מאמת החשבונות של Google

ניתוח מאת Appcrazy

כשאני חושב על אבטחת חשבונות, אימות דו-שלבי הוא בדרך כלל הצעד שמפריד בין סיסמה שנחשפה לבין חשבון שנשאר מוגן. מאמת החשבונות של Google נועד בדיוק לרגע הזה: הוא מספק קוד נוסף בזמן הכניסה, כך שסיסמה לבדה לא תספיק למי שמנסה לפרוץ לחשבון. זהו כלי חינמי של Google LLC בקטגוריית הכלים, עם דירוג ממוצע של 3.8 מתוך 5 ועל בסיס יותר מחצי מיליון דירוגים.

אני רואה בו אפליקציה ממוקדת מאוד. היא לא מנסה להיות מנהל סיסמאות, אפליקציית גיבוי או מרכז אבטחה מלא. המטרה שלה פשוטה: לחבר חשבון לשלב אימות נוסף, ואז לספק את הקוד הדרוש כשמבקשים אותו. למי שרוצה להגן על חשבון Google, שירות עבודה או שירות אחר שתומך באימות באמצעות אפליקציה, זו יכולה להיות דרך נוחה יותר מהסתמכות על הודעת טקסט.

מהרגע שבו מתחילים ועד לרגע שבו נכנסים לחשבון

המצב שממנו מתחילים

השימוש מתחיל בדרך כלל אחרי שמפעילים אימות דו-שלבי בהגדרות האבטחה של החשבון. חשוב להבין את הסדר: האפליקציה אינה מחליפה את הגדרת האבטחה באתר או בשירות עצמו. קודם בוחרים להשתמש באפליקציית מאמת, ולאחר מכן מחברים אותה לחשבון באמצעות תהליך ההגדרה שמוצג על המסך.

בשלב הזה אני ממליץ לא למהר לסגור את מסך ההגדרה. השירות עשוי להציג קוד QR או מפתח הגדרה, והם משמשים ליצירת החיבור בין החשבון לבין המאמת. אם סורקים את הקוד במכשיר הלא נכון או מחליפים טלפון לפני שמסיימים את התהליך, אפשר להיתקע דווקא ברגע שבו צריך להוכיח בעלות על החשבון.

הנקודה החשובה היא שהאפליקציה אינה דורשת ממני להקליד את הסיסמה בכל פעם מחדש. היא משמשת כשכבה נפרדת: הסיסמה נמסרת בשלב הראשון, והקוד מהמאמת מגיע אחריה. ההפרדה הזאת שימושית במיוחד אם אני חושש שסיסמה נשמרה בדפדפן ציבורי, נמסרה בטעות או הופיעה בשירות שנפגע.

ההגדרה הראשונית בפועל

אחרי התקנת האפליקציה, אני פותח אותה ומוסיף את החשבון לפי האפשרויות שמופיעות בה. אם השירות מציג קוד QR, סריקה היא בדרך כלל הדרך המהירה ביותר. אם אין אפשרות לסרוק, אפשר להשתמש במפתח ההגדרה הידני, אבל כאן צריך להקפיד על כל תו ולבדוק שלא הוקלד רווח מיותר.

פרסומות

לאחר החיבור, השירות מבקש בדרך כלל קוד שמופיע במאמת כדי לוודא שההגדרה הצליחה. זהו שלב קטן אך חשוב: הוא מוודא שהחשבון והאפליקציה מתואמים כבר לפני ניסיון הכניסה הבא. אם הקוד נדחה, לא כדאי לנחש שוב ושוב. עדיף לבדוק שהשעה במכשיר מוגדרת אוטומטית, מפני שקוד המבוסס על זמן עלול להיכשל כאשר שעון הטלפון אינו מסונכרן.

הטיפ הזה נשמע שולי, אבל הוא פתרון מעשי לתקלה נפוצה. כאשר קוד נראה נכון ועדיין לא מתקבל, הבעיה אינה תמיד בחשבון. בדיקת תאריך, שעה ואזור זמן אוטומטיים יכולה לחסוך מחיקה והגדרה מחדש. אם עדיין יש בעיה, כדאי להתחיל את תהליך החיבור מחדש רק אחרי ששומרים את אפשרויות השחזור של החשבון.

הציצו בבלוג שלנו

איך נראית כניסה יומיומית

נניח שאני נכנס לחשבון Google ממחשב שלא השתמשתי בו קודם. אני מקליד את שם המשתמש ואת הסיסמה, ואז השירות מבקש את שלב האימות הנוסף. אני פותח את המאמת, מאתר את החשבון המתאים, קורא את הקוד שמוצג ומקליד אותו במסך הכניסה. אם הקוד תואם, הכניסה ממשיכה.

הזרימה הזאת קצרה, אבל היא מוסיפה פעולה בכל התחברות שמפעילה את האימות. עבורי, זו פשרה הגיונית בחשבון שמכיל דואר, מסמכים, תמונות או מידע אישי. מצד שני, מי שנכנס עשרות פעמים ביום או מחליף מכשירים לעיתים קרובות עלול להרגיש שהשלב הנוסף מצטבר ומכביד.

אני גם אוהב את העובדה שהקוד אינו נשלח בהכרח דרך רשת סלולרית. כאשר אין קליטה, הודעת טקסט עלולה להתעכב, ואילו אפליקציית מאמת יכולה להציג קוד ישירות מהמכשיר. זה לא אומר שהאפליקציה פותרת כל מצב של אובדן גישה, אבל בשימוש רגיל היא מפחיתה תלות בערוץ תקשורת נוסף.

המעבר בין האפליקציה לשירות שמבקש את הקוד

כאן נמצא ה-handoff המרכזי של כל התהליך: אני עובר ממסך הכניסה של השירות אל המאמת, קורא את הקוד, ואז חוזר למסך המקורי. במכשיר עם מסך קטן, המעבר הזה יכול להיות מעט מסורבל. אם הקוד מתחלף בזמן שאני מעתיק אותו, צריך לחזור לאפליקציה ולנסות עם הקוד החדש.

לכן אני משתדל לא להעתיק קוד מוקדם מדי. קודם אני מוודא שמסך הכניסה מוכן, אחר כך פותח את המאמת, קורא את הקוד ומקליד מיד. זו עצה פשוטה, אך היא הופכת את השימוש להרבה פחות מתסכל, במיוחד כאשר הקוד מתחלף במחזוריות קבועה.

במחשב ובטלפון התהליך מרגיש שונה. במחשב יש לי בדרך כלל מסך אחד פתוח לכניסה ומכשיר נפרד להצגת הקוד, ולכן ההעתקה נוחה. בטלפון אני צריך לעבור בין אפליקציות, ולעיתים המסך נטען מחדש או שדה הקוד מאבד מיקוד. למי שמבצע את רוב הכניסות מהטלפון, זו נקודת חיכוך שכדאי לקחת בחשבון.

מה קורה כשיש כמה חשבונות

מי שמנהל חשבון אישי וחשבון עבודה צריך להקדיש תשומת לב לשמות החשבונות שמופיעים במאמת. כאשר יש כמה רשומות דומות, קל לבחור בקוד של החשבון הלא נכון. אני ממליץ להוסיף את החשבונות בזהירות ולבדוק את הכתובת המלאה לפני שמאשרים את ההגדרה, במקום להסתמך רק על שם קצר או על הסדר שבו הם מופיעים.

היתרון הוא שאפשר לרכז כמה חשבונות באותה אפליקציה, כך שלא צריך להתקין מאמת נפרד לכל שירות. החיסרון הוא שהריכוז הזה מגדיל את החשיבות של שמירה על הטלפון. אם כל החשבונות נמצאים באותו מכשיר, אובדן המכשיר אינו רק אי-נוחות טכנית; הוא מחייב אותי להשתמש מראש באפשרויות שחזור שהוגדרו בחשבונות עצמם.

העברת השימוש למכשיר חדש

החלפת טלפון היא המבחן האמיתי של כל מאמת. לפני שאני מוחק את האפליקציה מהמכשיר הישן, אני דואג שהחשבון עדיין נגיש ושאפשר להוסיף את המכשיר החדש. אם אני מנתק את הישן מוקדם מדי, אני עלול להישאר בלי הדרך לקבל את הקוד בזמן שהמערכת עדיין דורשת אימות.

בתרחיש כזה, עדיף לבצע את המעבר כששני המכשירים זמינים. אני מתקין את המאמת במכשיר החדש, משלים את החיבור דרך הגדרות האבטחה, בודק כניסה בפועל ורק אז מסיר את הישן. הבדיקה המעשית חשובה יותר מהנחה שהכול עבר בהצלחה: ניסיון התחברות קטן יכול לחשוף בעיה לפני שהמכשיר הישן נמחק או נמכר.

אם הטלפון הישן אבד, התהליך תלוי באמצעי השחזור שהוגדרו בחשבון ובאפשרויות שהשירות מציע. לכן אני לא מתייחס למאמת כאל פתרון יחיד. הוא שכבת הגנה מצוינת, אך הוא צריך להשתלב בתוכנית גישה רחבה יותר, במיוחד עבור חשבון מרכזי שמשמש גם לשירותים אחרים.

התוצאה אחרי שהכול עובד

אחרי ההגדרה, התוצאה מורגשת בעיקר ברגע שבו סיסמה לבדה כבר אינה מספיקה. גם אם מישהו גילה את הסיסמה, הוא עדיין צריך את הקוד שמופיע במאמת. זו אינה הבטחה מוחלטת נגד כל סוג של תקיפה, אבל היא מעלה משמעותית את הדרישה ממי שמנסה להיכנס מרחוק.

במקרה יומיומי, נניח שאני מקבל הודעה על ניסיון כניסה לחשבון בזמן שאני בעבודה. אני יכול לבדוק אם מדובר בניסיון שלי, ואם לא, לא למסור קוד לאף אחד. כאן חשוב לזכור: קוד אימות הוא סוד זמני. מי שמבקש אותו בשיחה, בהודעה או בדוא"ל אינו צריך לקבל אותו, גם אם הוא מציג את עצמו כתמיכה.

המאמת מתאים במיוחד למי שרוצה להגן על חשבון Google שמשמש לדואר, קבצים ושירותים נוספים, וגם למי שמנהל חשבון עבודה או חשבון של עסק קטן. הוא פחות מתאים למי שמחפש ניהול מרוכז של סיסמאות, מילוי אוטומטי, שיתוף מאובטח עם בני משפחה או מערכת שחזור עשירה בתוך אותה אפליקציה.

איפה הוא עדיף על החלופות, ואיפה פחות

בהשוואה לקבלת קודים בהודעות טקסט, היתרון המעשי הוא שהקוד מופק באפליקציה ולא תלוי בהגעת הודעה. זה יכול להיות נוח בנסיעות, באזורים עם קליטה חלשה או כאשר אני מעדיף לא לקשור את תהליך הכניסה למספר הטלפון. עם זאת, הודעת טקסט עשויה להרגיש פשוטה יותר למשתמשים שמתקשים לעבור בין מסכים או שאינם רוצים לנהל אפליקציה נוספת.

בהשוואה למפתח אבטחה פיזי, המאמת זמין יותר לרוב המשתמשים ואינו דורש לשאת אביזר נפרד. מפתח פיזי יכול להיות בחירה טובה יותר עבור מי שמגן על חשבון בעל רגישות גבוהה ומוכן להשקיע בתהליך חומרה מסודר. אני לא הייתי מציג את המאמת כתחליף אוניברסלי לכל שיטת אימות, אלא כפתרון נגיש ומאוזן לשימוש אישי רגיל.

בהשוואה לאפליקציות אימות של צד שלישי, היתרון הברור כאן הוא הקרבה לחשבון Google ולשירותים של אותו מפתח. מי שכבר משתמש בסביבה של Google עשוי להעדיף ממשק מוכר ופשוט. מצד שני, משתמש שמרכז קודים של שירותים רבים ורוצה כלי עם אפשרויות ניהול מתקדמות עשוי למצוא אפליקציה ייעודית אחרת גמישה יותר.

הנקודות שבהן הזרימה נשברת

התקלה הראשונה היא אובדן הטלפון. אם אין לי דרך חלופית להוכיח בעלות על החשבון, המאמת עצמו לא יכול לפתור את הבעיה. לכן אני בודק מראש את אפשרויות השחזור, שומר אותן במקום בטוח ולא מחכה לרגע שבו המכשיר כבר אינו בידי.

התקלה השנייה היא קוד שלא מתקבל. מעבר לשעון לא מסונכרן, כדאי לבדוק שבחרתי את החשבון הנכון ושאני מקליד את הקוד החדש ביותר. אין טעם להמשיך להשתמש בקוד שכבר התחלף. אם הבעיה חוזרת, מחיקה אקראית של רשומת החשבון עלולה להחמיר את המצב, ולכן עדיף לעבור דרך הגדרות האבטחה של השירות ולבדוק את החיבור בצורה מסודרת.

התקלה השלישית היא בלבול בין שירותים. לא כל מסך שמבקש קוד הוא בהכרח מסך הכניסה הנכון, ולא כל הודעת תמיכה שמבקשת קוד היא לגיטימית. אני מקפיד להקליד את הקוד רק באתר או באפליקציה שאליהם התכוונתי להיכנס, ולעולם לא מוסר אותו לאדם אחר.

יש גם חיכוך פחות דרמטי: האפליקציה עושה דבר אחד, ולכן היא יכולה להיראות בסיסית למי שמצפה למרכז אבטחה מלא. אין כאן תהליך עשיר לניהול כל היבט של החשבון, והמשתמש עדיין צריך להבין את הגדרות האימות של כל שירות בנפרד. בעיניי, הפשטות היא יתרון למתחילים, אך היא מגבלה למשתמשים מתקדמים.

למי הייתי ממליץ עליו

אני ממליץ על מאמת החשבונות של Google למי שרוצה להפעיל אימות דו-שלבי בלי להסתמך רק על הודעות טקסט, ומוכן להשקיע כמה דקות בהגדרה מסודרת. הוא מתאים למשתמשים פרטיים, לעובדים שמתחברים לחשבון עבודה ולכל מי שמחזיק חשבון Google שיש בו מידע שאסור שיישאר מוגן בסיסמה בלבד.

הוא גם מתאים למי שמעדיף כלי חינמי, ללא עלות שימוש, עם דירוג של 3.8 ומעל מאה מיליון התקנות. המספרים האלה מראים שמדובר באפליקציה מוכרת מאוד, אבל הם אינם סיבה להתעלם מההתאמה האישית. פופולריות אינה מבטיחה שהמעבר בין אפליקציות יהיה נוח לכל אדם או שהשחזור יתאים לכל מצב.

אני פחות ממליץ עליו כבחירה יחידה למי שאינו מסוגל לשמור על גישה לטלפון, למי שמחליף מכשירים לעיתים קרובות בלי לבצע העברה מסודרת, או למי שצריך ניהול ארגוני מורכב. במקרים כאלה, כדאי לשקול שיטת אימות נוספת או כלי שמתאים יותר לניהול מרוכז, בהתאם לדרישות החשבון.

התרשמות מסכמת לאחר השימוש

מאמת החשבונות של Google הוא כלי ממוקד, והערך שלו מגיע דווקא מכך שהוא אינו מנסה לעשות יותר מדי. הוא מוסיף שלב ברור לכניסה, עובד היטב כאשר הטלפון זמין והשעה מסונכרנת, ומפחית את התלות בהודעות טקסט. ההגדרה דורשת מעט תשומת לב, והמעבר בין מסך הכניסה לאפליקציה אינו תמיד חלק, אבל אחרי שמתרגלים לזרימה היא הופכת צפויה.

העצה החשובה ביותר שלי היא להגדיר אותו לפני שמתרחש אירוע אבטחה, לבדוק כניסה אמיתית, להכין דרך שחזור ולתכנן מראש מעבר למכשיר חדש. כך האפליקציה אינה רק קוד שמופיע על המסך, אלא חלק מתהליך שלם שמתחיל בהגנה על החשבון ומסתיים בגישה אמינה אליו.

למשתמש שמחפש שכבת אבטחה פשוטה וחינמית, אני חושב שזהו פתרון ראוי. מי שזקוק למערכת רחבה יותר צריך לבחור כלי אחר או לשלב אותו עם אמצעי נוסף. מבחינתי, החוזקה המרכזית היא הפיכת אימות דו-שלבי להרגל יומיומי ברור, בלי להעמיס על המשתמש מערכת שלמה של אפשרויות. האפליקציה מיועדת לכל הגילים בדירוג PEGI 3, והושקה ב-21 במרץ 2012, אך הרלוונטיות שלה נשארת פשוטה מאוד: סיסמה היא התחלה, לא סוף ההגנה.