ניהול סיסמאות: למה לא לשמור בראש ואיך עושים סדר בשבעה צעדים

למה ניהול סיסמאות בראש לא עובד

מי שזוכר את הסיסמאות שלו בעל-פה כמעט תמיד משתמש באותה סיסמה, או בכמה וריאציות שלה, בעשרות אתרים. זו הבעיה המרכזית. כשאתר אחד נפרץ ורשימת המשתמשים והסיסמאות שלו דולפת, התוקפים לא צריכים לנחש כלום: הם מנסים את אותו צמד של אימייל וסיסמה בכל שירות אחר. כדאי לדעת איך יוצרים סיסמה חזקה שאפשר לזכור.

לשיטה הזו קוראים Credential Stuffing. לפי ארגון OWASP היא מבוססת על הזרקה אוטומטית של צמדי שם משתמש וסיסמה גנובים לטופסי התחברות, והיא אחת השיטות הנפוצות ביותר להשתלטות על חשבונות. היא מצליחה בגלל שימוש חוזר בסיסמאות. OWASP מביא דוגמה מ-2011: כשני שלישים מהמשתמשים שהופיעו גם בדליפה של Sony וגם בדליפה של Gawker השתמשו באותה סיסמה בשני האתרים.

היקף הדליפות גדול. במאגר Have I Been Pwned, שמרכז נתונים מדליפות פומביות, רשומים נכון לבדיקה שלנו יותר מ-1,000 אתרים שנפרצו וכ-17.8 מיליארד כתובות שנחשפו. כלומר הסיכוי שאחת הסיסמאות הישנות שלכם כבר מסתובבת ברשימה כזו אינו תאורטי.

הפתרון: סיסמה שונה לכל חשבון. אף אחד לא מסוגל לזכור 80 סיסמאות אקראיות, ולכן צריך כלי שיזכור אותן בשבילכם. אתם זוכרים סיסמה ראשית אחת חזקה, והכלי מטפל בכל השאר. את הסיסמאות החדשות אפשר ליצור עם מחולל סיסמאות חינמי בדפדפן.

איך נראית סיסמה חזקה לפי ההנחיות העדכניות

ההמלצות הוותיקות, כמו אות גדולה, ספרה, סימן מיוחד והחלפה כל 90 יום, השתנו. המסמך SP 800-63B של NIST, המכון האמריקאי לתקנים שהנחיותיו משמשות בסיס למדיניות סיסמאות בארגונים רבים, קובע בגרסה העדכנית שלו כמה כללים ברורים:

• אורך לפני מורכבות: סיסמה שהיא אמצעי הזיהוי היחיד צריכה להיות באורך 15 תווים לפחות. סיסמה שמשמשת רק כחלק מאימות רב-שלבי יכולה להיות קצרה יותר, אבל לא פחות מ-8 תווים.
• בלי כללי הרכב כפויים: אסור לשירות לחייב שילוב של סוגי תווים.
• בלי החלפה תקופתית: אין לחייב החלפת סיסמה לפי לוח זמנים. חובה להחליף אותה כשיש ראיה שהיא נחשפה.
• בדיקה מול רשימות דליפה: שירותים נדרשים להשוות סיסמה חדשה לרשימה של סיסמאות נפוצות, צפויות או כאלה שכבר דלפו.
• תמיכה במנהלי סיסמאות: שירותים נדרשים לאפשר מנהלי סיסמאות ומילוי אוטומטי, ומומלץ להם לאפשר הדבקה של סיסמה.

בפועל: את הסיסמה הראשית, היחידה שתזכרו, כדאי לבנות כמשפט או רצף של כמה מילים לא קשורות, באורך של 15 תווים ומעלה. את כל השאר ייצור המחולל של מנהל הסיסמאות, אקראיות וארוכות.

מערכת ניהול סיסמאות: מה האפשרויות וכמה הן עולות

מערכת ניהול סיסמאות היא כספת מוצפנת שמסונכרנת בין המכשירים שלכם. היא שומרת סיסמאות, יוצרת חדשות, ממלאת אותן אוטומטית בדפדפן ובאפליקציות ומתריעה על סיסמאות חלשות, חוזרות או כאלה שדלפו. הכלים המרכזיים תומכים כיום גם במפתחות גישה (Passkeys), שמחליפים את הסיסמה בזיהוי דרך המכשיר. כדאי לקרוא איך יוצרים סיסמה אקראית ושומרים אותה.

יש שתי משפחות של כלים. הראשונה מובנית בדפדפן או במערכת ההפעלה, והשנייה עצמאית וחוצת פלטפורמות. ההבדל העיקרי ביניהן הוא כמה טוב הכלי עובד כשאתם עוברים בין מערכות, למשל אייפון עם מחשב Windows, וכמה הוא מתאים לשיתוף בצוות. אפשר לקרוא השוואה בין Bitwarden, 1Password והחלופות.

המחירים בדולרים ובחיוב שנתי, והם משתנים. בדקו אותם באתר היצרן לפני רכישה.

שיטה פשוטה לעשות סדר: שבעה צעדים

אין צורך להחליף את כל הסיסמאות בערב אחד. השיטה הבאה מסדרת קודם את מה שהכי מסוכן, ואת השאר תעדכנו בהדרגה.

1. בחרו כלי אחד. אם כל המכשירים שלכם של Apple, או שאתם עובדים רק ב-Chrome וב-Android, הכלי המובנה מספיק. אם אתם מערבבים מערכות או משתפים סיסמאות עם אחרים, כלי עצמאי יהיה נוח יותר.
2. קבעו סיסמה ראשית והפעילו אימות דו-שלבי על הכלי עצמו. הסיסמה הראשית היא היחידה שתזכרו, ולכן היא צריכה להיות ארוכה וייחודית. רשמו קודי שחזור על נייר ושמרו אותם במקום בטוח.
3. ייבאו את מה שכבר שמור. רוב הכלים מייבאים סיסמאות מהדפדפן. אחרי הייבוא כבו את שמירת הסיסמאות בדפדפן, כדי שלא יהיו שני מקורות.
4. הריצו בדיקת אבטחה. הכלי יציג סיסמאות שדלפו, חוזרות וחלשות. אפשר גם לבדוק את כתובת האימייל שלכם ב-Have I Been Pwned ולהירשם להתראות על דליפות עתידיות.
5. החליפו קודם את חשבונות המפתח. סדר העדיפויות: האימייל הראשי (דרכו משחזרים את כל השאר), הבנק וכרטיסי האשראי, חשבון Apple או Google, הרשתות החברתיות וחשבונות העסק. לכל אחד סיסמה חדשה מהמחולל ואימות דו-שלבי.
6. עברו למפתחות גישה היכן שאפשר. Google ו-Apple מאפשרות להתחבר עם Passkey במקום סיסמה, ומנהל הסיסמאות שומר אותו ומסנכרן אותו בין המכשירים.
7. את השאר עדכנו בהדרגה. בכל פעם שאתם נכנסים לאתר ישן עם סיסמה חוזרת, החליפו אותה בסיסמה מהמחולל. תוך כמה שבועות רוב החשבונות הפעילים יהיו מסודרים.

נניח שיש לכם 60 חשבונות, ומתוכם 10 חשובים באמת. את שלבים 1 עד 5 אפשר לסיים בערב אחד. את 50 החשבונות הנותרים תסדרו תוך כדי שימוש רגיל, בלי להקדיש לזה זמן מיוחד.

שכחתם את הסיסמה לחשבון של משרד החינוך? במדריך נפרד מוסבר איך מאפסים סיסמה במשרד החינוך, צעד אחר צעד.

ניהול סיסמאות והרשאות בעסק קטן

בעסק הבעיה מתרחבת. סיסמת הניהול של האתר, חשבון המודעות, תיבת המייל של המשרד והגישה לתוכנת הנהלת החשבונות עוברות לפעמים בוואטסאפ או נרשמות בקובץ אקסל משותף. כשעובד עוזב, אף אחד לא יודע בדיוק לאילו חשבונות הייתה לו גישה. את אתר הוורדפרס כדאי לאבטח לפי צ'ק־ליסט אבטחת וורדפרס מסודר.

ניהול סיסמאות והרשאות מסודר בעסק נשען על כמה עקרונות:

• שיתוף מבוקר לפי תפקיד. תוכניות עסקיות של מנהלי סיסמאות, כמו Bitwarden Teams, מאפשרות לשתף פרטי התחברות בצורה מאובטחת ולתת לכל עובד גישה רק למה שהוא צריך.
• משתמש אישי לכל עובד במקום סיסמה משותפת. מערכות רבות, כמו וורדפרס ו-Google Workspace, מאפשרות להוסיף משתמשים עם הרשאות מוגבלות. כך אפשר לבטל גישה של אדם אחד בלי להחליף סיסמה לכולם.
• רשימת נכסים. תעדו מי הבעלים של הדומיין, האחסון, פרופיל העסק ב-Google וחשבונות הפרסום. אם אתם בשלב הקמת אתר, זה הזמן לקבוע את זה, כפי שמוסבר במדריך לבניית אתר לעסק.
• נוהל עזיבה. כשעובד עוזב, מבטלים את המשתמש שלו ומחליפים כל סיסמה משותפת שהייתה ידועה לו.
• אימות דו-שלבי חובה בכל חשבון שמחזיק כסף, נתוני לקוחות או גישה לאתר.

בכלים לעסקים יש גם יומן אירועים שמאפשר לעקוב אחרי פעילות בכספת. ב-Bitwarden, למשל, הוא כלול כבר בתוכנית Teams.

טעויות נפוצות שכדאי להימנע מהן

• וריאציות במקום סיסמאות ייחודיות. סיסמה כמו Dana2023 שהופכת ל-Dana2024 היא כמעט אותה סיסמה מבחינת תוקף שמחזיק ברשימה דלופה, ושינויים צפויים כאלה קל לנחש.
• אחסון בקובץ או בפתקים. קובץ Word, פתק בטלפון או צילום מסך אינם מוצפנים כמו כספת, ולרוב הם מסתנכרנים לענן בלי הגנה נוספת.
• שכחת הסיסמה הראשית בלי דרך שחזור. במנהלי סיסמאות שמבוססים על הצפנה מקצה לקצה, החברה לא יכולה לפתוח את הכספת בשבילכם. קודי השחזור הם רשת הביטחון.
• אימות דו-שלבי רק ב-SMS. עדיף על כלום, אבל אפליקציית אימות או מפתח גישה מגנים יותר. Apple Passwords ו-Bitwarden Premium כוללים מחולל קודי אימות.
• שני מנהלי סיסמאות במקביל. כשהדפדפן וכלי עצמאי שומרים את אותם חשבונות, הגרסאות מתפצלות ולא ברור איזו סיסמה עדכנית. בחרו מקור אחד.
• שיתוף סיסמאות בצ'אט. הודעה שנשלחה נשארת בהיסטוריה בשני המכשירים. השתמשו בשיתוף המובנה בכלי, כמו קבוצות משותפות ב-Apple Passwords או השיתוף ב-Bitwarden.

שאלות נפוצות

האם מנהל סיסמאות בטוח? מה קורה אם הוא ייפרץ?

הכלים המרכזיים מצפינים את הכספת כך שרק הסיסמה הראשית שלכם פותחת אותה. הסיכון קיים, אבל הוא קטן בהרבה מהסיכון של סיסמה אחת שחוזרת בעשרות אתרים, במיוחד כשהכספת מוגנת גם באימות דו-שלבי.

מה ההבדל בין מנהל הסיסמאות של Chrome לבין Bitwarden או 1Password?

המנהל של Google חינמי ונוח במיוחד ב-Chrome וב-Android. כלי עצמאי עובד באותה צורה בכל דפדפן ומערכת, ומציע שיתוף מתקדם וניהול הרשאות לצוותים.

כל כמה זמן צריך להחליף סיסמאות?

לפי NIST אין צורך להחליף סיסמה לפי לוח זמנים קבוע. מחליפים כשיש סימן שהיא דלפה, למשל התראה מ-Have I Been Pwned או מבדיקת האבטחה של מנהל הסיסמאות.

מה זה Passkey והאם הוא מחליף את מנהל הסיסמאות?

Passkey הוא מפתח גישה שמחליף את הסיסמה בזיהוי דרך המכשיר, למשל טביעת אצבע. הוא לא מייתר את מנהל הסיסמאות, כי מנהלי הסיסמאות המרכזיים שומרים ומסנכרנים גם מפתחות גישה.

איך בודקים אם הסיסמה שלי דלפה?

הכניסו את כתובת האימייל באתר Have I Been Pwned כדי לראות באילו דליפות היא הופיעה, והריצו את Password Checkup של Google או את בדיקת האבטחה בכלי שלכם.