סוף עידן הסיסמאות? מנהלי סיסמאות ו-Passkeys בשפה פשוטה

אם תשאלו את רוב הישראלים כמה סיסמאות שונות יש להם, התשובה הכנה תהיה כנראה שתיים או שלוש, עם וריאציות קטנות. שם של ילד, שנת לידה ואולי סימן קריאה בסוף. הבעיה היא שבעולם שבו כל אחד מאיתנו מחזיק עשרות חשבונות, מהבנק ועד אפליקציית המשלוחים, סיסמה אחת שדלפה מאתר אחד פותחת את הדלת לכל השאר. החדשות הטובות הן שיש כלים שהופכים את האבטחה לפשוטה יותר, ולא מסובכת יותר. במאמר הזה נעבור על מנהלי סיסמאות, אימות דו-שלבי ו-Passkeys, הטכנולוגיה שאמורה להחליף את הסיסמה בכלל.

למה סיסמאות חוזרות הן הסכנה הגדולה

פריצות למאגרי מידע של אתרים קורות כל הזמן, גם לחברות מוכרות. כשמאגר כזה דולף, רשימות של כתובות וסיסמאות מגיעות לידי עבריינים. הם לא מנסים לפרוץ לחשבון שלכם באופן אישי, אלא מריצים את הרשימות באופן אוטומטי על מאות אתרים אחרים. אם השתמשתם באותה סיסמה באתר קניות קטן ובחשבון המייל, הפורץ נכנס לשניהם.

ומרגע שיש גישה למייל, אפשר לאפס סיסמאות כמעט בכל שירות אחר. לכן חשבון הדואר האלקטרוני הוא החשוב ביותר להגנה. סיסמה ייחודית וחזקה לכל חשבון היא הצעד הבסיסי, אבל אף אדם לא יכול לזכור חמישים סיסמאות אקראיות. כאן נכנסים לתמונה מנהלי הסיסמאות.

איך עובד מנהל סיסמאות

מנהל סיסמאות הוא כספת דיגיטלית מוצפנת. אתם זוכרים סיסמה ראשית אחת, חזקה במיוחד, והתוכנה זוכרת את כל השאר. כשנרשמים לאתר חדש, היא מייצרת סיסמה אקראית וארוכה, שומרת אותה וממלאת אותה אוטומטית בפעם הבאה. היא עובדת על המחשב, על הטלפון ובדפדפן, ומסנכרנת בין המכשירים.

לרוב המשתמשים, מנהל הסיסמאות המובנה בטלפון או בדפדפן הוא נקודת התחלה טובה. מי שרוצה יותר גמישות, למשל שיתוף סיסמאות עם בני משפחה או עבודה בין מערכות הפעלה שונות, יכול לבחור תוכנה ייעודית. היתרון הנוסף הוא שרוב המנהלים מתריעים כשסיסמה שלכם הופיעה בדליפה ידועה או כשאתם משתמשים באותה סיסמה בכמה מקומות.

אימות דו-שלבי: שכבת ההגנה השנייה

גם הסיסמה החזקה ביותר עלולה להיגנב, למשל דרך אתר מתחזה. אימות דו-שלבי מוסיף דרישה נוספת: מלבד הסיסמה, צריך להוכיח שאתם מחזיקים במכשיר שלכם. זה יכול להיות קוד שנשלח במסרון, קוד מאפליקציית אימות או אישור בלחיצה בטלפון.

מבין האפשרויות, אפליקציית אימות בטוחה יותר ממסרון, כי מסרונים חשופים להונאות של החלפת כרטיס סים. ובכל זאת, גם קוד במסרון עדיף בהרבה על שום הגנה. סדר העדיפויות להפעלה הוא פשוט: קודם המייל, אחר כך הבנק וכרטיסי האשראי, הרשתות החברתיות, ווטסאפ ושירותי הענן.

כדאי לזכור גם את בני המשפחה. הורים מבוגרים וילדים צעירים הם יעד נוח להונאות, ושיחה קצרה על הסימנים המחשידים יכולה למנוע נזק כספי ממשי. אפשר להגדיר להם אימות דו-שלבי ומנהל סיסמאות משפחתי ולעזור בצעדים הראשונים.

מה זה Passkey ולמה כולם מדברים על זה

Passkey, או מפתח גישה, הוא דרך התחברות שמחליפה את הסיסמה לגמרי. במקום להקליד צירוף תווים, המכשיר שלכם יוצר זוג מפתחות קריפטוגרפיים: אחד נשמר אצלכם ואחד באתר. כדי להתחבר, אתם פשוט מאשרים בטביעת אצבע, בזיהוי פנים או בקוד הנעילה של הטלפון.

היתרון הגדול הוא שאין מה לגנוב. אין סיסמה שאפשר להקליד באתר מזויף, ואין רשימה שיכולה לדלוף מהשרת, כי האתר מחזיק רק את החלק הציבורי של המפתח שאינו שימושי לבדו. יותר ויותר שירותים גדולים, כולל ספקי מייל, חנויות ורשתות חברתיות, כבר מציעים את האפשרות, ובדרך כלל היא מופיעה בהגדרות האבטחה של החשבון.

איך עוברים בפועל: תוכנית של שבוע

המעבר לא חייב לקרות ביום אחד. הנה תוכנית מעשית שאפשר לפרוס על פני שבוע:

• יום ראשון: לבחור מנהל סיסמאות ולקבוע סיסמה ראשית ארוכה, משפט שקל לזכור.
• יום שני: להחליף את סיסמת המייל לסיסמה אקראית ולהפעיל אימות דו-שלבי.
• יום שלישי: לטפל בבנק, בכרטיסי האשראי ובאתרי התשלום.
• יום רביעי: רשתות חברתיות ואפליקציות מסרים.
• יום חמישי: לבדוק אילו שירותים תומכים ב-Passkey ולהפעיל אותו.
• שאר השבוע: לעדכן סיסמאות בהדרגה, בכל פעם שנכנסים לאתר ישן.

איך לזהות ניסיונות התחזות

גם עם כל הכלים הטובים, הנקודה החלשה נשארת לעיתים קרובות האדם שמול המסך. הודעות מתחזות מגיעות במסרון, במייל ובווטסאפ, ומעמידות פנים שהן חברת שליחויות, בנק או רשות ממשלתית. הן כמעט תמיד מנסות לייצר תחושת דחיפות: חבילה שמחכה לתשלום מכס, חשבון שעומד להיחסם או החזר כספי שממתין לאישור.

הכלל הפשוט הוא לא ללחוץ על קישורים בהודעות לא צפויות. אם יש ספק, נכנסים ישירות לאפליקציה הרשמית או מתקשרים למספר שמופיע על גב הכרטיס. יתרון נוסף של מנהל סיסמאות הוא שהוא לא ימלא אוטומטית סיסמה באתר שהכתובת שלו אינה תואמת לאתר המקורי, וזה סימן אזהרה מצוין.

טעויות נפוצות שכדאי להימנע מהן

הטעות הראשונה היא לשמור את הסיסמאות בקובץ טקסט על שולחן העבודה או בתמונה בגלריה. קבצים כאלה חשופים לכל מי שמקבל גישה למכשיר. הטעות השנייה היא לא לשמור קודי שחזור. כשמפעילים אימות דו-שלבי, רוב השירותים מציעים קודי גיבוי חד-פעמיים, ואותם כדאי להדפיס ולשמור במקום בטוח בבית.

טעות שלישית היא להתעלם מהתראות על כניסה חשודה. אם קיבלתם הודעה על התחברות ממכשיר לא מוכר, אל תניחו שזו תקלה. החליפו סיסמה מיד ובדקו אילו מכשירים מחוברים לחשבון.

לסיכום, הדרך לאבטחה טובה עוברת בשלושה צעדים: סיסמה ייחודית לכל חשבון בעזרת מנהל סיסמאות, אימות דו-שלבי בחשבונות החשובים, ומעבר הדרגתי ל-Passkeys בכל מקום שזה אפשרי. זה פחות מסובך ממה שנראה, ואחרי השבוע הראשון זה הופך להרגל.