Який YubiKey обрати: серія 5, Security Key чи Bio

Порівняння моделей Yubico та вибір ключа для Ваших пристроїв і сервісів

Під час входу через FIDO2 YubiKey допомагає захистити акаунт, навіть якщо пароль потрапив до зловмисників або Ви ввели його на фішинговому сайті. Щоб вирішити, який YubiKey обрати, варто з’ясувати, чи потрібні Вам додаткові функції серії 5, який роз’єм підходить до Ваших пристроїв і чи буде зручно користуватися ключем щодня. Нижче порівнюємо 5 NFC, 5C NFC, 5C Nano, Security Key та Bio.

Усі розглянуті моделі підтримують FIDO2 і захищають від підміни сторінки входу, коли Ви користуєтеся цим стандартом. Різниця між ними полягає в додаткових функціях, способі підключення та зручності щоденного користування.

Якщо Ви ще порівнюєте Yubico з іншими виробниками, перегляньте наш огляд ключів безпеки FIDO2, до якого також увійшли Google Titan, Nitrokey та інші альтернативи.

Як швидко обрати YubiKey

Почніть зі способу підключення та функцій, якими плануєте користуватися:

• YubiKey 5C NFC підійде, якщо Вам потрібен універсальний ключ із підтримкою всіх протоколів серії 5. Його можна підключати через USB-C до сумісних ноутбуків і телефонів або використовувати з телефоном через NFC.
• YubiKey 5 NFC має ті самі функції, але підключається через USB-A, тому зручніший для комп’ютера без USB-C.
• YubiKey 5C Nano можна постійно залишати в ноутбуці. До нього радимо додати другий ключ із NFC, яким Ви зможете користуватися з телефоном і відновити доступ у разі втрати основного.
• Security Key NFC або Security Key C NFC достатньо для входу через FIDO2 і використання passkeys — ключів доступу, з якими можна входити без пароля. Вони підійдуть для сумісних акаунтів Google, бірж і Delta, якщо Вам не потрібні одноразові коди TOTP, підпис і шифрування через GPG або режим смарт-карти.
• YubiKey Bio підійде для частого входу з комп’ютера, якщо Ви хочете використовувати відбиток пальця замість PIN; для телефона зручніша модель із NFC, якого в Bio немає.

Разом з основним ключем підготуйте резервний і окремо зареєструйте його в потрібних сервісах. Нижче пояснюємо, як це зробити та де зберігати другий ключ.

Що захищає YubiKey

YubiKey — це пристрій, яким Ви підтверджуєте вхід у свої акаунти. Коли Ви додаєте його до сервісу, він створює пару криптографічних ключів, а приватний ключ залишається в захищеному чипі. Підтвердження входу прив’язане до домену сервісу — назви сайту в адресному рядку, тому сайт-двійник на зразок g00gle-login.com не отримає коректної відповіді, навіть якщо точно копіює оригінальну сторінку. Код із SMS чи застосунку можна повідомити шахраєві або ввести на підробленому сайті; апаратний ключ із FIDO2 не підтвердить вхід у справжній сервіс через таку сторінку.

Ключ можна використовувати як другий фактор автентифікації: після пароля Ви підтверджуєте вхід дотиком і, якщо цього вимагає сервіс, PIN-кодом ключа. Для входу без пароля на ньому зберігається passkey — ключ доступу, який Ви використовуєте з PIN і дотиком або відбитком пальця на Bio. На прошивках 5.7 і новіших можна зберегти до 100 passkeys. Коли YubiKey використовується як другий фактор і сервіс не записує на нього passkey, додавання такого акаунта не займає місця для passkeys, тож цей ліміт на нього не поширюється.

Насамперед ключ варто додати до пошти, акаунтів Google, Apple і Microsoft, менеджера паролів, GitHub, бірж та робочих систем на кшталт Delta.

YubiKey захищає доступ до акаунтів, а для самостійного зберігання криптовалюти призначений апаратний гаманець. YubiKey не є криптовалютним гаманцем і не замінює його: ним Ви захищаєте вхід на біржу, пов’язану з нею пошту та менеджер паролів.

Які функції Вам потрібні

За набором функцій розглянуті ключі можна поділити на дві групи. Security Key і Bio FIDO Edition підтримують FIDO2 та U2F для входу з другим фактором і використання passkeys. Серія YubiKey 5 має ті самі можливості, а також дозволяє отримувати одноразові коди, працювати із сертифікатами, підписувати й шифрувати дані.

OATH-TOTP і HOTP дозволяють використовувати одноразові коди на зразок тих, які показує Google Authenticator. Секретні дані, потрібні для створення кодів, зберігаються на ключі, який сам їх обчислює, а Yubico Authenticator показує код, коли Ви підключаєте ключ через USB або прикладаєте його до телефона через NFC. На прошивках 5.7 і новіших можна додати до 64 записів для кодів TOTP або HOTP. Такі коди потрібні для сервісів, які пропонують лише TOTP: Security Key з такими кодами не працює. Навіть якщо код отримано з YubiKey, його можна ввести на фішинговому сайті, тому зберігання цих даних на ключі не захищає від підміни сторінки так, як FIDO2.

PIV — режим смарт-карти для роботи із сертифікатами, зокрема входу в Windows у корпоративному домені, підпису документів і підключення через сумісні VPN-клієнти. Удома ці функції потрібні рідко, а на роботі їх використання може вимагати служба безпеки.

OpenPGP використовують для підписування комітів у Git через GPG, шифрування пошти й файлів та роботи з SSH через gpg-agent. Ці можливості найчастіше потрібні розробникам і системним адміністраторам.

Серія 5 має два слоти OTP, кожен із яких можна налаштувати для статичного пароля, Yubico OTP або режиму challenge-response. У цьому режимі програма надсилає запит і отримує відповідь, яку ключ обчислює за допомогою збереженого на ньому секрету. Наприклад, KeePassXC використовує цю відповідь як додатковий захист бази паролів. Якщо Ви вже користуєтеся цим менеджером і плануєте захистити базу апаратним ключем, така функція може бути корисною.

Для SSH часто вистачає Security Key: OpenSSH може працювати з апаратним ключем через FIDO2. Для цього використовують SSH-ключі у форматі ecdsa-sk або ed25519-sk, залежно від того, які алгоритми підтримує пристрій. Формат ecdsa-sk сумісний з усіма FIDO2-моделями Yubico. Серію 5 потрібно обирати, якщо Ви плануєте використовувати для SSH PIV або OpenPGP.

Для входу через FIDO2 або U2F достатньо Security Key. Серію 5 обирайте, якщо Вам потрібні коди TOTP, GPG, смарт-карта або додатковий захист KeePassXC через challenge-response.

Як обрати роз’єм і чи потрібен NFC

Обирайте ключ із роз’ємом, який є на пристрої, з яким Ви працюєте найчастіше: USB-C або USB-A. Усі iPhone 15 та новіші моделі мають USB-C. Сумісний перехідник дозволяє підключити ключ до іншого порту, але ключ із перехідником сильніше виступає з корпусу й може пошкодитися від випадкового удару. Для щоденного користування зручніше підключати ключ без перехідника.

Щоб підтвердити вхід через NFC, дочекайтеся запиту й прикладіть ключ до місця на телефоні, де розташована NFC-антена. Цей спосіб підтримують сумісні iPhone та Android-смартфони. Ключ із USB-C також можна вставити у відповідний роз’єм телефона, якщо таке підключення підтримують система й сервіс. NFC зручний і для моделей із Lightning або іншими роз’ємами. Серед розглянутих ключів NFC немає у 5C Nano та Bio.

Nano розрахований на постійне підключення до ноутбука: він майже не виступає з порту, а для підтвердження достатньо торкнутися його краю. Це зручно, якщо протягом дня Ви часто підтверджуєте вхід або інші дії. Водночас ключ у порту можуть викрасти разом із ноутбуком, тому встановіть PIN для FIDO2, налаштуйте блокування комп’ютера й захистіть доступ до збережених паролів. У деяких сервісах для другого фактора достатньо самого дотику, навіть якщо PIN уже встановлено.

Яку модель YubiKey обрати

YubiKey 5 NFC: USB-A та NFC

YubiKey 5 NFC поєднує USB-A та NFC й підтримує всі протоколи серії 5: FIDO2 і U2F, OATH, PIV, OpenPGP та функції слотів OTP. У корпусі немає батареї чи рухомих частин, тому ключ зручно носити на брелоку разом зі звичайними ключами.

Ця модель підійде для настільного ПК, старішого ноутбука або робочого комп’ютера без USB-C. З телефоном Ви зможете користуватися NFC, тож для цього роз’єм USB-C на самому ключі не потрібен.

Якщо Ваш ноутбук має лише USB-C або Ви плануєте перейти на такий комп’ютер, краще обрати 5C NFC, щоб обходитися без перехідника.

YubiKey 5C NFC: USB-C та NFC

YubiKey 5C NFC має той самий набір функцій, що й 5 NFC, але поєднує USB-C та NFC. Ми радимо цю модель, якщо Вам потрібен універсальний ключ для сумісного ноутбука й телефона, а остаточний перелік сервісів Ви ще не визначили. Ви зможете захищати ним вхід в акаунти, отримувати коди TOTP і користуватися додатковими функціями серії 5.

Для комп’ютера, який має лише USB-A, зручніший 5 NFC: із 5C NFC доведеться використовувати перехідник.

YubiKey 5C Nano: компактний ключ для ноутбука

YubiKey 5C Nano — мініатюрний ключ серії 5, який можна постійно залишати в порту USB-C. Він підтримує ті самі протоколи, що й 5C NFC, але не має NFC, тому підключення до телефона можливе лише через USB-C за умови сумісності системи та сервісу.

Nano зручний для розробників, які часто підписують коміти, адміністраторів та інших користувачів, що протягом дня регулярно входять у робочі системи. Якщо ключ залишається в ноутбуці, його не потрібно щоразу діставати й підключати.

Не радимо обмежуватися одним Nano, особливо якщо Ви користуєтеся також телефоном. До нього зручно додати 5C NFC: Nano залишатиметься в ноутбуці, а другий ключ можна буде носити на брелоку, використовувати з телефоном і для входу в акаунти, якщо основний ключ буде втрачено.

Security Key NFC і Security Key C NFC

Серія Security Key підтримує FIDO2 та U2F й забезпечує той самий захист від підроблених сторінок входу, що й серія 5 при використанні цих протоколів. На прошивках 5.7 і новіших ключі вміщують до 100 passkeys. Обидві моделі мають NFC, а різниця між ними полягає в роз’ємі: Security Key NFC — USB-A, Security Key C NFC — USB-C.

У цій серії немає OATH-TOTP/HOTP, смарт-карти, OpenPGP і програмованих слотів OTP. Якщо Ви не плануєте користуватися цими функціями, доплачувати за серію 5 лише заради входу через FIDO2 не потрібно.

Security Key підійде для захисту сумісних акаунтів Google, Apple, менеджерів паролів і бірж. Його також можна обрати для батьків або як дешевший запасний ключ до серії 5. У такій парі він допоможе увійти в акаунти через FIDO2 або U2F, якщо основний ключ загубиться, але не замінить додаткових функцій серії 5.

YubiKey Bio: вхід за відбитком пальця

YubiKey Bio має сканер відбитка пальця, яким можна підтверджувати вхід замість введення PIN. На самому ключі зберігається біометричний шаблон — дані, за якими він розпізнає палець; сервісам ці дані не передаються. Можна додати до п’яти відбитків. Модель YubiKey Bio підключається через USB-A, а YubiKey C Bio — через USB-C.

У цій статті ми порівнюємо Bio FIDO Edition із підтримкою FIDO2 та U2F. Окрема версія Multi-protocol додає смарт-карту й доступна через корпоративну програму YubiKey as a Service. FIDO Edition має той самий набір протоколів, що й Security Key, тож доплата пов’язана зі зручністю біометричного підтвердження.

Bio не має NFC, а можливість користуватися ним із телефоном через USB залежить від операційної системи та браузера. Для додавання й видалення відбитків використовуйте Yubico Authenticator на комп’ютері: мобільні версії застосунку цього не підтримують. Також врахуйте, що в окремих браузерах замість відбитка пальця може знадобитися PIN.

Якщо Bio тричі поспіль не розпізнає відбиток, підтвердження відбитком тимчасово блокується, доки Ви не введете PIN. Якщо сервіс використовує U2F і не пропонує ввести PIN, розблокуйте цю функцію через Yubico Authenticator на комп’ютері. Сканер може гірше розпізнавати сухі або холодні пальці. Наслідки помилок у PIN та скидання налаштувань описано в розділі про перше використання.

Bio варто обрати, якщо Ви часто входите в сервіси з комп’ютера й хочете використовувати відбиток пальця замість PIN. Якщо основний пристрій — телефон, зручнішою буде модель із NFC.

Інші моделі Yubico

У серії 5 також є YubiKey 5C без NFC і YubiKey 5 Nano для постійного підключення через USB-A. YubiKey 5Ci має роз’єми USB-C і Lightning, тому підійде, якщо Вам потрібне саме дротове підключення до iPhone 14 або старішої моделі з Lightning.

Окрема серія FIPS, зокрема YubiKey 5C NFC FIPS, має сертифікацію за американським державним стандартом для криптографічних модулів. Її обирають установи та компанії, для яких така сертифікація є обов’язковою; для звичайного входу в особисті акаунти вона не потрібна.

Порівняння моделей YubiKey

Моделі, підключення та щоденне користування

Протоколи та додаткові функції

Усі розглянуті моделі підтримують FIDO2 та U2F. Кількість записів вказано для прошивок 5.7 і новіших; для нової покупки радимо версію 5.7.4 чи новішу — причину пояснюємо в наступному розділі. На ключі можна зберегти до 100 passkeys. Якщо Ви додаєте його як другий фактор і сервіс не зберігає на ньому passkey, таке підключення не займає одного з цих місць.

Як перевірити версію прошивки YubiKey

Прошивку YubiKey неможливо оновити, тому ключ протягом усього строку служби працюватиме з версією, встановленою на заводі. Перевірте її після отримання в Yubico Authenticator.

Встановіть застосунок з офіційного сайту Yubico та підключіть ключ. На головному екрані відображаються модель і прошивка, а для моделей, які надають цю інформацію, — також серійний номер.

У прошивці 5.7, випущеній у травні 2024 року, кількість passkeys, які можна зберегти, збільшили з 25 до 100, а кількість записів для TOTP або HOTP у серії 5 — із 32 до 64. Yubico також перейшла з криптографічної бібліотеки Infineon на власну, завдяки чому нові ключі не мають вразливості EUCLEAK, оприлюдненої у вересні 2024 року.

За повідомленням Yubico, уразливі серія 5 і Security Key із прошивками до 5.7, а також Bio до 5.7.2. Атака дозволяє відновити приватний ключ ECDSA за вимірюваннями електромагнітного випромінювання чипа, але потребує фізичного доступу до пристрою, спеціального обладнання та відповідних навичок. Якщо старіший ключ уже у Вас, оцініть ризик фізичного доступу до нього, перш ніж вирішувати, чи потрібна заміна.

Для нової покупки радимо прошивку 5.7.4 чи новішу для серії 5, Security Key та Bio. У версії 5.7.4 також виправлено помилку в протоколі FIDO2, пов’язану з перевіркою PIN. Yubico оцінює її як малозначну через складність використання та додатковий захист у протоколі.

21 липня 2026 року Yubico оголосила про доступність прошивки 5.8 із CTAP 2.3 — новою версією протоколу, через який ключ працює з браузером та операційною системою. Вона додає експериментальну підтримку підписування даних через WebAuthn, підтвердження онлайн-платежів і розширену корпоративну атестацію, яка дозволяє системам компанії розпізнавати конкретний ключ.

Для особистого користування помітною зміною може стати показ passkeys із YubiKey в одному списку з passkeys із телефона чи менеджера паролів, якщо це підтримують система та застосунок. Для звичайного входу в акаунти достатньо версії 5.7.4 чи новішої, тому шукати саме 5.8 лише заради цього не обов’язково.

Навіщо потрібен другий ключ

Дані YubiKey для входу через FIDO2 або U2F неможливо скопіювати на інший ключ, а seed-фрази для їх відновлення немає. Якщо єдиний ключ загубиться або зламається, доступ можна буде повернути лише за допомогою способів, які передбачив конкретний сервіс: наприклад, кодів відновлення чи звернення до підтримки. У деяких сервісах після ввімкнення захисту ключем такі варіанти обмежені або взагалі недоступні.

Реєструйте другий ключ у кожному сервісі окремо, одразу після першого, якщо можна додати кілька ключів. Кожен працюватиме незалежно від іншого. Перелік акаунтів зберігайте в менеджері паролів: у разі втрати ключа Ви знатимете, з яких сервісів його потрібно видалити.

Щоб мати запасний ключ для TOTP, під час налаштування збережіть дані для кодів на обох ключах серії 5: відскануйте той самий QR-код у Yubico Authenticator спочатку з одним, а потім з іншим ключем. Зробіть це, поки сторінка налаштування відкрита, оскільки після її закриття сервіс може більше не показувати QR-код або дані для налаштування.

Залежно від Ваших потреб можна обрати одну з таких пар:

• Два однакові ключі, наприклад два 5C NFC, підтримуватимуть ті самі функції, тому з ними простіше налаштувати резервний доступ. Зареєструвати й налаштувати кожен потрібно окремо.
• 5C Nano в ноутбуці та 5C NFC на брелоку — зручна пара для роботи з комп’ютера й телефона, якщо обидва ключі заздалегідь зареєстровано в потрібних сервісах.
• 5C NFC як основний і Security Key C NFC як резервний обійдуться дешевше за два ключі серії 5. Запасний Security Key дозволить увійти в акаунти через FIDO2 або U2F, але не підтримує TOTP, PIV чи OpenPGP, тому для кожної з цих функцій потрібно окремо передбачити, як Ви відновите доступ у разі втрати ключа. Коди відновлення можуть повернути доступ до акаунта з TOTP, якщо сервіс їх надає, але не відновлюють сертифікати PIV або ключі OpenPGP.
• Bio і Security Key можна окремо додати до тих самих сервісів, які підтримують FIDO2 або U2F. На запасному Security Key Ви підтверджуватимете вхід дотиком і, за потреби, PIN замість відбитка пальця.

Зберігайте резервний ключ окремо від основного, щоб не втратити обидва разом із сумкою чи брелоком. Залиште його в надійному місці вдома або передайте на зберігання людині, якій Ви довіряєте. Також збережіть коди відновлення найважливіших акаунтів там, де до них не матимуть доступу сторонні.

Який YubiKey обрати для різних потреб

Для криптовалютних бірж

Binance, Kraken і Coinbase підтримують ключі безпеки або passkeys для входу чи підтвердження окремих дій. Перед налаштуванням перевірте, які операції можна захистити ключем саме на Вашій біржі. Для FIDO2 достатньо Security Key; якщо потрібні коди TOTP на ключі, обирайте серію 5.

Також додайте ключ до пошти, через яку відновлюєте доступ до біржового акаунта. Для тривалого зберігання монет варто розглянути апаратний гаманець — моделі та їхні відмінності ми порівнюємо в гайді «Який апаратний гаманець придбати у 2026 році».

Для військових, які користуються Delta

Для входу в Delta з апаратним ключем підійдуть Security Key або серія 5 із підтримкою FIDO2. Якщо Ви користуєтеся системою з телефона, обирайте модель із NFC: на iPhone саме цей спосіб передбачено для додавання фізичного ключа Yubico до акаунта. Налаштовуйте його за офіційною інструкцією Delta та вказівками відповідальних осіб у підрозділі. Порівняння моделей і порядок підключення також є в нашому гайді «Ключі FIDO2 для Delta: сумісні моделі та налаштування».

Для розробників і адміністраторів

Для SSH через FIDO2 підійдуть розглянуті серії ключів, а формат ecdsa-sk або ed25519-sk обирайте залежно від того, які алгоритми підтримує пристрій. Ключ також можна використовувати для підписування комітів у форматі SSH, який підтримує GitHub. Для GPG або смарт-карти потрібна серія 5. Якщо Ви протягом дня працюєте з ноутбука, 5C Nano можна залишати в порту, а 5C NFC використовувати з телефоном і для входу в разі втрати основного ключа. Порядок реєстрації в GitHub показуємо в гайді з налаштування двофакторної автентифікації та passkeys через YubiKey.

Для батьків

Якщо батьки не хочуть розбиратися з кодами й застосунками, їм може підійти Security Key із NFC: для підтвердження входу на сумісному телефоні достатньо прикласти ключ до NFC-антени. Bio для такого користування менш зручний через відсутність NFC, а сканер може гірше розпізнавати сухі пальці. Допоможіть батькам зареєструвати другий ключ; за їхньою згодою Ви можете зберігати його в себе.

Якщо Ви переважно користуєтеся телефоном

Для телефона обирайте 5 NFC, 5C NFC або Security Key із NFC. USB-C-ключ також можна вставити у відповідний роз’єм сумісного телефона, але таке підключення залежить від системи й сервісу, а окремі функції Yubico Authenticator на iPhone через USB-C недоступні. Щоб отримати код TOTP, відкрийте мобільний Yubico Authenticator і прикладіть ключ серії 5 до NFC-антени телефона. Nano та Bio зручніші для комп’ютера.

Що перевірити перед першим використанням

Новий ключ, придбаний для самостійного налаштування, має бути без користувацького PIN для FIDO2 і без збережених passkeys. Отримавши його, перевірте таке:

• Упаковка запечатана, без слідів відкривання чи пошкоджень.
• Модель у Yubico Authenticator відповідає замовленій. Для нового ключа серії 5, Security Key або Bio радимо прошивку 5.7.4 чи новішу.
• Користувацький PIN для FIDO2 не встановлено, збережених passkeys немає. Якщо на отриманому ключі вже є PIN або такі записи, не користуйтеся ним і зверніться до продавця.

У серії 5 перший слот містить заводський запис Yubico OTP, тому його наявність не свідчить про попереднє використання ключа. Це окремий протокол, який не слід плутати зі збереженими passkeys або користувацьким PIN.

Справжні ключі мають заводські сертифікати атестації Yubico, за якими сумісні системи можуть перевіряти їхнє походження під час реєстрації. Купуйте ключі в офіційних реселерів і уникайте пропозицій від невідомих продавців на маркетплейсах.

Після перевірки встановіть PIN для FIDO2 щонайменше із шести символів або довший, якщо цього вимагають налаштування ключа. Уникайте комбінацій на зразок 123456 чи дати народження. Це PIN самого ключа, який Ви використовуватимете для різних сервісів із FIDO2. Для Bio після встановлення PIN додайте відбитки на комп’ютері.

Якщо Ви тричі поспіль введете неправильний PIN, потрібно від’єднати й знову підключити ключ, щоб продовжити спроби. Загалом Ви маєте вісім невдалих спроб до блокування FIDO2; після правильного PIN знову буде доступно вісім спроб. Від’єднання та повторне підключення ключа не відновлюють їхню кількість.

Після перевірки ключа можна переходити до його реєстрації в акаунтах. Порядок налаштування та варіанти входу розглядаємо в гайді «Ключ безпеки FIDO2: як захистити Google та інші сервіси».

Який YubiKey обрати: підсумок порівняння

Security Key підійде для входу через FIDO2 або U2F, серія 5 — якщо потрібні також коди TOTP, GPG чи смарт-карта. Оберіть роз’єм, який підходить до основного пристрою, і NFC для користування з телефоном. Nano зручний для постійного підключення до ноутбука, а Bio дозволяє підтверджувати вхід відбитком пальця. Разом з основним ключем підготуйте запасний і перевірте, як відновити доступ до своїх акаунтів.

Для захисту криптовалюти також стане в пригоді стаття «Як уникнути крипто-скаму: 10 схем шахраїв у 2026 році». YubiKey не зупинить переказ, який Ви самі робите за вказівкою шахрая, навіть якщо вхід у Ваш акаунт захищений ключем.