Апаратний ключ безпеки Thales SafeNet eToken Fusion Bio USB-A | FIDO2 + PKI з біометрією

eToken Fusion Bio — це один фізичний ключ із двома незалежними застосунками: FIDO2/WebAuthn для passkey-входу в онлайн-сервіси та PKI (смарт-карта) для корпоративної автентифікації і цифрового підпису. Замість PIN-коду власник підтверджує дію власним відбитком пальця — шаблон зберігається і звіряється безпосередньо на чипі ключа, не передаючись нікуди назовні. Підходить компаніям, яким потрібна одночасно passwordless-автентифікація в хмарних сервісах і PKI-вхід у внутрішню інфраструктуру Windows.

Документація:

https://www.thalestct.com/wp-content/uploads/2026/02/safenet-etoken-fusion-bio-tct-pb-2-26-26.pdf

Переваги

• два незалежні застосунки в одному корпусі — окремий FIDO2-чип та окремий PKI-чип (IDPrime 930);
• вбудований сканер відбитка пальця з перевіркою на самому ключі (Biometric Match on Card) — біометричні дані не залишають пристрій;
• FIDO2.1 Level 1 сертифікація Alliance (Level 2 — в процесі для базової версії);
• PKI-модуль сертифікований за FIPS 140-2 Level 2 (сертифікат №4517), чип має сертифікат Common Criteria EAL6+;
• апаратне зберігання приватних ключів — вони генеруються і залишаються на чипі, недоступні для копіювання;
• до 255 FIDO passkeys та до 32 PKI-сертифікатів одночасно;
• підтримка RSA до 4096 біт, ECC P-256/384/521, SHA-2 — повний набір сучасної криптографії для PKI-сценаріїв;
• форм-фактор USB-A (є також версія USB-C).

Опис / як це працює

Ключ фактично поєднує дві різні технології в одному корпусі, і важливо їх не плутати. У режимі FIDO2/WebAuthn користувач реєструє ключ як passkey у сервісі, що підтримує стандарт (Microsoft, Google та інші), і надалі підтверджує вхід дотиком до ключа + відбитком пальця — без пароля. У режимі PKI (смарт-карта) ключ працює як традиційний цифровий сертифікат-носій: сертифікат видає внутрішній центр сертифікації (CA), а ключ використовується для входу в Windows, підпису документів, S/MIME-шифрування пошти чи VPN-автентифікації. В обох режимах відбиток пальця не передається нікуди — він лише локально розблоковує доступ до того, що вже зберігається на чипі, замінюючи ручне введення PIN.

Де можна використовувати

• вхід у корпоративні сервіси через FIDO2/WebAuthn (Microsoft Entra ID та інші сумісні платформи);
• Windows Smart Card Logon для локального входу в домен через внутрішній CA (PKI-режим);
• підпис і шифрування електронної пошти (S/MIME), підпис документів і коду;
• захист особистих облікових записів, що підтримують passkeys (без PKI-інфраструктури).

Сумісність

• Windows 10 / Windows 11 — FIDO2 та PKI;
• macOS, Linux — PKI-функції (потрібен SafeNet-мінідрайвер/middleware);
• будь-яка ОС із підтримкою стандарту FIDO2/WebAuthn — для FIDO2-режиму;
• Microsoft Entra ID — passwordless FIDO2-вхід;
• USB-A (ця версія) або USB-C (окрема модель) — перехідника між ними немає.

Технічні характеристики

Характеристика	Значення
Бренд	Thales (SafeNet)
Модель	eToken Fusion Bio
Артикул (PN)	909-000675-001
Інтерфейс	USB-A (є версія USB-C)
FIDO-чип	512 KB (вільно ~206 KB)
PKI-чип	IDPrime 930, 400 KB (вільно ~77 KB)
FIDO passkeys	до 255 discoverable credentials
PKI-сертифікати	до 32 key containers
Відбитків пальця	до 2
Алгоритм FIDO	ECC P-256 / ECDSA
Стандарти	FIDO2.1, FIDO U2F, Java Card 3.0.4, Global Platform 2.2.1
Сертифікати	FIPS 140-2 Level 2 (№4517), CC EAL6+, FIDO2.1 Level 1
Мінідрайвер	SafeNet CSP minidriver
Криптоалгоритми PKI	RSA до 4096 (OAEP/PSS), ECDSA/ECDH P-256/384/521, SHA-1/256/384/512, AES, 3DES (лише MS Challenge/Response)
Розміри (USB-A)	55 × 17 × 6.9 мм, 6.3 г
Корпус	перероблений ABS-пластик

Комплектація

Підтверджено лише сам ключ безпеки eToken Fusion Bio. Комплектацію (наявність брелока, інструкції тощо) уточнюйте окремо — виробник не деталізує роздрібну упаковку в технічному описі.

Важлива інформація / обмеження

• FIDO2-режим цього ключа не дає змоги напряму увійти в локальний Active Directory без Hybrid Azure AD або федерації — для чистого on-premises домену потрібен саме PKI-режим;
• максимум 2 відбитки пальця можна зареєструвати на одному ключі;
• PKI-функції вимагають розгорнутої інфраструктури сертифікатів (власний CA, мапінг облікового запису, встановлений мінідрайвер) — "з коробки" PKI-вхід не працює;
• сертифікація FIDO2.1 Level 2 станом на дату публікації датасheeту ще в процесі;
• ключ не замінює резервний ключ доступу — рекомендовано мати запасний пристрій;
• версії USB-A та USB-C — це різні товари, а не перехідник.

SEO-ключові слова

SafeNet eToken Fusion Bio, Thales eToken Fusion Bio, апаратний ключ безпеки з біометрією, FIDO2 PKI ключ, ключ безпеки з відбитком пальця, USB-A ключ безпеки, смарт-карта з біометрією, ключ для Windows Smart Card Logon, IDPrime 930, FIPS 140-2 ключ безпеки