Лучшие ключи безопасности для защиты Google-аккаунта

Почему аппаратный ключ — это единственная надёжная защита от фишинга

SMS-коды и приложения-аутентификаторы давно стали нормой двухэтапной проверки, но у них есть фундаментальный недостаток: они не проверяют, на каком именно сайте вы вводите код. Фишинговая страница, выглядящая точь-в-точь как google.com, перехватит ваш TOTP-код так же легко, как и настоящий Google. Аппаратные ключи безопасности работают иначе — на протокольном уровне они криптографически проверяют домен, к которому вы подключаетесь, и просто не ответят на поддельной странице1.

Google прямо подтверждает: когда компания перевела своих сотрудников на аппаратные ключи MFA, взломы аккаунтов фактически прекратились2. Любой ключ стандарта FIDO1 или FIDO2 можно использовать как второй шаг двухэтапной проверки Google-аккаунта, а для входа без пароля (через passkey) ключ должен поддерживать FIDO23.

Advanced Protection Program: когда одного ключа мало

Google Advanced Protection Program (APP) — бесплатная программа для тех, кто подвержен целенаправленным атакам: журналистов, активистов, руководителей компаний, сотрудников избирательных кампаний4. Для регистрации требуется минимум один passkey или FIDO-совместимый ключ, но Google настоятельно рекомендует добавить второй ключ в качестве резервного4. Доступные конфигурации: два passkey/ключа, один passkey + один ключ, или один ключ + параметры восстановления4.

Yubico подтверждает, что YubiKey работает с APP как раз в роли обязательного физического ключа6. Иными словами: если вы записываетесь в APP, вам нужны два ключа — основной и запасной. Это стоит учесть при выборе.

Как мы выбирали

Мы сравнили ключи по трём параметрам, которые реально влияют на защиту Google-аккаунта:

• Протоколы — FIDO2/WebAuthn достаточно для Google, но дополнительные протоколы (OTP, Smart Card, OpenPGP) расширяют совместимость с другими сервисами.
• Разъёмы — USB-C, USB-A и NFC определяют, с какими устройствами ключ работает. NFC важен для мобильных телефонов.
• Цена — поскольку APP рекомендует два ключа, бюджет имеет значение.

1. Yubico Security Key Series — лучший выбор для большинства

Если вам нужен один ключ для защиты Google-аккаунта и вы не хотите переплачивать за протоколы, которые не собираетесь использовать, — это он. Security Key Series поддерживает FIDO2, U2F и WebAuthn, работает через USB-C и NFC и вмещает до 100 passkeys2. PCMag присвоил ему звание Editors' Choice2.

Для Google-аккаунта этого достаточно с запасом: регистрация ключа в 2-Step Verification, создание passkey для входа без пароля, использование в Advanced Protection Program3. Ключ не поддерживает OTP, Smart Card и OpenPGP — но для большинства пользователей эти протоколы просто не нужны.

Вердикт: Лучшее соотношение цены и возможностей для защиты Google-аккаунта. Купите два — и вы закроете требование APP.

2. Yubico YubiKey 5 Series — для продвинутых и enterprise

YubiKey 5 Series — флагманская линейка Yubico с поддержкой FIDO2, OTP, Smart Card, OpenPGP и PIV1. Более 700 интеграций с различными сервисами1. Цена варьируется от $50 до $80 в зависимости от форм-фактора (USB-A, USB-C, NFC)1. PCMag отмечает модель YubiKey 5C NFC по цене около $58 как мультипротокольную2.

Если помимо Google вы используете SSH-ключи, корпоративные смарт-карты, PGP-шифрование или вход в десятки разных сервисов — YubiKey 5 заменит несколько отдельных устройств. Для защиты только Google-аккаунта это избыточно, но как универсальный ключ на годы вперёд — оправдан.

Вердикт: Самый универсальный ключ на рынке. Выбирайте, если нужен выход за пределы Google.

3. Yubico YubiKey Bio Series — биометрический вход без пароля

YubiKey Bio — первый ключ Yubico со встроенным сканером отпечатков пальцев1. Вместо ввода PIN при касании ключа вы прикладываете палец — и вход завершён. Цена $80–100, поддерживает FIDO2 и U2F, хранит до пяти отпечатков1. PCMag отмечает модель YubiKey C Bio по цене около $982.

Для Google-аккаунта Bio работает как любой другой FIDO2-ключ: регистрируется в 2-Step Verification, создаёт passkey. Биометрия добавляет удобство, но не меняет уровень безопасности — криптографическая проверка домена остаётся той же. Это выбор для тех, кто часто входит в аккаунт с разных устройств и устал касаться ключа и вводить PIN.

Вердикт: Максимальное удобство passwordless-входа. Премиум-цена за биометрию.

4. Kensington VeriMark NFC+ — plug-and-play с Windows Hello

Kensington VeriMark NFC+ стоит $50–55 и поддерживает FIDO CTAP2.1, Smart Card (PIV), NFC и USB-C2. Главное преимущество — глубокая интеграция с Windows Hello for Business: ключ работает сразу после подключения, без установки драйверов2.

Для Google-аккаунта VeriMark NFC+ полностью совместим: FIDO CTAP2.1 — это актуальная версия стандарта, поддерживаемая Google3. Если вы работаете в среде Windows и хотите один ключ для входа в Google и для Windows Hello — это разумный выбор. По протоколам он уступает YubiKey 5 (нет OTP, OpenPGP), но для типичного корпоративного сценария достаточен.

Вердикт: Лучший ключ для экосистемы Windows. Plug-and-play без лишних настроек.

5. Thetis Pro Series NFC — бюджетный резервный ключ

Thetis Pro Series NFC — самый доступный FIDO2-ключ в обзоре: $19–251. Поддерживает FIDO2 и U2F, работает через USB-C, USB-A и NFC1. Никаких дополнительных протоколов — только базовый набор для двухфакторной аутентификации.

Именно поэтому Thetis идеален в роли резервного ключа. Google APP рекомендует два ключа4, и если ваш основной — Yubico Security Key или YubiKey 5, то Thetis закроет роль запасного за минимальные деньги. Потеряли основной ключ? Thetis разблокирует аккаунт. Едет в командировку? Thetis лежит в чемодане как страховка.

Вердикт: Недорогой, но надёжный бэкап. Именно то, что просит APP.

Сравнение ключей

Что в итоге

Для большинства пользователей ответ прост: Yubico Security Key Series за $29 — это всё, что нужно для надёжной защиты Google-аккаунта. Добавьте Thetis Pro за $19–25 в качестве резервного — и вы выполните рекомендацию APP с минимальными затратами. Если вы корпоративный пользователь или управляете десятками сервисов, YubiKey 5 окупит свою цену универсальностью. А тем, кто хочет забыть про пароли и PIN, подойдёт YubiKey Bio — за премию в $80–100.

Рекомate может получать комиссию за покупки по ссылкам в этом обзоре. Это не влияет на наши оценки — мы рекомендуем только то, что действительно стоит купить.

Хотите уточнение, которого нет в статье? Спросите движок — он держит контекст статьи.