Yubico - YubiKey Bio (FIDO Edition)

Yubico - YubiKey Bio (FIDO Edition) הוא מפתח אבטחה ביומטרי בחיבור USB-A, המזוהה אצל הספק במק״ט 11114. הוא מיועד לכניסה לשירותים התומכים ב־FIDO2/WebAuthn או ב־FIDO U2F, באמצעות טביעת אצבע רשומה ובתנאים המתאימים גם קוד PIN. זהו מוצר פיזי שנרשם לכל חשבון שבו רוצים להשתמש בו; עצם החיבור למחשב אינו משנה את הגדרות האבטחה של כל החשבונות באופן אוטומטי. הגרסה הזאת ממוקדת בפרוטוקולי FIDO ואינה גרסת YubiKey 5 או YubiKey Bio Multi-protocol.

מה המפתח עושה בפועל?

מפתח FIDO מוסיף גורם אימות חומרתי לתהליך הכניסה. בעת רישום בשירות תואם, השירות קושר לחשבון אישור שנוצר באמצעות המפתח. בהתחברות עתידית מחברים את היחידה ליציאת USB-A, פועלים לפי הודעת הדפדפן או האפליקציה ומאשרים באמצעות החיישן הביומטרי כאשר התהליך דורש זאת. בזרימות FIDO2 תואמות אפשר להשתמש במפתח גם כחלק מכניסה ללא סיסמה; בזרימות אחרות הוא משמש גורם נוסף לצד סיסמה קיימת. מה שהשירות מאפשר בפועל תלוי בתמיכת אותו שירות, לא רק ביכולות המפתח.

שימוש במפתח חומרה מסוג FIDO מצמצם תלות בקוד חד־פעמי שמוקלד ידנית, משום שהאימות קשור לשירות שבו נרשם המפתח. זה אינו הופך חשבון לחסין מכל תקלה או גניבה: עדיין צריך להגדיר שיטות שחזור, להגן על קוד ה־PIN ולוודא שאפשר להיכנס לחשבון אם המפתח אובד. מומלץ לרשום אמצעי גיבוי בהתאם לאפשרויות של כל שירות לפני שמסירים שיטת כניסה קיימת. המפתח אינו מאחסן את הסיסמאות של כל האתרים כמו מנהל סיסמאות ואינו תחליף לגיבוי חשבון.

טביעת אצבע וקוד PIN

חיישן טביעת האצבע מאפשר לאשר שימוש במפתח לאחר רישום אצבעות. לפי Yubico, תבנית טביעת האצבע נשמרת ברכיב המאובטח של המפתח ולא מועברת לשירות בעת האימות. כדי להתחיל בשימוש הביומטרי מגדירים תחילה קוד PIN מסוג FIDO2 ואז רושמים לפחות אצבע אחת. ה־PIN משמש חלופה כאשר לא ניתן לאשר בטביעת אצבע, וכן נדרש בפעולות הגדרה מסוימות. זו הבחנה חשובה: ״ביומטרי״ אינו אומר שאפשר לדלג על כל תהליך ההגדרה או שאין צורך לזכור קוד גיבוי.

המפתח מאשר שהאדם שמבצע את הפעולה הוא מי שרשם את האצבע או יודע את ה־PIN המתאים. האצבע עצמה אינה שם המשתמש ואינה קובעת לבדה אילו חשבונות רשומים על המפתח. אם כמה שירותים משתמשים באותו מפתח, כל אחד מהם צריך להירשם אליו בנפרד לפי התהליך שלו. ניהול החשבונות והמדיניות נשאר בידי השירות או הארגון. כאשר משתמשים במחשב משותף, אין להשאיר את המפתח מחובר לאחר סיום הפעולה; הוא פריט אישי שנועד להיות בשליטת בעל החשבון.

FIDO Edition לעומת דגמים אחרים

הגרסה הזאת תומכת ב־FIDO2/WebAuthn וב־FIDO U2F. היא אינה כוללת את מכלול הפרוטוקולים של YubiKey 5: אין בה Smart Card/PIV, ‏OpenPGP, ‏OATH-TOTP, ‏Yubico OTP או סיסמה סטטית. לכן מי שזקוק לכרטיס חכם לכניסה לתחנת עבודה ארגונית, לחתימת PGP או לקודי TOTP דרך מפתח Yubico אינו צריך להסיק שהמוצר הזה מתאים רק משום שבשמו מופיעה המילה YubiKey. יש לבחור במשפחת מוצר התומכת בפרוטוקול שהמערכת דורשת.

קיימת גם גרסת YubiKey C Bio בעלת מחבר USB-C, אך המק״ט 11114 של הספק מתייחס לדגם Bio FIDO הרגיל עם מחבר USB-A; הספק מציג את דגם C Bio בנפרד. התמונה של המוצר בחנות מציגה גם היא מחבר USB-A. המפתח אינו כולל NFC, ולכן הצמדת היחידה לטלפון אינה דרך החיבור שלה. למחשב שיש בו יציאות USB-C בלבד יידרש פתרון חיבור מתאים ל־USB-A או בחירה מראש בדגם USB-C נפרד; אין להציג את היחידה הזאת כאילו יש לה שני סוגי מחבר מובנים.

התאמה לשירותים, דפדפנים ומחשבים

Yubico מציינת שימוש במערכות Windows, ‏macOS, ‏ChromeOS ו־Linux ובדפדפנים תואמים כגון Chrome ו־Edge. גם כאשר מערכת ההפעלה מזהה את המפתח, שירות היעד חייב להציע רישום והתחברות באמצעות FIDO2/WebAuthn או U2F כדי לנצל אותו. השירות עשוי לדרוש חשבון ארגוני, שינוי במדיניות אימות או שלב הרשמה מתוך הגדרות האבטחה. לפני קנייה עבור מערכת עבודה מסוימת נכון לזהות את פרוטוקול האימות שהמערכת דורשת ואת סוג יציאת ה־USB במחשב.

הגדרה טובה מתחילה בחשבון אחד שנגיש גם באמצעות דרך שחזור קיימת. נכנסים להגדרות האבטחה של אותו שירות, מוסיפים מפתח אבטחה, מגדירים PIN אם נדרש, רושמים אצבע ובודקים כניסה חוזרת. רק אחרי שהפעולה הצליחה אפשר לעבור לחשבונות נוספים. פעולות אלה נועדו למנוע מצב שבו שירות משנה את הגדרות הכניסה לפני שקיימת דרך מוכחת לחזור אליו. אין צורך בסוללה או בטעינה למפתח USB הזה, אבל יש צורך במגע פיזי וביציאת USB-A פעילה כאשר השירות מבקש להשתמש בו.

בחירה אחראית לאימות יומיומי

המוצר מתאים למי שמעדיף מפתח חומרה אישי עם אישור טביעת אצבע עבור חשבונות שתומכים ב־FIDO. הוא שימושי גם בארגון שמאמץ כניסה מבוססת WebAuthn, כל עוד המדיניות שלו מאשרת את הדגם והמחבר. הוא פחות מתאים למי שמחפש התקן USB-C ללא מתאם, חיבור NFC לטלפון, או פרוטוקולים עסקיים כמו PIV. הבחנה זו מונעת בחירה במוצר שנראה דומה בתמונה אך אינו מבצע את משימת האימות הנדרשת.

פרט הזיהוי המועיל בהזמנה הוא שילוב השם YubiKey Bio FIDO Edition עם מק״ט הספק 11114 ועם מחבר USB-A. תיאורי ״מפתח YubiKey ביומטרי״ לבדם עלולים להתייחס גם לגרסת C Bio או לגרסת Multi-protocol. בחנות מצוין מוצר FIDO Edition בלבד; אין כאן הבטחה לשירות צד שלישי מסוים, למנוי או לתכונת אימות שאותו שירות לא תומך בה. כך אפשר להחליט לפי תפקידו המדויק של המפתח ולא לפי הבטחה כללית ל״אבטחה מלאה״.

שאלות נפוצות

איזה חיבור USB יש למוצר במק״ט 11114?

זהו דגם YubiKey Bio FIDO Edition עם מחבר USB-A; דגם C Bio בעל USB-C מופיע אצל הספק כמוצר נפרד.

באילו תקני אימות תומך המפתח?

הגרסה תומכת ב־FIDO2/WebAuthn וב־FIDO U2F לשירותים המאפשרים רישום ושימוש בתקנים האלה.

האם טביעת האצבע נשלחת לאתר שבו מתחברים?

לא. לפי Yubico, תבנית האצבע נשמרת ברכיב המאובטח שעל המפתח ומשמשת לאישור מקומי של פעולת האימות.

האם חייבים להגדיר קוד PIN?

כן, לצורך הגדרת ביומטריה מגדירים תחילה PIN מסוג FIDO2; הוא משמש גם חלופה כאשר זיהוי האצבע אינו זמין.

האם אפשר להשתמש בו לכניסה ללא סיסמה?

כן, בשירותים שמציעים כניסה ללא סיסמה באמצעות FIDO2/WebAuthn ותומכים במפתח חומרה רשום.

האם הוא כולל NFC לטלפון?

לא. דגם YubiKey Bio FIDO Edition הזה פועל דרך חיבור USB-A ואינו כולל NFC.

האם המפתח תומך ב־PIV או בכרטיס חכם?

לא. PIV אינו כלול בגרסת FIDO Edition; זו יכולת של דגמים אחרים במשפחת Yubico.

האם הוא מייצר קודי TOTP או Yubico OTP?

לא. הגרסה הזאת מיועדת ל־FIDO2/WebAuthn ול־U2F בלבד ואינה מספקת OATH-TOTP או Yubico OTP.

האם צריך לרשום את המפתח לכל חשבון בנפרד?

כן. כל שירות תואם דורש הוספת המפתח בהגדרות האבטחה של החשבון שבו רוצים להשתמש בו.

האם המפתח דורש סוללה או טעינה?

לא. Yubico מציינת שהמפתח פועל ללא סוללה; הוא מקבל את הדרוש לפעולה בעת חיבורו ליציאת USB מתאימה.