--- title: YubiKey 5.8 - що нового і що це означає для покупця canonical: "https://fido2.com.ua/blog/yubikey-firmware-5-8/" pubDate: "2026-09-05T00:00:00.000Z" author: FIDO2 Ukraine description: Прошивка 5.8 - найбільше оновлення YubiKey за роки. Більшість нових функцій орієнтована на розробників і ще не підтримується браузерами. Що варто знати перед покупкою. tags: [FIDO2, Yubico, WebAuthn, NFC, USB-A, USB-C] categories: [Гайди] --- **Коротко:** * **5.8 вийшов 21 липня 2026** - перший апаратний ключ з повною підтримкою CTAP 2.3 * **Signing extension і ARKG - developer preview** - специфікація W3C не затверджена, браузери не підтримують у продакшні * **FIPS і CCN - залишаються на 5.7.4** - чекають на повторну сертифікацію * **Для входу в акаунти 5.4.3, 5.7 і 5.8 однакові** - 5.8 не дає покупцю нічого принципово нового у повсякденному використанні * **Прошивка не оновлюється** - отримати 5.8 можна тільки купивши новий ключ * **У нас зараз є ключі на 5.7.4** - напишіть у [WhatsApp](https://wa.me/380737572827), якщо не впевнені що обрати ## Що таке прошивка 5.8 і кого вона стосується 21 липня 2026 Yubico випустила прошивку 5.8 - перший у світі апаратний ключ безпеки з повною підтримкою CTAP 2.3, опублікованого FIDO Alliance лише у лютому 2026. Оновлення розповсюджується на три лінійки: YubiKey 5 Series, Security Key Series і YubiKey Bio Series. Ключі з 5.8 зберігають усі можливості прошивки 5.7.4 і додають нові функції, орієнтовані переважно на корпоративних розробників і підприємства. Дві лінійки поки не отримали 5.8: **YubiKey FIPS Series** і **YubiKey CCN Series** залишаються на 5.7.4 - обидві проходять повторну сертифікацію за відповідними стандартами. Це стандартна затримка через регуляторні вимоги, а не технічна проблема з прошивкою. Важливо нагадати: **прошивка YubiKey не оновлюється**. Це навмисне архітектурне рішення - виключити можливість перезапису коду навіть при фізичному доступі зловмисника до ключа. Якщо у вас ключ на 5.7.4, він залишиться на 5.7.4 назавжди. Отримати 5.8 можна тільки купивши новий ключ. ## Що нового у 5.8 ### CTAP 2.3 - новий протокол між ключем і комп'ютером YubiKey 5.8 - перший апаратний ключ з повною підтримкою FIDO Client to Authenticator Protocol (CTAP) 2.3. FIDO Alliance опублікував специфікацію у лютому 2026, і вона є повністю сумісною з CTAP 2.2 у зворотному напрямку. CTAP 2.3 додає Bluetooth Low Energy як додатковий транспортний канал для зв'язку ключа з пристроєм і поле `pinComplexityPolicyURL` для зрозуміліших повідомлень про помилки PIN. Для звичайного користувача перехід на CTAP 2.3 сам по собі непомітний - більшість нових функцій проявляться після того, як браузери та операційні системи реалізують відповідні розширення. ### WebAuthn signing extension - авторизація конкретних дій, а не тільки вхід Це найзначніша архітектурна зміна у 5.8 - і поки що developer preview. Стандартний WebAuthn-потік відповідає на питання «хто ти?»: ключ підписує виклик від сервісу і доводить присутність людини при вході. WebAuthn signing extension додає інший тип операції: ключ підписує **довільні дані** - запис транзакції, хеш документа, токен схвалення від ШІ-агента. Підпис верифікується будь-якою стороною, що має публічний ключ, і підтверджує не просто «людина була в акаунті», а «ця людина фізично підтвердила саме цю дію у цей момент». Практичний сценарій, який демонструє Yubico: автономний ШІ-агент пропонує внести зміни до виробничої бази даних або провести велику фінансову транзакцію - і не може виконати дію без фізичного дотику людини до YubiKey. Результат - криптографічний запис того, що відповідальний співробітник свідомо підтвердив саме цю дію. Обмеження: специфікація W3C ще не затверджена. Браузери і операційні системи не підтримують signing extension у продакшні. Yubico позиціонує це як інструмент для розробників, щоб почати будувати рішення вже зараз - до того, як екосистема підтягнеться. Yubico проводив хакатон для розробників FIDO Alliance 5 серпня 2026, де учасники тестували ці можливості на спеціальних ключах. ### ARKG - приватні підписи без відстеження між сесіями Anonymous Remote Key Generation (ARKG) - developer preview механізму, що вирішує проблему відстеження у сценаріях підпису дій. Якби той самий публічний ключ використовувався для підпису на кількох сервісах, ці сервіси теоретично могли б зіставити підписи і побудувати профіль активності користувача. ARKG вирішує це, генеруючи унікальний одноразовий публічний ключ для кожного контексту підпису - верифікатор підтверджує справжність підпису і апаратне походження, але не може зв'язати його з іншими підписами того самого ключа на інших сервісах. ARKG залишається developer preview, RFC ще в процесі розробки. Для FIDO2-входу в акаунти він не потрібен і не задіяний. ### Enterprise Attestation - до 16 RPID на один ключ Enterprise Attestation дозволяє IT-відділу зчитувати унікальний серійний номер ключа під час FIDO2-реєстрації - для обліку активів і управління пристроями. YubiKey 5.8 розширює підтримку з 2 до **16 RPID** на одному ключі. Один фізичний ключ можна одночасно обліковувати в середовищах розробки, тестування, передпродакшн і продакшн у кількох identity-провайдерів - без окремих ключів для кожного середовища. Як і в 5.7, Enterprise Attestation на YubiKey 5 Series доступна за замовчуванням; на Security Key Series Enterprise Edition - вимагає налаштування; на звичайній роздрібній Security Key Series - не застосовується (навмисне обмеження для збереження приватності). ### PPUAT - passkeys поруч із програмними ключами в autofill YubiKey 5.8 реалізує Persistent PIN User Access Token (PPUAT) - функцію CTAP 2.3, яка зберігає сесійний токен PIN довше, ніж у попередніх версіях. На практиці passkeys, збережені на апаратному ключі, можуть відображатися поруч із програмними passkeys у системних autofill-меню Android, Windows і macOS без повторного запиту PIN при кожному виборі облікового запису. Це усуває одне з основних джерел тертя при роботі з апаратними ключами у сучасних потоках автентифікації. ### Verifiable credentials, SPC і цифрові гаманці Прошивка 5.8 додає підтримку верифікованих облікових даних (verifiable credentials) і цифрових гаманців за відкритими стандартами. Secure Payment Confirmation (SPC) - механізм W3C для криптографічно підтвердженої оплати через браузер - тепер підтримується апаратно. Ці можливості разом з ARKG формують основу для YubiKey як кореня довіри у фінансових транзакціях і цифрових посвідченнях особи. Як і signing extension, ці функції залежать від браузерної та OS-підтримки, яка наразі розгортається. ## Чому більшість нових функцій 5.8 поки що не для звичайного користувача Якщо ви купуєте YubiKey для захисту Google-акаунту, GitHub, Microsoft 365 або криптогаманця - жодна з нових функцій 5.8 не дасть вам нічого принципово нового у повсякденному використанні прямо зараз. **WebAuthn signing extension** - developer preview неузгодженої специфікації W3C. Chrome, Firefox, Safari і Edge її ще не підтримують у продакшні. Повноцінне використання підпису дій через браузер стане можливим лише після фіналізації стандарту і реалізації в браузерах - на це потрібен час після виходу апаратури. **ARKG** - RFC ще в процесі розробки. Для звичайного FIDO2-входу не задіяний жодним чином. **PPUAT** - корисна деталь UX, але відсутність на 5.7.4 ніяк не заважає нормальній роботі з passkeys сьогодні. Це стандартна модель виходу нових протоколів: апаратура з'являється першою, браузерна і OS-екосистема наздоганяє. Yubico відкриває шлях для розробників починати будувати рішення заздалегідь, але практична доступність для кінцевих користувачів прийде пізніше. ## 5.4.3, 5.7 і 5.8 - коротке порівняння | Характеристика | Прошивка 5.4.3 | Прошивка 5.7 | Прошивка 5.8 | |---|---|---|---| | FIDO2 / WebAuthn / U2F | ✅ | ✅ | ✅ | | Discoverable credentials (passkeys) | До 25 | До 100 | До 100 | | Криптографічна бібліотека | Infineon | Власна Yubico | Власна Yubico | | Вразливість EUCLEAK | Присутня | Відсутня | Відсутня | | CTAP версія | 2.0 | 2.1 | 2.3 | | Restricted NFC (захист при доставці) | ❌ | ✅ | ✅ | | Enterprise Attestation (RPID) | ❌ | До 2 | До 16 | | PPUAT / conditional mediation | ❌ | ❌ | ✅ | | WebAuthn signing extension | ❌ | ❌ | ✅ (dev preview) | | ARKG (приватні підписи) | ❌ | ❌ | ✅ (dev preview) | | SPC / цифрові гаманці / verifiable credentials | ❌ | ❌ | ✅ | | **Достатньо для входу в акаунти** | **✅** | **✅** | **✅** | Для захисту акаунтів Google, Microsoft, GitHub, Delta, Binance чи корпоративного SSO через FIDO2 - усі три прошивки справляються однаково. 5.8 додає функції, орієнтовані на корпоративних розробників і цифрові гаманці майбутнього, але для автентифікації нічого не змінює прямо зараз. ## Чи варто чекати на 5.8 чи брати 5.7 зараз Якщо ваша задача - захист акаунтів від фішингу і перехоплення сесій - **брати ключ зараз на 5.7.4**. Чекати немає сенсу. 5.8 уже доступна у продажу (наприклад, напряму від Yubico), але у нашому каталозі зараз представлені ключі на прошивці 5.7.4 - і для більшості сценаріїв це оптимальний вибір: EUCLEAK закрита фізично, 100 passkeys, Restricted NFC, CTAP 2.1. **Варто дочекатися 5.8**, якщо: - Ви корпоративний розробник і плануєте будувати рішення на WebAuthn signing extension або SPC прямо зараз - Організація потребує Enterprise Attestation у 16+ середовищах на одному ключі - Компанія впроваджує процедуру підтвердження критичних дій апаратним ключем у потоках ШІ-агентів і може чекати браузерну підтримку **Брати 5.7 зараз варто**, якщо: - Потрібен ключ для захисту особистих або корпоративних акаунтів - Хочете закрити ризик EUCLEAK (відсутня вже з 5.7.0) - Ключ потрібен сьогодні, а не після того як W3C затвердить signing extension і браузери його реалізують Навіть **5.4.3 залишається цілком валідним вибором**, якщо бюджет важливіший за останні функції. EUCLEAK вимагає фізичного доступу до ключа і спеціалізованого лабораторного обладнання - це не масова загроза, а сценарій цілеспрямованої атаки. Детальніше про відмінності між прошивками читайте у статті [Що змінилось у прошивці 5.7](https://fido2.com.ua/blog/yubikey-5-series-and-security-key-series-with-new-5-7-firmware/). ## Що обрати зараз ### YubiKey 5 Series - прошивка 5.7.4 Повний протокольний стек: FIDO2, WebAuthn, U2F, OTP, PIV (смарт-карта), OpenPGP, OATH до 64 акаунтів, до 100 passkeys. - [YubiKey 5C NFC (USB-C)](https://fido2.com.ua/yubikey-5c-nfc-usb-c/) - USB-C і NFC, для MacBook і телефонів Android/iOS - [YubiKey 5C Nano (USB-C)](https://fido2.com.ua/yubikey-5c-nano-usb-c/) - мікроформат для постійного підключення без NFC ### Security Key Series - прошивка 5.7.4 Тільки FIDO2 / WebAuthn / U2F. Підходить для захисту акаунтів без потреби у PIV, OpenPGP і OATH. - [Security Key NFC (USB-A)](https://fido2.com.ua/security-key-nfc-usb-a-v2/) - класичний USB-A і NFC - [Security Key C NFC (USB-C)](https://fido2.com.ua/security-key-c-nfc-usb-c/) - USB-C і NFC ### Варіанти з прошивкою 5.4.3 - якщо бюджет важливий Базове FIDO2/U2F за нижчою ціною: - [Security Key NFC (USB-A, блакитний)](https://fido2.com.ua/security-key-nfc-usb-a/) - [Security Key C NFC (USB-C, OEM)](https://fido2.com.ua/security-key-c-nfc-usb-c-oem-5-4-3/) Не впевнені що обрати - напишіть у [WhatsApp](https://wa.me/380737572827), підберемо ключ під ваш сценарій. ## Документація та ресурси * Yubico What's New YubiKey 5.8: [https://www.yubico.com/resource/whats-new-yubikey-5-8/](https://www.yubico.com/resource/whats-new-yubikey-5-8/) * Yubico YubiKey 5.8 Datasheet: [https://www.yubico.com/resource/whats-new-yubikey-5-8-datasheet/](https://www.yubico.com/resource/whats-new-yubikey-5-8-datasheet/) * TechTimes - YubiKey 5.8 Ships Hardware-Backed Authorization for AI Agent Workflows: [https://www.techtimes.com/articles/321251/20260722/yubikey-58-ships-hardware-backed-authorization-ai-agent-workflows.htm](https://www.techtimes.com/articles/321251/20260722/yubikey-58-ships-hardware-backed-authorization-ai-agent-workflows.htm) * Що змінилось у прошивці 5.7 (YubiKey 5 та Security Key): [/blog/yubikey-5-series-and-security-key-series-with-new-5-7-firmware/](https://fido2.com.ua/blog/yubikey-5-series-and-security-key-series-with-new-5-7-firmware/)