Idira Identity

ניתוח מאת Appcrazy

כשאפליקציה עוסקת בזהות, כניסה לחשבונות ואימות, השאלה החשובה מבחינתי אינה רק אם היא נראית מסודרת, אלא אם היא באמת מקלה על היום־יום בלי ליצור בלבול בין משתמשים. Idira Identity של Palo Alto Networks Ltd מיועדת לעולם העסקי, עם ניהול אישורים, כניסה לאפליקציות באמצעות SSO ואימות מאובטח באמצעות MFA. התקנתי ובחנתי אותה מנקודת מבט של אדם שמשתמש במכשיר גם לצרכים אישיים וגם לצורכי עבודה, ובמיוחד במצבים שבהם כמה אנשים בבית נוגעים באותו טלפון או מחשב.

היא זמינה בחינם, מדורגת לגיל PEGI 3, ומופיעה בקטגוריית אפליקציות העסקים. מבחינת נתוני החנות, היא מחזיקה בממוצע של 4.6 מתוך 5 על בסיס בערך 1.1 אלף דירוגים, וצברה מעל חצי מיליון התקנות. המספרים האלה לא מחליפים בדיקה אישית, אבל הם כן מצביעים על כך שלא מדובר בכלי ניסיוני שמיועד לקבוצה זעירה בלבד.

איך היא מתנהגת במכשיר משותף ובשגרת הבית

התרחיש שבו מצאתי את הערך הברור ביותר הוא בית שבו אותו מכשיר משמש גם לעבודה, גם ללימודים וגם לסידורים אישיים. אדם אחד צריך להיכנס למערכת ארגונית, בן משפחה אחר משתמש במכשיר לצפייה או ללימודים, ולעיתים מישהו מבקש “רק רגע” כדי לאשר כניסה. במצב כזה, קל מאוד ללחוץ על אישור בלי לבדוק מי מבקש אותו. Idira Identity מכניסה את נושא הזהות אל מרכז התהליך, במקום להשאיר אותו כהודעה מעורפלת שקופצת על המסך.

חשוב להבהיר את גבולות השימוש: זו אינה אפליקציה לניהול פרופילים משפחתיים, לניטור ילדים או לשיתוף חשבונות. היא לא הופכת מכשיר משותף למערכת עם אזורים נפרדים לכל בן משפחה. הערך שלה נמצא בכך שהיא מסייעת למשתמש המאומת לגשת לשירותים המתאימים לו, ולא בכך שהיא מנהלת את כל בני הבית.

לכן, אם אתם משתמשים בטלפון אחד עבור כמה אנשים, כדאי לקבוע כלל פשוט: האדם שהחשבון שייך לו הוא גם האדם שבודק ומאשר את בקשת הכניסה. לא מוסרים קוד אימות לאחרים ולא מאשרים הודעה רק מפני שמישהו לידכם אמר שהוא “צריך להיכנס”. זה נשמע בסיסי, אבל דווקא במכשיר משותף הגבול הזה נשחק מהר. האפליקציה יכולה לתמוך בהרגל הזה, אך היא אינה יכולה להחליף אותו.

מה קורה כשיש כמה חשבונות וסביבות

במקום לזכור סיסמה נפרדת לכל שירות, SSO מאפשר כניסה דרך זהות מרכזית לשירותים שהארגון חיבר אליה. מבחינתי, היתרון אינו רק חיסכון בהקלדה. הוא מצמצם את הרגעים שבהם משתמש עייף בוחר סיסמה חלשה, שומר אותה במקום לא בטוח או לוחץ על קישור התחברות לא מוכר מפני שהוא רוצה לסיים במהירות.

פרסומות

מצד שני, ריכוז הכניסה יוצר אחריות גדולה יותר. אם אתם חושבים שהאפליקציה “תפתור” כל בעיית גישה מעצמה, אתם עלולים להתאכזב. היא תלויה בכך שהארגון הגדיר את השירותים וההרשאות בצורה נכונה. אם אפליקציה עסקית מסוימת אינה מופיעה או אם משתמש רואה שירות שאינו צריך, זו בדרך כלל שאלה של ניהול זהויות והרשאות בארגון, לא תקלה שאפשר לפתור בלחיצה אקראית.

בבית עם מכשיר משותף, אני ממליץ לא להסתפק בכך שהמכשיר פתוח. לפני כניסה לשירות עבודה, בדקו שהחשבון הפעיל הוא שלכם, שהשם או הכתובת המוצגים מוכרים לכם, ושאינכם נמצאים בדפדפן או בסביבת משתמש של בן משפחה אחר. זהו שימוש קטן אך חשוב: SSO מפשט את הכניסה, אבל הוא לא מבטל את הצורך לבדוק את זהות החשבון.

הציצו בבלוג שלנו

הגדרה ראשונית, גבולות הרשאה ותיאום בין אנשים

החוויה של Idira Identity תלויה מאוד בסביבה שבה היא מופעלת. משתמש קצה יכול ליהנות מתהליך כניסה נקי, אבל מאחורי הקלעים יש ארגון שמחליט אילו שירותים מחוברים, מי רשאי להשתמש בהם ואיך מתבצע האימות. לכן, לפני שמתקינים אותה, כדאי לדעת מי אחראי אצלכם על החשבון: מחלקת IT, מנהל מערכת או גורם אחר בארגון. בלי נקודת קשר כזאת, אפילו אפליקציה טובה עלולה להרגיש כמו דלת עם מנעול שאין לכם מפתח אליו.

במהלך ההתחלה, הייתי ניגש אליה כמו אל כלי עבודה ולא כמו אל אפליקציה חברתית. משתמשים בזהות הארגונית המתאימה, קוראים כל שלב באימות, ומוודאים שהבקשה שייכת לפעולה שביצעתם זה עתה. אם מופיעה בקשה בזמן שלא ניסיתם להיכנס, לא מאשרים אותה מתוך הרגל. זו אחת העצות המעשיות החשובות ביותר למי שמשתף מכשיר עם אחרים, משום שהקשר בין פעולה פיזית על המסך לבין בעל החשבון אינו תמיד ברור.

האימות באמצעות MFA מוסיף שכבת בדיקה מעבר לסיסמה. זה יכול להיות נוח במיוחד כשעובדים מרחוק או כשנכנסים למערכת ממכשיר שאינו משמש אתכם בכל יום. עם זאת, שכבה נוספת פירושה גם שלב נוסף. משתמש שמחפש כניסה מיידית לחלוטין עשוי לראות בכך חיכוך, בעיקר אם הוא נדרש לעצור, לקרוא הודעה ולאשר פעולה בכל פעם.

החיכוך הזה מוצדק כאשר מדובר במידע עסקי, אך הוא מורגש יותר במכשיר ביתי. אם בן משפחה מבקש מכם את הטלפון בזמן שאתם באמצע אימות, קל לאבד את ההקשר. אני מציע לסיים את תהליך הכניסה לפני שמוסרים את המכשיר, ולא להשאיר בקשת אישור פתוחה על המסך. זה אינו פיצ'ר מיוחד, אלא נוהל שימוש שמונע ערבוב בין חשבונות.

תיאום נכון במקום שיתוף סיסמאות

אחד היתרונות המעשיים של מערכת זהות מרכזית הוא האפשרות לתאם גישה בלי לשלוח סיסמאות בקבוצת משפחה או בצ'אט. אם עובד צריך להשתמש בשירות, הדרך הנכונה היא שהגישה תינתן דרך הארגון ושכל אדם ייכנס בזהות שלו. כך אפשר להפריד בין מי שביצע פעולה לבין מי שרק החזיק את המכשיר באותו רגע.

ההפרדה הזו חשובה גם כשאין כוונה רעה. נניח שהורה משתמש במחשב כדי לעזור לילד להעלות מסמך, ובאותו מחשב פתוחה גם סביבת עבודה. אם כולם משתמשים באותו חשבון, קשה לדעת מי שינה קובץ, מי אישר בקשה ומי פשוט לחץ על כפתור. Idira Identity אינה מערכת לניהול אחריות משפחתית, אך השימוש בזהות אישית לכל אדם מקטין את העמימות.

כדאי גם להסביר לבני הבית מהי בקשת MFA ומה אינה. אין צורך ללמד אותם מונחים טכניים רבים. מספיק כלל פשוט: לא מאשרים בקשה שלא התחלתם בעצמכם, ולא מקריאים קוד למי שמבקש אותו בטלפון או בהודעה. אם ילד משתמש במכשיר, האחריות נשארת אצל המבוגר שמנהל את חשבון העבודה; אין סיבה להפוך את הילד לשומר הסף של זהות עסקית.

מבחינת תיאום, אני אוהב את העובדה שהאפליקציה מכוונת לכניסה מסודרת ולא לשיתוף גישה מאולתר. אבל מי שמחפש לוח משפחתי, ניהול הרשאות לילדים או חלוקת זמן מסך צריך לבחור כלי אחר. אלה מטרות שונות, וחשוב לא להעמיס על Idira Identity ציפיות שהיא אינה מיועדת למלא.

גיל, אמון והבחנה בין שימוש אישי לעסקי

הדירוג PEGI 3 הופך את האפליקציה לנגישה מבחינת גיל, אך הוא אינו אומר שכל ילד צריך להשתמש בה. נושא הגיל כאן פחות חשוב מהקשר: מי בעל החשבון, איזה מידע נגיש דרכו, ומי רשאי לאשר כניסה. ילד יכול להיות ליד המכשיר, אך זה לא אומר שהוא צריך לראות הודעות אימות, להכיר פרטי כניסה או לקבל החלטות בשם המבוגר.

במכשיר משפחתי, אני ממליץ להפריד בין “מותר להשתמש במכשיר” לבין “מותר להשתמש בזהות”. אלה שני דברים שונים. אפשר לתת לילד לצפות בתוכן או לבצע משימה לימודית, ובמקביל לשמור את אפליקציית הזהות ואת פעולות האימות תחת שליטת בעל החשבון. ההפרדה הזו יוצרת אמון בריא יותר, מפני שהיא לא מבוססת על כך שכל בני הבית יודעים הכול, אלא על כך שכל אחד יודע מה האחריות שלו.

גם בין בני זוג או שותפים לדירה כדאי להימנע מהנחה שקרבה אישית מצדיקה גישה לחשבון עבודה. חשבון עסקי עשוי להכיל מסמכים, הודעות והרשאות שאינן שייכות לאדם אחר בבית. Idira Identity נוחה יותר כאשר כל משתמש שומר על הגבול הזה. היא פחות מתאימה למי שכל מטרתו היא לאפשר לכמה אנשים להיכנס לאותו חשבון במהירות.

האמון צריך לעבוד בשני הכיוונים. המשתמש צריך לסמוך על כך שהארגון הגדיר את הגישה בצורה אחראית, והארגון צריך לסמוך על כך שהמשתמש לא מאשר כל בקשה באופן אוטומטי. אם אתם מקבלים בקשות חוזרות שאינן תואמות לפעולות שלכם, אל תתייחסו לכך כרעש. עצרו ובדקו מול הגורם האחראי בארגון. אפליקציית אימות טובה היא חלק מתהליך אבטחה, לא תחליף למודעות.

מה עשוי להפריע בשימוש היומיומי

החיסרון הבולט הוא התלות בתשתית הארגונית. משתמש פרטי שמורגל באפליקציות שבהן הוא נרשם לבד, בוחר סיסמה ומתחיל לעבוד, עשוי לגלות כאן תהליך פחות עצמאי. אם אין לכם חשבון ארגוני מתאים, לא תוכלו ליהנות מהערך המרכזי שלה רק מפני שהתקנתם אותה.

גם MFA אינו נטול אי־נוחות. הוא מוסיף שלב, ולעיתים השלב הזה מגיע בדיוק כשאתם ממהרים לפתוח מסמך או להתחבר לשירות. במכשיר משותף, כל עצירה כזו דורשת תשומת לב כדי לוודא שהאישור שייך לאדם הנכון. בעיניי זה מחיר סביר עבור גישה עסקית, אבל לא כל משתמש יחשוב כך.

יש גם הבדל בין פשטות למוגבלות. Idira Identity יכולה לרכז את הכניסה לשירותים שהוגדרו עבורה, אך היא לא בהכרח תחליף למנהל סיסמאות אישי עבור כל החשבונות הפרטיים שלכם. אם אתם רוצים לשמור סיסמאות לאתרי קניות, חשבונות בידור וחשבונות ביתיים, כלי ייעודי לניהול סיסמאות עשוי להתאים יותר. אם אתם רוצים שליטה על משתמשים במכשיר, פרופילים נפרדים או הגבלות לילדים, מערכת ההפעלה וכלי בקרת הורים יהיו בחירה נכונה יותר.

עוד נקודה שכדאי לזכור היא המעבר בין מכשירים. מי שעובד פעם בטלפון, פעם במחשב ופעם במכשיר של הארגון צריך להכיר את תהליך הכניסה בכל סביבה. האפליקציה יכולה להקל על הזהות, אבל היא לא מבטיחה שכל מכשיר ירגיש זהה או שכל בעיית גישה תיפתר באותה דרך. כאן נדרשת סבלנות, ובעיקר ידיעה למי לפנות כשנדרש שינוי הרשאה.

למי היא מתאימה ומה כדאי לעשות לפני שמתחילים

Idira Identity מתאימה במיוחד לעובדים וארגונים שרוצים לרכז כניסה לשירותים עסקיים, להפחית תלות בסיסמאות רבות ולהוסיף MFA לתהליך. היא מתאימה גם למי שמשתמש במכשיר ביתי לצד עבודה, בתנאי שהוא מוכן לשמור על גבולות ברורים בין האדם שמחזיק במכשיר לבין האדם שבבעלותו החשבון.

היא פחות מתאימה למשתמש שמחפש אפליקציה אישית לניהול כל הסיסמאות, למשפחה שרוצה חשבון משותף, או להורה שמחפש בקרת שימוש לילדים. במקרים האלה, שימוש בה עלול ליצור ציפייה שגויה ולגרום לכם להרגיש שהיא חסרה, אף שהבעיה היא פשוט בחירת כלי שאינו מיועד למשימה.

לפני התקנה ושימוש, הייתי בודק שלושה דברים: האם הארגון שלכם משתמש בזהות של Palo Alto Networks Ltd, מי מטפל בתקלות כניסה, ומהו החשבון שאמור להיות מחובר למכשיר. לאחר מכן, כדאי לבצע כניסה ראשונה בזמן רגוע, לא בזמן פגישה או משימה דחופה. קראו את בקשות האימות, ודאו שהן תואמות לפעולה שלכם, והסבירו לבני הבית שלא מאשרים אותן עבורכם.

הגרסה הנוכחית היא 26.12 (200), והיא דורשת מערכת הפעלה 11 ומעלה. לכן, אם הטלפון ישן יותר, כדאי לבדוק את התאימות לפני שמקדישים זמן להגדרה. זו בדיקה פשוטה שחוסכת מצב שבו האפליקציה מתאימה לארגון אך אינה יכולה לפעול במכשיר שבידיכם.

מבחינת שימוש שוטף, הטיפ היעיל ביותר שלי הוא להפריד בין שלושה רגעים: פתיחת השירות, אישור הזהות וסיום העבודה. אל תשאירו את המכשיר פתוח לאחר שסיימתם, אל תעבירו אישור לאדם אחר, ואל תניחו שכניסה קודמת הופכת כל כניסה חדשה לבטוחה. הרגלים כאלה חשובים במיוחד בבית שבו המכשיר עובר מיד ליד.

פסק הדין שלי למשק בית עם מכשיר משותף

אחרי השימוש, אני רואה ב-Idira Identity כלי עסקי ממוקד, לא אפליקציה משפחתית. היא עושה את העבודה החשובה שלה סביב זהות, SSO ו-MFA, ומעודדת גישה מסודרת יותר לשירותים ארגוניים. החוזקה שלה מורגשת כאשר יש כמה מערכות שצריך לפתוח, אך עדיין חשוב שכל משתמש יישאר מזוהה בפני עצמו.

בבית עם מכשיר משותף, היא יכולה להשתלב היטב אם אתם מגדירים כלל ברור: לא משתפים זהות, לא מאשרים בקשות עבור אדם אחר, ולא משאירים חשבון עבודה פתוח. היא אינה מנהלת את הגבולות האלה במקומכם, ולכן ההצלחה תלויה בשילוב בין האפליקציה לבין התנהגות אחראית.

המחיר החינמי והדירוג הגבוה הופכים אותה לאפשרות מעניינת עבור מי שכבר נמצא בסביבה ארגונית מתאימה. עם זאת, לא הייתי מתקין אותה רק כדי לנהל חשבונות אישיים או לפתור בעיית שימוש משפחתית. במצבים כאלה מנהל סיסמאות, פרופילי משתמש או בקרת הורים יהיו בחירה מדויקת יותר.

בשורה התחתונה, אני ממליץ עליה לעובדים ולארגונים שרוצים להפוך את הכניסה לשירותים עסקיים לבטוחה ומסודרת יותר, במיוחד כאשר SSO ו-MFA כבר חלק מתהליך העבודה. למשתמש ביתי שמחפש פתרון לכל המשפחה היא תהיה ממוקדת מדי, אבל למי שצריך לשמור על גבול ברור בין זהות אישית לזהות מקצועית, היא יכולה להיות תוספת שימושית מאוד לשגרת העבודה.