YubiKey non funziona oggi?

A proposito di YubiKey

Yubico nasce nel 2007 a Stoccolma per opera di Jakob e Stina Ehrensvärd — lui ingegnere elettronico, lei designer industriale — che mettono a punto il primo prototipo funzionante della YubiKey, presentata alla RSA Conference nell'aprile 2008 come autenticatore a tocco singolo e password monouso che non richiede né driver né software client: il dispositivo si presenta al computer come una comune tastiera USB. Dopo sedici anni alla guida dell'azienda, Stina Ehrensvärd è passata nel 2023 al ruolo di Chief Evangelist.

Il 20 settembre 2023 le azioni Yubico hanno iniziato a essere scambiate al Nasdaq First North Growth Market di Stoccolma con il simbolo YUBICO, attraverso una fusione con la holding svedese già quotata ACQ Bure invece di un'offerta pubblica iniziale tradizionale — nessuna nuova azione è stata emessa in quell'occasione. Il 5 dicembre 2024 il titolo è passato al listino principale di Nasdaq Stockholm, nel segmento Large Cap.

La YubiKey 5, la linea di punta dal 2018, combina più protocolli sullo stesso dispositivo fisico: FIDO2/WebAuthn per l'accesso senza password, OATH per i codici temporanei TOTP e HOTP, lo standard per smart card PIV usato in ambito governativo, OpenPGP per firma e cifratura, oltre a un applet proprietario più vecchio con due slot programmabili. Accanto alla serie 5 convivono la linea Security Key, solo FIDO2 e senza numero di serie a prezzo ridotto, la serie Bio con lettore di impronte digitali, e YubiHSM 2, un modulo hardware pensato per proteggere le chiavi crittografiche di un'infrastruttura invece dell'accesso di una singola persona; sul negozio ufficiale europeo i prezzi vanno da circa 35 euro per una Security Key fino a oltre 1.100 euro per un modulo YubiHSM certificato FIPS, con spedizione gratuita sopra i 100 euro per gli ordini nell'Unione europea.

Yubico ha contribuito con Google e NXP Semiconductors allo sviluppo dello standard aperto FIDO U2F, ma dal modello YubiKey 4 del 2015 il firmware dei dispositivi in vendita non è più open source: il codice pubblicato su alcuni repository copre le implementazioni di riferimento OpenPGP e HOTP, non il firmware realmente eseguito sulle chiavi prodotte, per cui nessun cliente può ricompilare o verificare in autonomia quello che gira sul proprio dispositivo.

Segnalazioni degli utenti

Ultimi disservizi noti di YubiKey

Episodi documentati da fonti pubbliche, dal più recente. Fonti verificate il 18 settembre 2026.

• 3 settembre 2024

  Yubico ha reso pubblica una falla crittografica non correggibile via firmware sulle chiavi già in circolazione, ribattezzata EUCLEAK dai ricercatori che l'hanno segnalata: il problema riguarda un canale laterale nell'implementazione ECDSA della libreria crittografica fornita da Infineon, usata nei chip di YubiKey serie 5, 5 FIPS, Bio, Security Key e nei moduli YubiHSM 2 con firmware precedente rispettivamente alla versione 5.7 (5.7.2 per la serie Bio) e 2.4.0. Sfruttarla richiede il possesso fisico del dispositivo, apparecchiature specialistiche e, a seconda dell'uso configurato, la conoscenza di username, PIN o password dell'account preso di mira: Yubico ha classificato la gravità come «moderata», non ha offerto un programma di sostituzione delle chiavi già vendute e ha corretto il difetto solo nelle versioni successive, che non dipendono più dalla libreria Infineon.

  Fonte: Yubico, Security Advisory YSA-2024-03

• 13 giugno 2019firmware corretto entro il 30 aprile 2019, prima della pubblicazione dell'avviso

  Solo sulle YubiKey della serie FIPS con firmware 4.4.2 o 4.4.4, i primi valori casuali generati subito dopo l'accensione del dispositivo risultavano prevedibili: nelle firme ECDSA il nonce interno poteva avere fino a 80 dei suoi 256 bit fissi invece che casuali, un difetto che in teoria permette di risalire alla chiave privata osservando più firme deboli. Yubico ha ritirato la certificazione FIPS dal firmware colpito, corretto il problema nella versione 4.4.5 e avviato un programma di sostituzione delle chiavi già in mano ai clienti; i modelli non FIPS non erano interessati.

  Fonte: Yubico, Security Advisory YSA-2019-02

• 16 ottobre 2017firmware corretto dal 6 giugno 2017, prima ancora della pubblicazione dell'avviso

  Una debolezza nella libreria crittografica di Infineon usata dalle YubiKey 4 con firmware dalla 4.2.6 alla 4.3.4 rendeva più rapido del previsto calcolare la chiave privata RSA a partire da quella pubblica, per le sole funzioni PIV smart card e OpenPGP con chiavi RSA; la YubiKey NEO e la FIDO U2F Security Key non erano coinvolte. Yubico ha distribuito un firmware corretto già dal 6 giugno 2017 e ha aperto un portale dedicato per verificare se una chiave specifica fosse a rischio e ottenerne la sostituzione.

  Fonte: Yubico, Security Advisory YSA-2017-01

Da sapere su YubiKey

Una YubiKey colpita da EUCLEAK, dalla debolezza del 2019 o dalla falla del 2017 non si aggiorna da sola: a differenza di un'app, il firmware di una chiave già venduta non può essere corretto da remoto, quindi la sola difesa reale contro una vulnerabilità hardware è sostituire fisicamente il dispositivo — cosa che Yubico ha reso possibile solo per due delle tre falle elencate in questa scheda, non per EUCLEAK.

Yubico resta un'azienda quotata ma non è mai passata per un'offerta pubblica iniziale in senso classico: l'ingresso in borsa del settembre 2023 è avvenuto fondendo la società con una holding svedese già quotata, senza emettere nuove azioni né raccogliere capitale fresco in quel momento.

Il codice sorgente reso pubblico da Yubico su alcuni repository — le implementazioni di riferimento OpenPGP e HOTP — non corrisponde al firmware realmente installato sulle chiavi vendute dal modello YubiKey 4 in poi: chi cerca di verificare da sé cosa gira sul proprio dispositivo, o di ricompilarlo, non può farlo, nonostante l'azienda resti tra i principali contributori degli standard aperti FIDO2 e WebAuthn.

Informazioni utili su YubiKey

• Sito ufficiale Negozio ufficiale Yubico (regione UE) yubico.com Vendita diretta con prezzi in euro; spedizione gratuita sopra i 100 euro per gli ordini nell'Unione europea, prezzi da circa 35 euro per una Security Key fino a oltre 1.100 euro per un modulo YubiHSM 2 FIPS.
• Centro assistenza Portale di supporto Yubico support.yubico.com Gestisce sia il supporto tecnico sia le richieste relative agli ordini; un canale separato è dedicato agli sviluppatori che integrano le YubiKey nelle proprie applicazioni.
• Sito ufficiale Programma partner Yubico yubico.com Elenco dei rivenditori autorizzati per chi preferisce acquistare da un distributore locale invece che dal negozio diretto.
• Pagina di stato Nessuna pagina di stato di un servizio Una YubiKey è un dispositivo fisico che genera i codici in locale: non esiste un servizio cloud Yubico da cui dipenda il suo funzionamento quotidiano, e gli unici avvisi pubblici riguardano le vulnerabilità hardware o firmware elencate sopra, pubblicate come «security advisory» numerati.