אימות דו-גורמי (2FA): מה זה, איך זה עובד ולמה זה חשוב?

אימות רב-גורמי (MFA) הוא חלק מהותי מהשיטות המומלצות של ניהול זהויות וגישה של היום. זו גם אחת מדרישות התאימות העיקריות לאימות זהות משתמש. MFA מאפשר לך להוסיף עוד שכבת הגנה לנקודות קצה, נתונים ופונקציונליות קריטיים. התפקיד העיקרי של MFA הוא לוודא שהאדם או הישות שמנסים לגשת לנכסים מוגנים הם באמת מי שהם מתיימרים להיות.

במאמר זה, אנו מסבירים מהו אימות רב-גורמי אמיתי ונסתכל על שיטות האימות הדו-גורמי העיקריות בהן תוכל להשתמש כדי לשפר את אבטחת הסייבר שלך.

מהו אימות רב-גורמי ודו-גורמי?

ישנן שלוש קטגוריות של גורמים. עליך להשתמש בשניים לפחות.

שיטות אימות קלאסיות הן בדרך כלל גורם אחד: סיסמה (אם אתה יודע אותה, אתה מורשה), מפתח (אם יש לך אותו, אתה מקבל גישה), וכן הלאה. אימות רב-גורמי (MFA), ובמקרה הנפוץ שלו אימות דו-גורמי (2FA), מחייב שתהליך האימות יכלול אימות של גורמים לפחות משתיים מתוך שלוש קטגוריות:

• משהו שמשתמש יודע (סיסמה, PIN, תשובה לשאלה סודית וכו')
• משהו שיש למשתמש (מפתח, אסימון אבטחה, כרטיס בנק, סמארטפון וכו')
• משהו שמשתמש הוא / ביומטריה (טביעת אצבע, קשתית, קול וכו')

ספקים מסוימים עשויים להוסיף אימות מיקום וזמן להגדרה זו.

מה אינו אימות דו-גורמי?

התשובה היא חיונית לאבטחת הנתונים שלך.

עם תשומת הלב הגוברת לאבטחה ולאימות, ספקים רבים משקיעים מאמצים בחיזוק תהליכי האימות שלהם. אבל אל תיתפסו בניסוח השיווקי; לא כל גישות האימות הרב-שלבי יכולות להיקרא MFA אמיתי.

לדוגמה, קבוצה של שאלות סודיות או תמונות סודיות בעקבות מסך אימות האישורים פשוט מייצגת מרכיב ידע נוסף. זוהי גישת ריבוי שלבים אך לא גישת אימות מרובה גורמים. לשאול שאלה כמו "מה הכינוי של הבוס שלנו?" כנראה לא יהיה קו הגנה שני טוב מספיק. לפחות, לא מעמית שאוהב לשאול סיסמאות.

דוגמה נוספת לאימות שמבוסס פעמיים על ידע היא שימוש בסיסמה יחד עם קוד אימות שנשלח לתיבת הדוא"ל של המשתמש. ברוב המקרים אפשר לגשת לדוא"ל מכל מקום בעזרת פריט ידע נוסף: הסיסמה של חשבון הדוא"ל. ולמרות שיש ספקי דוא"ל שתומכים ב-2FA, לא כל המשתמשים שלהם מפעילים אותו בפועל. לדוגמה, לפי דיווח משנת 2018, יותר מ-90% ממשתמשי Gmail לא השתמשו ביכולת ה-2FA החינמית של Google.

קוד אימות SMS שנשלח לסמארטפון המאומת של המשתמש מייצג גורם בעלות. לפיכך, הוא יכול ליצור אימות דו-גורמי אמיתי יחד עם אימות אישורים.

תרחישים המתוארים למעלה הם דוגמאות למה שנקרא אימות חזק.

אבל זכרו: בעוד שכל אימות מרובה גורמים הוא חזק, לא כל אימות חזק הוא רב גורמים.

שיטות לבניית מערכת אימות דו-גורמי

מאיפה כדאי להתחיל?

הגורם הביומטרי (משהו שהמשתמש הוא), אינו פופולרי בקרב ספקי מערכות מחשוב. אימות ביומטרי משמש בעיקר במערכות בקרה המשרתות מיקומי גישה מוגבלים, לרוב בצורה של תעודות זהות ביומטריות. רשתות חברתיות וספקי מכשירים ניידים גם משתמשים באופן פעיל בביומטריה כאחד מגורמי אימות הזהות.

גישה גנרית יותר שרוב ספקי מערכות המחשב מסתמכים עליה מבוססת על השילוב של גורמי ידע וחזקה.

גורם הידע מיוצג בדרך כלל על ידי פרטי הזדהות: שם משתמש וסיסמה. מגוון טכנולוגיות בסיסיות משמשות לחיזוק גורם אימות זה: כספות סיסמאות, מערכות לניהול סיסמאות, סיסמאות חד-פעמיות וכן הלאה.

ישנן מספר שיטות ליישום גורמי החזקה בתהליך 2FA. שלוש השיטות הפופולריות והנפוצות ביותר הן:

• טוקני אבטחה
• טוקנים הנמסרים בנייד
• סיסמאות חד פעמיות מבוססות זמן

בואו נסתכל מקרוב על כל אחת מהשיטות הללו.

טוקן אבטחה הוא מכשיר המכיל תוכנה שיכולה ליצור קודי אימות. ישנם שני סוגים של טוקנים:

• טוקנים מחוברים נוצרים כאשר המכשיר מחובר לנקודת הקצה היעד.
• טוקנים מנותקים נוצרים באופן עצמאי, ללא צורך בחיבור המכשיר לנקודת הקצה.

רמה מסוימת של אי נוחות היא אחד החסרונות העיקריים של שימוש באסימוני אבטחה. יש יותר מדי דברים לטפל בהם: ייצור, ניהול, תחזוקה והחלפה של מכשירים רבים.

שלא לדבר על כך שאתה צריך לקחת מכשיר נוסף בכל פעם שאתה רוצה לגשת לנקודת קצה מוגנת.

אפשר לראות בטוקנים הנשלחים לנייד שיפור של טוקני החומרה המקוריים. בניגוד למכשירים ייעודיים, שיטה זו נשענת על הדבר היחיד שכמעט כולם נושאים איתם תמיד: הסמארטפון.

כיום, טוקנים הנמסרים לנייד הם אחת משיטות ה-MFA הפופולריות והנפוצות ביותר. בדרך כלל, משתמש המבקש גישה לנקודת קצה או נתונים מוגנים מקבל קוד אישור ב-SMS או הודעה באפליקציה.

למרות שהיא נוחה, לגישה זו יש גם מספר חסרונות:

• יצירת טוקנים: יש ליצור טוקנים באופן דינמי, ואבטחת התהליך תלויה במידה רבה באלגוריתם היצירה. קוד הגישה צריך להיות תקף לזמן מוגבל בלבד, לפוג אחרי השימוש הראשון ולהשתנות כל הזמן כדי למנוע ניחוש עיוור.
• מסירה מאובטחת של הקוד: אבטחת מסירת ההודעות תלויה לחלוטין באבטחה התפעולית של המפעיל הסלולרי. טכניקות כמו האזנות סתר ושיבוט SIM יכולות לספק לפושעי סייבר את המידע הדרוש להם כדי לגשת לנכסים מוגנים.
• חיבור לרשת: בניגוד לטוקני חומרה, כדי לקבל קוד אימות בסמארטפון המשתמש צריך להיות מחובר לרשת הסלולרית או לאינטרנט.

סיסמאות חד-פעמיות מבוססות זמן. כדי להתגבר על החסרונות של טוקנים הנשלחים לנייד, התעשייה פיתחה מקבילות לסמארטפון של טוקנים מנותקים. אחת מהן היא אלגוריתם הסיסמה החד-פעמית מבוססת הזמן, או TOTP. גישה זו, שזכתה לפופולריות בזכות Google ו-Amazon, מאומצת יותר ויותר.

בקצרה: בשלב האימות המשתמש פותח אפליקציה בטלפון החכם, והיא מציגה קוד גישה שהמשתמש מזין בחלון האימות של השירות. האפליקציה מחשבת את הקוד מתוך מפתח סודי שנשמר בה בזמן הרישום ומתוך השעה הנוכחית, ולכן אינה זקוקה לחיבור לרשת. בצד המערכת, האלגוריתם מחשב קוד אימות מאותו מפתח סודי משותף ומאותו חלון זמן. אם הקודים תואמים, הגישה מאושרת.

אתגרים של יישום 2FA

למרות שכל הגישות לאימות דו-גורמי שתיארנו משפרות את האבטחה, ישנן מספר בעיות כלליות שעדיין צריך לטפל בהן.

ראשית, ישנה בעיה של תהליך קצת יותר ארוך ומורכב מנקודת המבט של המשתמש. אבל מנקודת מבט של אבטחה 2FA, החלק החלש ביותר במוצרי אימות דו-גורמי רבים הוא תהליך שחזור החשבון.

בדרך כלל תהליך השחזור כולל גורם אימות אחד בלבד, כגון איפוס סיסמה באמצעות קישור שנשלח בדוא"ל, ולכן הוא פגיע. כמה פריצות גדולות למערכות אימות דו-גורמי שדווחו בתקשורת יוחסו בדיוק לגורם זה. אחד התרחישים האפשריים לפריצה כזו תואר על ידי מתיו פרינס, מנכ"ל רשת אספקת התוכן Cloudflare.

במערכות עסקיות פנימיות, כאשר מספר המשתמשים קטן יחסית ותהליך האימות נשלט על ידי הצוות הפנימי, תהליך השחזור יכול להיות ידני או ידני למחצה, מה שלוקח יותר זמן אך מספק אבטחה טובה בהרבה.

שנית, התקפות אדם-באמצע ויירוט SMS הם שני איומים שמנגנון ה-2FA הסטנדרטי פגיע להם. פושעי סייבר עשויים להשתמש בצורות שונות של התקפות MITM כדי ליירט חיבורי אינטרנט, להפנות קורבנות לאתר או אפליקציה מזויפים ולגנוב קודים לגיטימיים חד-פעמיים. תוקפים יכולים גם להשתמש בטכניקות שיבוט SIM ובתוכנות זדוניות שונות כדי לחטוף הודעות עם קודי אימות. למעשה, יירוט SMS הוא שאפשר את פריצת Reddit בשנת 2018.

אחד הפתרונות האפשריים לאתגרים אלו הוא יישום MFA בשילוב עם כלים ופונקציונליות מתוחכמים יותר, כגון מערכת SMS מבוססת טוקנים (בניגוד למערכות מבוססות טלפון נייד רגיל), ביומטריה התנהגותית והצפנת נתונים. אך למרות שלאימות דו-גורמי יש מגבלות, אין לזלזל ביתרונות של תרגול אבטחת סייבר זה.

מתי משתמשים באימות דו-גורמי

האם 2FA הוא חובה עבורך?

עבור משתמשים רגילים, השימוש ב-2FA כדי להגן על הנתונים האישיים שלהם הוא אופציונלי. כיום, אתה יכול להפעיל MFA עבור פלטפורמות מדיה חברתית רבות כולל פייסבוק, טוויטר, לינקדאין ואינסטגרם. הוא זמין גם עבור Dropbox, מוצרי Google, מערכות Microsoft והרבה פתרונות פופולריים ופלטפורמות מבוססות ענן.

לעומת זאת, עבור עסקים, אימות רב-גורמי ובפרט 2FA הוא שיטה מומלצת, ובמקרים מסוימים אף דרישה רגולטורית. לדוגמה, דרישה 8.4 בתקן PCI DSS (גרסה 4.0 ואילך) מחייבת אימות רב-גורמי לגישה של בעלי הרשאות ניהול לסביבת נתוני הכרטיס שלא מהקונסולה, ולכל גישה מרחוק לרשת הארגון שעלולה להוביל לסביבה זו. מאז 31 במרץ 2025 מחייבת דרישה 8.4.2 אימות רב-גורמי לכל גישה לסביבת נתוני הכרטיס. גם NIST דורש שימוש ב-MFA.

על פי נוהלי האבטחה הטובים ביותר, להלן ארבעת סוגי המשימות שאימות הזהות המשופר הזה צריך לשמש עבורן:

• אישור של פעולות ועסקאות קריטיות
• גישה לנקודות קצה קריטיות
• גישה לנתונים קריטיים
• אימות משני עבור חשבונות משותפים

למרות שהמשימות הללו קשורות זו בזו באופן טבעי, אנו מבחינים ביניהן כדי לציין טוב יותר את התהליכים העסקיים שבהם נדרש אימות רב-גורמי.

הפיקו תועלת מפתרון 2FA החינמי של Syteca

ניתן ליישם יכולות אימות רב-גורמי (MFA) מלאות באמצעות כלי ה-2FA החינמי של Syteca. כחלק מפתרונות ניהול הזהות והגישה שלנו, Syteca מספקת אפשרויות מובנות לאימות דו-גורמי המיועדות להגן על הנכסים הארגוניים החשובים ביותר שלכם.

כלי ה-2FA שלנו מבוסס על אימות TOTP (קוד חד-פעמי מבוסס זמן), המנוהל באופן מרכזי כגורם האימות השני. קודי האימות נוצרים במכשירי אנדרואיד ו-iOS באמצעות האפליקציות Google Authenticator או Microsoft Authenticator. בנוסף, ניתן להפעיל את פונקציונליות ה-2FA על כל שרתי Windows ו-Linux שבהם מותקן לקוח Syteca.

לחלופין, ניתן להשתמש במפתח סודי כאפשרות נוספת לאימות דו-גורמי, בהתאם לצרכים הספציפיים של הארגון שלכם.

מסקנה

אימות דו-גורמי (2FA) הוא מרכיב חיוני להבטחת רמה גבוהה של הגנה על זהות המשתמש ועל הגישה למידע רגיש. חשוב לזכור שאימות רב-גורמי (MFA) ואימות רב-שלבי אינם אותו דבר: MFA אמיתי מחייב שימוש בשניים לפחות משלושת סוגי הגורמים לאימות זהות: ידע, החזקה ותכונה ביומטרית.

Syteca מציעה כלי 2FA חינמי המבוסס על שילוב של גורמי ידע (אישורי משתמש) והחזקה (מכשיר משתמש מאומת). שילוב זה אינו רק יעיל ובעלות נמוכה, אלא גם נוח במיוחד, שכן המכשיר הנייד של המשתמש הוא כל מה שדרוש לאימות הזהות.

באמצעות כלי ה-2FA של Syteca, תוכלו:

• להגן על מערכות ונקודות קצה קריטיות.
• להגביל גישה לנתונים רגישים.
• להוסיף שכבת אבטחה נוספת להליכי הכניסה של משתמשים בעלי הרשאות, עובדים מרוחקים וצדדים שלישיים.

פתרון זה מספק שכבת הגנה נוספת ומשמעותית, המבטיחה את אבטחת הגישה לארגון שלכם בקלות וביעילות.