YubiKey

YubiKey es una colección de dispositivos de autenticación de hardware fabricados por Yubico AB ( Nasdaq Estocolmo : YUBICO), una empresa fundada en 2007 por Jakob y Stina Ehrensvärd y con sede en Estocolmo , Suecia , con una subdivisión estadounidense constituida en Santa Clara , California . ^{[ 1 ] [ 2 ]}

A partir de marzo de 2026, la gama YubiKey incluye varios dispositivos compatibles con el estándar de autenticación FIDO2 , disponibles en diferentes tamaños y formatos de interfaz. La serie insignia YubiKey 5 también es compatible con otros estándares del sector, como OATH , PIV y OpenPGP , además de un applet propietario de OTP con diversas funciones. Yubico también ofrece un módulo de seguridad de hardware , el YubiHSM 2. Tanto la serie YubiKey 5 como el YubiHSM 2 cuentan con versiones certificadas según la norma FIPS 140-2 para clientes gubernamentales o empresariales sujetos a requisitos normativos.

Las YubiKeys se pueden usar para autenticar el acceso a sitios web, aplicaciones, sistemas operativos, servidores remotos, redes y otros entornos. Algunos productos YubiKey también admiten el cifrado/descifrado (de archivos o mensajes) y la firma digital . El nombre "YubiKey" deriva de la frase "tu llave ubicua" y "yubi", la palabra japonesa para dedo, lo que enfatiza la versatilidad de la YubiKey y el contacto físico utilizado para verificar la presencia del usuario. ^{[ 3 ]}

Yubico se fundó en 2007 y comenzó a ofrecer una Pilot Box para desarrolladores en noviembre de ese año. ^{[ 4 ]} El producto YubiKey original se mostró en la conferencia anual RSA en abril de 2008, ^{[ 5 ] [ 6 ]} y un modelo más robusto, YubiKey 2.0, se lanzó en 2009. ^{[ 7 ] [ 8 ]} El YubiKey 2.0 agregó dos "ranuras" para almacenar dos configuraciones distintas con secretos AES separados y otras configuraciones. Al autenticarse, la primera ranura se usa presionando brevemente el botón del dispositivo, mientras que la segunda ranura se usa manteniendo presionado el botón de 2 a 5 segundos.

En 2010, Yubico comenzó a ofrecer los modelos YubiKey OATH y YubiKey RFID . El YubiKey OATH añadió la capacidad de generar contraseñas OATH de 6 y 8 caracteres, además de las contraseñas de 32 caracteres utilizadas por el esquema OTP propio de Yubico . ^{[ 7 ]} El modelo YubiKey RFID incluía la capacidad OATH y también un chip de identificación por radiofrecuencia MIFARE Classic 1k , ^{[ 9 ]} aunque este era un dispositivo separado dentro del paquete que no se podía configurar con el software normal de Yubico a través de una conexión USB. ^{[ 10 ]}

Yubico anunció la YubiKey Nano en febrero de 2012, una versión miniaturizada de la YubiKey estándar diseñada para que cupiera casi por completo dentro de un puerto USB y solo dejara al descubierto un pequeño panel táctil para el botón. ^{[ 11 ]} La mayoría de los modelos posteriores de la YubiKey también han estado disponibles en tamaños estándar y "nano".

En 2012 también se presentó el YubiKey Neo, que mejoró el producto RFID YubiKey anterior al integrar la comunicación de campo cercano (NFC). ^{[ 12 ]} El YubiKey Neo (y Neo-n, una versión "nano" del dispositivo) podía transmitir contraseñas de un solo uso a lectores NFC como parte de una URL configurable contenida en un mensaje NFC. El Neo también podía comunicarse utilizando el protocolo de tarjeta inteligente CCID , además de la emulación de teclado USB HID ( dispositivo de interfaz humana ). El modo CCID se utiliza para la tarjeta inteligente PIV y la compatibilidad con OpenPGP , mientras que USB HID se utiliza para los esquemas de autenticación de contraseña de un solo uso. ^{[ 13 ]}

En 2014, la YubiKey Neo se actualizó con soporte para FIDO Universal 2nd Factor (U2F). ^{[ 14 ]} Yubico, Google y NXP Semiconductors desarrollaron conjuntamente el estándar FIDO U2F. ^{[ 15 ]} Más tarde ese año, Yubico lanzó la "FIDO U2F Security Key", que incluía específicamente soporte para U2F pero ninguna de las otras funciones de contraseña de un solo uso, contraseña estática, tarjeta inteligente o NFC de las YubiKeys anteriores. ^{[ 16 ]} En su lanzamiento, se vendió a un precio más bajo de solo $18, en comparación con los $25 de la YubiKey Standard ($40 para la versión Nano) y los $50 de la YubiKey Neo ($60 para Neo-n). ^{[ 17 ]} Algunos de los dispositivos de prelanzamiento emitidos por Google durante el desarrollo de FIDO/U2F se identificaron como "Yubico WinUSB Gnubby (gnubby1)". ^{[ 18 ]}

En abril de 2015, la compañía lanzó el YubiKey Edge en formatos estándar y nano. Este se ubicaba entre los productos Neo y FIDO U2F en cuanto a características, ya que estaba diseñado para manejar la autenticación OTP y U2F, pero no incluía soporte para tarjetas inteligentes ni NFC. ^{[ 19 ]} La familia de dispositivos YubiKey 4 se lanzó por primera vez en noviembre de 2015, con modelos USB-A en tamaños estándar y nano. El YubiKey 4 incluye la mayoría de las características del YubiKey Neo, incluido el aumento del tamaño de clave OpenPGP permitido a 4096 bits (en comparación con los 2048 anteriores), pero eliminó la capacidad NFC del Neo.

En CES 2017 , Yubico anunció una expansión de la serie YubiKey 4 para admitir un nuevo diseño USB-C . La YubiKey 4C se lanzó el 13 de febrero de 2017. ^{[ 20 ]} En el sistema operativo Android a través de la conexión USB-C, solo la función de contraseña de un solo uso es compatible con Android y YubiKey, y otras funciones no son compatibles actualmente, incluido el segundo factor universal (U2F). ^{[ 21 ]} Una versión 4C Nano estuvo disponible en septiembre de 2017. ^{[ 22 ]}

En abril de 2018, Yubico lanzó un nuevo producto llamado Security Key (nombre que ya se había utilizado para la FIDO U2F Security Key de 2014); este fue su primer dispositivo en implementar los nuevos protocolos de autenticación FIDO2 , WebAuthn (que alcanzó el estatus de Recomendación Candidata del W3C en marzo ^{[ 23 ]} ) y el Protocolo de Autenticador de Cliente (CTAP). El dispositivo solo estaba disponible en el formato estándar con conector USB-A. Al igual que la anterior FIDO U2F Security Key, utilizaba un icono de llave en su sensor táctil. En su lanzamiento, era de color azul, como la anterior FIDO U2F Security Key, y se distinguía por un número "2" grabado en el plástico entre el sensor táctil y el orificio para el llavero. También era más económico que los modelos YubiKey Neo y YubiKey 4, con un precio de 20 dólares por unidad en su lanzamiento, ya que carecía de las funciones de OTP y tarjeta inteligente de esos dispositivos anteriores, aunque conservaba la capacidad FIDO U2F. ^{[ 24 ]}

Entre 2021 y 2023, Yubico fue adaptando progresivamente la estética de la serie Security Key a la de la serie YubiKey 5: en 2021, el icono del sensor táctil cambió de la llave al logotipo "y" para el lanzamiento de la Security Key C NFC en 2021 (un cambio que también se aplicó a la Security Key NFC anterior en mayo de 2022), y en 2023, el color cambió de azul a negro. Las versiones sin NFC también se retiraron, y la parte "NFC" del nombre Security Key NFC se volvió menos prominente. ^{[ 25 ]}

A partir de marzo de 2026, el producto estrella ^{[ 26 ]} es la serie YubiKey 5, lanzada por primera vez en 2018, ^{[ 25 ]} que viene en varios tamaños y formatos de interfaz ( USB-A con NFC , USB-C con o sin NFC y USB-C + Lightning ) ^{[ 27 ]} y se puede utilizar para una amplia gama de tareas criptográficas, incluida la autenticación (para el acceso a sitios web, aplicaciones, sistemas operativos, servidores remotos, redes, etc.), cifrado/descifrado y firma digital . ^{[ 28 ]} Lo logra al alojar múltiples " applets " con ranuras/direcciones de memoria en su hardware seguro y a prueba de manipulaciones , y la mayoría de los applets se basan en un estándar industrial ampliamente extendido y multiplataforma. ^{[ 29 ]} Los applets y sus protocolos son comprendidos y se puede interactuar con ellos utilizando una amplia variedad de software, que va desde aplicaciones de Yubico hasta software de terceros, navegadores web y sistemas operativos, aunque algunas tareas administrativas solo se pueden realizar con herramientas de Yubico. ^{[ 30 ]}

El applet FIDO2 (a veces denominado FIDO2/ WebAuthn , ^{[ 31 ]} siendo WebAuthn el estándar de implementación del navegador/sistema operativo) puede almacenar claves de acceso para la autenticación sin contraseña mediante el protocolo CTAP2 o la autenticación de dos factores (2FA) mediante el protocolo CTAP1 (anteriormente U2F ). ^{[ 32 ]} El applet OATH puede almacenar semillas para contraseñas de un solo uso basadas en el tiempo (TOTP) o contraseñas de un solo uso basadas en HMAC (HOTP). La serie YubiKey 5 también tiene un applet PIV (un estándar de tarjeta inteligente ) y un applet OpenPGP , cada uno con amplias aplicaciones desde la autenticación hasta el cifrado y la firma de mensajes y archivos. También hay un applet propietario heredado llamado "OTP" con dos ranuras, cada una de las cuales se puede programar para almacenar una contraseña de un solo uso siguiendo un formato propietario ("Yubico OTP", que las plataformas verifican usando los servidores "YubiCloud" de Yubico ^{[ 33 ]} ), una contraseña estática elegida por el usuario, un secreto aleatorio o elegido por el usuario para el desafío-respuesta HMAC o un OATH HOTP. Este applet hace que la YubiKey funcione como un USB HID (similar a un teclado) para ingresar el contenido de la ranura "OTP" con una pulsación corta (ranura 1) o una pulsación larga (ranura 2) del sensor táctil de la YubiKey (a menos que se use el desafío-respuesta en la ranura dada). Esta funcionalidad USB HID no se aplica a los otros applets. ^{[ 30 ]} Un "Yubico OTP" está programado de fábrica en la ranura 1 de la YubiKey 5; El usuario puede regenerarlo o sobrescribir la ranura para un uso diferente, pero cualquier OTP de Yubico generado por el usuario tendrá un prefijo diferente ("vv" en lugar de "cc"). ^{[ 34 ]}

La gama de productos a partir de marzo de 2026 también incluye los siguientes productos.

La serie de llaves de seguridad YubiKey es una oferta más económica y "simplificada" ^{[ 26 ]} que solo contiene el applet FIDO2, no contiene un número de serie (para evitar el rastreo) y no tiene una versión nano o sin NFC. ^{[ 35 ]}

Yubico también ofrece una "Edición Empresarial" de la Serie de Llaves de Seguridad, disponible en el plan de suscripción "Yubikey como Servicio"; estas conservan el número de serie para permitir el seguimiento de activos (como vincular una Llave de Seguridad a un empleado específico) e incluyen otras mejoras menores en la seguridad, como requisitos y aplicación más estrictos del PIN. ^{[ 36 ] [ 37 ]}

La serie YubiKey Bio es otra opción que admite autenticación biométrica mediante su sensor de huellas dactilares. Esta serie no cuenta con una versión nano ni NFC. ^{[ 35 ]}

La serie estándar YubiKey Bio (conocida como "Edición FIDO" ^{[ 38 ]} ) solo admite FIDO2, pero en 2024, Yubico anunció una "Edición multiprotocolo" que también admite PIV, disponible para clientes empresariales en la suscripción YubiEnterprise. ^{[ 39 ] [ 40 ]}

Yubico también ofrece el YubiHSM 2, un módulo de seguridad de hardware para generar y almacenar claves criptográficas maestras para servidores . ^{[ 41 ]}

Yubico ofrece una versión de la serie YubiKey 5 con certificación FIPS 140-2 para clientes gubernamentales y empresariales sujetos a regulaciones que requieren una certificación rigurosa. ^{[ 35 ]} En noviembre de 2024, Yubico anunció que la serie YubiKey 5 FIPS estaba en proceso de certificación según el nuevo estándar FIPS 140-3 . ^{[ 42 ]}

El YubiHSM 2 también tiene una versión con certificación FIPS 140-2. ^{[ 41 ]}

Yubico había ofrecido anteriormente versiones con certificación CSPN de la serie YubiKey 5 para los mercados europeos (CSPN es una certificación ANSSI ), pero estas se descontinuaron en 2024 debido a la limitada demanda. ^{[ 43 ]}

Lista de las principales características y capacidades de los productos YubiKey. ^{[ 25 ] [ 44 ] [ 45 ] [ 46 ] [ 47 ]}

Cuando se utiliza para contraseñas de un solo uso y contraseñas estáticas almacenadas, la YubiKey emite caracteres utilizando un alfabeto hexadecimal modificado que está diseñado para ser lo más independiente posible de la configuración del teclado del sistema. Este alfabeto, inventado por Yubico específicamente para esta aplicación, ^{[ 30 ]} se denomina Modhex (a veces escrito "ModHex" ^{[ 48 ]} o "modhex" ^{[ 49 ]} ) y consta de los caracteres "cbdefghijklnrtuv", que corresponden a los dígitos hexadecimales "0123456789abcdef". ^{[ 50 ]}

Dado que las YubiKeys utilizan códigos de escaneo de teclado sin procesar en modo USB HID, pueden surgir problemas al usar los dispositivos en ordenadores con diferentes distribuciones de teclado, como Dvorak . Modhex se creó para evitar conflictos entre distintas distribuciones de teclado. Solo utiliza caracteres que se encuentran en la misma posición en la mayoría de los teclados con alfabeto latino, pero aun así consta de 16 caracteres, lo que permite usarlo en lugar de hexadecimal. ^{[ 48 ]} Como alternativa, este problema puede solucionarse utilizando las funciones del sistema operativo para cambiar temporalmente a una distribución de teclado estándar estadounidense (o similar) al usar contraseñas de un solo uso. Sin embargo, los dispositivos YubiKey Neo y posteriores pueden configurarse con códigos de escaneo alternativos para que coincidan con distribuciones que no son compatibles con el conjunto de caracteres Modhex. ^{[ 51 ]}

Este problema solo afecta a los productos YubiKey en modo HID, donde deben emular la entrada del teclado. La autenticación U2F en los productos YubiKey evita este problema mediante el uso del protocolo alternativo U2FHID, que envía y recibe mensajes binarios sin procesar en lugar de códigos de escaneo del teclado. ^{[ 52 ]} El modo CCID funciona como un lector de tarjetas inteligentes, que no utiliza protocolos HID en absoluto.

La mayor parte del código que se ejecuta en una YubiKey es de código cerrado. Si bien Yubico ha publicado parte del código para funcionalidades estándar de la industria como OpenPGP y HOTP, se reveló que, a partir de la cuarta generación del producto, este no es el mismo código con el que se envían las nuevas unidades. ^{[ 53 ] [ 54 ]} Debido a que las nuevas unidades están permanentemente bloqueadas por firmware en la fábrica, no es posible compilar el código de código abierto y cargarlo en el dispositivo manualmente; el usuario debe confiar en que el código de una nueva llave sea auténtico y seguro.

El código para otras funcionalidades, como U2F, PIV y Modhex, es completamente de código cerrado.

El 16 de mayo de 2016, el CTO de Yubico, Jakob Ehrensvärd, respondió a las preocupaciones de la comunidad de código abierto con una publicación en su blog diciendo que "nosotros, como empresa de productos, hemos tomado una postura clara en contra de las implementaciones basadas en componentes comerciales y creemos además que algo como un controlador AVR o ARM de grado comercial no es apto para ser utilizado en un producto de seguridad". ^{[ 55 ]}

Mike Masnick, fundador de Techdirt, criticó duramente esta decisión, afirmando: «El cifrado es complejo. Casi siempre existen vulnerabilidades y errores, un punto que hemos recalcado últimamente. Pero la mejor manera de solucionarlos suele ser que el código sea revisado por la mayor cantidad posible de expertos. Y eso no es posible cuando se trata de código cerrado». ^{[ 56 ]}

En octubre de 2017, investigadores de seguridad descubrieron una vulnerabilidad (conocida como ROCA ) en la implementación de la generación de pares de claves RSA en una biblioteca criptográfica utilizada por un gran número de chips de seguridad de Infineon , presentes en una amplia gama de productos de claves y tokens de seguridad (incluido YubiKey). Esta vulnerabilidad permite a un atacante reconstruir la clave privada utilizando la clave pública. ^{[ 57 ] [ 58 ]} Todos los dispositivos YubiKey 4, YubiKey 4C y YubiKey 4 Nano con revisiones de la 4.2.6 a la 4.3.4 se vieron afectados por esta vulnerabilidad. ^{[ 59 ]} Yubico solucionó este problema en todos los dispositivos YubiKey 4 comercializados cambiando a una función de generación de claves diferente y ofreció reemplazos gratuitos para las claves afectadas hasta el 31 de marzo de 2019. En algunos casos, el problema podía evitarse generando nuevas claves fuera del YubiKey e importándolas al dispositivo. ^{[ 60 ]}

En enero de 2018, Yubico reveló una vulnerabilidad moderada que permitía eludir la protección por contraseña de la función OTP en la YubiKey NEO bajo ciertas condiciones. El problema se corrigió con la versión de firmware 3.5.0, y Yubico ofreció claves de reemplazo gratuitas a cualquier usuario que afirmara verse afectado hasta el 1 de abril de 2019. ^{[ 61 ]}

En junio de 2019, Yubico publicó un aviso de seguridad que informaba de una reducción de la aleatoriedad en los dispositivos con certificación FIPS con firmware versión 4.4.2 y 4.4.4 (no existe la versión 4.4.3), poco después del encendido. ^{[ 62 ]} Las claves de seguridad con aleatoriedad reducida pueden hacer que sean más fáciles de descubrir y comprometer de lo esperado. El problema afectó solo a la serie FIPS, y solo a ciertos escenarios, aunque el uso de FIPS ECDSA estaba "en mayor riesgo". La empresa ofreció reemplazos gratuitos para cualquier clave afectada.

En septiembre de 2024, investigadores de seguridad de NinjaLab descubrieron una vulnerabilidad criptográfica en los chips de Infineon que permitiría clonar una YubiKey si un atacante obtuviera acceso físico a ella. Esta vulnerabilidad afecta permanentemente a todas las YubiKeys anteriores a la actualización de firmware 5.7. Yubico calificó el problema como "moderado", citando la necesidad de que el atacante tuviera acceso físico a la llave, equipos costosos y conocimientos técnicos y criptográficos avanzados. ^{[ 63 ] [ 64 ] [ 65 ]}

En 2018, Yubico regaló YubiKeys con logotipos grabados con láser a los nuevos suscriptores de WIRED y Ars Technica . ^{[ 66 ]}

Yubico proporcionó 500 YubiKeys a los manifestantes durante las protestas de Hong Kong de 2019-2020 . La empresa declaró que la decisión se basó en su misión de proteger a los usuarios vulnerables de Internet y trabajar con los defensores de la libertad de expresión . ^{[ 67 ] [ 68 ]}

• Alianza FIDO
• Nitrokey
• Tarjeta OpenPGP

• Sitio web oficial