סיסמה חזקה: כמה תווים צריך ואיך יוצרים אחת שאפשר לזכור

מה הופך סיסמה לחזקה

לסיסמה חזקה יש שלוש תכונות: היא ארוכה, היא אקראית, כלומר אין לה קשר אליכם או לתבנית מוכרת, והיא ייחודית, כלומר אתם לא משתמשים בה באף חשבון אחר. אם חסרה אחת מהן, הסיסמה חלשה גם אם יש בה סימנים מיוחדים.

ההנחיות העדכניות של NIST, מכון התקנים האמריקאי שהכללים שלו משמשים בסיס למדיניות סיסמאות בארגונים רבים, קובעות כך (גרסה 4 של מסמך SP 800-63B):

• סיסמה שהיא אמצעי ההזדהות היחיד צריכה להיות באורך 15 תווים לפחות.
• סיסמה שמשמשת יחד עם אימות דו-שלבי יכולה להיות קצרה יותר, אבל לא פחות מ-8 תווים.
• מערכות צריכות לאפשר סיסמאות באורך של 64 תווים לפחות.
• אסור לכפות כללי הרכב, כמו "אות גדולה, ספרה וסימן", ואסור לחייב החלפת סיסמה תקופתית. מחליפים סיסמה כשיש סימן שהיא נחשפה.
• כל סיסמה חדשה נבדקת מול רשימה של סיסמאות נפוצות, צפויות או כאלה שדלפו, וגם מול מונחים הקשורים לשירות עצמו, כמו שם המשתמש. סיסמה כזו נדחית, והמשתמש צריך לקבל הסבר ולבחור אחרת.
• מערכות צריכות לאפשר מנהלי סיסמאות ומילוי אוטומטי, ועדיף גם הדבקה.

ההנחיות האלה מיועדות למי שבונה מערכות, אבל הן מתאימות גם למשתמשים: אם הסיסמה שלכם עומדת בהן, היא חזקה מספיק לרוב החשבונות.

אורך או מורכבות: מה מחזק סיסמה יותר

תוקף שמנסה לפצח סיסמה אקראית צריך לעבור על כל הצירופים האפשריים. מספר הצירופים הוא מספר התווים האפשריים בחזקת אורך הסיסמה, ולכן כל תו נוסף מכפיל את העבודה, בעוד שהוספה של סוגי תווים מגדילה רק את הבסיס. הטבלה מחשבת את מספר הצירופים לסיסמאות שנוצרו באקראי:

15 אותיות קטנות אקראיות נותנות בערך פי 250,000 יותר צירופים מ-8 תווים "מורכבים". לכן אורך קודם, ואחר כך גיוון.

החישוב נכון רק לסיסמה אקראית באמת. Password2024! עומדת בכל כללי המורכבות הישנים, אבל היא בנויה לפי תבנית שתוכנות פיצוח מנסות בין הראשונות, ולכן היא חלשה למרות 13 התווים.

איך יוצרים סיסמה חזקה: שלוש שיטות

בחרו שיטה לפי השאלה אם תצטרכו להקליד את הסיסמה מהזיכרון.

1. מחולל אקראי (לרוב החשבונות)

לחשבונות שאתם נכנסים אליהם דרך דפדפן או אפליקציה, הכי פשוט ליצור מחרוזת אקראית של 16 עד 20 תווים ולשמור אותה במנהל סיסמאות. אפשר להשתמש במחולל הסיסמאות החינמי של המגזין או במחולל שמובנה בדפדפן ובמנהל הסיסמאות. את הסיסמאות האלה אף אחד לא צריך לזכור.

2. כמה מילים אקראיות (לסיסמאות שזוכרים בעל פה)

המרכז הבריטי לאבטחת סייבר (NCSC) ממליץ על שיטת "שלוש מילים אקראיות": מחברים מילים שאין ביניהן קשר, כמו הדוגמה שלהם applenemobiro. התוצאה ארוכה ויוצאת דופן, ועדיין קל לזכור אותה. כמה כללים לשיטה:

1. המילים צריכות להיות אקראיות באמת, לא משפט מוכר, שורה משיר או שמות מהמשפחה.
2. כדי לעבור את רף 15 התווים בנוחות, הוסיפו מילה רביעית.
3. לפי ה-NCSC, החלפת אותיות בסימנים דומים (0 במקום o) כמעט לא מחזקת את הסיסמה, כי תוקפים מכירים את הטריק, והיא בעיקר מקשה עליכם לזכור.

3. מנהל סיסמאות שיוצר וזוכר בשבילכם

NIST מחייב מערכות לאפשר שימוש במנהלי סיסמאות ובמילוי אוטומטי, וה-NCSC מציין שהם יכולים ליצור סיסמאות חזקות ולזכור אותן. בפועל צריך לזכור רק סיסמה ראשית אחת, ולבנות אותה בשיטת המילים. אם עוד לא בחרתם כלי, יש לנו השוואה בין Bitwarden, ‏1Password והחלופות.

טעויות שהופכות סיסמה חזקה לחלשה

• שימוש חוזר. זו הטעות שעולה הכי ביוקר. אם אתר אחד נפרץ והסיסמה דלפה, תוקפים מנסים אותה בשירותים אחרים. ה-NCSC מדגיש שסיסמת המייל צריכה להיות נפרדת מכל השאר, כי מי שנכנס למייל יכול לאפס את סיסמאות שאר החשבונות.
• וריאציות על אותה סיסמה. Dana2023 שהופכת ל-Dana2024 היא כמעט אותה סיסמה מבחינת תוקף. זו הסיבה ש-NIST הפסיק להמליץ על החלפה תקופתית.
• פרטים אישיים. תאריכי לידה, שמות ילדים או חיות מחמד וקבוצת הכדורגל האהובה. את רוב המידע הזה אפשר למצוא ברשתות החברתיות.
• תבניות מקלדת ומילים נפוצות. qwerty, 123456, password וגרסאות שלהן מופיעות בכל רשימה של סיסמאות נפוצות.
• רמזים לסיסמה. NIST אוסר על מערכות לשמור רמזים שזמינים לפני הכניסה, ומאותה סיבה לא כדאי לכתוב רמז ברור לסיסמה בשום מקום.
• שמירה במקום לא מוגן. לפי ה-NCSC, מותר לרשום סיסמה אם שומרים אותה במקום בטוח. פתק על המסך או קובץ "סיסמאות.txt" בשולחן העבודה הם לא מקום בטוח.

איך בודקים אם סיסמה כבר דלפה

סיסמה ארוכה ואקראית מאבדת את ערכה אם היא כבר נמצאת ברשימת דליפות. השירות Pwned Passwords של Have I Been Pwned מאפשר לבדוק את זה. הסיסמה לא נשלחת לשירות: היא עוברת גיבוב (SHA-1) אצלכם, ורק 5 התווים הראשונים של התוצאה נשלחים. השירות מחזיר רשימת סיומות תואמות, וההשוואה הסופית נעשית בדפדפן או באפליקציה שלכם.

מנהלי סיסמאות ודפדפנים רבים מציעים בדיקה דומה לסיסמאות השמורות. אם סיסמה מסומנת כדלופה או כחוזרת על עצמה, החליפו אותה, ואת סיסמת המייל החליפו קודם. את הסיסמה החדשה אפשר ליצור באמצעות מחולל סיסמאות אקראיות ושמירה נכונה.

סיסמה חזקה לא מספיקה לבד: אימות דו-שלבי ו-Passkey

גם הסיסמה הכי ארוכה לא תעזור אם תקלידו אותה באתר מתחזה. לכן כדאי להוסיף שכבה נוספת:

• אימות דו-שלבי. לפי ה-NCSC, הפעלה של אימות דו-שלבי במייל מונעת מתוקף להיכנס לחשבון גם אם הוא יודע את הסיסמה.
• Passkey (מפתח גישה). לפי FIDO Alliance, הגוף שמפתח את התקן, Passkey נשמר בטלפון, במחשב או במפתח אבטחה פיזי, ונפתח באותו אמצעי שפותח את המכשיר: ביומטריה, קוד או תבנית. הנתונים הביומטריים נשארים במכשיר. אין סוד משותף שנשמר בשרת, ולכן דליפה של מסד סיסמאות לא חושפת Passkey, והוא עמיד להתחזות.

בחשבון שמציע Passkey, הפעילו אותו. כל עוד הסיסמה נשארת פעילה כגיבוי, היא צריכה להישאר חזקה וייחודית. כך משנים סיסמת Gmail ומנתקים מכשירים שאינכם מזהים.

מאיפה מתחילים: סדר עדיפויות לחיזוק הסיסמאות

אין צורך להחליף את כל הסיסמאות ביום אחד. עבדו לפי הסדר הזה:

1. המייל הראשי. סיסמה חדשה של 4 מילים אקראיות לפחות, שלא שימשה בשום מקום אחר, ואימות דו-שלבי.
2. מנהל הסיסמאות. סיסמה ראשית ארוכה שאתם זוכרים בעל פה, ואימות דו-שלבי.
3. בנק, כרטיסי אשראי ושירותים ממשלתיים. סיסמה אקראית שנשמרת במנהל הסיסמאות.
4. חשבונות עבודה ועסק: רשתות חברתיות של העסק, ממשק הניהול של האתר, ספק הדומיין וחשבון הענן. מי שמנהל אתר בוורדפרס ימצא עוד צעדים בצ'ק־ליסט אבטחת וורדפרס.
5. כל השאר. בכל פעם שאתם נכנסים לחשבון ישן, החליפו את הסיסמה לסיסמה אקראית שהמנהל יוצר.

תרחיש לדוגמה: נניח שיש לכם 60 חשבונות, ובכ-20 מהם אותה סיסמה של 9 תווים. אחרי שלושת השלבים הראשונים, שאפשר להשלים בערב אחד, החשבונות שדרכם אפשר לאפס את כל השאר כבר מוגנים. את 40 החשבונות הנותרים מחליפים בהדרגה, כשנכנסים אליהם. אם נעלתם את עצמכם מהמייל, שלבי שחזור סיסמה ב־Gmail מפורטים במדריך.

מי שאיבד גישה לחשבון בית הספר יכול לקרוא על איפוס סיסמה למשרד החינוך לפני שהוא בוחר סיסמה חדשה.

שאלות נפוצות

כמה תווים צריכים להיות בסיסמה חזקה?

לפי ההנחיות העדכניות של NIST, לפחות 15 תווים כשהסיסמה היא אמצעי ההזדהות היחיד, ולפחות 8 תווים כשיש גם אימות דו-שלבי. לחשבונות חשובים כדאי להגיע ל-16 תווים ומעלה.

האם חייבים אותיות גדולות, ספרות וסימנים?

לא. NIST קובע שמערכות לא צריכות לכפות כללי הרכב כאלה, כי אורך ואקראיות משפיעים יותר. אם אתר דורש סימן או ספרה, הוסיפו אותם, אבל לא במקום אורך.

כל כמה זמן צריך להחליף סיסמה?

אין צורך להחליף לפי לוח זמנים קבוע. מחליפים סיסמה כשיש סימן שהיא דלפה, כשהשתמשתם בה ביותר מחשבון אחד או כשמישהו אחר נחשף אליה.

האם בטוח לשמור סיסמאות בדפדפן?

מנהל הסיסמאות המובנה בדפדפן עדיף בהרבה על שימוש חוזר בסיסמה או על קובץ טקסט, בתנאי שהחשבון שאליו הוא מסונכרן מוגן בסיסמה חזקה ובאימות דו-שלבי.

מה ההבדל בין סיסמה חזקה ל-Passkey?

סיסמה היא סוד שמקלידים ושנשמר גם אצל השירות, ולכן אפשר לגנוב אותה או לפתות אתכם להקליד אותה באתר מתחזה. Passkey מבוסס על הצפנה עם מפתח ציבורי ונפתח בביומטריה או בקוד המכשיר, כך שאין סוד משותף שאפשר לגנוב.