Bezpečnostní klíč FIDO2: co to je a jak funguje

Bezpečnostní klíč FIDO2 je malé fyzické zařízení, které se připojuje přes USB, NFC nebo Bluetooth a potvrzuje, že se přihlašujete vy. Nejčastěji se používá jako druhý faktor, může však nahradit i heslo. Rozdíl oproti kódům z aplikace je v tom, že nepřepisujete nic, co byste mohli prozradit.

Technologie stojí na standardech FIDO2 a WebAuthn, které vyvíjí FIDO Alliance spolu s konsorciem W3C. Základní výklad pojmů najdete ve slovníku, souvislosti s ostatními formami ověření v sekci Autentikátory.

Jak probíhá registrace

Při registraci klíče ve službě se v zařízení vytvoří nový pár klíčů, soukromý a veřejný. Veřejný klíč se odešle službě a uloží se u vašeho účtu. Soukromý klíč zůstává v zařízení a nedá se z něj vyjmout, což je hlavní výhoda hardwarového řešení.

Pro každou službu vzniká samostatný pár. Proto nelze porovnáním identifikátorů sledovat, které služby používáte. Služby si navzájem nemohou ověřit, že jde o tentýž klíč, pokud to sami nepovolíte.

Co se děje při přihlášení

Při přihlášení služba pošle náhodnou výzvu. Klíč ji podepíše soukromým klíčem, ale před podpisem do ní zahrne i adresu stránky, se kterou komunikuje. Služba ověří podpis veřejným klíčem. Pokud je podpis správný a adresa sedí, přihlášení proběhne.

Dotyk na klíči slouží jako potvrzení, že jste fyzicky přítomni. Škodlivý program v počítači proto nemůže klíč potichu použít bez vašeho zásahu. Některé klíče navíc vyžadují PIN nebo otisk prstu, což přidává další vrstvu.

Proč odolává phishingu

Při klasickém phishingu vás podvodník naláká na stránku, která vypadá jako skutečná, a vy tam zadáte heslo i kód. V případě klíče dostane stránka s jinou doménou podpis vázaný na tuto cizí doménu, který na skutečné službě nic neznamená. Útok tedy nefunguje, ani kdybyste se nechali oklamat.

Tato vlastnost odlišuje klíče od kódů z aplikace nebo SMS, které lze přepsat do jakékoli stránky. O podvodech a jejich typických znacích se víc dozvíte v samostatné sekci.

Omezení, na která je třeba myslet

Klíč chrání přihlášení, nechrání vás před vším. Pokud útočník ovládá zařízení, ze kterého klíč používáte, může zneužít už otevřenou relaci. Při práci s důležitými účty proto pamatujte i na aktualizace a ochranu před malwarem.

Praktickým omezením je podpora ze strany služeb a nutnost mít záložní klíč. Při ztrátě jediného klíče se k účtu můžete dostat jen přes záložní kódy nebo podporu služby. U hodnotných účtů se proto doporučuje registrovat alespoň dva klíče.

Typy klíčů a konektory

Klíče se liší hlavně způsobem připojení. USB-A a USB-C se hodí pro počítače a novější telefony, NFC umožňuje přiložit klíč k telefonu a Bluetooth se používá tam, kde konektor není dostupný. Před nákupem si zkontrolujte, jaké porty mají zařízení, ze kterých se nejčastěji přihlašujete, abyste nekoupili klíč, který nezapojíte.

Některé klíče podporují jen ověření dotykem, jiné i PIN nebo otisk prstu. Při vyšším stupni ochrany je klíč chráněn i tehdy, když se dostane do cizích rukou. Rozdíly mezi modely zjistíte v dokumentaci výrobce a v seznamu certifikovaných produktů na stránce FIDO Alliance. Jde o obecný popis, ne o doporučení konkrétní značky.