מה זה אימות משתמשים (Authentication)

הגדרה

אימות משתמשים הוא התהליך שמאשר את הזהות של משתמש, מכשיר או מערכת לפני שהם נכנסים. המערכת בודקת את ההוכחה שהמשתמש מציג, וההוכחה מגיעה משלושה סוגים של גורמים: משהו שאתם יודעים (סיסמה או קוד PIN), משהו שיש לכם (טלפון או מפתח אבטחה) ומשהו שאתם (טביעת אצבע או פנים). אימות דו שלבי (2FA), ובאופן רחב יותר אימות רב שלבי (MFA), משלב גורמים משני סוגים שונים, כך שסיסמה גנובה לבדה לא מספיקה. הבדיקה היא לא תמיד השוואה של סיסמה לרשומה שמורה: Passkey (מפתח גישה) מוכיח זהות בחתימה קריפטוגרפית שנוצרת במכשיר שלכם, ו"התחברות עם Google" מעבירה את הבדיקה לספק זהויות, מה שנקרא כניסה אחידה (SSO). זה חוסך לכם לשמור סיסמאות, אבל גם אומר שמי שמשתלט על החשבון אצל הספק מקבל דרך לחשבון אצלכם. אימות עונה על השאלה "מי אתם?". הרשאה (Authorization), השלב שאחריו, עונה על השאלה "מה מותר לכם לעשות?". באתרי הממשלה בישראל קוראים לאימות "הזדהות", ושתי המילים מתארות את אותו הדבר.

למה זה חשוב

התקן האמריקאי העדכני, NIST SP 800-63B-4 (יולי 2025), הופך הרבה מהמיתוסים: לפיו אסור לחייב כללי הרכב כמו שילוב של סוגי תווים, ואסור לחייב החלפת סיסמה תקופתית אלא אם יש ראיה לפריצה. במקום זה הוא דורש אורך, לפחות 15 תווים כשהסיסמה היא הגורם היחיד ולפחות 8 כשהיא חלק מאימות רב שלבי, ובדיקה מול רשימה של סיסמאות נפוצות או כאלה שדלפו. קודים שנשלחים ב-SMS או בשיחה טלפונית הוא מסווג כשיטה מוגבלת, ולכן אפליקציית אימות או Passkey חזקות יותר, אבל קוד ב-SMS עדיין עדיף על סיסמה לבד. ארגון FIDO מתאר את ה-Passkeys כעמידים בפני פישינג ומאובטחים מעצם התכנון. בישראל, המדריך של מערך הסייבר הלאומי לעסקים קטנים משנת 2018 מונה בין עשר ההמלצות הבסיסיות שלו "שימוש באמצעי אימות דו-שלבי". זו המלצה, לא חובה בחוק.

קשור ישירות: שרת (Server), מסד נתונים (Database), לקוח במחשוב (Client).

טיפים לשיפור

• הפעילו עוד היום אימות דו שלבי בחשבון Google או Microsoft של העסק, ב-Meta Business, אצל רשם הדומיין, בבנק ובתוכנת הנהלת החשבונות.
• העדיפו אפליקציית אימות או Passkey על פני קודים ב-SMS, והשאירו SMS רק איפה שאין אפשרות טובה יותר.
• בקשו סיסמאות ארוכות ובדיקה מול סיסמאות שדלפו, ולא כללים על סימנים ואותיות גדולות.
• השתמשו בהתחברות המובנית של הפלטפורמה או בשירות התחברות מוכר, במקום שמפתח יכתוב אחד מאפס.
• תנו לכל עובד חשבון משלו, וסגרו אותו ביום שהוא עוזב.

טעויות נפוצות

• שמירת סיסמאות כטקסט גלוי או עם גיבוב (hashing) חלש.
• חיוב בסימנים מיוחדים ובהחלפת סיסמה כל חודש, מה שדוחף אנשים לסיסמאות צפויות שנכתבות על פתקים.
• בלבול בין אימות (מי אתם) להרשאה (מה מותר לכם לעשות).
• מספר בלתי מוגבל של ניסיונות התחברות, שמזמין ניחוש אוטומטי.