Какие ключи FIDO2 подходят для Delta?

Совместимые устройства, рекомендации и типичные ошибки

FIDO2-ключи для Delta — самый надёжный способ защитить вход в боевую систему ситуационной осведомлённости ВСУ. Delta использует двухфакторную аутентификацию (MFA), и физический ключ стандарта FIDO2 — самый стойкий к фишингу метод. Этот гайд поможет выбрать совместимый ключ и подготовить его к работе.

FIDO2-ключей может быть несколько. Ты можешь настроить их на всех персональных устройствах, где пользуешься Дельтой. Рекомендую иметь основной и резервный ключ.

Коротко о FIDO2

Альянс FIDO (Fast Identity Online) — это международная ассоциация, которая разрабатывает стандарты безопасной аутентификации. В альянс входят более 250 членов: Microsoft, Google, Apple, Amazon, Mastercard, VISA, PayPal и другие. Именно поэтому ключи безопасности в профессиональной среде часто называют просто «фидо-ключи». Стандарт FIDO2 рекомендован NIST (Национальным институтом стандартов США) и CISA (Агентством по кибербезопасности США) как единственный метод MFA, устойчивый к фишингу.

Как работает стандарт безопасности FIDO2?

Во время регистрации в Дельте твой ключ создаёт пару криптографических ключей, привязанную к delta.mil.gov.ua:

• Приватный ключ — хранится в защищённом чипе (secure element) внутри самого USB-ключа. Он физически не может быть считан даже владельцем и никогда не покидает ключ.
• Публичный ключ — передаётся на сервер Delta при регистрации.

Почему это надёжнее SMS / Google Authenticator? FIDO2 криптографически привязывается к домену (delta.mil.gov.ua). Если ты попадёшь на фишинговый сайт, ключ автоматически откажет в подписи, поскольку домен не совпадает с оригинальным. В отличие от SMS-кодов или TOTP-приложений, здесь нет общего секрета, который можно перехватить. На практике это означает, что вражеские фишинговые рассылки и поддельные страницы логина Delta сразу теряют смысл — ключ просто не сработает на чужом домене.

Общие рекомендации

Физических FIDO2-ключей может быть несколько. Рекомендую зарегистрировать в Delta основной и резервный, чтобы не потерять доступ в случае потери или повреждения основного.

Совместимые физические FIDO2-ключи для Delta

Delta поддерживает любой аппаратный ключ с поддержкой FIDO2/WebAuthn. Самую широкую совместимость обеспечивает линейка ключей от компании Yubico.

YubiKey — основная линейка

В чём разница между Security Key и YubiKey 5-серии

Обе линейки производит Yubico, обе поддерживают FIDO2/WebAuthn и одинаково надёжно работают в Delta. Разница — в наборе дополнительных протоколов.

Security Key (Series) — базовая линейка. Поддерживает только FIDO2 и FIDO U2F. Этого достаточно для входа в Delta, Google, Microsoft, Facebook, Binance и другие сервисы, работающие по стандарту WebAuthn. Это самый дешёвый и простой вариант, если ключ нужен именно для двухфакторной аутентификации.

YubiKey 5 (Series) — расширенная линейка. К FIDO2 и U2F добавляет:

• PIV (Smart Card) — для входа в корпоративные системы, подписи документов, шифрования дисков (BitLocker, FileVault).
• OpenPGP — для подписи и шифрования почты, GPG-коммитов в Git.
• OATH-TOTP/HOTP — одноразовые пароли (как в Google Authenticator), которые хранятся на ключе, а не в телефоне.
• Yubico OTP, Challenge-Response, Static Password — дополнительные методы для специфических сценариев.

Что НЕ подходит для Delta

• YubiKey с прошивкой ниже 5.7 — в сентябре 2024 года исследователи из NinjaLab обнаружили криптографическую уязвимость в чипах Infineon, которые использовались в YubiKey 5 серии. Уязвимость теоретически позволяет клонировать ключ, но для этого нужен физический доступ к устройству, специализированное оборудование и значительное время. Рекомендую покупать ключи с прошивкой выше 5.7. Все ключи на нашем сайте именно с такой прошивкой.
• Старые ключи только с FIDO U2F (без поддержки FIDO2/WebAuthn) — Delta требует именно FIDO2. Это касается первых поколений ключей YubiKey U2F, Google Titan v1 и подобных. Современные ключи почти все поддерживают оба стандарта.
• Устаревшие Bluetooth-ключи без WebAuthn CTAP2.

Подготовка ключа: установка PIN-кода

Перед регистрацией ключа в Delta на него нужно установить PIN-код. Способ зависит от платформы.

На компьютере (Windows, Linux, macOS)

На десктопе отдельный софт не нужен. Когда ты впервые используешь новый ключ в браузере (Chrome, Edge, Firefox), система автоматически предложит создать PIN-код. Просто следуй подсказкам браузера.

Если хочешь изменить PIN или сбросить ключ вручную, установи приложение Yubico Authenticator (доступно для Windows, macOS, Linux) и перейди в раздел Configuration → Manage PIN.

На Android

Аналогично десктопу: PIN устанавливается при первом использовании ключа в Chrome. Подключи ключ к телефону через USB-C (или USB OTG-переходник) и браузер предложит создать PIN.

На iPhone / iPad (через Yubico Authenticator)

На iOS PIN нужно установить заранее через приложение Yubico Authenticator, поскольку Safari и Chrome на iPhone не всегда корректно инициируют создание PIN при первом использовании ключа.

1. Установи Yubico Authenticator из App Store.

2. Открой приложение, нажми на «три точки» в правом верхнем углу и перейди в «Configuration».

3. Перейди в «Manage PIN».

4. Когда на экране появится сообщение, приложи ключ к модулю NFC на iPhone и держи, пока не исчезнет уведомление «Готово сканировать» (обычно 1–2 секунды).

5. Придумай PIN-код для ключа и подтверди его, нажав «Set».

6. Приложи ключ к NFC повторно, чтобы записать PIN на ключ.

PIN-код установлен. Закрой Yubico Authenticator.

Регистрация ключа в Delta

Там описаны пошаговые гайды для всех платформ: Windows, Linux, macOS, Android и iOS. Инструкция поддерживается командой Delta и всегда соответствует актуальной версии системы.

ВАЖНО:

• Настройка и использование ключа не предполагает применения силы. Не сгибай ключ, не мой его, не прилагай усилий при нажатии кнопки.
• Во время регистрации ключ должен быть постоянно подключён. Не вытаскивай его до успешного завершения.
• Рекомендую использовать браузер Chrome на всех платформах. Safari имеет ограниченную поддержку внешних FIDO2-ключей.
• На iPhone/iPad регистрация ключа работает только через NFC. Даже на последних версиях iOS привязка не работает через USB-C/Lightning.
• Каждому ключу дай понятное название, например «YubiKey основной» или «YubiKey резервный».

Вход с помощью ключа

После регистрации ключа вход в Delta занимает несколько секунд. Процесс на всех платформах одинаковый по сути: вводишь логин и пароль, подключаешь ключ, вводишь PIN, касаешься кнопки на ключе.

Пошаговые инструкции со скриншотами для каждой платформы есть в официальном гайде Delta.

Типичные ошибки и как их решить

Ключ не распознаётся

• Попробуй другой USB-порт. Подключай напрямую к компьютеру, а не через USB-хаб или удлинитель.
• Проверь браузер: рекомендован Chrome или Edge. Firefox может потребовать дополнительной настройки (в адресной строке введи about:config, найди security.webauthn и убедись, что параметры включены).
• Обнови драйверы USB на ПК. Windows 7/8 может потребовать дополнительного ПО. На Windows 10/11 всё обычно подтягивается автоматически.
• На macOS: перейди в Системные настройки → Конфиденциальность и безопасность → убедись, что доступ к USB-устройствам не заблокирован.
• Если используешь переходник USB-A → USB-C (или наоборот), убедись, что он поддерживает передачу данных, а не только зарядку.

Браузер не показывает диалог с ключом

• Убедись, что используешь HTTPS-соединение (delta.mil.gov.ua всегда работает через HTTPS).
• Закрой другие вкладки или программы, которые могут использовать ключ одновременно (например, Yubico Authenticator).
• Попробуй перезапустить браузер или открыть Delta в режиме инкогнито.
• Проверь, не блокирует ли WebAuthn расширение браузера (антивирус, VPN-плагин и т.п.).

PIN-код не принимается

• Убедись, что вводишь PIN именно от ключа, а не пароль от учётной записи или телефона.
• Если ты ещё не устанавливал PIN на ключе, система предложит создать его при первом использовании.
• После 8 неудачных попыток ввода PIN ключ блокируется. Для разблокировки нужно выполнить сброс к заводским настройкам через Yubico Authenticator (при этом все зарегистрированные учётные записи на ключе будут удалены).

Ключ работает на компьютере, но не на телефоне

• Для USB-C: убедись, что телефон поддерживает USB OTG (большинство современных Android-устройств поддерживают).
• Для NFC: включи NFC в настройках телефона и прикладывай ключ к правильной зоне (обычно центр или верхняя часть задней панели). Держи ключ неподвижно 2–3 секунды.
• На iPhone NFC работает только с iPhone 7 и более новыми моделями.

Физическая безопасность ключа

• Не оставляй ключ подключённым к ноутбуку во время транспортировки. Он может сломаться или потеряться.
• Не сгибай ключ, не мой его, не вдавливай чрезмерно кнопку. YubiKey имеет класс защиты IP68, но постоянное механическое воздействие сокращает срок службы.
• Храни в защищённом месте, отдельно от устройства, к которому он привязан.

Если ключ потерян или повреждён

• Если ты зарегистрировал резервный ключ, используй его для входа.
• Если есть резервные коды восстановления, воспользуйся ими.
• Если ни ключа, ни кодов нет, обратись к администратору подразделения или техподдержке Delta.
• Именно поэтому рекомендую всегда иметь два зарегистрированных ключа и хранить резервные коды отдельно.

Вывод

FIDO2-ключ — это самый надёжный метод защиты учётной записи в Delta. В отличие от SMS-кодов или приложений-аутентификаторов, физический ключ невозможно перехватить удалённо, а криптографическая привязка к домену delta.mil.gov.ua автоматически блокирует фишинговую атаку.

Ключ работает без сети, без батареи, без мобильного оператора. Достаточно иметь устройство с USB-портом или NFC. Одним ключом можно защитить не только Delta, но и почту, соцсети и любые другие сервисы, поддерживающие стандарт FIDO.

Что сделать прямо сейчас:

1. Выбери модель ключа из таблицы совместимых устройств.
2. Купи два ключа — основной и резервный (при необходимости).
3. Установи PIN-код (на iOS — через Yubico Authenticator, на других платформах — при первом использовании в браузере).
4. Зарегистрируй оба ключа в Delta по официальной инструкции.
5. Сохрани резервные коды в защищённом месте.

Надеюсь гайд был понятным. Если возникают дополнительные вопросы по использованию ключей YubiKey, ты всегда можешь обратиться в нашу техническую поддержку.