Passkeys + device intelligence: הגנה שכבתית מפני השתלטות על חשבונות

Passkeys הם השיפור המשמעותי ביותר באימות של צרכנים בעשור האחרון, והמסגור התעשייתי סביבם מטעה במידה מסוימת. המסגור טוען ש-passkeys "פותרים" את בעיית ההשתלטות על חשבונות. הם אינם פותרים אותה — הם מחסלים מחלקה אחת שלה, המחלקה הגדולה והניתנת ביותר לאוטומציה, ובכך הם דוחפים את התוקפים לעבר החלקים של מחזור חיי החשבון ש-passkeys מבנית אינם יכולים להגן עליהם.

הכתבה הזו מיועדת לארכיטקטים של אבטחה ולצוותי אבטחת מוצר שמטמיעים passkeys ורוצים מפה בהירה של מה ש-passkeys מכסים, מה הם משאירים חשוף, והיכן משתלבת שכבת device intelligence. התזה: passkeys ו-device intelligence משלימים זה את זה. Passkeys ממגנים את האימות; device intelligence מאבטח את כל מה שסביבו.

מה ש-passkeys באמת מתקנים

Passkeys מתקנים את גניבת האישורים על ידי הסרה מוחלטת של הסוד המשותף. אין סיסמה לפשל בפישינג, אין סיסמה לעשות בה שימוש חוזר בין אתרים, אין סיסמה שיושבת ב-dump של דליפה וממתינה שיזרקו אותה. זה סוגר בבת אחת את משטח התקיפה הגדול ביותר של השתלטות על חשבונות.

מבחינה מכנית, passkey הוא זוג מפתחות ציבורי-פרטי שנוצר עבור כל אתר בנפרד באמצעות התקנים WebAuthn ו-FIDO2. המפתח הפרטי לעולם אינו עוזב את מכשיר המשתמש (או את ספק האישורים המסונכרן שלו); האתר מאחסן רק את המפתח הציבורי. האימות הוא אתגר-מענה קריפטוגרפי: האתר שולח אתגר, המכשיר חותם עליו במפתח הפרטי, והאתר מאמת באמצעות המפתח הציבורי. שום דבר בר-שימוש-חוזר אינו עובר בקו.

מכאן נובעות שתי תכונות, והן אלה שמשנות לעניין ATO:

עמידות לפישינג. ה-passkey קשור קריפטוגרפית ל-origin של האתר. משתמש שמגיע לדומיין פישינג מתחזה אינו יכול להציג שם את ה-passkey שלו — הדפדפן לא יציע אותו, כי ה-origin אינו תואם. זה מנטרל את כל קטגוריית ה-proxy לפישינג בזמן אמת (התקפות מסוג Evilginx) שהופכת MFA מבוסס קוד חד-פעמי לחסר תועלת. פשוט אי אפשר להעביר את האישור ליעד הלא נכון.

אין סוד משותף לגנוב בכמויות. אין בסיס נתונים של סיסמאות מגובבות לזלוג, אין רשימת אישורים לקנות, אין חומר גלם לcredential stuffing. הכלכלה של התקפות סיסמה אוטומטיות תלויה בכך שהאישורים הגנובים יהיו זולים וניתנים לשימוש חוזר; passkeys הופכים אותם ללא-קיימים.

עבור התהליכים ש-passkey באמת שולט בהם — משתמש שמתחבר במכשיר שכבר מחזיק את ה-passkey שלו — זה קרוב לאטום. אם כל בסיס המשתמשים שלך היה מאמת אך ורק באמצעות passkeys על מכשירים שכבר ברשותם, ספר המשחקים הקלאסי של ATO היה מת.

זה אינו העולם שבו פועל שירות אמיתי כלשהו.

משטח התקיפה ש-passkeys אינם מכסים

Passkeys מאבטחים את אירוע האימות. השתלטות על חשבונות אינה מוגבלת לאירוע האימות — היא מכוונת לכל מחזור חיי החשבון, ורוב אותו מחזור יושב מחוץ למה ש-passkey שולט בו. ארבעה פערים משנים לעניין.

שחזור חשבון. זה הפער הגדול. כל שירות צריך דרך למשתמש שאיבד את מכשירו לחזור פנימה. נתיב השחזור הזה — קישור אימייל, קוד SMS, שאלות אבטחה, קודי גיבוי, אימות מול מוקד התמיכה — הוא מעצם הגדרתו דרך לאמת ללא ה-passkey. תוקף שאינו יכול להביס את ה-passkey תוקף במקום זאת את תהליך השחזור, ותהליכי שחזור הם בדרך כלל חלשים בהרבה מהאימות הראשי שהם עוקפים. הטמעת passkey עם fallback של "איפוס באמצעות קוד SMS" מחזיקה דלת אחורית הניתנת לפישינג ולהחלפת SIM, ללא קשר לחוזק הדלת הראשית.

רישום מכשירים. הוספת passkey חדש לחשבון היא פעולת שינוי-חשבון, ואם תוקף יכול לרשום את ה-passkey של מכשירו שלו, יש לו כעת גישה לגיטימית קבועה. הרישום מגודר בדרך כלל על ידי session מאומת קיים — מה שאומר שהוא יורש את החולשות של כל מה שביסס את אותו session, כולל תהליך השחזור שלמעלה. רישום-passkey-חדש הוא המקבילה המודרנית של "הוספת כלל העברה": שקט, מתמיד וקל לפספס.

חטיפת session. Passkeys מאמתים; הם אינם מאמתים מחדש באופן רציף. ברגע שהמשתמש התחבר, אסימון ה-session שנוצר הוא bearer credential כמו כל אחד אחר. גנוב אותו — באמצעות תוכנה זדונית, תוסף זדוני, מכשיר שנפרץ, או התקפת חילוץ אסימונים — ויש לך את ה-session המאומת מבלי לגעת ב-passkey לעולם. חוזק ההתחברות אינו אומר דבר על אבטחת השעה שאחריה.

הזנב הארוך של הלא-רשומים. אימוץ passkeys הוא אמיתי אך חלקי. חלק משמעותי מכל בסיס משתמשים צרכני לא יחזיק passkey: מכשירים ישנים, מכונות משותפות או ארגוניות, משתמשים שדחו את ההנחיה, משתמשים שאינם מבינים אותה. לכל אחד מהחשבונות האלה עדיין יש נתיב מבוסס-סיסמה או מבוסס-קוד, והתוקפים מתרכזים בדיוק בנתיב הזה. שירות מוגן רק כמו שיטת האימות החלשה ביותר הזמינה בו, ועבור הזנב הלא-רשום, השיטה הזו היא הישנה.

הדפוס לאורך כל הארבעה: אימות חזק אינו מסיר את התמריץ להשתלט על חשבונות, הוא מעתיק את התקיפה. זהו הלקח העקבי של נוף ה-ATO של 2026 — ככל שכל וקטור מתמגן, התוקפים זורמים לחלש-הבא. Passkeys מעבירים את הקרב מטופס ההתחברות אל תהליך השחזור, שלב הרישום, וה-session שלאחר ההתחברות.

מדוע device intelligence מכסה את הפערים

Device intelligence מכסה את פערי ה-passkey כי היא פועלת על ציר שונה: passkeys שואלים "האם למשתמש הזה יש המפתח הנכון", device intelligence שואלת "האם זה המכשיר וההקשר שאנו מצפים להם עבור החשבון הזה, בכל פעולה". השאלה השנייה ניתנת למענה גם כשאין passkey במשחק — וזה בדיוק המצב בשחזור, ברישום ובזנב הלא-רשום.

המנגנון הוא זהות מכשיר מתמשכת: מזהה יציב הבנוי מאותות דפדפן, חומרה, רשת והתנהגות, המזהה מכשיר חוזר לאורך sessions מבלי להסתמך על אישור מאוחסן. (כיצד המזהה הזה נבנה ומדוע הוא שורד ניקוי cookies מוסבר באיך device fingerprinting עובד.) כשהזהות הזו מחוברת להיסטוריה של חשבון, כל אחד מארבעת הפערים מקבל בקרה ש-passkeys אינם יכולים לספק.

שחזור הקשור למכשירים מוכרים. כשמגיע ניסיון שחזור, device intelligence עונה על שאלה שתהליך השחזור אחרת אינו יכול: האם השחזור הזה מתחיל ממכשיר שהחשבון הזה השתמש בו אי פעם? שחזור ממכשיר חדש לגמרי, במדינה חדשה, מ-IP של data-center, מסוכן קטגורית יותר משחזור מהמחשב הנייד הרגיל של המשתמש. האות הזה מאפשר לך לדרג את תהליך השחזור — אימות קל ממכשיר מוכר, אימות כבד (או השהיה) ממכשיר לא מוכר — במקום להחיל את אותה בדיקת SMS חלשה על כולם.

רישום המגודר באמון במכשיר. בקשה לרשום passkey חדש יכולה להיות מדורגת מול היסטוריית המכשיר. רישום passkey מהמכשיר המבוסס של המשתמש הוא צפוי. רישום ממכשיר שהופיע לפני דקות, מיד לאחר אירוע שחזור, מרשת חשודה, הוא החתימה של חשבון שנתפס. Device intelligence הופכת את בקשת הרישום הזו לקריאה במקום בלתי-נראית.

דירוג session רציף לאחר ההתחברות. מכיוון שזהות המכשיר מוערכת בכל בקשה, לא רק בהתחברות, session שמתחיל במכשיר אחד וממשיך באחר — טביעת האצבע של אסימון גנוב שמשוחזר במקום אחר — ניתן לזיהוי. הקשר המכשיר או הרשת המשתנה באמצע ה-session ומתרחק מהמכשיר המאומת הוא אות חטיפה ששום חוזק אימות בדלת הראשית אינו יכול לתפוס. זהו עקרון אימות מכשיר zero-trust: אמון מוערך באופן רציף, לא ניתן פעם אחת בדלת.

כיסוי ללא-רשומים. עבור המשתמשים שמעולם לא אימצו passkey, device intelligence היא השכבה שעושה את העבודה — מזהה את המכשיר המוכר שלהם ומעבירה התחברויות לגיטימיות בחיכוך נמוך, תוך סימון ניסיונות ה-credential stuffing וניסיונות המכשיר הלא-מוכר שמכוונים בדיוק לאוכלוסייה הזו. המשתמשים החשופים ביותר עקב אימוץ passkey חלקי הם אלה ש-device intelligence מגינה עליהם באופן הישיר ביותר.

הקו המחבר: passkeys מוכיחים החזקת מפתח ברגע אחד; device intelligence מבססת הקשר מכשיר והתנהגות לאורך כל רגע. הפערים בראשון הם בדיוק תחומו של השני.

כיצד שתי השכבות משתלבות בפועל

בהטמעה שכבתית, passkeys ו-device intelligence רצים במקביל, כל אחד סמכותי עבור ההחלטות שהוא מתאים להן, ומזינים תמונת סיכון אחת.

בהתחברות, passkey כשהוא קיים הוא הגורם הראשי החזק — עמיד לפישינג, ללא סוד משותף. Device intelligence רצה לצדו, מאשרת בשקט שהמכשיר מוכר וההקשר תקין. עבור התחברות passkey ממכשיר מוכר, זה בלתי-נראה: המשתמש מתחבר, שום דבר אינו מנחה. אות המכשיר נבדק רק כשהוא סותר את הציפייה.

בשחזור ורישום, שבהם לא מוצג passkey (זו כל המהות של התהליכים האלה), device intelligence הופכת לקלט הסיכון הראשי. פסק הsmart signals — מכשיר מוכר, מוניטין רשת, עקביות התנהגותית — קובע אם התהליך ממשיך בקלילות, מסלים לאימות חזק יותר, או מושהה לבדיקה. כאן הדלת האחורית האמיתית של הטמעת ה-passkey מקבלת מנעול.

לאחר ההתחברות, device intelligence מספקת הערכה רציפה. תפקידו של ה-passkey הסתיים באימות; שכבת המכשיר משגיחה על ה-session לאיתור שינויי ההקשר המצביעים על גניבת אסימון, ויכולה לכפות אימות מחדש כשאות המכשיר נשבר באמצע ה-session.

עבור הלא-רשומים, device intelligence נושאת בעומס הראשי גם בהתחברות, מבחינה בין המכשיר המוכר החוזר לבין ניסיון ה-credential stuffing, עד ש(ואם) המשתמש יאמץ passkey.

חלוקת העבודה נקייה כי שני המנגנונים עונים על שאלות שונות באמת ונכשלים בדרכים שונות באמת. Passkey אינו יכול לומר לך אם המכשיר שמבקש איפוס סיסמה ראוי לאמון; device intelligence אינה יכולה לספק הוכחה קריפטוגרפית עמידה-לפישינג להחזקת מפתח. הטמעת אחד ללא האחר משאירה חור צפוי — passkeys לבדם משאירים את תהליכי השחזור וה-session רכים; device intelligence לבדה חסרה את חוזק האימות הקריפטוגרפי בדלת הראשית.

המסגור הכן להשקת passkeys

אם אתה משיק passkeys, המסר הפנימי המדויק אינו "פתרנו את ההשתלטות על חשבונות". הוא "חיסלנו את גניבת האישורים כווקטור תקיפה, ועכשיו עלינו למגן את התהליכים שאליהם התוקפים יעברו". התהליכים האלה — שחזור, רישום, session, והזנב הלא-רשום — הם המקום שבו הסבב הבא של ניסיונות ATO יתרכז, דווקא משום שהדלת הראשית התחזקה. השקת passkeys שאינה ממגנת בו-זמנית את השחזור מעבירה את המנעול מהדלת לחלון, בעודה משאירה את החלון פתוח.

המיגון הזה הוא מה ששכבת device intelligence מספקת, וזו הסיבה שהעמדות ה-ATO החזקות ביותר משלבות את השניים. Passkeys הופכים את אירוע האימות לכמעט בלתי-ניתן-לניצחון. Device intelligence הופכת את שאר מחזור חיי החשבון — החלקים שאליהם התוקף פונה משום שאירוע האימות נעשה בלתי-ניתן-לניצחון — לניתנים לצפייה ולדירוג.

Tracio מספקת את חצי ה-device intelligence של הצמד הזה: זהות מכשיר מתמשכת ששורדת ניקוי cookies ו-sessions חדשים, אותות סיכון של רשת והתנהגות, ופסק המוחזר בפחות מ-50ms שמתחבר לשחזור, לרישום ולבדיקות session רציפות. היא רצה בשקט מאחורי התחברויות passkey ממכשירים מוכרים, ומתקדמת קדימה בדיוק היכן ש-passkeys אינם יכולים להגיע.

רוצה לראות כיצד device intelligence מכסה את התהליכים שהטמעת ה-passkeys שלך משאירה פתוחים?

התחל את הניסיון החינמי שלך — 2,500 אימותים חינם, ללא צורך בכרטיס אשראי. הזמן דמו כדי למפות את device intelligence מול ארכיטקטורת האימות, השחזור וה-session שלך.