מפתחות גישה (Passkeys) בשיטת האימות FIDO2 ב-Microsoft Entra ID

By Mirko Peters · 2026-08-24

למדו כיצד להטמיע אימות מפתחות גישה מבוסס FIDO2 ב-Entra ID. התכוננו לכך שמפתחות גישה יהפכו לחוויית הכניסה המוגדרת כברירת מחדל, בעזרת שיטת האימות החזקה הזו.

Automatically translated with AI from the original post. Read the English original

מפתחות גישה (Passkeys) — הגדרה

מפתחות גישה הם אישורי אימות מודרניים, העמידים בפני הונאות פישינג, המבוססים על התקן FIDO2 ומחליפים סיסמאות בזוגות מפתחות קריפטוגרפיים. מפתח גישה מורכב ממפתח פרטי השמור במכשיר של המשתמש, ומפתח ציבורי השמור אצל השירות. בעת הכניסה, השירות מאתגר את המכשיר להוכיח שברשותו המפתח הפרטי, וכך מתאפשר אימות מאובטח וללא סיסמה.

הסבר קצר

מפתחות גישה של FIDO2 מפשטים ומחזקים את האימות, מכיוון שהם מבטלים סודות משותפים (סיסמאות) ומשתמשים בהצפנה עם מפתח ציבורי. הם קשורים למכשיר של המשתמש ומוגנים באמצעות שיטות ביטול נעילה של המכשיר, כגון ביומטריה (טביעת אצבע, זיהוי פנים) או קוד PIN מקומי. מכיוון שהאימות מתבסס על אישורים קריפטוגרפיים ולא על סיסמאות שהמשתמש מקליד, מפתחות גישה עמידים בפני פישינג, מתקפות הפעלה חוזרת (replay) ומילוי אישורים (credential stuffing). פתרונות כמו Microsoft Entra תומכים במפתחות גישה כדי לאפשר כניסות חלקות ומאובטחות באפליקציות אינטרנט ונייד, ומאפשרים סנכרון מפתחות בין מכשירים באמצעות תכונות מהימנות של פלטפורמות ענן, בהתאם לצורך.

בנוף המתפתח של אבטחה דיגיטלית, שיטות אימות חזקות הן קריטיות להגנה על נכסי הארגון ועל זהויות המשתמשים. מאמר זה בוחן את ההטמעה והיתרונות של מפתחות גישה, ובפרט של אימות FIDO2, בתוך Microsoft Entra ID. נבחן מהם מפתחות גישה, כיצד פועל FIDO2, ואילו יתרונות מוחשיים הם מציעים בחיזוק תנוחת האבטחה ובשיפור חוויית הכניסה של המשתמשים.

Microsoft Entra Passkeys — 9 עובדות מפתיעות על מפתחות גישה (FIDO2)

• מפתחות גישה אינם רק "סיסמאות חזקות": הם משתמשים בהצפנה עם מפתח ציבורי, כך שהשרת שומר רק מפתח ציבורי — המפתח הפרטי אינו יוצא מהמכשיר שלכם לעולם.
• הם עמידים מטבעם בפני פישינג: WebAuthn/FIDO2 קושר את האישורים למקור (origin) של האתר, ולכן אתר מזויף אינו יכול להשיג נתוני אימות שמישים.
• ניתן לסנכרן מפתחות גישה בין המכשירים שלכם באמצעות גיבוי ענן של הפלטפורמה (Apple iCloud Keychain, Google Password Manager, חשבון Microsoft), וכך לאפשר שחזור — אך זה יוצר משטח אמון חדש מול ספק הענן.
• ניתן לקשר כמה מפתחות גישה לכל חשבון ולכל מכשיר; מומלץ ליצור מספר מפתחות גישה לצורך גיבוי וגישה בין מכשירים, ולא להסתמך על אישור יחיד.
• מפתחות גישה עובדים עם אימות ביומטרי או קודי PIN של המכשיר, אך אינם מעבירים נתונים ביומטריים — המכשיר מאמת אתכם באופן מקומי וחותם על האתגרים באמצעות המפתח הפרטי.
• הם תומכים הן במאמתים מובנים (בטלפונים ובמחשבים ניידים) והן במאמתים ניידים (מפתחות אבטחה ב-USB/NFC), וזה מאפשר אסטרטגיות רב-פלטפורמיות להטמעות של מפתחות גישה ב-Microsoft Entra.
• אישור מכשיר של מפתח גישה (attestation) עלול לחשוף לצדדים הסומכים מידע על דגם המכשיר, אלא אם נעשה שימוש באישור אנונימי — לבחירות הפרטיות יש משקל במהלך ההטמעה.
• מעבר של משתמשים מסיסמאות יכול להפחית מאוד השתלטות על חשבונות, אך הארגונים עדיין זקוקים לתהליכי גיבוי (שחזור חשבון, מאמתים חלופיים) כדי להימנע מנעילה כשמכשירים הולכים לאיבוד.
• אימוץ מפתחות גישה מסייע לעמוד בדרישות רגולטוריות ובמסגרות אבטחה: אימות FIDO2 מוכר כאימות חזק העמיד בפני פישינג, והוא יכול לפשט ציות כשהוא משולב ב-Microsoft Entra ID.

הבנת מפתחות גישה ו-FIDO2

מהם מפתחות גישה?

מפתחות גישה (Passkeys) מייצגים מהפכה בטכנולוגיית האימות, והם נועדו להוות חלופה מאובטחת וידידותית יותר לסיסמאות המסורתיות. בבסיסם, מפתחות גישה הם אישורים קריפטוגרפיים שמאפשרים למשתמשים להיכנס לאתרים ולאפליקציות בלי צורך במחרוזת תווים שקל לזכור. במקום זאת, תהליך האימות מבוסס על הצפנת מפתח ציבורי, שבה נוצר זוג מפתחות קריפטוגרפיים ייחודי לכל חשבון מקוון. המפתח האחד, המפתח הציבורי, נשמר אצל ספק השירות (לדוגמה, Microsoft Entra ID), ואילו המפתח השני, המפתח הפרטי, נשאר מאובטח במכשיר של המשתמש או בתוך מאמת מאובטח. כשמשתמש מנסה להיכנס, השירות מאתגר את המכשיר להוכיח שהוא מחזיק במפתח הפרטי, ותהליך זה מאומת קריפטוגרפית מבלי שהמפתח הפרטי עצמו מועבר לעולם. התכנון הטבוע הזה הופך מפתחות גישה לעמידים הרבה יותר בפני פישינג ובפני מתקפות אחרות המבוססות על אישורי כניסה, ומעלה את רף ההגנה על זהות דיגיטלית. משתמשים יכולים לרשום מפתח גישה על מגוון מכשירים, החל מסמארטפונים ועד למפתחות אבטחה ייעודיים של FIDO2, וכך נוצרת שיטת אימות גמישה ועמידה.

סקירה של אימות FIDO2

אימות FIDO2 הוא התקן הפתוח הבסיסי שעומד בבסיס הרעיון של מפתחות גישה. התקן פותח על ידי FIDO Alliance בשיתוף עם ה-World Wide Web Consortium (W3C), ו-FIDO2 מגדיר סט פרוטוקולים שמאפשרים אימות חזק ועמיד בפני פישינג ברחבי הרשת. התקן מסתמך על WebAuthn, ממשק תכנות (API) לווב, ועל CTAP2, פרוטוקול בין הלקוח למאמת, כדי לאפשר תקשורת מאובטחת בין המכשיר של המשתמש (המאמת) לבין השירות המקוון. כשארגון מחליט להפעיל מפתחות גישה ב-Microsoft Entra ID, הוא למעשה מפעיל אימות FIDO2. כך משתמשים יכולים לרשום מפתח גישה ממפתח אבטחה של FIDO2 או ממכשיר שפועל כמאמת. התהליך כולל יצירת מפתח גישה על ידי המשתמש, והמפתח הזה הופך לשיטת אימות ראשית או לרכיב חזק באימות רב-גורמי. הארכיטקטורה מבטיחה שהמפתחות הפרטיים לעולם אינם יוצאים מהמאמת, וכך מתקבל מחסום איתן מפני איומי סייבר נפוצים, וקביעת רף חדש לאבטחת אימות. Microsoft Entra ID תומך במלואו ב-FIDO2, ומאפשר למנהלים להפעיל מפתחות גישה כאפשרות כניסה חזקה.

היתרונות בשימוש במפתחות גישה

אימוץ מפתחות גישה ב-Microsoft Entra ID מביא עמו מגוון רחב של יתרונות משכנעים, שמתמקדים בעיקר באבטחה מחוזקת ובחוויית משתמש משופרת. המעבר הזה מסמל צעד יזום לקראת עתיד ללא סיסמאות, ומציע פתרון מעשי ויעיל לניהול זהויות מודרני. ארגונים יכולים גם ליישם מפתחות גישה כגורם אימות רב-גורמי חזק, וכך לחזק את מצב האבטחה הכולל שלהם. היכולת לרשום מפתחות גישה ישירות ב-Microsoft Entra ID, לרוב דרך אפליקציית Microsoft Authenticator או מפתח אבטחה ייעודי של FIDO2, מפשטת את הפריסה ואת הניהול עבור מנהלי Entra.

מפתחות גישה של Microsoft Entra: יתרונות וחסרונות

יתרונות

• אימות העמיד בפני פישינג: מפתחות גישה משתמשים בהצפנת מפתח ציבורי הקשורה למכשיר, ולכן מונעים גניבת אישורים באמצעות פישינג.
• חוויית משתמש פשוטה: הכניסה מתבצעת לרוב באמצעות ביומטריה של הפלטפורמה או קוד PIN, וכך תהליכי הכניסה פשוטים יותר בהשוואה לסיסמאות.
• סנכרון בין מכשירים: יישומים רבים (כולל כאלה המשולבים בשירותים כמו מפתחות גישה של Microsoft Entra) יכולים לסנכרן אישורים בין המכשירים של המשתמש, לנוחות מירבית.
• הפחתת העומס בניהול סיסמאות: מבטלת את הצורך ליצור, לזכור או לאפס סיסמאות, ומפחיתה את עלויות התמיכה ואת החיכוך למשתמשים.
• פרטיות חזקה: רק המקור (origin) של הצד הסומך (relying party) נחשף לאמצעי האימות; אישורי הכניסה אינם ניתנים לשימוש חוזר בין אתרים.
• מעבר תואם לאחור: ניתן לאמץ לצד שיטות אימות קיימות, ולאפשר הטמעה מדורגת.

חסרונות

• תלות במכשירים ומורכבות בשחזור: אם משתמש מאבד את כל המכשירים שלו או את הגישה לסנכרון, שחזור החשבון עלול להיות מורכב יותר מאיפוס סיסמה.
• תמיכה לא אחידה בין פלטפורמות: למרות השיפור, לא all הדפדפנים, הפלטפורמות או השירותים תומכים בזרימות passkey באותה מידה.
• מורכבות ביישום: שילוב נכון עם מחזור החיים של החשבון, עם שחזור ועם הקצאה על פני מספר מכשירים דורש תכנון ופיתוח קפדניים.
• מדיניות ארגונית וציות: ארגונים עשויים להידרש לעדכן את מדיניות ממשל הזהויות, ניהול המכשירים והציות כדי לאמץ passkeys בהיקף רחב.
• נדרשת הדרכה למשתמשים: חלק מהמשתמשים עשויים להיות לא מוכרים עם הרעיון ולזקוק להנחיה לגבי שימוש במכשירים ואפשרויות שחזור.

FIDO2: יתרונות וחסרונות

יתרונות

• אימות קריפטוגרפי חזק: FIDO2 מספק אימות מבוסס אישורים עם מפתח ציבורי, שעמיד מטבעו להתחזות (phishing) ולהתקפות הפעלה חוזרת (replay).
• מבוסס תקנים וניתן לפעולה הדדית: נתמך באופן נרחב על ידי פלטפורמות מרכזיות, דפדפנים ומפתחות אבטחה, ומאפשר תאימות רחבה במערכת האקולוגית.
• גמישות באמצעי האימות: תומך באמצעי אימות מובנים במכשיר (platform authenticators) ובמפתחות ניידים (roaming authenticators, כמו מפתחות אבטחה), ומציע אפשרויות פריסה מגוונות.
• שיפור בתפיסת האבטחה: מפחית את התלות בסיסמאות ומפחית את הסיכון מפריצות למסדי נתונים של אישורים, שכן השרתים שומרים רק מפתחות ציבוריים.
• מוכנות לארגונים: FIDO2 יכול להשתלב עם ספקי זהויות ארגוניים, וניתן לשלבו עם פתרונות כמו Microsoft Entra כדי לאכוף מדיניות אימות חזקה יותר.

חסרונות

• מאמץ פריסה ושילוב: שילוב FIDO2 במערכות קיימות, ב-כניסה יחידה (single sign-on) ובאפליקציות מדור קודם עשוי לדרוש פיתוח ובדיקות נרחבים.
• דרישות חומרה ומכשירים אצל המשתמש: חלק מהמשתמשים עשויים להידרש לרכוש מפתחות ניידים, או להשתמש במכשירים תואמים כדי להשתמש באמצעי אימות מובנים במכשיר.
• אתגרים בשחזור חשבון: קשה לבנות תהליכי שחזור מאובטחים וידידותיים למשתמש מבלי להחזיר וקטורי אימות חלשים.
• תקורה תפעולית: ניהול אסימוני חומרה, הקצאה, טיפול באסימון שאבד ומדיניות מחזור חיים מוסיפים משימות תפעוליות ל-IT.
• חוויית משתמש מפוצלת: הבדלים באופן שבו דפדפנים ופלטפורמות מממשים את ממשק המשתמש של זרימות FIDO2 עלולים להוביל לחוויות משתמש לא אחידות בין מכשירים.

הגדרת מפתחות גישה (Passkeys) ב-Microsoft Entra ID

כיצד לרשום passkey

כדי לרשום passkey ב-Microsoft Entra ID, משתמשים יכולים להשתמש בשיטות שונות, כאשר אפליקציית Microsoft Authenticator היא האפשרות העיקרית ל-passkeys מסונכרנים. התהליך מתחיל בדרך כלל בניווט לדף security info של המשתמש, או דרך הנחיות ייעודיות במהלך ניסיון כניסה. לאחר ההתחלה, המשתמש יונחה ליצור passkey, וזה כולל לרוב אימות ביומטרי או קוד PIN במכשיר. פעולה זו יוצרת באופן מאובטח את זוג המפתחות הקריפטוגרפי: המפתח הציבורי נרשם ב-Microsoft Entra ID, ואילו המפתח הפרטי נשאר במכשיר המשתמש או בתוך ספק passkey מאובטח. עבור מי שמשתמש במפתחות אבטחה של FIDO2, הרישום כולל חיבור המפתח הפיזי ופעולה לפי ההוראות שעל המסך כדי ליצור את פרופיל ה-passkey. מנהלי Entra יכולים לפקח על מדיניות הרישום של passkeys, ולוודא שהמשתמשים יכולים לרשום passkeys בקלות ולחזק את יכולות האימות העמיד להתחזות שלהם.

הפעלת מפתחות גישה (Passkeys) ב-Authenticator

הפעלת מפתחות גישה (passkeys) ב-Microsoft Authenticator היא צעד מרכזי לארגונים השואפים לחוויית כניסה חלקה ומאובטחת. מנהלי Entra יכולים להגדיר מדיניות במרכז הניהול של Microsoft Entra כדי לאפשר למשתמשים לרשום מפתח גישה מסונכרן ישירות דרך אפליקציית Authenticator. לשם כך יש לנווט אל חלונית שיטות האימות, שבה ניתן לנהל הגדרות ספציפיות ל-FIDO2 ול-passkeys. לאחר ההפעלה, המשתמשים יראו אפשרות ליצור passkey בהגדרות אפליקציית Authenticator שלהם, בדרך כלל תחת הסעיף 'Security info'. כך ניתן לרשום מפתח גישה מסונכרן שניתן להשתמש בו בין מספר מכשירים לכניסה ליישומי Microsoft Entra, וזה מחזק משמעותית את אסטרטגיות האימות הרב-שלבי ומקרב אותנו לעתיד ללא סיסמאות, כפי שמודגש במשאבי Microsoft Learn.

הפיכת מפתחות גישה לשיטת האימות ברירת המחדל

לארגונים שמחויבים לחיזוק תנוחת האבטחה שלהם ולאימוץ סביבה ללא סיסמאות באמת, הפיכת מפתחות הגישה לשיטת האימות ברירת המחדל ב-Microsoft Entra ID היא המטרה הסופית. מנהלי Entra, או מי שמחזיק בתפקיד Authentication Policy Administrator, יכולים להגדיר מדיניות אימות שמעדיפה מפתחות גישה על פני סיסמאות מסורתיות. לשם כך יש להגדיר את מפתחות הגישה כשיטה המועדפת במרכז הניהול של Microsoft Entra, כך שהמשתמשים יתבקשו להשתמש במפתח גישה לכניסה בכל מקום שניתן. גישה מדורגת עשויה להיות נחוצה כדי לוודא שהמשתמשים מוכנים, אך היכולת להפוך מפתחות גישה לשיטת האימות ברירת המחדל משפרת משמעותית את האימות העמיד בפני הונאות (phishing-resistant), מפחיתה את ההסתמכות על שיטות פחות מאובטחות ומייעלת את חוויית המשתמש. המהלך האסטרטגי הזה מדגיש את עדכוני האבטחה והשיפורים המתמשכים ב-Microsoft Entra ID לקראת מערכת ניהול זהויות מאובטחת ויעילה יותר.

רשימת בדיקה: הגדרת מפתחות גישה של Microsoft Entra

השתמשו ברשימה זו כדי לתכנן, לפרוס ולאמת מפתחות גישה ב-Microsoft Entra ID (Microsoft Entra Passkeys).

דרישות מוקדמות

• ודאו שדייר Azure AD / Microsoft Entra ID פעיל ושיש לכם הרשאות Global Administrator או Identity Administrator.
• בדקו שהמנוי והרישיונות תומכים באימות ללא סיסמה ובתכונות FIDO2/passkey.
• ודאו שהמכשירים והדפדפנים שבהם המשתמשים עושים שימוש תומכים ב-passkeys/FIDO2 (Windows, macOS, iOS ו-Android עדכניים, ודפדפנים מבוססי Chromium).
• ודאו שלארגון יש תוכנית מתועדת לאימוץ אימות ללא סיסמה ואסטרטגיית תקשורת.

הכנת Microsoft Entra ID

• נווטו אל מרכז הניהול של Microsoft Entra ואתרו את Authentication methods > Policies.
• הפעילו את שיטת האימות Passkey (FIDO2) והגדירו אותה כ-Allowed או Required עבור משתמשים או קבוצות ממוקדים.
• הגדירו הגבלות למשתמשים ולמכשירים (trust anchors, platform authenticator לעומת roaming authenticator) לפי הצורך.
• בדקו את מדיניות האימות המסורתית (legacy) כדי לצמצם התנגשויות ולוודא שזרימות ללא סיסמה מקבלות עדיפות.

הגדרת גישה מותנית והגדרות אבטחה

• עדכנו מדיניות Conditional Access כך שתאפשר או תחייב כניסה ללא סיסמה במקומות המתאימים.
• הוסיפו בקרות גישה מבוססות סיכון (Azure AD Identity Protection) לצד פריסת מפתחות הגישה.
• בדקו את המדיניות במצב Report-only לפני האכיפה.

הטמעת משתמשים ורישום

• צרו הנחיות שלב-אחר-שלב למשתמשים לרישום מפתחות גישה (רישום דרך Windows Hello, הנחיות של הפלטפורמה או הדפדפן, או מפתחות אבטחה חיצוניים).
• ספקו צילומי מסך והוראות למכשירים מוכרים עבור הפלטפורמות הנפוצות (Windows, macOS, iOS, Android).
• הגדירו מדיניות למספר מפתחות גישה לכל משתמש ולתהליך הגיבוי והשחזור.
• הריצו פיילוט עם קבוצת משתמשים קטנה ואספו משוב.

בדיקה ואימות

• ודאו רישום וכניסה מוצלחים עבור משתמשי הפיילוט בכל הפלטפורמות והדפדפנים הנתמכים.
• בדקו תרחישי SSO, בקשות MFA והתנהגות Conditional Access עם מפתחות גישה.
• ודאו שאפשרויות הכניסה החלופיות (MFA משני, שחזור חשבון) פועלות ומאובטחות.
• עקבו אחר יומני הכניסה ודוחות השימוש בשיטות האימות ב-Microsoft Entra.

פריסה והדרכה

• הודיעו למשתמשים על לוח הזמנים של הפריסה, על היתרונות ועל משאבי התמיכה.
• ספקו לצוותי התמיכה של IT מדריכי הפעלה (runbooks) לתרחישי רישום ותקלות נפוצים.
• אכפו את המדיניות בשלבים, והרחיבו מקבוצות הפיילוט לכלל הארגון.

ניטור ותחזוקה

• בדקו באופן קבוע את יומני הכניסה של Microsoft Entra ואת דוחות שיטות האימות לאיתור חריגות.
• עקבו אחר מדדי אימוץ ופניות תמיכה של משתמשים הקשורות למפתחות גישה.
• יש לעדכן את התיעוד בהתאם לשינויים במערכות ההפעלה ובדפדפנים שמשפיעים על התנהגות מפתחות הגישה.
• יש לבחון ולעדכן מעת לעת את מדיניות הגישה המותנית ואת מדיניות שיטות האימות.

פתרון בעיות וחזרה לאחור

• יש לתעד שגיאות נפוצות (תאימות מכשירים, הנחיות דפדפן, כשלים ברישום) ואת הפתרונות לכל אחת מהן.
• יש לספק תהליכים ברורים לשחזור חשבון ולגישת חירום עבור משתמשים שאיבדו גישה למפתחות הגישה שלהם.
• אם יתרחשו בעיות קריטיות, יש להיות מוכנים לבטל את אכיפת שיטת האימות ולתקשר את שלבי החזרה לאחור.

שיקולי אבטחה and תאימות

• יש לוודא שהטמעת מפתחות הגישה מתיישבת עם מדיניות האבטחה הארגונית ועם דרישות הציות.
• יש לאמת שאחסון מפתחות הגישה ושיטות ההצהרה (attestation) עומדים בתקני הארגון.
• יש לבחון את הנחיות האבטחה של ספקי מאמתים של צד שלישי ושל יצרני המכשירים.

השלמת רשימת הבדיקה הזו תסייע להבטיח אימוץ מוצלח ומאובטח של Microsoft Entra Passkeys בכל הארגון.

סוגי מפתחות גישה ומאפייניהם

מבט מקרוב על מפתחות גישה מסונכרנים

מפתחות גישה מסונכרנים מייצגים קפיצת דרך משמעותית בנוחות המשתמש ובנגישות בתוך מערכת מפתחות הגישה, במיוחד ב-Microsoft Entra ID. מפתחות אלה תוכננו להסתנכרן בין המכשירים השונים של המשתמש, ומספקים חוויית התחברות חלקה מבלי לפגוע באבטחה החזקה של אימות FIDO2. כאשר משתמש יוצר מפתח גישה במכשיר אחד, ניתן לשכפל אותו בצורה מאובטחת למכשירים מאומתים אחרים באמצעות ספק מפתחות גישה מאובטח, לעיתים משולב ישירות במערכת ההפעלה או במנהל סיסמאות ייעודי. לדוגמה, הפעלת מפתחות גישה מסונכרנים דרך אפליקציית Microsoft Authenticator מאפשרת למשתמש לרשום מפתח גישה פעם אחת ולאחר מכן להשתמש בו כדי להתחבר ל-Microsoft Entra ID מהטלפון, מהטאבלט או מהמחשב, בתנאי שהמכשירים מקושרים לאותו חשבון. יכולת זו משפרת מאוד את המעשיות של מפתחות גישה כשיטת אימות ברירת מחדל, ומקרבת ארגונים לעתיד נטול סיסמאות ממש, בכך שהמשתמשים תמיד ניגשים לפרטי האימות העמידים בפני פישינג שלהם.

סוגים שונים של מפתחות גישה זמינים

מעבר למפתחות גישה מסונכרנים, חשוב שמנהלי Entra יבינו את הצורות השונות שמפתח גישה יכול לקבל, כדי לנהל ביעילות את שיטות האימות ב-Microsoft Entra ID. ההבחנה העיקרית היא בין מפתחות גישה מסונכרנים לבין מפתחות גישה קשורים למכשיר. שני הסוגים מנצלים את תקן FIDO2 לאימות העמיד בפני פישינג, אך אסטרטגיות ההטמעה וההנהלה שלהם שונות. ארגונים עשויים לבחור להפעיל מפתחות גישה מסונכרנים לנוחות המשתמשים הכללית, ולדרוש מפתחות גישה קשורים למכשיר עבור חשבונות בעלי הרשאות גבוהות או לדרישות ציות ספציפיות, וכך ליצור אסטרטגיית אימות גמישה וחזקה. גישה מקיפה זו מבטיחה שהארגון יוכל לרשום מפתחות גישה המתאימים לצרכי אבטחה מגוונים ולהעדפות משתמשים שונות.

שימוש במפתחות אבטחה FIDO2

מפתחות אבטחה FIDO2 מספקים שיטה מאובטחת ומובחנת במיוחד לשימוש במפתחות גישה, ומשמשים כמאמתים חומרה ייעודיים לאימות FIDO2 ב-Microsoft Entra ID. התקנים פיזיים אלה, שהם בדרך כלל אסימוני USB קטנים, יוצרים ומאחסנים את המפתח הפרטי בצורה מאובטחת בתוך החומרה העמידה בפני שיבוש שלהם. כאשר משתמש צריך להתחבר ל-Microsoft Entra ID, הוא פשוט מחבר את מפתח האבטחה FIDO2 ופועל לפי ההנחיות, שכוללות לעיתים קרובות הזנת קוד PIN או אימות ביומטרי ישירות על גבי המפתח.

זהו שכבת אבטחה נוספת, שכן המפתח הפרטי אינו עוזב מעולם את החומרה, מה שהופך אותו לחסין מפני מתקפות רבות מבוססות תוכנה. מנהלי Entra יכולים להפעיל מפתחות גישה (Passkeys) באופן ספציפי באמצעות מפתחות אבטחה מסוג FIDO2, מה שמציע אפשרות אימות רב-שלבי חזקה, המומלצת במיוחד לתפקידים קריטיים או לסביבות שבהן אבטחה מקסימלית היא בעלת חשיבות עליונה. תהליך הרישום של מפתח גישה באמצעות מפתח אבטחה FIDO2 פשוט, ומעניק למשתמשים שיטת אימות חזקה נגד פישינג.

טעויות נפוצות בשימוש במפתחות אבטחה FIDO2

מפתחות אבטחה FIDO2 הם כלי אימות חזקים, שמשתמשים בהם לעיתים קרובות לצד פלטפורמות כמו מפתחות הגישה של Microsoft Entra. להלן טעויות נפוצות ודרכים להימנע מהן.

• ההנחה שמפתח הוא תחליף מלא לשחזור חשבון: רבים סבורים שמפתח FIDO2 בלבד מכסה את כל תרחישי השחזור. אם תאבדו את המפתח ולא הפעלתם שיטות שחזור חלופיות (מפתחות גיבוי, קודי שחזור, או מפתחות גישה המנוהלים על ידי הפלטפורמה כמו מפתחות הגישה של Microsoft Entra), ייתכן שתינעלו מחוץ לחשבון.
• אי רישום של מפתחות או שיטות גיבוי: רישום מפתח אבטחה אחד בלבד הוא מסוכן. הוסיפו תמיד לפחות מפתח גיבוי אחד והפעילו אפשרויות שחזור משניות כדי למנוע אובדן חשבון.
• בלבול בין מפתחות FIDO2 לאסימוני OTP חומרתיים: מפתחות FIDO2 משתמשים בקריפטוגרפיית מפתח ציבורי והם עמידים לפישינג, בניגוד לאסימוני סיסמה חד-פעמית (OTP) רבים. יש לטפל בהם באופן שונה בתהליכי עבודה ובתיעוד.
• הציפייה לתמיכה אוניברסלית של Plug and Play ללא בדיקת תאימות: לא כל האתרים או הפלטפורמות תומכים בכל תכונות FIDO2. יש לוודא תמיכה בדפדפן, בפלטפורמה ובשירות, במיוחד בעת שילוב עם שירותי זהות כמו מפתחות הגישה של Microsoft Entra.
• שימוש באחסון לא מאובטח או בסימון לא מאובטח של מפתחות גיבוי: אחסון מפתח גיבוי במקום בולט או סימונו כ"מפתח אבטחה" פוגע באבטחה. שמרו את המפתחות החלופיים במקומות מאובטחים ודיסקרטיים.
• הזנחת עדכוני קושחה והנחיות היצרן: לחלק מהמפתחות מתפרסמים עדכונים או שיש להם בעיות ידועות. התעלמות מהודעות היצרן עלולה להיות יקרה—יש לפעול לפי הנחיות התחזוקה ומועדי ההחלפה המומלצים.
• שיתוף מפתח יחיד בין מספר משתמשים: מפתחות משויכים בדרך כלל לזהות משתמש יחידה. שיתוף מפתח פוגע באחריות האישית ועלול להפר דרישות ביקורת וציות.
• אי הבנה של ההבדל בין מפתחות Resident לבין מפתחות Non-resident: אישורי Resident (נתגלים) נשמרים על גבי המפתח; אישורי Non-resident נשענים על השרת. בחירת הסוג הלא נכון לתרחיש שלכם עלולה להשפיע על הניידות ואפשרויות השחזור.
• ההנחה שהחזקה פיזית שווה לגישה בלתי מוגבלת: מפתח שנגנב עלול עדיין להיות מוגן באמצעות קוד PIN או אימות ביומטרי במכשיר, אך ההנחה שהוא בטוח ללא הפעלת הגנות אלה היא טעות. הפעילו תמיד את קוד ה-PIN או האימות הביומטרי הזמינים, ושקלו מדיניות נעילת מכשירים.
• הזנחת הדרכת משתמשים ותהליכים תפעוליים: פריסת מפתחות ללא הכשרה מובילה לשימוש לא נכון, לאובדן מפתחות ולעומס על התמיכה. ספקו תהליכי קליטה ברורים, נהלים למקרה של אובדן מפתח, וטיפים לשילוב (למשל, שימוש במפתחות הגישה של Microsoft Entra לשיפור חוויית המשתמש).

שימוש במפתחות גישה של Entra ב-Windows

שילוב מפתחות גישה עם Windows Hello for Business

שילוב מפתחות גישה של Entra עם Windows Hello for Business מציע סינרגיה חזקה לשיפור האבטחה ולייעול חוויית הכניסה במכשירי Windows. כאשר ארגון מחליט להפעיל מפתחות גישה ב-Microsoft Entra ID, במיוחד באמצעות Windows Hello for Business, המשתמשים מקבלים גישה למפתחות גישה הקשורים למכשיר, שמנצלים את אימות הקוד האישי או הביומטרי החזק שכבר משולב בסביבת Windows שלהם. המשמעות היא שכדי להשתמש במפתח הגישה לכניסה, המשתמשים פשוט מאמתים באמצעות שיטת Windows Hello המוכרת להם, כגון טביעת אצבע, זיהוי פנים או קוד PIN. שילוב זה מספק שיטת אימות חלקה ועמידה מאוד לפישינג, שכן המפתח הפרטי של מפתח הגישה אינו עוזב מעולם את המכשיר ומוגן על ידי החומרה המאובטחת של Windows Hello for Business. מנהלי Entra יכולים להגדיר מדיניות שמאפשרת שילוב זה, מה שהופך לפשוט למשתמשים לרשום מפתח גישה ולחוות עתיד אמיתי ללא סיסמאות ישירות ממכשירי Windows שלהם.

גישה למפתחות גישה של Entra ב-Windows

הגישה למפתחות גישה (passkeys) של Entra במכשירי Windows תוכננה להיות תהליך פשוט ומאובטח, בין אם מדובר במפתחות גישה מסונכרנים ובין אם במפתחות מקושרים למכשיר באמצעות Windows Hello for Business. במפתחות גישה מסונכרנים, משתמשים שהפעילו passkeys ב-Microsoft Authenticator או בספק passkeys אחר ימצאו את פרופיל מפתח הגישה שלהם זמין במכשיר ה-Windows שלהם, וכך יוכלו להיכנס ליישומי Microsoft Entra בקלות. כאשר תתבקשו לאמת את זהותכם, Windows יציע את האפשרות להשתמש במפתח הגישה, ולעיתים יידרש רק אישור פשוט או אימות ביומטרי. למי שעושים שימוש ב-Windows Hello for Business, הגישה משולבת עוד יותר, שכן מפתח הגישה מקושר ישירות לרכיב האבטחה המאובטח של המכשיר. כך ניתן להיכנס ל-Microsoft Entra ID ולשירותים אחרים פשוט על ידי אימות באמצעות Windows Hello, מה שמספק חוויית כניסה עקבית ומאובטחת במיוחד בכל המערכת האקולוגית של Windows, ומשפר משמעותית את יכולות האימות העמידות להונאות פישינג.

עדכוני אבטחה ושיטות עבודה מומלצות

כדי לשמור על רמת האבטחה הגבוהה ביותר ולהבטיח תפקוד מיטבי בעת שימוש במפתחות גישה של Entra ב-Windows, שמירה על עדכוני אבטחה ועל שיטות עבודה מומלצות היא קריטית. מנהלי Entra צריכים לתעדף את עדכון מערכות ההפעלה של Windows, אפליקציית Microsoft Authenticator וקושחת מפתחות האבטחה מסוג FIDO2 כדי ליהנות משיפורי האבטחה והתיקונים האחרונים. סקירה ועדכון קבועים של מדיניות האימות במרכז הניהול של Microsoft Entra עוזרים לוודא שהרישום לשימוש במפתחות גישה תואם את דרישות האבטחה של הארגון. חשוב גם להסביר למשתמשים כיצד ליצור מפתח גישה בצורה מאובטחת, להבין את ההבדלים בין מפתחות גישה מסונכרנים למפתחות גישה מקושרים למכשיר, ואת החשיבות של הגנה על המכשירים שלהם. Microsoft Learn מספקת משאבים נרחבים בנושאי עדכוני אבטחה ושיטות עבודה מומלצות אלו, ומנחה ארגונים לאימוץ אסטרטגיית אימות ללא סיסמה עמידה במסגרת סביבת Microsoft Entra ID שלהם.

פתרון בעיות ותמיכה

בעיות נפוצות עם מפתחות גישה

בעת פריסה וניהול של מפתחות גישה ב-Microsoft Entra ID, מנהלי Entra והמשתמשים עשויים להיתקל במספר בעיות נפוצות הדורשות פתרון תקלות. אתגר נפוץ אחד הוא לוודא שהמשתמשים יכולים לרשום מפתח גישה בהצלחה, במיוחד אם תאימות המכשירים או תצורות המדיניות אינן מיושרות כראוי. משתמשים עלולים להיתקל בקשיים אם מפתח האבטחה מסוג FIDO2 שלהם אינו מזוהה, או אם יש התנגשויות עם שיטות אימות קיימות. בעיה נפוצה נוספת נוגעת למפתחות גישה מסונכרנים שאינם מסתנכרנים בכל המכשירים המיועדים, לרוב עקב בעיות קישוריות או הגדרות שגויות של ספק מפתחות הגישה. בנוסף, משתמשים עלולים למחוק בשוגג את פרופיל מפתח הגישה שלהם, או להיתקל בקשיים בעת ניסיון להפוך את מפתחות הגישה לשיטת האימות ברירת המחדל, אם אפשרויות הגיבוי אינן מוגדרות כראוי. הבנת המכשולים האפשריים הללו היא הצעד הראשון לטיפול יעיל בהם ולשמירה על חוויית כניסה חלקה ללא סיסמה.

איך להפעיל ולכוון מפתחות גישה

הפעלה וכיוון יעיל של מפתחות גישה ב-Microsoft Entra ID היא משימה ניהולית קריטית הדורשת הגדרה זהירה במרכז הניהול של Microsoft Entra. מנהלי Entra, או מי שמחזיק בתפקיד Authentication Policy Administrator, חייבים לנווט לחלונית שיטות האימות כדי להפעיל מפתחות גישה לארגון. התהליך כולל בחירה ב-FIDO2 Security Key או מתן אפשרות למשתמשים לרשום מפתח גישה מסונכרן באמצעות אפליקציית Microsoft Authenticator. כיוון פריסת מפתחות הגישה למשתמשים או לקבוצות משתמשים מסוימים הוא שיטת עבודה מומלצת, שמאפשרת הטמעה בשלבים ומבטיחה שהמשתמשים המתאימים יוכלו ליצור מפתח גישה. ניתן להשיג זאת על ידי שיוך מדיניות לקבוצות משתמשים ספציפיות, כך שרק אנשים מורשים יוכלו לרשום מפתחות גישה ולהשתמש בהם כשיטת אימות ראשית או כשיטת אימות רב-שלבי. כיוון נכון מסייע לנהל את המעבר לסביבה ללא סיסמאות ותואם את עדכוני האבטחה של הארגון.

קבלת עזרה בהגדרת מפתחות גישה

למנהלי Entra ולמשתמשים שזקוקים לסיוע בהגדרת מפתחות גישה (passkeys), קיימים מגוון משאבים שיבטיחו מעבר חלק לשיטת אימות עמידה להונאות (phishing) זו. Microsoft Learn מציע תיעוד והדרכות מקיפים שמפרטים כל שלב בתהליך, מהאופן שבו מפעילים passkeys ב-Microsoft Entra ID ועד פתרון בעיות נפוצות. מרכז הניהול של Microsoft Entra מספק עזרה ומדריכים בהקשר ההגדרה למדיניות אימות ולניהול הרישום של passkeys. בנוסף, ערוצי התמיכה של Microsoft זמינים לבעיות מורכבות יותר, ומציעים סיוע מומחים להגדרה ולתחזוקה של passkeys ב-Microsoft Entra. שימוש במשאבים אלה יכול לעזור לארגונים להתגבר על אתגרים, להפעיל passkeys מסונכרנים בצורה יעילה, ולהפוך בהצלחה את ה-passkeys לשיטת האימות שברירת המחדל, ובכך לחזק משמעותית את תנוחת האבטחה שלהם ולאמץ חוויית כניסה מודרנית וללא סיסמה.

שאלות נפוצות

פרופיל passkey: יצירה וניהול של פרופיל passkey

entra passkey on windows: הפעלה ושימוש ב-entra passkey במכשירי Windows

passkeys work: אופן פעולת passkeys בין מכשירים ו-passkeys מסונכרנים

מהו passkey של Microsoft Entra, ובמה הוא שונה מ-passkey של FIDO2?

passkey של Microsoft Entra הוא אישור מודרני ועמיד להונאות, המאוחסן במכשיר או אצל ספק passkey בענן, ומנוהל באמצעות Microsoft Entra ID. הוא משתמש בקריפטוגרפיית מפתח ציבורי בדומה ל-passkey של FIDO2, אך משולב בתכונות Microsoft 365 ו-Entra כדי לאפשר כניסה באמצעות passkey וסנכרון מבוסס ענן בין מכשירים.

כיצד מפעילים כניסה באמצעות passkey בארגון שלי?

כדי להפעיל כניסה באמצעות passkey, יש ליצור פרופיל passkey ב-Microsoft Entra, להגדיר את פרופילי ה-passkey כך שיגדירו את המדיניות (כולל האם משתמשים רשאים להשתמש ב-passkeys מסונכרנים), ואופציונלית לשלב עם Microsoft Intune כדי לאכוף בקרות מכשיר. מנהלים בוחרים אם passkeys יהפכו לחוויית האימות שברירת המחדל או יישארו אופציונליים.

מה משמעות האפשרות "לאפשר passkeys מסונכרנים" וכיצד מגדירים אותה?

"לאפשר passkeys מסונכרנים" היא החלטת מדיניות שמאפשרת למשתמשים לאחסן passkeys אצל ספק passkey בענן, כך שיוכלו להשתמש ב-passkeys מסונכרנים בין מכשירים. מגדירים זאת על ידי הפעלת האפשרות בפרופיל ה-passkey, וידוא שמשתמשים מקבלים הנחיה לרשום passkey, ווידוא שספק ה-passkey בענן נתמך.

האם משתמשים יכולים לרשום passkey ישירות, או שמציגים להם הנחיה לרשום passkey?

משתמשים יכולים לרשום passkey ישירות דרך הגדרות האבטחה של החשבון שלהם ב-Microsoft Entra, או שמציגים להם הנחיה לרשום passkey במהלך תהליכי כניסה, כאשר הארגון אוכף passkeys כחוויית האימות שברירת המחדל, או כאשר פרופיל ה-passkey מפעיל הנחיית רישום.

כיצד פועלים passkeys ב-Windows, והאם Microsoft Entra תומך ב-Windows Hello?

passkeys פועלים ב-Windows באמצעות Windows Hello כמאמת. בשימוש ב-entra passkey on windows, המכשיר יכול ליצור passkey קשור (bound) המאוחסן ב-TPM או אצל ספק passkey בענן, ו-Microsoft Entra ID תומך בשימוש ב-Windows Hello ליצירה ולשימוש ב-passkeys של מאמת.

מהם passkeys קשורים (bound), והיכן מאוחסנים passkeys?

passkeys קשורים הם passkeys הכרוכים במאמת של מכשיר מסוים (כמו Windows Hello) ומאוחסנים בדרך כלל באחסון מאובטח בחומרה (TPM). passkeys מסונכרנים, או passkeys המאוחסנים בענן, נשמרים אצל ספק passkey בענן המשויך לחשבון Microsoft Entra של המשתמש.

כיצד יוצרים פרופיל passkey, והאם ניתן להגדיר אותו עבור מספר מדיניות?

יוצרים פרופיל passkey בפורטל של Microsoft Entra על ידי בחירת שיטות אימות והגדרות. ניתן להגדיר פרופילי passkey עבור מספר קבוצות או סביבות, וניתן ליצור פרופילי passkey מוגבלים בהיקף או שלושה פרופילי passkey כדי להחיל כללים שונים על אוכלוסיות משתמשים שונות.

מה לעשות אם משתמשים אינם יכולים לרשום passkey?

אם משתמשים אינם יכולים לרשום passkey, יש לוודא שפרופיל ה-passkey המאפשר רישום מוקצה לחשבון שלהם, לבדוק שהמכשירים שלהם עומדים בדרישות (למשל Windows Hello או מאמת תואם), לאשר שההגדרות של ספק ה-passkey בענן ושל Microsoft Entra ID מאפשרות לרשום את ה-passkey ישירות, ולוודא שאין מדיניות תצורת מכשיר של Microsoft Intune החוסמת תכונות של מאמת.

האם passkeys יהפכו לחוויית האימות שברירת המחדל ב-Microsoft Entra?

מיקרוסופט העידה כי מפתחות גישה (passkeys) יהפכו לחוויית האימות ברירת המחדל עבור משתמשים רבים. מנהלים יכולים להגדיר מפתחות גישה כברירת מחדל באופן יזום, על ידי הגדרתם כשיטה הראשית בפרופיל מפתח הגישה, כך שמפתחות גישה יחליפו את האימות הרגיל בהתאם למדיניות הארגון.

איך מפתחות גישה מסונכרנים ב-Microsoft Entra פועלים עם מספר מכשירים ועם אפליקציות Microsoft 365?

שימוש במפתחות גישה מסונכרנים מאפשר לסנכרן את מפתחות הגישה של המשתמש באמצעות ספק מפתחות גישה בענן, כך שניתן להיכנס מכמה מכשירים. בעת שימוש באפליקציות Microsoft 365, אימות מפתח הגישה מטופל על ידי Microsoft Entra ID וספק הענן, וכך המשתמשים יכולים להשתמש במפתחות גישה ל-Microsoft 365 מבלי להירשם מחדש בכל מכשיר.

האם ניתן לאכוף שימוש במפתחות גישה, ועד כמה המדיניות יכולה להיות מפורטת?

כן, ניתן לאכוף שימוש במפתחות גישה על ידי הגדרת מדיניות בפרופילי מפתחות גישה ובגישה מותנית ב-Microsoft Entra ID. ניתן להגדיר מדיניות מפורטת מאוד: פרופילי מפתחות גישה ממוקדים מאפשרים לאכוף שימוש במפתחות גישה עבור משתמשים, קבוצות או תרחישים ספציפיים, ואף להגביל אילו מאמתים או ספקי מפתחות גישה בענן מותרים.

מה ההבדל בין פרוטוקול Client to Authenticator לבין כניסה באמצעות מפתח גישה?

פרוטוקול Client to Authenticator (CTAP) הוא פרוטוקול טכני שבאמצעותו מאמתים מתקשרים עם לקוחות (דפדפנים ומכשירים). לעומת זאת, כניסה באמצעות מפתח גישה היא התהליך שמבצע המשתמש הקצה בעת האימות באמצעות מפתח גישה. CTAP מהווה את הבסיס ל-passkeys של FIDO2 ולמפתחות גישה של מאמתים המשמשים בתהליכי הכניסה באמצעות מפתח גישה.

איך אני צופה במפתחות גישה ומנהל אותם עבור משתמשים ב-Microsoft Entra?

מנהלים יכולים לצפות במצב הרישום של מפתחות הגישה ולנהל אותם באמצעות שיטות האימות והדוחות של Microsoft Entra ID. משתמשים יכולים לראות את מפתחות הגישה שלהם בהגדרות האבטחה של חשבון Microsoft Entra שלהם, שם הם יכולים לרשום מפתח גישה או להסיר מפתח גישה המאוחסן במכשיר או אצל ספק הענן.

האם Microsoft Entra ID תומך במפתחות גישה, ואילו מאמתים תואמים?

כן, Microsoft Entra ID תומך במפתחות גישה באמצעות תקני FIDO2 ומאמתים רבים תואמים לכך, כולל Windows Hello, מאמתי פלטפורמה ומפתחות אבטחה חיצוניים. באמצעות תקנים אלה, Microsoft Entra ID תומך הן במפתחות גישה קשורים למכשיר והן באישורים מסונכרנים בענן.

מה קורה אם מפתח הגישה של משתמש כבר רשום במכשיר אחר?

אם מפתח גישה כבר רשום במכשיר אחר והמשתמש רוצה להשתמש בו במקום אחר, עליו להשתמש במפתחות גישה מסונכרנים (אם מותר) או לרשום מפתח גישה חדש במכשיר החדש. מנהלים צריכים לקחת בחשבון תרחישים של מספר מכשירים בעת הגדרת פרופילי מפתחות גישה ואפשרויות הסנכרון מבוססות הענן.

האם ניתן להשתמש ב-Intune לניהול מכשירים המשתמשים במפתחות גישה ו-Windows Hello?

כן, Microsoft Intune יכול לנהל תאימות והגדרות של מכשירים המשתמשים במפתחות גישה וב-Windows Hello. מדיניות Intune יכולה לוודא שדרישות האבטחה של המכשיר מתקיימות לפני שמותרת כניסה באמצעות מפתח גישה, וניתן לשלב אותה עם ההגדרות של Entra passkey on Windows לפריסה אחידה ומגובשת.

איך אני תומך במפתחות גישה עבור יישומים ושירותים מרובים בארגון?

כדי לתמוך במפתחות גישה עבור יישומים מרובים, יש לוודא שהיישומים מאוחדים (federated) או משולבים עם Microsoft Entra ID, להפעיל כניסה באמצעות מפתח גישה בהגדרות האימות, וליצור פרופילי מפתחות גישה המגדירים האם משתמשים יכולים להשתמש במפתחות גישה עבור יישומים מרובים ושירותי Microsoft 365.

מהו ספק מפתחות גישה בענן, והאם אני זקוק לאחד?

ספק מפתחות גישה בענן מאחסן ומסנכרן מפתחות גישה בין המכשירים של המשתמש. שימוש בספק כזה הוא אופציונלי, אך מומלץ אם ברצונכם שהמשתמשים ישתמשו במפתחות גישה מסונכרנים בין מכשירים, ולא רק במפתחות גישה קשורים למכשיר יחיד.