שאלות נפוצות בנושא מניעת פישינג באמצעות Password Alert

מהו Password Alert?

התוסף Password Alert ל-Chrome עוזר למשתמשי Google Workspace ו-Cloud Identity להימנע ממתקפות פישינג. הוא מזהה מתי הם מזינים את הסיסמה שלהם לחשבון Google באתרים שהם לא דף הכניסה לחשבון Google.

האדמינים יכולים גם לפרוס את השרת של Password Alert כדי לקבל דוחות של התראות לגבי סיסמאות, לשלוח התראות באימייל ולחייב משתמשים לשנות את הסיסמה שלהם ל-Google אם הם מקלידים אותה באתר אינטרנט לא מהימן.

מהי מדיניות Password Alert של Chrome ומה ההבדל בינה לבין מדיניות Password Alert של Google?

אפשר להשתמש בהרבה מהתכונות של התוסף Password Alert ל-Chrome באמצעות מדיניות Password Alert ל-Chrome. היא מיושמת באופן מקורי ב-Chrome ומאפשרת פריסה אחידה של מדיניות ודיווח בכל הפלטפורמות שתומכות ב-Chrome.

הארגון שלכם לא צריך Google Workspace או Cloud Identity כדי להשתמש במדיניות 'התראה על סיסמה' ב-Chrome. נכון לעכשיו, למדיניות Password Alert ב-Chrome אין שרת Password Alert לביקורת ולבקרה של התראות.

אם תגדירו גם את התוסף ל-Chrome וגם את מדיניות Password Alert ל-Chrome, אתם והמשתמשים שלכם תוכלו לקבל 2 סוגים של התראות. כדי למנוע כפילות של התראות, צריך להשבית את התוסף.

האם אפשר להשתמש שוב בסיסמה של חשבון Google מנוהל בחשבונות אחרים?

לא. הזנת הסיסמה לחשבון Google מנוהל (לדוגמה, Google Workspace או Cloud Identity) באתר שאינו של Google מפעילה את Password Alert. תקבלו התראה בכל פעם שתשתמשו בסיסמה הזו בפעם הראשונה בחשבונות אחרים. אתם יכולים לבחור לאפס את הסיסמה או להתעלם מההתראה לגבי החשבון הספציפי.

למשתמשי Gmail יש אפשרות להשתיק את כל ההתראות באתר. אם אתם משתמשים באותה סיסמה בכמה חשבונות, ואחד מהחשבונות נפרץ, תוקפים לרוב ינסו להשתמש בסיסמה כדי לקבל גישה לחשבונות האחרים שלכם באמצעות אישורים שנעשה בהם שימוש חוזר.

מה קורה אם אני לא משתמש ב-Chrome?

התוסף Password Alert מיועד למשתמשי Google Workspace ו-Cloud Identity, ובשלב הזה הוא פועל רק כתוסף ל-Chrome בדפדפן Chrome. אדמינים יכולים לפרוס את Password Alert בכל הדומיינים באמצעות מדיניות Chrome, ולהגדיר מופע של Google App Engine כדי לעקוב אחרי התראות בכל הדומיינים. אם אתם משתמשים בדפדפנים מדור קודם, כדאי לכם לעיין בתמיכה בדפדפנים מדור קודם ב-Chrome.

האם Password Alert פועל עם כניסה מרובה לחשבונות?

התוסף Password Alert משתמש בפרופיל הפעיל ב-Chrome כדי לקבוע על איזה חשבון הוא מגן. לכן, אם רוצים להתקין את Password Alert לכמה חשבונות Google, צריך להשתמש בכמה פרופילים ב-Chrome.

מתי התוסף Password Alert מתחיל לפעול?

אחרי שמתקינים את התוסף, Password Alert מתחיל לפעול בפעם הבאה שמתחברים ל-accounts.google.com. צריך להפעיל את Javascript והמשימשים עם חשבונות Google מנוהלים צריכים להיות מחוברים ל-Chrome.

איך Password Alert יודע את הסיסמה שלכם?

בכל פעם שאתם נכנסים לחשבון Google, ל-Password Alert יש גישה זמנית לסיסמה הנכונה שלכם, והוא שומר תמונה ממוזערת של הסיסמה שלכם בפורמט מופחת-ביטים עם ערך מלח באחסון המקומי של Chrome. לאחר מכן, התוסף משווה את התמונה הממוזערת הזו לכל סיסמה שמזינים באתרים אחרים מלבד accounts.google.com (או, בדומיינים של Google Cloud, באתרים שהאדמין הוסיף לרשימת ההיתרים).

באילו כלים נוספים אפשר להשתמש כדי להגן על הסיסמה?

למשתמשי Gmail, מפתח אבטחה FIDO Universal 2nd Factor‏ (U2F) הוא כלי שימושי מאוד שעוזר למנוע פישינג של סיסמאות.

מה ההבדל בין Password Alert לבין תכונות הגלישה הבטוחה המובנות ב-Chrome?

דפדפן Chrome מנסה לזהות מראש דפי פישינג, אבל יכול להיות שהוא לא יזהה דף כניסה מזויף. התוסף Password Alert אמור לזהות כל פעם שמזינים את הסיסמה באתר שאינו accounts.google.com (או, בדומיינים של Google Cloud, באתרים שהאדמין הוסיף לרשימת ההיתרים).

האם Password Alert תומך בסיסמאות של Google שמכילות פחות מ-8 תווים?

לא, התוסף Password Alert דורש שהסיסמאות יכילו לפחות 8 תווים. תצטרכו לשנות סיסמאות קודמות של Google שמכילות פחות מ-8 תווים.

האם Password Alert הוא כלי לרישום הקשות?

לא. Password Alert לא שומר הקשות מקשים בדיסק, והוא לא שולח הקשות מקשים למערכת מרוחקת כלשהי.

האם אפליקציית Password Alert נדרשת ללקוחות Google Cloud?

לא, האפליקציה Password Alert נדרשת רק כדי לקבל דוחות של התראות לגבי סיסמאות, לשלוח התראות באימייל ולחייב את המשתמש לשנות את הסיסמה שלו ל-Google אם הוא מקליד אותה באתר אינטרנט לא מהימן.

הגדרתי את Password Alert לשליחת דוחות לאפליקציית Password Alert שלי. למה המשתמשים שלי כבר לא מקבלים התראות בבאנר?

אחרי שמגדירים את Password Alert לשליחת דוחות לאפליקציה, כל ההתראות נשלחות רק לקבוצת האבטחה או למשתמש באימייל. לפרטים נוספים, אפשר לעיין בקטע Enforcement (אכיפה) בקובץ ההגדרות של אפליקציית Password Alert.

מה ההבדל בין האפליקציה Password Alert לבין מופע App Engine?

אפליקציית Password Alert מנוהלת על ידי Google, ואילו מופע App Engine מנוהל על ידי הצוות שלכם.

מה ההבדל בין 'השתקה' לבין 'הרשאה' בסטטוס המארח במסוף Admin?

מותר – לא מוצגת התראה לגבי אבטחה והסיסמה של המשתמש לא פגה. משתמשים במצב הזה כדי להוסיף מארח לרשימת ההיתרים לשימוש חוזר בסיסמאות.

השתקה – לא מתקבלת התראה לגבי אבטחה, אבל הסיסמה של המשתמש פגה. בדרך כלל משתיקים שמות מארחים כשמזוהה שימוש חוזר בסיסמה באתר לגיטימי (לדוגמה, login.yahoo.com).

לא ידוע – מציג התראות אבטחה ומבטל את הסיסמה של המשתמש. זהו מצב ברירת המחדל לכל המארחים, למעט accounts.google.com וכתובת ה-URL של ה-SSO שמוגדרת ב-managed_policy_values.txt‏ (SSO_URL).