FIDO bezpečnostné kľúče

⚠️ ️Phishing. Útočník vám zašle falošný odkaz prostredníctvom emailu, SMS správou alebo iným oznámením (push notifikáciou). Tento odkaz pripomína dôveryhodnú službu, ako napríklad prihlásenie do Facebooku, Google účtu alebo banky, a je veľmi ťažké ho rozoznať od pravého. Po zadaní údajov, hacker získa prístup do účtu.  FIDO kľuč na rozdiel od SMS alebo OTP aplikácie (Google Authenticator) využíva asymetrickú kryptografiu , vďaka ktorej dokáže zabrániť phishingovému útoku.  Dobrým príkladom je Google, ktorý zaviedol v roku 2017 povinné používanie týchto kľúčov pre viac ako 85 000 zamestnancov a odvtedy nezaznamenali ani jeden úspešný phishingový útok.

⚠️ Brute force. Nazývaný útok hrubou silou. Je forma útoku kde hacker skúša rôzne kombinácie až kým nenájde tu správnu. V prípade použitia FIDO kľúča po 5 nesprávne zadaných PINov sa kľúč zablokuje.

⚠️ Keylogger. Je škodlivý softvér, ktorý je nainštalovaný do PC užívateľa a zaznamenáva každé stlačenie klávesnice. Taktiež to môže byť hardvérové zariadenie, ktoré sa pripojí ku klávesnici a nie je rozpoznateľné pomocou antivírusu. Ak používate FIDO kľuč, hacker môže získať váš PIN ale bez fyzického FIDO kľúča je mu zbytočný a do služby sa neprihlási.

⚠️ MITM. Je typ útoku, počas ktorého dochádza k útoku na komunikáciu medzi dvoma účastníkmi (napríklad banka a klient). Hacker (prostredník) bez ich vedomia začne komunikovať, čítať a upravovať informácie. Tým útočník ľahko získava citlivé informácie a môže používať ku krádeži či vydaní.  Podobne ako pri phishingu tak aj tu FIDO kľúč funguje na princípe asymetrickej kryptografie, vďaka ktorej tento spôsob útokov neje možný.

Ako prebieha prihlásenie pomocou FIDO kľúča do FB?

Zadáte meno a heslo. Následne  vás služba vás požiada o vloženie fido kľúča a zadanie PINu. Po uspešnom overení sa prihlasíte do služby, viď. odkaz. 

Čo sa stane ak použijem FIDO kľúč v prípade phishingového útoku?

Nič. Hacker získa vaše meno a heslo, ale bez FIDO kľúča je mu to zbytočné. FIDO kľúče sú stavané na rozpoznanie cielených phishingových útokov (app ID musí byť rovnaké ako origin). Okrem toho majú v sebe viacero vstávaných funkcií ako ochrana pred klonovaním, podpisovanie vygenerovanej challange a mnoho iných, ktoré poskytujú dodatočný level ochrany. To na akom princípe funguje FIDO kľúč, sme opísali v našom blogu: Ako ochrániť svoje účty pred phishingom a keyloggermi?

TIP: Pre maximálnu ochranu je potrebné vypnúť obnovenie pomocou SMS, a ak je to možne aj OTP aplikáciu (Google Authenticator). Na autentifikáciu vždy používajte FIDO kľúč! Najlepšie je mať pár (2 ks) jeden záložný a druhy, ktorý používam pravidelne. 

Prečo je FIDO kľúč bezpečný na rozdiel od OTP aplikácií?

Po prvé využiva princípy asymetrickej kryptografie. Po druhé FIDO kľúč funguje offline a má v sebe zabudovaný SE (secure element - bezpečnostný čip), ktorý je stavaný na rôzne formy hackerských útokov. Tento SE chráni aj pred radou fyzických útokov, ako napríklad púšťanie špecifického elektrického napätia.

Dá sa zistiť spojitosť medzi jednotlivými účtami?

Nie. Každá služba ma iný verejný kľúč. Ten kľúč slúži ako náhodne generovaný identifikátor pre jednotlivú službu. Facebook ma iný identifikátor (verejný kľúč) ako Google a nikto nedokáže nájsť spojitosť medzi jednotlivými účtami.

Čo je to FIDO U2F a FIDO2 bezpečnostný protokol ?

FIDO U2F  je starší bezpečnostný protokol. Pokiaľ sa chcete prihlásiť do webovej služby zadáte meno, heslo a dotknete sa kľúča čim overíte vašu identitu.

FIDO2 je novší bezpečnostný protokol. Väčšinou v tomto prípade nezadávate meno ani heslo stačí sa iba dotknúť kľúča a zadať vami vytvorený PIN.

Prečo je FIDO bezpečnostný kľúč lepší ako OTP aplikácie (Google authentifikátor)?

Súkromie. Pri aplikáciách sa vaše osobné údaje nielen zbierajú, dokonca môžu byť ponúknuté a predané tretím stranám, tzv. third parties. FIDO kľúč funguje off-line, nezbiera a neposiela o vás žiadne údaje.

Bezpečnosť. Mobilné aplikácie fungujú online, stačí malware v telefóne a hacker sa dostane ku kódom. FIDO kľúč funguje off-line a má v sebe čip, ktorý je vstavaný na rôzne formy útokov ako je napríklad malware.

Ochrana pred Phishingom. Aplikácie generujú časove kódy, väčšinou je to 30 sekúnd a tie nechránia pred phishingom, ale len pred unikom databáz hesiel. FIDO kľuč naopak využíva asymetrickú kryptografiu a dokáže odhaliť aj sofistikované phishingove útoky. Okrem toho chráni aj pred Brute force, MITM, Keylogger a inými cielenými útokmmi.

Úspora času. Nie je potrebné mať nainštalovanú žiadnu ďalšiu aplikáciu - a už vôbec netreba žiadne následné kódy vkladať manuálne. Stačí iba jeden dotyk na kľúči, ktorý môžete použiť pre neobmedzené množstvo účtov.

Google Advanced protection. Jedná sa o ochranu určenú pre rizikové osoby ako sú novinári, biznismeni a politici. Na zapnutie tejto ochrany je potrebné mať aspoň dva FIDO kľúče.

SmartCard. Drahšie verzie FIDO kľúčov, ktoré majú funkciu PIV je možne použiť na vygenerovanie certifikátov a následne použiť ako SmartCard pre šifrovacie programy (Bitlocker) alebo na prihlásenie do MacOS.