איך להישאר בטוחים עם סיסמה אחת

לא עובר יום שבו הגולש הממוצע לא נרשם לשירות מקוון חדש, ונדרש להזין בכל פעם שם משתמש וסיסמה חדשים. מכיוון שלגולש הממוצע אין שום סיכוי מעשי לזכור יותר מכמה סיסמאות בודדות עבור האתרים החשובים ביותר שלו, הוא פשוט משתמש בסיסמה אחת בכל האתרים שבהם הוא מבקר. פעם, הסיסמה של הגולש הזה היתה password. פשוט, אבל קשה לניחוש לכל הדעות. הגולש הממוצע כבר הספיק לצבור כמה שנות ניסיון ברשת, והוא גילה שזה מקום מסוכן ושכדאי לבחור סיסמה בטוחה יותר. עכשיו הוא משתמש ב-password1.

כשהסיסמה שלכם שמורה באתרים רבים, יחד עם אותו חשבון אימייל ועם אותו שם משתמש, הסיכון שהפרטים האלה יגיעו לידיים הלא נכונות גדל בכל פעם שאתם נרשמים לאתר חדש. אמנם, אתרים רבים שומרים את הסיסמה שלכם בצורה בטוחה, אבל תוקפים רבים מנסים באופן קבוע לשים את ידיהם על מאגרי המשתמשים של אחד האתרים שלא עושים את זה (וכאלה יש הרבה, בישראל במיוחד). כשהם מצליחים, הם מתחילים מיד לנסות את פרטי ההתחברות שלכם בעשרות ומאות אתרים אחרים. התקפות מסוג זה קורות לעתים קרובות, ולעתים קרובות הן גם מצליחות.

איך להשתמש בסיסמה אחת ולהישאר בחיים

 

הפתרון המובן מאליו לבעיה הזו הוא פשוט לבחור סיסמה ייחודית עבור כל אתר, אבל כאמור, הפתרון הזה לא ממש מעשי. חוקרים מאוניברסיטת סטנפורד מצאו פתרון טוב יותר. בפרויקט בשם Web Password Hashing, הם תיארו ואף יישמו מערכת שמאפשרת ליהנות מכל היתרונות של סיסמה אחת, אבל בלי כל החסרונות.

לפי העקרונות של Web Password Hashing, אתם ממשיכים להשתמש בסיסמה ראשית אחת בזמן ההרשמה, אבל הסיסמה הזו אף פעם לא נשלחת לאתר. במקום זאת, תוסף שמותקן בדפדפן (יש גרסא לאקספלורר, לפיירפוקס ולאופרה) משתמש בפונקציה מתוחכמת כדי לשלב את הסיסמה הראשית שלכם עם הכתובת הייחודית של האתר שאליו אתם נרשמים, וליצור סיסמה אקראית בטוחה שהופכת להיות סיסמת ההתחברות שלכם. אחרי ההרשמה, כל שיש לעשות הוא להפעיל שוב את התוסף כדי לקבל את הסיסמה ולהתחבר לאתר.

לשיטה זו יש יתרונות רבים. למרות שהסיסמה הראשית שלכם לא משתנה, הסיסמה הסופית שונה עבור כל אתר, מכיוון שלכל אתר יש כתובת אחרת. אתם בכלל לא צריכים לדעת בעצמכם מה הסיסמאות הסופיות שהתוסף יוצר, מכיוון שהן בסך הכל שילוב של הסיסמה הראשית עם כתובת האתר - שני אלמנטים שלא משתנים. ולבסוף, איש מלבדכם לא יוכל לשחזר באופן מלאכותי את הסיסמאות שתיצרו עם התוסף, מכיוון שלשם כך דרושה הסיסמה הראשית - שרק אתם יודעים, ושלעולם לא נשלחת ברשת או נשמרת בשום מקום.

כתופעת לוואי, המערכת הזו מעניקה גם הגנה אפקטיבית מפני התקפות "פישינג" - התקפות שבהן אתר זדוני מתחזה לאתר לגיטימי, כמו אתר של בנק, ומשדל את הגולשים לנסות "להתחבר" אליו, ובכך להסגיר את פרטי ההתחברות שלהם לאתר האמיתי.

אחת מהשיטות הנפוצות ביותר ליצירת אתרי פישינג היא כתובת הדומה במכוון לכתובת של אתר אמיתי - עם שגיאת כתב קלה, או מקף שלא קיים בכתובת המקורית. שיטה זו עלולה להטעות אפילו גולשים זהירים, אבל לא את האלגוריתם שאחראי על יצירת הסיסמאות.

אפילו אם תיפלו קורבן לאתר פישינג ותזינו בו את הסיסמה שלכם לפי השיטה של Web Password Hashing, הסיסמה שייצור התוסף תהיה מבוססת על שילוב עם הכתובת המדומה, ולא עם הכתובת המקורית. אפילו שינוי של תו אחד בכתובת האתר יביא ליצירה של סיסמה שונה לגמרי, שתהיה חסרת תועלת באתר האמיתי שאליו ניסה המתקיף להתחזות.

אז איך משתמשים בזה?

כאמור, החוקרים מסטנפורד האחראים על פרויקט Web Password Hashing לא הסתפקו רק בתיאור תיאורטי של המערכת שלהם, אלא יצרו יישום מעשי שלה, בצורת תוסף לפיירפוקס. אבל המחקר זכה לתשומת לב רבה וכמה מפתחים יישמו את אותם העקרונות בכלים אחרים - רובים נוחים הרבה יותר לשימוש מאשר התוסף המקורי. אחד המוצלחים שבהם הוא PasswordMaker, שזמין להורדה כתוסף לפיירפוקס ובכמה גרסאות אחרות.

השימוש ב-PasswordMaker פשוט במיוחד. אחרי ההתקנה, נסו להירשם לאתר חדש. כשתגיעו לשלב בחירת הסיסמה, לחצו על הקיצור Alt+` (גרש) כדי להפעיל את PasswordMaker (ברוב המקלדות, המקש גרש נמצא מעל המקש Tab ומתחת למקש Esc).

בחלון שיופיע, תתבקשו להקליד את הסיסמה הראשית שלכם - אין צורך להגדיר אותה מראש או לשמור אותה בשום מקום, פשוט בחרו סיסמה קשה לניחוש אך קלה לזכירה (לדוגמה, לא password1) והקלידו אותה, וחזרו עליה שוב לאישור. לחצו על Enter, ו-PasswordMaker יפעיל מאחורי הקלעים את הפונקציה שמשלבת בין הסיסמה הראשית שלכם לסיסמה של האתר שבו אתם נמצאים, ויזין עבורכם את הסיסמה הסופית בשדות הרלבנטיים בטופס.  

סיימו את ההרשמה כרגיל, ונסו עתה להתחבר לאתר. כשתגיעו לטופס ההתחברות ותתבקשו להזין את הסיסמה שבחרתם כדי להיכנס לאתר, הפעילו שוב את PasswordMaker עם אותו הקיצור והקלידו את הסיסמה הראשית שלכם. לחצו על Enter, והסיסמה הסופית תוזן בשדה המתאים.

בזה נגמר התהליך - שימו לב שהסיסמה הראשית שלכם לא נשמרה בשום מקום על המחשב ולא נשלחה בשום שלב לאתר שאליו נרשמתם. אם תנסו להתחבר לאתר באמצעות הסיסמה הראשית שלכם, תיתקלו בהודעת שגיאה.

כדי לבדוק קצת יותר מקרוב מה בדיוק קורה מאחורי הקלעים, השתמשו במקום הקיצור הקודם בקיצור Ctrl+`‎. החלון שיופיע כולל מעט יותר אפשרויות: שני שדות הסיסמה עדיין מופיעים כרגיל, אבל מלבדם מופיע גם שדה שמאפשר להגדיר את כתובת האתר (Using Text) ושדה שמציג את הסיסמה הסופית (Generated Password). לחצו על הקישור Advanced Options כדי להציג את כל שאר ההגדרות של התוסף.

התחילו להקליד את הסיסמה הראשית, ושימו לב שהסיסמה הסופית משתנה בהתאם לסיסמה הראשית. נסו גם לשנות את כתובת האתר. שימו לב שכל שינוי קטן, בכתובת האתר או בסיסמה הראשית, יוצר סיסמה סופית שונה לגמרי. לבסוף, תוכלו להעתיק את הסיסמה כדי להשתמש בה באתר.

השתמשו בקיצור Ctrl+`‎ במקרים שבהם התוסף לא מצליח לזהות אוטומטית את שדה הסיסמה (לדוגמה, באתרי פלאש) או כשאתם צריכים לשחזר את הסיסמאות שלכם לשימוש מחוץ לדפדפן (לדוגמה, להתחברות לטוויטר עם תוכנה שולחנית) או בדפדפן אחר (לדוגמה, להתחברות לאתרים עם אינטרנט אקספלורר).

PasswordMaker היא פתרון אלגנטי, יעיל ופשוט במיוחד כל עוד אתם יושבים מול המחשב הרגיל שלכם ומתחברים לאתרים רגילים באמצעות פיירפוקס, אבל זה לא תמיד המצב. עבור כל המקרים האחרים, תוכלו להוריד את PasswordMaker במגוון גרסאות אחרות - כתוכנה לחלונות עם ממשק גרפי או עם ממשק פקודה, כווידג'ט לאופרה, ליאהו, או ל-OS X וכיישום PHP.

בנוסף, בכתובת passwordmaker.org/passwordmaker.html תמצאו גרסה מקוונת של PasswordMaker, שבה תוכלו להשתמש מכל מקום בלי להתקין דבר. אפשר גם להוריד את העמוד הזה ולשמור אותו על דיסק-און-קי, וכך להשתמש בו מכל מחשב עם דפדפן גם ללא חיבור לרשת.

60 שניות על בטיחות

 

החוליה החלשה ביותר בשרשרת ההתחברות שלכם לאתרים שונים ברשת היא דווקא לא הסיסמה, אלא שאלת האבטחה שמשמשת לשחזור הסיסמה במקרי חירום (שלעתים קרובות מתרחשים בכל התחברות לאתר).

למעשה, שאלת האבטחה היא פשוט סיסמה שנייה לגישה לאתר, מעיין סיסמת חירום סודית שבה אפשר להשתמש כשהסיסמה הראשית אובדת - בדיוק כמו צרורות המפתחות החלופיים שמקובל לשמור בבתי חברים או קרובי משפחה. לפי הגדרה, סיסמה חלופית צריכה להיות מנגנון בטוח יותר מאשר הסיסמה הרגילה, אבל כמעט בכל אתר ברשת, שאלות האבטחה שבהן אפשר לבחור מבוססות על מידע טריוויאלי שאפשר לברר בקלות יחסית.

שאלת אבטחה כמו "מה היה שם המשפחה המקורי של אמך" מקבילה לצרור מפתחות חלופי שמוחבא מתחת לשטיח הכניסה, ואף יוצר בליטה קטנה שמיידעת את כל עוברי האורח על קיומו. רוב האנשים שיראו את המפתח מתחת לשטיח פשוט יתעלמו ממנו וימשיכו ללכת, אבל מי שירצו להיכנס אליכם הביתה בהיעדרכם יידעו בדיוק איפה למצוא אותו.

לדוגמה, שירות האימייל של וואלה היה ידוע בעבר לשמצה כמטרה נוחה במיוחד עבור פורצי חשבונות מתחילים: משתמשים רבים מאחסנים בחשבון האימייל שלהם מידע רגיש במיוחד, אבל וואלה אפשרה בעבר לבחור שאלות אבטחה מוכנות שהתשובות עליהן היו קלות לבירור. בכך, היא עודדה את המשתמשים להפקיר את הגישה לחשבון האימייל שלהם. טופס ההרשמה הנוכחי בוואלה לא מציע שאלות אבטחה מוגדרות מראש, ומחייב כל משתמש להמציא שאלת אבטחה משל עצמו.

אין פתרון מלא לבעיה הזו. מצד אחד, יש צורך במנגנון אמין, זמין ופשוט לשחזור הסיסמה, אבל מצד שני, מנגנון שיהיה בטוח יותר מהסיסמה עצמה יהיה מסורבל ויקר מדי ליישום. הפשרה הטובה ביותר בין נוחות לבטיחות לא ברורה מאוד במקרה זה, ואפילו אם נמצאת פשרה כזו היא לא בהכרח זמינה.

במידת האפשר, בחרו שאלת אבטחה מותאמת אישית בכל אתר שאתם נרשמים אליו, והקפידו לנסח שאלות ותשובות נפרדות עבור כל אתר - מאותה הסיבה בגללה יש לבחור סיסמה שונה עבור כל אתר. עבור חשבונות חשובים במיוחד, תוכלו לבחור שילוב אקראי וחסר משמעות של שאלות ותשובות, ולשמור את הפרטים האלה בצורה בטוחה בתוכנה לניהול סיסמאות כמו KeePass, או אפילו שירות מקוון כמו PassPack.

מידע נוסף

 

הוראות שימוש מפורטות בתוסף של PasswordMaker לפיירפוקס

Stronger Password Authentication Using Browser Extensions - המאמר המקורי של בלייק רוס, קולין ג'קסון, ניקולס מייאקה, דן בונה וג'ון מיטשל (קישור לקובץ PDF)

פונקציית גיבוב (Hash function) בוויקיפדיה - הפונקציה המשמשת ליצירת הסיסמה הסופית

כתבות קשורות

 

המדריך לגולש האנונימי

המדריך המהיר למצפין

שחזור הסיסמה של חלונות בשלושה צעדים פשוטים

מדריך: שתי מערכות הפעלה על מסך אחד

איך להשתלט מרחוק על המחשב של אמא