גורמים שונים, לא רק שני מסכים
סיסמה וקוד PIN הם שניהם מידע שהמשתמש יודע, ולכן אינם שני סוגי גורמים. סיסמה יחד עם מאמת שנמצא ברשות המשתמש משלבות סוגים שונים. המונח 2FA מציין שני גורמים; MFA הוא המונח הרחב.
מספר השלבים על המסך אינו קובע לבדו את רמת האימות. למשל, מפתח פיזי שמופעל עם PIN יכול לשלב שני גורמים באותו תהליך. גם אופן היישום של Passkey והדרישה לאימות משתמש משפיעים על הסיווג.
איך להשוות בין שיטות
NIST מבחין בין אימות נוסף לבין עמידות לפישינג. קוד שהמשתמש מקליד יכול להימסר לאתר מתחזה; שיטות קריפטוגרפיות הקשורות לאתר המורשה יכולות לצמצם את הסיכון הזה.
| שיטה | יתרון מעשי | נקודה לבדיקה |
|---|---|---|
| קוד SMS | נגיש במערכות רבות | תלות במספר הטלפון וסיכוני התחזות והעברת מספר |
| אפליקציית קודים | אינה תלויה בקבלת הודעת SMS | קוד ידני עדיין ניתן לדיוג; צריך תהליך שחזור |
| אישור דחיפה | כניסה נוחה | אין לאשר בקשה שלא יזמתם; בודקים מנגנון התאמת מספר |
| מפתח אבטחה או Passkey מתאים | יכול לספק עמידות לפישינג | תמיכה במערכת, אימות משתמש ודרך התאוששות |
איפה להתחיל בעסק
תעדפו חשבונות שיכולים לאפס אחרים או לשנות תשתית: דואר מנהלים, רשם דומיין, DNS, אחסון, גיבוי ומערכות ניהול. ודאו שהחשבון ופרטי השחזור שייכים לעסק ושהרשאות מנהל אינן משותפות ללא צורך.
לפני אכיפה על כל המשתמשים, מבצעים ניסיון בחשבון מתאים ובודקים כניסה ממכשירים נדרשים, חיבורי שירות ותהליך שחזור. חשבון שירות אינו בהכרח משתמש אנושי ויכול לדרוש דרך אימות אחרת.
שחזור גישה הוא חלק מההגנה
שומרים אמצעי שחזור במקום מוגן ובהתאם למדיניות העסק. אין לשמור צילום של קודי שחזור בתיבת הדואר שהם מגינים עליה. מתכננים מה קורה כשהטלפון אבד או כשמנהל עזב.
מנגנון שחזור חלש עלול לעקוף אימות חזק. בודקים מי יכול לאפס גורם, כיצד מאמתים בקשה ואיך מתעדים פעולה חריגה. לא מנתקים את אמצעי האימות האחרון לפני שיש דרך חלופית שנבדקה.
מה MFA אינו פותר
הוא אינו מחליף עדכונים, הרשאות מצומצמות או הגנה על המכשיר. גניבת חיבור פעיל, אישור שגוי או חשבון שירות חשוף עדיין עלולים לאפשר גישה. כשיש חשד להשתלטות, נדרשת בדיקת חיבורים והרשאות בנוסף להחלפת סיסמה.