Chyby při používání bezpečnostního klíče a jak se jim vyhnout

Chyby při používání bezpečnostního klíče dokážou znehodnotit ochranu, kterou klíč jinak výrazně zvyšuje. Útočníci málokdy útočí na kryptografii přímo, hledají nejslabší článek kolem ní: obnovu účtu, zálohy nebo pohodlné obcházení.

Následující přehled shrnuje nejčastější chyby. Princip fungování klíčů najdete v přehledu FIDO2 a širší kontext v sekci Ochrana účtů.

Jediný klíč bez zálohy

Nejčastější chybou je registrace jednoho klíče. Stačí ho ztratit, rozbít nebo nechat v zavazadle a přístup k účtu je ohrožen. Některé služby nabídnou obnovu, jiné ne, a u některých trvá dny či týdny.

Řešením je záložní klíč uložený na jiném místě a záložní kódy uložené odděleně. Pravidelně si ověřujte, že záloha funguje. Zapomenutý klíč v šuplíku může být po roce pokažený nebo nekompatibilní s novým zařízením.

Slabá obnova účtu

Pokud služba po ztrátě klíče dovolí obnovu jen přes SMS nebo e-mail, útočník s přístupem k těmto kanálům klíč obejde. Proto stojí za to zkontrolovat, jaké způsoby obnovy jsou v účtu aktivní, a ponechat jen ty, které dokážete dostatečně chránit.

Důležité je i zabezpečení samotné e-mailové schránky. Pokud je e-mail chráněn jen heslem, klíč u dalších služeb může být bezvýznamný, protože přes e-mail lze celý účet resetovat. Podrobnosti o doporučené kombinaci najdete v sekci Autentikátory.

Původ zařízení

Klíč kupujte od výrobce nebo autorizovaného prodejce. Zařízení z druhé ruky nebo z neznámých internetových obchodů mohou být zmanipulovaná. U klíče, který jste dostali od jiného člověka, nemáte jistotu, že neobsahuje upravený firmware nebo nebyl dříve zaregistrován.

Při doručení zkontrolujte neporušenost obalu a ochranných prvků. Při pochybnostech klíč nepoužívejte a kontaktujte výrobce. Totéž platí pro aktualizace firmwaru: stahujte je jen z oficiálních stránek výrobce.

Zapomenutá odregistrace a běžné návyky

Ztracený klíč je třeba odregistrovat u všech služeb. Pokud se najde později, můžete ho zaregistrovat znovu, ale do té doby ať nikdo nemá možnost ho použít. Abyste věděli, kde všude je klíč registrován, pomůže jednoduchý seznam služeb.

Z běžných návyků se vyhněte tomu, abyste nechávali klíč trvale zapojený v zařízení, které necháváte bez dozoru. Fyzický dotyk má potvrzovat vaši přítomnost. Pokud je klíč stále v portu a vy jste pryč, výhoda fyzické přítomnosti se ztrácí, zvlášť když se útočník dostane k zařízení. Přehled o rizicích najdete i v sekci Podvody a scamy.

Kontrolní seznam

Na závěr si projděte krátký seznam. Máte alespoň dva klíče? Jsou uložené na různých místech? Máte záložní kódy mimo zařízení? Víte, které služby mají registrovaný který klíč? Zkontrolovali jste, jaké slabší způsoby obnovy jsou povolené? Koupili jste klíč od důvěryhodného prodejce?

Pokud na některou otázku neumíte odpovědět, je to dobré místo, kde začít. Seznam si zopakujte jednou za rok. Při změně telefonu, čísla nebo bydliště je vhodné projít ho znovu, protože právě tehdy se nejčastěji dělají chyby.

U firemních účtů je dobré mít i interní postup: komu nahlásit ztrátu klíče, kdo může zařízení odregistrovat a jak se ověřuje totožnost při obnově. Jasný postup zkracuje dobu, po kterou je účet zranitelný nebo nedostupný.