מה האנטרופיה אומרת על ניחוש סיסמה
האנטרופיה תלויה באופן שבו נוצרה הסיסמה. בחירה עצמאית של 18 תווים מתוך אלפבית של 62 תווים נותנת כ-107 ביט. סיסמה באותו אורך שנבחרה בידי אדם עשויה להיות צפויה בהרבה.
ניחוש דרך מסך ההתחברות תלוי בהגבלת ניסיונות הכניסה. בניחוש לא מקוון חשובים אלגוריתם הגיבוב או גזירת המפתח והמשאבים של התוקף.
מפני מה מגינה סיסמת Diceware
ברשימה הארוכה של EFF יש 7776 מילים. שש מילים שנבחרו באקראי ובאופן עצמאי נותנות כ-77.5 ביט. האומדן אינו חל על דוגמה שהועתקה או על משפט שחיברתם.
אפשר ללכוד את ביטוי הסיסמה בזמן ההקלדה או ההעתקה. נוזקה יכולה גם לגנוב סשן דפדפן שכבר פתוח.
מה קורה כשקוד הכניסה מגיע בדוא"ל
גישה לתיבת דואר שכבר מחוברת עשויה לחשוף קוד כניסה או שחזור. NIST אינו מתיר דוא"ל כערוץ אימות נפרד ומתייחס לשחזור בנפרד.
TOTP במכשיר נפרד יכול לצמצם חשיפה כשהמחשב נפרץ. אתר פישינג עדיין יכול להעביר את הקוד שהוזן לשירות האמיתי.
איך passkeys ומפתחות אבטחה מגינים מפישינג
WebAuthn קושר את המפתח לשירות. אתר מתחזה אינו יכול להשתמש במפתח של השירות האמיתי כדי להיכנס לחשבון שם.
חלק ממפתחות ה-passkey מסתנכרנים בין מכשירים. הם יכולים לעמוד ב-AAL2 אם היישום עומד בדרישות NIST. AAL3 דורש מפתח פרטי שאינו ניתן לייצוא ועמידה ביתר הדרישות. מפתח חומרה מתאים יכול להשתלב ביישום כזה. גניבת סשן פתוח נשארת איום נפרד.
השוואת שיטות כניסה ורמות ההבטחה של NIST
| שיטת כניסה | עמידות לפישינג | אם סשן הדפדפן נגנב | NIST SP 800-63B-4 |
|---|---|---|---|
| סיסמה בלבד | אפשר ללכוד את הסיסמה | אפשר להשתמש בסשן שוב | עשויה לעמוד ב-AAL1 |
| סיסמה וקוד בדוא"ל | אפשר ללכוד את הקוד | אפשר להשתמש בסשן שוב | דוא"ל אינו ערוץ אימות נפרד קביל |
| סיסמה וקוד SMS | אפשר להעביר את הקוד הלאה | אפשר להשתמש בסשן שוב | שיטה מוגבלת שעשויה לעמוד ב-AAL2 בתנאים מסוימים |
| סיסמה ו-TOTP | אפשר להעביר את הקוד הלאה | אפשר להשתמש בסשן שוב | עשויה לעמוד ב-AAL2 בכפוף לדרישות |
| passkey מסונכרן | הכניסה עמידה לפישינג | אפשר להשתמש בסשן שוב | עשוי לעמוד ב-AAL2 בכפוף לדרישות |
| FIDO2 עם מפתח שאינו ניתן לייצוא | הכניסה עמידה לפישינג | אפשר להשתמש בסשן שוב | עשוי לעמוד ב-AAL3 אם כל הדרישות מתקיימות |
בחירת שיטת אימות לכל חשבון
בחשבונות ניהול העדיפו אימות עמיד לפישינג. בדקו את המפתח ואת הגדרות השירות מול הדרישות שלכם ובחנו מראש אמצעי גיבוי לכניסה.
תעדו איך משחזרים חשבון ומבטלים סשנים לאחר אובדן מכשיר. כש-passkeys אינם זמינים, TOTP יכול להוסיף גורם שני בכפוף למגבלות שתוארו.
