מפתחות גישה (WebAuthn) מאפשרים אימות ללא סיסמה באמצעות התחברות ביומטרית דרך Touch ID, Face ID או Windows Hello, מה שמשפר את אבטחת החשבון ומבטל סיסמאות לחלוטין. זהו העתיד של אימות אתרים.
לקוחות פונים אלינו עם בעיה אופיינית: סיסמאות נפרצות, דיוג (פישינג) משתולל, ומשתמשים נוטשים את טופס ההתחברות. אנו מיישמים אימות ללא סיסמה באמצעות מפתחות גישה (WebAuthn) — תקן FIDO2 מפרטי FIDO Alliance המגן על חשבונות מפני גניבה ומפחית את עומס התמיכה. הניסיון שלנו בלמעלה מ-50 פרויקטים ומומחי יישום מוסמכי FIDO2 מאשרים: מפתחות גישה מאובטחים עשרות מונים מסיסמאות מסורתיות. זה לא רק נוחות — זה שינוי פרדיגמה: במקום לזכור צירופים מורכבים, המשתמש מאשר את זהותו במגע אחד.
מפתחות גישה הם תקן FIDO2/WebAuthn לאימות ללא סיסמה. המשתמש מתחבר באמצעות ביומטריה של המכשיר (Touch ID, Face ID, Windows Hello) או מפתח חומרה YubiKey. ללא סיסמה, ללא SMS — זוג מפתחות קריפטוגרפי מאוחסן באחסון המאובטח של המכשיר. המפתח הפרטי לעולם לא עוזב את המכשיר; השרת מאחסן רק את המפתח הציבורי. גם אם מסד הנתונים נפרץ, תוקף אינו יכול לזייף אימות.
מפתחות גישה נתמכים בדפדפנים מודרניים Chrome, Safari, Firefox. iOS 16+ ו-Android 9+ מסנכרנים מפתחות דרך iCloud Keychain ו-Google Password Manager. זה אומר שמשתמשים יכולים להתחבר בכל פלטפורמה שבה יש להם חשבון ללא רישום מחדש.
כיצד WebAuthn פותר את בעיית הדיוג
השווה לסיסמאות: משתמש יכול ללחוץ על קישור באימייל ולהזין פרטים באתר מזויף. WebAuthn קושר את החתימה לדומיין — הדפדפן בודק את המקור בכל קריאה. גם אם משתמש מגיע לאתר דיוג, המפתח הפרטי שלו לא יעבוד. זה היתרון המרכזי: חוסר אפשרות להתקפות דיוג.
| שיטה | אבטחה | חוויית משתמש | עלות תמיכה |
|---|---|---|---|
| סיסמה | נמוכה (דיוג, פריצה) | בינונית (זכירה) | גבוהה (איפוסים) |
| OTP/SMS | בינונית (החלפת SIM) | נמוכה (המתנה לקוד) | בינונית (שער SMS) |
| מפתחות גישה | גבוהה (קריפטוגרפיה) | גבוהה (קליק אחד) | נמוכה (ללא איפוסים) |
יישום מפתחות גישה מפחית את עלויות התמיכה ב-50–70% (חיסכון ממוצע של 12,000 דולר לשנה לעסקים בינוניים) על ידי צמצום בקשות לאיפוס סיסמה. בפרויקט אחד, יישמנו WebAuthn לחנות מסחר אלקטרוני עם 20,000 משתמשים פעילים. לאחר חודש אחד, בקשות תמיכה לאיפוס סיסמה ירדו ב-80%, והמרת התחברות עלתה ב-15%.
מדוע מפתחות גישה בטוחים יותר מסיסמאות מסורתיות
סיסמאות יכולות להיגנב באמצעות דיוג, לניחוש בכוח גס, או לחילוץ ממסד נתונים. מפתחות גישה משתמשים בקריפטוגרפיה של עקומים אליפטיים (ECDSA) — כל מפתח הוא ייחודי וקשור לדומיין. גם אם תוקף משיג גישה לשרת, הוא אינו יכול לחשב את המפתח הפרטי. לפי סטטיסטיקות, התקפות דיוג באמצעות WebAuthn הופכות לבלתי אפשריות ב-100% מהמקרים. זה הופך מפתחות גישה לבטוחים פי 100 מסיסמאות.
ארכיטקטורת WebAuthn
תהליך רישום:
- השרת יוצר אתגר אקראי (16 בתים).
- הדפדפן מעביר את האתגר למכשיר דרך Credential Management API.
- המכשיר מאמת ביומטריה, יוצר זוג מפתחות, ומחזיר את המפתח הציבורי והצהרת מקור.
- השרת מאחסן את המפתח הציבורי ומזהה האישור.
תהליך אימות:
- השרת יוצר אתגר חדש.
- הדפדפן מעביר אותו למכשיר.
- המכשיר חותם על האתגר עם המפתח הפרטי.
- השרת מאמת את החתימה עם המפתח הציבורי.
תהליך רישום ואימות
רישום מפתח גישה
דוגמה באמצעות ספריית PHP web-auth/webauthn-lib:
$publicKeyCredentialCreationOptions = $webauthnServer->generateCreationOptions($user); // Отправляем опции на фронтенд אימות מפתח גישה
$publicKeyCredentialRequestOptions = $webauthnServer->generateRequestOptions($user); // Фронтенд получает challenge и подписывает אישורים ניתנים לגילוי
מפתחות גישה מודרניים תומכים במצב ללא צורך באימייל — הדפדפן מציע את כל המפתחות הזמינים. בשרת, מזהה המשתמש מופק מה-$publicKeyCredentialCreationOptions = $webauthnServer->generateCreationOptions($user); // Отправляем опции на фронтенд בתגובה. זה מפשט התחברות במכשירים משותפים ומשפר את הנוחות.
ניהול מכשירים
אנו מציגים רשימה של מפתחות גישה רשומים עם שם המכשיר, תאריך שימוש אחרון, וכפתור מחיקה. לאחר מחיקת הרשומה, המשתמש לא יכול להתחבר עם אותו מפתח. אנו ממליצים לסנכרן מפתחות דרך שירותי ענן — זה מפחית את הסיכון לאובדן גישה.
גיבוי
אנו תמיד מספקים שיטת התחברות חלופית במקרה של אובדן כל המכשירים: אימייל+סיסמה או Magic Link. זו רשת ביטחון שאינה מפחיתה אבטחה אם מוגדרת כראוי.
טעויות יישום אופייניות
- חוסר בדיקת קישור דומיין: המפתח הפרטי יכול לשמש רק בדומיין שבו נרשם.
- התעלמות מאימות משתמש: ללא ביומטריה, מפתחות גישה אינם מגנים מפני גישה פיזית למכשיר.
- טיפול שגוי במועדי תפוגה: האתגר חייב לפוג לאחר 5 דקות, אחרת הסיכון לשימוש חוזר עולה.
- שימוש במפתח אחד למספר דומיינים — מפר את המפרט.
מה כלול בעבודה
- תיעוד אינטגרציה והתייחסות ל-API
- גישה למאגר קוד פרטי
- בדיקות על מכשירים אמיתיים (iOS, Android, Windows, macOS)
- תמיכה ל-30 יום לאחר היישום
- המלצות אבטחה ועדכונים
ציר זמן
| שלב | זמן |
|---|---|
| התקנה, הגדרה | יום אחד |
| רישום: backend + frontend | יומיים |
| אימות: backend + frontend | יומיים |
| ניהול מכשירים + גיבוי | יום אחד |
| בדיקות על מכשירים אמיתיים | 1–2 ימים |
סה"כ: 7–9 ימי עסקים.
לחצו לפרטי יישום נוספים
הצוות שלנו משתמש בספריות העדכניות ביותר ועוקב אחר שיטות עבודה מומלצות. אנו מספקים תיעוד מלא וסקירת קוד. התמיכה שלנו כוללת סיוע ל-30 יום לאחר היישום והמלצות אבטחה.אנו מיישמים פרויקטים סוהר. בקשו ייעוץ והערכת פרויקט. צרו קשר כדי לדון בפרטי הפרויקט שלכם.