Passkeys ומפתחות אבטחה פיזיים — מה זה ולמה

Passkeys (מפתחות סיסמה) הם שיטת התחברות מודרנית שמחליפה את הסיסמה הרגילה במפתח דיגיטלי מוצפן השמור במכשיר שלכם. במקום להקליד סיסמה שאפשר לגנוב או לנחש, אתם מאמתים את הזהות באמצעות טביעת אצבע, זיהוי פנים או קוד המכשיר. מפתח אבטחה פיזי הוא התקן חומרה קטן שמבצע את אותו תפקיד ומספק שכבת הגנה נוספת חזקה במיוחד.

Passkeys מה זה בדיוק?

passkey הוא זוג מפתחות קריפטוגרפיים: מפתח פרטי שנשאר מאובטח במכשיר שלכם ולא עוזב אותו לעולם, ומפתח ציבורי שנשמר אצל השירות שאליו אתם מתחברים. כשאתם מתחברים, המכשיר מוכיח שהוא מחזיק במפתח הפרטי בלי לחשוף אותו. התוצאה: אין סיסמה שאפשר לדוג בפישינג, אין מה לגנוב ממאגר נתונים שנפרץ, ואין מה לנחש.

• אין סיסמה לזכור — האימות מבוסס על המכשיר והזיהוי הביומטרי שלכם.
• עמידות בפני פישינג — ה-passkey קשור לכתובת האתר האמיתית ולא יעבוד באתר מתחזה.
• מסונכרן בין מכשירים — דרך מנהל הסיסמאות של גוגל, אפל או מיקרוסופט.

מה ההבדל בין passkey למפתח אבטחה פיזי?

שני הכלים מבוססים על אותו תקן (FIDO2/WebAuthn), אך הם מתאימים לצרכים שונים:

• Passkey — שמור במכשיר עצמו (טלפון, מחשב) ומסונכרן בענן. נוח ומהיר לשימוש יומיומי.
• מפתח אבטחה פיזי — התקן חומרה נפרד (למשל בחיבור USB או NFC) שאתם מחברים או מקרבים למכשיר כדי לאשר התחברות. הוא לא מסתמך על הענן, ולכן קשה במיוחד לתקוף אותו מרחוק.

לחשבונות רגישים במיוחד, שילוב של השניים נותן את רמת ההגנה הגבוהה ביותר.

איך מפעילים passkey — מדריך צעד אחר צעד

1. היכנסו להגדרות האבטחה של החשבון (למשל בחשבון גוגל, אפל או מיקרוסופט).
2. אתרו את האפשרות "מפתחות סיסמה" או "Passkeys" ובחרו ביצירת מפתח חדש.
3. אשרו את הזהות באמצעות טביעת אצבע, זיהוי פנים או קוד המכשיר.
4. אם אתם משתמשים במפתח אבטחה פיזי, חברו אותו והקישו עליו כשתתבקשו.
5. שמרו אמצעי גיבוי אחד לפחות, כמו מפתח נוסף או קודי שחזור חד פעמיים במקום מאובטח.

למה passkeys מגנים עליכם מפני פריצה?

רוב הפריצות לחשבונות מתחילות בסיסמה שנחשפה — בין אם דרך הודעת פישינג, מאגר נתונים שדלף או סיסמה חוזרת בכמה שירותים. passkeys מנטרלים את נקודת התורפה הזו:

• אין סיסמה שאפשר להזין באתר מתחזה, כך שהתקפות פישינג פשוט לא עובדות.
• המפתח הפרטי לא נשלח אף פעם לשרת, ולכן דליפה במאגר לא חושפת אותו.
• גם אם תוקף משיג את המפתח הציבורי, הוא חסר ערך בלעדי המכשיר הפיזי שלכם.

מתי כדאי לפנות לשירות מקצועי

יש מצבים שבהם הגדרה עצמאית לא מספיקה, וכדאי להיעזר במומחים:

• כאשר החשבון כבר נפרץ ואתם חוששים שהתוקף שינה את הגדרות האבטחה או אמצעי ההתחברות.
• כאשר איבדתם גישה למכשיר או למפתח האבטחה ואינכם מצליחים להתחבר.
• כאשר אתם מנהלים חשבונות רגישים — עסקיים, כספיים או ברשתות חברתיות — ורוצים הגנה ברמה גבוהה.
• כאשר אתם לא בטוחים אילו אמצעי אבטחה פעילים בחשבון ואיך לסגור פרצות קיימות.

ב-FIW אנחנו מבצעים שחזור לגיטימי של חשבונות שנפרצו, מסלקים גישה של גורמים לא מורשים ומטמיעים שכבות הגנה חדשות כדי שזה לא יקרה שוב.

שאלות נפוצות

האם passkey בטוח יותר מסיסמה עם אימות דו שלבי?

כן. passkey עמיד בפני פישינג בצורה מובנית, בעוד שאימות דו שלבי מבוסס קוד עדיין חשוף להתקפות שמפתות אתכם למסור את הקוד. passkey מספק הגנה חזקה יותר כברירת מחדל.

מה קורה אם אני מאבד את הטלפון עם ה-passkeys?

אם ה-passkeys מסונכרנים בענן דרך חשבון גוגל או אפל, תוכלו לשחזר אותם במכשיר חדש לאחר אימות זהות. לכן חשוב לשמור אמצעי גיבוי וקודי שחזור במקום מאובטח.

האם אני חייב מפתח אבטחה פיזי אם יש לי passkey?

לא חובה, אך מומלץ לחשבונות רגישים במיוחד. מפתח פיזי מוסיף שכבת הגנה שאינה תלויה בענן ומקשה מאוד על תקיפה מרחוק.

נפרצתי — האם עדיין כדאי להפעיל passkeys?

בהחלט, אך קודם יש להחזיר את השליטה בחשבון ולוודא שאין גישה זרה פעילה. צוות FIW יכול לבצע את השחזור ולאחר מכן להטמיע passkeys כדי לחסום פריצות עתידיות.