Što je sigurnosni ključ?
Sigurnosni ključ je mali fizički uređaj s USB ili NFC sučeljem kojim potvrđujete prijavu na račun — dodirom ključa, uz lozinku ili umjesto nje. Izgleda kao privjesak ili mali USB stick, nema bateriju ni zaslon i ne treba aplikaciju.
Kad se prijavljujete, stranica od ključa traži potvrdu. Ključ je daje tek kad ga dodirnete (ili, kod nekih modela, potvrdite otiskom prsta), pa prijava zahtijeva i nešto što znate ili imate i fizičku prisutnost.
Najpoznatiji sigurnosni ključevi su YubiKey (Yubico) i Google Titan; svi rade na istom otvorenom standardu, pa ih podržavaju isti servisi. U hrvatskom se koriste i nazivi hardverski ključ, FIDO2 ključ i USB sigurnosni ključ — sve je to isto.
Tražite sigurnosni ključ mreže? To je lozinka Wi-Fi mreže — Windows je tako naziva pri spajanju. Piše na naljepnici usmjerivača, a na mobitelu je u postavkama Wi-Fi mreže: na iPhoneu dodirnite oznaku informacija uz mrežu pa Lozinka, na Androidu odaberite mrežu pa Dijeli (QR kod s lozinkom). Ovaj vodič govori o ključevima za prijavu na račune.
Kako sigurnosni ključ radi?
Sigurnosni ključ radi na otvorenom standardu FIDO2/WebAuthn: za svaki račun stvara zaseban par kriptografskih ključeva, a privatni dio nikad ne napušta uređaj. Standard su zajedno razvili FIDO Alliance i W3C, uz Google, Microsoft, Apple i stotine drugih tvrtki.
Pri registraciji ključ stvori par: javni ključ preda stranici, a privatni zadrži u svom čipu. Pri prijavi stranica pošalje izazov, a ključ ga potpiše privatnim ključem — stranica potpis provjeri javnim. Lozinka ili tajna koja bi putovala internetom ne postoji.
Ključni detalj je vezanje uz domenu: par ključeva vrijedi samo za točnu adresu stranice na kojoj je registriran. Lažna kopija stranice ima drugu adresu, pa od ključa ne dobiva valjan potpis — koliko god uvjerljivo izgledala.
Zato se za sigurnosni ključ kaže da je otporan na phishing: provjeru radi protokol, a ne ljudska pažnja. Detaljnije, s dijagramom prijave, objasnili smo u vodiču za FIDO2 sigurnosne ključeve u tvrtkama.
Sigurnosni ključ, passkey, pristupni ključ ili SMS kod?
Passkey je način prijave bez lozinke, a sigurnosni ključ je fizički uređaj u kojem passkey može živjeti; SMS kod i kod iz aplikacije su brojevi koje prepisujete — i zato jedini padaju na lažnoj stranici.
Pristupni ključ je Googleov i Microsoftov hrvatski naziv za passkey. Passkey može biti spremljen u mobitelu ili računalu i sinkroniziran kroz Apple ili Google račun, ili u sigurnosnom ključu — tada se iz uređaja ne može izvući i ne ovisi o sigurnosti računa za sinkronizaciju.
| Metoda | Gdje živi | Odolijeva lažnoj stranici? |
|---|---|---|
| SMS kod | poruka na mobitelu | Ne — kod se prepiše i na lažnoj stranici |
| Kod iz aplikacije | Google ili Microsoft Authenticator | Ne — isti problem, kod se prepisuje |
| Passkey (pristupni ključ) | mobitel ili računalo, sinkroniziran | Da — vezan uz pravu adresu stranice |
| Sigurnosni ključ | zaseban fizički uređaj | Da — isto, a ključ je odvojen od mobitela |
Za većinu privatnih računa passkey na mobitelu je dobar početak — objasnili smo ga u vodiču pristupni ključ (passkey) jednostavno objašnjen. Sigurnosni ključ je korak dalje za račune koji resetiraju sve ostale: e-poštu, upravitelj lozinki i administratorske račune. Usporedbu svih metoda imamo u tekstu SMS, aplikacija ili hardverski ključ.
Kako postaviti sigurnosni ključ na Google, Microsoft, Apple i Facebook?
Na svakom servisu ključ se dodaje u sigurnosnim postavkama računa, pod dvofaktorskom prijavom ili passkeyima — postupak traje nekoliko minuta i ponavlja se za rezervni ključ.
- Google i Gmail: Sigurnost → Potvrda u dva koraka → pristupni ključevi i sigurnosni ključevi. Korak po korak: sigurnosni ključ na Google računu.
- Microsoft račun: account.microsoft.com → Sigurnost → napredne opcije prijave → dodajte sigurnosni ključ ili passkey. Vodič: sigurnosni ključ na Microsoft računu; za tvrtke i Microsoft 365: uvođenje u Entra ID.
- Apple ID: podrška za sigurnosne ključeve ugrađena je u iOS i macOS, uključujući zaštitu samog Apple ID-a; za iPhone s NFC-om dovoljan je ključ s NFC-om. Apple postavke opisali smo u vodiču za Apple, Facebook i Instagram.
- Facebook i Instagram: postavke Meta računa → Lozinka i sigurnost. Vodič: sigurnosni ključ na Facebooku i Instagramu.
Ključ radi i s mnogim drugim servisima (LinkedIn, GitHub, upravitelji lozinki, Dropbox, Cloudflare) — popis smo složili u katalogu podržanih servisa.
Zašto uvijek dva sigurnosna ključa?
Na svaki račun registriraju se dva ključa — glavni i rezervni koji stoji na sigurnom mjestu — jer izgubljeni ključ bez rezervnog znači spor oporavak računa.
Izgubite li glavni ključ, uklonite ga iz računa u par klikova i nastavite rezervnim. Bez rezervnog ključa ostaju kodovi za oporavak i provjera identiteta kod servisa, a to zna trajati danima.
To je sigurnosno pravilo pri postavljanju, ne uvjet kupnje — kupiti se može i jedan ključ. Što učiniti kad se ključ izgubi, opisali smo u tekstu izgubljen ključ — što sad.
Koji sigurnosni ključ odabrati i gdje ga kupiti?
Ključ se bira po priključku uređaja i po tome što Vam treba: za passkey i zaštitu od phishinga dovoljna je Security Key serija, a za prijavu u Windows i macOS, SSH i poslovne sustave YubiKey 5 serija.
- USB-C i mobitel s NFC-om: Security Key C NFC ili, uz sve protokole, YubiKey 5C NFC — naša preporuka za tvrtke i sve koji nisu sigurni.
- USB-A (stolna i starija računala): Security Key NFC ili YubiKey 5 NFC.
- iPhone s Lightning priključkom: YubiKey 5Ci.
- Otisak prsta umjesto PIN-a na računalu: YubiKey Bio.
Sve vrste, izbor po uređaju i modele koji su upravo na našoj zalihi vidite na stranici sigurnosni ključevi; cijene i usporedba svih modela stoje u katalogu. Kupuje se karticom ili uplatom, a račun može glasiti i na tvrtku.
Tvrtkama ključeve i uvodimo — pravila prijave, rezervni ključevi i obuka: uvođenje sigurnosnih ključeva za tvrtke.
