מחולל סיסמאות: מה הוא עושה ואיך משתמשים בו
מחולל סיסמאות הוא כלי שמייצר סיסמה אקראית לפי הגדרות כמו אורך ושילוב של אותיות, ספרות וסימנים. במקום להמציא סיסמה מתוך שם, תאריך או דפוס קבוע, אתם מקבלים רצף שנוצר אוטומטית. בחלק מהכלים אפשר לבחור גם צירוף של מילים אקראיות, שמתאים כשצריך לזכור את הסיסמה או להקליד אותה ידנית.
השימוש הבסיסי: בוחרים כלי מוכר, מתאימים את ההגדרות לדרישות האתר ומייצרים סיסמה חדשה. משתמשים בה לחשבון המסוים ושומרים אותה במנהל סיסמאות יחד עם כתובת האתר ושם המשתמש. יצירת הסיסמה ושמירתה הן פעולות נפרדות, גם כשהן מופיעות באותו חלון.
למשל, המחולל של Bitwarden מאפשר ליצור סיסמאות וצירופי מילים בחינם וללא חשבון. לפי החברה, הסיסמאות במחולל המקוון נוצרות במכשיר שלכם באמצעות אקראיות קריפטוגרפית, ואינן נשלחות לשרתי החברה או נשמרות בהם. שמירת הסיסמה בכספת היא שלב נפרד.
מחולל שימושי גם למי שפותחים חשבון מדי פעם וגם למי שמנהלים כניסות רבות לעבודה. אם כבר יש לכם מנהל סיסמאות עם מחולל מובנה, התחילו ממנו. כך תיצרו את הסיסמה בתוך הרשומה שבה תשמרו אותה, בלי להעביר אותה בין כלים.
איזה אורך לבחור, ומה לעשות עם דרישות לסימנים
אורך הסיסמה הוא שיקול מרכזי, אבל אין מספר שמבטיח הגנה בכל מצב. הסיסמה צריכה גם להיות קשה לניחוש ושונה מהסיסמאות האחרות שלכם. סיסמה ארוכה שמבוססת על פרטים אישיים עדיין עלולה להיות צפויה, ולכן עדיף לתת למחולל לבחור את התוכן.
לפי הנחיות NIST למערכות הזדהות, סיסמה שמשמשת אמצעי אימות יחיד צריכה לכלול לפחות 15 תווים. סיסמה שמשמשת רק כחלק מאימות רב־שלבי יכולה להיות קצרה יותר, אבל לא פחות מ־8 תווים. ההנחיות גם אוסרות לחייב ערבוב של סוגי תווים. אלה דרישות למערכות שבתחולת ההנחיות האמריקאיות, לא חוק ישראלי ולא הבטחה לגבי אתר מסוים. הדרישות מופיעות בפרק הסיסמאות של NIST.
בזמן ההרשמה בדקו מה האתר מקבל: אורך מרבי, סימנים מותרים והאם נדרשות אותיות גדולות או ספרות. אם הסיסמה נדחית, שנו את הגדרות המחולל וצרו סיסמה אחרת. אל תקצרו את הרצף ידנית ואל תחליפו אותו בסיסמה מוכרת רק כדי לעבור את הטופס.
במחולל של Bitwarden אפשר לקבוע את האורך ואת סוגי התווים, להגדיר מספר מינימלי של ספרות וסימנים ולהימנע מתווים דומים כמו 1 ו־l או 0 ו־o. האפשרות האחרונה שימושית אם תצטרכו להקליד את הסיסמה ממסך אחר. ההגדרות מתוארות בתיעוד המחולל של החברה.
רצף תווים או צירוף מילים אקראיות
רצף תווים אקראי מתאים לחשבון שבו מנהל הסיסמאות ממלא את פרטי הכניסה בשבילכם. כשאין צורך לזכור את הרצף, אפשר לבחור סיסמה ארוכה בלי להתחשב בשאלה אם נוח לקרוא אותה בקול. זו בחירה מעשית להרשמות שגרתיות במחשב או בטלפון.
צירוף מילים אקראיות מתאים יותר כשצריך להקליד ידנית או לזכור את הסיסמה. המחולל בוחר מילים ומחבר אותן בתו מפריד. ב־Bitwarden אפשר לשנות את מספר המילים ואת התו המפריד, להתחיל כל מילה באות גדולה ולהוסיף ספרה, כפי שמפורט בהסבר על סוגי הסיסמאות.
מילים שהמחולל בוחר באקראי שונות ממשפט שאתם מרכיבים מפרטים על עצמכם. Google ממליצה שלא לכלול בסיסמה פרטים אישיים כמו תאריך לידה, מספר טלפון, שמות של ילדים או של חיות מחמד ותאריכים משמעותיים. לכן, אם בחרתם בצירוף מילים, השאירו את בחירת המילים למחולל ואל תחליפו אותן בפרטים אישיים. ההמלצות של Google מפרטות אילו פרטים כדאי להשאיר מחוץ לסיסמה.
נניח שאתם צריכים להיכנס לשירות דרך שלט של טלוויזיה. צירוף מילים עשוי להיות נוח יותר להקלדה מרצף עמוס בסימנים, בתנאי שהשירות מקבל את האורך והתווים שבחרתם. לחשבון שנפתח תמיד במילוי אוטומטי אפשר לבחור רצף תווים, כי אין צורך לזכור אותו.
איזה כלי לבחור: דפדפן, מחולל מקוון או מנהל סיסמאות
בחרו את הכלי לפי הדרך שבה אתם נרשמים ונכנסים לחשבונות. מחולל נפרד מתאים ליצירה נקודתית, וכלי משולב חוסך את ההעתקה ואת יצירת הרשומה אחר כך. לפני הבחירה בדקו גם היכן תישמר הסיסמה ואיך תגיעו אליה במכשיר שבו תצטרכו אותה.
| אפשרות | מה היא מאפשרת | מתי לשקול אותה | מה לבדוק |
|---|---|---|---|
| המחולל המובנה ב־Chrome | הצעת סיסמה חזקה בהרשמה ושמירתה במנהל הסיסמאות של Google | כשאתם כבר משתמשים במנהל הסיסמאות של Google | שאתם מחוברים לחשבון המתאים |
| המחולל המקוון של Bitwarden | יצירת סיסמה או צירוף מילים ללא חשבון | כשצריך לייצר סיסמה בנפרד | היכן תשמרו את התוצאה |
| המחולל בתוך Bitwarden | יצירה מתוך האפליקציה או בעת עריכת פרטי כניסה | כשפרטי הכניסה שלכם כבר מנוהלים בו | שהסיסמה נשמרה ברשומה הנכונה |
| המחולל בתוך 1Password | יצירת סיסמה חדשה ועדכון פרטי כניסה קיימים | כשאתם משתמשים בו להחלפת סיסמה קיימת | שהשינוי אושר גם באתר עצמו |
התכונות מתועדות בעמודי העזרה של Chrome, של Bitwarden ושל 1Password. לא כל האפשרויות זמינות בכל מכשיר באותה דרך, ולכן פעלו לפי ההוראות לגרסה שבה אתם משתמשים.
אין צורך לעבור למערכת חדשה רק בשביל כפתור שמייצר סיסמה. אם אתם עדיין בוחרים היכן לשמור את פרטי הכניסה, היעזרו בהשוואת מנהלי הסיסמאות, ובדקו בעיקר סנכרון בין מכשירים, מילוי אוטומטי ושיתוף עם עובדים.
איך יוצרים ושומרים סיסמה בלי לאבד את הגישה
לפני ההחלפה, פתחו את הרשומה המתאימה במנהל הסיסמאות ואת עמוד שינוי הסיסמה באתר. ודאו ששם המשתמש וכתובת האתר תואמים לחשבון שאתם מעדכנים. אם יש לכם חשבון אישי וחשבון עבודה באותו שירות, בדקו לאיזה מהם אתם מחוברים. לחשבון במערכות החינוך יש מדריך לאיפוס סיסמה במשרד החינוך.
- קראו את דרישות הסיסמה באתר והתאימו אליהן את המחולל.
- צרו סיסמה חדשה לחשבון הזה, ולא סיסמה ששימשה כבר חשבון אחר.
- הזינו את הסיסמה החדשה בשדות המתאימים ועדכנו את הרשומה במנהל הסיסמאות.
- אשרו את השינוי באתר עצמו וחכו להודעת הצלחה.
- בדקו שפרטי הכניסה השמורים מכניסים אתכם לחשבון הנכון.
עדכון הכספת ועדכון האתר הם שני צעדים שצריך להשלים. בהוראות של 1Password, למשל, מאשרים את עדכון פרטי הכניסה במנהל הסיסמאות ואז שומרים את הסיסמה החדשה באתר. אם 1Password מציע לשמור את הסיסמה כפריט חדש, בוחרים לעדכן את הרשומה הקיימת. הוראות ההחלפה של 1Password מציגות את הפעולות בנפרד.
בהרשמה חדשה ב־Chrome לוחצים על שדה הסיסמה ובוחרים בהצעה לסיסמה חזקה. אם ההצעה לא מופיעה, Google מסבירה שאפשר ללחוץ לחיצה ימנית על השדה ולבחור ביצירת סיסמה. אחרי האישור הסיסמה נשמרת אוטומטית, לפי הוראות הדפדפן.
נניח שיצרתם סיסמה חדשה, שמרתם אותה בכספת וסגרתם את האתר לפני אישור השינוי. במצב כזה הרשומה החדשה לא תתאים לסיסמה שהאתר עדיין מכיר. לכן השלימו את השינוי בחשבון אחד ובדקו אותו לפני שאתם עוברים לחשבון הבא.
הטעויות שמחלישות גם סיסמה שנוצרה במחולל
שימוש חוזר מבטל חלק מהתועלת של המחולל: מי שמשיג סיסמה משירות אחד יכול לנסות אותה בשירותים אחרים. Google ממליצה על סיסמה נפרדת לכל חשבון חשוב, כמו דואר ובנק מקוון, ומזהירה שסיסמה אחת שדלפה עלולה לחשוף גם את הדואר וגם את הכסף. לכן אל תיצרו סיסמה אקראית אחת ותשתמשו בה בכל ההרשמות. ההנחיות של Google ליצירת סיסמה חזקה מפרטות את הסיכון.
טעות נוספת היא לשנות את התוצאה כדי שתהיה מוכרת יותר: להוסיף שם משפחה, להחליף חלק מהרצף בתאריך או לשמור בסיס קבוע בין חשבונות. אם התוצאה קשה להקלדה, חזרו להגדרות ובחרו צירוף מילים או הסרה של תווים דומים. כך ההתאמה נעשית בתוך המחולל ולא על חשבון האקראיות.
גם סיסמה אקראית עלולה להיחשף אם מזינים אותה באתר מתחזה, ו־NIST קובע במפורש שסיסמאות אינן עמידות בפני דיוג. לכן הפעילו אימות נוסף כשהשירות מאפשר זאת. Google מסבירה שאימות דו־שלבי מוסיף שכבת הגנה למקרה שמישהו השיג את הסיסמה, ומציעה גם כניסה עם מפתח גישה (Passkey). האפשרויות מפורטות בהוראות האימות של Google.
אין צורך להחליף סיסמה טובה רק משום שעבר פרק זמן קבוע. הנחיות NIST אוסרות על המערכות שבתחולתן לחייב החלפה תקופתית, ודורשות החלפה כשיש ראיה לכך שהסיסמה נפגעה. אם קיבלתם התראה אמינה על חשיפה, החליפו את הסיסמה ופעלו לפי הוראות האבטחה של השירות. הכלל מופיע בדרישות לאימות סיסמאות.
איך להתחיל לעשות סדר בסיסמאות שכבר קיימות
אם אתם משתמשים היום באותה סיסמה במקומות רבים, התחילו מחשבון הדואר ומחשבונות רגישים כמו שירותים פיננסיים. זה בדיוק סדר העדיפויות ש־Google ממליצה עליו לסיסמאות נפרדות. אל תנסו להחליף סיסמאות רבות במקביל אם אינכם בטוחים היכן נשמר כל שינוי.
בכל חשבון חזרו על אותו תהליך: צרו סיסמה חדשה, השלימו את השינוי באתר ובדקו את הרשומה שנשמרה. באותה הזדמנות בדקו את פרטי השחזור. בחשבון Google אפשר להוסיף כתובת דואר ומספר טלפון לשחזור, שיעזרו אם תשכחו את הסיסמה או תאבדו גישה. ההוראות לאבטחת החשבון כוללות גם את אפשרויות השחזור.
נניח שאתם מנהלים דואר אישי, חנות מקוונת ומערכת חשבוניות. התחילו בדואר, ודאו שהסיסמה החדשה נשמרה ושפרטי השחזור מעודכנים, ורק אז עברו לחשבון הבא. לכל שירות צרו סיסמה חדשה במחולל ורשומה שקל לזהות לפי שם השירות ושם המשתמש. עוד על בחירת סיסמאות והטעויות הנפוצות תמצאו במדריך ליצירת סיסמאות חזקות.
לפני שאתם מסיימים עם חשבון, בדקו שהסיסמה השמורה עובדת ושאתם יודעים להגיע אליה מכל מכשיר שבו תצטרכו אותה. אם הפעלתם אימות נוסף, השלימו גם את הגדרתו ושמרו את אמצעי השחזור שלו, למשל קודי גיבוי, במנהל הסיסמאות.
שאלות נפוצות
האם אפשר להשתמש במחולל סיסמאות בחינם?
כן. המחולל המקוון של Bitwarden מאפשר ליצור סיסמאות וצירופי מילים בחינם וללא חשבון. אחרי היצירה צריך לשמור את הסיסמה במקום מתאים.
האם מחולל סיסמאות שומר אוטומטית את הסיסמה?
זה תלוי בכלי. מחולל מקוון נפרד יוצר סיסמה בלי לשמור אותה בשבילכם, ואילו Chrome מציע יצירה ושמירה כחלק מההרשמה. בדקו שהסיסמה נמצאת ברשומה המתאימה לפני שאתם סוגרים את התהליך.
האם סיסמה ארוכה חייבת לכלול סימנים מיוחדים?
פעלו לפי דרישות האתר. הנחיות NIST אוסרות על המערכות שבתחולתן לחייב ערבוב של סוגי תווים, אבל אתר מסוים עשוי לדרוש סימנים, ספרות או אותיות גדולות.
האם אפשר להשתמש באותה סיסמה אקראית בכמה אתרים?
עדיף ליצור סיסמה חדשה לכל חשבון. האקראיות לא מונעת ממי שהשיג את הסיסמה בשירות אחד לנסות אותה בשירות אחר.
מה עושים אם האתר דוחה סיסמה שהמחולל יצר?
קראו את הודעת השגיאה ואת דרישות האורך והתווים. שנו את הגדרות המחולל וצרו סיסמה חדשה, ואז ודאו שזו הסיסמה שנשמרה במנהל הסיסמאות.
