Які ключі FIDO2 підходять для Delta?

Сумісні пристрої, рекомендації та поширені помилки

Бажаю здоров’я! Ключі FIDO2 для Delta — найнадійніший спосіб захистити вхід у бойову систему ситуаційної обізнаності ЗСУ. Delta використовує двофакторну автентифікацію (MFA), і фізичний ключ стандарту FIDO2 — найстійкіший до фішингу метод. Цей гайд допоможе обрати сумісний ключ і підготувати його до роботи.

Може бути кілька ключів FIDO2. Їх можна налаштувати на всі персональні пристрої, де користуєтеся Delta. Рекомендую мати головний і резервний ключі.

FIDO2 на перший погляд

Альянс FIDO (Fast Identity Online) — це міжнародна асоціація, яка розробляє стандарти для безпечної автентифікації. До альянсу входить понад 250 членів: Microsoft, Google, Apple, Amazon, Mastercard, VISA, PayPal та інші. Саме тому ключі безпеки в професійному середовищі часто просто називають «fido keys». Стандарт FIDO2 рекомендований NIST (Національним інститутом стандартів США) та CISA (Агентство кібербезпеки США) як єдиний метод MFA, стійкий до фішингу.

Як працює стандарт безпеки FIDO2?

Коли ви реєструєтеся в Delta, ваш ключ створює криптографічну пару ключів, пов’язану з delta.mil.gov.ua:

• Приватний ключ зберігається у захищеному елементі всередині самого USB-ключа. Його фізично не можна прочитати навіть власнику, і він ніколи не залишає ключ.
• Публічний ключ — передається на сервер Delta після реєстрації.

Чому він надійніший за SMS / Google Authenticator? FIDO2 криптографічно прив’язується до домену (delta.mil.gov.ua) Якщо ти потрапиш на фішинговий сайт, ключ автоматично відмовить у підписі, оскільки домен не збігається з оригінальним. На відміну від SMS-кодів чи TOTP-додатків, тут немає спільного секрету, який можна перехопити. На практиці це означає, що ворожі фішингові розсилки та підставні сторінки логіну Delta одразу втрачають сенс — ключ просто не спрацює на чужому домені.

Загальні рекомендації

Може бути кілька фізичних ключів FIDO2. Рекомендую зареєструвати основний і резервний ключі в Delta, щоб не втратити доступ, якщо первинний ключ буде втрачено або пошкоджено.

Сумісні фізичні ключі FIDO2 для Delta

Delta підтримує будь-який донгл із підтримкою FIDO2/WebAuthn. Найширшу сумісність забезпечує лінійка ключів Yubico.

YubiKey — основна лінія

У чому різниця між Security Key і YubiKey 5-серії

Обидві лінійки виробляються Yubico, підтримують FIDO2/WebAuthn і однаково надійно працюють у Delta. Різниця полягає у наборі додаткових протоколів.

Security Key (Series) — це базова лінійка. Вона підтримує лише FIDO2 та FIDO U2F. Цього достатньо, щоб увійти в Delta, Google, Microsoft, Facebook, Binance та інші сервіси, які працюють за стандартом WebAuthn. Це найдешевший і найпростіший варіант, якщо ключ потрібен спеціально для двофакторної автентифікації.

YubiKey 5 (Series) — це розширена лінійка. До FIDO2 і U2F додають:

• PIV (Smart Card) використовується для входу в корпоративні системи, підписання документів і шифрування дисків (BitLocker, FileVault).
• OpenPGP — для підписування та шифрування листів, GPG комітує в Git.
• OATH-TOTP/HOTP — це одноразові паролі (як у Google Authenticator), які зберігаються на ключі, а не на телефоні.
• Yubico OTP, Challenge-Response, Static Password — це додаткові методи для конкретних сценаріїв.

Що НЕ підходить для Delta

• YubiKey з прошивкою нижче 5.7 – У вересні 2024 року дослідники з NinjaLab виявили криптографічну вразливість у чипах Infineon, які використовуються в серії YubiKey 5. Теоретично ця вразливість дозволяє клонувати ключ, але для цього потрібен фізичний доступ до пристрою, спеціалізоване обладнання та значний час. Рекомендую купувати ключі з прошивкою вище 5.7. Усі ключі на нашому сайті мають цю прошивку.
• Старі ключі лише з FIDO U2F (без підтримки FIDO2/WebAuthn) — Delta вимагає FIDO2. Це стосується перших поколінь YubiKey U2F, Google Titan v1 та подібних. Сучасні клавіші майже всі підтримують обидва стандарти.
• Застарілі Bluetooth-донгли без WebAuthn CTAP2.

Налаштування ключів: встановлення PIN-коду

Перед реєстрацією ключа в Delta потрібно встановити на ньому PIN-код. Метод залежить від платформи.

На комп’ютері (Windows, Linux, macOS)

На робочому столі окреме програмне забезпечення не потрібне. Коли ви вперше використовуєте новий ключ у браузері (Chrome, Edge, Firefox), система автоматично запропонує створити PIN-код. Просто дотримуйтесь підказок браузера.

Якщо хочете змінити PIN-код або скинути ключ вручну, встановіть додаток Yubico Authenticator (доступний для Windows, macOS, Linux) і перейдіть у розділ Конфігурація → Керування PIN.

На Android

Схоже на десктоп: PIN-код встановлюється при першому використанні ключа в Chrome. Підключіть ключ до телефону через USB-C (або USB OTG адаптер), і браузер запропонує вам створити PIN.

На iPhone/iPad (через Yubico Authenticator)

На iOS PIN-код потрібно встановити заздалегідь через додаток Yubico Authenticator, оскільки Safari та Chrome на iPhone не завжди правильно ініціюють створення PIN-кода при першому використанні ключа.

1. Встановіть Yubico Authenticator з App Store.

2. Відкрийте додаток, натисніть на «три крапки» у верхньому правому куті та перейдіть у розділ «Налаштування».

3. Перейдіть у розділ «Керування PIN».

4. Коли повідомлення з’явиться на екрані, натисніть клавішу NFC-модуля на вашому iPhone і утримуйте його, поки повідомлення «Готово до сканування» не зникне (зазвичай 1-2 секунди).

5. Придумайте PIN-код для ключа і підтвердіть його, натиснувши «Set».

6. Знову прикріпіть ключ до NFC, щоб записати PIN-код на ключ.

PIN-код встановлено. Закрий автентифікатор Yubico.

Реєстрація ключа в Delta

Там описані покрокові гайди для всіх платформ: Windows, Linux, macOS, Android та iOS. Інструкція підтримується командою Delta і завжди відповідає актуальній версії системи.

ВАЖЛИВО:

• Налаштування та використання клавіші не передбачає застосування сили. Не згинайте ключ, не мийте його, не змушуйте натискати кнопку.
• Під час реєстрації ключ має бути підключений постійно. Не витягуйте його, доки він не буде успішно завершений.
• Рекомендую використовувати браузер Chrome на всіх платформах. Safari має обмежену підтримку зовнішніх клавіш FIDO2.
• На iPhone/iPad реєстрація ключів працює лише через NFC. Навіть на останніх версіях iOS tethering через USB-C/Lightning не працює.
• Дайте кожному ключу значущу назву, наприклад, «YubiKey primary» або «YubiKey backup».

Ключ входу

Після реєстрації ключа потрібно кілька секунд, щоб увійти в Delta. Процес на всіх платформах по суті однаковий: вводиш логін і пароль, підключаєш ключ, вводиш PIN-код, натискаєш кнопку на клавіші.

Покрокові інструкції з скріншотами для кожної платформи доступні в офіційному гіді Delta.

Типові помилки та способи їх вирішення

Ключ не розпізнається

• Спробуйте інший USB-порт. Підключайтеся безпосередньо до комп’ютера, а не через USB-хаб чи мережевий фільтр.
• Перевірте браузер: рекомендуються Chrome або Edge. Firefox може вимагати додаткової конфігурації (у адресному рядку введіть about:config, знайдіть security.webauthn і переконайтеся, що опції увімкнені).
• Оновіть USB-драйвери на ПК. Windows 7/8 може вимагати додаткового програмного забезпечення. У Windows 10/11 зазвичай усе відкривається автоматично.
• На macOS: перейдіть у Системні налаштування → Конфіденційність і безпека → переконайтеся, що доступ до USB-пристроїв не заблокований.
• Якщо ви використовуєте USB-A → USB-C адаптер (або навпаки), переконайтеся, що він підтримує передачу даних, а не лише зарядку.

Браузер не показує діалог клавіш

• Переконайтеся, що ви використовуєте HTTPS-з’єднання (delta.mil.gov.ua завжди працює через HTTPS).
• Закрийте інші вкладки або програми, які можуть одночасно використовувати ключ (наприклад, Yubico Authenticator).
• Спробуйте перезавантажити браузер або відкрити Delta в режимі інкогніто.
• Перевірте, чи WebAuthn блокує ваше розширення браузера (антивірус, VPN плагін тощо).

PIN-код не приймається

• Переконайтеся, що ви вводите PIN-код від ключа, а не пароль від облікового запису чи телефону.
• Якщо ви ще не встановили PIN-код на ключ, система запропонує створити його при першому використанні.
• Після 8 невдалих спроб ввести PIN-код ключ блокується. Щоб розблокувати, потрібно зробити скидання до заводських налаштувань через Yubico Authenticator (у цьому випадку всі зареєстровані акаунти на ключі будуть видалені).

Ключ працює на вашому комп’ютері, але не на телефоні

• Для USB-C: переконайтеся, що ваш телефон підтримує USB OTG (більшість сучасних Android-пристроїв підтримують).
• Для NFC: увімкніть NFC у налаштуваннях телефону і натисніть клавішу у правильну зону (зазвичай у центрі або верхній частині задньої частини). Тримайте клавішу нерухомо 2-3 секунди.
• На iPhone NFC працює лише з iPhone 7 та новішими моделями.

Фізична безпека ключа

• Не залишайте ключ підключеним до ноутбука під час транспортування. Він може зламатися або загубитися.
• Не згинайте ключ, не мийте його, не натискайте кнопку надмірно. YubiKey має рейтинг IP68, але постійне механічне навантаження скорочує термін служби.
• Зберігайте його в надійному місці, окремо від пристрою, до якого він підключений.

Якщо ключ втрачено або пошкоджено

• Якщо ви зареєстрували резервний ключ, використовуйте його для входу.
• Якщо є коди для відновлення резервних копій — використовуйте їх.
• Якщо у вас немає ключа чи кодів, будь ласка, зверніться до свого адміністратора підрозділу або служби підтримки Delta.
• Тому я рекомендую завжди мати два зареєстровані ключі і зберігати резервні коди окремо.

Висновок

Ключ FIDO2 — це найнадійніший спосіб захисту вашого облікового запису Delta. На відміну від SMS-кодів або додатків автентифікатора, фізичний ключ не можна перехопити дистанційно, а криптографічне прив’язування до домену delta.mil.gov.ua автоматично блокує фішингову атаку.

Ключ працює без мережі, без батареї, без мобільного оператора. Достатньо мати пристрій з USB-портом або NFC. Одним ключем ви можете захистити не лише Delta, а й пошту, соціальні мережі та будь-які інші сервіси, що підтримують стандарт FIDO.

Що робити зараз:

1. Виберіть ключову модель зі таблиці сумісних пристроїв.
2. Купіть два ключі – основний і запасний (якщо потрібно).
3. Встановіть PIN-код (на iOS — через Yubico Authenticator, на інших платформах — при першому використанні в браузері).
4. Зареєструйте обидва ключі в Delta за офіційними інструкціями.
5. Зберігайте резервні коди у захищеному місці.

Сподіваюся, посібник був зрозумілим. Якщо у вас є додаткові питання щодо використання YubiKeys, ви завжди можете звернутися до нашої технічної підтримки.