Z hlediska zabezpečení doporučujeme používat hardwarové bezpečnostní klíče, například YubiKeys od společnosti Yubico nebo Titan Security Key od Googlu. Nicméně, oba tito výrobci nedávno stáhli některé své klíče z trhu kvůli hardwarovým nedostatkům, což může vyvolávat jisté obavy. Jaký je tedy problém a jsou tyto klíče stále bezpečné?
Co jsou to hardwarové bezpečnostní klíče?
Fyzické bezpečnostní klíče, jako jsou Titan Security Key od Googlu nebo YubiKeys od Yubico, využívají k ochraně uživatelských účtů standard WebAuthn, který je nástupcem U2F. Tyto klíče slouží jako dodatečná vrstva dvoufaktorového ověřování. Místo zadávání kódu se používá fyzický klíč, který se připojuje do USB portu, nebo může komunikovat bezdrátově pomocí NFC (komunikace v blízkém poli) nebo Bluetooth.
Uživatelé mohou tyto klíče používat jako hardwarové tokeny pro přihlašování k různým účtům, jako jsou Google, Facebook, Dropbox nebo GitHub. V případě volitelného programu pokročilé ochrany Google je dokonce možné vyžadovat fyzický bezpečnostní klíč pro samotné přihlášení k účtu.
Proč Google a Yubico stáhly své klíče?
V nedávné době se společnosti Yubico i Google objevily v médiích v souvislosti se stažením některých svých bezpečnostních klíčů kvůli zjištěným hardwarovým chybám.
Problém společnosti Yubico se týkal výhradně zařízení YubiKey řady FIPS, nikoliv běžných spotřebitelských modelů. Jak je uvedeno v bezpečnostním upozornění Yubico, tyto klíče neměly dostatečnou náhodnost po zapnutí zařízení, což mohlo vést k potenciálním zranitelnostem v šifrování. Tato zařízení byla určena pro vládní agentury a jejich dodavatele. Yubico uvádí, že si není vědoma žádného útoku, který by tuto chybu zneužil, nicméně preventivně postižená zařízení nahrazuje. Důležité je poznamenat, že FIPS klíče se nedoporučují, pokud jejich používání nevyžaduje zákon.
Problém s bezpečnostním klíčem Titan od Googlu, který vedl ke stažení a výměně dotčených kusů, byl závažnější. Bluetooth verze tohoto klíče, používající technologii Bluetooth Low Energy, byla zranitelná kvůli tomu, co Google označil jako „nesprávnou konfiguraci„. Útočník v okruhu 10 metrů od uživatele, který se pomocí tohoto klíče přihlašoval, mohl tuto chybu využít k získání přístupu k jeho účtu. Dále bylo možné přimět počítač uživatele, aby se spároval s jiným Bluetooth klíčem, než s jeho vlastním. Tato zranitelnost se týkala i bezpečnostních klíčů Feitan, protože právě tato firma pro Google klíče Titan vyrábí.
Společnost Microsoft vydala aktualizaci pro systém Windows, která zabraňuje spárování zranitelných klíčů Google Titan a Feitan se systémy Windows 10 a Windows 8.1 přes Bluetooth.
Yubico nikdy nenabízelo klíč s Bluetooth. Když Google představil klíč Titan, Yubico uvedlo, že samo zvažovalo uvedení Bluetooth Low Energy (BLE) klíče, ale nakonec dospělo k závěru, že „BLE neposkytuje takovou úroveň zabezpečení jako NFC a USB“. Problémy s klíči Google potvrdily správnost přístupu Yubico, který se zaměřuje na technologie USB a NFC namísto Bluetooth.
Google i Yubico stáhly a bezplatně nahradily dotčené klíče.
Doporučujeme tyto klíče i nadále?
I přes zmíněné nedostatky a stahování z trhu, stále doporučujeme používat fyzické bezpečnostní klíče. Společnost Yubico zaznamenala problém s náhodností pouze u jedné specifické produktové řady určené pro vládní sektor a tuto chybu již vyřešila. Google měl problémy s Bluetooth, ale i tato zranitelnost mohla být zneužita pouze útočníky, kteří se nacházeli v bezprostřední blízkosti uživatele. Dokonce i vadný Bluetooth klíč Titan poskytoval ochranu před vzdálenými útoky.
Tyto klíče stále splňují vysoké bezpečnostní standardy. Skutečnost, že Yubico i Google aktivně odhalují své nedostatky a nabízí bezplatné výměny, je pozitivní. Problémy se netýkaly standardních bezpečnostních klíčů pro běžné spotřebitele, které využívají USB nebo NFC.
Největší problém těchto klíčů se týká obecně všech metod dvoufaktorového ověřování. U mnoha online služeb je totiž možné obejít zabezpečení fyzického klíče pomocí méně bezpečných metod, jako je SMS. Útočník, který provede podvod s portem telefonu, by tak mohl získat přístup k účtu i přes používání fyzického klíče. Proti takovýmto útokům mohou uživatele chránit pouze velmi zabezpečené systémy, jako je program pokročilé ochrany od Googlu.