אל תשימו פס. אולי תטמיעו Passkey

0.

כבר ארבע שנים אפשר להשתמש במשהו שנקרא Passkey. מדובר על דרך מעולה להמנע מנפילה בפישינג, שמגבירה את הזיהוי ונמצאת בשימוש באתרים מובילים בעולם. אבל מה? בישראל, כמו בישראל, כמעט ולא תמצאו אתרים שמוכנים להשתמש בזה. למעט ההזדהות הממשלתית, כל גוף החליט שהוא יודע לפתור את בעיות הזיהוי בצורה הטובה ביותר ואל תספרו לו שום דבר על מומחים חיצוניים. נתחיל בלהסביר מה זה Passkey בלי להיות טכנולוגיים יותר מדי, נמשיך בלהראות איך אתם יכולים להתקין, איפה כן אפשר להשתמש ואז נבדוק למה לעזאזל בישראל זה לא קרה.

1.

אז מה זה Passkey? אז הכל מתחיל בשאלה איך אנחנו מזהים אנשים (אפשר גם קצת כאן). אני הולך לקפוץ מעל כל מיני משוכות טכנולוגיות, אז באמת, אנשי הסייבר, אל תנטפקו. הדרך לזהות אנשים יכולה להיות בשלוש צורות: מה שאתה יודע (סיסמא, נניח), מה שאתה מחזיק (נניח, מפתח לדלת) ומי שאתה (ביומטריה). ההנחה היא שאימות דו-שלבי, כלומר שימוש בשניים מתוך שלושה, מונע את היכולת להתחזות. גם אם האקר ניחש את הסיסמא שלכם, אם הוא לא יחזיק את המפתח לדלת שלכם, הוא לא יכול לפתוח אותה. גם אם ההאקר גנב לכם את המפתח, אם אין לו את טביעת האצבע לדלת, הוא לא יכול לפתוח את הדלת. כלומר, שניים מתוך שלוש זו אבטחה נהדרת. הבעיה? ובכן, בישראל יש שתי בעיות.

2.

הבעיה הראשונה היא שהאקרים מרושעים נוטים לנסות לגנוב יותר מאמצעי אחד. מה זאת אומרת? אם אתה מרים אתר שמתחזה לגוגל, אז אתה גם מבקש את הסיסמא וגם את הקוד ששלחו לך ב-SMS ישר אחרי זה. מה זה אומר? זה אומר שבעצם אימות דו-שלבי טוב רק אם אתה עם עיניים מספיק זהירות. השניה היא שבישראל, כמו בישראל, לא אוהבים אימות דו-שלבי אמיתי אלא משתמשים בזיהוי ב-SMS ולא באפליקציות אימות (שוב, סטנדרטי זה רע כאן, כל אחד כותב מהתחלה). מה שאומר שהונאות החלפת סים מאפשרות פריצה יותר קלה. ראינו את זה קורה עם עוקצי קריפטו.

3.

כאן ה-Passkey נכנס לתמונה. מה זה בעצם? הנחת המוצא היא שיש לכם מכשיר שהוא מאובטח מספיק (נעול בסיסמא חזקה, מוצפן טוב, עם מערכת הפעלה מאובטחת), ושכל גישה אליו דורשת הקשה של הסיסמא או זיהוי ביומטרי. כאשר אתם ניגשים לאתר מסוים, אתם תוכלו להזדהות בלי סיסמא על ידי זה שהאתר והמכשיר יחליפו מידע. המכשיר מזהה אתכם כמי שאתם, והאתר מקבל את הזיהוי החזק. זה אומר שאם תבואו להתחבר לאתר מתחזה, ה-Passkey לא יעבוד, כי זה לא האתר. זה גם אומר שאם מישהו ינסה לגנוב את ה-Passkey עצמו הוא לא יוכל לעשות את זה. על פניו? זה נהדר כל עוד המכשיר באמת מאובטח (וברוב המקרים הוא לא, כי הסיסמא שלכם היא שנת הלידה שלכם, לא?).

זה לא אומר שPasskey חף מבעיות. העיקרית שבינהן היא שכל עוד הגישה למכשיר שמחזיק עליו את הPasskey לא מאובטחת מספיק, אז זה לא שווה כלום.

אם מישהו צריך את הסיסמא למחשב
בלשכה של ח״כ מירב בן ארי pic.twitter.com/RlpWVEqoLo

— HKN • החדשות (@haifakrayot) July 15, 2026

4.

ואיך זה עובד? בטלפון, כבר במנהל הסיסמאות של גוגל, או בכל מנהל סיסמאות מודרני, אפשר לשמור Passkey. מה זה אומר? שהתוכנה מספיק מוצפנת ומאובטחת כדי לשמור עליכם ותוכלו להתחבר לכל אתר בקליק אחד בלי להזין סיסמא ואפילו בלי קוד דו שלבי. האפליקציה תזהה את האתר הנכון, תחליף איתו מידע, ותתחברו מיד. זה עובד נהדר נניח במערכת הזיהוי הממשלתית של ישראל, באמאזון, בPayPal ובעוד שורה של אתרים. זה אומר שברגע שהתחברתם למערכת והזנתם את ה-Passkey אצלכם, אתם לא צריכים לפחד ליפול בפישינג כל עוד אתם מתחברים רק עם Passkey. זה אומר שאם מישהו יתחזה לאתרים האלה, הוא לא יצליח להפיל אתכם בפח כי אתם יודעים שאפשר להתחבר עם ה-Passkey ואם זה יכשל אז כנראה שהאתר הוא פישינג.

5.

מה הבעיה? הבעיה שבישראל, כמו בישראל, סטנדרט זה דבר נהדר אבל לא בבית ספרנו. יש כמה אתרים שמטמיעים טכנולוגיות דומות על עקרון קריפטוגרפי דומה, אבל לא ממש. בכתבה בGeektime מ-2023 דובר על שני אתרים ישראלים: אסותא ומטרנה. בנק הפועלים עובד עם Poalim Pass, עוד אפליקציה במקום לעבוד בסטנדרט (וזה עדיין יותר טוב מכלום), אבל למעט ההזדהות הממשלתית? אני לא מכיר באתרים הישראלים שלי ביום-יום דרך להזדהות עם Passkey.

6.

למערכות הפיננסיות הישראליות כמובן שיש רצון למנוע הונאות. להטמיע טכנולוגיה שמפחיתה פישינג תפחית נזקים לציבור, תפחית את העלויות שאנחנו משלמים על המערכות ותגביר את האמון. אבל מה? בישראל תמיד כל אחד יודע יותר טוב מכולם. במקום להטמיע סטנדרט, כל אחד מפתח את הסטנדרט שלו. כל אחד רוצה עוד אפליקציה. ובינתיים? קשישים יעקצו, נוכלים ינכלו, ואנחנו כולנו נפסיד.