החלפת הסיסמה כל שלושה חודשים מחלישה את החשבון שלכם

בקצרה: כפיית החלפת סיסמה תקופתית גורמת לאנשים לבחור וריאציות צפויות של אותה סיסמה, ולכן תקן NIST האמריקאי ביטל את ההמלצה הזאת. מה שבאמת מגן זה אורך הסיסמה, סיסמה שונה לכל שירות, ואימות שני שלא עובר ב-SMS. החלפה נדרשת רק כשיש חשד לדליפה.

הכלל הזה הגיע מארגונים גדולים והשתרש בכל מקום. הוא נשמע הגיוני: סיסמה ישנה מסוכנת יותר. בפועל, כשמכריחים משתמש להחליף סיסמה בכל רבעון, הוא לא ממציא משהו חדש. הוא מוסיף ספרה בסוף.

קראו גם: הראוטר שקיבלתם מספק האינטרנט הוא כנראה המכשיר הפחות מאובטח בבית · האפליקציה שמחקתם מהטלפון עדיין קוראת את המייל שלכם · אנטי-וירוס בטלפון: ברוב המקרים אתם משלמים על הגנה שכבר יש לכם

ההתנהגות הזאת מתועדת היטב, ומכאן ההיפוך בהנחיות. מסמך NIST SP 800-63B קובע שאין לדרוש החלפה תקופתית ללא סיבה, ושיש לאפשר סיסמאות ארוכות בלי כללי מורכבות מלאכותיים.

אורך מנצח סימנים מיוחדים

חוזק סיסמה נמדד במספר הניחושים שתוקף צריך, וכל תו נוסף מכפיל את המספר הזה. סימן קריאה אחד במקום האות הראשונה כמעט לא משנה, כי התוקפים מכירים את התבנית.

המשפט בעל ארבע המילים קל לזכירה וקשה לפיצוח. זה בדיוק ההפך מהאינטואיציה שהמערכות חינכו אותנו אליה.

הבעיה האמיתית היא שימוש חוזר

רוב פריצות החשבונות בישראל לא מתחילות בפיצוח. הן מתחילות ברשימת סיסמאות שדלפה מאתר אחר, שנבדקת אוטומטית מול גוגל, פייסבוק ובנקים. סיסמה מצוינת ששימשה בשני מקומות שווה לסיסמה חלשה.

מנהל סיסמאות פותר את זה, והוא הסיבה שאפשר לוותר על הרבה מוצרי אבטחה בתשלום. הגיון דומה הופיע כאן בדיון על אנטי וירוס בטלפון, שבו ההגנה המשמעותית כבר מובנית במערכת ההפעלה.

מה להפעיל במקום לוח הזמנים הרבעוני

• סיסמה ייחודית לכל שירות, שנוצרת במנהל סיסמאות
• אימות שני דרך אפליקציה או מפתח חומרה
• Passkey בשירותים שתומכים בו, כי אין בו סוד שאפשר לגנוב מהשרת
• התראות דליפה, שמודיעות כשכתובת המייל שלכם מופיעה ברשימה חדשה
• החלפת סיסמה מיידית ברגע שהתראה כזאת מגיעה

לגבי הסעיף השני יש סייג חשוב. הקוד שמגיע ב-SMS חשוף להשתלטות על מספר הטלפון, ולכן אפליקציית אימות עדיפה עליו בכל מקרה.

למה Passkey משנה את המשחק

בסיסמה רגילה השרת שומר גרסה מגובבת של הסוד שלכם, ודליפה של מסד הנתונים מעמידה אותה לפיצוח ביתי. ב-Passkey נוצר זוג מפתחות: הפרטי נשאר בטלפון או במפתח החומרה, והציבורי בלבד נשמר אצל השירות.

התוצאה המעשית פשוטה. אתר דיוג לא יכול לבקש מכם להקליד משהו שאפשר לגנוב, כי אין מה להקליד. האימות מתבצע מול הכתובת האמיתית של השירות בלבד. החסרון היחיד היום הוא כיסוי: חלק מהאתרים הישראליים עדיין לא תומכים בו, ועד אז צריך להשאיר סיסמה חזקה כגיבוי.

החלפת סיסמה לא מנתקת את מי שכבר בפנים

הנחה נפוצה נוספת גורסת שסיסמה חדשה מגרשת את כל מי שקיבל גישה. זה לא מדויק. אסימוני גישה של אפליקציות צד שלישי ממשיכים לעבוד גם אחרי ההחלפה, וכך גם חלק מהמכשירים המחוברים.

בדיוק מהסיבה הזאת אפליקציה שמחקתם מהטלפון עדיין קוראת את תיבת המייל. אחרי כל אירוע חשוד צריך גם לנתק התקנים פעילים ולבטל הרשאות שניתנו בעבר.

עשר דקות הערב

פתחו את הגדרות האבטחה בחשבון הגוגל, עברו למסך ההרשאות, ומחקו כל אפליקציה שלא השתמשתם בה בשנה האחרונה. אחר כך החליפו את סיסמת המייל לארבע מילים ארוכות, והפעילו אפליקציית אימות במקום קוד SMS.