סיסמה חזקה: איך יוצרים אחת ומה לא עושים

מה זה סיסמה חזקה? סיסמה חזקה היא סיסמה ארוכה שקשה לנחש, שלא מבוססת על פרטים אישיים או על מילה מוכרת, ושאינה בשימוש בשום חשבון אחר. לחשבון חשוב מומלץ ביטוי של כמה מילים אקראיות, ולשאר החשבונות סיסמאות אקראיות שנוצרות ונשמרות במנהל סיסמאות, יחד עם אימות דו-שלבי.

מה הופך סיסמה לחזקה?

סיסמה נחשבת חזקה כשקשה לנחש אותה, בין אם בניחוש אנושי, כמו תאריך לידה או שם של ילד, ובין אם בניסיון אוטומטי, שבו תוכנה מנסה מיליוני צירופים בשנייה. שלושה דברים משפיעים על זה יותר מכל: אורך, אקראיות וייחודיות.

אורך הוא הגורם החשוב ביותר. כל תו נוסף מכפיל את מספר האפשרויות שהתוקף צריך לבדוק, ולכן סיסמה ארוכה קשה לפיצוח הרבה יותר מסיסמה קצרה עם תווים מיוחדים. אקראיות פירושה שאין דפוס ניתן לניבוי. סיסמה כמו “Dana1985!” נראית מורכבת, אבל כוללת שם, שנת לידה וסימן קריאה, בדיוק הצירוף שהתוקפים מנסים ראשון. ייחודיות פירושה שכל חשבון מקבל סיסמה משלו, כדי שדליפה באתר אחד לא תחשוף אתכם בכל מקום אחר.

ההנחיות הרשמיות העדכניות בנושא, כמו אלה של המכון האמריקאי לתקנים וטכנולוגיה (NIST), עוברות מכללי הרכב נוקשים, כמו חובה לשלב אות גדולה וסימן מיוחד, אל העדפה של אורך ובדיקה שהסיסמה לא מופיעה ברשימות סיסמאות שנחשפו בדליפות. הן גם מזהירות מפני החלפת סיסמה בתדירות קבועה בלי סיבה, כי אנשים מגיבים לכך בשינויים קטנים וצפויים. מחליפים סיסמה כשיש חשד לדליפה, ולא לפי לוח זמנים. בגרסה 4 של ההנחיות (SP 800-63B-4) נקבע גם שסיסמה שהיא הגורם היחיד להתחברות צריכה להיות באורך 15 תווים לפחות, ושכשהיא רק חלק מאימות רב-שלבי מינימום של 8 תווים מספיק.

למה “P@ssw0rd” היא סיסמה גרועה?

כי תחליפי אותיות כמו @ במקום a ו-0 במקום o הם בדיוק מה שתוכנות ניחוש כבר יודעות לנסות. הסיסמה נראית מסובכת לאדם, אבל לתוקף היא וריאציה מוכרת של מילה נפוצה. כך גם מילים עם מספר בסוף, כמו שם החתול ושנה. אם אפשר לתאר את הסיסמה במשפט כמו “שם ועוד שנה ועוד סימן”, כנראה שהיא צפויה.

מה ההבדל בין סיסמה לביטוי סיסמה?

ביטוי סיסמה (Passphrase) הוא סיסמה שמורכבת מכמה מילים אקראיות ברצף, למשל ארבע או חמש מילים שאינן קשורות זו לזו. הוא ארוך, ולכן קשה לפיצוח, וגם קל לזכירה יחסית, כי אפשר לדמיין תמונה מצחיקה שמחברת את המילים. הוא מתאים במיוחד לסיסמה הראשית של מנהל הסיסמאות, לחשבון הדוא״ל הראשי ולהצפנת מכשיר, כלומר למקומות שבהם צריך לזכור משהו בעצמכם.

התנאי החשוב הוא שהמילים יהיו אקראיות באמת. ציטוט משיר, פתגם ידוע או משפט מהספר האהוב עליכם הם בחירות צפויות. הדרך הטובה היא לבחור מילים בעזרת מחולל אקראי, כמו מנהל הסיסמאות שיש בו אפשרות כזו, או בעזרת קוביות ורשימת מילים בשיטת Diceware. הכלל: אם אתם בחרתם את המילים מהראש, הן לא אקראיות מספיק.

איך יוצרים סיסמה חזקה צעד אחר צעד?

1. 1

   מחליטים על הסיסמה הראשית

   בוחרים ביטוי של ארבע עד חמש מילים אקראיות, שאתם יכולים לדמיין כתמונה אחת. כותבים אותו פעם אחת בלבד על נייר ושומרים במקום בטוח בבית, עד שהוא נשמר בזיכרון.

2. 2

   מתקינים מנהל סיסמאות

   אפשר להשתמש במנהל המובנה במערכת, כמו מנהל הסיסמאות של אפל באייפון (מחזיק מפתחות ב-iCloud) או מנהל הסיסמאות של גוגל, בהתאם לגרסה שלכם, או באפליקציה ייעודית מיצרן מוכר. חשוב שיהיה אפשר לייצא את הנתונים בעתיד.

3. 3

   מתחילים מהחשבונות החשובים

   מחליפים קודם את הסיסמאות של הדוא״ל, הבנק, חשבון Apple או Google והרשתות החברתיות. לכל אחד מקבלים סיסמה אקראית ארוכה ממחולל המנהל.

4. 4

   מפעילים אימות דו-שלבי

   בכל חשבון שמאפשר זאת מפעילים אימות דו-שלבי, עדיף באמצעות אפליקציית אימות או מפתח אבטחה ולא הודעת טקסט.

5. 5

   בודקים דליפות

   נכנסים לשירות Have I Been Pwned ובודקים אם כתובת הדוא״ל שלכם הופיעה בדליפה. אם כן, מחליפים את הסיסמה באתר הרלוונטי ובכל מקום שבו הייתה בשימוש.

אילו טעויות הכי נפוצות ביצירת סיסמה?

יש רשימה קצרה של טעויות שחוזרות אצל כמעט כולם, ותיקון שלהן מעלה את רמת האבטחה יותר מכל טריק מתוחכם.

הטעות הראשונה היא שימוש באותה סיסמה בכמה אתרים. כשאתר נפרץ, הסיסמאות נמכרות או מתפרסמות, ותוקפים מנסים אותן אוטומטית באתרים נפוצים אחרים. זו הסיבה שהחלפת מילה קטנה בסוף, כמו שם האתר, לא באמת עוזרת. הטעות השנייה היא פרטים אישיים: שמות, תאריכים, מספרי טלפון ושמות חיות מחמד. אלה פרטים שמופיעים ברשתות חברתיות, ולכן קלים לניחוש. הטעות השלישית היא סיסמה קצרה “עם הכל”: שמונה תווים עם אות גדולה, מספר וסימן הם עדיין שמונה תווים בלבד. הטעות הרביעית היא שמירה במקום לא מוגן, כמו פתק על הצג, קובץ בשם “סיסמאות” בשולחן העבודה או הודעה שנשלחה לעצמכם בוואטסאפ.

הטעות החמישית קשורה לשיתוף. אל תשלחו סיסמה בהודעה, ואל תמסרו קוד אימות לאף אחד, גם למי שמציג את עצמו כנציג של בנק או חברה. הנוכלים מתחזים לגופים מוכרים כדי להוציא קודים וסיסמאות. מדריך קוד אימות מסביר למה זה כלל בלי יוצאים מן הכלל, והמדריך על פישינג מראה איך מזהים הודעות כאלה לפני שלוחצים.

איך מנהל סיסמאות עוזר ומה צריך לדעת עליו?

מנהל סיסמאות הוא אפליקציה שיוצרת סיסמאות אקראיות, שומרת אותן מוצפנות ומזינה אותן אוטומטית כשנכנסים לאתר. אתם זוכרים סיסמה ראשית אחת, והוא זוכר את כל השאר. היתרון המעשי גדול: אפשר להשתמש בסיסמה ארוכה וייחודית לכל חשבון, בלי לשנן אף אחת. מנהל סיסמאות גם מזהה אתרים מזויפים, כי הוא ממלא סיסמה רק באתר שהכתובת שלו תואמת לזו ששמורה.

כמה כללים חשובים בעת השימוש. השתמשו בסיסמה ראשית חזקה שאינה בשימוש בשום מקום אחר. הפעילו אימות דו-שלבי על חשבון המנהל עצמו. ודאו שיש לכם דרך לשחזר את הגישה, כמו קוד שחזור שמודפס ושמור בבית, כי אם תשכחו את הסיסמה הראשית ייתכן שאי אפשר יהיה לפתוח את הכספת. ולבסוף, גבו את הנתונים לפי כלל הגיבוי 3-2-1 כך שלא תישארו בלי כלום אם אבד המכשיר.

מה ההבדל בין שיטות לשמירת סיסמאות?

שיטה	רמת אבטחה	נוחות	מתאים ל
זיכרון בלבד	נמוכה, כי מובילה לסיסמאות חוזרות	גבוהה בהתחלה	לא מומלץ מעבר לסיסמה הראשית
מחברת פיזית בבית	בינונית, תלויה במקום השמירה	נמוכה	קוד שחזור וגיבוי חירום
מנהל סיסמאות מובנה במכשיר	גבוהה	גבוהה	רוב המשתמשים
מנהל סיסמאות ייעודי	גבוהה	גבוהה, ועובד בין פלטפורמות	מי שמשתמש בכמה מערכות
קובץ בשולחן העבודה	נמוכה מאוד	גבוהה	לא מומלץ

מה אחרי סיסמה חזקה? אימות דו-שלבי ומפתחות גישה

גם סיסמה מצוינת יכולה להיחשף בדליפה או בהונאה, ולכן הגנה טובה לא נשענת עליה בלבד. אימות דו-שלבי מוסיף שלב שני בהתחברות, כמו קוד מאפליקציה או מפתח אבטחה פיזי. מי שמצא את הסיסמה עדיין לא יכול להיכנס. המדריך על אימות דו-שלבי מסביר איך מפעילים אותו בחמש דקות ואילו שיטות עדיפות.

בנוסף, יותר שירותים תומכים במפתחות גישה (Passkeys), שמחליפים את הסיסמה באימות במכשיר, כמו טביעת אצבע או זיהוי פנים, ובמפתח קריפטוגרפי שאינו ניתן להקלדה או להעברה. מפתחות גישה עמידים בפני דיוג, כי אין סיסמה שאפשר לגנוב. אם אחד השירותים שלכם מציע אותם, כדאי להפעיל אותם, אבל לשמור גם דרך גיבוי להתחברות.

האם אפשר לתת לכלי AI ליצור סיסמה?

לא מומלץ להדביק או להמציא סיסמאות אמיתיות בצ’אטבוט. הודעות בשיחה עשויות להישמר בחשבון (בהתאם להגדרות השירות), ומודל שפה אינו מחולל אקראי אמיתי. במקום זה, השתמשו במחולל של מנהל הסיסמאות. מה לא כדאי להדביק בצ’אטבוט מפורט ברשימת בדיקה לפרטיות ב-AI.

איך תוקפים מגלים סיסמאות ולמה זה משנה לבחירה שלכם?

כדי להבין למה ההמלצות נראות כך, כדאי להכיר בקצרה את השיטות שבהן סיסמאות נחשפות. הראשונה היא ניחוש מבוסס מילון: תוכנה מנסה מילים נפוצות, שמות פרטיים, צירופים עם מספרים ותבניות מוכרות כמו אות גדולה בהתחלה וספרות בסוף. השנייה היא ניסיון גס, שבו התוכנה עוברת על כל צירוף אפשרי של תווים. כאן אורך הוא היתרון הגדול שלכם, כי כל תו מוסיף עבודה רבה לתוקף. השלישית היא שימוש בסיסמאות שדלפו: כשאתר נפרץ, הסיסמאות שלו מגיעות לרשימות שמסתובבות, ותוקפים מנסים אותן אוטומטית באתרים אחרים. זה כל הסיפור של הייחודיות.

השיטה הרביעית היא הנדסה חברתית: במקום לפצח את הסיסמה, מבקשים אותה. זה יכול להיות דף התחברות מזויף שהגעתם אליו מהודעה, שיחה מ”נציג הבנק” או בקשה “לאמת” קוד שנשלח אליכם. כאן לאורך הסיסמה אין שום משמעות, כי אתם מוסרים אותה בעצמכם. ההגנה היחידה היא ערנות ואימות דו-שלבי שאינו מבוסס על קוד שאפשר למסור. החמישית היא תוכנה זדונית שמותקנת במכשיר ומקליטה הקלדות. גם כאן סיסמה חזקה לא עוזרת, ולכן חשוב לעדכן את המכשיר ולהתקין תוכנות רק ממקורות רשמיים.

המסקנה המעשית: אורך ואקראיות מגנים מפני ניחוש, ייחודיות מגינה מפני דליפות באתרים אחרים, ואימות דו-שלבי עם ערנות מגנים מפני הנדסה חברתית. אף אחד מהם לא מספיק לבדו, ולכן ההמלצה היא שילוב של כולם.

מה עושים אם חושבים שהסיסמה נחשפה?

הפעולות הבאות מסודרות לפי דחיפות, והן מתאימות לחשד לדליפה או לכניסה לא מורשית לחשבון.

ראשית, משנים את הסיסמה באתר המושפע, ובוחרים סיסמה חדשה לגמרי שלא משתמשת בחלק מהישנה. שנית, מחליפים אותה גם בכל חשבון אחר שבו הייתה אותה סיסמה או סיסמה דומה, ואם אין לכם מושג כמה כאלה, זו הסיבה שחשוב להתחיל במנהל סיסמאות. שלישית, מתנתקים מכל המכשירים בהגדרות האבטחה של החשבון, כדי לנתק מי שנכנס. רביעית, מפעילים אימות דו-שלבי אם הוא לא היה פעיל. חמישית, בודקים את הפעילות האחרונה בחשבון: כניסות ממקומות לא מוכרים, הגדרות העברה אוטומטית של דוא״ל או מכשירים לא מוכרים ברשימת המכשירים. תוקפים נוהגים להוסיף העברה אוטומטית כדי להמשיך לקבל הודעות גם אחרי שהחלפתם סיסמה.

אם הסיסמה שדלפה הייתה של חשבון בנק, כרטיס אשראי או חשבון שמחובר לתשלום, מיד פונים לגוף הפיננסי דרך האתר או הטלפון הרשמיים ומבקשים לבדוק פעולות חשודות. אל תחזרו למספר שהגיע בהודעה. ואם נתתם סיסמה או קוד בתגובה להודעה חשודה, הניחו שהחשבון נפרץ ופעלו מהר.

איך מנהלים סיסמאות במשפחה ובעבודה?

בבית, ההמלצה היא לתת לכל אחד חשבון משלו במנהל הסיסמאות ולשתף רק מה שבאמת משותף, כמו חשבון נטפליקס או חשבון הוצאות של הבית. מנהלים רבים מאפשרים כספת משפחתית משותפת. כך לא צריך לשלוח סיסמאות בוואטסאפ, ואם מישהו עוזב אפשר להסיר אותו מהכספת. כדאי לדאוג שלבן או בת זוג יהיה גם קוד שחזור או גישת חירום לחשבונות החשובים, כדי שלא יישארו בלי גישה אם משהו יקרה.

בעבודה, הכלל הוא להפריד. אל תשתמשו באותה סיסמה בחשבון העבודה ובחשבונות אישיים, ואל תשמרו סיסמאות עבודה במנהל האישי אלא אם הארגון מרשה. עסק קטן שמשתף חשבון בין כמה עובדים, למשל חשבון ברשת חברתית או בכלי שיווק, צריך מנהל סיסמאות עסקי או לפחות כספת משותפת, ולא פתק או גיליון שיתופי. במקרה של סיום העסקה, שינוי הסיסמה והסרת העובד מהחשבון הם צעדים שחייבים להיעשות באותו יום.

איך מתרגלים לעבוד עם סיסמאות חדשות בלי להתייאש?

השינוי נשמע גדול, אבל אפשר לבצע אותו בהדרגה. אל תנסו להחליף שבעים חשבונות ביום אחד. התחילו מחמשת החשבונות החשובים ביותר, ואז בכל פעם שאתם נכנסים לאתר ישן, המנהל יציע לכם לשמור או לעדכן סיסמה. אחרי חודש או חודשיים רוב החשבונות שאתם משתמשים בהם בפועל כבר יהיו מכוסים. ההרגל החדש הוא לא להקליד סיסמה בכלל, אלא ללחוץ על המילוי האוטומטי ולאשר.

מה עושים עם חשבונות ישנים שאינם בשימוש?

חשבונות ישנים הם נקודת תורפה שקל לשכוח. אם אתם לא משתמשים באתר, מחקו את החשבון או לפחות החליפו את הסיסמה לאקראית. מנהל סיסמאות יציג לכם רשימה של כל החשבונות ששמרתם, ועוד כלי ביקורת שמסמן סיסמאות חוזרות וחלשות. קחו חצי שעה אחת ועברו על הרשימה, ותקבלו שיפור משמעותי באבטחה בלי להוסיף שום הרגל חדש.

מילון מונחים: סיסמה, ביטוי סיסמה, האש ועוד

• סיסמה (Password): מחרוזת סודית שמוכיחה שאתם בעלי החשבון.
• ביטוי סיסמה (Passphrase): סיסמה שמורכבת מכמה מילים אקראיות.
• מנהל סיסמאות (Password manager): אפליקציה שיוצרת ושומרת סיסמאות מוצפנות.
• אימות דו-שלבי (2FA): שלב נוסף בהתחברות, מעבר לסיסמה.
• מפתח גישה (Passkey): אמצעי התחברות שמחליף סיסמה באימות במכשיר.
• דליפה (Data breach): חשיפה של פרטי משתמשים שנגנבו מאתר או מארגון.
• Credential stuffing: ניסיון אוטומטי להתחבר לאתרים באמצעות סיסמאות שדלפו מאתר אחר.
• Diceware: שיטה ליצירת ביטוי סיסמה אקראי בעזרת הטלת קובייה ורשימת מילים.

מה עושים לפי המצב שלכם?

רשימת בדיקה לסיסמה חזקה

שאלות נפוצות

קראו גם

• אימות דו-שלבי: איך מפעילים אותו בחמש דקות ולמה זה הכרחי
• פישינג: מה זה, איך מזהים הודעות מזויפות ומה עושים
• קוד אימות: למה לא מוסרים אותו לאף אחד
• מה לא כדאי להדביק בצ’אטבוט: רשימת בדיקה לפרטיות
• מנהל סיסמאות: איזה לבחור

מקורות וקריאה נוספת

• Have I Been Pwned: בדיקה אם הדוא״ל שלכם הופיע בדליפה
• הנחיות NIST לזהות דיגיטלית (SP 800-63B-4)