Klucz U2F (Universal 2nd Factor) to fizyczne urządzenie — wyglądem podobne do pendrive’a — które podczas logowania służy jako drugi czynnik uwierzytelniania. W przeciwieństwie do kodu SMS klucz U2F jest odporny na phishing z definicji: weryfikuje domenę strony, na której się logujesz, i odmawia działania na podstawionej stronie. Nie da się go skopiować ani przechwycić zdalnie.
Co to jest klucz U2F i FIDO2
U2F i FIDO2 to otwarte standardy uwierzytelniania opracowane przez FIDO Alliance (Fast IDentity Online) — konsorcjum firm, w którym zasiadają m.in. Google, Apple, Microsoft i Yubico.
- U2F (Universal 2nd Factor) — klucz sprzętowy jako drugi czynnik. Najpierw logujesz się loginem i hasłem, następnie potwierdzasz dotknięciem klucza. To najpopularniejszy tryb dla osób prywatnych i firm.
- FIDO2 / WebAuthn — rozszerzony standard umożliwiający logowanie bez hasła (passwordless). Klucz + PIN lub sam klucz wystarczą do uwierzytelnienia. Eliminuje hasło jako koncepcję.
- Passkeys — implementacja FIDO2 wbudowana w systemy operacyjne (Android, iOS, Windows Hello, macOS). Zamiast fizycznego klucza używasz biometrii telefonu lub laptopa. Passkeys są synchronizowane w chmurze producenta (Google, Apple, Microsoft).
Jak działa klucz U2F — kryptografia klucza publicznego
Mechanizm działania klucza U2F opiera się na kryptografii asymetrycznej (klucz publiczny + prywatny):
- Rejestracja: Gdy dodajesz klucz do konta (np. Google), klucz generuje parę kluczy kryptograficznych unikalną dla tej domeny. Klucz publiczny trafia na serwer. Klucz prywatny nigdy nie opuszcza urządzenia.
- Logowanie: Po wpisaniu hasła serwer wysyła do klucza losowe „wyzwanie” (challenge) wraz z adresem domeny (
google.com). Klucz podpisuje wyzwanie kluczem prywatnym i odsyła podpis. - Weryfikacja domeny: Zanim klucz podpisze wyzwanie, sprawdza, czy domena w wyzwaniu zgadza się z domeną wyświetlaną w pasku przeglądarki. Jeśli logujesz się na fałszywej stronie
g00gle.com, klucz odmawia podpisania — atak phishingowy jest uniemożliwiony na poziomie protokołu. - Dotknięcie: Wymagane fizyczne dotknięcie przycisku na kluczu potwierdzające, że to człowiek, a nie złośliwe oprogramowanie, wykonuje operację.
Dlaczego klucz U2F jest odporny na phishing
To fundamentalna przewaga nad kodem SMS i aplikacją TOTP. Kod SMS można przejąć przez SIM swap. Kod TOTP można wyłudzić przez zaawansowaną stronę phishingową proxy, która w czasie rzeczywistym przekazuje kod do prawdziwego serwisu i loguje się w imieniu ofiary.
Klucza U2F nie można tak wyłudzić, bo jego odpowiedź kryptograficzna jest unikalna dla każdej sesji i ściśle powiązana z domeną. Nawet jeśli przechwycisz odpowiedź klucza dla fake-google.com, nie zadziała ona na google.com — podpis zawiera adres domeny.
Popularne klucze sprzętowe
| Produkt | Producent | Złącza | Cena orientacyjna |
|---|---|---|---|
| YubiKey 5 NFC | Yubico (Szwecja/USA) | USB-A, NFC | ok. 65 EUR |
| YubiKey 5C NFC | Yubico | USB-C, NFC | ok. 75 EUR |
| Google Titan | USB-A/C, NFC | ok. 30 EUR | |
| Nitrokey 3 | Nitrokey (Niemcy) | USB-A lub USB-C | ok. 30-50 EUR |
Yubico jest najpopularniejszym producentem i oferuje najszersze wsparcie dla różnych protokołów. Nitrokey to europejska alternatywa open source.
Gdzie można używać klucza U2F
Standard U2F/FIDO2 obsługują m.in.:
- Google (konta Google/Gmail) — jedno z pierwszych wdrożeń; Google wewnętrznie wdrożyło klucze dla wszystkich pracowników i zredukowało phishing kont do zera.
- Microsoft (konta Microsoft, Azure AD)
- GitHub, GitLab
- Facebook, X (Twitter)
- Bitwarden, 1Password (menedżery haseł)
- Cloudflare, AWS, Dropbox
- Banki: obsługa jest stopniowo rozszerzana — w Polsce ING jako jeden z pierwszych wdrożył wsparcie dla kluczy FIDO2.
Wady kluczy sprzętowych
- Ryzyko zgubienia — utrata jedynego klucza może odciąć od konta. Rozwiązanie: zawsze rejestruj dwa klucze (jeden podstawowy, jeden zapasowy w sejfie) lub zadbaj o kody odzyskiwania.
- Koszt — 30–75 EUR za klucz to koszt wyższy niż aplikacja TOTP (bezpłatna), ale niższy niż konsekwencje przejętego konta.
- Konieczność noszenia przy sobie — wymaga zmiany nawyku. Klucze NFC ułatwiają korzystanie na telefonie.
- Nie wszystkie serwisy obsługują FIDO2 — mniejsze platformy mogą jeszcze nie mieć wsparcia.
Źródła:
- CERT Orange — Klucz sprzętowy do 2FA: plusy, minusy, jak skonfigurować?
- sekurak.pl — Poradnik o kluczach sprzętowych na przykładzie YubiKey 5 NFC
- blog.szurek.tv — Co to jest YubiKey i klucz U2F/FIDO2
Najczęściej zadawane pytania o klucz U2F
Czym różni się klucz U2F od kodu SMS jako drugi czynnik?
Kod SMS można przechwycić przez SIM swap lub zaawansowany phishing proxy. Klucz U2F jest odporny na phishing z definicji — weryfikuje domenę strony i odmawia działania na podstawionej witrynie. Klucza nie da się skopiować ani przechwycić zdalnie, bo klucz prywatny nigdy nie opuszcza urządzenia.
Co się stanie, gdy zgubię klucz U2F?
Stracisz dostęp do kont, jeśli to jedyna metoda 2FA. Dlatego zawsze rejestruj drugi klucz jako zapasowy i przechowuj go bezpiecznie. Wiele serwisów udostępnia też kody zapasowe (recovery codes) — wygeneruj je podczas rejestracji klucza i przechowaj w bezpiecznym miejscu offline.
Czy klucz U2F i FIDO2 to to samo?
Czy klucz U2F i FIDO2 to to samo?
U2F to starszy standard — drugi czynnik po haśle. FIDO2 to nowszy, szerszy standard obejmujący U2F i dodający możliwość logowania bez hasła (passwordless). Fizyczny klucz sprzętowy może obsługiwać oba. FIDO2 jest dziś preferowanym standardem i jest równoznaczny z WebAuthn w kontekście przeglądarek.
Co to są passkeys i jak mają się do klucza U2F?
Passkeys to implementacja FIDO2 wbudowana w system operacyjny — zamiast fizycznego klucza używasz biometrii telefonu (odcisk palca, Face ID) lub PIN. Passkeys są synchronizowane w chmurze (Google, Apple, Microsoft). Fizyczny klucz U2F jest od nich niezależny i działa offline, bez chmury — to wyższy poziom bezpieczeństwa dla osób o podwyższonym ryzyku.
Czy klucz U2F działa na telefonie?
Tak — klucze z NFC (jak YubiKey 5 NFC) przykladasz do tylnej części telefonu z Androidem. Na iPhone’ach od iOS 16 obsługiwane jest NFC do kluczy FIDO2. Klucze USB-C podłączasz do telefonu przez port USB-C lub adapter. Telefon z wbudowanym passkey może też pełnić rolę klucza FIDO2 dla innego urządzenia przez Bluetooth.
Tomasz zajmuje się tematyką SEO, sztucznej inteligencji i automatyzacji pracy w marketingu internetowym. W swoich artykułach analizuje zmiany w algorytmach wyszukiwarek, rozwój narzędzi AI oraz nowe sposoby tworzenia i optymalizacji treści. Interesuje go przede wszystkim to, jak technologia wpływa na codzienną pracę specjalistów SEO, marketerów i twórców internetowych.
