Bezpečnostní klíč FIDO2: výběr, nastavení a záložní přístup

Bezpečnostní klíč FIDO2 je externí autentizátor, který pro podporovanou službu vytváří jedinečné kryptografické přihlašovací údaje. Prohlížeč a služba ověřují také doménu, takže klíč výrazně omezuje účinnost běžného phishingu. Může sloužit jako druhý faktor i pro přihlášení bez hesla. Před nákupem je ale nutné zkontrolovat podporu služby, konektory, způsob ověření uživatele a hlavně plán při ztrátě.

Tematický rozcestník: Další návody pro ochranu účtů, zařízení a osobních dat najdete v přehledu digitální bezpečnosti.

FIDO2 spojuje WebAuthn a CTAP

WebAuthn umožňuje webu pracovat s veřejnými klíči a CTAP propojuje platformu s externím autentizátorem přes USB, NFC nebo Bluetooth.

Praktický význam: U oblasti bezpečnostní klíč FIDO2 tento bod propojte s konkrétní potřebou, rozpočtem a dobou používání. Nehodnoťte jej izolovaně: výsledek mohou změnit související náklady, kompatibilita, podpora, lidská chyba a situace, kdy hlavní řešení selže.

Kontrola: Hledejte výslovnou podporu FIDO2 či WebAuthn, ne jen neurčité označení bezpečnostní token. U bodu „FIDO2 spojuje WebAuthn a CTAP“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Klíč je vázán na skutečnou doménu

Přihlašovací údaj vytvořený pro jednu službu nelze jednoduše použít na podobně vypadající podvodné stránce.

Kontrola: I tak kontrolujte doménu a nikdy nepotvrzujte nečekané přihlášení. U bodu „Klíč je vázán na skutečnou doménu“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Konektor musí odpovídat vašim zařízením

USB-A, USB-C a NFC rozhodují, zda klíč použijete na pracovním počítači, notebooku i telefonu bez redukcí.

Kontrola: Sepište všechna zařízení a ověřte praktický scénář přihlášení na každém z nich. U bodu „Konektor musí odpovídat vašim zařízením“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

PIN a dotyk plní rozdílné role

Dotyk obvykle potvrzuje přítomnost člověka, zatímco PIN může ověřit uživatele klíče a chránit některé operace.

Kontrola: Nastavte unikátní PIN a neskladujte ho spolu s klíčem. U bodu „PIN a dotyk plní rozdílné role“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Jeden klíč vytváří bod selhání

Ztráta, poškození nebo ponechání klíče v jiném místě může bez alternativy zablokovat přístup.

Kontrola: Zaregistrujte nejméně dva klíče a záložní kus uložte fyzicky odděleně. U bodu „Jeden klíč vytváří bod selhání“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Dva hardwarové bezpečnostní klíče FIDO2 připojené přes USB a NFC — Druhý zaregistrovaný klíč uložený odděleně je praktičtější obnova než improvizace po ztrátě jediného kusu.

Každou službu je nutné registrovat zvlášť

Klíč není univerzální kopie účtu; služba si při registraci uloží odpovídající veřejný údaj.

Kontrola: Veďte seznam důležitých účtů, na nichž jsou oba klíče skutečně přidány. U bodu „Každou službu je nutné registrovat zvlášť“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Záložní kódy zůstávají poslední cestou

Služby mohou nabízet obnovovací kódy nebo administrátorský proces, který je nutné chránit stejně pečlivě.

Kontrola: Uložte kódy offline a jednou ověřte, kde se spouští obnova. U bodu „Záložní kódy zůstávají poslední cestou“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Firemní prostředí vyžaduje správu životního cyklu

Odchod zaměstnance, výměna klíče a evidence vlastníka musí být součástí přístupové politiky.

Kontrola: Zapisujte sériové označení, vlastníka, datum vydání a postup revokace. U bodu „Firemní prostředí vyžaduje správu životního cyklu“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Po nastavení proveďte kontrolovaný test

Skutečná kompatibilita se ukáže až při přihlášení v používaném systému a prohlížeči.

Kontrola: Otestujte hlavní i záložní klíč a teprve potom odstraňte slabší metodu, pokud je to bezpečné. U bodu „Po nastavení proveďte kontrolovaný test“ zvlášť zapište rozhodující údaj, přijatelnou hranici a konkrétní událost, která vyvolá novou revizi. Výsledek uložte s datem a zdrojem, aby jej šlo později zopakovat a srovnat.

Postup krok za krokem

Definujte cíl a termín.
Sepište výchozí stav.
Ověřte primární dokumentaci.
Porovnejte celé náklady.
Prověřte nejhorší rozumný scénář.
Zvolte záložní postup.
Proveďte malý praktický test.
Naplánujte další kontrolu.

Rozhodnutí o bezpečnostní klíč FIDO2 zdokumentujte před změnou i po ní. Zapište, které předpoklady byly potvrzeny, co zůstalo nejisté a jaká událost vyvolá novou kontrolu. Tím oddělíte měřitelný přínos od krátkodobého dojmu a zabráníte tomu, aby se stejná analýza při každé změně začínala od nuly.

Nejčastější chyby

Výběr podle jediného parametru.
Ignorování vedlejších nákladů a omezení.
Spoléhání na neaktuální marketingový údaj.
Chybějící záložní postup.
Žádný test výsledku v praxi.

U tématu bezpečnostní klíč FIDO2 bývá nejdražší chyba nenápadná: řešení funguje v ideálním scénáři, ale selže při změně služby, trhu, zařízení nebo příjmu. Předem proto určete vlastníka postupu, bezpečnou rezervu a způsob návratu do funkčního stavu.

Kontrolní scénář 1: Zaměřte se na bod „FIDO2 spojuje WebAuthn a CTAP“. Zapište současný stav číslem, exportem nebo přesným popisem a změňte pouze jednu proměnnou. Pokud současně upravíte produkt, nastavení i prostředí, nelze určit, co výsledek způsobilo a zda řešení přineslo skutečný přínos.

Kontrolní scénář 2: U oblasti „PIN a dotyk plní rozdílné role“ simulujte vyšší zátěž, propad, výpadek nebo potřebu rychlé změny. Určete hranici, kdy běžný postup nestačí, kdo smí rozhodnout a kde je bezpečná alternativa. Rezerva chrání před jediným optimistickým předpokladem.

Kontrolní scénář 3: Prověřte dlouhodobou udržitelnost bodu „Po nastavení proveďte kontrolovaný test“. Ověřte podporu, servis, poplatky, export a dokumentaci. Dobré řešení musí zůstat srozumitelné i po změně telefonu, příjmu, zařízení, trhu nebo člověka, který jej původně nastavil.

Výsledek neposuzujte jediným maximem. Pro bezpečnostní klíč FIDO2 jsou důležitější opakovatelné hodnoty, známé omezení a rozumná rezerva. Pokud test vychází dobře jen za ideálních podmínek, upravte očekávání. Do evidence přidejte datum, použitou metodiku a hranici pro další revizi.

Před konečným rozhodnutím vysvětlete vlastními slovy, jaký problém řeší, co stojí, které riziko zůstává a jak poznáte selhání. Pokud odpověď závisí pouze na sloganu, historickém výsledku nebo jednom parametru, vraťte se k podkladům. Transparentní kompromis je pro bezpečnostní klíč FIDO2 hodnotnější než nejvyšší deklarovaná hodnota bez kontextu.

Související průvodci a zdroje

Navazující články:

Autoritativní zdroje:

Článek je obecný vzdělávací průvodce. Parametry, ceny, právní pravidla a podmínky se mohou měnit; pro bezpečnostní klíč FIDO2 vždy ověřte aktuální dokumentaci a vlastní situaci.

Pro rozhodnutí, kterým účtům dát klíč a kde ponechat TOTP, pomůže srovnání bezpečnostního klíče a autentizační aplikace.

Často kladené otázky

Co je nejdůležitější u tématu bezpečnostní klíč FIDO2?

Začněte konkrétním cílem, podmínkami a rizikem, ne jedním marketingovým parametrem.

Existuje univerzálně nejlepší varianta?

Ne. Vhodná volba závisí na použití, nákladech, dostupnosti a toleranci rizika.

Které údaje mám ověřit?

Primární dokumentaci, smluvní podmínky, kompatibilitu a datum platnosti informací.

Jak se vyhnout časté chybě?

Sepište výchozí stav a předem určete hranici, při které rozhodnutí přehodnotíte.

Má smysl praktický test?

Ano. Ověřený scénář často odhalí omezení, která specifikace nebo reklama neukáže.

Jak často rozhodnutí kontrolovat?

Při změně podmínek a jinak v předem stanoveném pravidelném intervalu.