התחברות ללא סיסמה באמצעות קודי סיסמה

מפתחות גישה

מבוא

מפתחות גישה הם חלופה בטוחה יותר וקלה יותר לסיסמאות. עם מפתחות גישה, המשתמשים יכולים להיכנס לאפליקציות ולאתרים באמצעות חיישן ביומטרי (כמו טביעת אצבע או זיהוי פנים), קוד אימות או קו ביטול נעילה, כדי שלא יהיה צורך לזכור ולנהל סיסמאות.

גם מפתחים וגם סיסמאות של משתמשים שנאה: הם מספקים חוויית משתמש באיכות נמוכה, מוסיפים חיכוך המרה ויוצרים חבות אבטחה גם למשתמשים וגם למפתחים. בתהליך של מילוי אוטומטי, מנהל הסיסמאות של Google ב-Android וב-Chrome מצמצם את הקשיים באמצעות מילוי אוטומטי. עבור מפתחים שמחפשים עוד שיפורים בהמרה ובאבטחה, מפתחות הגישה ואיחוד הזהויות הם הגישות המודרניות בתחום.

מפתח גישה יכול לעמוד בדרישות של אימות רב-שלבי בשלב אחד, תוך החלפת סיסמה ו-OTP (למשל קוד SMS בן 6 ספרות) כדי לספק הגנה חזקה מפני התקפות פישינג ולהימנע מהטרחה של חוויית המשתמש ב-SMS או בסיסמאות חד-פעמיות לאפליקציות. מכיוון שמפתחות הגישה סטנדרטיים, השימוש בהטמעה יחידה מאפשר חוויה ללא סיסמה בכל המכשירים של המשתמשים, בדפדפנים שונים ובמערכות הפעלה שונות.

קל יותר להשתמש במפתחות גישה:

  • המשתמשים יכולים לבחור חשבון לכניסה. אין צורך להקליד את שם המשתמש.
  • המשתמשים יוכלו לבצע אימות באמצעות נעילת המסך של המכשיר, כמו חיישן טביעות אצבע, זיהוי פנים או קוד אימות.
  • לאחר יצירת מפתח גישה ורישום שלו, המשתמש יכול לעבור בקלות למכשיר חדש ולהשתמש בו באופן מיידי, ללא צורך בהרשמה מחדש (בניגוד לאימות ביומטרי מסורתי, שבו נדרשת הגדרה בכל מכשיר).

מפתחות הגישה בטוחים יותר:

  • המפתחים שומרים בשרת רק מפתח ציבורי במקום סיסמה, כלומר יש ערך נמוך הרבה יותר שגורם זדוני עלול לפרוץ לשרתים והרבה יותר נקיון לבצע במקרה של פריצה.
  • מפתחות הגישה מגינים על המשתמשים מפני התקפות פישינג. מפתחות הגישה פועלים רק באתרים ובאפליקציות הרשומים שלהם, ואין אפשרות להטעות את המשתמש כדי לאמת אותו באתר מטעה כי הדפדפן או מערכת ההפעלה מטפלים באימות.
  • מפתחות הגישה מפחיתים את העלויות של שליחת SMS, וכך הם מהווים אמצעי בטוח וחסכוני יותר לאימות דו-שלבי.

מהם מפתחות גישה?

מפתח גישה הוא פרטי כניסה דיגיטליים הקשורים לחשבון משתמש ולאתר או אפליקציה. מפתחות גישה מאפשרים למשתמשים לבצע אימות בלי להזין שם משתמש או סיסמה, או לספק כל גורם אימות נוסף. טכנולוגיה זו נועדה להחליף מנגנוני אימות מדור קודם, כגון סיסמאות.

כשמשתמש רוצה להיכנס לשירות שמשתמש במפתחות גישה, הדפדפן או מערכת ההפעלה שלו יעזרו לו לבחור את מפתח הגישה הנכון ולהשתמש בו. החוויה דומה לאופן שבו סיסמאות שמורות פועלות היום. כדי לוודא שרק הבעלים החוקי יכול להשתמש במפתח הגישה, המערכת תבקש ממנו לבטל את נעילת המכשיר. ניתן לבצע זאת בעזרת חיישן ביומטרי (כמו טביעת אצבע או זיהוי פנים), קוד אימות או קו ביטול נעילה.

כדי ליצור מפתח גישה לאתר או לאפליקציה, קודם כל המשתמש צריך להירשם באתר או באפליקציה.

  1. עוברים לאפליקציה ונכנסים לחשבון באמצעות שיטת הכניסה הקיימת.
  2. לוחצים על יצירת מפתח גישה.
  3. בודקים את המידע שנשמר עם מפתח הגישה החדש.
  4. כדי ליצור מפתח גישה, צריך לבטל את נעילת המסך של המכשיר.

כשהמשתמשים חוזרים לאתר או לאפליקציה כדי להיכנס לחשבון, הם יכולים לבצע את השלבים הבאים:

  1. נכנסים לאפליקציה.
  2. מקישים על השדה של שם החשבון כדי להציג רשימה של מפתחות גישה בתיבת הדו-שיח של המילוי האוטומטי.
  3. יש לבחור את מפתח הגישה שלו.
  4. כדי לבטל את ההתחברות, עליך לבטל את נעילת המסך של המכשיר.

המכשיר של המשתמש יוצר חתימה על סמך מפתח הגישה. החתימה הזו משמשת לאימות פרטי הכניסה להתחברות בין המקור לבין מפתח הגישה.

משתמש יכול להיכנס לשירותים בכל מכשיר באמצעות מפתח גישה, ללא קשר למיקום שבו מפתח הגישה מאוחסן. לדוגמה, מפתח גישה שניתן להשתמש בו בטלפון הנייד יכול לשמש לכניסה לאתר במחשב נייד נפרד.

איך מפתחות הגישה פועלים?

מפתחות הגישה מיועדים לשימוש דרך תשתית של מערכת ההפעלה, שמאפשרת למנהלי מפתחות ליצור, לגבות ולהפוך מפתחות גישה לזמינים לאפליקציות שפועלות באותה מערכת הפעלה. ב-Android, אפשר לאחסן מפתחות גישה במנהל הסיסמאות של Google, כדי לסנכרן מפתחות גישה בין מכשירי Android של המשתמשים שמחוברים לאותו חשבון Google. מפתחות הגישה מוצפנים באופן מאובטח במכשיר לפני הסנכרון, וצריך לפענח אותם במכשירים חדשים. משתמשים עם Android OS 14 ואילך יכולים לבחור לאחסן את מפתחות הגישה במנהל סיסמאות תואם של צד שלישי.

המשתמשים לא מוגבלים לשימוש במפתחות גישה רק במכשיר שבו הם זמינים – מפתחות הגישה שזמינים בטלפון יכולים לשמש לכניסה למחשב נייד, גם אם מפתח הגישה לא מסונכרן למחשב הנייד, כל עוד הטלפון נמצא ליד המחשב הנייד והמשתמש מאשר את הכניסה לחשבון בטלפון. מאחר שמפתחות הגישה מבוססים על תקני FIDO, כל הדפדפנים יכולים להשתמש בהם.

לדוגמה, משתמש מבקר ב-example.com בדפדפן Chrome במכונה של Windows. המשתמש הזה התחבר בעבר אל example.com במכשיר ה-Android שלו ויצר מפתח גישה. במכונת Windows, המשתמש בוחר להיכנס עם מפתח גישה ממכשיר אחר. שני המכשירים יתחברו והמשתמש יתבקש לאשר את השימוש במפתח הגישה שלו במכשיר Android, לדוגמה, עם חיישן טביעות אצבע. לאחר מכן, הם מחוברים במחשב של Windows. חשוב לזכור שמפתח הגישה עצמו לא מועבר למכונה של Windows, כך שבדרך כלל example.com מציע ליצור שם מפתח גישה חדש. כך הטלפון לא יידרש בפעם הבאה שהמשתמש ייכנס לחשבון. למידע נוסף, תוכלו לקרוא את המאמר כניסה באמצעות טלפון.

מי משתמש במפתחות גישה?

בחלק מהשירותים כבר נעשה שימוש במפתחות גישה במערכות שלהם.

התנסות עצמית

אפשר לנסות מפתחות גישה בהדגמה הזו: https://passkeys-demo.appspot.com/

שיקולי פרטיות

  • כניסה לחשבון באמצעות מידע ביומטרי עלולה ליצור רושם כוזב שהמשתמשים שולחים מידע רגיש לשרת. במציאות, חומרים ביומטריים אף פעם לא נשלחים מהמכשיר האישי של המשתמש.
  • מפתחות גישה כשל עצמם לא מאפשרים מעקב אחר משתמשים או מכשירים בין אתרים. מפתח הגישה לעולם לא משמש יותר מאתר אחד. פרוטוקולים של מפתחות גישה מתוכננים בצורה קפדנית כך שלא ניתן יהיה להשתמש במידע שמשותף עם אתרים בתור וקטור מעקב.
  • מנהלי מפתחות הגישה מגינים על מפתחות הגישה מפני גישה לא מורשית ושימוש בהם. לדוגמה, מנהל הסיסמאות של Google מצפין סודות של מפתחות גישה מקצה לקצה. רק המשתמש יכול לגשת אליהם ולהשתמש בהם, ואף על פי שהם מגובים בשרתים של Google, Google אינה יכולה להשתמש בהם כדי להתחזות למשתמשים.

שיקולי אבטחה

  • מפתחות הגישה משתמשים בקריפטוגרפיה של מפתח ציבורי. קריפטוגרפיה של מפתח ציבורי מפחיתה את האיום במקרים של פרצות באבטחת מידע. כשמשתמש יוצר מפתח גישה עם אתר או אפליקציה, הוא יוצר זוג מפתחות ציבורי/פרטי במכשיר של המשתמש. רק המפתח הציבורי מאוחסן על ידי האתר, אבל לתוקפים אין מספיק תועלת. תוקף לא יכול לגזור את המפתח הפרטי של המשתמש מהנתונים שמאוחסנים בשרת. עליך להשלים את האימות הזה.
  • מפתחות הגישה משויכים לזהות של אתר או של אפליקציה, ולכן הם מוגנים מפני התקפות פישינג. הדפדפן ומערכת ההפעלה מבטיחים שאפשר להשתמש במפתח גישה רק באתר או באפליקציה שיצרו אותם. כך המשתמשים לא יהיו אחראים להיכנס לחשבון באתר או באפליקציה המקוריים.

לקבל הודעה

נרשמים לניוזלטר למפתחים של Google בנושא מפתחות גישה כדי לקבל עדכונים לגבי מפתחות הגישה.

השלבים הבאים