שאלות נפוצות בנושא מניעת פישינג באמצעות Password Alert

מה זה Password Alert?

‫Password Alert הוא תוסף ל-Chrome שעוזר למשתמשי Google Workspace ו-Cloud Identity להימנע מהתקפות פישינג. התוסף מזהה מתי המשתמשים מזינים את הסיסמה שלהם לחשבון Google באתרים שהם לא דף הכניסה לחשבון Google.

האדמינים יכולים גם לפרוס את השרת של Password Alert כדי לאפשר ביקורת של התראות לגבי סיסמאות, לשלוח התראות באימייל ולחייב משתמשים לשנות את הסיסמה לחשבון Google שלהם אם הם מקלידים אותה באתר אינטרנט לא מהימן.

מהי המדיניות של Chrome בנושא התראות על סיסמאות ומה ההבדל בינה לבין Password Alert?

אתם יכולים לקבל הרבה מהתכונות של תוסף Password Alert ל-Chrome דרך מדיניות התראות של Password Alert ל-Chrome. הוא מוטמע באופן מקורי ב-Chrome ומאפשר פריסת מדיניות ודיווח אחידים בכל הפלטפורמות שתומכות ב-Chrome.

הארגון שלכם לא צריך את Google Workspace או את Cloud Identity כדי להשתמש במדיניות התראות סיסמה ב-Chrome. נכון לעכשיו, למדיניות התראות של Password Alert ב-Chrome אין שרת של Password Alert לביקורת ולאמצעי בקרה של התראות.

אם תגדירו גם את התוסף ל-Chrome וגם את המדיניות של Password Alert ל-Chrome, אתם והמשתמשים שלכם תקבלו שתי קבוצות של התראות. כדי למנוע התראות כפולות, צריך להשבית את התוסף.

אפשר להשתמש בסיסמה של חשבון Google המנוהל בחשבונות אחרים?

לא. הזנת הסיסמה לחשבון Google המנוהל (לדוגמה, Google Workspace או Cloud Identity) בכל אתר שאינו של Google מפעילה את Password Alert. בכל פעם שתשתמשו בסיסמה הזו בחשבונות אחרים, תקבלו התראה. אתם יכולים לבחור אם לאפס את הסיסמה או להתעלם מההתראה לגבי החשבון הספציפי.

משתמשי Gmail יכולים להשתיק את כל ההתראות באתר. אם אתם משתמשים באותה סיסמה בכמה חשבונות, ואחד מהחשבונות נפרץ, התוקפים בדרך כלל מנסים להשתמש בסיסמה הזו כדי לקבל גישה לחשבונות האחרים שלכם.

מה קורה אם לא משתמשים ב-Chrome?

התוסף Password Alert מיועד למשתמשי Google Workspace ו-Cloud Identity, וכרגע הוא פועל רק כתוסף ל-Chrome בדפדפן Chrome. אדמינים יכולים לפרוס את Password Alert בדומיינים שלהם באמצעות כללי מדיניות של Chrome, ולהגדיר מכונה של Google App Engine כדי לעקוב אחרי ההתראות בדומיינים. אם אתם משתמשים בדפדפנים מדור קודם, כדאי לבדוק את התמיכה של Chrome בדפדפנים מדור קודם.

האם Password Alert פועל עם התחברות לכמה חשבונות?

התוסף Password Alert משתמש בפרופיל הפעיל ב-Chrome כדי לקבוע על איזה חשבון הוא מגן. לכן, אם אתם רוצים להתקין את Password Alert בכמה חשבונות Google, אתם צריכים להשתמש בכמה פרופילים ב-Chrome.

מתי התוסף Password Alert נכנס לתוקף?

אחרי שמתקינים את התוסף, Password Alert מתחיל לפעול בפעם הבאה שנכנסים ל-accounts.google.com. צריך להפעיל את JavaScript, ומשתמשים עם חשבונות Google מנוהלים צריכים להיכנס ל-Chrome.

איך Password Alert יודע מה הסיסמה שלכם?

בכל פעם שאתם נכנסים לחשבון Google, לתוסף Password Alert יש גישה זמנית לסיסמה הנכונה שלכם, והוא שומר תמונה ממוזערת של הסיסמה עם ערך גיבוב (salt) וסיביות מופחתות באחסון המקומי של Chrome. לאחר מכן, התוסף משווה את התמונה הממוזערת הזו לכל סיסמה שאתם מזינים באתרים שהם לא accounts.google.com (או, בדומיינים של Cloud Domains, באתרים שהאדמין הוסיף לרשימת ההיתרים).

באילו כלים נוספים אפשר להשתמש כדי להגן על הסיסמה?

למשתמשי Gmail, מפתח אבטחה מסוג FIDO Universal 2nd Factor‏ (U2F) הוא כלי שימושי מאוד למניעת פישינג של סיסמאות.

מה ההבדל בין Password Alert לבין תכונות הגלישה הבטוחה המובנות ב-Chrome?

דפדפן Chrome מנסה לזהות דפי פישינג מראש, אבל יכול להיות שהוא יפספס דף כניסה מתחזה. התוסף Password Alert אמור לזהות כל פעם שאתם מזינים את הסיסמה שלכם באתר שהוא לא accounts.google.com (או, בדומיינים של Google Cloud, באתרים שהאדמין הוסיף לרשימת ההיתרים).

האם התכונה "התראת סיסמה" תומכת בסיסמאות לחשבון Google עם פחות מ-8 תווים?

לא, כדי להשתמש בהגנה באמצעות Password Alert, הסיסמה צריכה להיות באורך של 8 תווים לפחות. תצטרכו לשנות את כל הסיסמאות הקודמות לחשבון Google שכוללות פחות מ-8 תווים.

האם Password Alert הוא כלי לרישום הקשות?

לא. התוסף Password Alert לא שומר את הקשות המקשים בדיסק, והוא לא שולח הקשות מקשים למערכת מרוחקת.

האם לקוחות Google Cloud צריכים את אפליקציית Password Alert?

לא, אפליקציית Password Alert נדרשת רק כדי לקבל דוחות של התראות, לשלוח התראות באימייל ולחייב את המשתמש לשנות את הסיסמה לחשבון Google אם הוא מקליד אותה באתר אינטרנט לא מהימן.

הגדרתי את Password Alert כך שישלח דוחות לאפליקציית Password Alert שלי. למה המשתמשים שלי לא מקבלים יותר הודעות באנר?

אחרי שמגדירים את Password Alert לשליחת דוחות לאפליקציה, כל ההתראות נשלחות רק לקבוצת האבטחה ו/או למשתמש באימייל. לפרטים נוספים, אפשר לעיין בקטע אכיפה בקובץ התצורה של אפליקציית Password Alert.

מה ההבדל בין אפליקציית Password Alert לבין המכונה של App Engine?

אפליקציית Password Alert מנוהלת על ידי Google, והמכונה של App Engine מנוהלת על ידי הצוות שלכם.

מה ההבדל בין "השתקה" ל"מותר" בסטטוס המארח במסוף Admin?

מותר – לא נשלחת התראה לאבטחה והתוקף של סיסמת המשתמש לא פג. אתם יכולים להשתמש במצב הזה כדי להוסיף מארח לרשימת היתרים לשימוש חוזר בסיסמאות.

השתקה – לא נשלחת התראה לצוות האבטחה, אבל תוקף הסיסמה של המשתמש פג. בדרך כלל משתיקים שמות מארחים כשמזוהה שימוש חוזר בסיסמה באתר לגיטימי (לדוגמה, login.yahoo.com).

לא ידוע – נשלחת התראה לאבטחה והסיסמה של המשתמש פגה. זהו מצב ברירת המחדל לכל המארחים, מלבד accounts.google.com וכתובת ה-URL של ה-SSO שמוגדרת ב-managed_policy_values.txt ‏ (SSO_URL).