מפתחות גישה הם חלופה מאובטחת וידידותית יותר למשתמש בהשוואה לסיסמאות. הם מאפשרים למשתמשים להיכנס לאתרים ולאפליקציות באמצעות מנגנוני ביטול הנעילה המובנים במכשיר, כמו קו ביטול נעילה, קוד אימות, סיסמה או נתונים ביומטריים כמו טביעת אצבע או זיהוי פנים. ממשק Credential Manager API מבוסס על תקן אימות האינטרנט כדי להקל על השילוב של תהליכי אימות באמצעות מפתחות גישה.
היתרונות של מפתחות גישה
למפתחות גישה יש הרבה יתרונות בהשוואה למנגנוני אימות אחרים.
- חוויית כניסה משופרת: משתמשים יכולים לבצע אימות באמצעות שיטות כמו טביעת אצבע או זיהוי פנים במקום להקליד סיסמאות, וכך ליהנות מחוויית כניסה חלקה ומהירה יותר.
- אבטחה משופרת: מפתחות גישה מתבססים על קריפטוגרפיה של מפתח ציבורי, כך שפריצות לנתונים של ספקי שירותים לא יובילו לפריצה לחשבונות. מפתחות גישה מבוססים על פרוטוקולים וממשקי API בתקן התעשייה, שלא חשופים למתקפות פישינג.
- חוויה אחידה במכשירים ובפלטפורמות שונות: אפשר לסנכרן את מפתחות הגישה בין מכשירים שונים, כך שהמשתמשים נהנים מאימות פשוט יותר בלי קשר למכשיר או לפלטפורמה שבהם הם משתמשים, כולל Windows, iOS ו-Linux.
- אימות חלק במכשירים חדשים: מפתחות גישה תומכים בשחזור פרטי הכניסה כדי לאפשר למשתמשים להיכנס בקלות למכשירים חדשים.
- פחות קשיים בכניסה: מפתחות גישה לא מחייבים את המשתמשים לזכור סיסמאות, ולכן הם מפחיתים את הקשיים שנובעים מסיסמאות שנשכחו.
כדי לראות דוגמאות שממחישות את היתרונות האלה, אפשר לעיין במחקרים על אפליקציות שהטמיעו מפתחות גישה.
איך מפתחות הגישה פועלים במנהל האישורים
משתמשים ב-Credential Manager API באפליקציית הלקוח של הצד המסתמך ובשרת האפליקציה של הצד המסתמך כדי ליצור פתרונות אימות באמצעות מפתחות גישה.
אלה השלבים ליצירת מפתח גישה:
- אפליקציית הלקוח שולחת בקשה לשרת האפליקציה שלכם לקבלת האפשרויות הנדרשות ליצירת פרטי כניסה.
- אפליקציית הלקוח משתמשת באפשרויות האלה כדי לשלוח בקשה אל Credential Manager API ליצירת זוג מפתחות ציבורי/פרטי.
- המפתח הציבורי מאוחסן בשרת האפליקציה, והמפתח הפרטי מאוחסן בצורה מאובטחת במכשיר של המשתמש אצל ספק אישורים כמו מנהל הסיסמאות של Google.
כדי להיכנס לחשבון עם מפתח גישה:
- אפליקציית הלקוח שולחת בקשה לאפשרויות של בקשת פרטי הכניסה לשרת האפליקציה, והשרת שולח אתגר בתגובה. שרת האפליקציה מאחסן את האתגר הזה בצורה מאובטחת לצורך אימות מאוחר יותר.
- אחרי שהמשתמש מאשר את השימוש במפתח הגישה באמצעות ביטול הנעילה של המסך במכשיר שלו, ספק פרטי הכניסה משתמש במפתח הפרטי המאוחסן כדי לחתום על האתגר, וכך נוצר אישור חתום.
שולחים את הצהרת הזהות החתומה לשרת האפליקציה ומבצעים את הבדיקות הבאות:
- אם האתגר תואם לאתגר המאוחסן.
- אם אפשר לאמת את החתימה ב-assertion באמצעות המפתח הציבורי.
אם שרת האפליקציה מאמת את הטענה בהצלחה, המשתמש נכנס לחשבון.
תאימות לגרסת Android
הטמעת מפתחות הגישה של Credential Manager פועלת במכשירים שמותקנת בהם גרסת Android 9 (API ברמה 28) ומעלה.
תמיכה בפלטפורמות שונות
מפתחות הגישה תואמים למספר מערכות הפעלה, כולל Android, Microsoft Windows, macOS ו-iOS. הם פועלים גם עם מגוון דפדפנים פופולריים, כמו Chrome, Microsoft Edge ו-Safari.
כדי לבדוק את סטטוס התמיכה ב-Chrome וב-Android, אפשר לעיין במאמר בנושא סביבות נתמכות. מידע נוסף על הוספת מפתחות גישה לאתר מפורט במאמר בנושא מפתחות גישה באינטרנט.
תמיכה בכל גורמי הצורה
מפתחות גישה פועלים בפלטפורמות אחרות שפותחו על ידי Google, כולל Android, WearOS ו-Android XR. מידע נוסף זמין במאמר בנושא גורמי צורה.
השלבים הבאים
- יצירת מפתח גישה
- כניסה באמצעות מפתחות גישה
- ניהול של מפתחות הגישה
- הסבר על תהליכי חוויית המשתמש במפתחות גישה
- מידע נוסף על מפתחות גישה