Čo je to FIDO (U2F/FIDO2) bezpečnostný kľúč ?
Čo je to FIDO bezpečnostný kľúč?
FIDO bezpečnostný kľúč je malé USB (alebo NFC) zariadenie založené na princípe asymetrickej kryptografie, ktoré dokáže rozpoznať a zabrániť cieleným útokom na vaše webové účty. Pripojíte ho k počítaču či smartfónu (cez NFC) a následne sa bezpečne prihlásite do služieb ako Gmail, Facebook, Yahoo, Twitter, Dropbox, Microsoft, Apple ID a mnohých ďalších.
Bezpečnostné kľúče pre Apple ID
Apple teraz podporuje FIDO bezpečnostné kľúče, čo výrazne zvyšuje ochranu vašich online účtov. Ak používate iOS 16.3 alebo novší a macOS 13.2 alebo novší, môžete využiť túto pokročilú bezpečnostnú funkciu. S FIDO kľúčmi zabezpečíte svoje dokumenty, fotky a poznámky na iCloude pred neoprávneným prístupom.
Pred akými najbežnejšími útokmi ma ochráni FIDO bezpečnostný kľúč?
Phishing
Phishing je forma podvodného získavania citlivých informácií od ľudí, často prostredníctvom falošných e-mailov a webových stránok. Útočník sa vydáva za dôveryhodnú inštitúciu, aby získal prístup k citlivým údajom, ako sú heslá, čísla kreditných kariet a iné osobné informácie.
Zaujímavosť: Google, ktorý zaviedol v roku 2017 povinné používanie týchto kľúčov pre viac ako 85 000 zamestnancov a odvtedy nezaznamenali ani jeden úspešný phishingový útok.
Brute force
Útok, pri ktorom útočník skúša rôzne kombinácie hesiel, aby získal prístup k niečomu, čo má zabezpečené heslo. Cieľom útočníka je prejsť všetky možné kombinácie hesiel, kým nenájde správne heslo.FIDO kľúč nevyplňuje heslo a teda neexistuje riziko, že by útočník získal používateľove heslo. V prípade brute force útoku na PIN, FIDO kľúč sa po 5 nesprávne zadaných PINov zablokuje. Následne je potrebné obnoviť výrobne nastavenia v aplikácii FEITIAN Manager, čím sa všetko bezpečne vymaže.
MiTM a AiTM
Je typ útoku, ktorý sa vykonáva tým, že útočník vloží sám seba medzi dve komunikujúce strany, napríklad medzi počítač používateľa a webový server. Tým má útočník prístup ku všetkým prechádzajúcim údajom a môže ich zachytiť, analyzovať alebo zmeniť.
Príklad #1. Phishingový útok na strane hackera a obeti. AiTM nástroj: Evilginx2
Takto vyzerá útok do služby Microsoft, ak používate meno + heslo + dvojfaktorové overenie (SMS kód alebo Microsoft Autentifikátor).
Hacker vďaka nástroju Evilginx2 jednoducho získal:
- meno (username: bob@bader.cloud)
- heslo (password: Wedo1378!)
- session cookies potrebné na obídenie 2 faktorového overenia, ako je napríklad SMS kód alebo Microsoft Authenticator.
Takto vyzerá útok do služby Microsoft, ak používate FIDO kľúč. Hacker nezíska nič a prístup je zamietnutý:
Secure element (SE), FIPS a EAL certifikácie
Secure Element (SE) je špeciálny bezpečnostný prvok integrovaný do zariadení ako chytré telefóny, platobné karty či bezpečnostné kľúče. Tento prvok slúži ako bezpečné úložisko pre citlivé informácie, ako sú heslá, certifikáty a osobné údaje. V rámci ePass NFC Plus zabezpečuje SE od renomovanej americkej firmy NXP, že vaše súkromné kľúče sú uložené bezpečne a sú chránené pred neoprávneným prístupom či klonovaním.
FIPS 140 je americký štandard, ktorý stanovuje bezpečnostné požiadavky pre kryptografické moduly používané v informačných technológiách federálnej vlády USA. Produkty certifikované podľa tohto štandardu, ako je ePass NFC Plus, sú považované za vysoko zabezpečené a vhodné pre spracovanie citlivých informácií.
EAL je štandard pre hodnotenie a certifikáciu bezpečnosti produktov a systémov v oblasti informačných technológií. Tento štandard, vyvinutý organizáciou Common Criteria, hodnotí bezpečnostné vlastnosti produktov na piatich úrovniach, od EAL1 (najnižšia) až po EAL7 (najvyššia).
Ako prebieha prihlásenie pomocou FIDO kľúča do FB?
Zadáte meno a heslo. Následne vás služba vás požiada o vloženie FIDO kľúča a dotknutím kľúča sa prihlásite, niektoré služby ako napr. Facebook žiadajú PIN ( nie vždy sa vyžaduje PIN, niekedy stačí len dotyk kľúča- Google ). Po úspešnom overení sa prihlásite do služby:
Je FIDO kľúč napájaný cez batériu ?
Nie. Batériu ma len model Multipass (K13) výdrž batérie je cca 3 mesiace. Následne pomocou USB kábla, ktorý je súčasťou balenia je Multipass potrebné dobiť.
Sú nejaké skryté alebo fixné poplatky ?
Nie. Jedná sa iba o jednorazovú investíciu. Nie sú potrebné žiadne dodatočné mesačné poplatky.
Aké e-commerce platformy podporujú prihlásenie pomocou FIDO kľúča?
Aké kryptomenové burzy podporujú prihlásenie pomocou FIDO kľúča?
- Kraken
- Binance
- Gemini
- Coinbase
- Bitfinex
Viem použiť FIDO kľúč na prihlásenie do Wordpressu?
Áno, pomocou pluginov ako napríklad:
Čo sa stane ak použijem FIDO kľúč v prípade phishingového útoku?
Nič. Hacker získa vaše meno a heslo, ale bez FIDO kľúča je mu to zbytočné. FIDO kľúče sú stavané na rozpoznanie cielených phishingových útokov (app ID musí byť rovnaké ako origin). Okrem toho majú v sebe viacero vstavaných funkcií ako ochrana pred klonovaním, podpisovanie vygenerovanej challange a mnoho iných, ktoré poskytujú dodatočný level ochrany.
Ponúkate služby, ktoré mi pomôžu s inštaláciou?
Áno: IT konzultácie.
Čo je to pokročila ochrana od Google ?
Chcete maximálne zabezpečiť svoje online účty? Google Advanced Protection Program je špičkový nástroj navrhnutý pre zvýšenie bezpečnosti vašich digitálnych identity. Tento program poskytuje robustnú ochranu proti najrozmanitejším hrozbám, ako sú phishing, malware a iné sofistikované útoky na vaše účty. Tento program je určený pre kritické účty, ako sú účty politikov, novinárov a iných verejných osobností, ktoré sú vystavené vyššiemu riziku útokov. Viac informácií nájdete: Nejsilnější zabezpečení účtu od Googlu v podobě programu pokročilé ochrany