אתם נכנסים לחשבון Google מהטלפון, והמסך לא מבקש סיסמה. הוא מבקש את הטביעה שפותחת את המכשיר עצמו, ותוך שנייה אתם בפנים. שום סיסמה לא עברה בדרך, וזה בדיוק מה ש-passkey נועד לעשות.

אז מה בעצם קרה שם?

ביום שהפעלתם את זה, המכשיר שלכם ייצר שני מפתחות שמתאימים זה לזה. אחד נשאר אצלכם, במכשיר או במנהל הסיסמאות שמסנכרן אותו בין המכשירים, והוא לא נשלח לאתר אף פעם. השני נשלח לחברה ונשמר אצלה. מכאן והלאה כל כניסה עובדת כך: האתר שולח משפט חדש ואקראי, והמכשיר חותם עליו בעזרת המפתח שיושב אצלו.

תחשבו על דוגמת החתימה שהשארתם פעם בבנק. הפקיד יכול להשוות אליה כל חתימה, אבל היא לא מאפשרת לו לחתום בשמכם. ההבדל הוא שכאן חותמים על משפט אחר בכל פעם, אז מי שהקליט כניסה אחת לא יוכל לחזור עליה. לשיטה הזאת קוראים passkey, ובעברית מפתח גישה. (הטביעה עצמה, אגב, לא נשלחת לאף אחד; היא רק פותחת את המפתח שכבר אצלכם.)

למה עמוד מזויף לא מצליח לקחת אותו?

כי ה-passkey רשום על כתובת אחת ויחידה. יצרתם אותו מול הכתובת של גוגל, והדפדפן הוא שבודק את ההתאמה בכל כניסה, לא אתם. עמוד שנראה זהה לגמרי אבל יושב על כתובת דומה יבקש חתימה, והמכשיר לא יציע לו את המפתח. סיסמה אפשר להקליד בכל מקום, כולל במקום הלא נכון. מפתח גישה פשוט לא הולך לכתובת הלא נכונה.

יש כאן רווח שני, שנוגע לדליפות מידע. מה שהחברה מחזיקה עליכם הוא רק החצי שיודע לאמת חתימות, אז מי שיגנוב לה את מסד הנתונים לא ימצא שם דבר שאפשר להיכנס איתו. ב-CISA מגדירים את התקן הזה כאימות העמיד ביותר בפני פישינג שזמין היום.

ובכל זאת, איך חשבונות עם passkey נפרצים?

התוקפים הפסיקו לנסות לשבור את המפתח, והתחילו לבקש מכם לרשום להם אחד חדש. שיחת טלפון מ"מחשוב" שמבקשת לעדכן passkey היא בדיוק זה, וכך גם ערכות תקיפה שרושמות לעצמן מפתח בחשבון אחרי פישינג רגיל. המפתח שלכם נשאר בטוח לגמרי. פשוט יש עכשיו עוד אחד בחשבון, של מישהו אחר.

וכדאי לזכור עוד שניים. הסיסמה הישנה לרוב נשארת בחשבון כדרך כניסה חלופית, ואם השחזור שלה רץ דרך SMS, הוא חשוף לחטיפת מספר הטלפון. ומי שמצליח לפתוח את המכשיר שלכם, מצליח גם להשתמש במפתח שעליו, כפי שגוגל מציינת.

מה עושים עם זה עכשיו?

הפעילו את זה איפה שאפשר. בחשבון Google ההגדרה יושבת תחת אבטחה בשם "מפתחות גישה", ובאפל ובמיקרוסופט בהגדרות החשבון. גם וואטסאפ מרשה לרשום יותר ממפתח אחד.

רשמו passkey על יותר ממכשיר אחד, או ודאו שהוא מסונכרן דרך חשבון גוגל או אפל. מפתח שקיים רק על טלפון אחד הופך לבעיה ביום שהוא נגנב.

עברו על דרכי הכניסה שנשארו פתוחות. אם אפשר למחוק את הסיסמה הישנה, מחקו; ואם לא, ודאו שהאימות הדו-שלבי עליה עובר דרך אפליקציה ולא בקוד SMS.

וכלל אצבע אחד: שום גורם אמיתי לא ידריך אתכם בטלפון איך להוסיף מפתח גישה. מי שכן מדריך, מוסיף אותו לעצמו.