קרדיט לתמונה הראשית: Photo by George Prentzas on Unsplash
Passkeys, או מפתחות גישה, מאפשרים להיכנס לאתר או לאפליקציה באמצעות טביעת אצבע, זיהוי פנים או קוד הנעילה של המכשיר – בלי להקליד סיסמה חדשה בכל כניסה. הרעיון הוא לא רק נוחות: המנגנון המבוסס על תקני FIDO ו־WebAuthn נועד לצמצם את הסיכון שגנב סיסמאות יתחזה לאתר אמיתי ויקבל את פרטי הכניסה שלכם. במקום סוד שאפשר להעתיק, נוצרת זוגיות של מפתח פרטי ומפתח ציבורי שמקושרת לאתר מסוים.
השינוי כבר נפוץ בחשבונות רבים, אבל הוא עדיין מבלבל: האם טביעת האצבע נשלחת לגוגל? מה עושים כשהטלפון נגנב? האם יש צורך בססמת גיבוי? ואיך מגדירים מפתח גישה במחשב ובטלפון בלי להינעל מחוץ לחשבון? המדריך עונה על השאלות לפי ההסברים הרשמיים של גוגל ושל ארגון FIDO.
חמש נקודות מרכזיות
- Passkey הוא זוג מפתחות קריפטוגרפיים; המפתח הפרטי נשמר במכשיר או במנהל מפתחות, והצד השני מקבל מפתח ציבורי.
- זיהוי פנים או טביעת אצבע משמשים בדרך כלל לשחרור המפתח המקומי. האתר עצמו לא אמור לקבל את נתוני הביומטריה.
- Passkeys בנויים לעמידות בפני הונאות פישינג שנשענות על הקלדת סיסמה באתר מתחזה.
- אפשר לשמור מפתח מסונכרן בין מכשירים או מפתח שנשמר בהתקן אבטחה פיזי, לפי השירות והתצורה.
- חשוב להכין דרך שחזור נוספת, לעדכן מספר התאוששות ולהיזהר ממכשירים משותפים.
איך Passkeys עובדים מאחורי הקלעים?
בעת יצירת מפתח גישה, המכשיר יוצר זוג מפתחות. המפתח הציבורי נרשם אצל האתר והשני נשמר באופן מוגן בצד של המשתמש. בכניסה הבאה האתר מבקש הוכחה קריפטוגרפית שהמכשיר מחזיק במפתח המתאים. המכשיר מאפשר לחתום לאחר אימות מקומי, למשל באמצעות Face ID, טביעת אצבע או PIN. האתר מאמת את החתימה, בלי לקבל את המפתח הפרטי ובלי שהמשתמש מקליד סיסמה שאפשר לגנוב בדרך.
כאן נמצא ההבדל המהותי מפישינג רגיל. אתר מתחזה יכול להציג מסך דומה להפליא למסך הכניסה של הבנק, אבל מפתח הגישה קשור לדומיין האמיתי. לפי FIDO Alliance, המנגנון הזה מציב Passkeys בקטגוריית האימות העמיד בפני פישינג. הוא אינו מונע כל סוג של הונאה או פריצה, כמו גניבת סשן שכבר נפתח או תרמית שמביאה משתמש לבצע פעולה בעצמו.
איך מגדירים Passkey בחשבון גוגל?
- נכנסים לחשבון גוגל שכבר שייך לכם, ורצוי לעשות זאת במכשיר אישי.
- פותחים את עמוד מפתחות הגישה של חשבון גוגל.
- בוחרים ביצירת מפתח גישה ומאשרים את זיהוי המכשיר.
- מוודאים שאפשר להיכנס שוב לחשבון בלי להקליד סיסמה, בהתאם לאפשרויות השירות.
- בודקים שמספר טלפון, דוא"ל לשחזור או מפתח גיבוי נוסף מעודכנים.
גוגל מדגישה כי יש ליצור מפתחות גישה רק במכשירים שבבעלותכם. אם אדם אחר מסוגל לפתוח את נעילת המכשיר שלכם, הוא עלול להיות מסוגל להיכנס גם לחשבון. בחשבון רגיש, במיוחד אם כמה אנשים משתמשים במחשב, אין ליצור Passkey אישי עבור כולם על אותו פרופיל מחשב.
איך זה עובד באנדרואיד, באייפון ובמחשב?
באנדרואיד מפתחות גישה נשמרים בדרך כלל במנהל סיסמאות או מפתחות כמו Google Password Manager, ויכולים להסתנכרן למכשירים נוספים בהתאם למנגנון האבטחה. אפשר לבחור במנהל נתמך אחר מתוך הגדרות מערכת ההפעלה. באייפון ובמק אפשר להשתמש במערכת הסיסמאות של אפל, ובמחשבים אחרים קיימות אפשרויות של מנהלי מפתחות נתמכים או מפתח אבטחה פיזי.
לפעמים אפשר להיכנס במחשב באמצעות Passkey שמור בטלפון: המחשב מציג קוד QR, הטלפון מאמת את המשתמש והדפדפן מקבל את האישור. כדי שהאימות יעבוד יש דרישות גרסה, Bluetooth ואמצעי קרבה לפי התקן והמכשיר. במסך כזה אין להזין סיסמה או קוד רגיש באתר בלתי מוכר שמתיימר "להפעיל מפתחות גישה".
Passkey מסונכרן לעומת מפתח אבטחה פיזי
| אפשרות | יתרון | דגש לבדיקה |
|---|---|---|
| Passkey מסונכרן | נוח במעבר בין טלפון למחשב נתמך | האבטחה והשחזור של מנהל המפתחות |
| Passkey במכשיר יחיד | הפרדה חזקה יותר בחלק מהתרחישים | מה קורה כשהמכשיר אבד |
| מפתח אבטחה FIDO2 פיזי | אפשרות לגיבוי והגנה של חשבונות רגישים | תאימות המכשיר ותוכנית גיבוי |
אף אחת מהאפשרויות אינה "טובה תמיד" בלי קשר לנסיבות. למשתמש ממוצע, סנכרון מפתחות עשוי להקל על המעבר לטלפון חדש. לארגון שרוצה שליטה מוקפדת על גישה למערכות רגישות, מדיניות של מפתחות חומרה יכולה להיות רלוונטית יותר.
מה ההבדל בין Passkeys לאימות דו-שלבי?
אימות דו-שלבי קלאסי מבוסס לרוב על סיסמה ואז הוכחה נוספת, למשל קוד מאפליקציה או הודעה. Passkey יכול לשמש כשיטת כניסה עצמאית שמערבת את המכשיר ואת פתיחת הנעילה המקומית שלו. בהתאם למערכת, הוא עשוי להחליף סיסמה או לשמש אמצעי אימות נוסף. אין לראות את כל ההגדרות כמשהו זהה בכל שירות.
שימוש בקודים שנשלחים ב־SMS יכול להיות עדיף מסיסמה בודדת, אך קוד כזה עדיין ניתן למסירה באתר מתחזה. Passkeys מתוכננים להגן מפני אותו תרחיש. עם זאת, אם השירות מאפשר לשחזר חשבון במסלול חלש במיוחד, התוקף עשוי לנסות לעקוף את שיטת הכניסה דרך תהליך השחזור.
מה עושים כשהטלפון אבד או נגנב?
ראשית חוסמים את הגישה למכשיר דרך מנגנון איתור ונעילה של היצרן, לפי האפשרויות הזמינות. לאחר מכן נכנסים לחשבון ממכשיר שאתם עדיין שולטים בו ומסירים מפתחות שקשורים להתקן שאבד. בגוגל ניתן לנהל זאת בהגדרות מפתחות הגישה והאבטחה. אם אין דרך כניסה נוספת, נדרשת לעתים התאוששות חשבון שיכולה לקחת זמן.
מסיבה זו מומלץ לא להסתמך על מכשיר יחיד כשמדובר בחשבון חשוב: אפשר ליצור מפתח גיבוי במכשיר נוסף או בהתקן אבטחה פיזי, לשמור פרטי התאוששות מעודכנים ולבדוק את האפשרויות לפני שהמכשיר מתקלקל. גם סנכרון בענן אינו תחליף לתכנון גישה בעת אובדן טלפון.
אילו הונאות עדיין מסכנות משתמשים?
מתחזים יכולים לבקש "לאשר כניסה" או "לשחזר Passkey" בהודעות פישינג, לגרום לכם לאשר פעולה שלא התכוונתם אליה, לגנוב מכשיר שנשאר לא נעול או לנסות להשתלט על החשבון דרך ערוץ תמיכה חלש. לכן חשוב להפעיל נעילת מסך חזקה, לבדוק את הדומיין, להימנע מהתקנת תוכנות בלתי מוכרות ולזכור שלא צריך לשלוח למישהו קוד זיהוי או סוד גיבוי כדי ש"יתקן" את המפתח.
הגנה טובה היא שילוב של אמצעים: עדכוני מערכת, מנהל מפתחות אמין, סקירת מכשירים שמחוברים לחשבון והימנעות משיתוף גישה. מי שהחשבון שלו כבר נפגע צריך לעבור גם על הרשאות אפליקציות, אימיילים לשחזור וסשנים פתוחים.
הזווית הישראלית: למה כדאי להתחיל בחשבונות החשובים?
לישראלים שמנהלים עבודה, בנקאות, רשתות חברתיות ושירותי ענן דרך אותו טלפון, אובדן חשבון מרכזי יכול לשבש שירותים רבים. כדאי להתחיל באבטחת דוא"ל ראשי, חשבונות עבודה ושירותים שבהם יש פרטים רגישים. אם יש באתר או באפליקציה תמיכה רשמית ב־Passkeys, אפשר לבחון אותה לצד שיטות האימות הקיימות. השם Passkey לבדו אינו הבטחה שהאתר כולו בטוח.
להתמודדות עם פגיעה בחשבון נפוץ בישראל קראו גם את המדריך שלנו לשחזור חשבון וואטסאפ שנפרץ. על הסיכונים של פריצות למערכות גדולות אפשר ללמוד גם מפרשת הפריצה לבייננס – אף שמפתח גישה אישי אינו פותר לבדו בעיית אבטחה בצד השרת.
מה אם האתר שאני משתמש בו עדיין לא תומך ב־Passkeys?
אתם לא חייבים להפסיק להשתמש באתר שאין בו מפתחות גישה. בינתיים כדאי להשתמש בסיסמה ארוכה וייחודית שמנוהלת במנהל סיסמאות מוכר, להפעיל אימות דו-שלבי כשיש אפשרות, ולבדוק שהכתובת להחלפת סיסמה ולשחזור החשבון מעודכנת. אם השירות תומך במפתח אבטחה פיזי, זו עשויה להיות אפשרות חזקה יותר מאשר קוד שנשלח בהודעת SMS.
אם ארגון שאתם עובדים איתו משתמש בשם "Passkey" אבל מבקש בכל כניסה להקליד סוד באתר חיצוני, כדאי לברר מול צוות המחשוב מהו הפתרון בפועל. מפתח גישה תקני נבנה סביב מנגנון של חתימה קריפטוגרפית הקשור לאתר, ולא סביב "קוד מפתח" שמישהו שולח במייל.
טבלת אבטחה: סיסמה, קוד חד-פעמי ומפתח גישה
| שיטה | יתרון | סיכון חשוב |
|---|---|---|
| סיסמה בלבד | נתמכת כמעט בכל שירות | אפשר לגנוב, לנחש או לעשות בה שימוש חוזר |
| סיסמה וקוד SMS | מוסיפה חסם בפני שימוש בסיסמה שנגנבה | אפשר לבקש קוד מאדם באתר מתחזה או להשתלט על מספר |
| סיסמה ואפליקציית קודים | אינה תלויה בהגעת הודעת SMS | אפשר לגרום למשתמש להקליד קוד באתר מתחזה |
| Passkey תקני | עמידות לפישינג של סיסמה וקשר לדומיין | אובדן גישה למכשיר או השתלטות על דרך שחזור |
איך מארגנים דרך גיבוי בלי לפגוע באבטחה?
רצוי לשמור לפחות דרך אחת נוספת להיכנס לחשבונות הקריטיים, בהתאם לאפשרויות שמציע השירות. זו יכולה להיות Passkey שני במכשיר אחר, מפתח אבטחה פיזי או פרטי התאוששות מעודכנים. כשמגדירים אפשרות גיבוי, בצעו כניסה לבדיקה ממכשיר אחר לפני שמסירים את דרך הכניסה הישנה. מי שמשתמשים ב-Passkeys מסונכרנים צריכים להגן במיוחד על החשבון שמסנכרן אותם.
אחרי מעבר למכשיר חדש, אל תמהרו לאפס את הטלפון הישן לפני שווידאתם שאתם מסוגלים להיכנס לחשבונות החשובים ולשחזר גישה גם במקרה של תקלה. זה נכון במיוחד לחשבון דוא"ל המשמש לשחזור חשבונות אחרים.
שאלות נפוצות
האם האתר מקבל צילום של טביעת האצבע?
לא. האימות הביומטרי בדרך כלל מתבצע מקומית במכשיר; השירות מקבל הוכחה קריפטוגרפית.
האם Passkey תמיד מחליף את הסיסמה?
לא בהכרח. השירות עשוי לתמוך בכניסה ללא סיסמה, אך להשאיר אפשרויות אחרות לחשבון ולשחזורו.
מה קורה אם אין לי חיישן ביומטרי?
לעתים אפשר להשתמש ב־PIN או בקוד נעילת המכשיר אם מערכת ההפעלה והאתר תומכים בכך.
האם אפשר להשתמש במפתח אחד בשני מכשירים?
מפתחות מסונכרנים יכולים להיות זמינים בכמה מכשירים דרך מנהל מפתחות נתמך; מפתחות מסוימים נשארים כבולים להתקן יחיד.
האם מפתח גישה מונע כל פריצה?
לא. הוא מפחית מאוד סיכוני פישינג של סיסמאות, אבל לא מסיר את הסיכון להשתלטות על מכשיר או לטעויות אנוש.
איך מתנהלים עם Passkeys במחשב משותף או בעבודה?
כאשר משתמשים במחשב של ארגון, ספרייה או אדם אחר, אין ליצור עליו מפתח גישה אישי באופן אוטומטי. חשוב לבדוק אם המפתח יישמר בפרופיל הדפדפן המקומי, במנהל מפתחות של אדם אחר או במכשיר פרטי. גם אם הכניסה בוצעה באמצעות הטלפון שלכם, יש להתנתק מהחשבון בסיום העבודה ולבדוק שלא נשמרו הרשאות או סשנים נוספים.
בארגונים שבהם יש ניהול מרכזי של חשבונות, מומלץ להתייעץ עם אחראי המחשוב על הדרך המורשית ליצירת מפתחות ואיך משחזרים גישה כאשר עובד עוזב או מחליף מחשב. יש הבדל בין מפתח גישה אישי לבין זהות של חשבון עסקי, ואין לשתף את אותו מפתח בין עובדים.
כדאי גם לבדוק את מסך "המכשירים המחוברים" בחשבונות החשובים ולהסיר סשנים ישנים. Passkey יכול להקשות על פישינג חדש, אבל אינו סוגר אוטומטית כל חיבור ישן או הרשאה של יישום חיצוני שניתנה בעבר.
אחרי מה לעקוב?
לרשימות השירותים שמוסיפים תמיכה, לשינויים בתהליך השחזור במערכות ההפעלה ולתמיכה בין מנהלי מפתחות. לפני שינוי של חשבון חשוב כדאי לבדוק את שלבי הגיבוי.
מקורות: גוגל – יצירת Passkey; אנדרואיד – שימוש במפתח גישה; FIDO Alliance. עודכן באוקטובר 2026.
