מנהל סיסמאות ואימות דו-שלבי: המדריך המלא להגנה על החשבונות שלכם

כמה סיסמאות יש לכם? אם תספרו את כל החשבונות – הבנק, הדואר האלקטרוני, הרשתות החברתיות, קופת החולים, אתרי הקניות, האפליקציות של חברת החשמל והעירייה – תגיעו בקלות לעשרות ואף למאות. רוב האנשים מתמודדים עם העומס הזה בדרך הפשוטה ביותר: סיסמה אחת או שתיים שחוזרות על עצמן בכל מקום, עם וריאציה קטנה פה ושם. הבעיה היא שבדיוק על ההרגל הזה מסתמכים פורצים. כשאתר אחד נפרץ ומאגר הסיסמאות שלו דולף, התוקפים מנסים את אותם פרטים בעשרות אתרים אחרים. החדשות הטובות הן שיש שני כלים פשוטים יחסית שמצמצמים את הסיכון באופן משמעותי: מנהל סיסמאות ואימות דו-שלבי.

למה סיסמה חזקה אחת לא מספיקה

נניח שבחרתם סיסמה ארוכה ומסובכת, עם אותיות, ספרות וסימנים. זה מצוין, אבל אם אתם משתמשים בה בכל האתרים, הסיסמה חזקה רק כמו האתר החלש ביותר שבו השתמשתם בה. אתר קטן של חנות מקוונת שלא שמר את המידע כראוי יכול לחשוף אותה, ומאותו רגע היא כבר לא סוד.

השיטה שבה תוקפים לוקחים פרטי התחברות שדלפו ממקום אחד ומנסים אותם באתרים אחרים נקראת ״מילוי אישורים״, והיא מתבצעת באופן אוטומטי ובהיקפים עצומים. לכן ההמלצה של מומחי אבטחה היא לא רק סיסמה חזקה, אלא סיסמה ייחודית לכל חשבון. אף אדם לא יכול לזכור מאות סיסמאות כאלה, וכאן נכנס לתמונה מנהל הסיסמאות.

איך עובד מנהל סיסמאות

מנהל סיסמאות הוא תוכנה או אפליקציה ששומרת את כל הסיסמאות שלכם בכספת מוצפנת. אתם צריכים לזכור סיסמה אחת בלבד, ״סיסמת האב״, והתוכנה דואגת לכל השאר. כשאתם נרשמים לאתר חדש, היא מציעה ליצור סיסמה אקראית וארוכה, שומרת אותה וממלאת אותה אוטומטית בפעם הבאה שתתחברו.

למנהלי הסיסמאות יש יתרון נוסף שלא תמיד חושבים עליו: הם מזהים את כתובת האתר. אם הגעתם לאתר מזויף שמתחזה לבנק שלכם, מנהל הסיסמאות לא ימלא את הפרטים, כי הכתובת לא תואמת. זו שכבת הגנה מפני דיוג, אחת משיטות הפריצה הנפוצות ביותר.

רבים חוששים לשים את כל הביצים בסל אחד: מה יקרה אם דווקא מנהל הסיסמאות ייפרץ? זו שאלה לגיטימית, והתשובה טמונה באופן שבו התוכנות האלה בנויות. במנהלי הסיסמאות המוכרים, ההצפנה מתבצעת במכשיר שלכם, והחברה המפעילה מחזיקה רק מידע מוצפן שאין לה מפתח לפתוח. גם אם השרתים שלה ייפרצו, התוקפים יקבלו גוש נתונים מוצפן שכמעט בלתי אפשרי לפענח בלי סיסמת האב. בפועל, הסיכון הזה נמוך בהרבה מהסיכון של שימוש חוזר באותה סיסמה בעשרות אתרים.

בחירת מנהל סיסמאות

יש בשוק אפשרויות רבות, חלקן חינמיות וחלקן בתשלום חודשי או שנתי. גם הדפדפנים ומערכות ההפעלה של הטלפונים כוללים כיום מנהלי סיסמאות מובנים, ולמשתמש ביתי שעובד בעיקר במערכת אחת הם יכולים להיות פתרון סביר. מי שעובר בין מחשב עם מערכת אחת לטלפון עם מערכת אחרת ירוויח ממנהל סיסמאות עצמאי שעובד בכל המכשירים.

בעת הבחירה כדאי לבדוק כמה דברים:

• האם הכספת מוצפנת כך שגם החברה עצמה לא יכולה לקרוא את התוכן.
• האם יש תמיכה בכל המכשירים והדפדפנים שאתם משתמשים בהם.
• האם אפשר לשתף סיסמאות בצורה מאובטחת עם בני משפחה.
• האם התוכנה מתריעה על סיסמאות חלשות, כפולות או כאלה שהופיעו בדליפות.
• מה אפשרויות השחזור אם שכחתם את סיסמת האב.

אימות דו-שלבי: מנעול שני על הדלת

גם הסיסמה הטובה ביותר עלולה לדלוף. אימות דו-שלבי מוסיף שכבה נוספת: כדי להיכנס לחשבון לא מספיק לדעת את הסיסמה, צריך גם להוכיח שהמכשיר שלכם נמצא בידיכם. ברוב המקרים מדובר בקוד חד-פעמי שנשלח או נוצר בטלפון, או באישור בלחיצה באפליקציה.

קיימות כמה שיטות, והן לא שוות ברמת האבטחה שלהן. קוד במסרון הוא עדיף על כלום, אבל הוא חשוף יחסית לתרמיות שבהן התוקף משתלט על מספר הטלפון. אפליקציית אימות שמייצרת קודים מתחלפים בטלפון עצמו בטוחה יותר. ברמה הגבוהה ביותר נמצאים מפתחות אבטחה פיזיים ו״מפתחות גישה״, טכנולוגיה חדשה יחסית שמחליפה את הסיסמה בזיהוי ביומטרי במכשיר ונחשבת עמידה מאוד בפני דיוג.

מאיפה מתחילים בפועל

המעבר לא חייב לקרות ביום אחד. התחילו בהתקנת מנהל הסיסמאות ובבחירת סיסמת אב טובה – משפט ארוך שקל לכם לזכור וקשה לאחרים לנחש. אחר כך עברו על החשבונות החשובים ביותר: תיבת הדואר האלקטרוני, שדרכה אפשר לאפס סיסמאות לכל השאר, החשבון הבנקאי, הרשתות החברתיות וחשבון הענן של הטלפון.

בכל אחד מהחשבונות האלה החליפו את הסיסמה לסיסמה אקראית שהתוכנה יוצרת, והפעילו אימות דו-שלבי. שמרו את קודי הגיבוי שהאתרים מספקים במקום בטוח, כי הם יאפשרו לכם להיכנס אם תאבדו את הטלפון. את שאר החשבונות אפשר לעדכן בהדרגה, בכל פעם שאתם נכנסים אליהם.

טעויות שכדאי להימנע מהן

הטעות הנפוצה ביותר היא לבחור סיסמת אב חלשה או להשתמש בה גם במקום אחר. סיסמת האב צריכה להיות ייחודית לחלוטין ולא להופיע בשום אתר. טעות נוספת היא לשמור את הסיסמאות בקובץ טקסט במחשב או בהערות בטלפון – זה נוח, אבל כל מי שניגש למכשיר יכול לקרוא אותן.

כדאי גם להיזהר מהודעות שמבקשות מכם למסור קוד אימות. אף גורם לגיטימי, לא בנק ולא חברת תקשורת, לא יבקש מכם להקריא בטלפון קוד שקיבלתם. אם מישהו מבקש, זה כמעט בוודאות ניסיון הונאה.

לסיכום, השילוב של מנהל סיסמאות ואימות דו-שלבי הוא אחד הצעדים הפשוטים והאפקטיביים ביותר שאדם פרטי יכול לעשות כדי להגן על עצמו ברשת. ההשקעה היא כמה שעות של סידור ראשוני, והתמורה היא שקט נפשי ופגיעות נמוכה בהרבה לפריצות, לדליפות ולהונאות.