מנהל סיסמאות זו לא המלצה, זו חובה

כל פעם שמישהו אומר לי שהוא זוכר את כל הסיסמאות שלו בראש, אני יודע שיש בעיה. לרוב זה אומר שאותה סיסמה, או גרסה קטנה שלה, חוזרת בעשרות אתרים שונים.

הבעיה לא מתחילה אצלך

היא מתחילה כשאחד מהאתרים האלה נפרץ. ברגע שהסיסמה שלך יוצאת החוצה, מישהו ינסה אותה בכל שירות אחר שהוא יכול לחשוב עליו. זה נקרא credential stuffing, וזו הסיבה שרוב הפריצות לחשבונות אישיים לא מתחילות בפריצה מתוחכמת. הן מתחילות בשימוש חוזר בסיסמה.

איך זה נראה מהצד השני

התוקף לא יושב ומנחש. הוא לוקח קובץ עם מיליוני צמדים של אימייל וסיסמה מדליפה ישנה, ומריץ אותם אוטומטית מול כל שירות שהוא מכיר. בפועל זה נראה בערך כך:

# every line is email:password, straight out of an older breach
while IFS=: read -r email password; do
  curl -s -X POST https://example.com/login \
    -d "email=$email&password=$password"
done < leaked-credentials.txt

הקוד הזה לא מתוחכם, והוא לא צריך להיות. הוא עובד כי אותה סיסמה חוזרת בשני מקומות.

מה עושים במקום

מנהל סיסמאות פותר את זה בלי לדרוש ממך לזכור כלום. סיסמה אקראית וארוכה לכל שירות, ואתה זוכר סיסמה אחת חזקה שפותחת את הכל. תוסיפו אימות דו שלבי בכל מקום שאפשר, ותהיה לכם תשתית סבירה בלי להשקיע בזה יותר מדי מחשבה.

למה זה שווה את הטרחה

זו לא המלצה של מומחה אבטחה שרוצה להרשים אתכם. זו הפעולה הכי פשוטה שאני מכיר עם התשואה הכי גבוהה.