Аппаратные кошельки, которые работают как ключ безопасности

Trezor Safe 3, Trezor Safe 5 и Trezor Safe 7 с прошивкой Universal, перечисленные ниже модели Ledger и OneKey Pro поддерживают FIDO2 и U2F. OneKey Classic 1S поддерживает оба протокола с универсальной прошивкой (Universal). Для OneKey Classic 1S Pure Multi, BitBox02 Multi, BitBox02 Nova Multi и Passport Prime документирована поддержка U2F. При этом конкретное устройство должно отвечать требованиям вашего сервиса.

Фильтр каталога учитывает проверенные записи о протоколах для точной версии устройства. Отсутствие записи означает, что мы не подтвердили функцию, а не то, что кошелёк её не поддерживает. Возможность проводить криптовалютные транзакции с телефона или по Bluetooth не подтверждает возможность входить на сайты.

Кошельки с документированным входом по FIDO2 

Кошельки с любой документированной функцией ключа безопасности 

Для входа без пароля с ключом доступа (passkey) начните с FIDO2 и проверьте требования сервиса. Если ключ нужен как второй шаг после пароля, сервис может принимать FIDO2, U2F или оба протокола.

Если в настройках аккаунта написано только «ключ безопасности» или «WebAuthn», перед выбором фильтра по протоколу прочитайте требования сервиса к ключам. Одних этих названий недостаточно, чтобы понять, хватит ли U2F. Некоторые сервисы требуют ключи доступа, хранящиеся на самом ключе безопасности, — их называют резидентными, или обнаруживаемыми, учётными данными.

• FIDO Alliance: что такое ключи доступа Как работают ключи доступа и где они могут храниться

Используйте указанные ниже версию устройства и прошивку. Зарегистрируйте устройство отдельно на каждом сайте: обычная настройка криптокошелька не регистрирует его как ключ безопасности. Текущее приложение Security Key от Ledger не поддерживает резидентные, или обнаруживаемые, учётные данные — ключи доступа, хранящиеся на самом ключе безопасности.

Прошивка Bitcoin-only у Trezor не поддерживает FIDO2 и U2F. BitBox документирует функцию для версий Multi. Для входа по USB на Classic 1S нужна универсальная прошивка (Universal); в прошивке Bitcoin-only 3.20.0 эта функция отключена. Для остальных версий Bitcoin-only у OneKey мы её не подтвердили.

У вас уже есть модель, снятая с продажи? Trezor Model T поддерживает FIDO2 и U2F, а Trezor Model One — только U2F; для обоих нужна прошивка Universal. Ledger Nano S по-прежнему указан среди устройств для приложения Security Key: требуется ОС 2.1.0 или новее, подключение — по USB, вход с iPhone недоступен. Это варианты для нынешних владельцев, а не рекомендации к покупке.

Ledger рекомендует актуальную версию ОС устройства. Если раньше вы зарегистрировали ключ через отдельное приложение Ledger FIDO U2F, для Security Key потребуется новая регистрация: данные для входа из старого приложения несовместимы с новым.

Trezor Safe 3: факты о ключе безопасности и их источники 

Ledger Nano S Plus: условия работы приложения Security Key 

OneKey Classic 1S: требование к прошивке 

Passport Prime: приложение Keys и требования для U2F 

Официальные инструкции и совместимость

• Trezor: регистрация ключа безопасности Пример регистрации в Google и восстановление данных для входа
• Ledger: совместимость приложения Security Key Поддерживаемые устройства, браузеры, NFC и восстановление данных для входа
• OneKey: регистрация ключа безопасности Регистрация по USB и поддерживаемые модели
• BitBox02: регистрация ключа безопасности U2F Инструкция для исходного BitBox02 Multi
• Foundation: использование Prime как ключа безопасности U2F Приложение Keys, регистрация в сервисе, USB на компьютере и NFC на телефоне

В документации описан вход с компьютера по USB. С телефонами нужно разобраться отдельно: обычное приложение и подключение кошелька для криптовалютных операций не определяют, как работает его функция ключа безопасности.

Требования Ledger для Android включают системное обновление Google Play от 1 марта 2024 года или новее; Firefox не поддерживается. В общей таблице совместимости WebAuthn у OneKey указаны Android 7 или новее с Chrome и iOS 14.5 или новее с несколькими браузерами, но пример регистрации показан на компьютере. Одной этой таблицы недостаточно, чтобы подтвердить подключение конкретного OneKey к телефону через кабель или переходник.

Вход по Bluetooth для этих кошельков не документирован. Используйте описанное производителем подключение по USB или NFC; для входа с Nova способ подключения пока не подтверждён. Foundation описывает NFC для Prime на телефоне, но не указывает поддерживаемые операционные системы и браузеры.

Восстановит ли резервная копия кошелька вход на сайты, зависит от производителя и типа зарегистрированных учётных данных.

Продумать восстановление самого криптокошелька 

Prime: восстановление кошелька и отдельная копия данных устройства 

Используйте уже имеющийся кошелёк для редкого входа на сайты, если аккаунт принимает его протокол и вы можете подключить устройство описанным производителем способом. Для ежедневного входа отдельный ключ FIDO2 обычно удобнее: его можно носить с собой, оставив криптокошелёк в месте хранения.

Если главное для вас — вход с телефона, выбирайте отдельный ключ с проверенным подключением к телефону. Он пригодится и в том случае, если вы хотите зарегистрировать в аккаунтах второй физический ключ. Сверьте его возможности с требованиями сервиса, как и для кошелька: одной маркировки FIDO2 недостаточно. Покупка аппаратного кошелька только ради входа на сайты обычно добавляет лишнюю настройку и неудобства при повседневном использовании.

Что проверять при подключении криптокошелька и запросах подписи 

Начните с одного аккаунта, который хотите защитить. Прежде чем полагаться на устройство и запасной способ входа, проверьте их.

Отфильтровать каталог по FIDO2 

Кошельки с любой документированной функцией ключа безопасности 

Если вам ещё предстоит выбрать сам кошелёк