Preporučujemo upotrebu hardverskih sigurnosnih ključeva, kao što su YubiKey od Yubico-a i Google-ov Titan sigurnosni ključ. Međutim, oba proizvođača su nedavno povukla određene modele ključeva zbog uočenih hardverskih problema, što je izazvalo određenu zabrinutost. Postavlja se pitanje, koji je tačno problem i da li su ovi ključevi i dalje pouzdani za korišćenje?
Šta su hardverski sigurnosni ključevi?
Fizički sigurnosni ključevi, poput Google-ovog Titan sigurnosnog ključa i YubiKey-a od Yubico-a, koriste WebAuthn standard, koji je naslednik U2F standarda, kako bi dodatno osigurali vaše naloge. Oni funkcionišu kao druga forma autentifikacije u dva koraka: umesto unosa koda, koristi se fizički ključ koji se uključuje u USB port, ili ostvaruje komunikaciju bežično putem NFC-a (komunikacija bliskog polja) ili Bluetooth-a.
Svoj sigurnosni ključ možete koristiti kao hardverski token za prijavu na različite naloge, uključujući Google, Facebook, Dropbox i GitHub. Google-ov program napredne zaštite nudi opciju da se za prijavu na nalog zahteva isključivo korišćenje fizičkog sigurnosnog ključa.
Zašto su Google i Yubico opozvali svoje ključeve?
I Yubico i Google su se nedavno našli u vestima zbog opoziva pojedinih sigurnosnih ključeva usled otkrivenih hardverskih nedostataka.
Problem kod Yubico-a se odnosio isključivo na uređaje iz serije YubiKey FIPS, i nije uticao na potrošačke modele. Prema Yubico sigurnosnom savetniku, ovi ključevi nisu imali dovoljnu slučajnost nakon uključivanja, što je moglo dovesti do ranjivosti njihove enkripcije. Ovi uređaji su bili namenjeni vladinim agencijama i izvođačima. Yubico nije potvrdio da je bilo zloupotreba ovog problema, ali kompanija je proaktivno zamenila sve pogođene uređaje.
Google-ov problem sa Titan sigurnosnim ključem, koji je takođe rezultirao opozivom i zamenom, bio je još ozbiljniji. Bluetooth verzija Titan sigurnosnog ključa, koja koristi Bluetooth Low Energy za bežičnu komunikaciju, bila je podložna napadima zbog onoga što je Google okarakterisao kao „neispravnu konfiguraciju„. Napadač koji se nalazi u blizini od 10 metara od korisnika koji koristi sigurnosni ključ za prijavu, mogao je iskoristiti ovu grešku za prijavu na njegov nalog. Alternativno, napadač je mogao prevariti računar korisnika da se upari sa drugim Bluetooth ključem umesto sa ispravnim sigurnosnim ključem. Ova ranjivost je uticala i na Feitan sigurnosne ključeve, jer Feitan proizvodi Titan ključeve za Google.
Microsoft je takođe objavio ažuriranje za Windows kojim se sprečava uparivanje ovih ranjivih Google Titan i Feitan ključeva sa Windows 10 i Windows 8.1 putem Bluetooth-a.
Yubico nikada nije ponudio Bluetooth ključ. Kada je Google lansirao svoj Titan ključ, Yubico je izjavio da su ranije istraživali mogućnost lansiranja sopstvenog Bluetooth Low Energy ključa, ali su došli do zaključka da „BLE ne pruža isti nivo sigurnosti kao NFC i USB“. Google-ovi problemi su naizgled potvrdili odluku Yubico-a da se fokusira na USB i NFC umesto na Bluetooth.
I Google i Yubico su besplatno povukli i zamenili oštećene ključeve.
Da li i dalje preporučujemo ove ključeve?
Uprkos navedenim nedostacima i opozivima, mi i dalje preporučujemo fizičke sigurnosne ključeve. Yubico je imao problem sa slučajnošću u jednoj liniji proizvoda namenjenoj specifično za vladu, i taj problem je rešen zamenom uređaja. Google je naišao na probleme sa Bluetooth-om, ali čak i u tom slučaju je napad moguć samo u krugu od 10 metara od vas. Ipak, čak i neispravan Bluetooth Titan ključ vas je efikasno zaštitio od udaljenih napada.
Ovi ključevi i dalje ispunjavaju visoke sigurnosne standarde. Činjenica da i Yubico i Google proaktivno otkrivaju nedostatke i nude besplatne zamene oštećenog hardvera je ohrabrujuća. Problemi nisu uticali na standardne USB ili NFC sigurnosne ključeve namenjene običnim potrošačima.
Najveći problem sa ovim ključevima je isti problem koji postoji kod svih rešenja za autentifikaciju u dva koraka. Kod većine onlajn usluga moguće je zaobići sigurnosni ključ jednostavnim korišćenjem manje sigurnog metoda, kao što je SMS. Napadač koji je izveo prevaru sa preusmeravanjem broja telefona, mogao bi dobiti pristup vašem nalogu, čak i ako posedujete fizički sigurnosni ključ. Samo visokosigurnosne usluge, kao što je Google-ov program napredne zaštite, mogu vas u potpunosti zaštititi od takvih prevara.