אתר נשלט מארבעה חשבונות שונים, ולעיתים קרובות רק אחד מהם מוגן כמו שצריך. מי שמשיג גישה לדוא״ל יכול לאפס את הסיסמה לכולם. מי שמשיג גישה לרשם הדומיין יכול להפנות את האתר לשרת אחר. מי שנכנס ל-cPanel יכול לקרוא את קובץ ההגדרות עם סיסמת המסד. ומי שנכנס למערכת הניהול יכול לפרסם מה שהוא רוצה בשמכם.
אימות דו-שלבי (2FA) מוסיף לכל דלת כזאת מנעול שני, שתלוי במשהו שיש לכם ולא במשהו שאתם יודעים. השאלה היא איזה מנעול.
ארבעה סוגים, מהחלש לחזק
| שיטה | איך זה עובד | נגד מה זה מגן | החולשה |
|---|---|---|---|
| קוד ב-SMS | האתר שולח קוד לטלפון | סיסמה שדלפה | החלפת SIM במרמה (SIM swap), יירוט, ופישינג: קל לשכנע אתכם להקליד את הקוד באתר מזויף. NIST מסמן SMS כשיטה מוגבלת כבר שנים |
| אפליקציית TOTP | קוד שמתחלף כל 30 שניות, מחושב במכשיר מסוד משותף (RFC 6238) | סיסמה שדלפה, SIM swap | פישינג: את הקוד עדיין אפשר להקליד באתר מזויף שמעביר אותו הלאה בזמן אמת |
| מפתח חומרה (FIDO2) | מכשיר USB/NFC חותם על אתגר שכולל את הדומיין | כל האמור, ופישינג | צריך לשאת אותו; אובדן דורש מפתח גיבוי |
| Passkey | אותו מנגנון, המפתח בטלפון או במחשב, מסונכרן | כל האמור, ופישינג | סנכרון בין ספקים עדיין חלקי; שחזור תלוי בספק |
ההבדל המהותי הוא בין שתי השורות הראשונות לשתי האחרונות. קוד (ב-SMS או באפליקציה) הוא מספר שאתם מקלידים, ומספר אפשר לרמות אתכם להקליד במקום הלא נכון. חתימת FIDO2 כוללת את הדומיין ואינה ניתנת להעברה. לחשבונות שאפשר לאבד איתם את האתר, זה ההבדל שחשוב.
סדר הפעולות
- הדוא״ל קודם. הוא מאפס את כל השאר. הפעילו את החזק ביותר שהספק מציע (passkey או מפתח חומרה ב-Gmail, Outlook ו-iCloud), ובטלו SMS כשיטת שחזור אם אפשר.
- רשם הדומיין. גם שינוי DNS וגם העברת דומיין צריכים לעבור דרך גורם שני. רשמים רבים תומכים ב-TOTP; חלקם במפתחות חומרה. בדקו גם שיש ״נעילת העברה״ (transfer lock) על הדומיין.
- cPanel / חשבון האחסון. cPanel תומך ב-TOTP מובנה (Security ← Two-Factor Authentication). הפעילו אותו גם בחשבון הלקוח של הספק, שלרוב נפרד.
- מערכת הניהול של האתר. אם יש בה 2FA, הפעילו. אם אין, הסיסמה חייבת להיות ארוכה וייחודית, וכדאי להגביל את הכניסה לכתובות או להוסיף שכבת הגנה ברמת השרת.
סיסמאות עדיין חשובות
גורם שני לא מחליף סיסמה טובה; הוא מגן כשהיא נופלת. סיסמה ייחודית לכל אחד מארבעת החשבונות, במנהל סיסמאות, היא תנאי. סיסמה אחת לכולם הופכת את ארבע הדלתות לדלת אחת.
קודי גיבוי והמקרה של הטלפון האבוד
כל שיטה חוץ מ-SMS נותנת קודי גיבוי בהפעלה. שמרו אותם במקום שאינו הטלפון: מנהל הסיסמאות, או הדפסה בכספת. ואם אתם משתמשים ב-TOTP, בחרו אפליקציה שמגבה את הסודות (או ייצאו אותם), כי טלפון שאבד בלי גיבוי פירושו נעילה מכל החשבונות בבת אחת. עם passkeys הסנכרון פותר את זה בתוך האקוסיסטם, אבל לא בין אקוסיסטמים; passkey נוסף במכשיר שני הוא הגיבוי.
מה לא לעשות
- לא להשאיר SMS כאפשרות חלופית אם יש שיטה חזקה יותר. תוקף יבחר את החלשה.
- לא לשתף קוד TOTP או מפתח בין כמה אנשים. לכל אדם חשבון משלו, עם הגורם השני שלו.
- לא לדלג על הדוא״ל כי ״זה רק הדוא״ל״. זה המפתח לכל השאר.
כל זה לוקח שעה, פעם אחת. זו ההשקעה עם התשואה הגבוהה ביותר שיש לבעל אתר באבטחה, הרבה לפני כל תוסף אבטחה.
