המדריך המלא לאימות ללא סיסמה ב-Microsoft 365

By Mirko Peters · 2026-08-27

ברוכים השבים, מאזינים וקוראים! אם צפיתם בפרק הפודקאסט האחרון שלנו, אתם יודעים שהתעמקנו באחד מנושאי הסייבר הדחופים ביותר של זמננו: ביטול הסיסמה המסורתית. בפוסט הבלוג הנלווה הזה נרחיב את השיחה ונתחיל לעבוד בפועל, ונציג לכם תוכנית מעשית ומקיפה להפסקת השימוש בסיסמאות בכל הארגון, באמצעות כלי האבטחה המודרניים והחזקים המובנים ב-Microsoft 365.

Automatically translated with AI from the original post. Read the English original

Titelbild: The Ultimate Guide to Passwordless Authentication in Microsoft 365

נודה באמת קשה: סיסמאות שבורות מעיקרן. שנה אחר שנה, דליפות מידע מאשרות שאישורי כניסה גנובים, חלשים או משומשים מחדש נותרים וקטור ההתקפה העיקרי. מסעות פישינג הפכו כל כך מתוחכמים, שאפילו העובדים המודעים ביותר לאבטחה עלולים מדי פעםליפול קורבן להם. ברוכים הבאים לעידן ה-Zero Trust. בארכיטקטורת Zero Trust פועלים לפי העיקרון של "לעולם אל תסמכו, תמיד אמתו". אי אפשר פשוט להשיג תנוחת Zero Trust אמיתית כשמסתמכים על מחרוזת תווים סודית שמשתמשים רושמים על פתקיות, משתמשים בה שוב באתרים שונים, או מוסרים בקלות לתוקף חכם בדף כניסה מזויף.

למרבה המזל, Microsoft 365 מציעה מערך חזק של שיטות אימות ללא סיסמה. כשמעבירים את הארגון מסיסמאות, מצמצמים בצורה דרמטית את משטח התקיפה, מונעים גניבת אישורים ו—באירוניה—משפרים את חוויית המשתמש. לא עוד איפוסי סיסמאות שאוכלים את זמנו של צוות התמיכה, ולא עוד עובדים מתוסכלים שנעולים מחשבונותיהם בבוקר יום שני. בואו נסקור את ארגז הכלים ונראה כיצד להטמיע ארגון ללא סיסמאות, באופן חלק ורציף.

הבנת ארגז הכלים ללא סיסמה ב-Microsoft 365

לפני שנצלול לאסטרטגיות הפריסה, בואו נמפה את הנשק שבמחסן שלנו. Microsoft Azure Active Directory (הידוע כיום בשם Microsoft Entra ID) תומך במספר מנגנונים עיקריים לאימות ללא סיסמה. לכל אחד מהם יש פרופיל משתמש, מצב מכשיר ומקרה שימוש עסקי שונים במעט.

ראשית, יש לנו את Windows Hello for Business. זהו הסטנדרט הזהב למכשירי Windows ארגוניים ייעודיים. הוא מחליף סיסמאות באימות דו-שלבי חזק, המורכב מאישור ייחודי למכשיר הקשור למאפיין ביומטרי (כמו טביעת אצבע או זיהוי פנים) או לקוד PIN. המפתח הפרטי לעולם אינו עוזב את חומרת המכשיר, ולכן הוא חסין מפני פריצות בצד השרת.

שנית, יש לנו מפתחות אבטחה FIDO2 ו-Passkeys. אלה אסימונים מבוססי חומרה (כמו YubiKey) או Passkeys מבוססי פלטפורמה, המשתמשים בתקנים פתוחים שפותחו על ידי FIDO Alliance. הם עמידים לפישינג מטבעם, משום שמנגנון אתגר-תגובה הקריפטוגרפי מבטיח שאישור יכול לשמש רק בדומיין המדויק שבו נרשם. אם משתמש נוחת באתר פישינג, המפתח מסרב לחתום.

שלישית, יש לנו את אפליקציית Microsoft Authenticator. לארגונים עם עובדים שעובדים בעיקר מהנייד, תרחישי BYOD (הביאו את המכשיר שלכם) או סביבות היברידיות, התאמת מספרים דרך אפליקציית Authenticator מספקת חוויית התראות דחיפה חלקה, שמחייבת את המשתמשים לאמת את זהותם בבטחה ובמהירות.

לבסוף, יש לנו את Temporary Access Pass (TAP). אף שאינו שיטת כניסה יומיומית, TAP הוא הגשר החיוני שמאפשר לכם לקלוט משתמשים חדשים, לשחזר חשבונות נעולים או להקצות חומרה חדשה, בלי צורך להנפיק סיסמה זמנית, לא מאובטחת ומדור קודם.

הטמעת Windows Hello for Business עבור מכשירי קצה ארגוניים

אם הארגון שלכם מסתמך במידה רבה על מכשירי Windows 10 ו-Windows 11, Windows Hello for Business (WHfB) צריך להיות עמוד התווך המרכזי של המסע שלכם אל ללא סיסמה. הפריסה של WHfB דורשת תכנון זהיר סביב רשויות תעודות, אמון ענן או מודלי מפתח אמון, אבל התמורה עצומה.

כשמטמיעים WHfB יש לבחור בין שני מודלי פריסה עיקריים: Cloud Trust ו-Hybrid Key Trust. עבור ארגונים מודרניים שמתבססים על הענן, מודל Microsoft Entra Cloud Trust הוא שינוי משחק ממשי. הוא מפשט את ארכיטקטורת הפריסה, שכן אינו תלוי בסנכרון של תשתית המפתחות הציבורית (PKI) לבקרי הדומיין. במקום זאת, האימות מתבצע ישירות בענן, בעזרת הרחבות של פרוטוקול Kerberos.

כדי להתחיל, הגדירו את מדיניות Windows Hello for Business דרך Microsoft Intune. עברו למדיניות אבטחת נקודות הקצה וודאו שדרישות מורכבות ה-PIN מוגדרות, שיטות ביומטריות מופעלות, ושמנגנוני הגנה מפני זיוף (anti-spoofing) פעילים במקום שבו החומרה של המכשיר תומכת בהם. כמו כן, הגדירו אם נדרש מהמשתמשים להשתמש במודול אבטחת חומרה (TPM 2.0 הוא חובה לאבטחה ברמת ארגון).

במהלך הפריסה, חשוב לתקשר בבירור עם המשתמשים הקצה. הסבירו להם שה-PIN של Windows שלהם קשור באופן מוחלט למחשב הנייד הפיזי ואי אפשר ליירט אותו ברשת. ברגע שהמשתמשים יחוו כניסה למכשיר באמצעות זיהוי פנים או PIN קצר שפותח אנקלבה מאובטחת בחומרה, הם כבר לא ירצו להקליד שוב סיסמה מורכבת של 16 תווים אלפאנומריים.

שימוש במפתחות אבטחה של FIDO2 ובמפתחות גישה (Passkeys)

Windows Hello for Business מצוין לנקודות קצה של Windows, אבל מה לגבי משתמשי Mac, מפתחי Linux, תחנות עבודה משותפות או עובדים שעוברים בין מספר מכשירים? כאן מפתחות אבטחה של FIDO2 ומפתחות גישה בולטים ביותר.

מפתחות FIDO2 מייצגים את שיא האימות העמיד בפני פישינג. מכיוון שפרוטוקול האימות משתמש בהצפנת מפתח ציבורי, אישור הזהות השמור על מפתח האבטחה אינו ניתן לפישינג, לגניבה באמצעות התקפת man-in-the-middle, או לשליפה ממסד נתונים שנפרץ. כשהמשתמש מחבר את מפתח האבטחה ה-USB שלו (או מצמיד אותו באמצעות NFC) ונוגע בחיישן, נשלחת טענה קריפטוגרפית אל Microsoft Entra ID.

הטמעת מפתחות FIDO2 דורשת הפעלת התכונה במסגרת מדיניות שיטות האימות של Microsoft Entra. אפשר להגביל מדיניות זו לקבוצות פיילוט מסוימות, למשל להתחיל עם מנהלי ה-IT וההנהלה הבכירה לפני ההרחבה לכלל הארגון. חיוני לאכוף דרישות רישום, כך שהמשתמשים ירשמו את המפתחות שלהם בזמן שהם נמצאים בסביבה ארגונית מאובטחת, או באמצעות תהליך קליטה מאומת.

בנוסף, כדאי להכיר את מפתחות הגישה של הפלטפורמה המשולבים במערכות הפעלה כמו iOS, Android ו-macOS. הם מאפשרים למשתמשים להשתמש בחיישנים הביומטריים המובנים בטלפון שלהם (FaceID, TouchID או ביומטריה של Android) כדי להיכנס בצורה מאובטחת לשירותי Microsoft 365 בדפדפנים ובמכשירים שונים. הם מגשרים על הפער בין אסימוני חומרה לנוחות היומיומית.

פתיחת גישה מבוססת נייד עם Microsoft Authenticator

לא כל עובד בארגון יושב ליד שולחן עם מחשב נייד ייעודי או מפתח אבטחה פיזי. עובדי קו חזית, טכנאי שטח ועובדי קבלן פועלים לעיתים קרובות בסביבות שבהן הנייד הוא המכשיר המרכזי. עבור משתמשים אלה, האפליקציה Microsoft Authenticator היא הכלי המושלם לכניסה ללא סיסמה.

כדי להעביר את Microsoft Authenticator למצב ללא סיסמה, יש להגדיר כניסה באמצעות הטלפון. כשכניסה באמצעות הטלפון מופעלת, המשתמש מזין את שם המשתמש שלו, ובמקום שיתבקש להזין סיסמה, נשלחת התראה למכשיר הנייד שלו. האפליקציה Authenticator מבקשת מהמשתמש להזין את המספר התואם המוצג במסך הכניסה, ולאחר מכן לאשר באמצעות זיהוי ביומטרי (FaceID, טביעת אצבע או PIN).

יישום זה מבטל לחלוטין את הסיכון להתקפות של עייפות מדיפי אישור (push-fatigue), שבהן גורמים זדוניים מציפים את המשתמש בהתראות אין-ספור עד שהוא מאשר אחת מהן בטעות. באמצעות אכיפת התאמת מספרים, המשתמש *חייב* להביט במסך הכניסה, לקרוא את המספר ולהזין אותו בטלפון. אם הוא אינו מנסה להתחבר, הוא פשוט לוחץ על "זה לא אני", מה שעשוי להפעיל מדיניות סיכון אוטומטית ב-Microsoft Entra ID כדי לחסום את התוקף ולסמן את החשבון.

בעת פריסת Microsoft Authenticator לגישה ללא סיסמה, וודאו שמדיניות אבטחה ברמת המכשיר נאכפת. יש לדרוש נעילת אפליקציה בתוך האפליקציה Authenticator עצמה, ולוודא שמכשיר הנייד המארח מנוהל דרך Microsoft Intune או מוגן במדיניות גישה מותנית הדורשת גרסאות מערכת הפעלה תואמות.

ניהול קליטה והתאוששות באמצעות Temporary Access Pass (TAP)

אחד ההיסוסים הנפוצים ביותר שארגונים מתלבטים בהם כשהם שוקלים אסטרטגיית ללא סיסמה הוא דילמת "הביצה או התרנגולת" בתהליך ההטמעה (onboarding). איך מאמתים עובד חדש לגמרי שעדיין אין לו מפתח אבטחה, טלפון רשום או קוד PIN של Windows Hello? באופן מסורתי, ארגונים נהגו לחלק סיסמה ראשונית זמנית וקלה לניחוש. אבל זה יוצר חלון פגיע ממש בתחילת מחזור החיים של העובד.

כאן נכנס לתמונה ה-Temporary Access Pass (TAP). TAP הוא שיטת אימות מבוססת קוד גישה, בעלת תוקף מוגבל בזמן, שניתן להגדיר ב-Microsoft Entra ID כדי לאפשר למשתמשים לרשום את שיטות האימות ללא סיסמה שלהם. ניתן להשתמש ב-TAP פעם אחת בלבד (או במספר שימושים אם הוגדר לתרחישי מעבר מסוימים), יש לו זמן חיים קצר מאוד שנע בין דקות לשעות, וניתן ליצור אותו בצורה מאובטחת על ידי מנהל או על ידי צוות התמיכה.

בואו נעבור על תרחיש הטמעה אמיתי באמצעות TAP:

משאבי אנוש מפעילים תהליך קליטה של עובד חדש, וצוות ה-IT מקים את חשבון המשתמש ב-Microsoft Entra ID.
מנהל יוצר Temporary Access Pass עם זמן תפוגה של שעה אחת, ומעביר אותו לעובד החדש בערוץ נפרד (out-of-band), כגון הודעת טקסט מאובטחת או פורטל הטמעה מוצפן.
העובד החדש נכנס למחשב הנייד או לדפדפן החדש שלו באמצעות ה-TAP *בלבד*.
מכיוון that ה-TAP עומד בדרישות האימות החזק, המשתמש מוזמן מיד לרשום את פרטי ההזדהות הקבועים ללא סיסמה—כמו הגדרת Windows Hello for Business, רישום מפתח FIDO2 או רישום אפליקציית Microsoft Authenticator.
לאחר הרישום, ה-TAP פג תוקף, והמשתמש עובד ללא סיסמה כבר מהיום הראשון.

TAP מהפכני באותה מידה גם לשחזור חשבונות. אם עובד מאבד את מפתח האבטחה שלו או מקבל טלפון חדש, צוות התמיכה לא צריך להנפיק סיסמת גיבוי. הוא פשוט יוצר TAP, שמאפשר למשתמש להזדהות בצורה מאובטחת ולהקים בעצמו את המכשיר או האסימון החלופי שלו.

שיטות עבודה מומלצות לבניית אסטרטגיית ללא סיסמה מקיפה

מעבר של ארגון שלם מסיסמאות אינו פעולה של לחיצת מתג; הוא דורש הטמעה אסטרטגית ומדורגת. כפי שדנו בפודקאסט, ניהול שינויים ואכיפת מדיניות חשובים לא פחות מהטכנולוגיה עצמה. להלן שיטות העבודה המומלצות המרכזיות שיבטיחו שמסע ה-passwordless שלכם יצליח מאוד.

1. אימוץ הטמעה מדורגת

אל תנסו הטמעה "בום אחד" של ללא סיסמה בכל החברה בסוף שבוע אחד. התחילו עם צוותי ה-IT והאבטחה. הם מבינים את הטכנולוגיה, יכולים לטפל במקרי קצה, ומשמשים כשגרירים פנימיים. לאחר מכן, הרחיבו לנהלה הבכירה וליחידות עסקיות בעלות היכרות טכנולוגית. לאחר שפתרתם את הקשיים התפעוליים, הרחיבו לעובדי משרד כלליים, ולבסוף טפלו בסביבות קו חזית או ייצור מיוחדות.

2. שימוש נבון במדיניות Conditional Access

מדיניות ללא סיסמה חייבת להיות משולבת היטב עם Microsoft Entra Conditional Access. צרו מדיניות שדורשת שיטות אימות עמידות להונאות (phishing-resistant) לגישה ליישומי ענן רגישים, ואולי תאפשרו שיטות ישנות באופן זמני ליישומים בסיכון נמוך יותר במהלך תקופת המעבר. השתמשו בבקרות הפעלה (session controls) כדי להגביל את משך חיי ההפעלה, ולכפות אימות מחדש כאשר אותות סיכון מתגברים.

3. השקיעו רבות בהדרכת משתמשים וניהול שינויים

שינויים טכנולוגיים נכשלים כאשר בני אדם נשארים מחוץ למשוואה. המשתמשים מרגישים בנוח עם סיסמאות; הם משתמשים בהן כבר עשורים. עליכם להסביר *מדוע* אתם מבצעים את המעבר הזה. הציגו את האימות ללא סיסמה לא כדרישה של ה-IT, אלא כאמצעי הגנה שמקל על חייהם—בלי לשכוח סיסמאות מורכבות, בלי שינויי סיסמה רבעוניים כפויים, וכניסות מהירות במיוחד.

4. תכננו מסלולי גיבוי ומקרי קצה

תמיד צפו מה יקרה כששדברים משתבשים. מה אם משתמש שובר את הטלפון שלו במהלך נסיעת עסקים? מה אם מפתח אבטחה פיזי נופל לשלולית? הגדירו תהליכי עבודה ברורים ומאובטחים שמשתמשים ב-Temporary Access Pass ובפרוטוקולים מאומתים לזיהוי צוות התמיכה, כדי שהמשתמשים יוכלו לחזור לגישה במהירות מבלי לפגוע באבטחת הארגון.

על ידי שילוב של Windows Hello for Business, מפתחות אבטחה מסוג FIDO2, Microsoft Authenticator ו-Temporary Access Pass, אפשר סוף סוף לסגור את הפרק של סיסמאות פגיעות ומיושנות. הכלים מוכנים, הארכיטקטורה הוכחה, והיתרונות האבטחתיים ברורים. הגיע הזמן לצעוד אל עבר עתיד אמיתי של Zero Trust ללא סיסמאות.

תודה שקראתם! אל תשכחו להירשם לפודקאסט אם עוד לא עשיתם זאת, לשתף את הפוסט עם צוות האבטחה שלכם, ותישארו עם מאזינים לפרק ההעמקה הבא, שבו נצלול לנושא ציד איומים מתקדם ב-Microsoft Defender!