Ein YubiKey überträgt bei jeder Anmeldung ein wiederverwendbares Geheimnis, das auch von einer Phishing-Seite genutzt werden könnte.

Der Sicherheitsschlüssel signiert die Login-Anforderung kryptografisch und bindet sie an den tatsächlichen Domainnamen.

Der Angriff gelingt trotz FIDO2, sobald der Nutzer den Stick physisch berührt, unabhängig von der Domain.

FIDO2-Schlüssel gelten als phishing-resistent, weil ihr Schutz auf kryptografischer Domain-Bindung statt auf einem abfangbaren Code basiert.

Bei Abweichung der Domain, etwa bei einer gefälschten Login-Seite, verweigert der Hardware-Chip die Signatur automatisch.

Ein FIDO2-Schlüssel schützt zusätzlich zuverlässig vor der Ausführung von Schadsoftware auf dem Endgerät.

FIDO2 funktioniert nach demselben Prinzip wie ein SMS-Einmalcode.