הסוף לסיסמאות: העידן הביומטרי כבר כאן
דמיינו קונה במשנת יוסף אונליין שממלא עגלת קניות שלמה, מגיע לשלב התשלום, ואז, נתקע. הוא לא זוכר את הסיסמה לחשבון. מנסה שילוב אחד, שני, שלישי. בסוף מוותר ויוצא מהאתר בלי לקנות כלום. זה קרה גם לכם? זה לא תרחיש נדיר: לפי סקר שערכה ברית FIDO לרגל "יום מפתח הגישה העולמי" של שנת 2025, כמעט מחצית מהרוכשים אונליין 48% נטשו בעבר רכישה מקוונת רק בגלל ששכחו את הסיסמה שלהם.
וזה רק קצה הקרחון. 36% מהאנשים חוו לפחות פעם אחת חשבון שנפרץ בעקבות סיסמה חלשה או גנובה, כך לפי אותו סקר. הסיסמה, שנועדה במקור לשמש כשומר סף פשוט, לא בנויה להתמודד עם העולם הדיגיטלי הסבוך של ימינו. אנשים משתמשים באותה סיסמה במספר אתרים במקביל, כותבים אותה על פתק שנדבק למסך המחשב, או בוחרים משהו קל לזכירה, וקל באותה מידה לניחוש עבור כל מי שרוצה לפרוץ.
התוצאה מורגשת גם בכיס של החברות והארגונים. כל פנייה בודדת לתמיכה טכנית בעקבות שכחת סיסמה עולה לארגון אלפי דולרים בשנה על כל עובד, כך על פי ניתוח שפרסמה חברת OLOID, שמפתחת פתרונות זיהוי דיגיטלי לעסקים. ומהצד השני, של התוקפים, התמונה לא פחות מדאיגה: גניבת פרטי התחברות היא אחד הגורמים המרכזיים לפריצות מידע ברחבי העולם, וחברות אבטחת מידע מדווחות על עלייה חדה בשנים האחרונות בהתקפות פישינג, הודעות מתחזות, למשל מייל או הודעת וואטסאפ שנראית כאילו הגיעה מהבנק, שמטרתן לגנוב פרטים אישיים, התקפות שהופכות מתוחכמות במיוחד בעזרת בינה מלאכותית.
מפתח הגישה מחליף את הסיסמה
איך פותרים בעיה כזאת? התשובה שמתגבשת בשנים האחרונות אצל ענקיות הטכנולוגיה מבוססת על רעיון פשוט למדי: להחליף את העיקרון של "מה שאתה זוכר" (הסיסמה) בעיקרון של "מה שיש לך" (המכשיר שלך) או "מי שאתה" (הגוף שלך). לכל אדם ברא הקב"ה טביעת אצבע ותווי פנים משלו, ייחודיים, והטכנולוגיה למדה בשנים האחרונות לנצל את הייחוד הזה לצורך זיהוי מהיר ובטוח. כך מסבירה חברת Aratek, שמפתחת טכנולוגיות זיהוי ביומטרי: תחת הקטגוריה של "אימות ללא סיסמה" נכנסים טביעת אצבע, זיהוי פנים, וגם מפתחות פיזיים קטנים המתחברים למחשב או לטלפון.
בלב המהפכה הזאת עומד תקן טכנולוגי בשם "מפתח גישה", איך זה עובד בפועל, בלי להיכנס לפרטים טכניים מסובכים? במקום סיסמה שעוברת ברשת האינטרנט וחשופה לגניבה, נוצרים שני "קודים" מיוחדים המשולבים זה בזה: אחד מהם נשאר נעול בתוך הטלפון או המחשב של המשתמש ולעולם אינו יוצא ממנו, והשני מאוחסן אצל האתר עצמו. כשהמשתמש מבקש להתחבר, המכשיר שלו "מוכיח" את זהותו בלי לחשוף שום סוד, וגם אם פורצים לאתר, אין להם מה לגנוב, כי הסיסמה במובן המסורתי פשוט לא קיימת יותר. סקר שהזמינה ברית FIDO בשנת 2024 מצא שכבר 53% מהאנשים הפעילו מפתח גישה כזה בלפחות חשבון אחד, ו-22 אחוז אימצו אותו בכל מקום אפשרי.
המספרים שמגיעים עם המעבר הזה מדברים בעד עצמם. חברת Amazon, ענקית הקמעונאות והטכנולוגיה האמריקאית, דיווחה על זמני כניסה מהירים פי 6 אצל משתמשים שעברו למפתחות גישה, וגוגל מדדה שיפור פי 4 בשיעור ההצלחה של תהליך ההתחברות בהשוואה לסיסמה רגילה. חברת הביטוח הרפואי האמריקאית CVS Health רשמה ירידה של 98% במקרים שבהם פורצים השתלטו על חשבונות של לקוחות באפליקציה, וחברת התעופה הניו-זילנדית מדווחת על הפחתה של מחצית בשיעור הלקוחות שמתחילים בתהליך ההתחברות ומתייאשים באמצעו. לא רע בכלל עבור טכנולוגיה שרובנו בקושי שמענו עליה לפני כמה שנים.
הסכנות שבזיהוי הביומטרי האישי
לכל מטבע יש צד שני. מה קורה כשגונבים סיסמה? מחליפים אותה, וזהו. אבל מה קורה כשגונבים, או פורצים, את הנתון הביומטרי שלך, כלומר את המידע המבוסס על מאפיינים גופניים ייחודיים כמו טביעת אצבע או תווי פנים? כאן טמונה הבעיה שמטרידה מומחי פרטיות ברחבי העולם. מכון Identity Management Institute, שעוסק בנושאי ניהול זהויות דיגיטליות, מנסח זאת כך: "בשונה מסיסמאות שניתן לשנות אם נפגעו, מאפיינים ביומטריים הם קבועים ואינם ניתנים לשינוי". טביעת אצבע שנחשפה במאגר שנפרץ נשארת חשופה, למעשה, לכל החיים, אין לה "איפוס", ואין דרך להנפיק לאדם אצבע חדשה.
המחשה לפער הזה סיפקו חוקרים מאוניברסיטת מישיגן סטייט שבארצות הברית. הם השתמשו במחשבים חכמים מסוג "למידת מכונה", טכנולוגיה שמלמדת את המחשב לזהות דוגמאות בעצמו מתוך כמות עצומה של מידע, כדי ליצור סדרת טביעות אצבע מלאכותיות מסוג המכונה "טביעות אב", אלו טביעות מזויפות שמסוגלות להתאים למספר גדול של טביעות אמיתיות, ובכך לעקוף סורקים ביומטריים ברחבי העולם. גם מערכת זיהוי הפנים המתקדמת של אפל, ה-FaceID, לא נותרה חסינה. קבוצת פורצי מחשבים מווייטנאם הצליחה לרמות אותה בעזרת מסכה פשוטה יחסית, תרגיל שחשף עד כמה גם הטכנולוגיה המשוכללת ביותר עדיין פגיעה. עם זאת, לטביעת האצבע יש עדיין יתרון בולט בשוק הזיהוי הביומטרי, בזכות שילוב של מחיר סביר, דיוק גבוה ופגיעה מועטה יחסית בפרטיות, בהשוואה לחלופות אחרות.
בישראל עצמה, הוויכוח על מאגר ביומטרי ארצי הסעיר את דעת הקהל לא מעט. ב-2008 אישרה הממשלה הצעת חוק להקמת מאגר כזה, שיכלול טביעות אצבע ותמונות פנים של כלל אזרחי המדינה, והחוק אושר סופית בדצמבר 2009 לאחר דיון ציבורי סוער וממושך. התומכים טענו שהמאגר ימגר את תופעת זיוף תעודות הזהות ויסייע לחקירות פליליות. המתנגדים הזהירו מפגיעה בלתי הפיכה בפרטיות: דליפה עתידית, כך טענו, לא תהיה ניתנת לתיקון בשום אופן.
איך מאזנים בין נוחות לביטחון? השאלה הזו עדיין פתוחה, אבל הכיוון הכללי כבר ברור לעין: לאט לאט, שדה הסיסמה המוכר הולך ומתפנה, ובמקומו, אצבע, פנים, ומפתח דיגיטלי סמוי שאיש כמעט אינו רואה.
תגובות (2)