Poradnik o kluczach sprzętowych na przykładzie YubiKey 5 NFC (2FA, U2F, FIDO2)

Minęło już kilka miesięcy od „afery mailowej”, w wyniku której grupa UNC1151 uzyskała dostęp do kont e-mail polskich polityków, w tym do skrzynki pocztowej szefa Kancelarii Prezesa Rady Ministrów Michała Dworczyka.

Według ustaleń ABW oraz SKW główny wektor ataku na konto Dworczyka stanowił phishing:

Całej sytuacji można było jednak zapobiec dzięki kluczom sprzętowym, takim jak np. prezentowany w niniejszym poradniku YubiKey.

W poniższym tekście omówimy następujące zagadnienia:

• Jak klucz sprzętowy zabezpiecza nas przed phishingiem?
• Zakup i wybór odpowiedniego klucza YubiKey.
• Zabezpieczanie kont za pomocą klucza na przykładzie Twittera (U2F).
• Passwordless, czyli jak wykorzystać klucz do logowania bez potrzeby podawania loginu i hasła (FIDO2).
• Generowanie kodów 2FA za pomocą aplikacji Yubico Authenticator.
• Hasła statyczne. 
• Inne zastosowania YubiKey, np. zabezpieczanie KeePassXC czy generowanie kluczy w Gpg4Win.
• Klucze nie zastąpią logicznego myślenia, czyli ostrzeżenie przed złośliwym oprogramowaniem.

Warto dodać, że w opracowaniu zastosowano pewne uproszczenia, zaś sama teoria została sprowadzona do niezbędnego minimum, aby do korzystania z kluczy sprzętowych nie zniechęcić osób mniej zaawansowanych technicznie.

Dlaczego klucz sprzętowy jest lepszy niż standardowe kody SMS czy e-mail?

Odpowiedź na to pytanie okazuje się bardzo prosta – ponieważ kod z SMS-a czy e-maila może zostać wyłudzony w taki sam sposób, jak login i hasło. W tego typu sytuacji mogą zostać wykorzystane znane narzędzia do przeprowadzania ataków phishingowych, takie jak chociażby Modlishka czy Evilginx2: 

W przypadku zastosowania przez użytkownika klucza sprzętowego atak zakończy się fiaskiem przestępcy. Klucz nie będzie bowiem w stanie wykryć połączenia z fałszywą stroną, na którą moglibyśmy omyłkowo chcieć się zalogować.

Zakup i wybór odpowiedniego klucza YubiKey

Już na samym początku może pojawić się kwestia: jaki klucz wybrać? Z pomocą przychodzi nam prosty quiz, który znajduje się na oficjalnej stronie producenta opisywanych urządzeń:

Pierwsze pytanie dotyczy przeznaczenia klucza. My chcemy zabezpieczyć nasze konta osobiste, dlatego wybieramy opcję ​​I am an individual”:

Następnie musimy wybrać port, z którym będzie kompatybilny nasz klucz. W tym przypadku wybór padł na USB-A, ponieważ planujemy korzystać z klucza na własnym komputerze. Jeśli jesteście posiadaczami MacBooków, to odpowiednim wyborem będzie najprawdopodobniej USB-C lub Lightning:

Teraz musimy zdecydować, jak chcemy przechowywać klucz. Opcja pierwsza zakłada, że będzie on przez większość czasu podpięty do komputera (jego budowa umożliwia „schowanie” go w porcie urządzenia). My jednak wybieramy opcję „On your keychain”, czyli noszenie klucza na breloku:

Kolejne pytanie dotyczy komunikacji bliskiego zasięgu (NFC). Opcja ta umożliwia uwierzytelnianie na urządzeniach (telefon komórkowy lub inne urządzenie do odczytu NFC) bez fizycznego podłączania YubiKey. Zamiast tego będziemy musieli przyłożyć klucz do rogu smartfona. (Uwaga: w przypadku iOS’a komunikacja bliskiego zasięgu może być zastosowana w wersjach od iPhone’a 7 wzwyż;z kolei w przypadku Androida jest to zależne od danego modelu smartfona.) Wybieramy opcję umożliwiającą korzystanie z NFC:

Czwarte już pytanie dotyczy wspierania przez klucz bezpiecznego logowania się na nasze urządzenie (np. laptop z systemem Windows 10). Funkcja ta jest dostępna w kluczach YubiKey serii piątej:

Teraz należy rozstrzygnąć kwestię, jakie konta będziemy chcieli zabezpieczyć naszym kluczem. Dzięki temu uzyskamy odpowiedź, czy serwis XYZ oficjalnie wspiera YubiKey:

Ostatnie pytanie sugeruje nam zakup zapasowego urządzenia – na wypadek gdybyśmy zgubili nasz główny klucz. Jeśli tylko dodatkowe nakłady pieniężne nie stanowią problemu, gorąco zachęcamy do zakupu dwóch kluczy (głównego i zapasowego):

Oto jak prezentuje się wynik naszego quizu:

Powyższe klucze (YubiKey 5 NFC oraz YubiKey 5C NFC) są najlepszą opcją zabezpieczenia naszych kont. Zawierają one wsparcie zarówno dla U2F, FIDO2 (Passwordless), jak i 2FA (generowanie kodów w aplikacji). Istnieje również tańszy odpowiednik klucza YubiKey 5 NFC:

W przeciwieństwie do swojego „starszego brata” nie posiada on wsparcia dla generowania kodów 2FA, nie pozwala na przechowywanie haseł statycznych, cechuje się mniejszą odpornością na upadki oraz nie jest wodoodporny. 

Teraz pozostało nam jedynie zamówić wybrany przez nas klucz sprzętowy. Możemy to zrobić za pomocą oficjalnej strony producenta YubiKey:

Jednak jeśli mieszkacie w Polsce, to lepszym wyborem – zarówno pod względem ceny, jak i czasu dostawy – będzie zakup od resellera (np. ITCentris czy VOIP24sklep.pl):

W opisywanym przez nas przypadku wybór padł na klucz YubiKey 5 NFC. Prezentuje się on następująco:

Zabezpieczanie kont za pomocą klucza (U2F)

Gdy już zdobędziecie YubiKey, za jego pomocą możecie w bardzo prosty sposób zabezpieczyć swoje konta w większości popularnych serwisów, takich jak: Twitter, Instagram, Gmail, YouTube czy Microsoft. Spróbujmy więc zabezpieczyć konto twitterowe. W tym celu klikamy ikonę kółka z trzema kropkami (Ustawienia):

Teraz wybieramy opcję „Settings and privacy”:

Następnie najeżdżamy kursorem na opcję „Security and account access”, po czym klikamy w zakładkę „Security”:

W dalszej kolejności wybieramy opcję „Two-factor authentication”:

Na tym etapie musimy wybrać sposób weryfikacji dwuetapowej. W naszym wypadku będzie to „Security key”:

Po zaznaczeniu wyżej wspomnianej opcji otrzymamy następujący komunikat:

Twitter poprosi nas o podanie hasła do naszego konta. Gdy już to zrobimy, rozpocznie się procedura dodawania klucza:

Zostaniemy poproszeni o włożenie naszego urządzenia YubiKey do portu USB:

Klucz YubiKey umieszczony w porcie USB:

Po wykonaniu tej czynności będziemy musieli dotknąć klucza zabezpieczeń w odpowiednim miejscu:

Teraz pozostało nam jedynie nazwać nasz klucz. W opisywanym przypadku będzie to „sekurak-poradnik”:

I gotowe! Twitter wygenerował dla nas również specjalny kod – na wypadek gdybyśmy stracili dostęp do naszego klucza:

Teraz, oprócz wpisania loginu i hasła, będziemy musieli podpiąć nasz klucz sprzętowy i dotknąć go w odpowiednim miejscu:

• podanie loginu i hasła podczas logowania się:

• monit o dotknięcie klucza YubiKey:

• dotykamy klucz YubiKey we wskazanym miejscu:

Oczywiście Twitter to tylko jeden z wielu serwisów, który wspiera klucze sprzętowe. Pełną listę można znaleźć tutaj:

Passwordless, czyli logowanie do konta Microsoft za pomocą klucza oraz PIN-u (FIDO2)

Jak można zauważyć, U2F ma jedną wadę – dalej jesteśmy zmuszeni do wpisywania loginu oraz hasła. Z pomocą przychodzi klucz bezpieczeństwa FIDO2, który umożliwia nam logowanie do ulubionego serwisu przy użyciu klucza oraz krótkiego PIN-u (zamiast loginu i hasła). Sprawdźmy, jak to wygląda na przykładzie konta Microsoft. W tym celu musimy zalogować się i przejść do zakładki „Security”:

Po wybraniu opcji „Advanced security options” musimy kliknąć przycisk „Add a new way to sign in or verify”:

Teraz będziemy musieli wybrać nową metodę uwierzytelniania. W naszym przypadku będzie to „Use a security key”:

Następnie musimy zdecydować, czy chcemy nasz klucz podpinać do portu USB, czy też wolimy skorzystać z formy bezprzewodowej w postaci NFC. W opisywanym przypadku (używanie klucza głównie na komputerze) wybieramy opcję „USB device”:

Po wykonaniu tej czynności pojawi się okno dialogowe związane z konfiguracją klucza, podobnie jak miało to miejsce w przypadku zabezpieczania naszego konta twitterowego:

Następnie zostaniemy poinformowani, że powyższy proces umożliwi nam logowanie Passwordless, czyli bez podawania loginu i hasła:

Teraz zostaniemy poproszeni o utworzenie nowego PIN-u, który zastąpi nam podawanie loginu oraz hasła:

Dalsza część procesu konfiguracji jest analogiczna do tego, co mogliśmy zaobserwować w przypadku ustawiania U2F na naszym koncie twitterowym:

• monit o dotknięcie klucza:

• dotykamy klucz YubiKey we wskazanym miejscu:

• podajemy nazwę zapisanego klucza:

I gotowe! Teraz, aby zalogować się przy użyciu klucza, musimy kliknąć opcję „Zaloguj się za pomocą […] klucza zabezpieczeń”:

Następnie musimy dokonać wyboru poświadczenia:

Zostaniemy poproszeni o wpisanie wcześniej utworzonego przez nas kodu PIN:

Gdy już to zrobimy, pozostało nam jedynie dotknąć klucza:

• monit o dotknięcie klucza YubiKey:

• dotykamy klucz YubiKey we wskazanym miejscu:

Oto udało nam się zalogować na konto Microsoft przy użyciu YubiKey oraz kodu PIN:

Warto dodać, że rozwiązanie FIDO2 może być zastosowane również w przypadku Azure Active Directory:

Yubico Authenticator, czyli generowanie kodów 2FA

Jeśli dana strona nie wspiera U2F ani FIDO2, to świetnym rozwiązaniem będzie aplikacja Yubico Authenticator, która – podobnie jak chociażby Authy – pozwala na wygenerowanie kodów 2FA:

W przypadku aplikacji na iOS, aby móc wygenerować nowy kod, wystarczy przyłożyć klucz YubiKey 5 NFC do rogu smartfona, zaś w przypadku sprzętu z systemem Windows musimy umieścić urządzenie w porcie USB. Jedną z zalet takiego rozwiązania jest fakt, że – w przeciwieństwie do chociażby Authy – nasz kod może zostać wygenerowany jedynie przy użyciu klucza i znika on po 30 sekundach. Nawet przestępca, który będzie miał zdalny dostęp do naszego urządzenia (np. za pomocą złośliwego oprogramowania czy rozwiązań typu AnyDesk), nie będzie w stanie wygenerować w naszym imieniu kodu w Yubico Authenticator, gdyż wymagana jest fizyczna interakcja ze strony ofiary (włożenie klucza do portu USB lub zbliżenie go do rogu smartfona w przypadku NFC).

Hasła statyczne, czyli przechowywanie krytycznych haseł w kluczu

Użytkownicy menedżerów haseł (np. KeePassXC) lub narzędzi do szyfrowania dysku (np. VeraCrypt) z pewnością napotkali pewien problem – jak zadbać o bezpieczeństwo tego jednego, najważniejszego hasła? W opisywanej sytuacji musieliśmy podjąć decyzję – czy wybrać krótsze, a zarazem słabsze hasło, czy raczej stworzyć długie, skomplikowane zabezpieczenie, którego zapamiętanie jest bardzo trudne, wręcz niewykonalne. W przypadku drugiej opcji hasło można zapisać na przykład na kartce papieru. Rozwiązanie to jest jednak nieefektywne – kartka może zostać z łatwością zgubiona, zniszczona lub przez przypadek wyrzucona. Jak się jednak okazuje, nasz klucz jest w stanie przechowywać tego typu hasła – w tym celu musimy uprzednio pobrać i zainstalować narzędzie YubiKey Personalization Tool:

Tak prezentuje się interfejs graficzny aplikacji:

Jak można zauważyć, w prawym górnym rogu wyświetlony został napis „No YubiKey inserted”. Aby móc skonfigurować nasze statyczne hasła, musimy najpierw włożyć klucz do portu USB:

Gdy już to zrobimy, możemy przejść do zakładki „Static Password”:

Teraz wystarczy wybrać opcję „Scan Code”:

Zanim przejdziemy do wpisywania hasła, musimy wybrać układ klawiatury. W tym przypadku najlepszym wyborem będzie US Keyboard:

Teraz możemy podać dowolne 38-znakowe hasło, które chcemy przechowywać w kluczu:

Aby zapisać konfigurację, należy wybrać przycisk „Write Configuration”:

I gotowe! Teraz wystarczy dotknąć klucza w odpowiednim miejscu, a hasło zostanie automatycznie uzupełnione w zaznaczonej przez nas lokalizacji:

Hasło wpisane w notatniku (nowy plik w aplikacji Notepad++):

Jeśli potrzebujemy dłuższego i bardziej skomplikowanego hasła, warto wybrać opcję „Advanced” w zakładce „Static Password”: 

Tym razem maksymalna długość naszego hasła wynosi 64 znaki. Aby je wygenerować, wystarczy kliknąć trzy przyciski o nazwie „Generate”:

By zapisać wyniki naszych działań, należy wybrać widżet „Write Configuration”:

Inne zastosowania urządzenia YubiKey

Warto wiedzieć, że klucz YubiKey może zostać wykorzystany również jako dodatkowe zabezpieczenie naszej bazy haseł KeePassXC:

Oprócz tego urządzenie YubiKey można użyć do generowania i przechowywania kluczy z oprogramowania Gpg4Win, służących np. do podpisywania i szyfrowania. Musimy przejść pod opcję „Karta inteligentna”, a następnie „Utwórz nowe klucze”

Zostaniemy poproszeni o podanie nazwy, adresu e-mail oraz o wybranie algorytmu szyfrowania:

Następnie Kleopatra poprosi nas o podanie PIN-u: 

Jego domyślna wartość to 123456, zaś PIN administratora to 12345678. Możemy je bez większego problemu zmienić – wystarczy kliknąć przycisk „Zmień PIN administratora”:

Następnie należy podać nowy PIN:

Ostatnim etapem tworzenia kluczy będzie wpisanie wybranego przez nas hasła – i gotowe! Tak prezentują się wygenerowane przez nas klucze:

Jeśli chcemy upewnić się, że YubiKey zawiera nasze klucze, wystarczy wpisać polecenie „gpg –card-edit”:

Gdybyśmy wpisali to samo polecenie przed wygenerowaniem kluczy w Gpg4Win, to wartość kluczy wynosiłaby „none”:

Spróbujmy, w celach demonstracyjnych, podpisać plik o nazwie „test.txt”.  W tym celu wybieramy przycisk „Podpisz/zaszyfruj” w aplikacji Gpg4Win:

Teraz musimy wskazać plik, który chcemy podpisać. W tym przypadku będzie to plik „test.txt”:

Aby podpisać plik, wystarczy wybrać opcję „Podpisz / zaszyfruj pliki”:

W procesie podpisywania zostaniemy poproszeni o włożenie karty (tj. klucza YubiKey) do portu USB oraz podanie kodu PIN:

• monit o włożenie karty:

• monit o podanie kodu PIN:

Jeśli nie uda nam się wykonać tego polecenia, proces podpisywania zostanie anulowany:

Analogicznie sprawa wygląda w przypadku odszyfrowywania i sprawdzania plików – w tej sytuacji również musimy włożyć klucz YubiKey do portu USB oraz wpisać poprawny kod PIN:

• wybranie opcji „Odszyfruj/sprawdź…”

• wybranie pliku do odszyfrowania:

• monit o podanie kodu PIN do klucza YubiKey:

• odszyfrowanie pliku po podaniu poprawnego kodu PIN:

Klucze sprzętowe nie zastąpią logicznego myślenia

Mimo licznych zalet opisywanych urządzeń należy pamiętać, że nie zastąpią one logicznego myślenia. Wprawdzie klucz YubiKey znacznie utrudnia ataki phishingowe, jednak phishing to atak socjotechniczny. Innymi słowy – podstępem skłaniamy ofiarę, aby samodzielnie przekazała nam swoje dane uwierzytelniające. Jeśli więc przestępca ma świadomość, że użytkownik korzysta z klucza sprzętowego, może próbować go zachęcić do pobrania złośliwego oprogramowania. Co prawda wymagana jest interakcja ze strony właściciela sprzętu (logowanie i włożenie klucza do portu USB), jednak dla odpowiednio zdeterminowanego atakującego taki stan rzeczy nie będzie większym problemem. 

Podsumowanie

Jak widać, klucze sprzętowe, takie jak np. YubiKey, w łatwy i szybki sposób pomagają zabezpieczyć konto przed phishingiem. Dzięki opcji „static password” możemy na nim również przechowywać hasła do krytycznych aplikacji, takich jak np. VeraCrypt czy KeePassXC. Jednocześnie warto mieć na uwadze fakt, że klucze sprzętowe nie są lekarstwem na wszystkie „cyberdolegliwości” – atakujący może podstępem skłonić nas do pobrania i uruchomienia złośliwego oprogramowania, które będzie stanowić dla przestępcy swoistą furtkę do naszych poufnych danych.

~ Jakub Bielaszewski