Bezbednosni ključ: poslednja odbrana kad ti ukradu sesiju

Iskren vodič · oko 7 minuta čitanja

Dvofaktorska zaštita je godinama bila dovoljna: lozinka plus kod sa telefona. Danas nije. Ne zato što je kod slab, nego zato što napad više ne ide na kod - ide na sesiju koja je već otvorena. A kada se sesija ukrade, lozinka i kod su irelevantni, jer se ne prijavljuješ ponovo: ulaziš unutra kao da si ti.

Fizički bezbednosni ključ je jedina široko dostupna metoda koja to zaustavlja. Ali nije magija, ima cenu i ima situacije u kojima ne pomaže. Ovaj vodič je o tome.

Šta ključ stvarno jeste

To je mali uređaj u koji se ubode ili koji se prislanja na telefon. Unutra je čip koji čuva privatni ključ - i taj ključ fizički ne može da izađe iz njega. Računar šalje zahtev, ključ potpisuje, sajt proverava potpis. Lozinka se ne šalje nigde, kod se ne kuca, ništa što može da se prepiše ne postoji.

Standard se zove FIDO2, a ista tehnologija stoji i iza „passkey" opcija koje danas nude Google, Apple i Microsoft. Razlika je u tome gde ključ živi: kod passkey-a u procesoru telefona ili računara, kod fizičkog ključa u komadu plastike koji držiš u ruci i koji možeš da zaključaš u fioku.

Zašto kod iz SMS-a i aplikacije više nije dovoljan

• Phishing posrednik (AiTM) - lažna stranica za prijavu stoji između tebe i pravog sajta. Ti ukucaš lozinku i kod, on ih prosledi pravom sajtu, prijava uspe, a napadač dobije kolačić sesije i nastavi da bude prijavljen. Kod je bio ispravan - samo je otišao na pogrešno mesto.
• Krađa sesije zlonamernim programom - infostealer na računaru pokupi sačuvane lozinke i aktivne sesije iz pregledača. SpyCloud je u izveštaju za 2026. objavio 8,6 milijardi ukradenih kolačića i sesija u jednoj godini.
• Microsoft u izveštaju o digitalnoj odbrani za 2025. pripisuje oko 80% zaobilaženja dvofaktorske zaštite krađi tokena sesije preko posredničkog phishinga.
• SMS ima i sopstveni problem - SIM swap, gde napadač prebaci tvoj broj na svoju karticu i dobija kodove.

Zato se matematički menja slika kada se pređe na ključ: Microsoft navodi da phishing-rezistentna zaštita blokira preko 99% napada na identitete, a NIST je u verziji SP 800-63-4 iz 2025. traži takvu zaštitu na najvišim nivoima pouzdanosti. Razlog je jednostavan - ključ potpisuje samo za tačan domen. Na lažnoj stranici koja izgleda identično, ali je na drugom domenu, ključ odbija da potpiše. Nema šta da se prosledi.

Šta ključ rešava - a šta ne

• Zaustavlja phishing u realnom vremenu - i onaj koji bi inače prošao pored koda iz aplikacije
• Nema tajni na računaru - nema lozinke u pregledaču koju program može da pokupi za buduće prijave
• Radi i bez telefona i bez interneta na samom ključu - nema baterije, nema aplikacije, nema ažuriranja
• Ne štiti sesiju koja je već ukradena - ako je kolačić otišao pre nego što si prešao na ključ, ključ to ne poništava; rešenje je odjava svih sesija, i to je prvo što se radi
• Ne pomaže ako servis dozvoljava slabiju rezervnu prijavu - ako je SMS i dalje moguć kao „zaboravio sam ključ", napadač bira taj put
• Ne podržava svaki servis - banke u Srbiji, eUprava i domaći portali uglavnom nemaju FIDO2; proveri pre kupovine gde ćeš ga stvarno koristiti
• Gubi se i lomi - i tada si zaključan iz svih naloga odjednom, ako nemaš drugi ključ

Koji model uzeti

Postoje dve porodice, i razlika je u tome šta sve ključ ume osim prijave na sajtove.

• Sigurnosni ključ (Security Key, FIDO2 samo) - 4.500 do 4.800 dinara u srpskim prodavnicama, a 29 dolara na globalnom tržištu. Radi passkey i prijavu na sajtove, ništa više. Za većinu ljudi ovo je dovoljno.
• YubiKey 5 NFC / 5C NFC - oko 8.350 dinara kod nas, 58 dolara u svetu. Dodaje jednokratne kodove, PIV (za prijavu na računar i potpisivanje), OpenPGP i TOTP slotove - dakle menja i Google Authenticator. Drži do 100 passkey-a na firmveru 5.7 i novijem (stariji modeli 25).
• YubiKey 5C (9.360) i 5C Nano (9.792) - ista elektronika, drugi oblik. 5C nema NFC, pa nema ni prislanjanja na telefon. Nano je napravljen da ostane u USB portu i ne smeta.
• YubiKey 5Ci (12.240) - USB-C i Lightning, za starije iPhone modele; NFC mu nedostaje.
• YubiKey Bio - dodatak otiska prsta umesto dodira; skuplji i bez NFC-a, nema ga u redovnoj srpskoj ponudi.
• Alternative - Google Titan (od 30 dolara, do 250 passkey slotova) i Token2 rade isti FIDO2 posao za manje novca, ali ih je u Srbiji teže naći u radnji.

Praktična preporuka: USB-C ako je računar noviji i telefon ima NFC, USB-A ako je stariji desktop. Ako se dvoumiš, 5C NFC pokriva oba sveta jer radi i preko kabla i preko prislanjanja.

Dva ključa, ne jedan

Ovo je deo koji ljudi preskoče i posle zažale. Ključ je jedini predmet u tvojoj digitalnoj bezbednosti koji može da se izgubi u autobusu. Zato se kupuju dva: jedan koji nosiš i jedan koji stoji kod kuće. Oba se registruju na isti nalog, jedan za drugim, u istoj sesiji.

Bez rezervnog ključa, gubitak znači prolazak kroz proceduru oporavka kod svakog servisa pojedinačno - a upravo te procedure su najslabija tačka cele priče. Ako servis dopušta oporavak preko SMS-a, napadač će pre izabrati taj put nego da razbija ključ.

Gde kupiti u Srbiji

• Domaće prodavnice (yubico.rs, smartkey.rs i slične) - cena je viša nego u svetu, ali nema carine, dostava je brza i garancija se ostvaruje ovde
• Amazon.de - oko 58 dolara za 5C NFC, ali na to idu dostava i uvozne dažbine; isplati se samo za više komada odjednom
• Kod nas se u redovnoj ponudi najčešće nalaze 5 NFC, 5C NFC, Sigurnosni ključ C NFC i 5Ci; ostale modele treba tražiti

Postavljanje, u pet koraka

• Prvo i najvažnije: prijavi se na mejl, pa na njega veži ključ. Mejl je glavni ključ za sve ostalo, jer preko njega ide oporavak svih drugih naloga
• Zatim nalog za koji ti je najviše stalo - Google, Apple ili Microsoft, pa društvene mreže, pa poslovni alati
• Odmah dodaj i drugi ključ, dok si još u podešavanjima; ako servis traži da imenuješ ključeve, imenuj ih „glavni" i „rezervni"
• Zapiši gde ti je rezervni ključ - bukvalno, na papir ili u menadžer lozinki, jer to je jedina stvar koju ćeš zaboraviti
• Ukloni slabije metode gde servis to dopušta: SMS i kod iz aplikacije. Dok god postoje kao opcija, postoje i kao rupa

Da li VAM treba?

• Verovatno ne, ako: nemaš menadžer lozinki, koristiš istu lozinku svuda i ne znaš gde ti je mejl vezan - prvo to reši, jer ključ na loše postavljenim temeljima ne vredi
• Vredi, ako: ti je mejl centar svega (banke, država, posao, društvene mreže), ako se baviš nečim što ne bi smelo da procuri, ili ako si jednostavno meta jer ti je ime javno
• Obavezno, ako: si vlasnik domena, administrator naloga ili firme - tu jedan ukraden nalog znači sve ostale

Ako te zanima i druga strana iste priče - šta štiti saobraćaj, a šta nalog - tu je vodič o VPN-u u Srbiji.

Transparencija: u našem katalogu deo linkova ka prodavnicama jesu partner linkovi i jasno su označeni - ako kupiš preko njih, zaradimo malu proviziju, a tebi ne košta ni dinar više. Mišljenja su naša, a mane uvek napisane. Cene su orijentacione, proverene u oktobru 2026.