硬體安全金鑰詳解：YubiKey 及其他選擇
硬體安全金鑰提供抵禦釣魚攻擊和帳戶被接管的最強保護。了解其工作原理、哪些型號適合香港用戶，以及何時值得投資。
硬體安全金鑰提供抵禦釣魚攻擊和帳戶被接管的最強保護。了解其工作原理、哪些型號適合香港用戶，以及何時值得投資。
硬體安全金鑰是一個小型物理設備——大小與 USB 隨身碟相近——用作您的第二認證因素。您無需從應用程式輸入驗證碼或等待短訊，只需將金鑰插入 USB 端口（或觸碰手機的 NFC 讀取器）並觸摸感應器。設備執行加密操作，向您正在登入的服務證明您的身份。整個過程不到一秒，無需任何輸入。
硬體金鑰實施 FIDO2 標準及其前身 FIDO U2F。每個金鑰內部有一個安全元件——一種防篡改微處理器晶片，設計用於安全儲存加密材料。當您向服務登記硬體金鑰時，金鑰會為該特定網站生成一對唯一的公鑰/私鑰。私鑰永遠不離開硬體，即使有人實際持有該金鑰也無法提取。公鑰與服務共享，用於在登入時驗證您的身份。
硬體金鑰相對於軟件 2FA 的關鍵安全優勢是防釣魚能力。當您嘗試登入時，金鑰以加密方式驗證請求認證的網站的確切域名。如果攻擊者誘騙您訪問釣魚網站——即使該網站在外觀上與真實登入頁面完全相同——金鑰會看到錯誤的域名並拒絕認證。這使硬體金鑰對能夠突破 TOTP 應用程式和短訊驗證碼的最複雜釣魚攻擊免疫。
YubiKey 由 Yubico（一家瑞典裔美國公司）製造，是最具代表性的硬體金鑰品牌，也是安全專業人員最常推薦的品牌。YubiKey 5 系列支援 FIDO2、FIDO U2F、智能卡（PIV）、OpenPGP 和 TOTP，使其在企業和消費者使用場景中都具有多功能性。YubiKey 5 NFC 增加了近場通訊功能，可與 iPhone 和 Android 設備配合使用——您只需將金鑰觸碰手機，而無需插入。Security Key 系列是一個更實惠的支援 NFC 的選項，僅支援 FIDO2，對大多數消費者使用而言已足夠。
Google 的 Titan 安全金鑰是 Google 自家的 FIDO2 硬體金鑰，提供 USB-C 和 NFC 型號。它們按照 Google 的規格製造，是一個可靠、價格合理的選項——對深入使用 Google 生態系統並信任 Google 供應鏈安全的用戶尤其具吸引力。Google 在其所有員工帳戶上內部使用 Titan 金鑰，完全消除了其員工隊伍中與釣魚相關的帳戶入侵事件，是對該技術有效性的有力背書。
對於香港用戶，YubiKey 更易獲取——Yubico 直接向香港發貨，香港的經銷商也有銷售最受歡迎的型號。YubiKey 5C NFC（USB-C 接口帶 NFC）對現代 MacBook、USB-C Windows 筆記型電腦和 iOS 16 以上的 iPhone 最為通用。注重預算的用戶可考慮 YubiKey Security Key C NFC，它僅支援 FIDO2 但價格較低，能處理絕大多數消費者使用場景。務必購買兩把金鑰並向您的重要帳戶同時登記兩把，這樣如果一把丟失，您仍有備份。
硬體金鑰的設置在各支援服務中遵循一致的模式。您進入帳戶的安全設置，找到添加安全金鑰的選項，點擊「添加」，當系統提示時，插入金鑰並觸摸感應器。瀏覽器通過 WebAuthn API 與金鑰通訊，所有現代作業系統上的 Chrome、Edge、Firefox 和 Safari 均支援此 API。每個服務的設置過程約需 30 秒，無需安裝任何軟件——硬體金鑰設計為即插即用。
相容性已大幅改善。Google、Microsoft、GitHub、Twitter/X、Facebook、Dropbox 以及數百個企業應用程式現在支援 FIDO2 硬體金鑰。對於 iPhone（iOS 16+），YubiKey 5 NFC 可通過 NFC 使用，在支援的應用程式或 Safari 中的網站提示時，將金鑰觸碰手機頂部即可。配備 NFC 的 Android 手機工作方式類似。USB-C 金鑰可直接與現代 iPad Pro 和 MacBook 配合使用，無需轉接器。
硬體金鑰支援的明顯缺口是大多數香港銀行應用程式。截至本文撰寫時，主要香港銀行的手機應用程式不支援 FIDO2 硬體金鑰——它們使用內建於其銀行應用程式中的自有 2FA 系統。您仍可以為 Gmail、工作帳戶和社交媒體使用硬體金鑰，並使用銀行的內建應用程式認證進行銀行操作。這不是避免使用硬體金鑰的理由——只是意味著它們保護的帳戶集與您的銀行認證不同。
對於任何因帳戶被入侵而面臨嚴重後果的人，硬體金鑰都是值得的。如果您經營一家儲存客戶數據的企業，如果您持有任何規模的加密貨幣，如果您是記者、社會活動人士或處理敏感資訊的專業人士，或者如果您是擁有大量追蹤者的知名社交媒體帳戶持有人——在消費者價位（一款好型號約 HK$400-600）下，硬體金鑰是可獲得的最有效保護。
對於香港普通消費者而言，他們主要想保護電子郵件、銀行和社交媒體帳戶，驗證器應用程式已是非常強大的防禦，硬體金鑰是可選的而非必需的。真正從硬體金鑰中受益的風險狀況是被攻擊者特定針對的人——而非面臨影響大多數人的大規模自動憑證填充攻擊的人。儘管如此，硬體金鑰足夠簡單，可以每天使用，因此使用它們並沒有真正的代價，只有好處。
對於香港企業，將硬體金鑰作為員工的 2FA 標準——特別是用於電子郵件、雲服務和 VPN 存取——可以消除釣魚攻擊作為企業帳戶入侵的向量。每位員工的硬體金鑰成本與一次成功的商業電子郵件入侵事件的代價相比微不足道。挑戰在於後勤：員工需要實體金鑰，需要登記備份金鑰，IT 還需要為遺失或忘記攜帶金鑰的員工制定流程。有了良好的規劃，這些挑戰是可以應對的，而安全效益是顯著的。
