ה-NCSC הבריטי: passkeys הם הבחירה הראשונה, ולא ממליצים עוד על סיסמאות

ב-23 באפריל 2026 הודיע ה-NCSC הבריטי ש-passkeys הם הבחירה הראשונה בהתחברות לשירותים דיגיטליים. ה-NCSC הוא מרכז הסייבר הלאומי של בריטניה, וחלק מ-GCHQ. ההודעה הגיעה בכנס CYBERUK בגלזגו. הוא כבר לא ממליץ על סיסמאות כשיש passkey. לפי מסמך חדש שלו, passkey מאובטח לפחות כמו סיסמה חזקה עם אימות דו-שלבי. בדרך כלל הוא עדיף עליה.

מה אמר ה-NCSC על passkeys

לפי ההודעה של ה-NCSC, סיסמאות חלשות מדי מול איומים מודרניים. רוב הנזק הסייברי ליחידים מתחיל בגניבה של פרטי התחברות. ב-passkey אין סיסמה להקליד. המשתמש רק מאשר את הכניסה. לכן היא מהירה, וקשה להשתלט עליה.

ב-2025 ה-NCSC עצר לפני המלצה כזאת, בגלל קשיי יישום. לדבריו, התקדמות בתעשייה פתרה מספיק מהם. Jonathon Ellison הוא מנהל החוסן הלאומי ב-NCSC. לדבריו, אימוץ passkeys בכל מקום אפשרי הוא צעד חזק לעבר התחברות בטוחה ופשוטה.

ההודעה כוללת גם הנחיות לעסקים. הם צריכים להציע passkeys כברירת מחדל ללקוחות. בנוסף, הם צריכים להחליף אימות בהודעות SMS. לפי ה-NCSC, Google, eBay ו-PayPal כבר תומכים ב-passkeys.

ה-NCSC מביא נתון של Google: קצת מעל 50% ממשתמשי שירותי Google הפעילים בבריטניה רשמו passkey. התחברות עם passkey מהירה עד פי שמונה מהתחברות עם שם משתמש, סיסמה וקוד אימות. בשירות שאין בו passkeys, הוא ממליץ על מנהל סיסמאות לסיסמה חזקה וייחודית, ועל אימות דו-שלבי.

למה passkeys עמידים בפני פישינג

passkey הוא זוג מפתחות. המפתח הפרטי נשאר במכשיר. הכניסה דורשת אישור, כמו טביעת אצבע או PIN. לפי המסמך של ה-NCSC, אישור כזה הוא אימות רב-שלבי.

ההתחברות קשורה לדומיין האמיתי של האתר. לכן אתר מזויף לא יכול לנצל אותה. לפי המסמך, פישינג מסוג adversary-in-the-middle והצפה בבקשות אישור לא מצליחים מול passkeys.

Dave Chismon, מנהל הטכנולוגיה לארכיטקטורה ב-NCSC, כתב בבלוג של הארגון. הוא מציין שכל שיטות האימות הדו-שלבי הרגילות חשופות לפישינג. הוא מונה SMS, אימייל, קודים באפליקציה, מפתחות חומרה ואישור בדחיפה.

המגבלות של passkeys שה-NCSC מונה

ה-NCSC לא טוען שהכול בטוח. המסמך מונה כמה סיכונים. מי שמאבד מכשיר עם passkey יחיד מאבד אותו, אלא אם רשם גיבוי. אם ה-passkey מסתנכרן בין מכשירים, אפשר לשחזר אותו דרך חשבון הסנכרון. החשבון הזה חייב הגנה חזקה.

מנהלי מפתחות של צד שלישי שונים באיכותם. חלקם לא משתמשים באחסון מגובה חומרה. חלקם לא דורשים אימות כדי לגשת ל-passkeys. תהליכי שחזור חשבון חלשים לפעמים מההתחברות עצמה, כי הם נשענים על אימייל או SMS. תוקפים מכוונים אליהם בשכיחות גוברת.

נוזקות ותוספי דפדפן זדוניים עדיין עלולים לפגוע בסשן. תוקף יכול גם לדחוף משתמשים לשיטה חלשה, עד שהיא תוסר. המסמך מתמקד בחשבונות אישיים. ה-NCSC לא בדק רשמית תרחישים ארגוניים.

עוד ב-GEEKLIK: ערכת הפישינג iAuthFlow מוסיפה Passkey לחשבון Google, והחלפת סיסמה לא עוזרת