פריסת אימות רב-גורמי (MFA) אינה מתג שנדלק בבת אחת, אלא תהליך הדרגתי המתעדף חשבונות בעלי הרשאות גבוהות ושיטות עמידות בפני דיוג. הספרות הטכנית – מ-NIST SP 800-63B ועד להנחיות CISA – מייעצת להימנע מ-SMS בשל פגיעותו להחלפת סים, בעוד כלים בקוד פתוח כמו Authelia או Keycloak מאפשרים יישומים ניתנים להרחבה ללא תלות בספקי ענן. כך ניתן לעשות זאת מבלי שהצוות ירגיש שהשינוי מהווה מכשול.

מדוע SMS כבר אינו MFA: הנתונים ש-NIST ו-CISA מעדיפים לא להזכיר

בשנת 2016, NIST SP 800-63B קבע במפורש כי הודעות טקסט (SMS) אינן צריכות לשמש כגורם אימות שני. הסיבה לא הייתה תיאורטית: בשנת 2015, ה-FBI דיווח על עלייה של 150% בהתקפות החלפת סים בארצות הברית, שבהן תוקפים משכנעים ספקי שירות סלולרי להעביר מספר לסים הנשלט על ידם. עד 2023, ההנחיה של CISA בנושא MFA עמיד בפני דיוג הלכה רחוק יותר: היא סיווגה SMS כ"לא מומלץ" והזהירה כי אפילו קודי TOTP (כמו אלה של Google Authenticator) עלולים להיחטף באמצעות התקפות תוקף-בתווך (AitM).

הנתונים תומכים בעמדה זו. מחקר של Google משנת 2022 ניתח 1.2 מיליון חשבונות שנפרצו ומצא כי 90% מההתקפות המוצלחות נגד MFA מבוסס SMS התרחשו באזורים עם רגולציה רופפת בנושא ניידות מספרים – תרחיש נפוץ באמריקה הלטינית, שבה מדינות כמו מקסיקו וקולומביה מובילות את הסטטיסטיקה של הונאות באמצעות החלפת סים לפי GSMA. האלטרנטיבה אינה מורכבת: FIDO2 (כמו YubiKey או מפתחות אבטחה המוטמעים ב-Windows Hello) מפחיתה כמעט לאפס את הסיכון לדיוג, שכן הגורם השני אינו עוזב את המכשיר הפיזי. אך האתגר אינו טכני, אלא של אימוץ.

הסדר הנכון: בעלי הרשאות גבוהות קודם, אחר כך השאר (ולמה Okta אינה האפשרות היחידה)

הכלל הבסיסי בפריסת MFA ברור: להתחיל מהחשבונות עם הגישה הרחבה ביותר. זה כולל מנהלי מערכות, מנהלים עם הרשאות גבוהות וכל משתמש בעל גישה למאגרי קוד, מסדי נתונים או כלים לתשלומים. ההיגיון כפול: ראשית, חשבונות אלה הם המטרה העיקרית של תוקפים (80% מהפרצות בשנת 2023 כללו אישורים בעלי הרשאות גבוהות, לפי IBM Cost of a Data Breach Report); שנית, הגבלת ההיקף ההתחלתי מפחיתה את החיכוך עבור שאר הצוות.

ב-CyberShield תיעדנו פריסות עבור עסקים קטנים ובינוניים באמריקה הלטינית: כאשר MFA מופעל תחילה עבור צוות ה-IT, הם יכולים לצפות בעיות נפוצות (כמו אובדן מפתחות פיזיים או אי-תאימות עם מערכות ישנות) ולהתאים את התהליך לפני הרחבתו. כלים כמו Keycloak או Authentik מאפשרים להגדיר מדיניות מפורטת: למשל, לדרוש FIDO2 עבור חשבונות בעלי הרשאות גבוהות אך לאפשר TOTP עבור השאר. זה בניגוד לפתרונות כמו Okta או Duo, המציעים אינטגרציות מוכנות לשימוש אך דורשים בדרך כלל מנויים יקרים ותלות בתשתית ענן – בעיה עבור חברות עם דרישות לריבונות נתונים.

דוגמה קונקרטית: פינטק בפרו עברה מ-SMS ל-FIDO2 עבור 200 עובדיה באמצעות Authelia, פתרון בקוד פתוח הפועל כפרוקסי לאימות. הפריסה ארכה שלושה שבועות, ללא עלות רישיונות ועם עלייה של 40% בשביעות רצון הצוות (נמדד בסקרים פנימיים), שכן המפתחות הפיזיים ביטלו את הצורך בהזנת קודים ידנית. המפתח היה הדרגתיות: תחילה עשרת המנהלים, אחר כך 30 המפתחים, ולבסוף השאר.

שיטות MFA תחת מיקרוסקופ: TOTP לעומת FIDO2 לעומת התראות דחיפה

לא כל שיטות ה-MFA שוות. הטבלה הבאה מסכמת את החוזקות והחולשות שלהן, בהתבסס על הקריטריונים של NIST ו-CISA:

שיטה עמידות בפני דיוג עלות למשתמש חוויית משתמש תאימות
SMS ❌ נמוכה (החלפת סים) $0 (אך עם סיכונים נסתרים) ✅ גבוהה (נדרש טלפון בלבד) ✅ אוניברסלית
TOTP (Google Auth, Authy) ⚠️ בינונית (פגיעה ל-AitM) $0 (אפליקציות חינמיות) ⚠️ בינונית (נדרשת הזנת קוד) ✅ גבוהה (כמעט כל השירותים)
התראות דחיפה (Duo, Okta Verify) ⚠️ בינונית (עייפות התראות) $2-$5 לחודש (מנוי) ✅ גבוהה (רק ללחוץ "אשר") ⚠️ מוגבלת (נדרשת אפליקציה ייעודית)
FIDO2 (YubiKey, Windows Hello) ✅ גבוהה (עמיד בפני דיוג) $20-$50 (מפתח פיזי) ✅ גבוהה (ללא קודים ידניים) ⚠️ בינונית (נדרש תמיכה בשירות)

הבחירה תלויה בהקשר. עבור עסק קטן עם תקציב מוגבל, TOTP היא נקודת התחלה טובה, כל עוד משלבים אותה עם הדרכה למניעת התקפות דיוג. עבור חברות עם נתונים רגישים (בריאות, פיננסים), FIDO2 היא האפשרות הבטוחה ביותר, אם כי היא דורשת השקעה ראשונית בחומרה. התראות דחיפה, לעומת זאת, נוחות אך עלולות לגרום לעייפות התראות: בשנת 2022, מחקר של Microsoft מצא כי 30% מהמשתמשים מאשרים התראות דחיפה ללא בדיקת ההקשר, מה שהופך אותן לפגיעות להתקפות עייפות MFA.

כיצד להתמודד עם התנגדות לשינוי: הגורם האנושי

המכשול הגדול ביותר ל-MFA אינו טכני, אלא תרבותי. במחקר משנת 2023 שכלל 500 חברות באמריקה הלטינית (EY Cybersecurity Survey), 68% מהעובדים דיווחו כי MFA "מאט את עבודתם", ו-42% הודו שהשביתו אותו כאשר היה אפשרי. הפתרון אינו לכפות, אלא להדגים ערך.

להלן שלוש טקטיקות שאימתנו ב-CyberShield:

  1. התמקדות ב"למה": במקום לומר "MFA הוא חובה", להסביר כיצד הוא מגן על עבודתם. למשל: "אם תוקף יגיע לחשבונך, הוא עלול למחוק את מאגר הקוד שעליו עבדת בשלושת החודשים האחרונים".
  2. להציע אפשרויות: לאפשר למשתמשים לבחור בין TOTP ל-FIDO2 (אם אפשרי) מפחית את תחושת הכפייה. במקרה אחד בצ'ילה, חברה אפשרה לעובדים להשתמש בטלפונים האישיים שלהם ל-TOTP, אך הציעה מפתחות FIDO2 בחינם למי שהעדיפו זאת.
  3. לגיימיפיקציה של התהליך: חברות מסוימות השתמשו במערכות תגמולים (כמו נקודות שניתנות להמרה לימים חופש) עבור מי שאימצו את ה-MFA ללא תקלות ב-30 הימים הראשונים. זה לא טריוויאלי: בסטארט-אפ בארגנטינה, 85% מהעובדים הפעילו את ה-MFA תוך שבוע לאחר יישום המערכת.

טעות נפוצה היא להניח שההתנגדות מגיעה רק מהעובדים. גם צוותי ה-IT עלולים להתנגד, במיוחד אם הם תופסים את ה-MFA כנטל נוסף. כאן, הפתרון הוא להפוך את הניהול לאוטומטי. כלים כמו Keycloak מאפשרים להגדיר מדיניות MFA המבוססת על קבוצות Active Directory, מה שמפחית את העבודה הידנית. למשל: "כל המשתמשים בקבוצת 'פיננסים' חייבים להשתמש ב-FIDO2; השאר יכולים להשתמש ב-TOTP".

הבעיה של מערכות ישנות: כיצד להימנע מה-MFA שישבור אותן

35% מהחברות באמריקה הלטינית עדיין תלויות במערכות ישנות שאינן תומכות ב-MFA מקומי, לפי דו"ח של Cisco Cybersecurity Readiness Index. זה כולל שרתים ישנים ואפליקציות פנימיות שפותחו לפני עשור. הפתרון אינו להתעלם ממערכות אלה, אלא לעטוף אותן בשכבות אימות מודרניות.

שלושה גישות מוכחות:

  1. פרוקסי אימות: כלים כמו Authelia או Gluu פועלים כמתווכים בין המשתמש למערכת הישנה. המשתמש מתחבר לפרוקסי עם MFA, והפרוקסי מאמת את עצמו במערכת הישנה באמצעות אישורים סטטיים. זהו פתרון זמני, אך יעיל עבור מערכות שלא ניתן לעדכן.
  2. VPN עם MFA משולב: עבור מערכות הנגישות רק מהרשת הפנימית, VPN עם MFA (כמו WireGuard + Authelia) עשוי להספיק. המשתמש מאמת את עצמו עם MFA כדי לגשת ל-VPN, ולאחר מכן נכנס למערכת הישנה ללא צורך בגורם שני.
  3. סקריפטים לאוטומציה: במקרים מסוימים, ניתן לשנות את קוד האפליקציה הישנה כך שיבדוק אסימון MFA לפני מתן הגישה. זה דורש גישה לקוד המקור, אך אפשרי עבור חברות עם צוותי פיתוח פנימיים.

דוגמה קונקרטית: מרפאה בקולומביה השתמשה במערכת לניהול מטופלים משנת 2010 שאינה תומכת ב-MFA. במקום להחליף אותה (עלות משוערת: 50,000 דולר), הם הטמיעו את Authelia כפרוקסי. הרופאים מתחברים כעת ל-Authelia עם FIDO2, והפרוקסי מאמת את עצמו במערכת הישנה באמצעות משתמש גנרי. הסיכון של אישורים סטטיים מופחת באמצעות מדיניות של סבב אוטומטי כל 30 יום.

MFA בענן לעומת מקומי: פשרות שאיש אינו מספר לך עליהן

הבחירה בין פתרונות ענן (Okta, Duo, Microsoft Entra ID) לפתרונות מקומיים (Keycloak, Authelia) תלויה בשלושה גורמים: ריבונות נתונים, עלות ומורכבות.

לפתרונות ענן יתרונות ביישום קל, אך יש להם חסרונות נסתרים:

פתרונות מקומיים, לעומת זאת, דורשים יותר עבודה ראשונית אך מציעים יתרונות:

ב-CyberShield אנו מספקים שירותי אבטחת סייבר 24/7 לעסקים קטנים ובינוניים באמריקה הלטינית עם סט כלים משלנו הכולל ניטור CVE בזמן אמת ותגובה מיידית. עבור חברות עם פחות מ-50 עובדים, אנו ממליצים להתחיל עם Keycloak מקומי: הוא חינמי, ניתן להרחבה ומונע תלות חיצונית. עבור חברות גדולות יותר, פתרון היברידי (Keycloak למערכות פנימיות ו-Okta לאפליקציות SaaS) עשוי להיות האיזון האידיאלי.

יישום MFA אינו פרויקט IT, אלא שינוי ארגוני. הוא דורש תכנון, תקשורת ברורה ומעל הכל, נכונות לקבל שמערכות ישנות מסוימות לא ישרדו את התהליך. אך הנתונים חד-משמעיים: לפי Verizon Data Breach Investigations Report 2023, 86% מהפרצות שכללו אישורים היו יכולות להימנע באמצעות MFA. השאלה אינה אם ליישם אותו, אלא כיצד לעשות זאת מבלי שהצוות ירגיש שהוא מהווה מכשול, אלא שכבת הגנה נוספת – עבורם ועבור החברה.

מקורות

  1. NIST Special Publication 800-63B (2017). Digital Identity Guidelines: Authentication and Lifecycle Management. https://pages.nist.gov/800-63-3/sp800-63b.html
  2. CISA (2023). Implementing Phishing-Resistant MFA. https://www.cisa.gov/resources-tools/services/phishing-resistant-mfa
  3. Google (2022). Analysis of 1.2 Million Compromised Accounts: The Case for Phishing-Resistant MFA. https://security.googleblog.com/2022/02/protecting-users-from-phishing-with.html
  4. IBM (2023). Cost of a Data Breach Report. https://www.ibm.com/reports/data-breach
  5. GSMA (2023). Mobile Economy Latin America. https://www.gsma.com/mobileeconomy/latam/
  6. EY (2023). Cybersecurity Survey: Latin America. https://www.ey.com/es_pe/consulting/ey-cybersecurity
  7. Cisco (2023). Cybersecurity Readiness Index: Latin America. https://www.cisco.com/c/es_mx/solutions/industries/latam/2023-cybersecurity-readiness-index.html
  8. Verizon (2023). Data Breach Investigations Report. https://www.verizon.com/business/resources/reports/dbir/
  9. Keycloak Documentation (2024). Server Administration Guide. https://www.keycloak.org/documentation
  10. Authelia Documentation (2024). Configuration Guide. https://www.authelia.com/configuration/