Аппаратный ключ безопасности Thales SafeNet eToken Fusion Bio USB-A | FIDO2+PKI с биометрией

eToken Fusion Bio — это один физический ключ с двумя независимыми приложениями: FIDO2/WebAuthn для passkey-входа в онлайн-сервисы и PKI (смарт-карта) для корпоративной аутентификации и цифровой подписи. Вместо PIN-кода владелец подтверждает действие собственным отпечатком пальца — шаблон хранится и сверяется непосредственно на чипе ключа, не передаваясь никуда наружу. Подходит компаниям, которым нужна одновременно passwordless-автоентификация в облачных сервисах и PKI вход во внутреннюю инфраструктуру Windows.

Документация:

https://www.thalestct.com/wp-content/uploads/2026/02/safenet-etoken-fusion-bio-tct-pb-2-26-26.pdf

Преимущества

• два независимых приложения в одном корпусе — отдельный FIDO2-чип и отдельный PKI чип (IDPrime 930);
• встроенный сканер отпечатка пальца с проверкой на самом ключе (Biometric Match on Card) — биометрические данные не оставляют устройство;
• FIDO2.1 Level 1 сертификация Alliance (Level 2 — в процессе для базовой версии);
• PKI модуль сертифицирован по FIPS 140-2 Level 2 (сертификат No4517), чип имеет сертификат Common Criteria EAL6+;
• аппаратное хранение частных ключей — они генерируются и остаются на чипе, недоступны для копирования;
• до 255 FIDO passkeys и до 32 PKI-сертификатов одновременно;
• поддержка RSA до 4096 бит, ECC P-256/384/521, SHA-2 — полный набор современной криптографии для PKI-сценарий;
• форм-фактор USB-A (есть также версия USB-C).

Описание / как это работает

Ключ фактически сочетает две различные технологии в одном корпусе, и важно их не путать. В режиме FIDO2/WebAuthn пользователь регистрирует ключ как passkey в сервисе, поддерживающем стандарт (Microsoft, Google и другие), и в дальнейшем подтверждает вход прикосновением к ключу + отпечатком пальца — без пароля. В режиме PKI (смарт-карта) ключ работает как традиционный цифровой сертификат-носитель: сертификат выдает внутренний центр сертификации (CA), а ключ используется для входа в Windows, подписи документов, S/MIME-шифрования почты или VPN-автоентификации. В обоих режимах отпечаток пальца не передается никуда — он только локально разблокирует доступ к тому, что уже хранится на чипе, заменяя ручной ввод PIN.

Где можно использовать

• вход в корпоративные сервисы через FIDO2/WebAuthn (Microsoft Entra ID и другие совместимые платформы);
• Windows Smart Card Logon для локального входа в домен через внутренний CA (PKI режим);
• подпись и шифрование электронной почты (S/MIME), подпись документов и кода;
• защита личных учетных записей, поддерживающих passkeys (без PKI-инфраструктуры).

Совместимость

• Windows 10 / Windows 11 — FIDO2 и PKI;
• macOS, Linux — PKI-функции (требуется SafeNet-минидрайвер/middleware);
• любая ОС с поддержкой стандарта FIDO2/WebAuthn – для FIDO2 режима;
• Microsoft Entra ID — passwordless FIDO2 вход;
• USB-A (эта версия) или USB-C (в том числе модель) — переходника между ними нет.

Технические характеристики

Характеристика	Значение
Бренд	Thales (SafeNet)
Модель	eToken Fusion Bio
Артикул (PN)	909-000675-001
Интерфейс	USB-A (есть версия USB-C)
FIDO-чип	512 KB (свободно ~206 KB)
PKI-чип	IDPrime 930, 400 KB (свободно ~77 KB)
FIDO passkeys	до 255 discoverable credentials
PKI-сертификаты	до 32 key containers
Отпечатков пальца	до 2
Алгоритм FIDO	ECC P-256 / ECDSA
Стандарты	FIDO2.1, FIDO U2F, Java Card 3.0.4, Global Platform 2.2.1
Сертификаты	FIPS 140-2 Level 2 (№4517), CC EAL6+, FIDO2.1 Level 1
Мини драйвер	SafeNet CSP minidriver
Криптоалгоритми PKI	RSA до 4096 (OAEP/PSS), ECDSA/ECDH P-256/384/521, SHA-1/256/384/512, AES, 3DES (лише MS Challenge/Response)
Размеры (USB-A)	55 × 17 × 6.9 мм, 6.3 г
Корпус	переработанный ABS-пластик

Комплектация

Подтверждено только сам ключ безопасности eToken Fusion Bio. Комплектацию (наличие брелока, инструкции и т.д.) уточняйте отдельно — производитель не детализирует розничную упаковку в техническом описании.

Важная информация / ограничение

• FIDO2-режим этого ключа не позволяет направлениям войти в локальный Active Directory без Hybrid Azure AD или федерации — для чистого on-premises домохозяйства требуется именно PKI-режим;
• максимум 2 отпечатки пальца можно зарегистрировать на одном ключе;
• PKI-функции требуют развернутой инфраструктуры сертификатов (улажный CA, мапинг учетной записи, установленный мини драйвер) — "из коробки" PKI вход не работает;
• сертификация FIDO2.1 Level 2 стана на дату публикации датасheeта еще в процессе;
• ключ не заменяет резервный ключ доступа — рекомендовано иметь запасное устройство;
• версии USB-A и USB-C — это различные товары, а не переходник.

SEO-ключевые слова

SafeNet eToken Fusion Bio, Thales eToken Fusion Bio, аппаратный ключ безопасности с биометрией, FIDO2 PKI ключ, ключ безопасности с отпечатком пальца, USB-A ключ безопасности, смарт-карта с биометрией, ключ для Windows Smart Card Logon, IDPrime 930, FIP 140-2 ключ безопасности