מפתח אבטחה USB לעסק: מה הוא מונע ואיך משלבים אותו בצוות
מפתחות FIDO, גבולות ההגנה מפני פישינג, ובדיקת כניסה והתאוששות לפני מעבר של צוות.
אחת מדרכי הפגיעה בחשבונות עסקיים היא פישינג: אדם מזין סיסמה וקוד חד־פעמי באתר מתחזה, והתוקף מעביר אותם לשירות האמיתי. קוד שמקלידים ידנית אינו קשור בהכרח לאתר שבו הוקלד. מפתח אבטחה בתקן מתאים יכול לצמצם את הסיכון הזה, כחלק מהגנת החשבון.
כאן מדובר במפתח אבטחה שתומך ב־FIDO/WebAuthn, וב־FIDO2 כשמשתמשים בו לשמירת passkey. החיבור יכול להיות USB או אמצעי נתמך אחר כמו NFC. עצם היותו התקן פיזי אינו מספיק: התקן שמפיק רק קוד מוקלד אינו מספק אותה עמידות לפישינג.
מפתח אבטחה USB לעסק: מה הוא מונע, מה לא, ואיך משלבים אותו בצוות
ב־WebAuthn פרטי האימות קשורים למזהה השירות, והדפדפן בודק את מקור הבקשה. אתר על דומיין מתחזה אינו יכול פשוט לקבל ולהעביר אישור כניסה תקף לשירות האמיתי כפי שאפשר להעביר קוד מוקלד. גם passkey במכשיר תומך יכול לספק עמידות לפישינג; זו אינה תכונה ששייכת רק למפתח USB.
לכן שימוש תקין ב־FIDO מסייע מול הודעת פישינג שמנסה לגנוב אישור כניסה דרך אתר אחר. עם זאת, אין בכך הבטחה מפני כל הונאה, גניבת הפעלה קיימת או שימוש לרעה בהרשאה שכבר ניתנה.
איך זה נראה מול שאר השיטות
| שיטה | מה היא מוכיחה | מה קורה מול עמוד מתחזה | הנקודה החלשה |
|---|---|---|---|
| קוד במסרון | שליטה במספר הטלפון | הקוד מוקלד ומועבר הלאה תוך שניות | גם השתלטות על המספר אצל הספק |
| קוד מאפליקציית אימות | שהמכשיר מחזיק את הסוד | אותה בעיה — הקוד ניתן להקלדה | אובדן המכשיר בלי גיבוי הסודות |
| אישור בהתראה על הטלפון | אישור ממכשיר רשום לפי מנגנון השירות | נחלש מול הצפה של בקשות עד שמישהו מאשר בטעות | לחיצה אוטומטית מתוך הרגל |
| מפתח FIDO/WebAuthn | הוכחת החזקת המפתח, עם קשירה לשירות | עמיד להעברת אימות דרך אתר מתחזה | אובדן ההתקן, ומסלולי שחזור חלשים שנשארו פתוחים |
הטבלה משווה מנגנוני אימות, ולא מדרגת את אבטחת העסק כולו. גם עם מפתח חשוב לבדוק את מסלולי השחזור, ההרשאות והמכשירים המחוברים.
מה מפתח פיזי אינו מונע
- הפעלה קיימת או מכשיר שנפגעו. גניבת עוגיות או אסימוני גישה עשויה לאפשר שימוש בהפעלה שכבר אושרה; מפתח אינו מנקה מכשיר או מבטל הפעלות מעצמו.
- מסלול שחזור לא מוגן. אם אפשר להחזיר גישה דרך תיבה או מנהל אחר, צריך להגן גם עליהם. רמת ההגנה תלויה בתהליך השחזור בפועל.
- הרשאות שניתנו לאדם או ליישום. מפתח אינו מבטל הרשאות קיימות, והגישה מתבצעת לפי מנגנון האימות של אותו משתמש או יישום. בדקו אותן גם כשמופיעות מודעות בשם העסק שלא אתם יצרתם.
- סיסמה שדלפה ומשמשת גם במקום אחר. רישום מפתח לחשבון אחד אינו מגן אוטומטית על שירותים אחרים. השתמשו בסיסמאות ייחודיות והיעזרו בבדיקת דליפת סיסמאות כחלק מהבירור.
מה בודקים לפני שקונים
- סוג החיבור. USB-A, USB-C או הצמדה אלחוטית לטלפון. בדקו מה יש במחשבים ובטלפונים שבפועל בשימוש בעסק, כולל הישנים.
- תמיכה ב־FIDO ובשירות. בדקו שהדגם והדפדפן נתמכים. ליצירת passkey על מפתח נדרש FIDO2; שירותים עשויים לתמוך גם במפתח FIDO1 כשלב שני.
- מפתח נוסף או חלופת התאוששות בדוקה. מפתח גיבוי במקום נפרד הוא אפשרות מועילה. שני מפתחות אינם תנאי אוניברסלי לכל שירות, אך אין להישאר בלי מסלול כניסה חלופי מתאים.
- עמידות פיזית. ההתקן חי על צרור מפתחות או בכיס. חיפוש קצר על עמידות במים ובלחץ חוסך החלפה.
- מה השירותים שלכם תומכים בו. התמיכה משתנה בין שירותים ולאורך זמן, ולכן קראו את מרכז העזרה של כל שירות במקום להסתמך על רשימה במדריך.
סדר ההטמעה ובדיקת ההתאוששות
לפני שמסירים דרך התחברות קיימת, מוודאים שהדרך החדשה ודרך ההתאוששות אכן פעילות. בשירותים מסוימים מפתח חדש עשוי להיות כפוף להמתנה או לבדיקה; פועלים לפי המצב שמוצג בחשבון.
- מפו את חשבונות השחזור. תיבת דואר שמחזירה גישה לנכסים עסקיים היא עדיפות גבוהה, לצד חשבונות ניהול וזהות ארגונית.
- רשמו את המפתח ואת הגיבוי לפי הוראות השירות. בדקו אם הושלמה ההפעלה ואם קיימת תקופת המתנה לפני השימוש.
- הכינו התאוששות בהתאם לשירות. אם נתמכים קודי גיבוי, שמרו אותם במקום מאובטח ונגיש לאדם המורשה; לא כל תוכנית אבטחה מאפשרת אותם.
- בדקו כל דרך כניסה בחלון נפרד. השאירו הפעלה תקינה פתוחה עד שהבדיקה הושלמה, כדי שלא תתנתקו מהדרך היחידה שעובדת.
- צמצמו שיטות שאינן נחוצות רק לאחר בדיקה. התאימו את ההחלטה למדיניות הארגון ולמסלולי השחזור; אין להסיר גיבוי חיוני כדי לסמן שההטמעה הסתיימה.
- המשיכו לנכסים העסקיים — חשבון הניהול העסקי, נכסי הפרסום, האחסון והדומיין — לפי סדר הנזק שייגרם באובדן כל אחד.
העסק עם כמה אנשים
בצוות מקצים לכל אדם משתמש והרשאות משלו, במקום לשתף חשבון וסיסמה. המפתח אינו אוכף זאת מעצמו: זהו נוהל ניהול שצריך ליישם בשירות. בעת עזיבה מסירים הרשאות ובודקים חיבורים והפעלות שנותרו. להרחבה ראו מדריך אבטחת החשבון העסקי לצוות.
שלושה כללים מנהליים שמחזיקים את זה לאורך זמן: החזיקו רשימה של מי מחזיק אילו מפתחות ולאילו חשבונות הם רשומים; שמרו מפתח גיבוי אחד במקום פיזי אחר מהיומיומי, כדי ששריפה או גניבה לא ייקחו את שניהם; ובדקו פעם ברבעון שהמפתחות הרשומים בכל חשבון הם באמת אלה שקיימים, ושל אנשים שעדיין עובדים אצלכם.
כשמפתח אובד
כשמפתח אובד, משתמשים בדרך כניסה חלופית שהוגדרה ונבדקה מראש, ומסירים את המפתח האבוד בכל חשבון שאליו נרשם. מוסיפים חלופה ומוודאים שהיא פעילה. אם יש חשד שגם מכשיר, סיסמה או הפעלה נחשפו, מטפלים גם בהם; הסרת המפתח אינה מבטלת בהכרח הפעלות שכבר אושרו.
בלי דרך כניסה זמינה פונים למסלול השחזור הרשמי, ותוצאתו וזמנו תלויים בשירות. החלופה יכולה להיות מפתח אחר, passkey במכשיר אחר, קוד גיבוי או מסלול מנהל ארגוני — רק אם הם נתמכים והוגדרו. שאר שכבות ההגנה על חשבון עסקי כוללות גם הכנת התאוששות ולא רק הקשחת הכניסה.
ארבע טעויות שחוזרות
- להסתמך על אמצעי יחיד בלי התאוששות. אובדן יכול לדרוש שחזור ממושך; בדקו מראש חלופה זמינה.
- לרשום את שני המפתחות ולהשאיר את שניהם באותה מגירה. הגיבוי מאבד את המשמעות שלו ברגע שהוא נמצא באותו מקום.
- להסיר מיד את כל שאר שיטות האימות. קודם מאמתים שהכניסה וההתאוששות תקינות, ובהמשך משנים רק בהתאם לצורך ולהוראות השירות.
- להתעלם מחשבון השחזור. בדקו אילו נכסים הוא יכול לשחזר והגנו עליו בהתאם.
תרגיל קליטה לצוות: בחשבון בדיקה מורשה, רשמו מי המשתמש, מהו השירות, איזה מפתח נרשם ואיזו דרך התאוששות זמינה. בדקו כניסה בחלון נפרד בלי לסגור את ההפעלה התקינה, וסמנו ״עבר״ רק לאחר כניסה מוצלחת. אחר כך תרגלו מה עושים אם המפתח אינו זמין. אין לשמור ברשימה סיסמאות או קודי שחזור עצמם.
מקורות רשמיים: NIST: עמידות אימות לפישינג | Google: מפתח אבטחה ואימות דו־שלבי | Google: אובדן מפתח | Google: התחברות עם passkey | Google: הפעלת אמצעי אימות חדש.
שאלות נפוצות
במה מפתח אבטחה פיזי עדיף על קוד שמגיע במסרון?
באימות FIDO/WebAuthn פרטי האימות קשורים לשירות ומקור הבקשה נבדק, בניגוד לקוד מוקלד שאפשר להעביר מאתר מתחזה. גם passkey במכשיר נתמך יכול לספק הגנה כזאת; לא כל התקן פיזי שמפיק קוד הוא עמיד לפישינג.
כמה מפתחות צריך לקנות לעסק?
אין מספר אחיד לכל שירות. מפתח ראשי ומפתח גיבוי במקום נפרד הם אפשרות מועילה, לצד חלופת התאוששות נתמכת שנבדקה. לכל עובד נדרשים חשבון והרשאות אישיים בהתאם לצורך, בלי שיתוף סיסמה.
איזה חשבון מגינים עליו קודם?
ממפים תחילה את חשבונות הזהות והשחזור ואת הנזק מאובדנם. תיבת דואר שמשחזרת גישה לנכסים עסקיים מקבלת עדיפות גבוהה, אך ייתכן שגם חשבון מנהל ארגוני או שירות זהות הם חלק ממסלול השחזור.
מה עושים כשמפתח אבטחה אובד?
נכנסים בדרך חלופית מורשית, מסירים את המפתח האבוד ומגדירים חלופה פעילה. אם נחשפו גם סיסמה, מכשיר או הפעלה, מטפלים בהם בנפרד. בלי דרך כניסה זמינה משתמשים בשחזור הרשמי; התהליך אינו מבטיח הצלחה בזמן קבוע.
