ב-2025 תצטרכו לעבור עוד שלב בכניסה לענן של גוגל
בחברה מאמינים כי הפעלת אימות רב-שלבי תקטין את הסיכוי לפריצה ב-99 אחוזים ותחייב את כל משתמשי הענן להפעיל את ההגנה הזאת. רק תתחשבו באנשי התמיכה שלכם, ואל תעשו את זה רגע לפני הסופ"ש
תמונה: dreamstime
גוגל תחייב את משתמשי הענן שלה להפעיל אימות רב-שלבי (MFA) בכניסה לשירות. “ראינו ממקור ראשון שזה מחזק את האבטחה מבלי לוותר על חוויית שימוש חלקה ונוחה”, כתב בבלוג החברה מיינק אופדהיאי (Mayank Upadhyay), VP הנדסה ב-Google Cloud.
אימות רב שלבי – MFA (שתכלס כולל בדרך כלל רק שני שלבים), הוא שכבת הגנה נוספת שמבקשת מהמשתמש אמצעי זיהוי נוסף על הסיסמה הרגילה שלו – כמו סיסמה חד פעמית מתנדפת, הזדהות בהקשה על מסך הטלפון או הזדהות דרך אמצעי פיזי אחר (Passkey). זה מאפשר להגן על החשבון מפריצה, במקרים שבהם הסיסמה נגנבה בפישינג או התגלתה בדרך אחרת.
לטענת גוגל, פישינג וגניבה של הרשאות גישה הן וקטור ההתקפה הכי שכיח (ויעיד גם כל מי שחושש שהודיעו לו שנחסם לו הביט שאין לו, ושחסרים פרטים למשלוח החבילה שלא הזמין). טקקראנץ’ מדווחת על כך שיותר ממיליארד רשומות דלפו ממקומות שונים במהלך 2024 לבדה. אופדהיאי מביא כסימוכין את הסוכנות האמריקאית להגנת סייבר ותשתיות (Cybersecurity and Infrastructure Security Agency), שאומרת כי שימוש ב-MFA מקטין את הסיכוי לפריצה לחשבון ב-99 אחוזים.
גוגל תיידע אתכם בשלל תזכורות
לפני שאתם רצים להפעיל אימות רב-שלבי בשביל לא להינעל מחוץ לחשבון, אפשר לנוח רגע – זה לא יקרה מהיום להיום. התוכניות לחייב את כולם לעבור לאימות דו שלבי נחשפו באוקטובר על פי טקקראנץ’, הוכרזו רשמית השבוע על ידי גוגל, אבל יתבצעו בהדרגה במהלך 2025, וגוגל תיידע כל לקוח מתי הוא חייב להפעיל את זה בשלל תזכורות.
על פי גוגל, כ-70 אחוזים מהמשתמשים שלה כבר עברו לאימות רב שלבי. כצעד ראשון, גוגל תחל כבר החודש להציג תזכורות לבעלי חשבון בענן בקונסולת הקלאוד שלהם, לצד משאבים שיסייעו בהעלאת מודעות ובפרישת אמצעי האבטחה לכלל המשתמשים בארגון.
הצעד השני יתחיל בתחילת 2025 (גוגל לא נותנת מועדים מדויקים יותר), אז החברה כבר תתחיל לחייב משתמשים חדשים וקיימים לא להסתפק בסיסמה, אלא להפעיל אימות רב-שלבי, והיא תציג תזכורות לכך בקונסולות השונות של הענן, ובהם של הקלאוד, ה-Firebase ואחרות.
בצעד השלישי גוגל תרחיב את פרישת החובה להשתמש ב-MFA למשתמשים פדרטיביים – ארגונים שנכנסים לגוגל באמצעות יוזר וסיסמה חיצוניים לגוגל (IdP) כגון Active Directory, Azure AD, ForgeRock, Okta, or Ping Identity – אלה יוכלו לבחור אם להפעיל את ה-MFA של הספק שלהם (אם הוא עומד בסטנדרטים של גוגל אלא מה), או להשתמש באימות הרב-שלבי של גוגל עצמה.
על אף שהחובה הזאת תיפרש בהדרגה במהלך שנה הבאה, אין שום מניעה להפעיל את האימות הרב-שלבי כבר עכשיו באמצעות עמודי העזרה של גוגל או פניה לתמיכה, וגוגל ממליצה לעשות את זה. חשוב פשוט ליידע את כלל המשתמשים בארגון שעושים את זה, כדי לחסוך מ-IT טלפונים בהולים באמצע הלילה, או בסופ”ש ממשתמשים מבולבלים (חמישי, לא מעלים כלום לפרודקשן, כן?) .
