אפשר להתחיל בחשבון אחד ולבדוק את התהליך לפני שממשיכים לאחרים. אין צורך למחוק מיד סיסמאות או לשנות את כל הגדרות האבטחה. קודם יוצרים מפתח במכשיר אישי, בודקים שאפשר להיכנס איתו ומכינים דרך שחזור. ההבדל החשוב אינו רק מה אתם מקלידים פחות, אלא על מה אתם מסתמכים כדי להיכנס.
מה באמת מחליף את הסיסמה
מפתח גישה מבוסס על זוג מפתחות קריפטוגרפיים. החלק הציבורי נרשם אצל השירות, והחלק הפרטי נשמר בסביבה מוגנת של המכשיר או של ספק מפתחות הגישה. בזמן הכניסה המכשיר מוכיח שהוא מחזיק במפתח המתאים, בלי למסור לאתר את המפתח הפרטי עצמו.
אפשר לחשוב על כך כהוכחה שהמכשיר שלכם יודע לייצר ושהשירות יכול לבדוק באמצעות המפתח הציבורי הרשום. השירות מאמת הוכחה לשימוש במפתח הפרטי במקום לבדוק סיסמה שהוקלדה. לפי ההסבר של Microsoft, המכשיר חותם דיגיטלית על אתגר שהשירות שולח, והשירות בודק את החתימה.
טביעת אצבע, זיהוי פנים או קוד נעילה מקומי מאשרים את השימוש במפתח. טביעת האצבע אינה הסיסמה החדשה של האתר, והאתר אינו מקבל צילום שלה. FIDO Alliance, הגוף שמפתח את התקנים הרלוונטיים, מסביר שהבדיקה הביומטרית נשארת במכשיר. אפשר להשתמש גם בקוד בהתאם לאפשרויות שהמכשיר והשירות מציעים.
חשוב לדייק גם בביטוי "המפתח נשאר במכשיר". יש מפתחות שמוגבלים למכשיר אחד, ויש מפתחות שמסונכרנים בצורה מוצפנת בין מכשירים באמצעות ספק מתאים. בשני המקרים האתר שאליו נכנסים אינו מקבל את החלק הפרטי. ההבדל בין האפשרויות הופך חשוב במיוחד כשמחליפים טלפון.
למה זה שונה מסיסמה וקוד במסרון
בסיסמה רגילה, משתמש יכול להקליד את הסוד באתר מזויף. גם קוד חד-פעמי עלול להימסר לתוקף אם משכנעים את המשתמש להזין אותו במקום הלא נכון. מפתח גישה קשור לאתר או לאפליקציה שעבורם נוצר, והדפדפן או מערכת ההפעלה מטפלים בהתאמה הזאת במהלך הכניסה.
זו הסיבה שהמונח המקובל הוא עמידות לפישינג. ההגנה נוגעת לאופן האימות, ולא להבטחה ששום הונאה לא תצליח. עדיין אפשר לפגוש הודעת משלוח מזויפת, בקשת תשלום שקרית או הוראה להתקין תוכנה מסוכנת. אפשר להיעזר גם במדריך לזיהוי מסרונים חשודים וניסיונות הונאה כדי לשמור על ההבחנה בין כניסה מאובטחת לבין אמון בתוכן ההודעה.
גם מספר השלבים אינו המדד היחיד לאבטחה. Google מסבירה שבכניסה באמצעות מפתח גישה אפשר לדלג על שלב האימות הנוסף, משום שהשימוש משלב גישה למכשיר עם היכולת לפתוח אותו. לכן היעדר מסרון אחרי הכניסה אינו בהכרח סימן שההגנה בוטלה. ההתנהגות המדויקת תלויה בשירות ובסוג החשבון.
היכן פוגשים מפתחות גישה ואיפה שומרים אותם
Google ו-Microsoft מציעות מפתחות גישה לכניסה לחשבונות, לפי דפי התמיכה שלהן. במכשירי Apple אפשר להשתמש במפתחות גישה לאתרים ולאפליקציות תומכים ולסנכרן אותם באמצעות iCloud Keychain. התמיכה במערכת ההפעלה אינה אומרת שכל אתר שתפתחו בה כבר מציע את האפשרות.
כדאי להפריד בין שני תפקידים: האתר שבו נמצא החשבון, והגורם ששומר את המפתח. חשבון באתר מסוים יכול להשתמש במפתח שנשמר במנהל המפתחות שבמכשיר שלכם. שם האתר ושם מנהל הסיסמאות אינם חייבים להיות זהים, ולכן כדאי לקרוא את חלון השמירה ולא לאשר אותו באופן אוטומטי.
ב-Google Password Manager, מפתחות נתמכים יכולים להסתנכרן בין מכשירים שבהם משתמשים באותו חשבון מתאים. Apple מתארת סנכרון מוצפן מקצה לקצה דרך iCloud Keychain. ב-Windows קיימת גם אפשרות לשמירה מקומית באמצעות Windows Hello, ולצדה אפשרויות למנהלים מסונכרנים. אל תניחו שמפתח שנשמר מקומית יעבור אוטומטית למחשב הבא.
בחשבון עבודה או לימודים עשויה להיות גם מדיניות ארגונית. אם האפשרות חסרה או שונה מההסבר של חבר, בדקו את סוג החשבון ואת הוראות הארגון. אין צורך לשנות הגדרות אחרות כדי לכפות תהליך שהמנהל הארגוני לא מאפשר.
מתחילים בחשבון האימייל ובמכשיר אישי
סדר עבודה נוח הוא להתחיל בחשבון האימייל שבו אתם משתמשים לניהול חשבונות אחרים, אם הוא תומך במפתחות גישה. זו הצעה לסדר הבדיקה, לא דרישה טכנית. בחרו זמן שבו אינכם ממהרים, והכינו מראש מכשיר אישי נעול ופרטי שחזור מעודכנים.
היכנסו לשירות דרך האפליקציה או הכתובת המוכרות לכם ופתחו את הגדרות האבטחה. חפשו אפשרות ליצירת מפתח גישה, בדקו איזה חשבון נבחר והיכן המפתח עומד להישמר. אשרו את היצירה באמצעות מנגנון הנעילה של המכשיר. שמות התפריטים עשויים להשתנות, ולכן העיקר הוא לזהות את הפעולה ואת יעד השמירה.
אחרי היצירה, בדקו את רשימת המפתחות בחשבון ואת הרשומה אצל הספק ששומר אותם. נסו כניסה נוספת בדפדפן או במכשיר מהימן, תוך שמירת גישה קיימת עד שהבדיקה הושלמה. אם האפשרות אינה מופיעה מיד, קראו את הוראות השירות במקום למחוק שוב ושוב ולהתחיל מחדש.
רק לאחר שאתם מבינים היכן המפתח נמצא ואיך משתמשים בו, עברו לחשבונות נוספים שחשובים לכם. אין יתרון מעשי בהפעלת אפשרות בכמה שירותים בבת אחת אם אחר כך אינכם יודעים איזה מפתח נשמר באיזה מקום. רשמו את שם השירות וספק השמירה, בלי לרשום לצד הרשימה קודי נעילה או סודות שחזור.
מכינים דרך חזרה לפני שהטלפון נעלם
סנכרון יכול לאפשר גישה למפתחות ממכשיר נוסף, אבל הוא תלוי ביכולת להיכנס לספק שמנהל אותם ובהגנות השחזור שלו. Apple מתארת מנגנון שחזור של iCloud Keychain, וב-Google Password Manager קיימות הגנות כגון קוד מנהל הסיסמאות או נעילת מכשיר Android. אין מסלול אחד שזהה אצל כל הספקים.
בדקו מראש אילו אפשרויות יש לכם: מכשיר מהימן נוסף, אמצעי כניסה חלופי, פרטי שחזור או מפתח אבטחה פיזי, אם השירות תומך בו. ודאו שכתובת השחזור ופרטי הקשר אכן נגישים לכם. בדיקה כזאת מועילה במיוחד אם דרך הגישה היחידה לכל האפשרויות נמצאת באותו טלפון.
אם המכשיר אבד, היכנסו ממכשיר מהימן אחר או השתמשו במסלול השחזור הרשמי. בדקו את המכשירים המחוברים ואת מפתחות הגישה בחשבון, והסירו הרשאות הקשורות למכשיר שאבד לפי הוראות השירות. במקרים מסוימים צריך לנהל גם את הרישום באתר וגם את העותק במנהל המפתחות. אל תמחקו את אמצעי הכניסה התקין האחרון לפני שיש לכם דרך חלופית שעובדת.
שומרים סיסמה וגיבוי לפי מצב החשבון
יצירת מפתח גישה אינה בהכרח מוחקת את הסיסמה. Google מציינת שהוספת מפתח אינה מסירה את אמצעי האימות והשחזור הקיימים. לכן בדקו אילו דרכים נשארו פעילות ומה דרוש לכל אחת, במקום להסיק מהכניסה הנוחה שהחשבון הפך אוטומטית לנטול סיסמה לחלוטין.
כל עוד הסיסמה נשארת דרך כניסה, המשיכו להגן עליה ולהשאיר את האימות הנוסף הנדרש למסלול הזה. שמרו קודי גיבוי, אם השירות מספק אותם, במקום מוגן שאפשר להגיע אליו גם בלי הטלפון. אל תכבו הגנות אחרות רק כדי שמסך ההגדרות ייראה פשוט יותר.
כשמחליפים מכשיר, בדקו את הכניסה ואת השחזור במכשיר החדש לפני הסרת הישן. כך המעבר הופך לבדיקה שאפשר לעצור ולתקן, במקום להימור אחרי שהגישה הקודמת כבר נעלמה. להסבר על התקן ועל סוגי המפתחות, אפשר לקרוא את עמוד מפתחות הגישה של FIDO Alliance.
לא שומרים מפתח במחשב משותף
Google מזהירה שמי שיכול לפתוח מכשיר שבו נוצר מפתח עשוי להשתמש בו כדי להיכנס לחשבון, גם אחרי יציאה מהחשבון בדפדפן. לכן אל תיצרו מפתח במחשב ציבורי, במחשב של חבר או בפרופיל מכשיר שמשמש כמה אנשים. מכשיר אישי עם נעילה הוא חלק מההחלטה, ולא פרט נלווה.
אפשרויות מסוימות מאפשרות לאשר בטלפון כניסה במחשב באמצעות קוד QR וקרבה בין המכשירים. השתמשו בתהליך רק כשאתם יזמתם את הכניסה ויודעים לאיזה חשבון ומחשב היא מיועדת. הופעת סמל מוכר אינה סיבה לאשר בקשה שלא התחלתם.
מפתח גישה מצמצם את הצורך להקליד סוד שאפשר לגנוב באתר מתחזה. האחריות שלכם נעשית ברורה יותר: לשמור על המכשיר, להבין את השמירה ולבדוק את דרך החזרה. התחילו בחשבון אחד, בצעו כניסה מוצלחת נוספת, ורק אז הרחיבו את השימוש בקצב שנוח לכם.
לכתבות נוספות במדור טכנולוגיה.
