סיסמאות שאי אפשר לפרוץ

למה בכלל אכפת לנו

רוב האנשים מדמיינים פריצה כמו בסרטים: מישהו יושב מול מסך שחור ומנחש סיסמה. במציאות זה כמעט אף פעם לא ככה. הדרך הנפוצה ביותר להיכנס לחשבון שלך היא פשוט להשתמש בסיסמה שכבר דלפה במקום אחר.

כשאתר כלשהו נפרץ, רשימת המשתמשים והסיסמאות שלו מתפרסמת או נמכרת. תוקפים לוקחים את הרשימה הזאת ומנסים את אותם צמדים בעשרות שירותים אחרים, אוטומטית, מיליוני ניסיונות בשעה. אם השתמשת באותה סיסמה בפייסבוק ובאתר קטן ששכחת ממנו, הפייסבוק שלך נפתח בלי שאף אחד באמת תקף אותך.

המשמעות המעשית: החוזק של הסיסמה שלך פחות חשוב מהשאלה אם היא ייחודית. סיסמה מטורפת שחוזרת בשני מקומות שווה פחות מסיסמה בינונית שלא חוזרת בשום מקום.

מה באמת הופך סיסמה לחזקה

שלושה דברים, לפי סדר החשיבות: ייחודיות, אורך, ואי צפיות. שים לב שמורכבות, כלומר סימנים מוזרים ואותיות גדולות, נמצאת רק במקום השלישי.

אורך מנצח מורכבות כי כל תו נוסף מכפיל את מספר האפשרויות. סיסמה של שמונה תווים עם סימנים נשברת מהר יותר ממשפט של ארבע מילים אקראיות. ההבדל הוא לא פי שניים ולא פי עשרה, הוא עצום.

• ייחודית: סיסמה אחרת לכל שירות, בלי יוצא מן הכלל.
• ארוכה: לפחות ארבע עשרה תווים, ועדיף יותר.
• לא צפויה: לא שם, לא תאריך לידה, לא שם הכלב, ולא שם האתר עם מספר בסוף.

טריק המשפט: ארבע מילים אקראיות שאין ביניהן קשר, למשל קפה ירוק מטוס גיטרה. קל לזכור, ארוך מאוד, וכמעט בלתי אפשרי לניחוש.

מנהל סיסמאות, ולמה זה לא מסובך

אף אדם לא יכול לזכור ארבעים סיסמאות ייחודיות. זו לא חולשה, זו פשוט המציאות. הפתרון הוא כלי שזוכר במקומך.

מנהל סיסמאות הוא כספת מוצפנת. אתה זוכר סיסמה אחת חזקה שפותחת אותה, והוא יוצר וזוכר את כל השאר. הוא גם ממלא אותן אוטומטית, מה שאומר שאתה מקליד פחות ונופל פחות בפישינג: אם הכלי לא מזהה את האתר ולא ממלא, זה סימן אזהרה שהאתר אינו מה שהוא מתחזה להיות.

הכלים הנפוצים והחינמיים הם Bitwarden, וגם מנהל הסיסמאות המובנה בכרום, בספארי ובאייפון. כולם טובים בהרבה מלזכור בראש או לרשום בפתק.

1. בוחרים כלי אחד ומתקינים אותו בטלפון ובמחשב.
2. יוצרים סיסמת אב אחת, ארוכה, שאתה ורק אתה יודע. אותה כן שווה לשנן.
3. מייבאים את הסיסמאות ששמורות היום בדפדפן.
4. עוברים על החשבונות החשובים ומחליפים אותם לסיסמאות שהכלי מייצר.

מאיפה מתחילים, אם אין לך זמן לכלום

אל תנסה לתקן ארבעים חשבונות בערב אחד. יש חמישה שמחזיקים את כל השאר, ואם הם מוגנים, הנזק האפשרי קטן דרמטית.

• האימייל הראשי. הוא המפתח לכל השאר, כי דרכו משחזרים כל חשבון אחר.
• הבנק והאשראי.
• הרשתות החברתיות שבהן יש לך קהל או עסק.
• החשבון של הטלפון עצמו, אפל או גוגל.
• וואטסאפ או טלגרם, שדרכם מתחזים אליך מול המשפחה.

אם תעשה רק את החמישה האלה ותפסיק, כבר עשית את רוב העבודה.

איך יודעים אם כבר דלפת

יש שירות ציבורי בשם haveibeenpwned שמחזיק את רשימות הדליפות הידועות. מזינים כתובת אימייל ורואים באילו אירועים היא הופיעה. באתר שלנו יש בדיקה כזאת גם בפרופיל האישי.

אם המייל שלך מופיע, זה לא אומר שנפרצת. זה אומר שסיסמה שהשתמשת בה במקום כלשהו ידועה לתוקפים. הפעולה הנכונה: להחליף אותה בכל מקום שבו היא חוזרת, ולהפעיל אימות דו שלבי.

טעויות שחוזרות אצל כמעט כולם

• לשמור סיסמאות בהערות בטלפון או בשיחה עם עצמך בוואטסאפ. אם הטלפון או החשבון נפרץ, הכל נפתח בבת אחת.
• להוסיף מספר בסוף אותה סיסמה לכל אתר. תוקף שמנחש אחת, מנחש את כולן.
• לשתף סיסמה בהודעה. אם חייבים, משנים אותה מיד אחרי.
• שאלות אבטחה עם תשובות אמיתיות. שם בית הספר שלך מופיע בפייסבוק. עדיף להמציא תשובה ולשמור אותה בכספת.
• להתעלם מהודעה על התחברות ממכשיר לא מוכר. זו לרוב ההתראה האחרונה לפני שמאבדים את החשבון.

צ׳קליסט לסיום

1. התקן מנהל סיסמאות.
2. החלף את חמשת החשבונות החשובים לסיסמאות ייחודיות וארוכות.
3. הפעל אימות דו שלבי, במיוחד באימייל.
4. בדוק את המייל שלך בבדיקת הדליפות.
5. מחק סיסמאות שכתובות בפתקים ובהודעות.

לקח לך פחות משעה, והורדת את הסיכון האמיתי שלך בעשרות אחוזים.