אבטחה מוגברת

.
פריצה של האקרים לנתונים היא לא דבר נעים. לפעמים התוקפים, שזהותם לא ידועה, מנצלים חשבונות של קורבנות כדי להטריל אנשים ברשתות החברתיות בשם המשתמש, או כדי לשלוח אימיילים למטרות פישינג והונאות. בפעמים אחרות, אנשים מגלים שפתאום חסר כסף בחשבונות הבנק המקוונים שלהם. לעתים קרובות אנשים לא שמים לב שמישהו פרץ לחשבון שלהם עד שהנזק כבר נעשה.

אחת הסיבות שגניבת נתונים מתרחשת שוב ושוב היא שרוב המשתמשים מסתמכים יותר מדי על סיסמאות ומאמינים שהן יגנו עליהם בעולם האינטרנט. אבל יש משהו חשוב שהרבה מאוד אנשים לא מודעים אליו. יש ברשת רשימות מקוונות שכוללות מיליוני שילובים של שמות משתמש וסיסמאות. "מאגרי הסיסמאות" האלה, כפי שהמומחים קוראים לרשימות, מורכבים מנתונים שנאספו באירועים רבים שבהם האקרים הצליחו לגנוב נתונים. אנשים רבים משתמשים באותן סיסמאות בכמה חשבונות. ולכן, יכול להיות שפרטי הכניסה שלהם לחשבון Google נכללים באותם "מאגרי סיסמאות", גם אם החשבון שלהם ב-Google לעולם לא נפרץ. איום מתמיד נוסף הוא פישינג – ניסיונות להשיג סיסמאות ומידע אחר במרמה באמצעות אימיילים או אתרים אמינים לכאורה.

זו הסיבה שחברות כמו Google ממליצות למשתמשים להגן על החשבון המקוון שלהם באמצעות אימות דו-שלבי, שמחייב ביצוע של שני שלבים נפרדים כדי להתחבר – כמו סיסמה בתוספת קוד שנשלח דרך הודעת טקסט. שיטת האימות הזו נפוצה מאוד היום, במיוחד בחשבונות של בנקים וחברות אשראי.

מומחי אבטחה מבחינים בין שלושה סוגים בסיסיים של שלבי אבטחה. הראשון הוא מידע כלשהו ("משהו שאתם יודעים"): למשל, משתמש מקבל קוד בהודעת טקסט ומקליד אותו, או צריך לענות על שאלת אבטחה. השני הוא אובייקט פיזי ("משהו שיש לכם") שאפשר להשתמש בו לצורך אימות, כמו כרטיס אשראי. השלישי הוא נתונים ביומטריים ("משהו בגוף שלכם"), למשל כשאנשים שיש להם סמארטפון פותחים את המסך שלהם באמצעות טביעת אצבע. בכל אסטרטגיות האימות הדו-שלבי משתמשים בשילוב של שניים מהשלבים האלה.

‫Google מציעה כמה סוגים של אימות דו-שלבי. בנוסף לסיסמה המסורתית, המשתמשים יכולים להזין קוד אבטחה חד-פעמי שהם מקבלים בהודעת טקסט או שיחת טלפון, או קוד שהם יכולים ליצור באפליקציית מאמת החשבונות של Google, שפועלת ב-Android ובמערכת ההפעלה iOS למכשירים ניידים של Apple. המשתמשים יכולים גם לספק רשימה של מכשירים מהימנים בחשבון שלהם ב-Google. אם משתמש מנסה להיכנס ממכשיר שלא נכלל ברשימה, תישלח אליו אזהרת אבטחה מ-Google.

בשלוש השנים האחרונות הציעה Google למשתמשים להשתמש באסימון אבטחה פיזי, שנקרא מפתח אבטחה. זהו התקן שמתחבר למכשיר בחיבור USB, ‏NFC או Bluetooth. התהליך מבוסס על סטנדרט אימות פתוח, שפותח על ידי קונסורציום FIDO ונקרא Universal 2nd Factor‏ (U2F). Google היא חלק מהקונסורציום, לצד חברות כמו Microsoft, ‏Mastercard ו-PayPal. את אסימוני האבטחה המבוססים על סטנדרט U2F אפשר להשיג מכמה יצרנים תמורת תשלום נמוך. אסימוני האבטחה הוכיחו את עצמם – מאז הופעתם, פחת הסיכון לגניבת נתונים באופן משמעותי. באופן תיאורטי, אפשר לפרוץ לחשבון מקוון מכל מקום בעולם, אבל ההאקרים יצטרכו להשיג את אסימון האבטחה הפיזי עצמו (וגם את פרטי ההתחברות של הקורבנות כדי לקבל גישה לחשבון). יש עוד חברות חוץ מ-Google שכבר תומכות באסימוני האבטחה האלה.

כמובן שיש גם חסרונות לאימות דו-שלבי. אם משתמשים בקודים מהודעות טקסט אז הטלפון הנייד חייב להיות בהישג יד כשמתחברים ממכשיר חדש. התקנים בחיבור USB ו-Bluetooth עלולים ללכת לאיבוד. אבל על הבעיות האלה אפשר להתגבר, והחסרונות האלה מתגמדים כשחושבים על רמת האבטחה הנוספת שהמשתמשים מקבלים. ומי שמפתח האבטחה שלו בכל זאת אבד, יכול להסיר את האסימון האבוד מהחשבון ולהוסיף אסימון חדש. אפשרות נוספת היא לרשום מראש מפתח אבטחה שני ולשמור אותו במקום בטוח.

מידע נוסף זמין בכתובת: g.co/2step

איור: Birgit Henne