מנהל סיסמאות ואימות דו-שלבי: המדריך המעשי להגנה על החשבונות שלכם

כמה סיסמאות שונות יש לכם באמת? אם התשובה הכנה היא שתיים או שלוש, שאתם מסובבים בין עשרות אתרים, אתם בחברה טובה. רוב האנשים מחזיקים חשבונות בבנק, בקופת החולים, ברשתות החברתיות, בחנויות מקוונות ובאפליקציות עבודה, ואין שום דרך לזכור סיסמה חזקה וייחודית לכל אחד מהם. הבעיה היא שהרגל המחזור הזה הוא בדיוק מה שתוקפים מנצלים. הבשורה הטובה היא שיש פתרון שאינו דורש זיכרון פנומנלי או ידע טכני מיוחד: שילוב של מנהל סיסמאות ואימות דו-שלבי.

למה סיסמה ממוחזרת היא סכנה

כשאתר כלשהו נפרץ, רשימות של כתובות וסיסמאות מגיעות לעתים קרובות לידיים עוינות. התוקפים לא מסתפקים באתר שנפרץ: הם מריצים תוכנות אוטומטיות שמנסות את אותם פרטים באלפי אתרים אחרים. אם השתמשתם באותה סיסמה בפורום תחביבים ישן ובחשבון הדואר שלכם, פריצה לפורום עלולה לפתוח לתוקף את הדלת לחשבון החשוב באמת.

חשבון הדואר האלקטרוני הוא נקודת התורפה המרכזית, משום שדרכו אפשר לאפס את הסיסמאות של כמעט כל שירות אחר. לכן ההגנה עליו צריכה להיות בעדיפות עליונה. מי שמשתלט על תיבת הדואר יכול לבקש קישורי איפוס, לקרוא התכתבויות פרטיות ולהתחזות לבעל החשבון מול חברים ובני משפחה.

מה זה מנהל סיסמאות ואיך הוא עובד

מנהל סיסמאות הוא תוכנה או אפליקציה ששומרת את כל הסיסמאות שלכם בכספת מוצפנת. אתם צריכים לזכור סיסמה אחת בלבד, סיסמת האב, וכל השאר נשמר ומוזן אוטומטית. רוב המנהלים יודעים גם לייצר סיסמאות ארוכות ואקראיות לכל אתר חדש, כך שאין צורך להמציא אותן בעצמכם.

הכספת מסונכרנת בין המחשב, הטלפון והטאבלט, ולכן הסיסמאות זמינות בכל מקום. הדפדפנים הפופולריים ומערכות ההפעלה של הטלפונים כוללים כיום מנהל סיסמאות מובנה, ויש גם שירותים עצמאיים שמציעים יכולות נוספות, כמו שיתוף מאובטח של סיסמאות עם בני משפחה או התראה כשסיסמה שלכם הופיעה בדליפה ידועה.

איך בוחרים סיסמת אב טובה

סיסמת האב היא המפתח לכל השאר, ולכן היא צריכה להיות חזקה במיוחד ובכל זאת קלה לזכירה. השיטה המומלצת היא משפט סיסמה: רצף של ארבע או חמש מילים שאין ביניהן קשר הגיוני, אולי בתוספת מספר או סימן. משפט כזה ארוך מאוד, ולכן קשה לפיצוח, אבל הרבה יותר קל לזכור מאשר רצף אקראי של תווים.

חשוב לא להשתמש בסיסמת האב בשום מקום אחר, לא לשמור אותה בפתק על המסך ולא לשתף אותה. כדאי לרשום אותה על דף ולשמור במקום בטוח בבית, למקרה שתשכחו. רוב המנהלים לא יכולים לשחזר סיסמת אב שאבדה, וזה בדיוק מה שהופך אותם לבטוחים.

אימות דו-שלבי: שכבת ההגנה השנייה

אימות דו-שלבי מוסיף דרישה נוספת מעבר לסיסמה: משהו שיש לכם, בדרך כלל הטלפון. גם אם מישהו השיג את הסיסמה, הוא לא יוכל להתחבר בלי הקוד הנוסף. יש כמה שיטות נפוצות, והן לא שוות ברמת האבטחה שלהן:

• קוד במסרון: עדיף על כלום, אבל חשוף להתקפות של השתלטות על מספר הטלפון.
• אפליקציית אימות שמייצרת קודים מתחלפים: בטוחה יותר ועובדת גם בלי קליטה.
• אישור בלחיצה באפליקציה: נוח, אבל חשוב לא לאשר בקשות שלא יזמתם.
• מפתח אבטחה פיזי או מפתחות גישה: הרמה הגבוהה ביותר, עמידה כמעט לחלוטין בפני דיוג.

ההמלצה הכללית היא להפעיל אימות דו-שלבי קודם כל בדואר, בבנק, ברשתות החברתיות ובחשבון הענן שבו שמורים התמונות והקבצים. משם אפשר להמשיך בהדרגה לשאר השירותים.

קודי גיבוי ותכנון למקרה חירום

טעות נפוצה היא להפעיל אימות דו-שלבי בלי לחשוב מה יקרה אם הטלפון יאבד או יתקלקל. כמעט כל שירות מציע קודי גיבוי חד-פעמיים בזמן ההפעלה. כדאי להדפיס אותם או לשמור אותם במנהל הסיסמאות, ולוודא שהם נגישים גם בלי הטלפון.

כדאי גם לחשוב על בני המשפחה. בהרבה בתים יש אדם אחד שמחזיק את כל הסיסמאות של משק הבית, ואם קורה לו משהו, האחרים נשארים בלי גישה לחשבונות חיוניים. חלק ממנהלי הסיסמאות מציעים מנגנון גישת חירום, שמאפשר לאדם אמין לבקש גישה לכספת לאחר פרק זמן שהוגדר מראש.

איך מתחילים בלי להתייאש

המעבר נראה מאיים, אבל לא צריך לעשות הכול ביום אחד. התחילו בהתקנת מנהל הסיסמאות ובבחירת סיסמת אב. בפעם הבאה שתתחברו לאתר כלשהו, תנו למנהל לשמור את הסיסמה. אחרי שבוע או שבועיים רוב החשבונות השוטפים כבר יהיו בפנים.

בשלב הבא, הקדישו ערב אחד להחלפת הסיסמאות בחשבונות החשובים ביותר לסיסמאות אקראיות שהמנהל מייצר, ולהפעלת אימות דו-שלבי בהם. רוב המנהלים כוללים דוח בריאות שמצביע על סיסמאות חלשות או כפולות, וזה כלי מצוין לדעת במה לטפל קודם.

איך מזהים ניסיון דיוג

גם הסיסמה החזקה ביותר לא תעזור אם תמסרו אותה בעצמכם לתוקף. הודעות דיוג מתחזות לבנק, לחברת שליחויות, לרשות ממשלתית או לחבר, ומבקשות ללחוץ על קישור ולהזין פרטים. הן משתמשות בדחיפות ובלחץ: החשבון ייחסם, החבילה תוחזר, יש חוב לא משולם. הכלל הפשוט הוא לא להזין סיסמה בעמוד שהגעתם אליו דרך קישור בהודעה, אלא להיכנס לשירות בעצמכם, דרך האפליקציה או כתובת שאתם מכירים.

כאן מנהל הסיסמאות מעניק יתרון נוסף ולא מוכר: הוא ממלא אוטומטית את הפרטים רק באתר האמיתי. אם הגעתם לעמוד מזויף שנראה זהה למקור, המנהל לא יציע את הסיסמה, וזה סימן אזהרה ברור שמשהו לא בסדר. כדאי לשים לב לסימן הזה ולא לעקוף אותו בהעתקה ידנית של הסיסמה.

לסיכום, אבטחת החשבונות האישיים אינה עניין למומחים בלבד. מנהל סיסמאות פותר את בעיית הזיכרון, אימות דו-שלבי מוסיף חומה נוספת, וקודי גיבוי מבטיחים שלא תינעלו מחוץ לחשבונות שלכם. שעה או שעתיים של התארגנות יכולות לחסוך הרבה עוגמת נפש בעתיד.