Passkeys מול FIDO2: השוואה מעמיקה לאימות מאובטח וללא סיסמה

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

השוואה בין passkeys למפתחות אבטחה של FIDO2 לאימות ללא סיסמה עמיד להונאות פישינג, כולל WebAuthn, Microsoft Entra ID, שחזור ופריסה ארגונית.

Automatically translated with AI from the original post. Read the English original

Titelbild: Passkeys vs FIDO2: In-Depth Comparison for Secure, Passwordless Authentication

passkeys מול FIDO2 דורשים החלטה ברורה ומעשית, המבוססת על תרחיש המשתמש, דרישות האבטחה וסביבת Microsoft 365. התחילו מהתוצאה הרצויה, ודאו את ההנחיות העדכניות של Microsoft, בדקו עם משתמשים מייצגים, ותעדו את האחריות לפני שתחילו ביישום רחב.

רשימת בדיקה מעשית: passkeys מול FIDO2

הגדירו את תרחיש העסקי ואת הבעלים האחראי.
אמתו את התכנון בפיילוט עם משתמשים מייצגים.
בחנו את השלכות האבטחה, הגישה והתמיכה.

עיינו ב-Microsoft Learn לקבלת הנחיות מוצר עדכניות.

עודכן לאחרונה: יולי 2026.

אבטחת חשבונות דיגיטליים ללא הטרחה, ולא הסיכון, הכרוכים בסיסמאות, הופכת לסטנדרט הזהב החדש. אם אתם בוחנים אימות מודרני עבורכם או עבור הארגון שלכם, קשה להימנע משמיעת המונחים FIDO2 ו-passkeys. שני המונחים האלה נזרקים לשיחה הרבה, אבל מה הם באמת אומרים, וכיצד הם משתוו זה לזה מבחינת אבטחה בעולם האמיתי, שימושיות וצורכי פריסה, במיוחד בסביבות שמבוססות על Microsoft?

מדריך זה מפרק את העיקרים: איך FIDO2 ו-passkeys פועלים, מה מבדיל ביניהם, ומדוע הם משנים את הדרך שבה אנחנו נכנסים למערכות בין מכשירים ושירותי ענן. תקבלו טיפים מעשיים בנושאי מודלי איומים, ציות, חוויית משתמש והפרטים הקטנים של הגדרת אימות ללא סיסמה שבאמת מחזיק מעמד. בין אם אתם מנהלים את Microsoft 365, מפעילים מחלקת IT משלכם, או רוצים חשבונות שגורמים זדוניים לא יוכלו לפגוע בהם בקלות, הגעתם למקום הנכון.

מהם FIDO2 ו-passkeys?

FIDO2 הוא תקן פתוח לאימות ללא סיסמה, שפותח על ידי FIDO Alliance וה-World Wide Web Consortium (W3C). מטרתו המרכזית היא לאפשר למשתמשים להתחבר בצורה מאובטחת וללא סיסמאות, באמצעות הצפנת מפתח ציבורי. בלב FIDO2 עומדים שני פרוטוקולים עיקריים: WebAuthn (לאתרים ויישומים) ו-CTAP (לתקשורת עם מאמתים כמו טלפונים או מפתחות חומרה).

Passkeys הם מימוש ידידותי למשתמש של תקן FIDO2. בשפה פשוטה, "passkey" הוא בעצם אישור FIDO2 שמנוהל עבורכם על ידי מערכת ההפעלה של המכשיר, כמו iCloud Keychain של Apple, Google Password Manager או Credential Manager של Microsoft. Passkeys מחליפים סיסמאות עצמאיות, ומאפשרים להתחבר על ידי ביטול הנעילה של המכשיר או באמצעות ביומטריה כמו Face ID, Touch ID או Windows Hello.

והנה הפואנטה: אף ש-passkeys נשענים כולם על FIDO2 מתחת למכסה המנוע, לא כל אישור FIDO2 מכונה "passkey". Passkeys מביאים בדרך כלל נוחות נוספת, כמו סנכרון בין מכשירים או שחזור קל, אבל המנגנונים הקריפטוגרפיים שהם משתמשים בהם, מפתחות ציבוריים ופרטיים, הם זהים. בעוד שסיסמאות הן סודות שאתם מזכירים בעל פה, FIDO2 ו-passkeys שומרים את הסוד (המפתח הפרטי) נעול על המכשיר, ומשתפים עם השרת רק הוכחה, לעולם לא את המפתח עצמו.

לסיכום: FIDO2 מספק את ערכת הכלים הסטנדרטית, ו-passkeys מכניסים את ערכת הכלים הזו לכיס, למחשב הנייד או לענן שלכם, ומבטיחים כניסה ללא סיסמה ועמידה להונאות פישינג.

ביטול סיסמאות והשגת עמידות בפני פישינג

העניין המרכזי ב-FIDO2 וב-passkeys אינו רק הקלה על הכניסה, אף שזה בונוס נעים. מדובר בפרישה סופית של סיסמאות, שידועות כחלשות במיוחד מול פישינג, מתקפות שימוש חוזר והנחשה בכוח גס. עם FIDO2 ו-passkeys, האימות מבוסס על הצפנת מפתח ציבורי: לא נשלחת ולא נשמרת סיסמה שתוקף יכול לדוג או לגנוב.

אתם מתחילים את הכניסה על ידי ביטול נעילת המכשיר, למשל טביעת אצבע, סריקת פנים או קוד PIN של המכשיר. לאחר מכן המכשיר מוכיח בצורה קריפטוגרפית שברשותו המפתח הפרטי, באופן שעובד רק מול השרת הנכון (הנקרא הצד הנסמך, relying party), ואינו שולח את המפתח עצמו ברשת. גם אם האקר יטעה אתכם באתר מזויף, המפתח לא יעבוד, משום שהוא קשור למקור של האתר האמיתי.

גישה זו הופכת התקפות פישינג קלאסיות, כמו איסוף אישורי כניסה באמצעות אתרים מזויפים הדומים לאתרים אמיתיים, כמעט לחסרות תועלת. אין סיסמה שאפשר לגנוב ולהשתמש בה במקום אחר, ותוקפים לא יכולים לשחזר אישורי כניסה שנלכדו, כי כל התחברות משתמשת באתגר חדש. מילוי אישורים, שבו תוקפים משתמשים בסיסמאות שדלפו כדי להתחבר למספר רב של חשבונות, גם הוא נכשל מראש בעידן ה-passkeys.

ארגונים עוברים לגישה הזו לא רק מסיבות של אבטחה טכנית, אלא גם מסיבות של ציות ועסקיות. על ידי הטמעת FIDO2 ו-passkeys, במיוחד לצד כלים כמו Microsoft Defender for Office 365 ו-Microsoft Purview for data governance, ארגונים יכולים לחסום סוג שלם של התקפות המבוססות על אישורי כניסה, מבלי להעמיס עוד על המשתמשים.

כך פועל אימות FIDO2 מאחורי הקלעים

כדי להבין מדוע FIDO2 מאובטח הרבה יותר מכניסות הישנות, כדאי להציץ פנימה אל הקופסה השחורה. בבסיסו, FIDO2 עוסק בשימוש בקריפטוגרפיית מפתח ציבורי כדי להוכיח את זהותכם לשירות, מבלי לחשוף לעולם את הסודות שבאמת פותחים את החשבונות שלכם.

כאשר מגדירים כניסה באמצעות FIDO2 (או רושמים passkey), המכשיר יוצר זוג מפתחות ייחודי: מפתח ציבורי ומפתח פרטי. המפתח הציבורי נשלח לשירות שאליו רוצים להתחבר, ואילו המפתח הפרטי לעולם אינו יוצא מהמכשיר. בכל כניסה, השרת שולח למכשיר אתגר שמוכיח שברשותו המפתח הפרטי, בדרך כלל על ידי חתימה על ערך אקראי, ובודק את התוצאה באמצעות המפתח הציבורי השמור אצלו.

כל זה נשען על אחסון מבוקר בקפידה ועל אימות משתמש, כלומר המפתח הפרטי נשמר בתוך אזור מאובטח (secure enclave) ונגיש רק כאשר פותחים את המכשיר או מספקים נתונים ביומטריים. זו סיבה מרכזית לכך שאימוץ FIDO2 ו-passkeys צומח במערכות שיכולות לאכוף אבטחה מגובת חומרה, כמו Microsoft Windows, Apple macOS/iOS ו-Android.

נצלול לפרטים של תהליכי הרישום וההתחברות, וכן לאופן שבו האישורים שלכם מוגנים ומקושרים למכשיר שלכם, בחלקים הבאים.

הסבר על תהליך הרישום וההתחברות ב-FIDO2

רישום: כאשר נרשמים לראשונה לשירות באמצעות FIDO2, המכשיר יוצר זוג מפתחות קריפטוגרפי חדש. המפתח הציבורי נשלח לשירות (הצד המסתמך), ואילו המפתח הפרטי נשאר במכשיר.
אישור (Attestation): המכשיר יכול להוכיח לשירות שהוא מאמת לגיטימי, על ידי מסירת תעודת attestation, וכך לוודא שהאישור נוצר בחומרה מאובטחת.
אימות: בעת הכניסה, השירות שולח אתגר ייחודי. המכשיר חותם על האתגר באמצעות המפתח הפרטי, לאחר אימות המשתמש באמצעות PIN, טביעת אצבע או שיטה אחרת.
אימות בצד השרת: האתגר החתום מוחזר לשרת, שם הוא נבדק באמצעות המפתח הציבורי השמור. אם הבדיקה עוברת, נכנסים למערכת; לא מוחלפים סודות ואין מה לפשוש.

אחסון מאובטח וקישור למכשיר עבור passkeys

אבטחה מגובת חומרה: passkeys ואישורי FIDO2 מאוחסנים לעיתים קרובות בחומרה מאובטחת ייעודית, כמו Trusted Platform Modules (TPM), Secure Enclave (של Apple) או שבב Titan M (של Google). הדבר מפריד את המפתחות משאר המכשיר, ומקשה מאוד על התקפות.
אימות ביומטרי או PIN: כדי להשתמש ב-passkey, יש לפתוח אותו, בדרך כלל באמצעות שיטה ביומטרית או PIN של המכשיר. הנתונים הביומטריים עצמם לעולם אינם יוצאים מהחומרה ואינם נשלחים לשירות המקוון, וכך פרטי הזיהוי שלכם נשארים פרטיים.
קישור למכשיר: זוג המפתחות הקריפטוגרפי קשור למכשיר הפיזי שלכם, ולא רק לחשבון המקוון. המשמעות היא שתוקף שמנסה להיכנס חייב לפרוץ את המכשיר שלכם ולעקוף את ההגנות המקומיות.
הגנות על ייצוא וסנכרון של אישורים: בפלטפורמות שמסנכרנות passkeys בין מכשירים (כמו iCloud Keychain או Google Password Manager), האישורים מוצפנים מקצה לקצה. רק המכשירים שלכם, לאחר אימות מתאים, יכולים לקרוא או להשתמש ב-passkeys.
אבטחת מחזור החיים: מכשירים יכולים למחוק באופן מאובטח פרטי גישה כשמאפסים או מפנים אותם משימוש. ארגונים יכולים לאכוף גישה מותנית וממשל באמצעות פתרונות כמו Microsoft Entra ID ו-Conditional Access policies, כדי לשלוט בשימוש בפרטי הגישה ולטפל בפריצות.

השוואה בין מפתחות גישה מסונכרנים לפתרונות קשורים לתוכנה

לא כל מפתחות הגישה (passkeys) שווים. ברגע שמגדירים אימות ללא סיסמה, מבחינים במהרה בהבדלים באופן ניהול פרטי הגישה – בעיקר בשאלה אם הם מסונכרנים בין המכשירים דרך הענן, או נעולים למכשיר יחיד. לבחירות הארכיטקטוניות האלה יש השלכות ממשיות על השימושיות ועל הסיכון.

מפתחות גישה מסונכרנים, כמו אלה שמקבלים מ-iCloud Keychain במכשירי Apple או מ-Google Password Manager באנדרואיד, מאפשרים לגשת לחשבונות מטלפונים, טאבלטים ומחשבים – לעתים בנוחות רבה. אבל לכך יש גם פשרות משלה בתחומי האבטחה והאמינות, במיוחד בכל הנוגע לחשיפה אפשרית אם ספק הענן ייפרץ או אם הקישור לסנכרון ייפגע.

מנגד, מפתחות גישה קשורים לתוכנה נשארים כולם על מכשיר יחיד. אם רוצים לעבור למכשיר חדש, צריך להעביר או לרשום מחדש את המפתחות באופן ידני – לפעמים מדובר בהטרדה קטנה, ולפעמים בגורם מכריע עבור ארגונים שמנהלים אלפי משתמשים ושדרוגי מכשירים ללא התערבות.

בהמשך נפרט מדוע לשני המודלים יש משמעות, אילו סיכונים כל גישה מביאה איתה, וכיצד לבחור את המתאימה לסביבה שלכם – בין אם מדובר בהגנה על חשבונות אישיים ובין אם בהטמעת אימות ללא סיסמה לכל הארגון.

מפתחות גישה מסונכרנים בין מכשירים: יתרונות וסיכונים

נוחות בין מכשירים: מפתחות גישה מסונכרנים (כמו אלה של iCloud או Google Password Manager) מאפשרים להתחבר מכל מכשיר במערכת האקולוגית באופן מיידי, ויוצרים חוויה חלקה בין טלפונים, טאבלטים ומחשבים נייד.
שחזור אוטומטי: איבדתם מכשיר? מפתחות הגישה שלכם עדיין בטוחים וניתנים לשחזור ממכשיר מהימן אחר, מה שמפחית מצבי נעילה ועומס על התמיכה.
סיכונים שנובעים מתלות בענן: מכיוון שפרטי הגישה עוברים דרך הענן – גם כשהם מוצפנים – קיים סיכון מוגבר אם ספק הסנכרון ייפרץ או יחווה השבתות, וכך אבטחת המערכת תלויה בצד שלישי.
גדרות מערכתיות סגורות: סנכרון פועל בדרך כלל הכי טוב בתוך אותה מערכת אקולוגית – למשל מכשירי Apple בלבד או Google בלבד – ויוצר חיכוך כשמשתמשים עוברים בין iOS, Android, Windows או macOS.

מפתחות גישה קשורים לתוכנה ופשרות הסנכרון בין מכשירים

אבטחה מקומית בלבד: מפתחות אלה קשורים בחוזקה למכשיר יחיד, כלומר אף ענן של צד שלישי לא יכול לחשוף אותם אם ייפרץ – אידיאלי לסביבות שדורשות בידוד מחמיר יותר.
ניידות מוגבלת: אם מחליפים מכשיר, צריך לייצא, להעביר או לאפס את מפתחות הגישה באופן ידני. זה מוסיף עומס, אך יכול לצמצם את משטח התקיפה.
שחזור מאתגר: אם המכשיר אובד או מתקלקל, כך גם מפתחות הגישה המקומיים שלו. חשוב לתכנן גיבוי מאובטח או נהלי שחזור ברורים כדי להימנע מנעילות קבועות.
התאמה לשימוש: ארגונים עם דרישות אמינות גבוהה או רגולציה מחמירה (למשל בתחומי הפיננסים או הממשל) מעדיפים לרוב שיטה זו לחשבונות מיוחסים ולמערכות רגישות, למרות המאמץ התפעולי הנוסף.

מפתחות אבטחה חומרתיים ומאמתים חיצוניים: הסבר

מפתחות אבטחה חומרתיים הם התקנים פיזיים ייעודיים המשמשים לאימות ללא סיסמה עם FIDO2 ומערכות מפתחות גישה. הם מגיעים במגוון צורות – בדרך כלל כמתאמי USB, NFC או Bluetooth – ונישאים על מחזיק מפתחות או נשמרים ליד תחנת העבודה. דגמים נפוצים כוללים את YubiKey, SoloKey ו-Feitian.

מה שמבדיל מפתחות אבטחה חומרתיים הוא תכנון העמידות שלהם בפני התערבות. המפתחות הקריפטוגרפיים (המפתחות הפרטיים) נוצרים בתוך ההתקן ואינם יוצאים ממנו לעולם, גם אם המחשב או הטלפון המחובר נפרצו. זה הופך אותם לעמידים מאוד בפני התקפות דיוג ותוכנות זדוניות, ולכן מעדיפים אותם לחשבוני מנהל, root או חשבונות בעלי ערך גבוה.

בניגוד לפאסקיז קשורים לפלטפורמה, מפתחות חומרה מסתמכים על תקנים תעשייתיים כמו Client to Authenticator Protocol (CTAP) לתקשורת עם מכשירים וממשקי דפדפן (כמו WebAuthn). המשמעות היא שניתן להשתמש בהם בדרך כלל במערכות רבות, ואינם קשורים לפלטפורמות של Apple, Google או Microsoft, בתנאי שהאפליקציה היעד תומכת ב-FIDO2.

בסביבות מסוימות, במיוחד בענפים מפוקחים או בעלי סיכון גבוה, ייתכן שיידרש שימוש במפתחות כאלה לצורכי ציות או לשם עמידה ברמת האבטחה AAL3 (הרמה הגבוהה ביותר לפי NIST SP 800-63B). אמנם הם פחות נוחים משפאסקיז המסונכרנים בין כל המכשירים שלכם, אך הם מספקים אבטחה ברמה הגבוהה ביותר לתפקידים שבהם פריצה פשוט אינה אפשרות.

מחזור החיים של האישורים ואבטחה בכל שלב

המעבר ל-FIDO2 ולפאסקיז אינו עניין של מסכי כניסה טובים יותר בלבד, אלא של חיזוק האבטחה לאורך כל מחזור החיים של האישור. כל שלב, מהרגע שבו נוצר פאסקי ועד לשימוש בו, אחסונו או ביטולו, מציב אתגרים ומשטחי תקיפה שונים.

הבנת מחזור החיים הזה עוזרת לארגונים לזהות היכן לרכז את בקרות האבטחה והממשל. לדוגמה, יצירת אישורים דורשת אימות מקור (attestation) וקישור חזק למכשיר, ואילו השימוש השוטף חייב להיות מנוטר לניסיונות фишינג או לפריצה למכשיר. אחסון וגיבוי, שתמיד היו נקודת תורפה בסיסמאות, יכולים להפוך לחוזק באמצעות אישורים קשורים למכשיר באופן מאובטח או הצפנת ענן חזקה.

ניהול מחזור החיים כולל גם את הצד הפחות זוהר אך הקריטי: החלפה, ביטול ושחזור חשבון. שמירה על שליטה במי מחזיק באילו מפתחות, הבטחת ניקוי מסודר כשעובדים עוזבים, ויכולת להגיב לאובדן מכשירים או לפריצה בלי לפגוע בפרודוקטיביות, הם כולם חלק מספר המשחקים של ארגון חכם ללא סיסמאות.

בסביבות Microsoft, שילוב של נוהלי מחזור חיים חזקים לאישורים משתלב ישירות עם ממשל נתונים ואסטרטגיות גישה רחבות, כפי שמופיע במשאבים כמו Microsoft 365 Data Access Governance, שבהם בעלות, אחריותיות ותהליכי סקירה חיוניים לשיתוף פעולה מאובטח.

יצירת אישורים, תקיפות וניהול מצבים

יצירה מאובטחת: יש ליצור תמיד אישורי FIDO2 באחסון מפתחות מגובה חומרה, עם אימות מקור (attestation) חזק כדי להבטיח שהמכשיר מקורי ואותנטי.
עמידות ל-фишינג: תהליכי אימות של פאסקי ו-FIDO2 עמידים מטבעם ל-фишינג, שכן סודות אינם מועברים וכל אתגר חתימה הוא ייחודי לכל הפעלה.
התקפות Replay ו-MITM: אתגרים קריפטוגרפיים ייחודיים וחד-פעמיים מונעים מתוקפים לשדר מחדש תשובות שיירטו או לבצע התקפות של איש-באמצע.
ניהול מצבים: יש לבדוק באופן קבוע את מצב האישורים, לבטל מפתחות שאינם בשימוש או שנפרצו, ולנהל מלאי מעודכן, במיוחד עבור חשבונות מיוחסים או חשבונות עם גישה רחבה.

שחזור אישורים, ביטול ומגבלות

אין מערכת מושלמת: גם הפאסקיז ומפתחות האבטחה החזקים ביותר עלולים לאבוד, להיגנב או להישבר. תכנון של שחזור וביטול אישורים הוא חיוני, במיוחד אם אתם מעבירים את הצוות או הארגון לאימות ללא סיסמאות בהיקף גדול.

כאשר פאסקי או אישור FIDO2 אובד, אפשרויות השחזור תלויות באופן הניהול שלו. עבור פאסקיז מסונכרנים (כמו iCloud Keychain של Apple או Google Password Manager), בדרך כלל ניתן לשחזר את האישורים למכשיר חדש לאחר שעוברים אימות ברמת המכשיר ושלבי שחזור. זה ממזער השבתה, אך מעמיד את האמון במנגנוני האבטחה והשחזור של ספק הענן.

מפתחות אבטחה מוסיפים שכבת מורכבות: אובדן מפתח חומרה משמעו שחייבים שיהיו מפתחות גיבוי רשומים או נהלי עקיפה מנהלתיים מוגדרים. אחרת, ייתכן שתינעלו לחלוטין. הביטול מתבצע בצד השרת: לאחר שמדווחים על מפתח כאבוד, המפתח הציבורי מוסר מהפרופיל, וכך האישור האבוד הופך לחסר תועלת.

מנגד, הסתמכות יתר על תכונות גיבוי ושחזור עלולה לערער את האבטחה. יש לחזק את תהליכי השחזור נגד הנדסה חברתית ואיומים מבפנים. סקירות תכופות ואוטומציה באמצעות כלים כמו Microsoft Purview Audit יכולים לעזור לארגונים לנטר את השימוש באישורים, אירועי ביטול וסיכונים פוטנציאליים לציות או לצורכי חקירה משפטית.

בסופו של דבר, בחירת אסטרטגיה לשחזור וביטול גישה היא איזון בין נוחות למשתמש לבין בקרות חזקות—אין פתרון אחד שמתאים לכולם. מיפוי תרחישי אובדן מכשיר ופריסת פתרונות לשחזור חשבון מדורג הם הכרחיים לכל פריסה רצינית של אימות ללא סיסמה.

Passkeys מול מפתחות אבטחה: איך בוחרים באפשרות הנכונה

כשמגיע הרגע להחליט, הבחירה בין passkeys למפתחות אבטחה חומרתיים תלויה במקרה השימוש שלכם, בצרכי הנוחות של המשתמשים ובסביבת האיומים. לשתי האפשרויות יש בסיס משותף—פרוטוקולי FIDO2 וקריפטוגרפיית מפתח ציבורי—אבל הן מתנהגות בצורה שונה מאוד ביומיום.

Passkeys מצטיינים בסביבות שבהן המשתמשים צריכים גישה חלקה על פני מספר מכשירים—למשל משתמשי קצה עם טלפונים, טאבלטים, מחשבים נייד ואפליקציות ענן כמו Microsoft 365. החוזק שלהם הוא בשימושיות: פותחים את המכשיר ונכנסים למערכת, גם בין מגוון של מכשירים אישיים או ארגוניים.

מפתחות אבטחה, לעומת זאת, מספקים את רמת האבטחה הגבוהה ביותר—קריטי למנהלים, למשתמשים עם הרשאות מיוחדות, או לכל מי שאינו יכול להרשות לעצמו סיכון לפרצה. הניידות שלהם הופכת אותם לאידיאליים לתרחישים שבהם צריך לאמת זהות ממערכות לא מנוהלות או ממחשבים ציבוריים. החיסרון: אם שוכחים לקחת אותם, מאבדים אותם או שוברים אותם, שחזור הגישה עלול להיות מסורבל יותר.

בהקשרים מפוקחים ובסיכון גבוה, שילוב מפתחות אבטחה בגישת Zero Trust (כפי שמפורט ב-Zero Trust for Microsoft 365) מבטיח אימות רציף שעומד בקצב של מודלי איומים משתנים במהירות, ובו זמנית מצמצם את החיכוך למשתמש.

יישומים לארגונים ולתעשיות מפוקחות: 1Kosmos 1Key ומעבר לו

1Kosmos 1Key לאימות ברמת ביטחון גבוהה: הפתרון מספק אימות ללא סיסמה התואם ל-FIDO2, שתוכנן לעמוד בדרישות AAL3 המחמירות של NIST SP 800-63B. הוא משלב הוכחת זהות ביומטרית, אמון במכשיר וגורמי אימות דינמיים עבור משתמשים מורשים וחשבונות בסיכון גבוה.
שילוב ארגוני מתקדם: 1Key משתלב בצורה חלקה בפלטפורמות העסקיות של Microsoft, ומאוטמט הקצאת זהויות, ניהול מחזור חיים של הגישה וביטול גישה לפריסות ענן מתרחבות.
התאמה רגולטורית: הפלטפורמה תומכת במיפויי התאמה מוכנים לשימוש לתעשיות מפוקחות—פיננסים, בריאות וממשל—ומאפשרת אימות זהות, רישום מתועד חזק ונתיבי ביקורת העומדים בדרישות דיווח מחמירות.
גישה מאובטחת לאזרחים ולעובדים: ארגונים שמפעילים אפליקציות ענן או פורטלים המיועדים לאזרחים מקבלים גישה ללא סיסמה, תוך שמירה על הוכחת זהות וממשל. כך מצטמצם העומס התפעולי הנובע מאובדן אישורי כניסה ומאיפוסי סיסמה.
סינרגיה בין Power Platform לממשל: שילוב פתרונות כמו 1Key במסגרות ממשל רחבות יותר (כפי שנדון ב-Power Platform governance best practices) מסייע ליישר את האבטחה המבוססת זהות עם מדיניות ארגונית לנתונים, למחברים ולסביבות.

שיפור חוויית המשתמש ואימות על פני מספר מכשירים

אם יש דבר אחד שמשתמשים ומנהלי IT מסכימים עליו, זה שסיסמאות הן סיוט. Passkeys נועדו לפתור את זה על ידי הפיכת הכניסה לפשוטה, אינטואיטיבית ופחות מלחיצה—במיוחד על פני מספר מכשירים ופלטפורמות ענן. עם passkeys אין צורך לזכור ביטויים מורכבים או לאפס סיסמאות אחרי כל קמפיין "מודעות אבטחה" רבעוני.

יתרון גדול של passkeys הוא אימות על פני מספר מכשירים. לאחר ששמורים ברשימת המפתחות של החשבון (של Apple, Google או Microsoft), מתקבלות כניסות כמעט מיידיות על מכשירים המקושרים לאותה מערכת אקולוגית. אישור כניסה באמצעות סריקת פנים או טביעת אצבע לא רק מאיץ את התהליך, אלא גם מפחית משמעותית את החיכוך עבור משתמשים שעוברים בין מכשירים ומיקומים.

מנקודת מבט של אימוץ, הפחתת החיכוך היא העיקר. צוותי IT רבים חוששים מתגובה שלילית למדיניות סיסמאות מחמירה או מזינוק בפניות לתמיכה בשל נעילות חשבון. Passkeys מצמצמים את הבעיה הזו—משתמשים לא מתמודדים עם סיסמאות, עייפות מכניסות חוזרות או מלולאות איפוס. מחסומי אימוץ נוטים להיות קשורים יותר לתאימות בין מערכות אקולוגיות או להגדרה הראשונית של המכשיר, ושניהם משתפרים במהירות.

ארגונים חכמים מתעדפים את אסטרטגיות ההטמעה על ידי פיילוט של passkeys עם צוותים קטנים, איסוף משוב והפעלה אוטומטית של רישום מכשירים. כך התהליך נשאר יציב וידידותי למשתמש, מבלי לוותר על אבטחה.

שאלות נפוצות, מפתחות אבטחה לעומת Passkeys, ובטיחות בגישה מרחוק

האם passkeys ומפתחות אבטחה הם אותו דבר? לא בדיוק. Passkeys הם אישורי FIDO2 דיגיטליים שמנוהלים על ידי המכשיר או הענן שלכם; מפתחות אבטחה הם התקנים פיזיים שמחברים או מצמידים כדי לאמת זהות. שניהם מתבססים על אותו בסיס קריפטוגרפי.
האם אפשר להשתמש ב-passkeys במכשירי Apple, Google ו-Windows? במידה מסוימת. Passkeys מסונכרנים עובדים הכי טוב בתוך אקוסיסטם אחד. תמיכה חוצת פלטפורמות קיימת, אך היא עלולה להיות לא אחידה, והתאימות של הדפדפנים לתכונות FIDO2 משתנה.
האם אפשר לגנוב את ה-passkey שלי מרחוק? אלא אם המכשיר שלכם (וחשבון הענן לגיבוי שלו) נפרץ, גניבה מרחוק של passkeys בלתי סבירה מאוד. המפתחות עצמם אינם יוצאים מהמכשיר בלי להיות מוצפנים.
האם passkeys בטוחים לעבודה מרחוק ולגישה לענן? כן, בתנאי שהם משולבים עם מדיניות מכשירים וכלים כמו Microsoft Defender ו-Purview. Passkeys מספקים אימות מרחוק חזק, ומפחיתים משמעותית את הסיכון להתחזות באמצעות פישינג, תוכנות זדוניות וגניבת זהות.
האם מנהלי סיסמאות יכולים לאחסן passkeys? גרסאות חדשות של מנהלים כמו 1Password, iCloud Keychain ו-Google Password Manager כבר תומכים ב-passkeys. עם זאת, יש לבדוק תמיד התאימות ותמיכה ב-FIDO2/WebAuthn בעת השילוב בתהליך הזהות שלכם.

סיכום, השוואת אבטחה והמלצות סופיות

עיקר ביטחוני: גם passkeys וגם אישורי FIDO2 מבטלים סיסמאות ואת החולשות הכרוכות בהן. Passkeys מנצחים בשמישות עבור רוב המשתמשים, ואילו מפתחות אבטחה חומרתיים עדיין שולטים בתרחישים שדורשים רמת ביטחון גבוהה.
שמישות לעומת ניידות: Passkeys מסונכרנים מציעים כניסה חלקה ממספר מכשירים, ומתאימים היטב למשתמש הממוצע או לצי מכשירים ארגוני. מפתחות חומרה מספקים ניידות, אך דורשים לשאת איתכם אסימון פיזי.
אסטרטגיית פריסה: בסביבות מפוקחות, יש ליישם אבטחה רב-שכבתית: לשלב passkeys למשתמשים כלליים, מפתחות אבטחה למנהלים, ופתרונות ארגוניים כמו 1Kosmos 1Key עבור תהליכי עבודה התואמים ל-AAL3.
מחזור חיים ושחזור: יש לתכנן תהליכי שחזור וביטול לפני המעבר. גיבויים וביקורות (ראו Governance for AI and access control) חיוניים כדי למנוע השבתה או סטייה מהתאמה לרגולציה.
הערכה לעתיד: יש לעקוב אחר התקנים המתפתחים לצורך פעולה הדדית ותאימות, במיוחד בסביבות Microsoft 365 ו-Azure, כדי להישאר צעד לפני איומי זהות ואיומים חדשים.

צעדים הבאים ולימוד נוסף על אבטחת זהות

תיעוד של Microsoft: עיינו בתיעוד הרשמי בנושא FIDO2, passkeys ופריסה ללא סיסמאות ב-Microsoft 365 וב-Azure.
פודקאסטים על אבטחת זהות: האזינו לדיונים מעשיים על ביקורת וממשל ב-M365.fm: Auditing User Activity with Microsoft Purview.
מדריכים טכניים: קראו מדריכים טכניים על הגדרה ופתרון תקלות של אימות FIDO2 ו-passkeys בהיקף ארגוני רחב.
שיטות עבודה מומלצות לתאימות: לימדו את NIST SP 800-63B וראו כיצד פתרונות ללא סיסמאות מובילים מתיישרים עם רמות הביטחון (IAL, AAL).
פורומים קהילתיים: הצטרפו לפורומים על אבטחה, Microsoft 365 וניהול זהויות כדי לשאול שאלות ולשתף טיפים מיישומים בעולם האמיתי עם עמיתים.

🎧 כדאי גם להאזין ל

ממשל זהויות ב-Microsoft Entra
למדו על שליטה מעשית בבעלות ובגישה ב-Microsoft 365.
מודל התפעול לממשל של Microsoft 365
גלו את ההחלטות שהופכות אימוץ טכנולוגי לבר-קיימא.
סוכני AI – בפשטות
הבינו את הרקע לממשל עבודה בסיוע בינה מלאכותית.

מפתחות גישה לעומת FIDO2: הנחיות מעשיות לארגונים

מפתחות גישה (Passkeys) ומפתחות אבטחה מסוג FIDO2 מספקים שניהם אימות העמיד בפני הונאות דיוג, אך הם מציעים פשרות שונות בנושאי ניידות, שחזור, שליטה במכשיר וחוויית משתמש. פריסה מוצלחת מגדירה את מודל האישורים, את מסע הרישום, את תהליך השחזור, את הדרישות למשתמשים מורשי־על ואת החריגים ליישומים מדור קודם.

רשימת בדיקה ליישום

בצעו מלאי של ספקי זהויות, דפדפנים, מכשירים ויישומים נתמכים.
בחרו אישורים מסונכרנים או אישורים קשורים למכשיר עבור כל פרופיל סיכון.
רשמו מספר מאמתים לפני האכיפה.
הגנו על תהליכי השחזור ועל אימות בקשות לתמיכה טכנית.
הריצו פיילוט למשתמשים מורשי־על ומדדו כשלים לפני פריסה רחבה.

טעויות נפוצות

אכיפת כניסה ללא סיסמה ללא נתיב שחזור.
הנחה שכל דפדפן ויישום מדור קודם תומכים באותו אישור.
מתן אפשרות למאמתים משותפים, דבר שמחליש את יכולת הנהגת הדין והחשבון.
התעלמות מניהול מחזור החיים של המכשיר ומנהלי אובדן מאמת.

שאלות נפוצות

מהו מפתח גישה (Passkey)?

מפתח גישה הוא אישור FIDO המשתמש בהצפנת מפתח ציבורי ונפתח באמצעות אימות במכשיר, נתון ביומטרי או קוד PIN מקומי.

מהו FIDO2?

FIDO2 הוא תקן אימות שנבנה סביב WebAuthn ו־Client to Authenticator Protocol, ומאפשר כניסה העמידה בפני הונאות דיוג.

האם מפתחות גישה ו־FIDO2 הם אותו דבר?

מפתחות גישה הם חוויית אישור ידידותית למשתמש המבוססת על תקני FIDO. FIDO2 מתאר את המערכת הטכנולוגית הרחבה יותר ואת פרוטוקולי האימות.

האם מפתחות גישה בטוחים יותר מסיסמאות?

כן. מפתחות גישה משתמשים בהצפנת מפתח ציבורי הקשורה למקור האתר, כך שאתר אינו יכול לקבל סוד הניתן לשימוש חוזר שתוקפים יכולים לגנוב או לשחזר.

האם מפתחות גישה עמידים בפני הונאות דיוג?

כן, בתנאי שהם מיושמים כראוי. האישור קשור למקור האתר הלגיטימי ואינו חושף סיסמה לדף הונאה.

האם YubiKey הוא מפתח גישה מסוג FIDO2?

YubiKey יכול לאחסן אישורי FIDO2 ולשמש כמפתח אבטחה. האם הוא נקרא מפתח גישה תלוי באישור ובמינוח של המוצר.

האם מפתחות גישה בטוחים יותר מ־YubiKey?

אף אחד מהם אינו בטוח יותר בכל מקרה. מפתחות גישה מסונכרנים משפרים שחזור ושימושיות, בעוד שמפתחות הקשורים לחומרה מספקים שליטה חזקה במכשיר והפרדה טובה יותר.

מהו מפתח גישה מסונכרן?

מפתח גישה מסונכרן מגובה באמצעות מנהל אישורים מאושר או באמצעות מערכת פלטפורמה, כך שניתן להשתמש בו במספר מכשירים.

מהו מפתח גישה הקשור למכשיר?

מפתח גישה הקשור למכשיר נשאר על מאמת או מכשיר יחיד ואינו מסונכרן לפלטפורמה אחרת.

האם FIDO2 מחליף לחלוטין סיסמאות?

הוא יכול להחליף סיסמאות ביישומים הנתמכים, אך לארגונים עדיין נדרשות אסטרטגיות לשחזור, לאימות מדור קודם ולניהול מחזור חיי החשבון.

האם Microsoft Entra ID תומך במפתחות גישה?

Microsoft Entra ID תומך במפתחות אבטחה מסוג FIDO2 ובאפשרויות אימות הקשורות למפתחות גישה, בכפוף להגדרות הדייר ליכולות השירות הנוכחיות.

מה הקשר בין WebAuthn למפתחות גישה?

WebAuthn הוא ממשק התכנות של הדפדפן והפלטפורמה, המאפשר לאתרים וספקי זהויות ליצור ולהשתמש באישורים מבוססי מפתח ציבורי.

מה קורה אם משתמש מאבד את מכשיר מפתח הגישה?

המשתמש זקוק למאמת רשום נוסף או לשיטת שחזור מאושרת. ארגונים צריכים לרשום מספר מאמתים לפני אכיפת גישה ללא סיסמה.

האם ניתן להשתמש במפתחות גישה במספר מכשירים?

מפתחות גישה מסונכרנים יכולים להיות זמינים בכל המכשירים הנתמכים, ואילו אישורים הקשורים למכשיר דורשים רישום בכל מאמת בנפרד.

האם ניתן לשתף מפתחות גישה בין משתמשים?

לא. אישורים צריכים לייצג אדם אחד או זהות עומס עבודה מאושרת. מאמתים משותפים מחלישים את יכולת הנהגת הדין והחשבון.

האם מפתחות גישה מגינים מפני שידור חוזר של אישורים?

כן. המפתח הפרטי נשאר על המאמת, וכל אימות כולל אתגר (challenge) שמונע שידור חוזר פשוט.

האם ניתן לגנוב מפתח גישה?

תוקף עשוי לגנוב מכשיר, אך האישור מוגן בדרך כלל על ידי גורם ביטול נעילה מקומי ואינו חושף סיסמה הניתנת לשימוש חוזר.

מהי כניסה ללא סיסמה?

אימות ללא סיסמה מזהה משתמש באמצעות מאמת קריפטוגרפי, נתונים ביומטריים, קוד PIN או מפתח אבטחה, במקום סיסמה שנשמרה בזיכרון.

מהם החסרונות של מפתחות גישה?

האתגרים כוללים שחזור, פעולה הדדית בין פלטפורמות, תרחישים של מכשיר משותף, יישומים מדור קודם והבנת המשתמשים במהלך הפריסה.

כיצד ארגונים צריכים לטפל בשחזור מפתחות גישה?

דרשו מספר מאמתים, הגדירו אימות בתמיכה טכנית, הגנו על שיטות השחזור ונטרו אירועי רישום ואיפוס.

האם מפתחות גישה יכולים לעבוד עם מכשירים ניידים?

כן. מערכות הפעלה נייד נתמכות יכולות ליצור או להשתמש במפתחות גישה (passkeys) באמצעות מאמתי פלטפורמה או מפתחות אבטחה חיצוניים.

האם מפתחות גישה יכולים לעבוד בין דפדפנים שונים?

התמיכה תלויה בדפדפן, במערכת ההפעלה, בספק הזהויות ובסוג ההרשאות. בדקו את מסלולי העבודה של המשתמשים היעדים לפני ההטמעה.

האם מפתחות גישה מתאימים למנהלים?

כן. יש להם ערך רב במיוחד עבור משתמשים בעלי הרשאות מיוחדות, שצריכים להשתמש באימות עמיד בפני פישינג ובזהויות ניהול נפרדות.

איך מפתחות גישה משפיעים על גישה מותנית?

הם יכולים לעמוד בדרישות של אימות חזק כאשר ספק הזהויות מזהה את המאמת ותנאי המדיניות מתקיימים.

איך כדאי לפרוס מפתחות גישה?

התחילו עם משתמשים בעלי הרשאות מיוחדות ובסיכון גבוה, הגדירו שחזור, בצעו פיילוט עם מכשירים מייצגים, ולאחר מכן הרחיבו את הפריסה תוך מעקב אחר נתוני רישום ותמיכה.

מה כדאי לנטר לאחר הפריסה?

נטרו רישום, כשלי אימות, אירועי שחזור, עקיפות מדיניות, נפח פניות לשולחן העזרה וסיכוני כניסה.

האם מפתחות גישה מבטלים את MFA?

מפתח גישה יכול לספק חוויית אימות רב-שלבי עמידה בפני פישינג, כאשר הוא משלב החזקה במאמת עם גורם פתיחה מקומי.

האם מפתחות גישה יכולים להגן על חשבונות שירות?

מפתחות גישה של אנשים אינם תחליף לזהות עומסי עבודה. לשירותים השתמשו בזהויות מנוהלות, בתעודות או בפרטי גישה לא-אנושיים מתאימים אחרים.

מהו היתרון הארגוני העיקרי?

היתרון העיקרי הוא הפחתת הסיכון לפישינג ולאיפוס סיסמאות, תוך שיפור אבטחת הכניסה וחוויית המשתמש.

מהו שלב ההטמעה הראשון?

בצעו מלאי של אפליקציות ומשתמשים, ודאו תמיכה של ספק הזהויות, הגדירו שחזור, והריצו פיילוט בקבוצה קטנה לפני אכיפת כניסה ללא סיסמה.

גלו משאבים נוספים הקשורים ל-M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist, ו-Microsoft Copilot security model.