Какой YubiKey выбрать: серия 5, Security Key или Bio

Сравнение моделей Yubico и выбор ключа для Ваших устройств и сервисов

При входе через FIDO2 YubiKey помогает защитить аккаунт, даже если пароль попал к злоумышленникам или Вы ввели его на фишинговом сайте. Чтобы решить, какой YubiKey выбрать, нужно понять, понадобятся ли Вам дополнительные функции серии 5, какой разъём подходит к Вашим устройствам и насколько удобно будет пользоваться ключом каждый день. Ниже сравниваем 5 NFC, 5C NFC, 5C Nano, Security Key и Bio.

Все рассмотренные модели поддерживают FIDO2 и защищают от поддельных страниц входа, когда Вы используете этот стандарт. Различаются они дополнительными функциями, способом подключения и удобством повседневного использования.

Если Вы ещё сравниваете Yubico с другими производителями, загляните в наш обзор ключей безопасности FIDO2, в который также вошли Google Titan, Nitrokey и другие альтернативы.

Как быстро выбрать YubiKey

Начните со способа подключения и функций, которыми планируете пользоваться:

• YubiKey 5C NFC подойдёт, если Вам нужен универсальный ключ с поддержкой всех протоколов серии 5. Его можно подключать по USB-C к совместимым ноутбукам и телефонам или использовать с телефоном через NFC.
• YubiKey 5 NFC предлагает те же функции, но подключается по USB-A, поэтому удобнее для компьютера без USB-C.
• YubiKey 5C Nano можно постоянно оставлять в ноутбуке. К нему советуем добавить второй ключ с NFC, которым Вы сможете пользоваться с телефоном и восстановить доступ при потере основного.
• Security Key NFC или Security Key C NFC достаточно для входа через FIDO2 и использования passkeys — ключей доступа, с которыми можно входить без пароля. Они подойдут для совместимых аккаунтов Google, бирж и Delta, если Вам не нужны одноразовые коды TOTP, подпись и шифрование через GPG или режим смарт-карты.
• YubiKey Bio подойдёт для частого входа с компьютера, если Вы хотите использовать отпечаток пальца вместо PIN. Для телефона удобнее модель с NFC, которого у Bio нет.

Вместе с основным ключом подготовьте резервный и отдельно зарегистрируйте его в нужных сервисах. Ниже объясняем, как это сделать и где хранить второй ключ.

Что защищает YubiKey

YubiKey — это устройство, которым Вы подтверждаете вход в свои аккаунты. Когда Вы добавляете его в сервис, он создаёт пару криптографических ключей, а приватный ключ остаётся в защищённом чипе. Подтверждение входа привязано к домену сервиса — имени сайта в адресной строке, поэтому сайт-двойник вроде g00gle-login.com не получит корректного ответа, даже если в точности копирует настоящую страницу. Код из SMS или приложения можно сообщить мошеннику или ввести на поддельном сайте; аппаратный ключ с FIDO2 не подтвердит через такую страницу вход в настоящий сервис.

Ключ можно использовать как второй фактор аутентификации: после пароля Вы подтверждаете вход прикосновением и, если этого требует сервис, PIN-кодом ключа. Для входа без пароля на нём хранится passkey — ключ доступа, который Вы используете с PIN и прикосновением либо с отпечатком пальца на Bio. Ключи с прошивкой 5.7 и новее позволяют сохранить до 100 passkeys. Когда YubiKey используется как второй фактор и сервис не записывает на него passkey, добавление такого аккаунта не занимает места для passkeys, поэтому этот лимит на него не распространяется.

В первую очередь стоит добавить ключ к почте, аккаунтам Google, Apple и Microsoft, менеджеру паролей, GitHub, биржам и рабочим системам вроде Delta.

YubiKey защищает доступ к аккаунтам, а для самостоятельного хранения криптовалюты предназначен аппаратный кошелёк. YubiKey не является криптовалютным кошельком и не заменяет его: с его помощью Вы защищаете вход на биржу, связанную с ней почту и менеджер паролей.

Какие функции Вам нужны

По набору функций рассмотренные ключи можно разделить на две группы. Security Key и Bio FIDO Edition поддерживают FIDO2 и U2F для входа со вторым фактором и использования passkeys. Серия YubiKey 5 предлагает те же возможности, а также позволяет получать одноразовые коды, работать с сертификатами, подписывать и шифровать данные.

OATH-TOTP и HOTP позволяют использовать одноразовые коды, похожие на те, которые показывает Google Authenticator. Секретные данные для создания кодов хранятся на ключе, который сам их вычисляет, а Yubico Authenticator показывает код, когда Вы подключаете ключ по USB или прикладываете его к телефону через NFC. На ключи с прошивкой 5.7 и новее можно добавить до 64 записей для кодов TOTP или HOTP. Такие коды нужны для сервисов, которые предлагают только TOTP: Security Key с ними не работает. Даже если код получен с YubiKey, его можно ввести на фишинговом сайте, поэтому хранение этих данных на ключе не защищает от подмены страницы так, как FIDO2.

PIV — режим смарт-карты для работы с сертификатами, в том числе входа в Windows в корпоративном домене, подписи документов и подключения через совместимые VPN-клиенты. Дома эти функции нужны редко, а на работе их использования может требовать служба безопасности.

OpenPGP используют для подписи коммитов в Git через GPG, шифрования почты и файлов, а также работы с SSH через gpg-agent. Эти возможности чаще всего нужны разработчикам и системным администраторам.

У серии 5 есть два слота OTP, каждый из которых можно настроить для статического пароля, Yubico OTP или режима challenge-response. В этом режиме программа отправляет запрос и получает ответ, который ключ вычисляет с помощью хранящегося на нём секрета. Например, KeePassXC использует этот ответ для дополнительной защиты базы паролей. Если Вы уже пользуетесь этим менеджером и планируете защитить базу аппаратным ключом, такая функция может пригодиться.

Для SSH часто достаточно Security Key: OpenSSH умеет работать с аппаратным ключом через FIDO2. Для этого используют SSH-ключи в формате ecdsa-sk или ed25519-sk в зависимости от того, какие алгоритмы поддерживает устройство. Формат ecdsa-sk совместим со всеми FIDO2-моделями Yubico. Серию 5 стоит выбирать, если Вы планируете использовать для SSH PIV или OpenPGP.

Для входа через FIDO2 или U2F достаточно Security Key. Серию 5 выбирайте, если Вам нужны коды TOTP, GPG, смарт-карта или дополнительная защита KeePassXC через challenge-response.

Как выбрать разъём и нужен ли NFC

Выбирайте ключ с разъёмом, который есть на устройстве, с которым Вы работаете чаще всего: USB-C или USB-A. Все iPhone 15 и более новые модели оснащены USB-C. Совместимый переходник позволяет подключить ключ к другому порту, но с ним ключ сильнее выступает из корпуса и может повредиться от случайного удара. Для повседневного использования удобнее подключать ключ без переходника.

Чтобы подтвердить вход через NFC, дождитесь запроса и приложите ключ к той части телефона, где расположена NFC-антенна. Такой способ поддерживают совместимые iPhone и Android-смартфоны. Ключ с USB-C также можно вставить в соответствующий разъём телефона, если такое подключение поддерживают система и сервис. NFC удобен и для моделей с Lightning или другими разъёмами. Среди рассмотренных ключей NFC нет у 5C Nano и Bio.

Nano рассчитан на постоянное подключение к ноутбуку: он почти не выступает из порта, а для подтверждения достаточно коснуться его края. Это удобно, если в течение дня Вы часто подтверждаете вход или другие действия. При этом ключ в порту могут украсть вместе с ноутбуком, поэтому установите PIN для FIDO2, настройте блокировку компьютера и защитите доступ к сохранённым паролям. В некоторых сервисах для второго фактора достаточно одного прикосновения, даже если PIN уже установлен.

Какую модель YubiKey выбрать

YubiKey 5 NFC: USB-A и NFC

YubiKey 5 NFC сочетает USB-A и NFC и поддерживает все протоколы серии 5: FIDO2 и U2F, OATH, PIV, OpenPGP и функции слотов OTP. В корпусе нет батареи и подвижных деталей, поэтому ключ удобно носить на кольце вместе с обычными ключами.

Эта модель подойдёт для настольного ПК, старого ноутбука или рабочего компьютера без USB-C. С телефоном Вы сможете пользоваться NFC, поэтому разъём USB-C на самом ключе для этого не нужен.

Если у Вашего ноутбука есть только USB-C или Вы планируете перейти на такой компьютер, лучше выбрать 5C NFC, чтобы обходиться без переходника.

YubiKey 5C NFC: USB-C и NFC

YubiKey 5C NFC предлагает тот же набор функций, что и 5 NFC, но сочетает USB-C и NFC. Мы советуем эту модель, если Вам нужен универсальный ключ для совместимого ноутбука и телефона, а окончательный список сервисов Вы ещё не определили. С ним Вы сможете защищать вход в аккаунты, получать коды TOTP и пользоваться дополнительными функциями серии 5.

Для компьютера, у которого есть только USB-A, удобнее 5 NFC: с 5C NFC придётся использовать переходник.

YubiKey 5C Nano: компактный ключ для ноутбука

YubiKey 5C Nano — миниатюрный ключ серии 5, который можно постоянно оставлять в порту USB-C. Он поддерживает те же протоколы, что и 5C NFC, но не имеет NFC, поэтому подключение к телефону возможно только по USB-C при условии совместимости системы и сервиса.

Nano удобен разработчикам, которые часто подписывают коммиты, администраторам и другим пользователям, которые в течение дня регулярно входят в рабочие системы. Если ключ остаётся в ноутбуке, его не приходится каждый раз доставать и подключать.

Не советуем ограничиваться одним Nano, особенно если Вы пользуетесь ещё и телефоном. К нему удобно добавить 5C NFC: Nano останется в ноутбуке, а второй ключ можно будет носить на кольце, использовать с телефоном и для входа в аккаунты, если основной потеряется.

Security Key NFC и Security Key C NFC

Серия Security Key поддерживает FIDO2 и U2F и обеспечивает такую же защиту от поддельных страниц входа, как серия 5 при использовании этих протоколов. Ключи с прошивкой 5.7 и новее вмещают до 100 passkeys. У обеих моделей есть NFC, а различаются они разъёмом: Security Key NFC — USB-A, Security Key C NFC — USB-C.

В этой серии нет OATH-TOTP/HOTP, смарт-карты, OpenPGP и программируемых слотов OTP. Если Вы не планируете пользоваться этими функциями, доплачивать за серию 5 только ради входа через FIDO2 не нужно.

Security Key подойдёт для защиты совместимых аккаунтов Google, Apple, менеджеров паролей и бирж. Его также можно выбрать для родителей или как более доступный запасной ключ к серии 5. В такой паре он поможет войти в аккаунты через FIDO2 или U2F, если основной ключ потеряется, но не заменит дополнительные функции серии 5.

YubiKey Bio: вход по отпечатку пальца

У YubiKey Bio есть сканер отпечатка пальца, с помощью которого можно подтверждать вход вместо ввода PIN. На самом ключе хранится биометрический шаблон — данные, по которым он распознаёт палец; сервисам эти данные не передаются. Можно добавить до пяти отпечатков. Модель YubiKey Bio подключается по USB-A, а YubiKey C Bio — по USB-C.

В этой статье мы сравниваем Bio FIDO Edition с поддержкой FIDO2 и U2F. Отдельная версия Multi-protocol добавляет смарт-карту и доступна через корпоративную программу YubiKey as a Service. У FIDO Edition тот же набор протоколов, что и у Security Key, поэтому доплата связана с удобством биометрического подтверждения.

У Bio нет NFC, а возможность пользоваться им с телефоном по USB зависит от операционной системы и браузера. Для добавления и удаления отпечатков используйте Yubico Authenticator на компьютере: мобильные версии приложения этого не поддерживают. Также учитывайте, что в отдельных браузерах вместо отпечатка пальца может потребоваться PIN.

Если Bio три раза подряд не распознает отпечаток, подтверждение отпечатком временно блокируется, пока Вы не введёте PIN. Если сервис использует U2F и не предлагает ввести PIN, разблокируйте эту функцию через Yubico Authenticator на компьютере. Сканер может хуже распознавать сухие или холодные пальцы. Последствия ошибок в PIN и сброса настроек описаны в разделе о первом использовании.

Bio стоит выбрать, если Вы часто входите в сервисы с компьютера и хотите использовать отпечаток пальца вместо PIN. Если основное устройство — телефон, удобнее будет модель с NFC.

Другие модели Yubico

В серии 5 также есть YubiKey 5C без NFC и YubiKey 5 Nano для постоянного подключения по USB-A. У YubiKey 5Ci есть разъёмы USB-C и Lightning, поэтому он подойдёт, если Вам нужно именно проводное подключение к iPhone 14 или более ранней модели с Lightning.

Отдельная серия FIPS, в том числе YubiKey 5C NFC FIPS, сертифицирована по американскому государственному стандарту для криптографических модулей. Её выбирают учреждения и компании, для которых такая сертификация обязательна; для обычного входа в личные аккаунты она не нужна.

Сравнение моделей YubiKey

Модели, подключение и повседневное использование

Протоколы и дополнительные функции

Все рассмотренные модели поддерживают FIDO2 и U2F. Количество записей указано для прошивок 5.7 и новее; при покупке нового ключа советуем выбирать версию 5.7.4 или новее — причину объясняем в следующем разделе. На ключе можно сохранить до 100 passkeys. Если Вы добавляете его как второй фактор и сервис не сохраняет на нём passkey, такое подключение не занимает одного из этих мест.

Как проверить версию прошивки YubiKey

Прошивку YubiKey невозможно обновить, поэтому на протяжении всего срока службы ключ будет работать с версией, установленной на заводе. После получения проверьте её в Yubico Authenticator.

Установите приложение с официального сайта Yubico и подключите ключ. На главном экране отображаются модель и прошивка, а для моделей, которые предоставляют такую информацию, — ещё и серийный номер.

В прошивке 5.7, выпущенной в мае 2024 года, количество passkeys, которые можно сохранить, увеличили с 25 до 100, а количество записей для TOTP или HOTP в серии 5 — с 32 до 64. Yubico также перешла с криптографической библиотеки Infineon на собственную, благодаря чему у новых ключей нет уязвимости EUCLEAK, раскрытой в сентябре 2024 года.

По сообщению Yubico, уязвимы серия 5 и Security Key с прошивками до 5.7, а также Bio до 5.7.2. Атака позволяет восстановить приватный ключ ECDSA по измерениям электромагнитного излучения чипа, но требует физического доступа к устройству, специального оборудования и соответствующих навыков. Если у Вас уже есть ключ со старой прошивкой, оцените риск физического доступа к нему, прежде чем решать, нужна ли замена.

При покупке нового ключа советуем выбирать прошивку 5.7.4 или новее для серии 5, Security Key и Bio. В версии 5.7.4 также исправлена ошибка в протоколе FIDO2, связанная с проверкой PIN. Yubico оценивает её серьёзность как низкую из-за сложности эксплуатации и дополнительных механизмов защиты в протоколе.

21 июля 2026 года Yubico объявила о доступности прошивки 5.8 с CTAP 2.3 — новой версией протокола, через который ключ взаимодействует с браузером и операционной системой. Она добавляет экспериментальную поддержку подписи данных через WebAuthn, подтверждения онлайн-платежей и расширенную корпоративную аттестацию, которая позволяет системам компании распознавать конкретный ключ.

Для личного использования заметным изменением может стать отображение passkeys с YubiKey в одном списке с passkeys из телефона или менеджера паролей, если это поддерживают система и приложение. Для обычного входа в аккаунты достаточно версии 5.7.4 или новее, поэтому искать именно 5.8 только ради этого необязательно.

Зачем нужен второй ключ

Данные YubiKey для входа через FIDO2 или U2F невозможно скопировать на другой ключ, а seed-фразы для их восстановления нет. Если единственный ключ потеряется или сломается, вернуть доступ можно будет только способами, которые предусмотрел конкретный сервис: например, с помощью кодов восстановления или обращения в поддержку. В некоторых сервисах после включения защиты ключом такие возможности ограничены или вовсе недоступны.

Регистрируйте второй ключ в каждом сервисе отдельно, сразу после первого, если можно добавить несколько ключей. Они будут работать независимо друг от друга. Список аккаунтов храните в менеджере паролей: если ключ потеряется, Вы будете знать, из каких сервисов его нужно удалить.

Чтобы подготовить запасной ключ для TOTP, при настройке сохраните данные для кодов на обоих ключах серии 5: отсканируйте один и тот же QR-код в Yubico Authenticator сначала с одним, затем с другим ключом. Сделайте это, пока страница настройки открыта, поскольку после её закрытия сервис может больше не показывать QR-код или данные для настройки.

В зависимости от Ваших потребностей можно выбрать одну из таких пар:

• Два одинаковых ключа, например два 5C NFC, будут поддерживать одни и те же функции, поэтому с ними проще настроить резервный доступ. Зарегистрировать и настроить каждый нужно отдельно.
• 5C Nano в ноутбуке и 5C NFC на кольце с ключами — удобная пара для работы с компьютера и телефона, если оба ключа заранее зарегистрированы в нужных сервисах.
• 5C NFC как основной и Security Key C NFC как резервный обойдутся дешевле двух ключей серии 5. Запасной Security Key позволит войти в аккаунты через FIDO2 или U2F, но не поддерживает TOTP, PIV и OpenPGP, поэтому для каждой из этих функций нужно отдельно продумать восстановление доступа на случай потери ключа. Коды восстановления могут вернуть доступ к аккаунту с TOTP, если сервис их предоставляет, но не восстанавливают сертификаты PIV или ключи OpenPGP.
• Bio и Security Key можно отдельно добавить в одни и те же сервисы, которые поддерживают FIDO2 или U2F. На запасном Security Key Вы будете подтверждать вход прикосновением и, при необходимости, PIN вместо отпечатка пальца.

Храните резервный ключ отдельно от основного, чтобы не потерять оба вместе с сумкой или связкой ключей. Оставьте его в надёжном месте дома или передайте на хранение человеку, которому доверяете. Также сохраните коды восстановления самых важных аккаунтов там, где к ним не будет доступа у посторонних.

Какой YubiKey выбрать для разных задач

Для криптовалютных бирж

Binance, Kraken и Coinbase поддерживают ключи безопасности или passkeys для входа или подтверждения отдельных действий. Перед настройкой проверьте, какие операции можно защитить ключом именно на Вашей бирже. Для FIDO2 достаточно Security Key; если нужны коды TOTP на ключе, выбирайте серию 5.

Также добавьте ключ к почте, через которую восстанавливаете доступ к биржевому аккаунту. Для длительного хранения монет стоит рассмотреть аппаратный кошелёк — модели и их различия мы сравниваем в гайде «Какой аппаратный кошелёк выбрать в 2026 году».

Для военных, которые пользуются Delta

Для входа в Delta с аппаратным ключом подойдут Security Key или серия 5 с поддержкой FIDO2. Если Вы пользуетесь системой с телефона, выбирайте модель с NFC: на iPhone именно этот способ предусмотрен для добавления физического ключа Yubico к аккаунту. Настраивайте его по официальной инструкции Delta и указаниям ответственных лиц в подразделении. Сравнение моделей и порядок подключения также есть в нашем гайде «FIDO2-ключи для Delta: совместимые модели и настройка».

Для разработчиков и администраторов

Для SSH через FIDO2 подойдут рассмотренные серии ключей, а формат ecdsa-sk или ed25519-sk выбирайте в зависимости от того, какие алгоритмы поддерживает устройство. Ключ также можно использовать для подписи коммитов в формате SSH, который поддерживает GitHub. Для GPG или смарт-карты нужна серия 5. Если в течение дня Вы работаете с ноутбука, 5C Nano можно оставлять в порту, а 5C NFC использовать с телефоном и для входа при потере основного ключа. Порядок регистрации в GitHub показываем в гайде по настройке двухфакторной аутентификации и passkeys через YubiKey.

Для родителей

Если родители не хотят разбираться с кодами и приложениями, им может подойти Security Key с NFC: для подтверждения входа на совместимом телефоне достаточно приложить ключ к NFC-антенне. Bio для такого использования менее удобен из-за отсутствия NFC, а сканер может хуже распознавать сухие пальцы. Помогите родителям зарегистрировать второй ключ; с их согласия Вы можете хранить его у себя.

Если Вы в основном пользуетесь телефоном

Для телефона выбирайте 5 NFC, 5C NFC или Security Key с NFC. USB-C-ключ также можно вставить в соответствующий разъём совместимого телефона, но такое подключение зависит от системы и сервиса, а отдельные функции Yubico Authenticator на iPhone по USB-C недоступны. Чтобы получить код TOTP, откройте мобильный Yubico Authenticator и приложите ключ серии 5 к NFC-антенне телефона. Nano и Bio удобнее для компьютера.

Что проверить перед первым использованием

На новом ключе, купленном для самостоятельной настройки, не должно быть пользовательского PIN для FIDO2 и сохранённых passkeys. Получив его, проверьте следующее:

• Упаковка запечатана, без следов вскрытия и повреждений.
• Модель в Yubico Authenticator соответствует заказанной. Для нового ключа серии 5, Security Key или Bio советуем прошивку 5.7.4 или новее.
• Пользовательский PIN для FIDO2 не установлен, сохранённых passkeys нет. Если на полученном ключе уже есть PIN или такие записи, не пользуйтесь им и обратитесь к продавцу.

В серии 5 первый слот содержит заводскую запись Yubico OTP, поэтому её наличие не говорит о том, что ключом уже пользовались. Это отдельный протокол, который не следует путать с сохранёнными passkeys или пользовательским PIN.

У подлинных ключей есть заводские сертификаты аттестации Yubico, по которым совместимые системы могут проверять их происхождение при регистрации. Покупайте ключи у официальных реселлеров и избегайте предложений от неизвестных продавцов на маркетплейсах.

После проверки установите PIN для FIDO2 не короче шести символов или длиннее, если этого требуют настройки ключа. Избегайте комбинаций вроде 123456 и даты рождения. Это PIN самого ключа, который Вы будете использовать для разных сервисов с FIDO2. Для Bio после установки PIN добавьте отпечатки на компьютере.

Если Вы три раза подряд введёте неправильный PIN, нужно отключить и снова подключить ключ, чтобы продолжить попытки. Всего у Вас есть восемь неудачных попыток до блокировки FIDO2; после правильного PIN снова будут доступны восемь попыток. Отключение и повторное подключение ключа не восстанавливают их количество.

После проверки ключа можно переходить к его регистрации в аккаунтах. Порядок настройки и способы входа рассматриваем в гайде «Ключ безопасности FIDO2: как защитить Google и другие сервисы».

Какой YubiKey выбрать: итоги сравнения

Security Key подойдёт для входа через FIDO2 или U2F, серия 5 — если нужны ещё и коды TOTP, GPG или смарт-карта. Выберите разъём, который подходит к основному устройству, и NFC для использования с телефоном. Nano удобен для постоянного подключения к ноутбуку, а Bio позволяет подтверждать вход отпечатком пальца. Вместе с основным ключом подготовьте запасной и проверьте, как восстановить доступ к своим аккаунтам.

Для защиты криптовалюты также пригодится статья «Как избежать крипто-скама: 10 схем мошенников в 2026 году». YubiKey не остановит перевод, который Вы сами делаете по указанию мошенника, даже если вход в Ваш аккаунт защищён ключом.