про які варто знати до того, як почнете реєстрацію.

Що потрібно знати перед реєстрацією

1. PIN-код повинен бути встановлений на ключі заздалегідь. Без PIN ключ просто не пройде реєстрацію в Delta. Як встановити PIN — описано у попередньому розділі.

2. Рекомендований браузер — Google Chrome. Він має найповнішу і найстабільнішу підтримку FIDO2/WebAuthn на всіх платформах. Safari на macOS має обмежену підтримку зовнішніх ключів, тому для реєстрації краще використовувати Chrome.

3. На iPhone — реєстрація надійно працює через NFC. Для моделей iPhone 7 і новіших. NFC-зона у більшості моделей розташована у верхній частині задньої панелі. Прикладайте ключ на 1-3 секунди до того моменту, як телефон підтвердить зчитування.

4. На iPad ситуація складніша. iPad не підтримує роботу з NFC ключами безпеки — це обмеження Apple. Доступні варіанти:

• YubiKey 5Ci через Lightning (для старих iPad з Lightning)
• YubiKey 5C або 5C NFC через USB-C (для iPad з USB-C — але не всі сервіси та браузери підтримують це коректно)
• Простіше зареєструвати ключ через iPhone або комп’ютер, а потім використовувати в Delta на iPad

5. На Android — універсальніше за iOS. Можна підключити через USB-C, USB-A (з адаптером OTG) або через NFC. Більшість сучасних Android-телефонів підтримують обидва способи без обмежень.

6. Ключ не виймати під час реєстрації. Тримайте його підключеним постійно протягом усього процесу. Передчасне витягування може призвести до помилки і необхідності повторювати реєстрацію.

7. Дайте кожному ключу зрозумілу назву. Під час реєстрації Delta запропонує назвати ключ. Не залишайте дефолтну назву — пишіть конкретно, наприклад “YubiKey основний” або “YubiKey резервний”. Це допоможе орієнтуватись, якщо у вас зареєстровано кілька ключів.

8. Не застосовуйте силу до ключа. Натискати на сенсор потрібно легким дотиком — не тиснути, не гнути, не мити. Ключ розрахований на роки експлуатації за умови нормального використання.

Куди звертатись, якщо щось не виходить

Команда Delta має офіційну службу підтримки:

• Matrix: @delta_support:delta.mil.gov.ua
• Signal / WhatsApp: +380 98 297 67 68

Чому два ключі — це не зайва обережність

Це найважливіший момент, який зазвичай ігнорують при першій покупці. Один ключ — це один сценарій збою без плану Б.

Якщо у вас зареєстровано в Delta тільки один ключ і він раптом:

• загубився під час відрядження
• пошкодився механічно
• скинувся після 8 невдалих спроб PIN
• лишився вдома, а ви на іншому місці

— ви не зможете увійти в систему. Відновлення доступу через службу підтримки Delta вимагає часу і не завжди можливе оперативно. У бойових умовах це може бути критично.

Тому Yubico та Міністерство оборони офіційно рекомендують реєструвати мінімум два ключі:

• Основний — той, що використовується щоденно. Носите з собою, маєте під рукою.
• Резервний — зберігається в надійному місці окремо від основного (вдома, в сейфі, у довіреної особи). Використовується тільки якщо з основним щось трапилось.

Обидва ключі реєструються в Delta одночасно — кожен як окремий пристрій з власною назвою. У разі втрати основного ви входите резервним, видаляєте втрачений ключ зі списку зареєстрованих, замовляєте новий і знов налаштовуєте систему двох ключів.

Резервний ключ може бути тієї ж моделі, або іншої. Наприклад, основний — YubiKey 5C NFC, резервний — Security Key C NFC (дешевший варіант, якого достатньо саме для Delta). Головне, щоб обидва підтримували FIDO2 і мали актуальну прошивку.

Типові помилки та як їх вирішити

Більшість проблем при роботі з FIDO2 ключами зводяться до кількох типових сценаріїв. Ось як їх діагностувати.

Ключ не розпізнається комп’ютером

• Спробуйте інший USB-порт. Підключайте безпосередньо до комп’ютера, а не через USB-хаб, мережевий фільтр чи перехідник, який не підтримує передачу даних.
• Перевірте кабель чи адаптер. Якщо використовуєте USB-A → USB-C перехідник, переконайтесь, що він підтримує передачу даних, а не тільки зарядку. Дешеві перехідники часто мають тільки лінії живлення.
• Перезавантажте браузер. Іноді кеш або фонові процеси блокують доступ до USB-пристроїв.
• На macOS перевірте дозволи: Системні налаштування → Конфіденційність і безпека → доступ до USB-аксесуарів має бути відкритий.

Перехідники USB-C для YubiKey на MacBook

Якщо у вас MacBook з портами USB-C, а ключ USB-A — потрібен перехідник. Не всі перехідники працюють однаково надійно з YubiKey. Yubico протестували різні моделі і опублікували перевірений список.

Перехідники, що працюють надійно:

• Apple USB-C to USB
• Belkin USB-C to USB
• Mediasonic USB-C to USB-A Female USB 3.1
• Nonda USB-C to USB (саме оригінальний, “genuine”)
• MonoPrice USB-C to USB

Перехідники, які НЕ рекомендується використовувати:

• Apple USB-C Multi-adapter (мультиадаптер з кількома портами)
• Insignia (Best Buy) USB-C to USB

Звертайте увагу: тести Yubico проводились без USB-C хабів. Хаби можуть створювати додаткові проблеми з розпізнаванням ключа. Якщо хаб не уникнути, варто перевірити роботу ключа конкретно через нього перед реєстрацією в Delta.

Браузер не показує діалог реєстрації ключа

• Переконайтеся, що сайт відкритий через HTTPS. Delta завжди працює через HTTPS, але якщо ви випадково потрапили на HTTP-версію — WebAuthn просто не активується.
• Закрийте інші вкладки і додатки, що можуть одночасно використовувати ключ. Yubico Authenticator у фоні може блокувати браузер.
• Спробуйте відкрити Delta у режимі інкогніто. Розширення браузера — особливо антивіруси, VPN та блокувальники реклами — іноді блокують WebAuthn-діалоги.
• Chrome, Edge і Firefox підтримують WebAuthn з коробки в актуальних версіях. Якщо ви все одно маєте проблеми — оновіть браузер до останньої версії і спробуйте знов.

PIN-код не приймається

• Переконайтеся, що вводите PIN від ключа, а не пароль від облікового запису чи від комп’ютера. Це різні речі — і їх легко переплутати, особливо коли діалогів багато.
• Якщо ви ще не встановили PIN — система запропонує створити його при першому використанні. Інструкції за платформою — у розділі “Налаштування PIN-коду” вище.
• Після 8 невдалих спроб ключ блокується. Розблокувати можна тільки через повне скидання FIDO-додатку на ключі. Після скидання всі зареєстровані в Delta та інших сервісах акаунти доведеться додавати заново — резервний ключ тут рятує ситуацію.

Ключ працює на комп’ютері, але не на телефоні

• Для підключення через USB-C на Android: переконайтесь, що телефон підтримує USB OTG. Більшість сучасних Android підтримують, але деякі бюджетні моделі — ні.
• Для NFC: увімкніть NFC у налаштуваннях телефону, якщо є така опція. Прикладайте ключ до правильної зони — на більшості Android це центр задньої панелі, на iPhone — верхня частина задньої панелі (приблизно над логотипом Apple). Тримайте ключ нерухомо 1-2 секунди.
• Чохол на телефоні може заважати NFC, особливо металевий або з магнітним кріпленням. Спробуйте без чохла.
• На iPhone NFC для ключів безпеки працює тільки на моделях iPhone 7 і новіших.

Ключ загубився або зламався

Якщо у вас зареєстровано резервний ключ — використовуйте його для входу. Після відновлення доступу обов’язково видаліть втрачений ключ зі списку зареєстрованих пристроїв у Delta, щоб ним більше не можна було скористатись. Потім замовте новий ключ і знов налаштуйте систему двох ключів.

Якщо резервного ключа немає — зверніться до служби підтримки Delta. Відновлення доступу займе час і не завжди можливе оперативно. Це ще одна причина мати резервний ключ заздалегідь.

Фізична безпека ключа

• Не залишайте ключ постійно підключеним до ноутбука під час перенесення. Виступаючий USB може зламатись при ударі або падінні.
• Не натискайте на сенсор з силою. Ключ розрахований на легкий дотик. Постійне сильне натискання скорочує термін служби.
• Захист IP68 — високий стандарт стійкості до води і пилу, але це не дозвіл на щоденне купання з ключем. Він розрахований на випадкові бризки, дощ, короткочасний контакт з водою. Навмисне занурення, прання у кишені, миття під краном — не покриваються гарантією, і повторні водні навантаження поступово зношують ущільнення.
• Зберігайте резервний ключ окремо від основного. Якщо обидва в одній сумці — у разі її втрати ви втратите доступ повністю.

Чому купувати YubiKey у NAI

NAI (newage-invest.com) — авторизований партнер Yubico в сфері електронної комерції в Україні. Статус підтверджений на офіційному сайті виробника: yubico.com/support/partners/ та yubico.com/ua/store/, де у блоці “Official e-commerce resellers” розміщене пряме посилання на наш магазин.

Що це означає на практиці:

Прямий імпорт через офіційний канал. Усі ключі надходять до NAI через офіційного дистриб’ютора Yubico без вторинного ринку та сірого імпорту. Це означає, що в нас фізично немає ключів зі старими прошивками — лише 5.7 і вище. Кожен ключ — оригінальний, з заводською упаковкою та можливістю верифікації статусу через сайт виробника.

Офіційна гарантія виробника. Yubico надає гарантію 12 місяців на свої ключі через авторизованих партнерів. У разі заводського браку — заміна без зайвих питань.

Технічна підтримка з налаштування. Ми продаємо ключі Yubico з 2023 року і регулярно консультуємо клієнтів з їх налаштування — встановлення PIN, реєстрація в Google, Microsoft, криптобіржах та інших сервісах, перехід між ключами, відновлення доступу. З особливостями реєстрації саме в Delta ми безпосередньо не працюємо — для цього є офіційна служба підтримки delta.mil.gov.ua/open-wiki/mfa. Але якщо проблема стосується самого ключа — не розпізнається, не приймає PIN, питання вибору моделі — пишіть, допоможемо розібратись.

Доставка по всій Україні. Нова Пошта по всій країні, самовивіз в Івано-Франківську. Оплата при отриманні наложеним платежем, карткою, Google Pay, Apple Pay або на рахунок для фізичних та юридичних осіб.

Висновок: план дій

Якщо ви тільки починаєте налаштовувати доступ до Delta:

1. Оберіть модель ключа. Для більшості випадків достатньо Security Key NFC (USB-A) або Security Key C NFC (USB-C). Якщо потрібен один ключ для Delta та інших корпоративних сервісів — YubiKey 5 NFC або 5C NFC.
2. Замовте одразу два ключі. Основний для щоденного використання, резервний — на випадок втрати чи поломки. Без резервного ключа втрата доступу до Delta стає критичною проблемою.
3. Переконайтесь, що прошивка 5.7 або вище. У NAI це гарантовано. На маркетплейсах — обов’язково перевіряйте після отримання через Yubico Authenticator.
4. Встановіть PIN-код перед реєстрацією. Без PIN ключ не пройде реєстрацію в Delta. Інструкції з відео — у розділі “Налаштування PIN-коду” вище.
5. Зареєструйте обидва ключі одночасно на сайті delta.mil.gov.ua/open-wiki/mfa. Дайте кожному зрозумілу назву — “основний” та “резервний”. Зберігайте резервний окремо від основного.

Якщо виникнуть запитання на будь-якому з етапів — пишіть. Допоможемо обрати, налаштувати і зареєструвати.