Yubico

YubiKey - dlaczego to najlepszy sposób na ochronę kont firmowych przed przejęciem

Kilka miesięcy temu jeden z naszych klientów – firma produkcyjna z okolic Poznania – zgłosił do naszego zespołu podejrzane logowania na kontach Microsoft 365. Po dokładnej analizie okazało się, że cyberprzestępcy zdobyli hasło jednego z pracowników działu sprzedaży za pomocą spreparowanego e-maila (tzw. phishing). Przestępcy uzyskali dostęp do korespondencji i niemal natychmiast zaczęli wysyłać wiadomości podszywające się pod pracownika, próbując wyłudzić dane kontrahentów. Na szczęście szybka reakcja oraz monitorowanie nietypowych aktywności pozwoliły uniknąć poważniejszych strat finansowych, jednak cała firma musiała wymienić hasła. Po tym incydencie klient zdecydował się wdrożyć klucze bezpieczeństwa YubiKey dla całego zespołu. Od tego czasu podobne sytuacje się nie powtórzyły – nawet jeśli ktoś nieopatrznie podałby swoje hasło, bez fizycznego klucza nie da się zalogować.

Dlaczego YubiKey, a nie SMS czy aplikacje mobilne?

Większość firm, które myślą o dwuskładnikowym uwierzytelnianiu, sięga po SMS-y lub aplikacje jak Google Authenticator. To lepsze niż samo hasło, ale wciąż nie jest bezpieczne. SMS-y można przechwycić (SIM swapping), telefony można ukraść, a aplikacje mobilne można zhakować.

YubiKey to fizyczny klucz bezpieczeństwa - małe urządzenie wielkości pendrive, które podłączasz do komputera lub smartfona. Bez niego nikt nie zaloguje się na Twoje konto, nawet jeśli zna hasło. To jak klucz do sejfu - możesz znać kod, ale bez fizycznego klucza sejf się nie otworzy.

Jak YubiKey chroni przed najczęstszymi atakami

Ochrona przed phishingiem Phishing to najczęstszy sposób kradzieży danych logowania. Haker wysyła fałszywy e-mail z linkiem do strony wyglądającej jak prawdziwy Microsoft 365 czy Gmail. Użytkownik wpisuje hasło i kod SMS - haker ma wszystko, czego potrzebuje. YubiKey sprawdza, czy strona jest prawdziwa. Jeśli to podróbka, klucz po prostu nie zadziała.

Niemożliwość zdalnego przejęcia SMS można przechwycić z drugiego końca świata. Aplikację mobilną można zhakować przez internet. YubiKey działa tylko wtedy, gdy jest fizycznie podłączony do urządzenia. Haker musiałby być w tym samym pokoju co Ty, żeby ukraść Twoje konto.

Ochrona przed atakami man-in-the-middle Nawet jeśli haker przechwytuje komunikację między Twoim komputerem a serwerem, YubiKey generuje unikalne kody dla każdego logowania. Przechwycony kod jest bezużyteczny - już nigdy nie zadziała ponownie.

YubiKey vs inne metody uwierzytelniania - porównanie

SMS (najgorsza opcja)

• Koszt: 0,20 zł za SMS
• Bezpieczeństwo: Niskie (SIM swapping, przechwytywanie)
• Wygoda: Średnia (trzeba czekać na SMS)
• Niezawodność: Niska (brak zasięgu, opóźnienia)

Aplikacje mobilne (Google Authenticator, Microsoft Authenticator)

• Koszt: Darmowe
• Bezpieczeństwo: Średnie (można zhakować telefon)
• Wygoda: Dobra (szybkie kody)
• Niezawodność: Średnia (trzeba mieć telefon, bateria)

YubiKey (najlepsza opcja)

• Koszt: 200-400 zł jednorazowo
• Bezpieczeństwo: Najwyższe (niemożliwe do zhakowania zdalnie)
• Wygoda: Najlepsza (jedno dotknięcie)
• Niezawodność: Najwyższa (działa zawsze, nie potrzebuje baterii)

Dlaczego firmy wybierają YubiKey?

Brak kosztów operacyjnych SMS-y kosztują. Aplikacje mobilne wymagają smartfonów służbowych. YubiKey kupujesz raz i działa latami. Dla 20-osobowej firmy koszt SMS-ów to około 2000 zł rocznie. YubiKey dla 20 osób to jednorazowy koszt 6000 zł - zwraca się w 3 lata, a działa 10+ lat.

Niezależność od operatorów telefonicznych SMS-y nie docierają, sieci komórkowe mają awarie, roaming jest drogi. YubiKey działa wszędzie - w Polsce, za granicą, w miejscach bez zasięgu. Twoi pracownicy mogą logować się z każdego miejsca na świecie.

Zgodność ze wszystkimi popularnymi usługami YubiKey działa z Microsoft 365, Google Workspace, AWS, Azure, LinkedIn, Facebook, GitHub i setkami innych usług. Jeden klucz chroni wszystkie konta firmowe.

YubiKey w praktyce - scenariusze użycia

Ochrona kont administracyjnych Administratorzy IT mają dostęp do wszystkich systemów. Jeden skompromitowany admin może sparaliżować całą firmę. YubiKey zapewnia, że tylko osoba z fizycznym kluczem może zalogować się na konto administratora.

Bezpieczna praca zdalna W dobie pracy hybrydowej pracownicy logują się z domowych komputerów, kawiarni, hoteli. YubiKey zapewnia, że nawet jeśli komputer jest zainfekowany, konto firmowe pozostaje bezpieczne.

Ochrona kont finansowych Dostęp do systemów bankowych, płatniczych czy księgowych wymaga najwyższego poziomu bezpieczeństwa. YubiKey to standard w branży finansowej - banki używają ich do ochrony własnych systemów.

Wdrożenie YubiKey - łatwiejsze niż myślisz

Microsoft 365 Włączenie YubiKey w Microsoft 365 to kilka kliknięć w panelu administracyjnym. Każdy użytkownik rejestruje swój klucz raz, a potem używa go przy każdym logowaniu. Proces zajmuje 5 minut na osobę.

Google Workspace Google ma jedną z najlepszych implementacji YubiKey. Administrator może wymusić używanie kluczy bezpieczeństwa dla wszystkich użytkowników. Pracownicy bez YubiKey po prostu nie będą mogli się zalogować.

Systemy lokalne YubiKey działa również z lokalnymi systemami Windows, Linux i macOS. Można go używać do logowania się do komputera, serwerów czy aplikacji firmowych.

Koszty vs korzyści - matematyka jest oczywista

YubiKey 5 NFC kosztuje około 200 zł. Dla 20-osobowej firmy to koszt 4000 zł jednorazowo. Porównajmy z kosztami jednego ataku:

• Przejęcie konta administratora: paraliż firmy na dni/tygodnie
• Kradzież danych klientów: kary RODO do 20 milionów euro
• Utrata reputacji: trudna do wyceny, ale często najdroższa
• Koszty odzyskania systemów: dziesiątki tysięcy złotych

Jeden skuteczny atak kosztuje więcej niż YubiKey dla całej firmy na 10 lat.

YubiKey a polskie przepisy i RODO

Zgodność z RODO YubiKey pomaga spełnić wymóg "odpowiednich środków technicznych" z RODO. W przypadku kontroli można wykazać, że firma stosuje najwyższe dostępne standardy bezpieczeństwa.

Wymogi sektorowe Banki, firmy ubezpieczeniowe, podmioty krytyczne - wszystkie mają obowiązek stosowania silnego uwierzytelniania. YubiKey spełnia wszystkie polskie i europejskie wymogi regulacyjne.

Audyty bezpieczeństwa Podczas audytów bezpieczeństwa YubiKey to zawsze plus. Audytorzy wiedzą, że to najwyższy dostępny standard ochrony kont użytkowników.

Przyszłość uwierzytelniania

Passwordless - przyszłość bez haseł YubiKey obsługuje standard FIDO2, który pozwala na logowanie bez haseł. Zamiast hasła + YubiKey, używasz tylko YubiKey + PIN lub odcisk palca. To jeszcze wygodniejsze i bezpieczniejsze.

Integracja z biometrią Najnowsze YubiKey Bio łączą "coś co masz" (klucz) z "czymś czym jesteś" (odcisk palca). To najwyższy możliwy poziom bezpieczeństwa.

Rozwój standardów Yubico aktywnie rozwija standardy FIDO i WebAuthn. Firmy używające YubiKey są zawsze na czele innowacji w dziedzinie bezpieczeństwa.