Ці пристрої захищають облікові записи урядовців США. Як працює ключ безпеки та чому він надійніший за пароль

Сайти України й органів державної влади продовжують атакувати хакери – за два місяці СБУ нейтралізувала понад 250 потужних кібератак. Найчастіше вони спрямовані на те, щоб порушити роботу серверів або заразити комп’ютери вірусами.

У партнерському матеріалі із «Зе Кернел», офіційним дистриб’ютором продукції YubiKey в Україні, розповідаємо, як можна запобігти проникненню хакерів і як у цьому допоможуть ключі безпеки YubiKey, що використовують корпорація Google та уряд США.

Під час війни кількість кібератак зросла втричі

Зазвичай віруси порушують роботу систем, допомагають зловмисникам отримати доступ до особистої інформації, листування і поширювати шкідливі програми далі базою контактів користувачів.

Наприклад, у квітні 2017 року з боку росії почалася масштабна атака, що завершилася у червні розповсюдженням вірусу Petyа. Тоді завдали шкоди майже 300 українським сайтам. А 14 січня цього року рф здійснила ще одну масштабну хакерську атаку, під час якої постраждали 70 урядових сайтів.

Державна служба спеціального зв’язку та захисту інформації в Україні повідомляє, що лише за перший місяць війни кількість кібератак зросла втричі. Найпопулярнішими з них є фішингові розсилки, DDoS-атаки та розповсюдження шкідливих програм.

За два місяці СБУ нейтралізувала понад 250 потужних кібератак. Вони стають масштабнішими, хакери намагаються охопити ще й енергетичну та фінансову сфери. Люди ризикують втратити кошти, заощадження, важливу інформацію або можливість звернутися за допомогою до держави через хакерські атаки. Частина послуг залишається все ще недоступною з метою безпеки.

Як саме хакери перехоплюють дані

Нещодавно Україну підтримала американська компанія Yubico – виробник ключів безпеки YubiKey. Вона подарувала Україні частку своєї продукції на $1 млн. Ця компанія понад 10 років спеціалізується на інформаційній безпеці та допомагає бізнесам захищати дані.

Хакери перехоплюють дані трьома способами:

• з боку користувача – для цього зламують його акаунт;
• з боку сервера – для цього використовують його вразливість;
• на шляху від клієнта до сервера – використовують вразливість шифрування інтернет-зв’язку або надають користувачеві фішинговий сайт.

Злам акаунтів і фішинг – найпоширеніші способи атак, оскільки користувачі, особливо під час стресу, часто страждають на неуважність і забудькуватість. Вони можуть не помітити, що назва сайту в рядку браузера трохи відрізняється, і перейти на фішинговий сайт. Часто використовують однаковий пароль на всіх сайтах, щоб його не забути та заходити в облікові записи швидко на всіх пристроях.

Показовим був випадок, коли 23 грудня 2015 року хакери здійснили атаку на «Прикарпаття обленерго», вимкнули 30 підстанцій і залишили без світла приблизно 230 тис. мешканців. Проникнути їм вдалося завдяки тому, що хакери зібрали логіни та паролі співробітників, які мали доступ до мережі.

Як запобігти проникненню хакерів

Звичайно, останнім часом офіційні джерела інформації частіше почали розповідати користувачам про елементарні правила кібербезпеки. Наприклад:

• встановити складні паролі та зберігати їх у надійному місці;
• захистити акаунти двофакторною автентифікацією, тобто додатковим засобом перевірки особи того, хто є власником.

Водночас багато користувачів продовжують нехтувати цими правилами, тому що хочуть заощадити час. Вводити додаткові одноразові паролі, надіслані в SMS чи згенеровані в застосунку на телефоні, людям довго та незручно.

Зараз є спосіб поєднати швидкий вхід в акаунт з надійним його захистом. До того ж він не потребує щось запам’ятовувати.

Вхід за паролем можна замінити або додатково захистити обліковий запис з допомогою апаратних пристроїв – токенів чи ключів безпеки. Вони надійно захищають від зламу та фішингу. Навіть якщо хакер вкраде пароль, без ключа він усе одно не зможе увійти в обліковий запис.

Як прийшла допомога від Yubico

На початку березня державні компанії та спецслужби України звернулися до Стіни Еренсвард, засновниці американської компанії Yubico. Вони попросили надати необхідну допомогу.

Ця компанія прославилася тим, що розробила ключі YubiKey для захисту урядових сайтів США у 2012 році. А 2017-го вже IT-корпорація Google зобов’язала своїх співробітників використовувати ключі замість паролів. Результат опублікували наступного року – за рік жоден обліковий запис не зламали.

Стіна Еренсвард на початку березня підписала розпорядження пожертвувати 20 тис. ключів YubiKey для підтримки безпеки України у воєнний час. Ключі призначені для захисту урядових сайтів, тобто облікових записів державних службовців. Оскільки один ключ коштує приблизно $50, загальна сума підтримки становить $1 млн.

«Компанія “Зе Кернел” дякує компанії Hideez та її CEO Олегу Науменку за допомогу з логістикою та доставленням комплекту ключів в Україну», – додають у компанії.

Що таке YubiKey

Ключі безпеки YubiKey – це невеличкі пристрої, що зовні чимось схожі на флешку. Тільки інформацію, зашифровану в ключах, неможливо вилучити, надіслати або скопіювати. Та й активувати ключ без його власника неможливо.

Ключі виробництва YubiKey мініатюрні та зручні. Їх можна просто покласти в гаманець або носити на дармовисі разом з іншими ключами від квартири чи автомобіля. При цьому вони є дуже міцними, оскільки в них немає висувних частин.

Щороку компанія Yubico оновлює продукцію, щоб вона відповідала сучасним вимогам безпеки.

• Усі ключі YubiKey мають сертифікацію FIDO2 – це означає, що їх можна використовувати як для налаштування двофакторної автентифікації, тобто перевірки користувача, так і замість паролів.
• Є серія з підтримкою NFCтехнологія бездротової передачі. Такі ключі необов’язково вставляти в USB-роз’єм, для підключення їх достатньо піднести до пристрою.
• Ключі мають різні габарити та способи підключення – їх можна підключати не тільки до стаціонарних пристроїв, але й до планшетів, телефонів, до гаджетів Apple.
• Є наноключі – з мініатюрним корпусом, що ледь виступає за пристрій.
• Є серія з біометричним сканером. Це новітня технологія 2021 року, яка визначає власника за відбитком пальця.
• Також компанія випустила ключі для підприємств із підвищеними вимогами до безпеки. Це серія FIPS, яка має підвищений ударостійкий захист корпусу з водонепроникністю ступеня IP68пилонепроникний прилад, що витримує тривале занурення у воду під тиском.

Ключі безпеки дуже просто використовувати:

• спочатку потрібно зареєструвати їх у системі чи у сервісі, куди треба буде час від часу заходити під особистим акаунтом;
• потім, під час входу до акаунту, потрібно під’єднати ключ до пристрою та торкнутися датчика, що розпізнає присутність живої людини, або торкнутися сканера відбитків пальців, якщо це стосується ключа YubiKey Bio;
• якщо пристрій підтримує NFC, достатньо піднести ключ до нього.

Один ключ YubiKey можна використовувати для входу в сотні сервісів, а не тільки до корпоративних акаунтів, що дуже зручно.

Як ключі безпеки YubiKey допоможуть Україні

Уже у квітні цього року уряд України сертифікував ключі безпеки YubiKey для роботи з державними сайтами. Саму процедуру провели у стислий термін – за кілька тижнів замість шести місяців. Ключі передали кільком державним підприємствам, організаціям критичної інфраструктури, державним енергетичним компаніям і Міністерству цифрової трансформації, яке теж виступило бенефіціаром цього проєкту. З них 3 тис. ключів отримали співробітники Держспецзв’язку.

«Враховуючи поточну ситуацію в країні та необхідність захисту акаунтів окремих категорій громадян, Україна потребує більшої кількості пристроїв. Сьогодні їх потрібно вп’ятеро більше», – кажуть у компанії.

Щоб придбати ключі YubiKey для себе або допомогти Україні якнайшвидше отримати пристрої в потрібній кількості, можна звертатися до офіційного дистриб’ютора. Компанія також має український інтернет-магазин, де можна купити товари не тільки гуртом, а й у роздріб.

Придбати ключі YubiKey