Най-накрая инсталирах хардуерно базиран 2FA и това се оказа много по-лесно, отколкото си мислех

Винаги съм се отнасял към двуфакторната автентикация (2FA) като към досадно нещо: задължение, което трябва да изпълнявам при всяко влизане. Използвах SMS кодове и приложения за удостоверяване. Смятах, че това са сигурни варианти, докато не разбрах, че 2FA не е толкова сигурна, колкото си мислех – една хитра фишинг атака, подмяна на SIM карта или човек по средата може да открадне тези кодове за броени секунди. Това ме накара да изпробвам хардуерно 2FA и много съжалявам, че не го направих по-рано.

Настройката не беше толкова сложна, колкото си мислех. Беше само един малък стик, няколко кликвания и изведнъж тотално защитих акаунтите си от атаки, за които не знаех, че са възможни. Не се изискваше копиране на бързо променящи се кодове или SMS-и, а наистина безпроблемна и незабавна проверка.

Какво всъщност представлява хардуерното 2FA

Нека да се спрем по-подробно на това как ключовете за сигурност прехвърлят удостоверяването на физическо ниво.

Винаги съм смятал, че хардуерният ключ за сигурност е сложно решение за осигуряване на дигиталната сигурност – нещо, от което се нуждаят само системните администратори. Но в действителност това е простичко решение за сигурност, което добавя физически елемент – хардуерен ключ – към вашите пароли, преди да бъде потвърдена автентичността.

Хардуерното 2FA генерира уникална двойка публичен/частен ключ за всеки уеб сайт, в който сте го активирали. Хардуерният ключ съхранява и защитава частния ключ, докато публичният ключ се изпраща на уеб сайта. Всеки път, когато се опитате да влезете в този уеб сайт, той отговаря със специална заявка, че вашият защитен ключ се подписва със съответния частен ключ. След това уеб сайтът използва публичния ключ, съхраняван за вашия акаунт, за да провери подписа.

Това е изключително сигурна проверка, тъй като процесът на проверка е свързан с домейна, което прави невъзможно фалшив или фишинг сайт да измами вашия хардуерен ключ да подпише заявката или да предостави валиден подпис.

Докато SMS кодовете могат да бъдат прихванати чрез подмяна на SIM картите, а кодовете на приложенията могат да бъдат подправени, хардуерните ключове са практически неподатливи на дистанционно компрометиране. Те постепенно се превърнаха в една от най-силните и широко приети опции за осигуряване на втори фактор.

Настройване на моя първи ключ за сигурност

Процесът от няколко стъпки се оказа по-прост от очакваното.

Процесът на конфигуриране е лесен. Настроих ключа за сигурност (USB-C + NFC) първо в моя акаунт в Microsoft, но въпреки че точните стъпки ще бъдат малко по-различни в другите услуги, ще има сходства:

Влезте в профила си в Microsoft.

1. Кликнете върху менюто Security (Сигурност), след което щракнете върху бутона за Manage how I sign in (Управление на начина на влизане).
2. Изберете опцията Add a new way to sign in or verify (Добавяне на нов начин за влизане или проверка) и изберете някоя опция, която включва Security Key (Ключ за сигурност). В Microsoft това е опцията Face (Лице), fingerprint (Пръстов отпечатък), PIN (ПИН), security key (Ключ за сигурност).
3. Поставете ключа, когато бъдете подканени, след което създайте и потвърдете ПИН кода на ключа за сигурност.
4. В този момент ще бъдете подканени да докоснете ключа, за да завършите регистрацията, след което следвайте следващия подкана и дайте име на ключа си.

Тази настройка отне по-малко от три минути, а след това влизането в системата е лесно: въвеждате паролата си, докосвате ключа и сте готови. Можете също така да зададете ПИН код за вашия ключ за сигурност, за да предотвратите достъпа до него, ако бъде изгубен или откраднат. Въпреки че устройствата YubiKey често работят най-безпроблемно и предлагат силна защита от фишинг, те са на по-висока цена. Можете също така да превърнете един стандартен USB стик в ключ за сигурност, като използвате специален софтуер. Това обаче е безплатен подход от типа „направи си сам“, който заключва само локалния ви компютър и не включва защитен елемент, нито поддържа протоколите FIDO/WebAuthn, необходими за онлайн влизане в акаунт.

Защо ключът за сигурност е по-добър от 2FA, базиран на приложения

По-малко възможности за атаки, нула кодове за копиране и спокойствие, което се увеличава.

Google Authenticator, Authy и други приложения за удостоверяване на автентичността предлагат доста добро ниво на сигурност, но хардуерните ключове за сигурност осигуряват по-добра защита. Приложенията генерират кодове въз основа на споделена тайна и ако тази тайна изтече или бъде измамена, нападателят може да генерира валидни кодове.

Тъй като обаче хардуерните ключове за сигурност използват криптография, обвързана с произхода, домейнът на уеб сайта се превръща в страна, участваща в опита за влизане в системата, което позволява само истинският сайт да бъде правилно подписан с ключа. Перфектните клонинги на домейна ще се провалят, тъй като няма да съответстват на съхранения публичен ключ на домейна.

Процесът на използване на приложение за удостоверяване на автентичност включва достъп до телефона, намиране на променящия се код на телефона и въвеждането му преди изтичането на неговия срок. Хардуерният ключ намалява стъпките, необходими за удостоверяване – просто го включете и докоснете. Ключът е универсален за всички услуги, които поддържат FIDO2/U2F (съвременните стандарти за защитни ключове, устойчиви на фишинг), така че вместо няколко приложения за автентикатор, навсякъде използвате един и същ фактор – „притежание“.

Избор на правилния тип ключ за сигурност

Съобразете ключа с устройствата си за най-добро използване.

Съществуват няколко формата за връзка, свързани с хардуерните ключове за сигурност, и трябва да изберете устройство въз основа на формата за връзка, който използвате най-често. USB-C трябва да е най-подходящ за Android телефоните, таблетите и модерните лаптопи, докато USB-A е по-добър за традиционните персонални компютри. По-новите хардуерни ключове обаче могат да разполагат и с двата конектора.

NFC ключовете са чудесни за мобилното удобство, тъй като можете просто да докоснете телефона си, за да удостоверите автентичността си. За iPhone и iPad, Lightning, USB-C (с адаптер) или NFC опциите ще са перфектни. Само ключовете Bluetooth Low Energy (BLE) може да струват повече и да се нуждаят от зареждане, тъй като повечето стандартни ключове за сигурност са пасивни и черпят енергия от устройството.

Въпреки това трябва да се уверите, че независимо от това кой хардуерен ключ ще изберете, той поддържа стандартите FIDO2 и U2F, тъй като това гарантира по-широка междуплатформена съвместимост. Дори когато сменяте устройствата или екосистемите, вашият ключ остава актуален.

Един малък ключ – огромна промяна в сигурността

Използването на хардуерен ключ за сигурност променя начина, по който мисля за онлайн защитата. Той попада в постната категория на инструментите, които повишават сигурността без допълнително обременяване. Вече не правя постоянни проверки на кода и не чакам SMS-и. С едно докосване потвърждавам самоличността си, като в същото време съм устойчив срещу фишинг, кражба на идентификационни данни и отдалечено проникване.

Физическата, криптографска проверка е бъдещето на сигурността на акаунтите, а ключовете за достъп и хардуерните ключове са водещи в тази промяна. Хардуерните ключове се усещат не толкова като допълнителна стъпка, колкото като съществена крайна стъпка.