סיסמאות בעידן הבינה המלאכותית: סיכון, בינה מלאכותית ועתיד ללא סיסמה

דף הבית » טכנולוגיה » סיסמאות בעידן הבינה המלאכותית: סיכון, בינה מלאכותית ועתיד ללא סיסמה

סיסמאות עומדות בפני מבחן אמיתי בעיצומה של מהפכת הבינה המלאכותית . הן נותרות מערכת האימות הנפוצה ביותר על פני כדור הארץ, אך כל התקדמות בבינה מלאכותית, מתקפות סייבר ואוטומציה מפעילה לחץ גדול יותר על מודל שנולד בעידן אחר. בינתיים, מיליוני משתמשים ממשיכים להגן על חשבונות הדוא"ל, הבנקאות והמדיה החברתית שלהם באמצעות סיסמאות שתוקף מודרני יכול לפצח תוך שניות.

במקביל, לא כל החשבונות מוכנים לעשות את הקפיצה לעולם ללא סיסמה . סיסמאות, אימות ביומטרי ומודלים של אפס אמון מתקדמים, כן, אבל הם מתקיימים לצד טפסי התחברות קלאסיים ושירותים מדור קודם שעדיין מסתמכים על אותו "משהו שאתה יודע". בהקשר זה, הבנת הסיבה לחשיבות של סיסמאות יותר מתמיד, כיצד בינה מלאכותית מאתגרת אותן, ואילו חלופות אמיתיות יש לנו כבר אינה בעיה טכנית: זוהי שאלה של הישרדות דיגיטלית בסיסית.

מדוע סיסמאות נותרות קריטיות בעידן הבינה המלאכותית

כיום, מידע אישי וארגוני הפך למזומן . סיסמה אחת שדלפה יכולה להימכר תמורת כמה דולרים בפורומים מחתרתיים, אך אם סיסמה זו פותחת דלת לדוא"ל ארגוני, למערכת קבצים פנימית או לחשבון בנק, ההשפעה הכספית יכולה להגיע למאות אלפי יורו.

שירותים מגוונים כמו בנקאות מקוונת, דוא"ל, רשומות רפואיות, מדיה חברתית וכלי עבודה מבוססי ענן עדיין מסתמכים על סיסמאות כאמצעי בקרת הגישה העיקרי. אם מישהו מתחבר באמצעות "password123" או וריאציה גרועה אחרת, זהו המקבילה הדיגיטלית של השארת דלת הכניסה פתוחה עם שלט "היכנסו בלי לדפוק".

מחקרים מצביעים על כך שכמחצית מכל האפליקציות מסתמכות אך ורק על סיסמאות , ללא שכבות אבטחה נוספות. וחוץ מזה, רק מיעוט מהמשתמשים משתמשים בסיסמאות שונות עבור כל שירות. זה בניגוד גמור למציאות: רוב האנשים מנהלים בין 70 ל-100 חשבונות מקוונים, בעוד שאנחנו, במקרה הטוב, יכולים לזכור רק 5 עד 7 סיסמאות שונות.

הפער הזה בין מה שאנחנו יכולים לשנן לבין מספר החשבונות שאנחנו משתמשים בהם מדי יום מוביל להרגלים מסוכנים: שימוש חוזר בסיסמאות, כתיבתן בפתקים לא מוצפנים, או שיתוף שלהן דרך ערוצים לא מאובטחים . אמנם כנראה שאתם לא עושים זאת, אבל אנשים רבים עדיין מאחסנים סיסמאות באפליקציית פתקים או על פיסת נייר המודבקת לצג שלהם, מה שמפשט מאוד את עבודתו של כל תוקף מאורגן במידה בינונית.

בינה מלאכותית מוסיפה שכבה נוספת של מורכבות: כעת ניתן לאוטומט ולמטב התקפות באמצעות כוח ברוטי , מילון ומילוי אישורים בקנה מידה תעשייתי . מה שבעבר דרש זמן, מאמץ ומומחיות טכנית מסוימת, ניתן כעת לתזמר באמצעות כלים מתקדמים שבודקים מיליוני שילובים שנלמדו מדליפות נתונים בעולם האמיתי.

אורך, מורכבות ואנטרופיה: מה הופך סיסמה לחזקה באמת

אחד המיתוסים הנפוצים ביותר הוא שסיסמה "שנראית מסובכת" היא אוטומטית מאובטחת . הוספת אותיות גדולות, החלפת אותיות במספרים או הכללת סמל נותנת רושם מסוים של עוצמה, אך כנגד שיטות תקיפה מודרניות, הגורם המכריע הוא משהו אחר: אורך.

כאשר תוקף מקבל גישה למסד נתונים של אישורים שדלף מחברה גדולה, הסיסמאות נשמרות בדרך כלל לא בטקסט רגיל, אלא כ- hash מוצפן . כדי לנסות לשחזר את הסיסמה המקורית, הם משתמשים בטכניקות פיצוח: הם יוצרים ניחושים של סיסמאות, מצפינים אותן באותו אופן ומשווים את התוצאות עד שהם מוצאים התאמות.

בתרחיש כזה, ככל שהסיסמה ארוכה יותר, כך הגידול במספר הצירופים האפשריים יהיה עצום יותר . סיסמה בת 8 תווים ניתנת לפיצוח תוך שניות או דקות באשכול GPU או בסביבת מחשוב ענן, גם אם היא מכילה אותיות, מספרים וסמלים לסירוגין. לעומת זאת, סיסמה בת 16 תווים שנבנתה היטב יכולה לקחת שנים, מאות שנים, או פשוט להיות בלתי אפשרית לפיצוח עם המשאבים הנוכחיים.

אם נחשוב גם על מחשבי קוונטים עתידיים, האורך עדיין משנה את ההבדל: מחרוזת אבסורדית כמו 40 פעמים אותה אות תהיה כמעט בלתי אפשרית לפיצוח עם יכולות קוונטיות תיאורטיות, בעוד שסיסמה קצרה "יצירתית" המבוססת על קבוצת הכדורגל שלך או שיר מפורסם תוכל להיות מנחשת במהירות.

מנקודת מבט פורמלית יותר, אבטחת סיסמה נמדדת בסיביות של אנטרופיה , המשקפות כמה ניסיונות יידרשו, בממוצע, כדי לנחש אותה. ככל שקבוצת התווים שבהם נעשה שימוש רחבה יותר (אותיות גדולות, אותיות קטנות, מספרים, סמלים) וככל שהשילוב ארוך יותר, כך האנטרופיה גבוהה יותר וקשה יותר לפצח אותה באמצעות התקפות Brute-Force.

סיסמה עם כ-20 ביטים של אנטרופיה מייצרת כמיליון צירופים אפשריים, דבר שתוקף עם כרטיסי מסך מודרניים יכול לפצח תוך שניות . לעומת זאת, סיסמה עם כ-100 ביטים של אנטרופיה תכלול כל כך הרבה צירופים עד שבפועל ייקח מיליארדי שנים לפענח אותם. ההבדל בין השניים אינו קסם: זהו האורך בפועל ומגוון התווים האפקטיבי, לא רק המראה של המורכבות.

הטעות הגדולה: להשאיר את האבטחה בידי סיסמאות שנוצרו על ידי בינה מלאכותית

עם עלייתם של צ'אטבוטים, מפתה לבקש ממודל כמו ChatGPT, Claude או Gemini "ליצור סיסמה מאובטחת בת 16 תווים עם מספרים, סמלים ואותיות ". על הנייר, זה נשמע מושלם: המודל מחזיר מחרוזות מורכבות, קשות לקריאה ובלתי אפשריות לזכור במבט חטוף, דומות מאוד לאלו המוצעות על ידי מנהלי סיסמאות.

הבעיה היא שמתחת למכסה המנוע, מודלי שפה אינם מתוכננים לייצר אקראיות אמיתית . הם פועלים על ידי ניבוי פיסת הטקסט (טוקן) הבאה והסבירה ביותר בהתבסס על הנתונים עליהם אומנו. זה בדיוק ההפך ממה שאנחנו צריכים עבור סיסמה חזקה, הדורשת בחירות סבירות ובלתי צפויות באותה מידה.

מחקר שנערך לאחרונה על ידי מומחי אבטחה בתחום הבינה המלאכותית הראה שכאשר מודלים אלה התבקשו לייצר עשרות סיסמאות "ייחודיות", צצו דפוסים ברורים וחוזרים על עצמם . בבדיקות עם קלוד, סיסמאות רבות החלו באותה אות, והתו השני היה כמעט תמיד אותו מספר; יתר על כן, נעשה שימוש חוזר בתת-קבוצה קטנה מאוד של האלפבית, תוך השמטת רוב האותיות.

משהו דומה קרה עם ChatGPT: כמעט כל הסיסמאות התחילו באותה אות, וכמעט מחציתן השתמשו ב-"Q" כתו השני . גם ג'מיני הראה דפוסים חוזרים, עם צירופים שנראו אקראיים אך, כאשר נותחו סטטיסטית, היו רחוקים מלהיות התפלגות אחידה.

הדבר הבולט ביותר הוא שרבות מהסיסמאות שנוצרו לא הראו אפילו חזרה אחת של תווים . לעין האנושית, זה נותן תחושה של סדר כאוטי, אבל מנקודת מבט הסתברותית, זה מאוד לא סביר שההחלטות באמת התקבלו באופן אקראי. זוהי אינדיקציה ברורה לכך שהמודל פועל לפי "כללים פנימיים" שהופכים אותו לחיזוי הרבה יותר ממה שהוא נראה.

כאשר נמדדה האנטרופיה של סיסמאות אלו שנוצרו על ידי LLM, התוצאות היו הרסניות: בהשוואה לכ-6,13 ביטים של אנטרופיה לכל תו שמחולל אקראי אמיתי היה מייצר , המודלים הצליחו רק לכ-2,08 ביטים לכל תו. בסיסמה בת 16 תווים, פירוש הדבר מעבר מכ-98 ביטים (חזקים מאוד) ל-27 ביטים בלבד, משהו שתוקף יכול לפצח באמצעות התקפות Brute-Force מבלי להתאמץ.

לבסוף, החוקרים זיהו דפוסים אופייניים בסיסמאות שנוצרו על ידי בינה מלאכותית בשירותי אינטרנט בעולם האמיתי . במילים אחרות, ישנם יישומים ואתרי אינטרנט שכבר מוגנים על ידי סיסמאות שחולקות מבנים צפויים, מה שהופך אותם למטרות מושלמות להתקפות מילון ייעודיות הכוללות "רשימות של סיסמאות צ'אטבוט טיפוסיות".

זו הסיבה שחברות אבטחה רבות מבהירות זאת: לא רעיון טוב להאציל את האחריות על יצירת סיסמאות לבינה מלאכותית לשימוש כללי . הן מותאמות לייצר טקסט אמין, לא כדי להבטיח הפצה אקראית עמידה בפני ניתוח. אם כבר יצרתם סיסמאות באמצעות צ'אטבוט, כדאי לשנות אותן, ולכל הפחות, להוסיף אימות דו-שלבי (2FA) כדי להגביר את רמת ההגנה.

מנהלי סיסמאות, אקראיות אמיתית ושיטות עבודה מומלצות בסיסיות

אם שינון עשרות סיסמאות ייחודיות, ארוכות ומורכבות הוא בלתי אפשרי (וזה אכן בלתי אפשרי), הפתרון המעשי הוא ניהול מרכזי . כאן נכנסים לתמונה מנהלי סיסמאות , היוצרים ומאחסנים סיסמאות חזקות ב"כספת" מוצפנת המוגנת על ידי סיסמת אב, ויותר ויותר, על ידי גורמי אימות נוספים.

שלא כמו מנהלי סיסמאות (LLMs), מנהלי סיסמאות משתמשים במחוללי מספרים אקראיים קריפטוגרפיים . אלה מסתמכים על האנטרופיה של מערכת ההפעלה ומקורות פיזיים (תנועות עכבר, תזמון בין אירועים וכו') כדי לייצר ביטים בלתי צפויים באמת, אשר לאחר מכן מומרים למחרוזות תווים מבלי להציג דפוסים "יפים" לעין האנושית.

כלים כמו Bitwarden, המציע גרסה חינמית מקיפה למדי, או 1Password, שירות בתשלום אך עוצמתי מאוד , מאפשרים לכם לנהל לא רק סיסמאות, אלא גם כרטיסי אשראי, פתקים מאובטחים ומידע רגיש אחר. המשתמש צריך רק לזכור סיסמת אב חזקה מאוד (ובאופן אידיאלי, להגן על החשבון באמצעות אימות דו-שלבי), בעוד המנהל דואג לשאר.

בנוסף ליצירת סיסמאות חזקות, מנהלים אלה כוללים בדרך כלל תכונות כגון מחזור אישורים תקופתי, התראות על פרצות נתונים ידועות ובדיקות שימוש חוזר בסיסמאות . אם אתר אינטרנט סובל מפרצה או אם הנתונים שלך מופיעים ברשימות של הרשת האפלה, המנהל יכול להתריע בפניך כדי שתוכל לשנות את הסיסמאות המושפעות לפני שמישהו ינצל אותן.

הרגל טוב נוסף הוא למחוק חשבונות שכבר אינכם משתמשים בהם . קל לשכוח פרופיל Myspace ישן, חשבון Hotmail מתחילת שנות ה-2000, או שירות שנרשמתם אליו "רק כדי לנסות אותו". עם זאת, אם אי פעם השתמשתם בכתובת דוא"ל זו ככתובת שחזור עבור חשבון חשוב אחר, היא הופכת לחוליה פגיעה בשרשרת האבטחה שלכם.

לבסוף, הפעלת אימות רב-גורמי בכל החשבונות האפשריים היא כמעט חובה . בין אם אתם משתמשים ב-SMS, באפליקציות כמו Authy או Google Authenticator, או בשיטות מתקדמות יותר, דרישת גורם שני (קוד, מפתח פיזי, ביומטריה) מפחיתה באופן דרסטי את ההשפעה של סיסמה פרוצה.

כיצד בינה מלאכותית מעצימה גם תוקפים וגם מגנים

בינה מלאכותית משנה את המשחק עבור שני הצדדים. מצד אחד, פושעי סייבר כבר לא מסתמכים אך ורק על כוח ברוטלי קלאסי : הם מאמנים מודלים עם מיליוני סיסמאות שדלפו כדי ליצור מילונים יעילים ביותר, המסוגלים ללכוד דפוסים אנושיים בעת יצירת סיסמאות (שמות, תאריכים, קבוצות, מילות שירים וכו').

כלים כמו PassGAN, המבוססים על רשתות יצירתיות, יכולים לייצר כמויות אדירות של ניחושים של סיסמאות מבלי לדרוש כללים מפורשים המוגדרים על ידי אדם . בניגוד לכלי עזר מסורתיים כמו Hashcat, המיישמים טרנספורמציות מוגדרות מראש על רשימות ידועות, מודלים אלה ממשיכים ללמוד ולשפר את התפוקה שלהם ככל שהם מייצרים ניסיונות רבים יותר.

בבדיקות שבוצעו עם מערכי נתונים כמו דליפת RockYou הידועה לשמצה או סיסמאות LinkedIn, PassGAN ניחשה נכונה בין 51% ל-73% יותר סיסמאות ייחודיות בהשוואה לכלים מבוססי כללים . לאחר שאומנו במיוחד על דגימות מדליפה מסוימת, היא הצליחה לנחש נכונה כמעט רבע מהסיסמאות בקבוצה אחרת ועצמאית - נתון מדאיג במיוחד בהתחשב במשתמשים המשתמשים חוזר בסיסמאות בשירותים שונים.

יתר על כן, טכניקות תקיפה כגון מילוי פרטי גישה וריסוס סיסמאות מרוויחות רבות מאוטומציה מתקדמת . בעזרת בינה מלאכותית, תוקפים יכולים להתאים את הסדר והעדיפות של הסיסמאות שהם מנסים, לייעל את המשאבים ולהתמקד בשילובים בעלי סבירות גבוהה יותר להצלחה בהתבסס על פרופיל הקורבן.

אבל בינה מלאכותית גם מכפילה את הנזק במימד אחר: פישינג והנדסה חברתית . מודלים גנרטיביים מאפשרים יצירת מיילים, אתרי התחברות מזויפים ואפילו שיחות קוליות עם דיפפייקס המחקים בני משפחה, בוסים או עמיתים ברמה מטרידה של ריאליזם. במצבים אלה, לא משנה כמה חזקה הסיסמה שלכם, אין בה תועלת רבה אם בסופו של דבר תקלידו אותה בדף מזויף ששולח אותה ישירות לתוקף.

בצד ההגנתי, לעומת זאת, בינה מלאכותית הפכה לבעלת ברית הכרחית . מערכות אבטחה רבות משתמשות במודלים כדי לנתח דפוסי כניסה ולזהות התנהגות חריגה: גישה ממדינות יוצאות דופן, זמנים חשודים, מהירויות הקלדה שאינן תואמות לזו של אדם, או מכשירים לא שגרתיים.

אם, לדוגמה, מתגלה גישה ממיקום לא טיפוסי בשילוב עם דפוס אינטראקציה לכאורה אוטומטי , המערכת יכולה לחסום את הניסיון, לבקש אימות נוסף או לאלץ שינוי סיסמה. המפתח כאן הוא ניטור מתמשך: פשוט לנעול את הדלת אינו מספיק; צריך לעקוב אחר מי מנסה להיכנס וכיצד.

מעבר לסיסמה: MFA, ביומטריה, אפס אמון וסיסמות

עם העלייה המתמשכת במתקפות וריבוי הזהויות הדיגיטליות (אנושיות ולא אנושיות), המודל הקלאסי המבוסס אך ורק על שמות משתמש וסיסמאות נכשל . המגמה היא להעביר את נטל האבטחה מסוד יחיד לשילוב של אותות, הקשר ואימות מתמשך.

ראשית, אימות רב-גורמי (MFA) הפך לאבן יסוד . לא כל הגורמים חזקים באותה מידה: קודים חד-פעמיים דרך SMS, למשל, פגיעים להתקפות יירוט, שיבוט כרטיסי SIM או פישינג מתוחכם. למרות זאת, הם טובים יותר מכלום, והצעד הבא הוא להשקיע בשיטות עמידות יותר, כגון אפליקציות ייעודיות, מפתחות אבטחה או התראות דחיפה עם הגנה מפני הונאות.

ביומטריה, כגון זיהוי פנים או סריקת טביעות אצבע בטלפונים ניידים ומחשבים ניידים מודרניים , מציעה חוויה נוחה מאוד ומעלה את הרף עבור תוקפים, למרות שהיא אינה חסינת תקלות. בשילוב עם מפתחות קריפטוגרפיים המאוחסנים במכשיר, היא מאפשרת מערכות בהן אין סיסמה להקליד על ידי המשתמש, מה שמפחית את הסיכון לפישינג.

כאן נכנסים לתמונה פתרונות גישה וגישה ללא סיסמה , המשתמשים בקריפטוגרפיה של מפתח ציבורי כדי לאמת את המשתמש ללא צורך במפתח מסורתי. שירותים כמו Okta FastPass מאפשרים לך לחבר מכשיר בצורה מאובטחת לזהות ולאמת גישה באמצעות מפתחות קריפטוגרפיים, תוך שילוב גם עם שיטות כמו Windows Hello, Apple Touch ID או Face ID.

פתרון מסוג זה לא רק משפר את חוויית המשתמש (לא עוד זכירת עשרות סיסמאות), אלא גם מפחית באופן דרסטי את הסבירות שתוקף יגנוב אישורים לשימוש חוזר . אין "סוד משותף" שעובר ברחבי הרשת שניתן ללכוד: האימות מתבצע באמצעות אתגרים קריפטוגרפיים שרק המכשיר הלגיטימי יכול לפתור.

במקביל, ארגונים רבים מאמצים את גישת אפס אמון, המניחה כי אף גישה אינה מהימנה כברירת מחדל , גם אם מקורה בתוך הרשת הארגונית. כל בקשה מוערכת תוך התחשבות במספר גורמים: מי המשתמש, באיזה מכשיר הוא משתמש, מיקומו, זמן הגישה, התנהגותו האחרונה וכן הלאה.

במודל זה, ניהול זהויות וגישה (IAM/IGA) הופך למוקד המרכזי של בקרת האבטחה . מיושמים עקרונות של מינימום הרשאות, ביקורות הרשאות תקופתיות וקורלציה בזמן אמת של אותות סיכון. כאשר משהו סוטה מהדפוס הצפוי, המערכת יכולה לבטל באופן מיידי הרשאות או לדרוש אימות נוסף.

החזית החדשה: זהויות סוכני בינה מלאכותית וחשבונות שאינם אנושיים

הופעתה של בינה מלאכותית עם סוכנים אוטונומיים מוסיפה שכבה נוספת של מורכבות. סוכנים אלה לא רק מבצעים שאילתות למערכות, אלא גם פועלים בתוכן : הם מאמתים, קוראים ל-APIs, קוראים וכותבים נתונים, ואפילו מקבלים החלטות תפעוליות מטעם החברה.

כל סוכן מסוג זה זקוק לזהות משלו, או לפחות לקבוצת אישורים . זה מרחיב משמעותית את משטח התקיפה, כי אנחנו מדברים על מפתחות API, אסימוני OAuth, חשבונות שירות וסודות אחרים שלעתים קרובות אינם מאוחסנים כראוי, בעלי הרשאות מוגזמות, או שפג תוקפם באיחור (אם בכלל).

יתר על כן, מערכות מבוססות סוכנים מציגות פגיעויות חדשות וספציפיות : הזרקת פקודות להוראות שהן מקבלות, הרעלת מודלים, מניפולציה של נתונים, הסלמה לא רצויה של הרשאות וכן הלאה. לא רק קוד מסורתי מותקף, אלא גם היגיון קבלת ההחלטות של הבינה המלאכותית.

מה שנקרא "בינה מלאכותית בצל" מחמיר את המצב: עובדים המשלבים כלי בינה מלאכותית לא מורשים בתהליכי העבודה שלהם עלולים ליצור פגיעויות שבקרות מסורתיות (חומות אש, אנטי-וירוס, מדיניות מדור קודם) אינן מיועדות לטפל בהן. סוכן שתצורתו אינה מוגדרת כראוי עלול, לדוגמה, לבטל אישורים לגיטימיים או להכניס משאבים קריטיים להסגר מבלי שאף אחד ישים לב בזמן.

לכן, מומחים ממליצים להתייחס לסוכני בינה מלאכותית כאל זהויות דיגיטליות בעלות ערך גבוה . משמעות הדבר היא מתן ההרשאות הדרושות בלבד, ניטור מקרוב של פעילותם, קביעת מנגנונים לעצירה או הגבלת פעולותיהם אם הן סוטות מההתנהגות הצפויה, והבטחה שגיבויים, שחזור וניהול מערכות מטפלים גם ברכיבים אלה.

אתגר משמעותי הוא אתגר של נראות טהורה: חברות רבות אפילו לא יודעות כמה סוכנים פועלים בכל רגע נתון, לאילו מערכות הם מתחברים, או לאילו נתונים הם ניגשים . ללא מלאי או עקיבות, הסיכון לאובדן שליטה מרקיע שחקים, וכל תקרית יכולה להיות מוגברת על ידי האוטונומיה של מערכות אלו.

החדשות הטובות הן שהכלים לניהול זהויות, הרשאות וגישה - אנושיים ולא אנושיים כאחד - כבר קיימים והם די בשלים . האתגר האמיתי הוא תרבותי וארגוני: שילוב משילות, חוסן והדרכה כבר מההתחלה, במקום להתייחס לבינה מלאכותית כאל תוסף פשוט של "הכנס והפעל".

במבט על התמונה הגדולה, ברור שסיסמאות עדיין ממלאות תפקיד חשוב, אך הן אינן יכולות עוד להבטיח אבטחה דיגיטלית לבדן . בהקשר שבו בינה מלאכותית מאיצה הן התקפות והן הגנות, שבו סוכנים אוטונומיים מקבלים החלטות במערכות קריטיות, וכאשר זהויות מתרבות, האסטרטגיה כוללת שימוש בסיסמאות ארוכות וייחודיות המנוהלות באמצעות כלים חזקים, תמיכה מתמדת בהן באמצעות MFA, הפחתה הדרגתית של חשיבותן באמצעות מפתחות וסכמות ללא סיסמאות, וחיזוק מודל זהות וגישה המבוסס על אפס אמון וניטור מתמשך. רק בדרך זו נוכל להרחיק סביבת איומים שהופכת למהירה יותר, אוטומטית יותר וחכמה יותר מיום ליום.