- בלוג
- מדוע חשוב להפעיל אימות דו-שלבי? המפתח לאבטחת חשבונך
מדוע חשוב להפעיל אימות דו-שלבי? המפתח לאבטחת חשבונך
מדוע חשוב להפעיל אימות דו-שלבי? המפתח לאבטחת חשבונך
פורסם ב 09-04-2026
אימות דו-שלבי הפך לאחת הדרכים המרכזיות והראשיות לאבטחת חשבונות משתמשים ולביצוע פעולות ברשת האינטרנט – עד כדי כך שכל גוף שמחזיק בפרטים אישיים או חסויים ומכבד את עצמו, אינו מאפשר שימוש בשירותיו דרך האינטרנט בלי לכלול לפחות דרך אחת נוספת לאימות המשתמש, מלבד הסיסמה. למעשה, אתרים ושירותים רבים כוללים את האפשרות להגדיר לפחות שלב אחד נוסף באימות המשתמש, גם מבלי שחשבונו יכלול פרטים חשובים במיוחד.
אז מה זה, למה זה טוב, למה זה קצת פחות טוב (לפעמים) ולמה אנחנו ממליצים לכם להשתמש בזה גם כשמדובר בבחירה ולא בהכרח?
נדבר על:
+ למה סיסמאות לא מספיקות כדי לאבטח את חשבונות המשתמש שלנו
+ מהו אימות דו-שלבי וכיצד הוא עובד
+ על היתרונות שלו…
+ …וגם על החסרונות שלו
+ מהן הפגיעויות של אימות דו-שלבי
+ כיצד ניתן להשתמש בו בבטחה
+ ונסכם את הכל
סיסמאות ואתגרים
הרעיון של שם משתמש וסיסמה אינו דבר חדש לכל מי שאי פעם השתמש במחשב. הפעולה היא פשוטה ומוּכרת – בחרו בשם משתמש (עדיף כזה שעוד לא קיים במערכת…) ובסיסמה, והרי לכם חשבון משתמש ייחודי, עם מידע שרק אתם יכולים לגשת אליו. כדי לקבל גישה לפרטים שלכם ולבצע פעולות דרך החשבון הייחודי שלכם, כל שעליכם לעשות הוא להקליד את שם המשתמש ואת הסיסמה שהגדרתם.
הסיסמה אינה מאוחסנת על המערכת בה אתם משתמשים – לפחות לא כמו שהיא כאשר אתם מקלידים אותה. במקום זאת, ישנו ענף שלם בתחום הקריפטוגרפיה, שמטרתו האחת והיחידה היא לדאוג להצפנתן של סיסמאות, באופן שבו שום גורם מלבד המערכת עצמה לא יוכל לקרוא אותן – וגם אז, רק היא תוכל להבין מה שהיא קוראת (כלומר, לא ניתן יהיה “להבין” את הסיסמאות “דרך עיניה” של המערכת).
השיטה הנפוצה ביותר להצפנת סיסמאות היא פונקציית גיבוב סיסמאות (hashing) – המערכת משתמשת באלגוריתמים ש”ממירים” את הסיסמאות לטקסט מקודד ומוצפן באופן מתמטי, שיש לפענח על מנת להבין. הטקסט המוצפן הנו קבוע אך אקראי – כאשר אנחנו מקלידים את הסיסמה לשדה המתאים, המערכת משווה בינה לבין הטקסט, ובאמצעות פתרון משוואה מתמטית, היא יודעת שהסיסמה מתאימה למשתמש.
היתרון המהותי ביותר בשיטה זו הוא שהיא למעשה חד-סטרית – המערכת יכולה להמיר סיסמה לטקסט מגובב, אבל לא ניתן “לפענח” את הטקסט המגובב לסיסמה המקורית. כלומר, גם אם גורם עוין שם ידיו על הטקסט המגובב, וגם אם יש לו את האמצעים לפענח הצפנות מתקדמות, הוא לא יוכל לגלות מהי הסיסמה המקורית.
אז מה הבעיה?
על פניו, הכל נשמע פשוט ובטוח, נכון? הסיסמה בלאו הכי מוצפנת, וכאשר משתמשים בהצפנות המתאימות, לא ניתן לגלות אותה. ובכן, אם “לעקם” קצת את הפתגם המוכר, יש יותר מדרך אחת להגיע לרומא.
ככל שרשת האינטרנט התפתחה, כך גם השירותים המוצעים דרכה התפתחו. אנחנו מאחסנים מידע רב על שרתי אינטרנט, וחלק ניכר ממנו הוא מידע חשוב, שכולל פרטי זיהוי, פרטים חסויים אחרים, פרטי תשלום, מידע על חשבונות בנק… כלומר, מידע שהשגתו על ידי גורמים מסוימים יכול לגרום לנו לאי נוחות במקרה הטוב, ולנזק רב ואף בלתי-הפיך במקרה הגרוע.
וככל שרשת האינטרנט והשירותים שהיא מציעה התפתחו, כך גם הדרכים להשיג את הסיסמאות החשובות שלנו התפתחו.
אלה רק כמה מהבעיות שיש בשימוש בסיסמאות בלבד כאמצעי לאימות:
- שימוש באותה הסיסמה לכל החשבונות – כי מה לעשות, אנחנו בני אדם. בהמון מקרים, אנשים משתמשים באותה הסיסמה לְרוב (או לכל) החשבונות שלהם – חשובים וזניחים כאחד. כפועל יוצא מכך, ידיעה של סיסמה אחת מאפשרת כניסה לחשבונות רבים.
- סיסמאות פשוטות מדי – כמה אנשים אתם מכירים שמשתמשים בסיסמאות קלות לניחוש, כמו תאריך הלידה שלהם או של מישהו ממשפחתם, מספר הטלפון שלהם, או אפילו abcd1234? לא בִּכְדִי הדרישה למורכבות סיסמאות הולכת וגדלה אצל מערכות רבות (המערכות מחשיבות סיסמאות כמו abcd1234* למורכבות כמו כל סיסמה אחרת בעלת כמות תווים מתאימה, שכוללת את כל סוגי התווים הנדרשים, כך שיעילות הדרישה הזו די מוטלת בספק).
בעיית הסיסמאות הפשוטות היא כל כך נפוצה, שיש לה ערך בוויקיפדיה.
- רישום סיסמאות – כאשר הפתקים, בין אם פיזיים ובין אם דיגטיליים, ממוקמים במקומות גלויים לעין, או שניתן להגיע אליהם בקלות. כיום, מספיק לגנוב למישהו את הסמארטפון (שסביר שאינו נעול, לנוחיותו של המשתמש…) ולהיכנס לאפליקציית הפתקים שמותקנת עליו, או להקליק על האייקון של ג’ימייל. לא ערכנו מחקר מעמיק, אבל היינו מהמרים על סיכויים של 50-50 שנמצא שם את כל הסיסמאות החשובות.
- התקפות סייבר – ישנם גורמים עוינים רבים שחפצים בפרטים ובמידע שנמצא בחשבונות שלכם. כדי להגיע למידע הזה, התקפות ודרכי חדירה למערכות הולכות ומשתכללות, וביניהן, הדרכים השונות לגלות סיסמאות.
לא נתחיל לפרט את כל ההתקפות והדרכים להשיג סיסמה באמצעים טכנולוגיים, כי יש המון כאלה. למעשה, נזדקק למאמר בפני עצמו לשם כך. די לומר שהתקפות סייבר רבות מתמקדות בתחום הסיסמאות, ושגם כאשר הסיסמה מורכבת וארוכה, ניתן לפצח אותה יחסית במהירות.
אם אתם רוצים להבין עד כמה קל לפצח סיסמה באמצעים טכנולוגיים, תוכלו להסתכל על הטבלה של Hive Systems, שחישבה את הזמנים בהתאם לכמות התווים ולגיוון שלהם. כמעט רבע מסוגי הסיסמאות – וניתן לראות כי אלו הסוגים הנפוצים ביותר – ניתנות לפיצוח תוך בין שניות ספורות לשעות בודדות (במקרה הטוב).
לשם ההבהרה, כל האמור לעיל נכתב כהקדמה – מדובר בנושא חשוב עד כדי כך. ניתן, אפוא, להבין כי סיסמאות הן אכן דבר חשוב ומועיל, אבל כאמצעי יחיד לאבטחת חשבון, הן פשוט אינן מספיקות.
פיצוח סיסמאות מגובבות עם John the Ripper. כן, עד כדי כך פשוט (מקור: Dev.to)
הפתרון: אימות דו-שלבי
אימות דו-שלבי, או 2FA (ר”ת Two-Factor Authentication) הוא שיטת אימות משתמש/זהות, אשר כוללת שתי דרכים שונות (או שני שלבים שונים) באמצעותן המשתמש יכול להיכנס לחשבון שלו – כלומר, לאמת את זהותו. במילים אחרות, המערכת לא מסתמכת רק על הזנת הסיסמה (השלב הראשון), אלא מבקשת שימוש בגורם נוסף (השלב השני) כדי לוודא שהמשתמש הוא אכן מי שהוא טוען שהוא, ולא גורם אחר ששם ידיו על הסיסמה של המשתמש.
אמצעי הזיהוי השני הוא לרוב גורם כלשהו שרק למשתמש עצמו יש (או אמורה להיות) גישה אליו. כך, אם מישהו כן הצליח לגלות את הסיסמה של המשתמש, כאשר הוא ינסה להשתמש בה, יהיה עליו להגיע גם לגורם השני – דבר אשר בחלק ניכר מהמקרים, לא אמור להיות אפשרי.
רגע, אז מה ההבדל בין 2FA ל-MFA?
MFA, או אימות רב-שלבי (ר”ת Multi-Factor Authentircaion) משמעותו אימות באמצעות שני שלבים פקטורים) או יותר. הוא אינו מתייחס בהכרח לסיסמה, אלא רק לאמצעי אימות מרובים, למשל, שימוש במפתח גישה (Passkey) ובשאלת אבטחה, או הזנת פרטים מזהים, קבלת הודעת SMS וסריקת טביעת אצבע.
2FA הוא למעשה נגזרת של MFA, המתמקדת באמצעי אימות אחד בנוסף לסיסמה הרגילה.
אמצעים נפוצים לאימות דו-שלבי הם:
- הודעה/שיחה למספר הטלפון של המשתמש – המערכת תשלח SMS למספר הטלפון שהוגדר מבעוד מועד על ידי המשתמש. ההודעה תכלול קוד חד-פעמי (OTP) אותו המשתמש צריך להזין למערכת כדי להיכנס. לחלופין, הקוד יכול להישלח בשיחת טלפון, ולהתקבל בהקראה קולית (על-ידי בוט).
- הודעת דוא”ל – המערכת שולחת לדוא”ל שהוגדר על ידי המשתמש הודעה, המכילה קוד אימות חד-פעמי (OTP).
לחלופין, ההודעה עשויה להכיל קישור מוגבל בזמן, שהקלקה עליו תעניק למשתמש גישה לחשבון שלו – שיטה זו נקראת “קישור קסם” (או Magic Link).
- אישור דרך אפליקציה – במערכות שעיקר השימוש בהן מתבצע דרך אפליקציה, כאשר המשתמש רוצה לבצע פעולות מסוימות דרך הדפדפן (במחשב), נשלחת הודעה או התראה לאפליקצה המותקנת על הסמארטפון של המשתמש. על המשתמש לאשר כי הוא אכן זה שמבקש להשתמש בחשבון באתר האינטרנט – לרוב, על ידי אישור קוד דו או תלת ספרתי, על ידי לחיצה על כפתור באפליקציה, או באמצעות סריקת קוד QR.
מיקום הוא אמצעי נוסף, כלומר, אימות המשתמש באמצעות שימוש ב-GPS או לפי כתובת ה-IP שלו. שיטה זו היא יותר “סמויה”, שכן, אלו נתונים שמרבית השרתים יכולים לקבל ללא תלות במשתמש, במיוחד כשמדובר בכתובת ה-IP.
עם זאת, שיטה זו נמצאת בשימוש כפקטור נוסף שהמשתמש לא תמיד מודע אליו, ולא כדרך אימות “ידנית” כמו האחרות: לא רק שניתן לזייף מיקום בקלות (למשל, שימוש ב-VPN כדי לקבל כתובת IP של מיקום מסוים, ושימוש באפליקציות שמזייפות מיקום GPS), אלא שקשה להסתמך עליה בשל העובדה כי הרבה אנשים נמצאים באותם המקומות.
- התראות דחיפה (Push Notifications) – השרת שולח לאחת האפליקציות בסמארטפון התראה, המכילה בקשה לאישור. המשתמש יכול לאשר, כדי להודיע לשרת שזה אכן הוא; או לסרב. אישור יאפשר למשתמש לקבל גישה לחשבון שלו.
ואמצעים קצת פחות נפוצים:
- יישומוני אימות – יישומוני אימות, כמו Authy ,Google Authenticator ודומיהם, משתמשים בשיטה הנקראת TOTP – סיסמה חד-פעמית זמנית (Time-based One-Time Password).
לאחר הזנת הסיסמה הרגילה, השרת מייצר מפתח קריפטוגרפי, וקוד QR (או מפתח קריפטוגרפי סודי, למקרים בהם לא ניתן לסרוק את קוד ה-QR). לאחר שהמשתמש סורק עם יישומון האימות את קוד ה-QR, היישומון “מקבל” גם הוא את המפתח הקריפטוגרפי, ומייצר קוד (שידוע רק לו ולשרת). מרגע זה, ישנה כמות זמן מוקצבת – לרוב 30 או 60 שניות – בהן המפתח תקף. היישומון משתמש באלגוריתם גיבוב (hash), שמחשב את המפתח ואת השעה, ויוצר מהם קוד בן 6 ספרות (ע”פ סטנדרט RFC 6238) או 8 ספרות, אותו המשתמש מזין באתר. השרת שמאחסן את האתר משתמש בקוד כדי לבצע את אותו החישוב, אבל אחורנית; ואם הקוד נכון, המשתמש יכול להשתמש בחשבון שלו.
- אימות ביומטרי – לאחר הזנת הסיסמה, המשתמש מתבקש לסרוק מאפיין ביומטרי כלשהו – לרוב טביעת אצבע או את פניו. מערכות מתקדמות יותר כוללות סריקה של רשתית העין או זיהוי קולי.
- מפתחות הצפנה פיזיים – למקרים מיוחדים של צורכי אבטחה, ישנם מפתחות הצפנה פיזיים (כמו Yubikey). את חלקם ניתן להכניס לחיבור ה-USB על מכשירו של המשתמש, בעוד חלקם משתמשים ב-NFC ואפילו ב-Bluetooth.
הדגמה של שימוש ביישומון אימות ליצירת TOTP באמצעות מפתח הצפנה (Secret).
היתרונות של אימות דו-שלבי
היתרון הברור ביותר הוא שכבת האבטחה הנוספת. סיסמאות אינן מספיקות כדי לאפשר רמות הגנה גבוהות דיין, במיוחד בעידן של היום, בו רוב המידע החשוב שלנו מאוחסן על שרתים. 2FA מאפשר למשתמשים להחזיק במפתח הנוסף לנתונים שלהם, ולהקשות על גורמים עוינים לשים יד על המידע החשוב שלהם.
אם אבטחה מוגברת לא מספיקה, הנה עוד כמה יתרונות:
- פשטות – מרבית אמצעי האימות הדו-שלבי הם פשוטים לשימוש, ולא מצריכים כמעט שום ידע או מאמץ מצידו של המשתמש. למעשה, אם תחשבו על זה, מדובר בפעולות שאנחנו עושים כל הזמן בלאו הכי – לבדוק את הדוא”ל, לקרוא הודעת SMS, להפעיל אפליקציה כלשהי… הפשטות הזאת מאפשרת למשתמשים לאבטח את המידע החשוב שלהם באופן כמעט פסיבי – ספק השירות דואג להכל.
אמנם לעיתים יש צורך בקצת “עבודה” מצד המשתמש (בעיקר הגדרה של דרך האימות הנוחה לו, כאשר ישנה אפשרות כזו). עם זאת, במקרים בהם אכן יש צורך להגדיר אמצעי אימות, התהליך פשוט כמעט כמו האימות עצמו.
- מגוון – לפחות באופן פוטנציאלי, ספקי שירות ומשתמשים גם יחד יכולים לבחור בדרך האימות המועדפת עליהם, בהתאם לצרכים שלהם. אמנם מרבית הספקים מאפשרים שימוש בדרך אחת או שתיים בלבד, אך אין זה אומר שהמגוון לא קיים, וכך גם המענה על צורכי אבטחה שונים. מגוון משמעותו יותר אפשרויות ויותר גמישות, כלומר, יותר התאמה ליותר אנשים, ויותר אפשרויות גיבוי במקרה שהדרך הראשית כשלה או שבלתי אפשרי להשתמש בה.
למעט מערכות ביומטריות מתקדמות, כמו מערכת לסריקת רשתית, מערכות אימות וזיהוי אינן יקרות כלל, במיוחד ביחס לאלמנט האבטחה המוגברת שהן מספקות. העלות-תועלת הגבוהה מועילה הן לספק השירות, שיכול לסייע ללקוחותיו לשמור על רמות אבטחה גבוהות ללא השקעה גבוהה (לפחות כשמדובר באימות משתמש); ולמשתמשים עצמם, שהרי כל ספק שירות הוגן יגלם את העלות המופחתת במחיר השירותים שלו.
- שיפור בניהול הגישה – מערכות אימות דו-שלבי מגיעות, בהמון מקרים, עם יכולות משופרות לניטור וניהול. הודות לכך, ארגונים המשתמשים בהן יכולים לנהל את גישת המשתמשים לשירותיהם ואת חשבונות המשתמשים ביתר קלות, ולחסום את הגישה לגורמים בלתי מורשים.
רגע… יש גם חסרונות
לא נרצה לספק לכם מידע לא שלם. למרות כל יתרונותיו של האימות הדו-שלבי, אי אפשר “לתת לו להתחמק” בלי לציין כמה מהחסרונות הבולטים שלו:
- יותר זמן – גם אמצעי האימות הדו-שלבי הפשוטים ביותר יכולים להכפיל, לשלש, ואף לְרַבֵּעַ את זמן הכניסה לחשבונות משתמשים. בחירה באמצעי האימות, המתנה לקבלת הקוד, שימוש באמצעי האימות, הקלדת הקוד… בפני עצמו, זהו תהליך קצר, אך כחלק מכניסה לחשבון משתמש, מדובר בכמות זמן בלתי מבוטלת.
- תלות בגורמים חיצוניים – הסמארטפון נפל לשלולית? הרשת הסלולרית קרסה? אתם לא מקבלים הודעות SMS ממדינות מסוימות? הסיסמה לדוא”ל החדש נשכחה? מפתח ההצפנה הפיזי נשאר בבית? אם אין דרך נוספת לבצע את האימות, אתם בבעיה. אימות דו-שלבי מאלץ את המשתמשים להיות עם גורם זמין כדי לבצע את האימות, דבר שלא תמיד מתאפשר.
למעשה, חיסרון נוסף, שניתן “לחבר” לתוספת הזמן הנחוצה לשימוש ב-2FA הוא ההכרח באבטחה נוספת – באופן פוטנציאלי, השלב הנוסף של האימות מגביר את רמות האבטחה של חשבונו של המשתמש. עם זאת, כדי שהאבטחה תעבוד כראוי, יש לאבטח גם את האמצעים שבאמצעותם האימות מתבצע בפועל. אבטחה נוספת משמעה טרחה נוספת, ועוד כמה דברים לדאוג להם (כמו נעילה ראויה לסמארטפון, סיסמה חזקה למשתמש בלפטופ, וכיוצא בזה).
פגיעויות
אם כבר מדברים על אמצעי אבטחה, ועוד כזה שנמצא בשימוש כל כך נרחב, כדאי גם לדבר על המגבלות שלו. מוּדָעוּת למגבלות ולאפשרויות של נטרול ההגנה שלנו מאפשרת לנו לדעת כיצד “לסגור את הפינות”, וכיצד להשתמש באמצעי ההגנה שלנו באופן יעיל ובטוח יותר.
ואכן, אימות דו-שלבי אינו חסין מפני התקפות. למעשה, במובן מסוים, הוא חושף את המשתמש לעוד התקפות, שנועדו לעקוף אותו ולאפשר להם לגשת לחשבונו בכל מקרה.
אלה רק כמה מהדרכים בהן ניתן לעקוף אימות דו-שלבי:
- החלפת סים (SIM Swapping) – התוקפים מעתיקים את כרטיס הסים של המשתמש לכרטיס סים שנמצא בבעלותם. העתקה זו מתאפשרת בעיקר באמצעות שכנוע הספק הסלולרי לבצע את ההעתקה, שכן, העתקה פיזית של כרטיסי סים מודרניים אינה תהליך פשוט כלל. לחלופין, התוקפים עשויים לגנוב את כרטיס הסים מהפלאפון – לפחות בכל הקשור לסמארטפונים, הוצאת כרטיס סים לוקחת כמה שניות בלבד.
או אז, התוקפים יכולים לקבל הודעות שמיועדות למשתמש – ביניהן קודים חד-פעמיים לשם אימות.
- הזנחת אימות פרטים – אם פלטפורמה או אתר אינם מאמתים כי מספר הטלפון או הדוא”ל שהוזן כאמצעי לאימות נוסף אכן נמצא בבעלותו של המשתמש, הרי שכל אחד יכול לחדור לחשבון ולהוסיף איזה מספר/כתובת דוא”ל שמתחשק לו.
- דיוג (פישינג – Phishing) – התוקפים יכולים לזייף עמוד אינטרנט דומה לזה אשר אליו המשתמש צריך להזין את הקוד שהתקבל במסגרת האימותי. המשתמש מזין את הקוד… והתוקפים יכולים להיכנס לחשבונו.
- התקפות כוח-גס (Brute Force) – כלומר, ניסיונות חוזרים ומהירים של כל אופציה אפשרית של קוד, עד שאחד מהם מצליח. התקפות כוח-גס יכולות להצליח אם ספק השירות לא יישם הגבלת נסיונות להזנת קוד, או אם הוא משתמש באלגוריתמים חלשים ופשוטים לייצור OTP.
- התקפות אדם-בתווך (MITM) – תוקפים יכולים “ליירט” את תקשורת הנתונים בין המשתמש לשרת או לשירות אשר שולח לו את קוד האימות, ואפילו את התקשורת בינו לבין חברת התקשורת שאחראית למשלוח ה-SMS.
- חטיפת חיבור (Session Hijacking) – אם הספק לא יישם מערכת אוטומטית לניתוק המשתמש לאחר זמן מה ללא פעולה, או אם המשתמש עצמו לא התנתק מהמערכת לאחר שסיים את פעולתו, תוקפים יכולים לגנוב את קובץ העוגיה (Cookie) או את אסימוני אימות (Tokens) של החיבור, ובאמצעותם להשתלט על עליו ולדלג על הצורך באימות לחלוטין.
משהשיג את קובץ העוגיה (cookie), כל מה שהתוקף צריך הוא הרחבה לדפדפן כדי להשתלט על החיבור
כפי שאתם רואים, חלק ניכר מאבטחת החשבונות והמכשירים, גם תוך כדי ולאחר השימוש באימות דו-שלבי (ולמעשה, אבטחת התהליך עצמו) תלויים בעיקר בנו – המשתמשים. נכון, חלק קשור ישירות לספק, לאמצעים בהם הוא משתמש, ולאיכותו באופן כולל – אך איכותי ככל שהספק יהיה, אין להסתמך רק עליו ועל הטכנולוגיה. התקפות מסוג זה מתבססות בעיקר על טעויות אנוש, ולכן, עלינו להיות מודעים לסכנות ולהתגונן בהתאם.
שימוש בטוח באימות דו-שלבי
כשאנחנו כותבים משהו, אנחנו מתכוונים אליו. כשהוספנו לכותרת את המשפט “המפתח לאבטחת חשבונך”, ידענו שלא מספיק רק לתאר כמה טוב הוא השימוש באימות דו-שלבי. לכן, הנה כמה צעדים באמצעותם תוכלו ליהנות משכבת האבטחה הנוספת הזו, וגם למתן את הסכנות שלעיל:
- תנו ל-SMS עדיפות אחרונה, במידת האפשר. הודעות SMS, כרטיסי סים, והסמארטפון שלכם באופן כללי, הם בעלי פרופיל פגיעות גבוה. לא רק שהחלפת כרטיס סים ו”יירוט” הודעות הם בין ההתקפות הפשוטות יותר לביצוע, אלא שהסמארפון שלכם הוא אחד החפצים הגניבים ביותר שנמצאים ברשותכם. כאשר ספק השירות מאפשר לכם לבחור בדרכים אחרות, כמו דוא”ל או יישומון אימות, עדיף שתבחרו בהן קודם.
- זכרו לנעול את המכשירים שלכם. שימו נעילה כלשהי על כל מכשיר בו אתם משתמשים כדי לאמת את זהותכם, וזכרו לנעול גם את כרטיס הסים שלכם עם קוד (אפשרות שקיימת בכל מכשיר סלולרי). אם אתם משתמשים ביישומון אימות, תוכלו להגן עליו באמצעות אפליקציית נעילה ליישומים, כמו AppLock.
- סיימתם? התנתקו מהחשבון. אמנם מערכות רבות מנתקות את המשתמש לאחר זמן מה ללא פעילות בחשבון. עם זאת, אנו ממליצים להתנתק בעצמכם בכל מקרה, ולא להשאיר לגורמים עוינים את ההזדמנות “לחטוף” את החיבור שלכם, או להשתמש במכשיר שלכם מבלי שתשימו לב.
רוצים ללכת על יותר בטוח? אם אתם משתמשים בדפדפן, היכנסו מכרטיסיה פרטית (Incognito) לחשבונות החשובים שלכם. לאחר סגירת הדפדפן, המערכות מתנקות באופן אוטומטי, ולא מתבצעת שמירה של קבצי עוגיה (Cookie) או אסימוני אימות (Tokens).
- היזהרו עם קודי QR. הם אמנם מהווים דרך מהירה וזמינה לאימות, אבל לא קשה לצלם אותם מאחורי הגב שלכם. עדיף להשתמש בהם במקומות לא ציבוריים, ולוודא כי אין מאחוריכם אף אחד.
אם החשבון חשוב מאוד, כדאי לוודא עם ספק השירות שקוד ה-QR תקף לזמן מוגבל ולשימוש אחד בלבד.
נעילת כרטיס סים במכשיר אנדרואיד. פחות מ-2 דקות ואתם קצת יותר מוגנים
לאבטחה מוגברת אף יותר, אבטחו את הקו הסלולרי שלכם – שירותים רבים מאפשרים 2FA באמצעות SMS בלבד, אז כדאי להתמגן בהתאם. דברו עם המפעילה הסלולרית שלכם ובקשו להגדיר סיסמת לקוח ודרישה לזיהוי בכל פעולה שקשורה לכרטיס הסים ולמספר הסלולרי שלכם (ניוד, כרטיס סים חדש, וכו’). תוכלו גם לבקש חסימת ניוד יזום – כלומר, בקשת ניוד תצריך לא רק SMS, אלא גם קוד סודי או הגעה לאחד הסניפים של המפעילה עם תעודת זיהוי.
לסיכום
סיסמה מורכבת וחזקה היא הצעד הראשון, ואולי החשוב ביותר, באבטחה על כל חשבון. עם זאת, כיום, גם הסיסמה החזקה ביותר לא תמיד מסוגלת לעצור את ניסיונותיהם של גורמים עוינים להגיע למידע החשוב שלנו (וכפי שראינו, מרבית האנשים לא משקיעים יותר מדי בסיסמה בלאו הכי).
2FA מספק שכבת הגנה נוספת שנמצאת בידינו בלבד, איננה תלויה בסיסמה או באבטחתה, וניתנת לביצוע בפשטות יחסית. הוא מאפשר למערכות לאמת את זהותנו באופן בטוח יותר, ומפחית את הסיכונים של חדירות, פריצות והתחזויות. למעשה, אימות דו-שלבי הוא אמצעי הכרחי לכל אתר או שירות רשת שכולל חשבונות משתמשים עם מידע חשוב או פרטי.
נכון, האימות הנוסף לוקח לנו קצת יותר זמן. אבל אנו מאמינים שתסכימו איתנו שדקה-שתיים שוות את רמות האבטחה המוגברות של הנכסים והנתונים החשובים ואת הפרטיות שלכם.
עם זאת, גם אמצעי הגנה יעיל כמו אימות דו-שלבי אינו חף מפגיעויות. אם נוסיף לכך את התחכום האנושי (ולאחרונה, גם את התחכום של בינה מלאכותית), הרי שתמיד יהיו דרכים לעקוף אמצעי הגנה ולחדור מבעדם. במקרה של 2FA, היתרון הוא בידינו, שכן, מרבית ההתקפות נסמכות על ההתנהגות ועל חוסר שימת הלב שלנו. אם נשתמש באמצעי ההגנה בחוכמה, נדע ממה להישמר, ונאבטח כמו שצריך את אמצעי האימות שברשותנו, נוכל לשמור על בטיחות החשבונות שלנו ולמתן את הסיכונים בו זמנית – ולמעשה, ליהנות מכל העולמות בראש קצת יותר שקט.
אימות דו-שלבי עם Jetserver
אנחנו חוזרים על כך לא מעט, אבל אבטחת המידע שלכם חשובה לנו. אנחנו ממליצים לכם להגדיר אימות דו-שלבי בחשבונות המשתמש שלכם אצלנו ברגע שיהיה לכם זמן, ולשמור על השרתים ועל הנכסים הדיגיטליים שלכם.
ההגדרה היא פשוטה ומהירה, ולא אמורה לקחת יותר מכמה דקות. לנוחיותכם, צירפנו מדריך מפורט.
לשאלות נוספות על אימות דו-שלבי, על אבטחת החשבון שלכם אצלנו, ולכל דבר אחר, אתם מוזמנים ליצור איתנו קשר בכל שעה.
שאלות נפוצות של Jetserver – כל מה שצריך לדעת
אימות דו-שלבי, או 2FA (ר"ת Two-Factor Authentication), הוא שיטת אימות משתמש שמוסיפה שלב נוסף לתהליך האימות בנוסף לסיסמה – כלומר, כדי להיכנס לחשבון המשתמש שלו ולהשתמש בו, המשתמש צריך לבצע פעולת אימות נוספת מלבד הקלדת הסיסמה, באמצעות גורם אשר נמצא בשליטתו ובאחזקתו בלבד.
אימות דו-שלבי מספק שכבת הגנה נוספת לכל חשבון משתמש, במקרה שסיסמת הכניסה לחשבון מתגלית או נעקפת. שלב האימות הנוסף עוזר למשתמשים להגן על הנתונים והמידע החשובים שלהם, ומסיר את התלות בסיסמה כאמצעי הגנה יחיד.
באופן בסיסי, אין שום בעיה עם סיסמאות, במיוחד לא עם סיסמאות מורכבות וארוכות שקשה לנחש או לגלות באמצעות התקפות כוח-גס (Brute Force). עם זאת, סיסמה, מורכבת ככל שתהיה, אינה מספיקה כדי למנוע גישה בלתי מורשית לחשבונות שלנו, מפני ש:
• המון אנשים משתמשים בסיסמה אחת לרוב/כל החשבונות שלהם – כך שאם סיסמה אחת נחשפת, כל החשבונות, כולל החשובים ביותר, נמצאים בסכנה.
• חלקן פשוטות מדי – לא כולם משקיעים את הזמן הנחוץ ביצירת סיסמה מורכבת, בין אם בשל שאננות ובין אם בגלל שהם לא רוצים לשכוח אותה. לכן, סיסמאות קלות לניחוש ולפיענוח נפוצות מאוד.
• לפעמים רושמים אותן במקומות חשופים או גלויים לעין – כמו פתקים על שולחן העבודה, באפליקציית פתקים בסמארטפון לא נעול, וכדומה.
• התקפות סייבר רבות מתמקדות בחשיפת סיסמאות או בפענוח הצפנת סיסמאות – וככל שהטכנולוגיה מתקדמת, כך ההתקפות הופכות למחוכמות יותר.
אימות רב-שלבי (MFA): מתאר אימות במספר שלבים (שניים או יותר), אשר אינם בהכרח קשורים לסיסמה – למשל, הזנת מפתח גישה (Passkey), מענה על שאלת אבטחה, והזנת פרט מזהה כלשהו.
אימות דו-שלבי (2FA): הנו "נגזרת" של אימות רב-שלבי, ומתייחס לאימות בשני שלבים בלבד, או, ליתר דיוק, לשלב נוסף של אימות לאחר הזנת סיסמה, כשכבת אבטחה נוספת.
הודעה או שיחה למספר הטלפון של המשתמש – ההודעה תכלול סיסמה חד-פעמית (OTP, או One Time Password), אותה יש להקליד בשדה המתאים באתר של ספק השירות; לחלופין, הסיסמה החד-פעמית עשויה להיות מוקראת בשיחת טלפון על ידי בוט.
הודעת דוא"ל – שמכילה סיסמה חד-פעמית (OTP) לשם גישה לחשבון, או קישור קסם (Magic Link) שהקלקה עליו מעניקה גישה לחשבון.
אישור דרך אפליקציה – רלוונטי בעיקר לשירותים אשר משלבים יכולת מתן שירות דרך אפליקציה ודרך אתר אינטרנט. ביצוע פעולה באתר האינטרנט יצריך אישור דרך האפליקציה, באמצעות קוד או באמצעות פעולה אחרת.
התראות דחיפה (Push Notifications) – השירות שולח התראה (לרוב לאפליקציה כלשהי, כתלות בשירות) עם כפתורי אישור וסירוב, כאשר לחיצה על "אישור" מקנה גישה לשירות.
יישומוני אימות – יישומוני אימות כמו Microsoft Authenticator ו-Authy יוצרים קשר עם השרת של ספק השירות, ומקבלים ממנו מפתח קריפטוגרפי וקוד QR או מפתח הצפנה סודי. באמצעות המפתח, הם יצרים קוד בן 6 או 8 ספרות, שנקרא TOTP – סיסמה חד-פעמית זמנית (Time-based One Time Password), אשר באמצעותו המשתמש מאמת את זהותו.
אימות ביומטרי – המשתמש סורק מאפיין ביומטרי כלשהו, כמו טביעת אצבע או פנים.
מפתחות הצפנה פיזיים – כמו מפתחות שנכנסים ליציאות ה-USB של המכשיר של המשתמש, או משתמשים ב-NFC וכדומה.
אבטחה נוספת – דרך נוספת לאימות המשתמש, אשר אינה תלויה בסיסמה, מספקת שכבת הגנה נוספת לחשבונות משתמשים, ומקנה הגנה נגד התחזויות, הונאות, פריצות וגניבות במישור הסייבר.
פשטות – השימוש באימות דו-שלבי – כלומר, ביצוע שלב האימות השני, לאחר הזנת הסיסמה – הוא במרבית המקרים מהיר ופשוט, וכולל בעיקר קבלה של קוד בדרך כלשהי, והזנתו באתר/אפליקציה של ספק השירות.
מגוון – יש הרבה דרכים לביצוע אימות דו-שלבי. המגוון הרחב שקיים מאפשר לספקי שירות וללקוחות לבחור בדרך המועדפת עליהם, בהתאם לצרכיהם השונים.
מחיר – ברוב המוחלט של המקרים, אימות דו-שלבי אינו עולה למשתמש דבר. נוסף על כך, מערכות האימות, מצידו של ספק השירות, אינן יקרות – דבר אשר אמור להשתקף במחיר השירות באופן כולל.
ניהול גישה משופר – מערכות אימות דו-שלבי כוללות יכולות משופרות לניטור וניהול הגישה למערכות של ספק השירות. כך, ספק השירות יכול לנהל את גישת המשתמשים לשירותיו בקלות, ולחסום גישה של גורמים בלתי מורשים.
זמן – ביצוע שלב האימות הנוסף לסיסמה מצריך יותר זמן מאשר הקלדת הסיסמה בלבד – לעיתים אף מספר דקות.
תלות בגורמים נוספים – לא מעט גורמים מעורבים באימות דו-שלבי, ואם אחד מהם לא מתפקד או אינו בנמצא, בלתי אפשרי להיות מאומת במערכת ללא אמצעי משני.
מצריך אבטחה נוספת – כדי לשמור על הבטיחות של האימות הדו-שלבי, יש לאבטח את כל הגורמים הקשורים לאימות – דבר שהוא אמנם הכרחי גם ללא האימות הדו-שלבי, אך עדיין מצריך עבודה והשקעה נוספת מצידו של המשתמש.
לא, אימות דו-שלבי אינו חסין מפני התקפות, וניתן לעקוף אותו הן באמצעים טכנולוגיים והן באמצעים אנושיים. ללא שימת לב ואבטחה נאותה על האמצעים שמאפשרים את האימות, גורמים זדוניים יכולים להשתמש גם באימות דו-שלבי על מנת להתחזות למשתמש ולחדור לחשבונו.
• החלפת סים (SIM Swapping) – התוקפים מעתיקים את כרטיס ה-SIM של הקורבן לכרטיס SIM אחר, או גונבים אותו מתוך המכשיר הסלולרי שלו, ומשתמשים במספר כדי לקבל את קודי האימות שנשלחים אליו.
• דיוג (פישינג – Phishing) – שכנוע של המשתמש לתת לתוקפים את קוד האימות באמצעות התחזות לגורם כלשהו – לדוגמה, הצבת עמוד אינטרנט דומה לעמוד בו על המשתמש להזין את קוד האימות.
• כוח-גס (Brute Force) – ניסיונות רבים ומהירים להזין צירופים שונים של קוד, עד ההזנה של הקוד הנכון.
• התקפות אדם באמצע (MITM) - ניתן “ליירט” את תקשורת הנתונים בין המשתמש לשרת או לשירות אשר שולח לו את קוד האימות, ואפילו את התקשורת בינו לבין חברת התקשורת שאחראית למשלוח ה-SMS.
• אימות פרטים בלתי מספיק – כאשר ספק השירות אינו מאמת כי פרטי האימות הדו-שלבי (מספר טלפון, כתובת דוא"ל וכו’) שהוזנו אכן שייכים למשתמש.
• חטיפת חיבור (Session Hijacking) – כאשר המשתמש לא מתנתק מחשבונו לאחר השימוש, או כאשר ספק השירות לא מיישם מערכת אוטומטית לניתוק לאחר זמן מסוים ללא פעילות, התוקפים יכולים לגנוב את קובץ העוגיה (cookie) או את "אסימוני" האימות (tokens) ולהשתמש בהם כדי להתחזות למשתמש; או להשתמש במכשירו של המשתמש כדי לבצע פעולות בחשבון.
כדי ליהנות משכבת האבטחה הנוספת ומהפשטות של אימות דו-שלבי, תוכלו לנקוט בצעדים הבאים:
• שימו אימות באמצעות SMS בתחתית העדיפויות שלכם. הודעות SMS ומכשירים סלולריים נמצאים ברמת פגיעות גבוהה, בשל האפשרות ל"יירוט" הודעות SMS ובגלל שמכשירים סלולריים ניתנים לגניבה בקלות. במידת האפשר, בחרו בדרך אימות שאינה תלויה בהם (כמו דוא"ל או יישומוני אימות).
• נעלו את כל המכשירים בהם אתם משתמשים כדי לאמת את זהותכם. אתם יכולים לנעול אותם באמצעות סיסמת גישה, קוד מספרי, או בכל אפשרות אחרת שנוחה לכם (אנחנו ממליצים על סיסמה מורכבת). נעילה תעכב גנבים ותוקפים מהשגת המידע שהם צריכים, ולרוב אפילו תעצור אותם לחלוטין. תוכלו לנעול יישומוני אימות ויישומוני דוא"ל באמצעות אפליקציות ייעודיות, כמו AppLock.
• התנתקו מחשבונות משתמש בסיום. כך תוכלו למנוע מתוקפים "לחטוף" את החיבור שלכם, או להשתמש בחשבונות שלכם כשאתם לא שמים לב.
• שימו לב לסביבה שלכם. במיוחד כאשר אתם משתמשים באימות באמצעים גרפיים שניתן לצלם, כמו קודי QR. לחשבונות חשובים שמשתמשים בקודי QR לאימות, מומלץ לוודא עם ספק השירות שהקוד תקף לשימוש אחד בלבד, ולזמן מוגבל.
• אבטחו את הקו הסלולרי שלכם. בקשו מהמפעילה הסלולרית שלכם להגדיר סיסמת לקוח ודרישת זיהוי לפעולות שקשורות למספר ולכרטיס הסים שלכם, כמו ניוד או כרטיס סים חדש. בקשו חסימת ניוד יזום, כך שבקשות ניוד יצריכו הגעה לסניף של המפעילה עם תעודת זיהוי.
בהחלט כן. אבטחת המידע והחשבונות שלכם נמצאת בראש מעייננו, וכחלק מהאמצעים המתקדמים בהם אנו משתמשים על מנת להגן על הנכסים הדיגיטליים שלכם, אנחנו כוללים את האפשרות להשתמש בזיהוי דו-שלבי כדי להיכנס לחשבונות המשתמש שלכם אצלנו – הן באיזור הלקוחות, שם אתם רשאים לבחור האם להגדיר אימות דו-שלבי, או להיכנס באמצעות סיסמה בלבד; והן במערכת הענן שלנו, שם אימות דו-שלבי הנו חובה.
תהליך הגדרת האימות הדו-שלבי באיזור הלקוחות הוא פשוט מאוד, ואורך כמה דקות בלבד. תוכלו להפעיל את האימות הדו-שלבי דרך הגדרות החשבון שלכם, בהקלקה על שם המשתמש שלכם בפינה השמאלית העליונה של העמוד, הקלקה על פרטי החשבון שלכם, וגלילה לתחתית העמוד.
כמו כן, תוכלו להיעזר במדריך מפורט שנמצא באתר שלנו.
השותפים שלנו
