Używam tego samego zabezpieczenia logowania, któremu Google ufa w przypadku własnych pracowników

Przestałem wpisywać hasła i zacząłem używać tego samego zabezpieczenia logowania, któremu Google ufa w przypadku własnych pracowników. To mały klucz sprzętowy, który kosztuje mniej więcej tyle co porządny lunch, i całkowicie zmienił moje podejście do bezpieczeństwa kont.

Urządzenie nazywa się YubiKey, jest to sprzętowy klucz bezpieczeństwa. Włóż go, naciśnij przycisk i jesteś zalogowany. Jest tak bezpieczne, że nawet jeśli ktoś przechwyci moje dane logowania, nie uda mu się wejść bez fizycznego klucza w mojej ręce.

Od 2017 roku żadnemu z 85 000 pracowników Google nie udało się przeprowadzić ataku phishingowego

Ten sam standard bezpieczeństwa chroni jedną z największych firm technologicznych na świecie

W 2017 roku Google podjęło odważną decyzję. Zamiast polegać na hasłach i aplikacjach uwierzytelniających, wszyscy 85 000 pracowników musieli używać fizycznych kluczy bezpieczeństwa USB do logowania. Efekt? Od tego czasu nie odnotowano ani jednego potwierdzonego przejęcia konta.

Pomyśl o tym przez chwilę. Google jest jedną z najbardziej atakowanych firm na świecie, a phishing jest sposobem, w jaki dochodzi do większości naruszeń bezpieczeństwa. Atakujący wysyłają przekonujące e-maile, które wyglądają jak powiadomienia o zmianie hasła lub alerty dotyczące płatności. Klikasz w link, trafiasz na stronę, która wygląda dokładnie jak prawdziwy ekran logowania, i wpisujesz swoje dane. Atakujący ma teraz Twoje hasło — i prawdopodobnie także jednorazowy kod, jeśli zdążą wystarczająco szybko.

Sprzętowe klucze bezpieczeństwa przerywają ten łańcuch ataku. Nawet jeśli atakujący oszuka pracownika i nakłoni go do wpisania hasła na fałszywej stronie, nadal nie będzie mógł się zalogować bez fizycznego klucza. To jest siła uwierzytelniania opartego na sprzęcie i dlatego Google nie odnotowało żadnego przejęcia konta pracownika od lat.

YubiKey działa w oparciu o kryptografię klucza publicznego. Gdy rejestrujesz klucz w usłudze takiej jak Google, tworzy on unikalną parę kryptograficzną. Prywatny klucz pozostaje zamknięty w urządzeniu i nigdy go nie opuszcza. Podczas logowania klucz sprawdza, czy znajdujesz się na prawdziwej stronie, zanim wygeneruje podpis kryptograficzny. Fałszywe strony phishingowe nie są w stanie wywołać tej reakcji, ponieważ handshake kryptograficzny kończy się niepowodzeniem — klucz wykrywa problem nawet wtedy, gdy Ty go nie zauważasz. Skradzione hasła stają się bezużyteczne bez posiadania klucza.

Dlaczego ufam kluczowi za 25 dolarów bardziej niż hasłom i aplikacjom uwierzytelniającym

Fizyczne posiadanie bije cyfrowe kody

Na początku przesiadłem się na klucze dostępu, myśląc, że skończyły się moje problemy z hasłami. Jednak klucze dostępu oparte na urządzeniach na moim laptopie z Windows i telefonie z Androidem miały swoje własne problemy. Każde urządzenie przechowywało swoje własne klucze, więc musiałem konfigurować te same konta wielokrotnie. Co gorsza, każdy, kto znał mój PIN do urządzenia, mógł uzyskać dostęp do wszystkiego.

Sprzętowy klucz bezpieczeństwa rozwiązał oba problemy. Mój YubiKey przechowuje wszystkie moje klucze dostępu na chipie z własnym, osobnym PIN-em. Mogę go podłączyć do dowolnego komputera — Windows, Mac, Linux, a nawet komputerów w bibliotece — i logować się na swoje konta bez uzależnienia od konkretnego ekosystemu czy obawy, że ktoś zobaczy mój PIN na telefonie.

Ale po co klucz bezpieczeństwa, skoro aplikacja uwierzytelniająca oferuje taką samą wygodę? W przypadku uwierzytelniania przez SMS, zaawansowany atakujący może przechwycić jednorazowe kody poprzez podszywanie się pod SIM lub phishing. Aplikacje uwierzytelniające są bardziej bezpieczne, ale wciąż podatne na ukierunkowane ataki. Badanie Google wykazało, że kody SMS blokowały tylko 76% ukierunkowanych ataków, a aplikacje uwierzytelniające 90%, podczas gdy klucze bezpieczeństwa miały 100% skuteczności. Żaden użytkownik posiadający klucz bezpieczeństwa nie padł ofiarą ukierunkowanego phishingu. Ponieważ mój YubiKey znajduje się na moim breloku, jego zgubienie jest równie prawdopodobne, jak zagubienie kluczy do domu.

Prywatne klucze przechowywane na YubiKey nie mogą być kopiowane ani eksportowane. Nawet jeśli złośliwe oprogramowanie całkowicie przejmie kontrolę nad Twoim komputerem, atakujący nie mogą ukraść kluczy — mogą je jedynie wykorzystać, gdy jesteś aktywnie zalogowany. W momencie odłączenia klucza dostęp zostaje przerwany.

Klucz sprzętowy to najprostsza poprawa bezpieczeństwa, jaką możesz wprowadzić

Pięć minut przygotowania dla niezrównanej ochrony

Konfigurowanie YubiKey nie różni się od konfigurowania hasła sprzętowego. Możesz zacząć od swojego konta Google, ponieważ obsługuje ono doskonale klucze bezpieczeństwa. Przejdź do Bezpieczeństwo konta Google, włącz weryfikację dwuetapową, jeśli jeszcze tego nie zrobiłeś, i wybierz Dodaj klucz bezpieczeństwa. Gdy pojawi się monit, wybierz Użyj innego urządzenia i włóż YubiKey do portu USB. Google automatycznie go wykryje i poprowadzi Cię przez krótki proces rejestracji. Dotknij metalowego kontaktu, gdy pojawi się monit, i gotowe.

Po zarejestrowaniu się w Google wygenerowałem kody zapasowe i przechowałem je w bezpiecznym miejscu. To jest ważne: jeśli zgubisz klucz i nie będziesz miał kodów zapasowych, możesz zostać zablokowany na swoich kontach. Kupiłem też drugi YubiKey jako kopię zapasową, zarejestrowałem go na tych samych kontach i przechowuję go w domu.

Ten sam proces działa w przypadku innych usług. Microsoft, Apple, Amazon, PayPal, GitHub i dziesiątki innych obsługują sprzętowe klucze bezpieczeństwa. Sojusz FIDO prowadzi katalog kompatybilnych usług, jeśli chcesz to sprawdzić przed zakupem. Większość głównych platform, z których korzystam na co dzień, działa teraz z moim YubiKey, w tym mój menedżer haseł i magazyn w chmurze.

Do zarządzania wszystkim zainstalowałem aplikację YubiKey Authenticator. Umożliwia mi ustawienie PIN-u dla samego klucza — więc nawet jeśli ktoś ukradnie fizyczne urządzenie, nie będzie mógł go użyć bez PIN-u. Aplikacja obsługuje również jednorazowe hasła dla usług, które jeszcze nie obsługują pełnej autoryzacji kluczem. Jest to w zasadzie bardziej bezpieczna wersja Google Authenticator, która przechowuje Twoje kody na sprzętowym kluczu, zamiast na telefonie.

Te klucze sprzętowe są również bardziej wytrzymałe, niż się wydaje. Mój YubiKey przetrwał upadki na beton, siadanie na nim, a raz nawet przeszedł przez cykl w praniu. Został wykonany z tworzywa sztucznego wzmocnionego włóknem szklanym, nie ma baterii ani ruchomych części, i posiada certyfikat IP68 w zakresie odporności na kurz i wodę. Klucz noszę na breloku i wytrzymuje codzienne użycie bez żadnych problemów. W przeciwieństwie do rozwiązań programowych, które można obejść, bezpieczeństwo klucza sprzętowego jest wbudowane w sam fizyczny chip, więc nie ma warstwy oprogramowania, którą atakujący mógłby wykorzystać.

Klucz sprzętowy to najlepszy sposób ochrony twoich kont

YubiKey działa jak fizyczny klucz do twojej szafki—z tym że jest prawie niemożliwy do złamania lub sklonowania. Tak, możesz go zgubić tak jak każdy klucz, ale właśnie po to są kody zapasowe i dodatkowy klucz.

Za 25-50 USD, w zależności od modelu, otrzymujesz jednorazowy zakup, który działa na wszystkich Twoich urządzeniach i kontach. Bez subskrypcji, bez konfiguracji na każdym urządzeniu poza podłączeniem i uwierzytelnieniem. Jeśli jest wystarczająco dobre dla 85 000 pracowników Google, to jest wystarczająco dobre dla mnie.