Klucz fizyczny zapewnia najwyższą ochronę, zwłaszcza przed phishingiem, a aplikacja mobilna jest tańsza i wygodniejsza. Dla większości użytkowników domowych aplikacja będzie wystarczająca, natomiast konta administratora, bankowość, kryptowaluty i inne cenne zasoby lepiej zabezpieczyć kluczem FIDO2. Najbezpieczniejszy wariant łączy obie metody.
Klucz fizyczny czy aplikacja mobilna – najważniejsze różnice
Klucz fizyczny, taki jak YubiKey, jest sprzętowym urządzeniem używanym podczas logowania. Może łączyć się z komputerem lub telefonem przez USB, NFC albo inne obsługiwane złącze. Aplikacja mobilna, na przykład Google Authenticator, działa na smartfonie i generuje jednorazowe kody potwierdzające tożsamość.
Obie metody należą do uwierzytelniania wieloskładnikowego, ale opierają się na innych mechanizmach. Aplikacja najczęściej korzysta z TOTP, czyli haseł jednorazowych ważnych przez określony czas. Klucz FIDO2/WebAuthn używa kryptografii asymetrycznej i podpisuje logowanie dla konkretnej witryny.
| Cecha | Klucz fizyczny | Aplikacja mobilna |
|---|---|---|
| Odporność na phishing | Wysoka. Klucz rozpoznaje domenę usługi i nie podpisuje logowania do obcej strony. | Ograniczona. Kod TOTP można wyłudzić i wpisać na stronie phishingowej. |
| Koszt | Jednorazowy zakup urządzenia. Cena zależy od modelu i funkcji. | Zwykle bezpłatna, wymaga jednak sprawnego telefonu. |
| Wygoda | Wymaga podłączenia, zbliżenia lub dotknięcia klucza. | Kod jest dostępny od razu w telefonie, ale trzeba go przepisać. |
| Zależność od urządzenia | Trzeba mieć klucz oraz zgodne złącze lub NFC. | Trzeba mieć telefon z aplikacją i dostęp do jej danych. |
| Ryzyko utraty dostępu | Zgubienie jedynego klucza może zablokować konto. | Utrata telefonu lub aplikacji może uniemożliwić wygenerowanie kodu. |
Dlaczego klucz fizyczny lepiej chroni przed phishingiem?
Klucz fizyczny i FIDO2
Podczas rejestracji klucz tworzy parę kryptograficzną. Klucz publiczny zostaje zapisany w usłudze, a prywatny pozostaje w urządzeniu i nie jest ujawniany. Przy logowaniu klucz podpisuje wyzwanie przygotowane przez prawdziwą domenę.
Fałszywa strona może próbować wyłudzić login i hasło, ale nie otrzyma poprawnego podpisu dla właściwego adresu usługi. Dlatego atakujący nie może po prostu przechwycić kodu i użyć go chwilę później. To zasadnicza przewaga FIDO2 nad kodami jednorazowymi.
Klucz nie chroni jednak automatycznie wszystkich kont. Trzeba dodać go osobno w każdej usłudze, która obsługuje FIDO2 lub WebAuthn. Należy też dopasować urządzenie do używanego sprzętu, na przykład wybrać model z USB-C albo NFC.
Aplikacja mobilna i TOTP
Google Authenticator generuje kod TOTP na podstawie sekretu zapisanego podczas konfiguracji konta oraz aktualnego czasu. Kod jest ważny krótko, co ogranicza ryzyko jego późniejszego użycia, ale nie zatrzymuje oszustwa w czasie rzeczywistym.
Jeżeli użytkownik wpisze kod na stronie phishingowej, przestępca może natychmiast przekazać go do prawdziwej usługi. Aplikacja nadal zapewnia lepszą ochronę niż samo hasło lub SMS, lecz nie daje takiej odporności na phishing jak FIDO2.
Jej mocną stroną pozostaje dostępność. Nie trzeba kupować dodatkowego urządzenia, a TOTP jest obsługiwane przez wiele serwisów. Trzeba jednak przygotować sposób odzyskania dostępu na wypadek utraty telefonu, usunięcia aplikacji albo problemu z kopią danych.
Zalety i ograniczenia obu metod
Klucz fizyczny sprawdzi się wtedy, gdy priorytetem jest ochrona przed przejęciem konta. Jego ograniczenia dotyczą głównie kosztu, kompatybilności i konieczności przechowywania urządzenia:
- Silna ochrona przed phishingiem – podpis jest powiązany z właściwą usługą.
- Niezależność od telefonu – logowanie nie wymaga aplikacji ani baterii smartfona.
- Jednorazowy wydatek – po zakupie można używać klucza w wielu zgodnych usługach.
- Ryzyko fizycznej utraty – bez zapasowego sposobu logowania zgubienie klucza może odciąć dostęp.
- Konieczność zgodności – trzeba sprawdzić porty, NFC i obsługę FIDO2 przez usługę.
Aplikacja mobilna jest prostsza do wdrożenia i zwykle nic nie kosztuje. Jej słabsza odporność na phishing nie oznacza, że jest bezużyteczna. Dla wielu kont stanowi rozsądny poziom ochrony, szczególnie gdy użytkownik stosuje unikalne hasła i nie podaje kodów na podejrzanych stronach.
Kiedy wybrać klucz, a kiedy aplikację?
Dobór metody powinien zależeć od wartości danych, prawdopodobieństwa ataku, budżetu i tego, jak łatwo można odzyskać konto. Klucz fizyczny będzie lepszym wyborem w takich sytuacjach:
- Konto administratora daje dostęp do wielu użytkowników, systemów lub danych.
- Chronisz bankowość, portfel kryptowalutowy, firmową pocztę albo panel zarządzania.
- Jesteś częstym celem phishingu, na przykład z powodu wykonywanego zawodu lub publicznej działalności.
- Organizacja musi ograniczyć ryzyko przejęcia kont uprzywilejowanych.
Aplikacja mobilna zwykle wystarczy, gdy chronisz mniej krytyczne usługi i zależy Ci na szybkim rozpoczęciu korzystania z MFA:
- Konto służy głównie do mediów społecznościowych, zakupów lub prywatnej poczty.
- Nie chcesz kupować dodatkowego sprzętu albo korzystasz z wielu urządzeń.
- Usługa nie obsługuje kluczy FIDO2, ale pozwala używać TOTP.
- Potrzebujesz rozwiązania łatwego do wdrożenia dla domowników lub niewielkiego zespołu.
Niezależnie od wybranej metody przygotuj zapas. Przy kluczu fizycznym najlepiej zarejestrować co najmniej dwa klucze – podstawowy i przechowywany w bezpiecznym miejscu. Nie warto współdzielić jednego urządzenia przez kilka osób. W przypadku aplikacji należy wcześniej sprawdzić dostępne opcje odzyskiwania konta i przechowywać kody awaryjne zgodnie z zasadami danej usługi.
Jaki wariant wybrać?
Jeżeli najważniejsza jest odporność na phishing, wybierz klucz FIDO2 jako główną metodę. Jeżeli liczy się niski koszt i wygoda, Google Authenticator lub inna aplikacja TOTP będzie rozsądnym rozwiązaniem. Przy ważnych kontach najlepsze jest podejście hybrydowe: klucz fizyczny jako podstawowe zabezpieczenie, aplikacja lub drugi klucz jako metoda awaryjna.
Każde poprawnie skonfigurowane MFA chroni lepiej niż samo hasło. Różnica polega na tym, jak dobrze dana metoda radzi sobie z konkretnym zagrożeniem i jak łatwo odzyskać dostęp po utracie urządzenia.
