פתרון בעיות: מפתח FIDO2 לא מזוהה בסביבות Microsoft ופתרונות

By Mirko Peters · 2026-04-23

אין דבר מתסכל יותר מאשר לחבר את מפתח האבטחה מסוג FIDO2 ולקבל, ובכן, כלום בתמורה. זהו מצב נפוץ ב-Microsoft 365, ב-Azure Active Directory ובכל סביבות ההיברידיות המורכבות שהעסקים המודרניים משתמשים בהן כיום. מפתחות FIDO2 מבטיחים אימות חזק וללא סיסמה, אבל השילוב שלהם יכול להכשיל גם צוותי IT מנוסים, במיוחד כשהטוקנים האלה לא מופיעים או לא עובדים כמצופה.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

בין אם אתם מנהלים זהויות והרשאות גישה ב-Microsoft Entra ID ובין אם אתם מתמודדים עם מכשירים שעוברים בין הענן למקום המגורים (on-premises), בעיות זיהוי של מפתחות FIDO2 הן דאגה רצינית. הבעיות נעות מתקלות ברמת המכשיר ועד לסבך במדיניות הענן. המדריך הזה מפרק את הבלבול ומסביר מדוע הזיהוי נכשל לעיתים קרובות, תוך הדגשת מלכודות טכניות ושיטות עבודה מומלצות שיחזירו אתכם למסלול. תמצאו כאן צעדי פתרון בעיות מעשיים ותובנות שנרכשו בשטח, שעובדות בסביבות ארגוניות אמיתיות.

הבנת בעיות נפוצות בזיהוי מפתחות FIDO2 ב-Windows וב-Entra ID

בואו נודה באמת: מפתחות FIDO2 אמורים לפשט את חיי ההתחברות שלכם, אבל הודעה אחת של "לא זוהה" מספיקה כדי להרוס את כל הרעיון. לפני שתזרקו את מפתח האבטחה מהחלון, כדאי להבין מה באמת מתרחש מאחורי הקלעים, במיוחד בסביבות שמבוססות על Microsoft כמו נקודות הקצה של Windows ו-Microsoft Entra ID (לשעבר Azure AD).

יש המון חלקים נעים, החל מהדרייברים של המכשיר המקומי וכלה בהגדרות הפלטפורמה בענן וכל מה שביניהם. לפעמים מדובר פשוט בחומרה שמתנהגת לא יפה, לפעמים בתקלה בדפדפן, ולפעמים מדיניות או שירות עמוק במערכת חוסמים אתכם בלי הודעה מוקדמת. שילוב אינו רק חיבור המפתח וקוות לטוב; הוא תלוי בתאימות תוכנה, בוודאות מוכנות השירותים ובתצורה עקבית בין המכשירים ופלטפורמות הזהות.

הנוף מסתבך עוד יותר בפריסות היברידיות וארגוניות, שבהן FIDO2 צריך לפעול בהרמוניה הן עם זהות ענן מודרנית והן עם תשתית מקומית מדור קודם. בהמשך תמצאו פירוט של הסיבות שגורמות לרוב הכאבי ראש, החל מחומרה ועד מדיניות קבוצתית, עם התמקדות מיוחדת באופן שבו Windows עלולה לגרום לתקלות. המטרה היא לעזור לכם לזהות איזה סוג בעיה אתם מתמודדים איתו לפני שתתחילו בפתרון בעיות מעמיק.

סיבות נפוצות לכך שמפתח FIDO2 לא מזוהה

דרייברים מיושנים או חסרים:אם דרייברי ה-USB או ערכות השבבים (chipsets) שלכם אינם מעודכנים במלואם, ייתכן שהמחשב לא יזהה כלל את מפתח FIDO2 כשהוא מחובר. זה נפוץ אחרי עדכוני Windows או במכשירים ישנים.
דפדפנים לא נתמכים או תוכנה מיושנת:לא כל דפדפן עובד בהרמוניה עם FIDO2/WebAuthn, במיוחד אם אתם משתמשים בגרסאות ישנות. Chrome, Edge ו-Firefox מעדכנים את התמיכה שלהם במועדים שונים, כך שמה שעובד היום עלול להישבר מחר אם מדלגים על עדכונים.
חסימות של Group Policy או Conditional Access:בסביבות ארגוניות, מדיניות ב-Microsoft Entra ID או מדיניות קבוצתית מקומית יכולות לחסום מפתחות FIDO2 או להגביל את השימוש בהם. לפעמים החסימה מכוונת, ולפעמים זו תופעת לוואי שנפלה בין הכיסאות של מדיניות רחבה יותר.
בעיות ביציאות USB וב-Hubs:כמה שזה נשמע פשוט, חיבור המפתח ל-hub ללא מקור מתח, למתאם USB-C לא יציב או ליציאה עם בעיות דרייברים יכול לגרום לאובדן זיהוי מיידי. נסו לחבר ישירות ליציאה על לוח האם כדי לשלול בעיה זו.
אי-התאמה בקושחה או באלמנט המאובטח:מפתחות FIDO2 (כמו YubiKey ו-Google Titan) זקוקים לקושחה מעודכנת. קושחה מיושנת או נתונים פגומים באלמנט המאובטח עלולים לגרום לכשלים בזיהוי או לשגיאות לא ברורות.
שגיאות אינטגרציה של שירותים או אפליקציות:לפעמים Windows מזהה את המפתח, אבל הדפדפן או אפליקציית הארגון לא. הבדלים בתמיכה ב-WebAuthn או ב-CTAP2, או אפליקציות לקוח שהוגדרו בצורה שגויה, יכולים להכשיל גם מפתח תקין.
החשבון לא רשום לשימוש ב-FIDO2:גם אם המכשירים שלכם תואמים לחלוטין, חשבון Microsoft או משתמש ה-Entra ID שלכם חייבים להיות מוגדרים ומאופשרים לשימוש ב-FIDO2. דילוג על שלב זה הוא מקור קלאסי לבלבול.

בעיות לקוח של Windows והערות חשובות למפתחות FIDO2

תאימות גרסת מערכת ההפעלה: חלק מתכונות FIDO2 דורשות גרסאות בנייה ספציפיות של Windows 10 או Windows 11. אם מערכת ההפעלה שלכם מפגרת בעדכונים, ייתכן שחסרה תמיכה, במיוחד בתכונות מפתח חדשות.
הפעלת שירות WebAuthn: אם שירות Windows WebAuthn (Web Authentication) אינו פועל, או שהוא מושבת על ידי מדיניות, מפתחות FIDO2 לא יזוהו כלל. זוהי בעיה שלעיתים קרובות נשמטת מרשימות הבדיקה בזמן הפריסה.
קונפליקטים באכיפת מדיניות: פרופילי Local Group Policy או MDM עלולים לחסום בשוגג מאמתים חיצוניים. יש לבחון ולבדוק אותם בקפידה, במיוחד בסביבות ארגוניות ובמוסדות חינוך.
תיקוני אבטחה חסרים ב-Windows: באגים או פערים מסוימים ב-FIDO2 מתוקנים רק בעדכוני אבטחה אחרונים. אם המפתחות מתנהגים בצורה לא תקינה במכשיר שהוגדר במלואו, בדקו תמיד אם חסרים עדכוני Cumulative.
מוזרויות ספציפיות ליישומים: יישומי שולחן עבודה עשויים לדרוש תוספי FIDO2 או הגדרות משלהם, בנפרד מתמיכת הדפדפן. כדאי לוודא פעמיים שהתהליך הרצוי נתמך רשמית בתיעוד הלקוח של Windows.

שלבי פתרון תקלות לכשלי אימות FIDO2

אז המפתח שלכם לא עובד ואתם בוהים במסך הכניסה, תוהים על מי להטיל את האשמה. לפני שתתפרצו על מנהל ה-IT הקרוב, כדאי לפרק את הבעיה לשלבים. רוב כשלי האימות של FIDO2 נופלים לכמה קטגוריות רחבות, בין אם אתם משתמשים רגילים ובין אם אתם מנהלים את הסביבה של ארגון שלם.

הסעיף הזה מדריך אתכם בתהליך של צמצום הבעיה: האם מדובר במפתח תקול, בבעיית תאימות של המכשיר, בבעיה בתמיכת הדפדפן, או בחסימה מסתורית של מדיניות Microsoft? גישה מובנית חוסכת זמן ומונעת מכם להסתובב במעגלים. הן משתמשי הקצה והן מנהלי המערכת יפיקו תועלת מהבדיקות האלה, שכן שלילת הבעיות הפשוטות מוקדם יכולה לחסוך שעות של הסלמה מיותרת ופניות לתמיכה.

הסעיפים המפורטים ילוו אתכם באבחון התקלות, החל מחיבור המפתח ליציאה אחרת ועד לבדיקת הרשמת החשבון והגדרות הדפדפן. תמצאו כאן גם טיפים לאימות שהמכשירים והדפדפנים בכלל תומכים ב-FIDO2/WebAuthn, כי לפעמים ה"בעיה" היא פשוט עדכון שחסר או דגל דפדפן מוסתר.

מדריך פתרון תקלות שלב אחר שלב למשתמשי קצה

בדיקת תפקוד בסיסי של USB:חברו את מפתח ה-FIDO2 ישירות ליציאת USB ראשית. אם הוא לא נדלק או לא מגיב, נסו יציאה אחרת, והימנעו מהאבים (Hubs) ומתאמי USB. בדיקת חומרה מהירה תשלול תקלה במפתח או ביציאה.
בדיקת זיהוי המכשיר במערכת ההפעלה:ב-Windows, פתחו את Device Manager וחפשו התקנים לא מזוהים או רשומות של מפתח אבטחה לאחר חיבור המפתח. אם הוא חסר, התקינו מחדש את מנהלי ההתקן של ה-USB או בדקו אם קיימת תקלה בחומרה.
וידוא תמיכה בדפדפן ועדכונים:בדקו כניסה באמצעות הגרסה העדכנית של דפדפן נתמך, כמו Microsoft Edge או Google Chrome. היכנסו לאתר הדגמה של WebAuthn. אם המפתח אינו מבוקש, עדכנו את הדפדפן, נקו את המטמון והשביתו תוספים שעלולים לחסום את תכונות האימות.
בדיקת סטטוס הרשמת FIDO2 של החשבון:היכנסו לדף אבטחת החשבון שלכם ב-Microsoft או לפורטל My Sign-ins של הארגון. ודאו שמפתח ה-FIDO2 שלכם נרשם כראוי לחשבון ה-Entra ID או Microsoft 365 שלכם. שלבי הגדרה שנשמטו הם תופעה נפוצה להפתיע.
בדיקת חסימות מדיניות ושירותים:אם אתם במכשיר מנוהל, ודאו שמדיניות קבוצתית או הגדרות MDM אינן מגבילות מפתחות חיצוניים. ב-Windows, חפשו "Local Group Policy Editor" עבור המדיניות "Security Key" או "External Authentication Devices". בחשבונות ענן, ודאו שמדיניות גישה מותנית אינה חוסמת בשקט כניסות FIDO2. למידע נוסף על הגישה של Microsoft, כדאי לעיין באסטרטגיות מדיניות הזהות שלהם כאן.
בדיקת המפתח במכשיר אחר:דרך מהירה לבודד את הבעיה היא לנסות את מפתח ה-FIDO2 במכשיר תואם אחר. אם הוא נכשל בכל מקום, כנראה שיש בעיה במפתח או בקושחה; אם הוא עובד, התמקדו בחזרה בהגדרות או בשירותים של המכשיר המקורי.

אימות תאימות של מפתחות אבטחה FIDO2 במכשירים ובדפדפנים

תמיכה במערכת ההפעלה: ודאו שהמכשיר שלכם פועל עם מערכת הפעלה התומכת ב-FIDO2/WebAuthn, כגון Windows 10 (1903 ומעלה) או macOS עם עדכונים עדכניים.
דרישות דפדפן: ודאו שאתם משתמשים בגרסה העדכנית ביותר של Chrome, Edge או Firefox, שכן גרסאות ישנות לרוב אינן תומכות כראוי בפרוטוקול WebAuthn.
תאימות לנייד: חלק ממכשירי Android ו-iOS תומכים רק בדגמים מסוימים של מפתחות FIDO2, או דורשים דגמים המבוססים על NFC/Bluetooth.
הפעלת מדיניות ושירותים: לקוחות Windows זקוקים לשירות WebAuthn פעיל, אחרת לא תופענה הנחיות הדפדפן עבור מפתחות אבטחה.
זכאות החשבון: החשבון שלכם חייב להיות רשום ולא להיות חסום על ידי מדיניות כדי שאימות באמצעות מפתח FIDO2 יהיה זמין ב-Microsoft Entra ID או בספקי זהויות דומים.

אבחון התנגשויות של USB, קושחה וחומרה במפתחות אבטחה FIDO2

בשכבה הפיזית טמונה עולם שלם של בעיות, ומדובר בסוג התקלות שיכולות להותיר אפילו את צוות התמיכה המיומן ביותר חסר אונים. רכזות USB, מתאמים זולים ומנהלי התקן רופפים הם לעתים קרובות הגורם הנסתר כשמפתח FIDO2 אינו מזוהה. הבעיות האלה חורגות הרבה מעבר לתוכנה, ולפעמים הסיבה פשוטה כמו שימוש בסוג USB שגוי או במנהלי התקן שמיושנים בכמה שנים.

מעבר ליציאות ולכבלים, יש לקחת בחשבון גם את הקושחה. מפתחות FIDO2, כמו כל התקן אחר, מריצים מערכת הפעלה זעירה ורכיבי אבטחה משלהם. באג בקושחה, אי-התאמה או Bootloader מיושן עלולים לגרום לכך שההתקן לא יזוהה עוד לפני שבכלל התחלתם לפתור בעיות ב-Windows. דגמים פופולריים כמו YubiKey ו-Titan מושפעים לעתים קרובות מתקלות קושחה נדירות, שמדריכי תמיכה כלליים נוטים לעבור עליהן בקלות.

בסעיפים הבאים נצלול לעומק אל הפרטים המעשיים והקונקרטיים. אם התוכנה, המדיניות ומערכת ההפעלה שלכם תקינים, ועדיין אתם נתקלים בחומות בלתי עבירות, בדיקות החומרה והקושחה האלה עשויות להצביע על מקור התסכול האמיתי. זו רמת פתרון התקלות שמבדילה את המומחים מהשאר.

תאימות יציאות USB ובעיות בבקר

רכזות ללא חיבור חשמל מול רכזות עם חיבור חשמל: מפתחות FIDO2 רבים צורכים מספיק חשמל כדי להיכשל ברכזות USB ללא חיבור חשמל או בתחנות עגינה באיכות ירודה. מומלץ תמיד לנסות חיבור ישיר ליציאת ה-USB הראשית של המחשב.
מתאמי סוג USB: מתאמים מסוג USB-C ל-USB-A עלולים לפעמים להפריע לזיהוי התקנים תקין, במיוחד במחשבים ניידים עם תקני יציאות מעורבים. כשאפשר, עדיפים יציאות מקוריות.
מנהלי התקן מיושנים לבקר USB: אם מנהלי ההתקן של לוח האם מפגרים, מערכת ההפעלה עלולה לא לזהות מפתחות FIDO2 חדשים, או להיכשל לאחר מחזורי שינה ושינה עמוקה. יש לעדכן תמיד את מנהלי ההתקן של ה-chipset ושל הבקר.
תקלות ספציפיות ליציאה: נזק פיזי או חיבור לקוי בתוך יציאה עלולים לגרום למפתחות להיכשל באופן אקראי. מעבר ליציאה או למכשיר אחר יחשוף מיד אם מדובר בתקלת חומרה.

התנגשויות בין עדכוני קושחה ורכיב האבטחה (Secure Element)

קושחה מיושנת: מפתחות אבטחה מסוג FIDO2, כמו YubiKey או Titan, משחררים באופן שוטף עדכוני קושחה שמתקנים תקלות תאימות או אבטחה. עדכונים שחסרים עלולים לחסום את הזיהוי בסביבות או באפליקציות חדשות.
שגיאות ב-Secure Element: אם רכיב ה-Secure Element של המפתח פגום או לא תואם בעקבות עדכון שנכשל, ייתכן שההתקן לא יזוהה כלל עד שיבוצע לו reflash נכון או עד שיוחלף.
נעילות על ידי היצרן: כשלים מסוימים בעדכון עלולים להכניס מפתחות למצב "Bootloader mode", שבו רק כלים מיוחדים יכולים להחזיר אותם לפעולה. יש לפעול תמיד בדיוק לפי הוראות היצרן לעדכון הקושחה כדי להימנע מנעילות.
אי-התאמה בין אפליקציה, מערכת הפעלה וקושחה: חלק מתכונות FIDO2 המתקדמות דורשות סנכרון בין מנהלי ההתקן ברמת מערכת ההפעלה לבין קושחת המפתח. אם תכונה חדשה פתאום נשברת או נעלמת, בדקו את יומני העדכונים של המפתח ושל מערכת ההפעלה.

שיטות עבודה מומלצות ומשוב משתמשים ליישום מפתחות FIDO2

הטמעת מפתחות FIDO2 בסביבת Microsoft שלכם אינה רק מהלך טכני, אלא גם תרגיל בניהול שינויים ובחוויית המשתמש. גם מנהלי IT וגם משתמשים רגילים יש להם הרבה מה לומר על מה שבאמת עובד בפריסת ההתקנים הקטנים האלה. המשוב מהשטח חושף דפוסים: מפתחות יכולים להפוך את האימות לחלק ללא מאמץ, או להפוך לתסכול יומיומי אם פרטים שנשכחו מצטברים. אתם לא רוצים רק לשרוד עם FIDO2, המטרה שלכם היא לשגשג איתו, לשלב אבטחה חזקה בלי להוציא את המשתמשים הקצה מדעתם.

החלק הזה חותך דרך ההייפ ומביא לכם את התובנות שנבדקו בשטח, החל מפריסות ארגוניות גדולות ועד להגדרות ענן מנוהלות היטב. חלק גדול מההצלחה לטווח הארוך תלוי במוכנות המשתמשים, בבהירות המדיניות ובניטור מתמשך – כלומר, להישאר ערים לעדכונים, לשגיאות ולמשוב. זה אומר ללמוד ממנהלים שנאבקו בתקלות מוזרות, וגם להקשיב למשתמשי הקצה שעובדים עם FIDO2 כל היום. לזווית מעשית על איזון בין אבטחה לנוחות ב-Microsoft 365, כדאי להציץ בהמלצות על אבטחת M365 בלי להטריד את המשתמשים כאן.

בהמשך תמצאו נתונים מוחשיים, דפוסים והמלצות מקצועיות, לצד הערות על דרישות מקדימות שאי אפשר לדלג עליהן ועל מלכודות נפוצות. הניסיון המצטבר הזה יכול להיות ההבדל בין פריסה שעובדת לבין פריסה שנופלת, ולעזור לכם להימנע מהאסונות הרגילים ולהבטיח אימות בטוח וחלק יום אחרי יום.

משוב ותוצאות ממנהלי משתמשים ומנהלי מערכת

כשמדברים עם אנשי ה-IT בשטח, עולים כמה נושאים חוזרים. לפי סקר של Microsoft ו-FIDO Alliance, ארגונים שעברו לאימות ללא סיסמה (עם מפתחות FIDO2) ראו ירידה של יותר מ-90% בהתקפות פישינג שמבוססות על אישורי כניסה, בשישה החודשים הראשונים. זה סוג של נתון שמושך תשומת לב בכל ישיבת דירקטוריון של CISO.

עם זאת, אף פתרון אינו מושלם מהקופסה. מנהלים רבים דיווחו על "נקודות כאב" בהתחלת הפריסה, בעיקר בכוונון מדיניות Windows, בבלבול של משתמשים מול בקשות אימות מרובה-גורמים, או בהבדלים ביכולות הדפדפן. כ-25% מהמנהלים בסביבות ארגוניות בינוניות ציינו רגעים של תהייה שנבעו מזיהוי לא עקבי של המפתח בין תהליכי Windows לתהליכים בדפדפן.

המשתמשים, מצידם, מעדיפים באופן גורף מפתחות FIDO2 על פני MFA מבוסס SMS, ברגע שהם מוגדרים. משוב מקבוצות משוב מצביע על שיעור נמוך בהרבה של פניות לאיפוס סיסמה ופחות חיכוך בכניסות היומיומיות. אולם כשנתקלו בבעיות תאימות מכשירים או באגי קושחה, התסכול עלה במהירות, לעיתים משום שחומרי התמיכה לא התייחסו לשורשי הבעיות, כמו מתח USB או התנגשויות במדיניות קבוצה.

התוצאות הטובות ביותר לטווח הארוך הגיעו מפריסות עם הכנה יסודית: מפגשי הסברה קבועים, השקות מדורגות וניטור אוטומטי של סחיפת מדיניות. צוותים שהשקיעו בחינוך משתמשים מראש ראו עלייה של יותר מ-80% באימוץ, בעוד שאלה שדילגו על שלב ההדרכה נקברו בפניות תמיכה. בסופו של דבר, הצלחה בעולם האמיתי תלויה באותה מידה בבהירות ובתמיכה כמו בטכנולוגיה עצמה. לטיפים נוספים מבעלי מומחיות על ארגון גישה מאובטחת בלי להכביד על משתמשי הקצה, כדאי לקרוא על שיטות עבודה מומלצות של Zero Trust ב-Microsoft 365 כאן.

הערות חשובות לשימוש מאובטח במפתחות FIDO2

תמיד רשמו מפתחות גיבוי: אל תסתמכו על מפתח FIDO2 אחד בלבד; רשמו מפתח משני למקרה של אובדן או תקלה.
ודאו רישום מלא לפני שתסתמכו על המפתחות: בדקו פעמיים את רישום המפתחות בכל חשבונות המפתח ובכל המכשירים, ולא רק במכשיר הראשי.
שמרו על עדכניות של קושחה ומערכת ההפעלה: קושחה מיושנת או עדכונים חסרים עלולים לחסום זיהוי של המפתח או ליצור סיכוני אבטחה.
נטרו סחיפת מדיניות: שינויים במדיניות קבוצה או בגישה מותנית בענן עלולים לשבור את התמיכה ב-FIDO2 בשקט, לכן בדקו את ההגדרות באופן קבוע.
הסבירו למשתמשים על אפשרויות גיבוי: ודאו שהמשתמשים מבינים אילו שיטות אימות חלופיות זמינות אם מפתח FIDO2 אינו זמין או אינו מזוהה.