מניעת התחזות באמצעות Face Check ואימות זהות ברמת ביטחון גבוהה

By Mirko Peters · 2026-08-13

ברוכים השבים להעמקה המתמשכת שלנו באבטחת זהות מודרנית, בפרודוקטיביות ובנוף המתפתח של אמון דיגיטלי. אם אתם מנהלים משתמשים, מאבטחים מדיניות גישה או מטפלים בפעולות ניהול בענן, אתם כבר יודעים שהגנות היקף מסורתיות אינן מספיקות עוד. סיסמאות, אפליקציות אימות ואפילו מפתחות גישה (passkeys) חסינים להונאה עונים בעיקר על שאלה בסיסית אחת: האם האדם שמול המקלדת שולט בשיטת ההתחברות שהוקצתה לו? זה הכרחי, אבל הוא מש

Automatically translated with AI from the original post. Read the English original

ברוכים השבים להעמקה המתמשכת שלנו באבטחת זהות מודרנית, בפרודוקטיביות ובנוף המתפתח של אמון דיגיטלי. אם אתם מנהלים משתמשים, מאבטחים מדיניות גישה או מטפלים בפעולות ניהול בענן, אתם כבר יודעים שהגנות היקף מסורתיות אינן מספיקות עוד. סיסמאות, אפליקציות אימות ואפילו מפתחות גישה (passkeys) חסינים להונאה עונים בעיקר על שאלה בסיסית אחת: האם האדם שמול המקלדת שולט בשיטת ההתחברות שהוקצתה לו? זה הכרחי, אבל הוא משאיר נקודה עיוורת גדולה. ידיעה שמישהו מחזיק בסיסמה תקפה או במכשיר תקף לא מוכיחה את זהותו בעולם האמיתי, וגם לא מבטיחה שהוא מורשה לגשת לנכסים ארגוניים בעלי ערך גבוה.

ככל שפושעי הסייבר מנצלים בינה מלאכותית מתקדמת, דיפ-פייק וקמפיינים מתוחכמים של הנדסה חברתית, הסיכונים באימות זהות מעולם לא היו גבוהים יותר. סביבות עבודה מרחוק ומודלים עסקיים דיגיטליים מחייבים ארגונים לוודא, בוודאות מלאה, מי נמצא בצד השני של המסך. כאן נכנסות מסגרות מתקדמות לאימות זהות. בפוסט הזה אנחנו מרחיבים את הדיונים האחרונים שלנו ובודקים כיצד טכנולוגיות חדשניות כמו Face Check, המשולבת בארכיטקטורות זהות מבוזרות, משנות את כללי המשחק. אם נהניתם מההעמקה הזו, כדאי לכם לצפות גם בפרק הפודקאסט הקשור, Microsoft Entra Verified ID - Simply Explained, להדרכה קולית מרתקת על המושגים המרכזיים האלה.

מבוא לאתגרי אימות הזהות המודרניים

במשך עשרות שנים ארגונים הסתמכו על מסמכים פיזיים, צילומים, רישיונות נהיגה וסריקות של דרכונים כדי לאמת זהויות בתהליכי קליטה או בשחזור חשבונות. במודל עבודה מרחוק או היברידי, ההסתמכות על מסמכים סטטיים יוצרת פגיעויות משמעותיות. עובדים, קבלני משנה ושותפים שולחים לעיתים קרובות קבצי PDF רגישים בדוא"ל או מעלים סריקות באיכות גבוהה דרך ערוצים לא מאובטחים. ברגע שהמסמכים האלה נמצאים בתנועה או מאוחסנים במסדי נתונים רגילים, הם הופכים ליעד מועדף לפריצות לנתונים ולגניבת זהות.

יתרה מזאת, אימות מסמכים ידני הוא איטי ונוטה לטעויות אנוש. טכנאי תמיכה עייף או איש משאבי אנוש עלול בקלות לפספס זיופים עדינים, טקסט ששונה או תמונות שעברו מניפולציה בתעודה שהוגשה. התוקפים מודעים לכך ומנצלים באופן שגרתי את החיכוך בקליטה מרחוק. הם יוצרים זהויות סינתטיות או מתחזים לעובדים לגיטימיים כדי לקבל אחיזה ראשונית ברשתות הארגוניות. לאחר שנכנסו, הם מעלים הרשאות, מיירטים עסקאות כספיות או מוציאים החוצה קניין רוחני רגיש. אימות רב-שלבי מסורתי לא יכול לעצור את המתקפות האלה, משום שהתוקף עובר בהצלחה את אתגר האישורים הראשוני באמצעות גניבת מכשיר או מניפולציה של המאמת האנושי. אבטחה מודרנית דורשת מעבר מהניירת הסטטית לאימות זהות דיגיטלי קריפטוגרפי ברמת ביטחון גבוהה.

הבנת Microsoft Entra Verified ID ומודל האמון

כדי לפתור את החולשות המובנות באימות זהות מסורתי, התעשייה אימצה תקני זהות מבוזרים. Microsoft Entra Verified ID מייצג קפיצה משמעותית קדימה בתחום הזה, ומאפשר לארגונים להנפיק, לאחסן ולאמת אישורים דיגיטליים המבוססים על תקנים פתוחים. במקום להתמודד עם מסמכים פיזיים או קובצי צירוף לא מאובטחים, ארגונים מהימנים מנפיקים אישורים חתומים דיגיטלית, שהאנשים שומרים בצורה מאובטחת בארנק הדיגיטלי שלהם, בדרך כלל בתוך אפליקציית Microsoft Authenticator.

כל מערכת אקולוגית של Verified ID פועלת על בסיס מודל אמון תלת-צדדי איתן, הכולל את המנפיק, המחזיק והמאמת:

• המנפיק: ישות מהימנה, כגון מעסיק, מוסד לימודי או רשות ממשלתית, שמאמתת טענות וחותמת קריפטוגרפית על אישור דיגיטלי.
• המחזיק: האדם שמקבל, שומר ושומר על השליטה באישור הדיגיטלי שלו בתוך אפליקציית ארנק מאובטחת במכשיר הנייד שלו.
• המאמת: ארגון שמבקש מבעל הזהות טענות ספציפיות וממוקדות כדי לקבל החלטה עסקית, כגון מתן גישה לאפליקציה, אישור עסקה או אימות זהות במהלך שחזור חשבון.

ארכיטקטורה מבוזרת זו משנה את פרטיות המידע. במקום לשתף מסמך זהות שלם שמכיל מידע אישי רגיש, כמו כתובת מגורים, תאריך לידה או מספר זהות, בעל הזהות יכול לחשוף באופן סלקטיבי רק את הטענות הנדרשות לאינטראקציה. מצד שני, המאמתים יכולים לאמת קריפטוגרפית את אותנטיות האישור, לוודא שהונפק על ידי מנפיק מהימן, לבדוק את תאריכי התפוגה ולאמת את מצב הביטול באופן מיידי, בלי לבצע שיחות טלפון ידניות או לשלוח מיילי אישור.

העמקה בטכנולוגיית Face Check

אישורים דיגיטליים מספקים הוכחה קריפטוגרפית חזקה לכך שאישור הונפק לאדם מסוים, אך בתרחישים בסיכון גבוה נדרשת שכבת ביטחון נוספת. איך המאמת יודע שהאדם שמציג את האישור בטלפון שלו הוא אכן הבעלים של האישור, ולא משתמש לא מורשה שקיבל גישה למכשיר? כאן טכנולוגיית Face Check במסגרת Microsoft Entra Verified ID הופכת לפורצת דרך.

Face Check נועדה לגשר על הפער בין אישורים דיגיטליים לזהות ביומטרית בעולם האמיתי. כאשר משתמש מציג אישור מאומת במהלך תהליך רגיש, המערכת מבקשת ממנו לצלם סלפי חי באמצעות מצלמת המכשיר. לאחר מכן Face Check מבצעת השוואה ביומטרית מאובטחת ושומרת על פרטיות בין הסלפי החי שנלכד לבין התמונה המהימנה שכבר מאוחסנת בבטחה בתוך האישור הדיגיטלי.

החשוב הוא שהתהליך תוכנן מלכתחילה עם פרטיות בראש סדר העדיפויות. ההתאמה הביומטרית מתבצעת באופן מאובטח, והמערכת מעריכה את הגיאומטריה של הפנים כדי לקבוע ציון ביטחון להתאמה, בלי לחשוף תבניות ביומטריות גולמיות ובלי לאחסן תמונות מיותרות. אם הסלפי החי תואם לתמונה המוטמעת באישור החתום קריפטוגרפית שהונפק על ידי רשות מהימנה, המערכת מעניקה אימות ברמת ביטחון גבוהה. אם ההתאמה נכשלת או אם מזוהות חריגות חשודות, המערכת חוסמת את הפעולה באופן מיידי ומונעת גישה לא מורשית לפני שהיא מתחילה.

התמודדות עם Deepfakes והנדסה חברתית בתרחישים בסיכון גבוה

ככל שכלי בינה מלאכותית הופכים לנגישים יותר, פושעי סייבר משתמשים ב-deepfakes ובטקטיקות הנדסה חברתית מתקדמות כדי לעקוף בקרות אבטחה רגילות. שיבוט קול, שיחות וידאו מזויפות בראיונות עבודה וירטואליים ובדיקות ביומטריות שעברו מניפולציה הופכים לאיומים נפוצים יותר ויותר נגד ארגונים עובדים מרחוק. תוקפים מנסים שוב ושוב להטעות צוותי תמיכה אנושיים בזמן שחזור חשבון, על ידי התחזות להנהלה לגיטימית או למנהלי מערכת בעלי הרשאות גבוהות.

טכנולוגיית Face Check מספקת הגנה חזקה מפני איומים מתוחכמים אלה. אימות וידאו או תמונה מסורתי נשבר בקלות כשתוקף מחזיק תמונה מודפסת או מפעיל סרטון מוקלט של קורבן מול מצלמת אינטרנט. Face Check משתמשת בזיהוי חיות (liveness) מתקדם לצד העוגן הקריפטוגרפי של אישור שהונפק על ידי רשות ממשלתית או ארגונית מהימנה.

מכיוון שההשוואה נעשית מול התמונה המאובטחת שמוטמעת באישור חתום קריפטוגרפית, ולא מול סלפי שהועלה לאחרונה ואינו מאומת, התוקפים לא יכולים פשוט להזריק תמונה סינתטית לזרם האימות. אם תוקף ינסה להשתמש ב-deepfake או במכשיר גנוב, אי ההתאמה הביומטרית בין הצילום החי לתמונה באישור הרשמי תסמן את החריגה. כך מנוטרלות למעשה התקפות הנדסה חברתית שמסתמכות על מניפולציה של אנשי צוות תמיכה אנושיים כדי לאפס פרטי כניסה או להעניק גישה ללא אימות קפדני.

יישומים מעשיים להצטרפות מרחוק ולשחזור חשבון

ארגונים חייבים לאבטח תהליכים קריטיים מבלי להכניס חיכוך מיותר למשתמשים לגיטימיים. אימות זהות ברמת ביטחון גבוהה בולט במיוחד בתרחישים שבהם הסיכונים הביטחוניים גבוהים במיוחד ושיטות האימות המסורתיות אינן מספיקות. בסביבות ארגוניות מודרניות בולטים שני מקרי שימוש עיקריים: הצטרפות של עובדים מרחוק ושחזור של חשבון בעל הרשאות.

במהלך onboarding מרחוק, ארגונים מתמודדים עם האתגר של לוודא שעובד חדש הוא מי שהוא טוען שהוא לפני שהם שולחים חומרה יקרה או מעניקים גישה למערכות פנימיות. העובד החדש מקבל אישור דיגיטלי מאומת מרשות בדיקה מהימנה, מציג אותו במהלך ה-onboarding הדיגיטלי, מבצע בדיקת סלפי חיה קצרה, ומוכיח את זהותו באופן מיידי, בלי לשלוח מסמכים רגישים בדואר. זה נעשה אפשרי על ידי שילוב של Microsoft Entra Verified ID עם Face Check, שהופך את תהליך ה-onboarding לחלק ומאובטח מאוד.

באופן דומה, שחזור חשבון הוא אחד הרגעים הפגיעים ביותר במחזור החיים של האבטחה בכל ארגון. כאשר עובד מאבד את המכשיר שלו, שוכח את הסיסמה או חווה פריצה לפרטי הזיהוי שלו, צוותי תמיכה טכנית נמצאים בלחץ רב להחזיר לו גישה במהירות. לרוע המזל, תוקפים מנצלים את הדחיפות הזו ומתחזים למשתמשים בטלפון או בצ'אט התמיכה. דרישה לאימות Face Check במהלך שחזור החשבון מבטיחה שטכנאי התמיכה יוכלו לאמת את זהות המשתמש בצורה קריפטוגרפית וביומטרית לפני איפוס פרטי הזיהוי, וכך סוגרים למעשה את אחד מוקטורי הפריצה הנפוצים ביותר לגישה לא מורשית לארגון.

שילוב Face Check באסטרטגיית אבטחת Zero Trust

יישום של אימות זהות בעל רמת ביטחון גבוהה הוא רכיב חיוני בארכיטקטורת אבטחה בוגרת של Zero Trust. העקרונות המכוננים של Zero Trust ברורים: לאמת במפורש, הרשאות של הרשאה מינימלית, והנחה של פריצה. בעוד שמערכות ניהול זהויות מסורתיות מתמקדות במידה רבה באימות בקשות גישה על סמך מיקומי רשת ומצבי מכשירים, הן לעיתים מתעלמות מההיבט הביולוגי של האדם שמאחורי הסשן.

שילוב Face Check ו-Microsoft Entra Verified ID באסטרטגיית האבטחה שלכם מאפשר לארגונים לאכוף החלטות מדיניות על בסיס עובדות עסקיות מאומתות ואמון ביומטרי בזמן אמת. לדוגמה, ניתן להתנות גישה ליישומים פיננסיים רגישים במיוחד, למישורי בקרה ניהוליים או למאגרי קניין רוחני לא רק באימות רב-שלבי, אלא גם בהשלמה מוצלחת של אימות Face Check ברמת ביטחון גבוהה.

בניית היכולת הזו בהצלחה דורשת תכנון אסטרטגי. ארגונים צריכים להתחיל בזיהוי תהליכים בסיכון גבוה שכיום מסתמכים על בדיקות מסמכים ידניות או על נהלי אימות פגיעים של תמיכה טכנית. משם, מנהיגי IT ואבטחה יכולים לבסס קשרי אמון עם מנפיקים מהימנים, להגדיר מחזורי חיים ברורים לפרטי הזיהוי, לקבוע מדיניות תפוגה וביטול מתאימה, ולתכנן תהליכי רישום ידידותיים למשתמש. בגישה הדרגתית, חברות יכולות להרחיב את אסטרטגיית הזהות הדיגיטלית שלהן, ובמקביל להפחית משמעותית את העומס המנהלי ולשפר את החוסן הכללי.

סיכום

אבטחת זהות מודרנית דורשת מאיתנו להסתכל הרבה מעבר לסיסמאות פשוטות ולאימות רב-שלבי בסיסי. ככל שאיומי הסייבר מתפתחים ומשתמשים בזיופים עמוקים (deepfakes), בזהויות סינתטיות והנדסה חברתית ממוקדת, ארגונים חייבים לאמץ צעדים יזומים כדי לאמת את הזהות בעולם האמיתי של כל משתמש הניגש למשאבים קריטיים. טכנולוגיות כמו Microsoft Entra Verified ID ו-Face Check מספקות דרך מאובטחת, שומרת פרטיות וסקלבילית לגשר על הפער בין כניסות דיגיטליות לזהויות פיזיות מהימנות.

על ידי מינוף פרטי זיהוי מבוזרים והתאמה ביומטרית, צוותי אבטחה יכולים לייעל את ה-onboarding מרחוק, לאבטח שחזור של חשבונות מוגנים, ולאכוף עקרונות Zero Trust מבלי לפגוע בפרטיות המשתמשים. כדי להרחיב על הרעיונות האלה ולשמוע הסבר מעשי וברור על אופן פעולתן של הטכנולוגיות האלה בעולם האמיתי, כדאי להאזין לפרק הקשור שלנו, Microsoft Entra Verified ID - Simply Explained. אימוץ כלי אימות זהות מתקדמים אלה כבר אינו רק שדרוג IT—זוהי דרישת יסוד לאבטחת עתיד העבודה.