אם תעשו דבר אחד בכל האתר הזה, עשו את זה. כל אמצעי אחר כאן מפחית סיכון בשוליים; זה מסיר קטגוריה שלמה של התקפה, וזו הקטגוריה שבאמת קורית לאנשים שעושים את העבודה הזו. זה עולה פחות מזוג נעליים ולוקח אחר צהריים.
01למה קוד יכול להיגנב ומפתח לא
ראיתם את ההתקפה גם אם היא לא עבדה עליכם. אימייל או הודעה אומרים שיש בעיה בחשבון שלכם. הקישור מוביל לדף שהוא העתק מדויק לפיקסל של הכניסה האמיתית. אתם מזינים את הסיסמה. הוא מבקש את הקוד מהאפליקציה המאמתת. אתם מזינים גם אותו.
מאחורי הקלעים, השרת של התוקף מתחבר לאתר האמיתי באותו רגע, ומעביר בזמן אמת כל מה שאתם מקלידים. הקוד שלכם היה אמיתי. הוא היה תקף לשלושים שניות. אתם פשוט הקלדתם אותו לחלון הלא נכון, ושלושים שניות זה די והותר.
אפליקציה מייצרת מספר מסוד סודי משותף ומשעון. אין לה מושג באיזה אתר אתם צופים, ולכן היא לא יכולה להבדיל בין דף כניסה אמיתי להעתק. הקוד אינו החולשה, העין האנושית היא. כל הגנה שתלויה בכך שתזהו דומיין מזויף תיכשל בסופו של דבר, כי הזיופים טובים מאוד ואתם תהיו עייפים.
מפתח אבטחה פועל אחרת. כשאתם רושמים אותו באתר, הוא שומר סוד הקשור לדומיין האמיתי של אותו אתר. בעת ההתחברות האתר שולח אתגר; המפתח חותם עליו, אבל רק לאחר בדיקה שהדומיין המבקש תואם לדומיין שאיתו נרשם. דומיין דומה מבקש, והמפתח פשוט לא עונה. אין מה להעביר הלאה, אין מה להקליד, ואין מה לטעות.
Google העבירה את כל כוח העבודה שלה — עשרות אלפי אנשים, למפתחות אבטחה ודיווחה על אפס השתלטויות פישינג מוצלחות על חשבונות עובדים לאחר מכן. זו הראיה החזקה ביותר באבטחת צרכנים עבור כל אמצעי בודד, ולכן המדריך הזה ראשון ולא חמישי.
02מה יש על המפתח
YubiKey 5 אינו דבר אחד. הוא כמה התקני אבטחה עצמאיים באותו פיסת פלסטיק, ורוב האנשים משתמשים באחד מהם ולעולם לא יודעים שהשאר נמצאים שם. הנה כולו, במונחים פשוטים.
| תכונה | להשתמש בזה? | למה זה מיועד |
|---|---|---|
| FIDO2 / WebAuthn | כן, זה האחד | התקן המודרני. התחברות חסינת פישינג, והבסיס ל-passkeys. זה מה שתשתמשו בו ב-Google, Microsoft, GitHub, Cloudflare, Proton ורוב הדברים שחשובים. |
| Passkeys (מפתחות תושבים) | כן | אותו דבר, אבל המפתח מאחסן גם את זהות החשבון, כך שאפשר להתחבר בלי להקליד שם משתמש או סיסמה בכלל. האחסון מוגבל — ראו את ההערה למטה. |
| U2F | אוטומטי | הגרסה הישנה יותר של אותו רעיון. עדיין בשימוש באתרים מסוימים; המפתח מטפל בזה בלי שתצטרכו לבחור. |
| OATH-TOTP | תלוי מצב | מאחסן את הקודים הרגילים בני שש הספרות על המפתח במקום באפליקציה בטלפון, ונקרא דרך Yubico Authenticator. שימושי לאתרים שאינם תומכים ב-FIDO2. זה עדיין קוד ועדיין ניתן לדיגוג, הוא מגן על הסוד, לא על ההתחברות. |
| אתגר-תגובה (HMAC-SHA1) | כן, עם KeePassXC | גורם למסד הנתונים של הסיסמאות שלך לדרוש את המפתח הפיזי כדי להיפתח. מכוסה במדריך KeePassXC, זהו הצירוף שהופך את שני הכלים לחזקים במידה ניכרת. |
| PIV / כרטיס חכם | מתקדם | מאחסן אישורים. משמש למפתחות SSH שלא ניתן להעתיק מהמכשיר, ולמערכות ארגוניות וממשלתיות מסוימות. |
| OpenPGP | מתקדם | מחזיק מפתחות GPG על חומרה, כך שחתימה ופענוח מתרחשים על המפתח והמפתח הפרטי לעולם לא נוגע במחשב שלך. |
| Yubico OTP | לעיתים רחוקות | תכנית סיסמה חד-פעמית מדור קודם שקדמה ל-FIDO. חלק מהשירותים הישנים משתמשים בה. השאר אותה בשקט אלא אם משהו מבקש. |
| סיסמה סטטית | No | מקליד מחרוזת קבועה כשאתה נוגע במפתח. תכונת נוחות מעידן אחר. אל תשתמש בה לשום דבר שחשוב. |
מפתחות resident, אלה שמאפשרים לך להתחבר בלי שם משתמש, תופסים מקומות קבועים במכשיר, ומספרם מוגבל. קושחה ישנה של YubiKey 5 מחזיקה בסביבות 25; קושחה חדשה מחזיקה considerably יותר. רישומי FIDO2 רגילים כגורם שני לא מוגבלים כך, כך שתוכל להוסיף מפתח למאות אתרים בלי למלא שום דבר. אם ייגמר לך המקום, זה יהיה בגלל passkeys, לא בגלל 2FA.
03איזה לקנות
ההחלטה היא בעיקר לגבי המחבר בקצה והאם אתה רוצה את התכונות הנוספות. התאם את המחבר לטלפון ולמחשב שלך, ואם הם שונים, קנה אחד מכל סוג במקום לשאת מתאם שתאבד.
| דגם | הכי מתאים ל | הערות |
|---|---|---|
| סדרת Security Key (הכחולים) | רוב האנשים | FIDO2 ו-U2F בלבד, שזה החלק שאתם צריכים. בערך חצי מהמחיר של YubiKey 5. אם אתם לא מתכוונים להשתמש ב-PGP, PIV או בהצמדה ל-KeePassXC, זו ההמלצה הכנה. |
| YubiKey 5 NFC | מחשב USB-A + כל טלפון | המפתח עם כל התכונות. הצמידו אותו לטלפון ל-NFC, חברו אותו למחשב נייד ל-USB. ברירת המחדל אם אתם רוצים את כל מה שמופיע בטבלה למעלה. |
| YubiKey 5C NFC | מחשב USB-C + כל טלפון | זהה, עם מחבר USB-C. סביר להניח שזה המתאים אם המחשב הנייד שלכם חדש. |
| YubiKey 5Ci | iPhone עם Lightning | יש לו גם USB-C וגם Lightning. רלוונטי רק ל-iPhones ישנים יותר; חדשים יותר הם USB-C ויכולים להשתמש ב-NFC בכל מקרה. |
| YubiKey 5 Nano | נשאר במחשב הנייד | קטן, יושב בתוך היציאה באופן קבוע. נוח, אבל הוא מבטל את היתרון של הפרדה פיזית: אם המחשב הנייד נלקח, המפתח נלקח איתו. |
| סדרת Bio | מרחבים משותפים | טביעת אצבע במקום PIN. באמת נחמד; יקר יותר; שקלו היטב אם ביומטריה היא אמצעי הפתיחה הנכון במקום שבו אתם חיים, מכיוון שבתחומי שיפוט רבים ניתן לחייב אתכם למסור טביעת אצבע בקלות רבה יותר מאשר PIN. |
מפתח בודד הוא נקודת כשל יחידה: אם תאבדו אותו, תוכלו להינעל לצמיתות מחוץ לחשבונות שלכם, וזה אסון בפני עצמו. רשמו את שני המפתחות בכל חשבון, סחבו אחד איתכם, ושמרו את השני במקום נפרד פיזית, מגירה בבית, כספת, אצל מישהו שאתם סומכים עליו. המפתח השני הוא תוכנית הגיבוי, והוא עולה פחות ממה ששחזור יעלה.
לא ממודעה בשוק מקוון, לא מיד שנייה, ולא במתנה ממישהו שאתם לא מכירים היטב. מפתח אבטחה הוא מכשיר שתפקידו בידיו את הכול; שרשרת האספקה היא חלק מהמוצר. הקושחה של Yubico אינה ניתנת לעדכון במכוון, וזה טוב לעמידות בפני חבלה, ומשמעותו שמפתח שנפרץ לא ניתן לתיקון, רק להחלפה.
04הגדרה, בסדר הנכון
הסדר חשוב. התחילו עם החשבון שיכול לאפס את כל האחרים, וודאו שלא תינעלו מחוץ לחשבון בדרך.
-
התחילו עם האימייל שלכם
כל חשבון אחר שבבעלותך מתאושש דרכו, מה שהופך אותו למטרה האמיתית. היכנס להגדרות האבטחה של ספק הדוא"ל שלך והוסף את שני המפתחות לפני שאתה נוגע בכל דבר אחר. אם ספק הדוא"ל שלך אינו תומך במפתחות אבטחה, זו סיבה להחליף ספק, לא סיבה לדלג על זה.
-
רשום את שני המפתחות בו-זמנית
עשה זאת בישיבה אחת, בכל חשבון. מצב הכשל שאנשים נתקלים בו הוא רישום מפתח אחד עכשיו ו"הוספת הרזרבי אחר כך" — ה"אחר כך" לעולם לא מגיע, ואז המפתח הראשון עובר דרך מכונת כביסה.
-
שמור את קודי השחזור כראוי
כל אתר נותן לך סט של קודי שחזור חד-פעמיים. אלה עוקפים לחלוטין את המפתח שלך, ולכן הם ראויים לאותה זהירות כמו המפתח עצמו. שים אותם במנהל הסיסמאות שלך, או הדפס אותם ושמור אותם במקום מאובטח פיזית. אל תצלם אותם, ואל תשאיר אותם בתיקיית הורדות.
-
עכשיו סקור את השיטות החלשות יותר
אם קודי SMS נשארים כגיבוי, החלפת SIM יכולה לעקוף את המפתח. ברגע ששני המפתחות עובדים, כבה את ה-SMS בכל מקום שהשירות מאפשר לך. השאר קוד מאמת רק במקום שבו אתה זקוק לו כנתיב שחזור, הגן על ה-seed וקודי השחזור שלו במנהל הסיסמאות שלך, ולעולם אל תסיר שיטה עד שבדקת את הדרכים הנותרות לחזור פנימה.
-
עבוד לפי הרשימה
אחרי הדוא"ל: מנהל הסיסמאות שלך אם הוא תומך במפתחות, אחר כך אחסון בענן, אחר כך חשבונות חברתיים שאתה מפרסם מהם, אחר כך כל דבר עם אמצעי תשלום מצורף, אחר כך אחסון קוד. כל מה שנשאר יכול לחכות לערב פנוי.
-
בדוק את הרזרבי לפני שאתה מאחסן אותו
התנתק והתחבר מחדש תוך שימוש במפתח הגיבוי ספציפית. גיבוי שלא נבדק הוא ניחוש.
05ממה זה לא מגן עליך
מפתח אבטחה הוא הבקרה הבודדת החזקה ביותר הזמינה לאדם רגיל, והוא עדיין צר. הוא מביס פישינג. הוא לא מביס את אלה.
- דפי פישינג, גם אם משכנעים, כולל התקפות ממסר בזמן אמת.
- מילוי פרטי גישה, הסיסמה שלך מדליפה של אתר אחר כבר חסרת תועלת בפני עצמה.
- ניחוש סיסמאות וריסוס.
- רוב התקפות החלפת SIM, ברגע ש-SMS מוסר כגיבוי.
- תוכנה זדונית שכבר נמצאת במחשב שלך. אם משהו עוקב אחרי ההפעלה שלך לאחר שאתה מתחבר, המפתח כבר עשה את שלו ועקף.
- גניבת קוקי הפעלה. תוקף שגונב אסימון הפעלה חי לא צריך להתחבר בכלל.
- מסלול השחזור. אם ניתן לשכנע את צוות התמיכה לאפס את החשבון שלך, המפתח שלך לא רלוונטי. זו כעת הדרך הנפוצה ביותר שבה חשבונות מאובטחים במפתח נופלים.
- תפיסה פיזית שלך ושל המפתח יחד.
- חשבונות ששכחת להגן עליהם, לשם יתקדמו התוקפים בהמשך.
הוא סוגר את הדלת הקדמית לחלוטין, והתוקף עובר לחלונות. זה עדיין שיפור עצום, הדלת הקדמית היא המקום שבו היה כמעט כל התעבורה, אבל זו סיבה להמשיך לקרוא את שאר האתר הזה ולא לעצור כאן.
06אם אינך רוצה YubiKey
YubiKey הוא ברירת המחדל מפני שהוא הנתמך ביותר והנבדק ביותר, לא מפני שהוא האפשרות היחידה. אנחנו לא מקבלים כסף מאף אחד מאלה.
Nitrokey
גרמני, עם קושחה ועיצובי חומרה בקוד פתוח, הבחירה אם "אני רוצה להיות מסוגל לבדוק אותו" חשוב לך יותר מתאימות מקסימלית. מכוסה כאפשרות חלופית בסעיף מפתחות האבטחה במדריך.
nitrokey.com ↗Token2
שווייצרי, זול, ממוקד FIDO2. דרך סבירה לקנות שני מפתחות בתקציב מוגבל בלי לרדת למותג לא מוכר.
token2.com ↗הטלפון שלך כ-passkey
טלפונים מודרניים יכולים לשמש כמאמת FIDO2, מה שנותן לך את אותה עמידות בפני פישינג בחינם. חלש יותר בדרך אחת ספציפית: הטלפון הוא המכשיר שסביר ביותר שיילקח, ייפתח או ייפגע. טוב כגורם שני, לא כיחיד שלך.
07שאלות שאנשים באמת שואלים
מה קורה אם אני מאבד את המפתח?
כלום, אם עשית זאת כראוי: אתה משתמש במפתח השני, ואז מסיר את האבוד מכל חשבון ורושם מחליף. בדיוק לשם כך המדריך מתעקש לקנות שניים. אם לא עשית זאת, אתה נופל בחזרה לקודי השחזור שלך, ואם גם אותם אין לך, אתה נשען על תהליך שחזור החשבון של הספק, שיכול לקחת שבועות ולעיתים נכשל.
האם מי שגונב את המפתח שלי יכול להיכנס לחשבונות שלי?
לא בכוחות עצמו. המפתח הוא גורם שני, הוא עדיין צריך את הסיסמה שלך, ולרוב התצורות הוא צריך גם את ה-PIN של המפתח, אשר נועל את ההתקן לאחר מספר קטן של ניסיונות שגויים. מפתח גנוב הוא אי-נוחות עבורך, לא פרצה. בכל זאת, הסר אותו מהחשבונות שלך.
האם אני חייב לשאת אותו לכל מקום?
רק בעת התחברות למקום חדש. רוב האתרים מאפשרים לך לסמן התקן כמהימן, כך שביומיום תיגע במפתח לעתים רחוקות — בדרך כלל בעת הגדרת מחשב חדש או לאחר מחיקת קובצי ה-Cookie. דגמי ה-NFC פועלים בהקשה כנגד טלפון, מה שמסיר את רוב החיכוך שאנשים מדמיינים.
האם Passkey הוא אותו הדבר?
Passkey הוא אותה קריפטוגרפיה עם אותה עמידות בפני פישינג. ההבדל הוא היכן הוא נמצא. Passkey בטלפון שלך או בחשבון דפדפן מסתנכרן דרך הענן של חברה, וזה נוח ומשמעותו שחוזק החשבון הזה הופך לחוזק ה-Passkey שלך. Passkey על מפתח חומרה לא ניתן לסנכרן, להעתיק או לחלץ. עבור חשבונות שחשובים, שים אותו על חומרה.
אילו חשבונות צריכים לקבל אחד קודם?
דואר אלקטרוני, תמיד. אחר כך מנהל הסיסמאות שלך, אחר כך כל דבר שאתה מפרסם ממנו, ואחר כך כל דבר שמחזיק כסף. אם אתה מתעד או מדווח על הנושא הזה, החשבון שאתה מפרסם ממנו שווה יותר ליריב מאשר הבנק שלך — לאבד אותו משמעותו שמישהו אחר מדבר בשמך, וזה לא ניתן לביטול על ידי Chargeback.
08מקורות וקריאה נוספת
- Yubico — אתר רשמי והשוואת דגמים yubico.com
- FIDO Alliance, תקן FIDO2 / WebAuthn fidoalliance.org
- Nitrokey — חלופת חומרה וקושחה בקוד פתוח nitrokey.com
- EFF Surveillance Self-Defense — אבטחת חשבון ssd.eff.org
- Privacy Guides — אימות רב-גורמי privacyguides.org
נבדק לאחרונה: 25 בספטמבר 2026