סיסמה חזקה שאפשר לזכור: שיטת המשפט, מנהלי סיסמאות ומה עושים אחרי דליפה

בקיצור: סיסמה חזקה היא קודם כול ארוכה וייחודית — לא מסובכת. משפט של ארבע-חמש מילים שרק אתם מכירים חזק יותר מ"Aa123456!". סיסמה אחת שונה לכל שירות, מנהל סיסמאות שזוכר אותן בשבילכם, ואימות דו-שלבי בחשבונות החשובים. אחרי דליפה מחליפים קודם את הסיסמה שדלפה, ואז כל מקום שבו השתמשתם בה.

כמעט כל אתר דורש היום סיסמה, ורוב האנשים מחזיקים עשרות חשבונות: בנק, מייל, קופת חולים, חנויות, אפליקציות משלוחים, רשתות חברתיות, אתר בית הספר של הילדים. אין דרך לזכור עשרות סיסמאות שונות ומסובכות, ולכן רוב האנשים עושים את מה שהגיוני ביום-יום ומסוכן לאורך זמן: משתמשים באותה סיסמה, או בגרסאות קטנות שלה, בכל מקום.

הבעיה היא שאתרים נפרצים כל הזמן, גם גדולים ומוכרים. כשמאגר של שמות משתמש וסיסמאות דולף, הנוכלים לא מסתפקים באתר שנפרץ. הם מנסים את אותו צירוף בכל השירותים הפופולריים, באופן אוטומטי. מי שהשתמש באותה סיסמה בחנות ובמייל, מגלה שהמייל נפרץ בלי שאף אחד "פרץ" אותו באמת. המדריך הזה מסביר איך יוצאים מהמלכודת הזו בלי לאבד את השפיות.

מה הופך סיסמה לחזקה באמת

במשך שנים נהוג היה ללמד שסיסמה טובה חייבת לכלול אות גדולה, מספר וסימן מיוחד. התוצאה הייתה סיסמאות כמו "Password1!" — עונות על כל הדרישות, וחלשות מאוד. התוכנות שמנסות לנחש סיסמאות מכירות היטב את התבניות האנושיות: אות גדולה בהתחלה, מספר וסימן קריאה בסוף, החלפת a ב-@ ו-o ב-0.

מה שבאמת קובע את חוזק הסיסמה הוא שלושה דברים:

• אורך: כל תו נוסף מכפיל את מספר האפשרויות שצריך לנסות. סיסמה ארוכה ופשוטה עדיפה בדרך כלל על קצרה ומסובכת.
• אי-צפיות: שם הכלב, תאריך הלידה, שם הקבוצה האהודה ומספר הטלפון הם בדיוק הדברים שמנסים קודם. וגם מה שאתם מפרסמים ברשתות החברתיות.
• ייחודיות: הסיסמה החזקה ביותר בעולם הופכת לחסרת ערך אם היא משמשת גם באתר שדלף.

אז מה כן? הנה שתי דרכים שעובדות, ואפשר לשלב ביניהן.

שיטת המשפט: סיסמה חזקה שאפשר לזכור

הרעיון פשוט: במקום מילה אחת מסובכת, בונים צירוף ארוך של כמה מילים שאין ביניהן קשר ברור, או משפט שרק לכם יש משמעות בו. יש שתי גרסאות עיקריות.

גרסה א: ארבע-חמש מילים אקראיות

בוחרים ארבע או חמש מילים שאין ביניהן קשר — למשל "מלפפון", "מעלית", "סבתא", "ירח" — ומחברים אותן עם מקף או עם רווח, אם האתר מאפשר. אפשר לכתוב אותן באותיות לטיניות לפי ההגייה, או במקלדת עברית כשהמקלדת על אנגלית. התוצאה ארוכה מאוד, אבל קל לדמיין אותה כתמונה: סבתא עומדת במעלית עם מלפפון ומסתכלת על הירח. התמונה היא מה שעוזר לזכור.

החשוב ביותר: המילים צריכות להיות אקראיות באמת. "אני-אוהב-את-אשתי" או ציטוט מפורסם משיר הם צירופים שמישהו אחר כבר חשב עליהם. יש מנהלי סיסמאות שיודעים לייצר צירוף מילים אקראי בשבילכם, וזו דרך טובה להימנע מההטיה האנושית.

גרסה ב: ראשי תיבות של משפט אישי

לוקחים משפט שקל לכם לזכור ושאיש לא ינחש — לא פתגם — ובונים ממנו סיסמה מהאות הראשונה של כל מילה, עם המספרים והסימנים שכבר יש בו. למשל: "בקיץ של 2009 נסענו שלושתנו לאילת, ושכחנו את הכלב אצל השכנה!" הופך לרצף של אותיות, מספר וסימן. התוצאה נראית אקראית למי שלא מכיר את המשפט, ואתם צריכים לזכור רק סיפור.

החיסרון: קשה לייצר כך עשרות סיסמאות שונות. לכן את השיטה הזו כדאי לשמור לסיסמאות הבודדות שאתם חייבים לזכור בעל פה, ואת כל השאר להפקיד בידי הכלי הבא.

מנהל סיסמאות: למה הוא פותר את רוב הבעיה

מנהל סיסמאות הוא תוכנה או שירות ששומרים בשבילכם את כל הסיסמאות בכספת מוצפנת. אתם זוכרים סיסמה ראשית אחת חזקה — כאן נכנסת שיטת המשפט — והוא זוכר את כל השאר, ממלא אותן אוטומטית באתרים ומייצר סיסמה ארוכה ואקראית לכל חשבון חדש.

יש כמה סוגים:

• מנהל מובנה בדפדפן או במערכת ההפעלה: כבר קיים אצל רוב האנשים, חינמי ונוח. מתאים מאוד כנקודת פתיחה, במיוחד אם אתם משתמשים באותה מערכת בכל המכשירים.
• מנהל סיסמאות ייעודי: עובד בין מערכות ודפדפנים שונים, מאפשר שיתוף מסודר של סיסמאות בתוך המשפחה, ולרוב כולל התראות על דליפות. חלקם בתשלום, חלקם עם גרסה חינמית.

לא קיימת תוכנה בלי סיכון, אבל ההשוואה הנכונה היא לא בין מנהל סיסמאות לבין "אפס סיכון". ההשוואה היא בין מנהל סיסמאות לבין אותה סיסמה בשלושים אתרים, או מחברת עם סיסמאות ליד המחשב. שני הדברים האלה מסוכנים הרבה יותר.

שלושה כללים לסיסמה הראשית

1. היא ארוכה, נבנית בשיטת המשפט, ולא משמשת בשום מקום אחר.
2. הכספת מוגנת באימות דו-שלבי.
3. יש לה תוכנית גיבוי: קוד שחזור שמודפס ושמור במקום בטוח בבית, כי אם שוכחים את הסיסמה הראשית, ברוב השירותים אין דרך לשחזר את הכספת.

אימות דו-שלבי ומפתחות גישה

גם הסיסמה הטובה ביותר יכולה להיגנב, למשל אם הקלדתם אותה בדף התחברות מזויף שנראה בדיוק כמו המקורי. אימות דו-שלבי מוסיף שכבה: גם עם הסיסמה, צריך עוד משהו שנמצא אצלכם — התראה בטלפון, קוד מאפליקציית אימות או מפתח פיזי. קוד ב-SMS עדיף מכלום, אבל הוא הפגיע ביותר מבין האפשרויות.

הצעד הבא, שכבר זמין בהרבה שירותים גדולים, הוא מפתח גישה (Passkey). במקום סיסמה, הכניסה נעשית בעזרת טביעת אצבע, זיהוי פנים או קוד הנעילה של הטלפון. היתרון הגדול: אין מה להקליד, ולכן אין מה לגנוב בדף מזויף. כשאתר מציע לכם ליצור מפתח גישה, בדרך כלל כדאי להסכים. הסבר מפורט על ההגדרות האלה בחשבון המרכזי של רוב האנשים נמצא במדריך להגדרות אבטחה בחשבון גוגל.

הסיסמה שלכם דלפה: מה עושים

מנהלי סיסמאות ודפדפנים רבים מתריעים כשסיסמה שמורה הופיעה במאגר שדלף. יש גם שירותים ציבוריים שבהם אפשר לבדוק אם כתובת המייל שלכם הופיעה בדליפות מוכרות. אם קיבלתם התראה כזו, אל תיבהלו, אבל גם אל תדחו לסוף השבוע:

1. החליפו את הסיסמה באתר שדלף לסיסמה חדשה וייחודית.
2. מצאו כל מקום אחר שבו השתמשתם באותה סיסמה, או בגרסה קרובה שלה, והחליפו גם שם. התחילו במייל, בבנק ובחשבונות שמהם אפשר לשחזר חשבונות אחרים.
3. הפעילו אימות דו-שלבי בכל חשבון חשוב שעדיין אין בו.
4. בדקו פעילות חריגה: התחברויות ממכשירים לא מוכרים, מיילים שנשלחו בשמכם, שינויים בפרטי השחזור.
5. היו ערניים להודעות שמגיעות בעקבות הדליפה. מי שמחזיק בפרטים שלכם עשוי לנסות לשלוח הודעה משכנעת שמזכירה פרטים אמיתיים. הדפוסים הנפוצים מוסברים במדריך לזיהוי הונאה ברשת.

אם הדליפה כללה גם פרטי אשראי, התקשרו לחברת האשראי ובקשו הנחיה. אם דלפו פרטים מזהים רגישים, אפשר לקרוא על הצעדים המומלצים באתר הרשות להגנת הפרטיות.

טעויות שכדאי להפסיק כבר היום

• "סיסמה בסיס" עם תוספות: "Dana2020Facebook" ו-"Dana2020Bank" הן בעצם אותה סיסמה. ברגע שאחת דולפת, קל לנחש את השאר.
• החלפה כפויה כל חודש: אם המערכת לא דורשת, אין צורך להחליף סיסמה חזקה וייחודית בלי סיבה. מחליפים כשיש חשד או דליפה.
• שמירה בפתק בטלפון או במייל לעצמכם: אם הטלפון או המייל נפרצים, כל הסיסמאות נחשפות ביחד.
• שיתוף בוואטסאפ: כשצריך לשתף סיסמה עם בן משפחה, עדיף לעשות זאת דרך מנהל סיסמאות שמאפשר שיתוף, לא בהודעה שנשארת בהיסטוריה לנצח.
• תשובות אמיתיות לשאלות אבטחה: שם הנעורים של אמא כבר ידוע לחצי מהחברים בפייסבוק. אפשר לענות תשובה שקרית שאתם שומרים במנהל הסיסמאות.

איך עושים את המעבר בלי לשבור את הראש

לא צריך להחליף את כל הסיסמאות בערב אחד. עובדים לפי סדר עדיפויות: ביום הראשון המייל הראשי ומנהל הסיסמאות עצמו; בשבוע הראשון הבנק, חברות האשראי, הרשתות החברתיות ואפליקציות ההודעות; ואת כל השאר מחליפים בהדרגה, בכל פעם שנכנסים לאתר ממילא. אחרי חודש או חודשיים רוב החשבונות כבר יהיו מסודרים, כמעט בלי שהרגשתם.

הסיסמאות שכולם שוכחים: הראוטר, המצלמות והמכשירים החכמים

כשחושבים על סיסמאות, חושבים על אתרים ואפליקציות. אבל בבית יש עוד כמה דלתות שבדרך כלל נשארות עם סיסמת היצרן. הראוטר, למשל, מגיע עם סיסמת ניהול שמודבקת על המדבקה בגב המכשיר, ולפעמים היא זהה בכל המכשירים מאותו דגם. מצלמת אבטחה, מוניטור לתינוק, טלוויזיה חכמה ושואב רובוטי מחוברים כולם לרשת, ולחלקם יש ממשק ניהול עם סיסמה פשוטה מאוד או ללא סיסמה כלל.

כדאי לעבור על המכשירים האלה פעם אחת: להחליף את סיסמת הניהול של הראוטר לסיסמה ארוכה וייחודית, לבחור סיסמה חזקה לרשת האלחוטית עצמה, ולבדוק שלכל מכשיר חכם יש סיסמה משלו ועדכוני תוכנה פעילים. אם יש לכם הרבה אורחים, רוב הראוטרים מאפשרים לפתוח רשת אורחים נפרדת, כך שאין צורך למסור את הסיסמה הראשית לכל מי שמגיע. ואת כל הסיסמאות האלה, כמובן, שומרים במנהל הסיסמאות.

סיסמאות במשפחה: ילדים והורים מבוגרים

ילדים מקבלים היום חשבונות כבר בגיל צעיר — למשחקים, לאתר בית הספר, לאפליקציות הודעות. זו הזדמנות טובה ללמד אותם את שיטת המשפט כבר מההתחלה, ולהסביר בשפה פשוטה שסיסמה היא כמו מברשת שיניים: לא משתפים אותה עם חברים, גם לא עם החבר הכי טוב. כדאי גם לשמור את הסיסמאות שלהם בכספת המשפחתית של מנהל הסיסמאות, כדי שתוכלו לעזור כשהם שוכחים.

אצל הורים מבוגרים, הבעיה הנפוצה היא הפוכה: מחברת עם כל הסיסמאות ליד המחשב, או סיסמה אחת לכל דבר כי "ככה לא שוכחים". המעבר למנהל סיסמאות יכול להיות קשה להם בהתחלה. גישה מעשית היא להתחיל ממפתחות גישה בשירותים שמציעים אותם, כי שם הכניסה היא פשוט טביעת אצבע, ולהגדיר אתם את אימות הדו-שלבי בחשבונות החשובים, בישיבה משותפת ולא מרחוק.

צ'קליסט לסיסמאות שלכם

• לסיסמה הראשית ולמייל הראשי יש סיסמה ארוכה, ייחודית, שנבנתה בשיטת המשפט?
• אתם משתמשים במנהל סיסמאות, מובנה או ייעודי?
• אין אצלכם סיסמה שחוזרת, גם לא בגרסה עם תוספת קטנה?
• אימות דו-שלבי פעיל במייל, בבנק, ברשתות החברתיות ובאפליקציות ההודעות?
• יצרתם מפתחות גישה בשירותים שמציעים אותם?
• קוד השחזור של מנהל הסיסמאות שמור במקום בטוח מחוץ למחשב?
• אתם יודעים מה עושים בשעה הראשונה אחרי התראה על דליפה?

עוד מדריכים לאבטחה ולשימוש בטוח ברשת תמצאו בקטגוריית דיגיטל ואינטרנט.

המידע באתר כללי ואינו ייעוץ רפואי, משפטי, ביטוחי או פיננסי. מחירים, תעריפים וזכויות משתנים — בדקו תמיד את הנתון העדכני במקור הרשמי.