Ulasan & penilaian Yubico yubikey 5 nfc

Kata sandi telah menjadi titik lemah keamanan sejak pertama kali diperkenalkan. Untungnya, Yubico YubiKey 5 NFC ada di sini untuk melindungi akun kita yang paling penting dan banyak lagi. Generasi kelima YubiKey mendukung FIDO U2F untuk otentikasi faktor kedua yang aman dan menggunakan NFC untuk bekerja dengan telepon Anda. Tapi itu hanya permulaan dari apa yang dapat dilakukan perangkat yang sangat kuat dan sangat kecil ini. Jika Anda hanya mencari opsi U2F perangkat keras yang sederhana, YubiKey 5 NFC mungkin berlebihan - pertimbangkan Kunci Keamanan yang lebih terjangkau oleh Yubico atau Kunci Keamanan Google Titan. Tetapi jika Anda sudah tenggelam dalam keamanan, Anda akan menyukai apa yang ditawarkan 5 NFC.

Cara Otentikasi Dua Faktor Bekerja

Meskipun ada banyak hal yang dapat Anda lakukan dengan kunci keamanan perangkat keras seperti YubiKey, peran utamanya adalah sebagai faktor kedua otentikasi. Dalam praktiknya, otentikasi dua faktor (2FA) berarti harus melakukan hal kedua setelah memasukkan kata sandi Anda untuk membuktikannya adalah Anda. Tetapi teori di balik 2FA menggabungkan dua sistem otentikasi yang berbeda dari daftar tiga:

• Sesuatu yang kamu tahu,
• Sesuatu yang Anda miliki, atau
• Sesuatu dirimu.

Misalnya: kata sandi, adalah sesuatu yang Anda ketahui , dan kata sandi itu hanya ada di kepala Anda (atau di dalam pengelola kata sandi). Biometrik - pemikiran pemindaian sidik jari, pemindaian retina, tanda tangan jantung, dan sebagainya - dihitung sebagai sesuatu yang Anda miliki . Yubico YubiKeys dan sejenisnya adalah sesuatu yang Anda miliki .

Menggunakan dua faktor dari daftar tiga ini memberikan kepastian yang lebih besar bahwa Anda adalah siapa yang Anda katakan, dan bahwa Anda memiliki wewenang untuk mengakses hal yang Anda coba akses. Juga lebih sulit bagi orang jahat untuk dilanggar. Penyerang mungkin membeli kata sandi Anda dari Dark Web, tetapi dia mungkin tidak akan bisa mendapatkan kunci keamanan Anda juga. Otentikasi yang disediakan oleh 2FA juga bersifat sementara: hanya berfungsi sekali, dan biasanya hanya untuk waktu yang terbatas, untuk keamanan tambahan.

Ulasan ini terutama membahas perangkat keras 2FA, tetapi ada banyak cara untuk menambahkan faktor kedua. Banyak situs akan mengirimkan kode kepada Anda melalui SMS untuk memverifikasi identitas Anda. Aplikasi seperti Duo dan Authy mengandalkan pemberitahuan push yang (secara teori) lebih sulit untuk dicegat daripada pesan SMS.

Apakah Anda menggunakan solusi perangkat keras atau perangkat lunak atau gabungan keduanya, tambahkan 2FA di mana pun Anda bisa. Ketika Google menggunakan kunci 2FA secara internal, Google melihat bahwa pengambilalihan akun yang sukses turun menjadi nol. Itu bagus.

Banyaknya Rasa YubiKey

Yubico selalu menawarkan beberapa ukuran dan variasi kunci keamanannya untuk memenuhi setiap kebutuhan. Ini hebat, karena konsumen dan profesional TI bisa mendapatkan apa yang mereka butuhkan dengan harga yang bervariasi. Kelemahannya adalah bahwa menjelajahi toko Yubico adalah pengalaman yang sering kali luar biasa. Saya akan melakukan yang terbaik untuk meratakan dasar-dasarnya.

Ada empat rasa dari perangkat YubiKey 5 Series, termasuk YubiKey 5 NFC yang bernilai $ 45 yang diulas di sini, serta tiga faktor bentuk lainnya: YubiKey 5 Nano $ 50, YubiKey 5C $ 50, dan YubiKey 5C Nano $ 60. 5 NFC adalah satu-satunya YubiKey yang menawarkan komunikasi nirkabel, tetapi selain itu satu-satunya perbedaan di antara perangkat-perangkat ini adalah ukuran, harga, dan konektor USB.

Dua perangkat Nano adalah perangkat yang paling kecil dalam grup dan terletak di dalam slot USB-A atau USB-C Anda, mudah dijangkau jika Anda sering membutuhkannya. YubiKey 5C menggunakan konektor USB-C, sedikit lebih kecil dari 5 NFC, dan dapat menggantung di gantungan kunci Anda di samping 5 NFC; tidak memiliki komunikasi nirkabel. Namun, Anda dapat menghubungkan YubiKey 5C atau 5C Nano langsung ke perangkat Android Anda.

Apa yang membedakan YubiKey 5 Series dari kompetisi bukan hanya variasi faktor bentuk. Perangkat ini adalah keamanan digital nyata dari pisau Tentara Swiss. Masing-masing dapat berfungsi sebagai Kartu Cerdas (PIV), dapat menghasilkan kata sandi satu kali, mendukung OATH-TOTP dan OATH-HOTP, dan dapat digunakan untuk otentikasi respon-tantangan. Keempat perangkat mendukung tiga algoritma kriptografi: RSA 4096, ECC p256, dan ECC p384. Perangkat ini dapat memuat banyak sekali peran berbeda, seringkali pada saat yang bersamaan - asalkan Anda tahu apa yang Anda lakukan.

Sementara YubiKey 5 NFC adalah fokus dari tinjauan ini, saya telah menguji perangkat YubiKey 4 Series di masa lalu, dan ini secara fisik identik dengan variasi USB-C dan Nano dari YubiKey 5 Series. Semuanya dibuat dengan baik, dibalut dengan plastik hitam yang menyembunyikan keausan, dan dilengkapi dengan LED hijau tersembunyi untuk memberi tahu Anda bahwa mereka terhubung dan berfungsi. Perangkat USB-A memiliki strip emas atau disk yang Anda ketuk, tergantung pada ukuran perangkat. Perangkat USB-C, sementara itu, memiliki dua tab logam kecil yang Anda ketuk untuk mengautentikasi. Perangkat USB-A Nano lebih sulit untuk dikeluarkan dari slot daripada perangkat USB-C Nano, tetapi USB-A Nano YubiKey memiliki lubang kecil, sehingga dapat digantung dari tali atau kabel, sedangkan USB-C Nano tidak.

Perangkat YubiKey mana yang Anda beli akan sangat bergantung pada konteks apa yang Anda rencanakan untuk menggunakannya. Perangkat Nano berguna jika Anda berencana menggunakannya dengan komputer tepercaya, dan Anda tahu Anda harus sering mengakses YubiKey. Kunci ukuran penuh lebih baik untuk menggantung di gantungan kunci dan tetap dekat.

Hands On Dengan YubiKey 5 NFC

Untuk membantu Anda memulai, Yubico telah membuat panduan praktis untuk pengguna baru. Pilih saja perangkat YubiKey yang Anda miliki, dan situs menampilkan daftar semua tempat dan konteks yang dapat Anda gunakan YubiKey Anda. Beberapa dari tautan ini langsung ke halaman onboarding situs atau layanan, sementara yang lain memberikan instruksi yang harus Anda ikuti sendiri.

Menyiapkan YubiKey sebagai faktor kedua U2F sangat sederhana. Ikuti instruksi situs atau layanan dan kemudian masukkan YubiKey ke slot yang sesuai ketika diminta. Cukup ketuk cakram emas (atau tab logam, tergantung pada model), dan layanan mendaftarkan kunci Anda. Lain kali Anda masuk, Anda memasukkan kata sandi dan Anda mendapatkan prompt untuk memasukkan kunci dan ketuk. Itu dia!

Dashlane, Google, dan Twitter adalah beberapa dari banyak situs yang mendukung U2F dan menerima perangkat YubiKey 5 Series. Dalam pengujian saya, saya mendaftarkannya sebagai faktor kedua untuk Akun Google. Saat masuk di komputer desktop, saya memasukkan kredensial login saya, dan kemudian Google meminta saya untuk memasukkan dan mengetuk kunci keamanan saya. Itu tidak masalah, walaupun saya harus menggunakan browser Chrome untuk masuk.

Di perangkat Android saya, prosesnya sama sederhana. Saat masuk dalam pengujian, saya memasukkan kredensial saya, dan kemudian telepon saya meminta saya untuk menggunakan kunci keamanan saya. Saya memilih NFC dari menu di bagian bawah, dan kemudian menampar 5 NFC di bagian belakang ponsel saya. Butuh beberapa upaya, tetapi akhirnya telepon membunyikan afirmatif dan saya masuk.

YubiKey 5 Series dapat mengotentikasi Anda dalam beberapa cara, tidak hanya melalui U2F. Dengan LastPass, misalnya, Anda mendaftarkan YubiKey untuk menghasilkan kata sandi satu kali (khususnya Kata Kunci Satu Kali berbasis HMAC, tetapi saya akan menggunakan OTP untuk singkatnya) dengan satu ketukan. Ini berbeda dari U2F tetapi dalam praktiknya rasanya sangat mirip. Masuk ke LastPass, arahkan ke bagian yang sesuai dari menu Pengaturan, klik pada bidang teks, dan ketuk YubiKey. Serangkaian surat keluar, dan hanya itu! Sekarang ketika Anda ingin masuk ke LastPass, Anda akan diminta untuk memasukkan YubiKey Anda untuk memuntahkan lebih banyak OTP.

Sebagian besar dari Anda mungkin akrab dengan Google Authenticator, sebuah aplikasi yang menghasilkan kode sandi enam digit setiap 30 detik. Teknologi ini, lebih umum, disebut Time-One Password berbasis waktu (TOTPs) dan itu salah satu bentuk paling umum untuk 2FA digunakan hari ini. Seiring dengan desktop pendamping atau aplikasi seluler, Yubico memberikan putaran menarik pada sistem TOTP.

Hubungkan YubiKey Anda, jalankan aplikasi Yubico Authenticator, dan kemudian navigasikan ke situs yang mendukung Google Authenticator atau layanan serupa. Untuk mengamankan Akun Google, misalnya, saya mengklik opsi untuk mendaftarkan ponsel baru dengan aplikasi autentikator. Kode QR biasanya muncul pada titik ini, dan situs meminta Anda untuk memindai dengan aplikasi authenticator yang sesuai. Sebaliknya, saya memilih opsi menu di aplikasi desktop Yubico Authenticator dan menangkap kode QR dari layar saya. Setelah beberapa klik lagi, aplikasi mulai memberikan kode enam digit unik setiap 30 detik.

Kuncinya adalah bahwa aplikasi Yubico tidak dapat menghasilkan TOTP tanpa YubiKey. Alih-alih menyimpan kredensial yang diperlukan untuk membuat kode-kode itu di komputer Anda, Yubico Authenticator menyimpan data itu langsung di YubiKey Anda. Tarik, dan aplikasi Authenticator tidak dapat membuat TOTP baru. Itu berguna jika Anda khawatir tentang seseorang mencuri perangkat yang Anda gunakan untuk menghasilkan TOTP Anda. Anda juga dapat mengunci YubiKey Anda dengan kata sandi, jadi meskipun itu dicuri dari Anda, itu tidak dapat digunakan untuk menghasilkan TOTP.

Yubico juga menawarkan aplikasi Android TOTP yang bekerja dengan YubiKey 5 NFC, untuk membawa TOTP Anda di jalan. Ketika Anda membuka aplikasi, itu kosong, tetapi menampar 5 NFC Anda di bagian belakang dan mulai menghasilkan kode. Keluar dari aplikasi, dan kodenya hilang; Anda harus mengetuk 5 NFC lagi. Itu kurang nyaman daripada menyimpan informasi dalam aplikasi itu sendiri, tetapi jauh lebih aman.

Ini adalah skenario yang saya lihat, tetapi YubiKey 5 Series dapat melakukan lebih banyak. Anda dapat menggunakannya sebagai kartu pintar untuk masuk ke komputer desktop saya. Anda dapat menggunakannya untuk masuk ke server SSH. Anda bahkan dapat membuat kunci PGP dan kemudian menggunakan YubiKey untuk menandatangani atau mengautentikasi. Terus terang, hanya saja kepala saya dililit tombol TOTP cukup sulit.

Meskipun Yubico memiliki banyak dokumentasi dan tiga aplikasi desktop yang terpisah (dan tiga aplikasi seluler lainnya), sangat sulit untuk menggunakan setiap aspek YubiKey tanpa sedikit pengetahuan yang ada. Yubico telah menyebarkan situs web untuk membantu menginformasikan pelanggan tentang apa yang dapat mereka gunakan untuk kunci mereka, dan untuk membimbing mereka menuju informasi yang diperlukan. Panduan itu bagus, tapi itu hanya panduan, bukan pegangan tangan yang biasanya disediakan oleh produk teknologi. Menggunakan YubiKey Anda untuk U2F juga sangat sederhana tetapi memaksimalkan YubiKey Anda tidak mudah bagi pemula - atau bahkan jurnalis keamanan.

YubiKeys vs. Kunci Keamanan Google Titan

Yubico memiliki solusi untuk hampir setiap situasi dengan YubiKey 5 Series, tetapi biaya merupakan masalah. Setiap perangkat individual dihargai antara $ 40 dan $ 60 hanya untuk satu YubiKey.

Bundle Kunci Keamanan Google Titan, di sisi lain, menyediakan dua perangkat seharga $ 50: Satu kunci USB-A dan fob kunci Bluetooth / Micro USB. Itu memberi Anda cadangan langsung dari kelelawar. Di sisi lain, YubiKey hanya memiliki keamanan yang lebih besar untuk uang Anda (dengan asumsi Anda mencari tahu bagaimana menggunakan itu semua). Kedua perangkat Titan dapat menggunakan NFC tetapi, hingga tulisan ini dibuat, dukungan belum diaktifkan pada perangkat Android. Google juga memasok adaptor USB-C, sehingga Anda dapat menggunakan kunci Titan dengan perangkat apa pun. Kunci Titan, bagaimanapun, hanya mendukung FIDO U2F. Itu akan bekerja untuk hampir semua situs web atau layanan, tetapi mereka tidak dapat digunakan untuk TOTP, OTP, akses Kartu Cerdas, dan protokol lain yang didukung oleh YubiKey 5 Series.

Pembaca yang sadar harga terutama mencari hanya perangkat U2F kemungkinan akan lebih memilih $ 20 Security Key oleh Yubico. Kunci USB-A ini memiliki siluet yang sama dengan YubiKey 5 NFC, tetapi dapat diidentifikasi dengan penutup plastik biru yang tampan, mesin terbang kunci pada tombol tengah, dan nomor dua terukir di atasnya. Seperti namanya, perangkat ini mendukung FIDO U2F dan FIDO2, tetapi hanya itu. Kunci Keamanan tidak mendukung semua protokol Seri YubiKey 5, jadi Anda tidak dapat menggunakannya dengan LastPass atau sebagai kartu pintar, juga tidak dapat berkomunikasi secara nirkabel. Harganya juga kurang dari setengah bundel kunci Titan atau 5 NFC.

The YubiKey to Success?

YubiKey 5 Series adalah keluarga perangkat yang luar biasa yang mengisi sejumlah ceruk yang mempesona. Penggunaannya yang paling dasar adalah sebagai FIDO U2F authenticator atau generator OTP, tetapi dapat melakukan lebih banyak lagi. Masalah yang selalu kami alami dengan YubiKeys, dan Yubico secara keseluruhan, hanyalah tantangan untuk menentukan YubiKey mana yang akan dipilih, di antara setengah lusin perusahaan yang saat ini menawarkan. Mencari tahu apa yang dapat Anda lakukan dengan itu di luar U2F merupakan tantangan ganda. Perangkat Yubico sangat baik, dan dokumentasinya meningkat, tetapi mereka dirancang dengan mempertimbangkan keamanan dan profesional TI.

Jika Anda melihat sekilas daftar kemampuan yang ditawarkan YubiKey dan memahaminya, atau setidaknya ingin tahu tentang mereka, maka ini adalah perangkat untuk Anda. Anda tidak akan kecewa dengan perangkat kecil yang kasar ini. Jika Anda tahu Anda ingin mengamankan akun online Anda, tetapi tidak yakin bagaimana cara melakukannya, Anda mungkin lebih baik dengan Google Titan Security Keys atau Security Key yang jauh lebih terjangkau oleh Yubico.

YubiKeys adalah teknologi yang mapan dan matang, tapi kami masih menjelajahi ruang ini. Karena itu, kami memberikan YubiKey 5 NFC empat bintang, tetapi menahan penghargaan Pilihan Editor sampai kami memeriksa lebih banyak opsi.