הסוף של הסיסמאות? מה זה מפתחות גישה ולמה כל השירותים הגדולים עוברים אליהם

במשך עשרות שנים הסיסמה הייתה הדרך המרכזית להוכיח שאנחנו מי שאנחנו טוענים ברשת. אבל הסיסמה סובלת מבעיות מובנות: אנשים בוחרים סיסמאות קלות לניחוש, משתמשים באותה סיסמה בכמה אתרים, ונופלים בפח של אתרים מזויפים שמבקשים מהם להקליד אותה. בשנים האחרונות חברות הטכנולוגיה הגדולות מקדמות חלופה שנקראת מפתחות גישה, ובאנגלית Passkeys. יותר ויותר שירותים, מחשבונות מייל ועד חנויות מקוונות ובנקים, מציעים אותה למשתמשים. מה בעצם השתנה, ולמה זה חשוב לכל מי שיש לו חשבונות ברשת.

מה זה מפתח גישה

מפתח גישה הוא דרך התחברות שמבוססת על זוג מפתחות קריפטוגרפיים. מפתח אחד, הציבורי, נשמר אצל השירות שאליו נרשמתם. המפתח השני, הפרטי, נשמר רק במכשיר שלכם, בטלפון או במחשב, ולעולם לא נשלח לשרת. כשאתם מתחברים, השירות שולח אתגר, המכשיר שלכם חותם עליו בעזרת המפתח הפרטי, והשירות מאמת את החתימה בעזרת המפתח הציבורי.

מבחינת המשתמש, כל זה שקוף לחלוטין. במקום להקליד סיסמה, אתם פשוט מאשרים את הכניסה בטביעת אצבע, בזיהוי פנים או בקוד הנעילה של המכשיר. הנתונים הביומטריים עצמם לא יוצאים מהמכשיר, והשירות אינו מקבל אותם. הם משמשים רק כדי לאשר למכשיר להשתמש במפתח הפרטי.

למה זה בטוח יותר מסיסמה

היתרון הגדול ביותר של מפתחות גישה הוא העמידות בפני פישינג. מפתח הגישה קשור לכתובת המדויקת של האתר שבו נוצר. אם אתר מזויף מנסה לחקות את הבנק שלכם, המכשיר פשוט לא יציע את מפתח הגישה, כי הכתובת לא תואמת. כך נחסם אחד מסוגי המתקפות הנפוצים והמזיקים ביותר.

יתרון נוסף הוא שאין מה לגנוב מהשרת. כשאתר שמאחסן סיסמאות נפרץ, התוקפים עלולים להשיג את הסיסמאות או גרסה מוצפנת שלהן, ולנסות להשתמש בהן באתרים אחרים. במפתחות גישה, השרת מחזיק רק מפתחות ציבוריים, שאין בהם תועלת לתוקף. ומאחר שכל מפתח גישה ייחודי לשירות אחד, אין בעיה של שימוש חוזר באותה סיסמה.

גם הנוחות היא חלק מהאבטחה. אנשים בוחרים סיסמאות חלשות כי קשה לזכור סיסמאות חזקות. כשאין צורך לזכור שום דבר, נעלמת הפשרה בין נוחות לביטחון.

מה קורה כשמחליפים או מאבדים טלפון

החשש הראשון של רוב האנשים הוא מה קורה אם המכשיר הולך לאיבוד. התשובה תלויה במערכת שבה אתם משתמשים. מערכות ההפעלה הגדולות מסנכרנות את מפתחות הגישה דרך חשבון הענן המוצפן של המשתמש, כך שהם עוברים אוטומטית לטלפון חדש. גם מנהלי סיסמאות רבים תומכים היום בשמירה וסנכרון של מפתחות גישה בין מכשירים ומערכות שונות.

כדי להיות בצד הבטוח, כדאי לשמור על כמה כללים פשוטים:

• ודאו שחשבון הענן הראשי שלכם מוגן היטב ויש לו אפשרויות שחזור עדכניות
• הגדירו מפתח גישה ביותר ממכשיר אחד כשהשירות מאפשר זאת
• אל תמחקו מיד את אפשרויות ההתחברות החלופיות בשירותים חשובים
• שמרו קודי שחזור במקום בטוח, כשהשירות מספק אותם

האם אפשר להשתמש בזה כבר היום

כן, ובמידה הולכת וגדלה. השירותים הגדולים של מייל, רשתות חברתיות וחנויות מקוונות כבר תומכים במפתחות גישה, ורבים מהם מציעים אותם באופן פעיל בזמן ההתחברות. גם מערכות ההפעלה של הטלפונים והמחשבים הנפוצים תומכות בהם באופן מלא. בישראל, חלק מהשירותים הפיננסיים והקמעונאיים כבר מאפשרים כניסה בשיטות דומות, והמגמה צפויה להתרחב.

הדרך הפשוטה להתחיל היא להיכנס להגדרות האבטחה בחשבון חשוב, כמו תיבת המייל הראשית, ולחפש את האפשרות להוסיף מפתח גישה. התהליך לוקח פחות מדקה. בפעם הבאה שתתחברו, תתבקשו לאשר בטביעת אצבע או בזיהוי פנים בלבד.

מה זה אומר לבעלי אתרים

מי שמנהל אתר עם אזור אישי, חנות מקוונת או מערכת לקוחות, צריך להתחיל לחשוב על מפתחות גישה. התמיכה בהם מפחיתה פניות לשחזור סיסמה, מקטינה את הסיכון לפריצה לחשבונות משתמשים ומשפרת את חוויית ההתחברות. במערכות ניהול תוכן כמו וורדפרס קיימים כבר תוספים שמאפשרים התחברות עם מפתחות גישה, גם לממשק הניהול עצמו.

כמובן, המעבר צריך להיות הדרגתי. רוב האתרים ימשיכו לתמוך בסיסמאות לצד מפתחות הגישה בשנים הקרובות, כדי לא להשאיר מאחור משתמשים עם מכשירים ישנים או כאלה שמעדיפים את השיטה המוכרת. מומלץ להתייעץ עם המפתח או חברת האחסון לגבי הדרך הנכונה ליישם זאת באתר.

מפתחות גישה לעומת אימות דו שלבי

רבים שואלים אם מפתח גישה מחליף את האימות הדו שלבי שכבר הפעילו. התשובה היא שבמובן מסוים הוא משלב את שני השלבים בפעולה אחת. אימות דו שלבי רגיל דורש משהו שאתם יודעים, הסיסמה, ומשהו שיש לכם, כמו קוד שנשלח לטלפון. מפתח גישה מחייב גם הוא משהו שיש לכם, המכשיר עם המפתח הפרטי, ומשהו שאתם או שאתם יודעים, טביעת האצבע או קוד הנעילה.

ההבדל המהותי הוא שקוד חד פעמי שנשלח בהודעה עדיין יכול להיגנב באתר מזויף, אם המשתמש מקליד אותו בעצמו. מפתח גישה, כאמור, לא יפעל באתר שכתובתו שונה. לכן גורמי אבטחה רבים רואים במפתחות גישה שדרוג משמעותי גם לעומת אימות דו שלבי מבוסס הודעות.

האתגרים שעוד נשארו

למרות היתרונות, המעבר אינו חלק לגמרי. חלק מהמשתמשים מתבלבלים מההבדל בין מפתח גישה לבין אימות דו שלבי רגיל. מעבר בין מערכות הפעלה שונות, למשל מטלפון של יצרן אחד למחשב של יצרן אחר, עדיין דורש לעיתים צעדים נוספים כמו סריקת קוד. ויש שירותים שמציעים מפתחות גישה אבל לא מאפשרים לבטל את הסיסמה הישנה, כך שהיא נשארת נקודת תורפה.

בנוסף, יש שאלה של אמון. משתמשים רבים חוששים להפקיד את כל מפתחות הגישה שלהם בידי חברה אחת. הפתרון הוא לבחור ספק אמין, להגן היטב על החשבון הראשי ולשמור על אפשרויות שחזור.

לסיכום

מפתחות גישה אינם עוד גימיק טכנולוגי, אלא שינוי משמעותי בדרך שבה אנחנו מתחברים לשירותים ברשת. הם בטוחים יותר מסיסמאות, עמידים בפני פישינג ונוחים יותר לשימוש. הסיסמאות לא ייעלמו מחר בבוקר, אבל כדאי להתחיל להשתמש במפתחות גישה בחשבונות החשובים כבר עכשיו, וליהנות מהשקט הנפשי שהם מביאים.