בקצרה: סיסמה חזקה עוצרת ניחוש, אבל היא לא עוצרת דליפה שכבר קרתה או סשן גנוב. אימות דו-שלבי מוסיף שכבה שנייה שהתוקף לא מחזיק גם אחרי שהסיסמה שלכם דלפה. אפליקציית אימות או מפתח פיזי חזקים בהרבה מקוד SMS.
הרוב מרגישים מוגנים ברגע שהם בונים סיסמה ארוכה עם סימנים ומספרים. ההיגיון נשמע נכון: ככל שהסיסמה מורכבת יותר, כך קשה יותר לנחש אותה. הבעיה היא שרוב הפריצות היום לא מנחשות כלום. הן משתמשות בסיסמה שכבר נמצאת אצל התוקף, מדליפת ענק או ממייל התחזות ששכנע אתכם להקליד אותה בעצמכם.
קראו גם: המייל מהבנק נראה אמיתי לחלוטין: איך לזהות פישינג לפני שלוחצים · הנגשה דיגיטלית: ספרים דיגיטליים מעניקים הזדמנויות קריאה חדשות לכולם · קבוצות נישה בוואטסאפ ובטלגרם
מסד הנתונים Have I Been Pwned מחזיק מיליארדי כתובות ורשומות שהודלפו לאורך השנים. אם הסיסמה שלכם נמצאת באחת מהן, האורך שלה כבר לא רלוונטי. התוקף מקליד אותה כמו שאתם.
למה סיסמה לבדה נכשלת
סיסמה היא גורם אחד: משהו שאתם יודעים. ברגע שהמשהו הזה עובר לצד השני, הכול פתוח. דליפות של אתרים גדולים חושפות מיליוני צמדי משתמש-סיסמה בבת אחת, ותוקפים מריצים אותם אוטומטית מול עשרות שירותים אחרים, בהנחה הסבירה שאותה סיסמה חוזרת. השיטה נקראת credential stuffing והיא עובדת כי אנשים ממחזרים סיסמאות.
יש עוד נקודת תורפה: גניבת סשן. אחרי שאתם מתחברים, השרת שומר עוגיית התחברות בדפדפן. נוזקה או תוסף זדוני יכולים לגנוב את העוגייה הזאת ולהתחזות אליכם בלי לדעת את הסיסמה בכלל. כאן סיסמה חזקה לא שווה כלום, כי אף אחד לא הקליד אותה. היכולת לזהות פישינג מצמצמת חלק מהסכנה, אבל היא מסתמכת על ערנות אנושית שנשברת ביום עמוס.
סוגי אימות שני, ומה ההבדל ביניהם
אימות דו-שלבי מוסיף גורם שני מעבר לסיסמה. יש שלושה סוגים עיקריים, והם רחוקים מאוד זה מזה ברמת ההגנה.
קוד SMS נשלח כהודעת טקסט. נוח, זמין לכולם, אבל חשוף להחלפת כרטיס SIM: תוקף משכנע את חברת הסלולר להעביר את המספר שלכם אליו ומקבל את הקודים. אפליקציית אימות כמו Google Authenticator מייצרת קוד בן שש ספרות מקומית במכשיר, בלי רשת, ולכן לא ניתן ליירט אותה מרחוק. מפתח אבטחה פיזי בתקן FIDO2 הוא מקל USB או NFC שחותם על ההתחברות, והוא כמעט חסין להתחזות כי הוא בודק את כתובת האתר האמיתית לפני שהוא חותם. פישינג פשוט לא עובד עליו.
מה חזק ומה חלש
המסקנה המעשית פשוטה. SMS עדיף על כלום, אבל אם השירות מציע אפליקציה או מפתח, עברו אליהם. פלטפורמות של הנגשה דיגיטלית ותוכן שמחזיקות חשבונות אישיים כדאי להגן דווקא בשכבה החזקה, כי שם מרוכז מידע רגיש.
טעויות נפוצות שמבטלות את כל היתרון
- מפעילים אימות דו-שלבי רק בחשבון אחד, ומשאירים את המייל הראשי חשוף. המייל הוא המפתח לשחזור כל השאר.
- שומרים את קודי הגיבוי בצילום מסך באותו טלפון שמייצר את הקודים. אם הטלפון אבד, הכול אבד יחד.
- מאשרים כל בקשת אישור שקופצת. תוקפים מפציצים בהתראות עד שמישהו לוחץ אישור בטעות.
- בוטחים ב-SMS בחשבון בנק או ארנק קריפטו, בדיוק היעדים שבהם החלפת SIM משתלמת לתוקף.
- לא מגבים את אפליקציית האימות לפני החלפת מכשיר, ואז ננעלים בחוץ מעשרות שירותים.
הרחבה טכנית ורשימת שיטות המימוש מופיעות בערך אימות דו-שלבי בוויקיפדיה, כולל ההבדל בין קוד חד-פעמי מבוסס זמן לבין חתימה קריפטוגרפית.
שירותי מסרים ורשתות, כולל ניהול קבוצות בטלגרם, מאפשרים היום נעילת חשבון בקוד או בסיסמת מעבר נפרדת, וכדאי להפעיל אותה כדי שגישה למכשיר לא תשווה מיד לגישה לכל השיחות.
עשו את זה עכשיו: היכנסו להגדרות האבטחה של המייל הראשי, הפעילו אפליקציית אימות במקום SMS, הורידו את קודי הגיבוי והדפיסו אותם לנייר שנשמר מחוץ לטלפון. אחר כך חזרו על התהליך בבנק וברשתות. עשר דקות עבודה מוציאות אתכם מרשימת המטרות הקלות.