איך עובדות Passkeys של Singpass ומי יכול להשתמש בהן?

איך פועל צמד המפתחות?

בעת הרישום, ה-iPhone יוצר צמד מפתחות קריפטוגרפיים ייחודי:

• המפתח הפרטי נשאר במכשיר הרשום ומשמש ליצירת חתימה דיגיטלית.
• המפתח הציבורי המקביל נרשם במערכת Singpass ומשמש לאימות החתימה.
• במהלך התחברות, Singpass שולחת למכשיר אתגר חדש.
• הטלפון חותם על האתגר רק לאחר שהמשתמש מאשר את הפעולה באמצעות Face ID, Touch ID או קוד האפליקציה.
• Singpass בודקת את התגובה באמצעות המפתח הציבורי ששמור אצלה.

מדובר באימות המבוסס על קריפטוגרפיה של מפתח ציבורי ופרטי — לא רק ב"החלפת מפתח הצפנה" פשוטה. המפתח הפרטי לעולם אינו נשלח ל-Singpass, והמפתח הציבורי לבדו אינו מספיק כדי להתחזות למשתמש.

המערכת גם מקשרת את פרטי האימות למקור ולדומיין של השירות האמיתי. לכן אתר שנראה כמו Singpass אך פועל בכתובת אחרת אינו אמור לקבל תגובה שתעבוד מול השירות המקורי. זהו עיקרון המכונה אימות הקשור למקור (origin-bound authentication), והוא חלק מהמודל של תקני FIDO ו-WebAuthn.

במילים פשוטות: העתקה של דף התחברות אינה מספיקה. באתר המתחזה אין סיסמה, קוד OTP, אישור QR או תגובה קריפטוגרפית שימושית שאפשר לאסוף ולהפעיל מחדש.

מי יכול להשתמש ב-Passkeys בשלב הראשון?

ההשקה הראשונית מוגבלת יחסית:

• iPhone ו-iOS: נתמכים החל מ-1 ביולי 2026, דרך דפדפנים ניידים.
• Android: התמיכה מתוכננת לשלב מאוחר יותר.
• מחשבים ניידים ונייחים: התחברות מדפדפן במחשב נדחתה גם היא לשלב מאוחר יותר.

לכן משתמש iPhone יכול להירשם ולהשתמש ב-Passkey בכניסה נתמכת מהטלפון, אך אין להניח שכל שירות של Singpass וכל מכשיר יציגו את האפשרות מיד עם ההשקה.

איך נרשמים?

בשלב ההשקה למשתמשי iPhone, יצירת ה-Passkey מתבצעת באפליקציית Singpass:

1. מעדכנים את אפליקציית Singpass לגרסה האחרונה.
2. פותחים את האפליקציה ובוחרים בבאנר של Passkey במסך הבית.
3. פועלים לפי ההוראות שעל המסך להשלמת היצירה.

לאחר הרישום, הכניסה מאושרת באופן מקומי באמצעות Face ID, Touch ID, טביעת אצבע או קוד האפליקציה בן שש הספרות — בהתאם למכשיר ולהגדרות הזמינות. המשתמש אינו נדרש להקליד סיסמת Singpass באתר המשתתף.

למה Bluetooth חשוב בהתחברות ממכשיר אחר?

כאשר ההתחברות מתחילה במכשיר אחר — למשל בפורטל שנפתח ב-iPhone נוסף או במכשיר נפרד — נוצר סיכון נוסף: נוכל עלול לנסות לגרום למשתמש לאשר התחברות שמתרחשת למעשה במכשיר שבשליטת הנוכל.

בתרחישים כאלה Singpass יכולה להפעיל בדיקת Bluetooth קצרת-טווח, שנועדה לוודא שהטלפון הרשום שמחזיק ב-Passkey נמצא פיזית בקרבת המכשיר שמבקש את ההתחברות.

בדיקת הקרבה אינה מחליפה את אימות צמד המפתחות. היא מוסיפה אינדיקציה לכך שהטלפון נמצא ליד המכשיר המבקש גישה. כך קשה יותר לנהל מרחוק תרחיש שבו הנוכל שולח QR או בקשת אישור, ומדריך את הקורבן לאשר אותה בזמן שהוא פועל ממקום אחר.

למה עדיין אפשר להשתמש בסיסמה, OTP ו-QR?

Passkeys הן אפשרות נוספת במהלך תקופת הבטא, ולא תחליף מיידי לכל שיטות ההתחברות. האפשרויות הקיימות נשארות נחוצות עבור אנשים שאין ברשותם iPhone מתאים, משתמשים שטרם נרשמו, ושירותים או מכשירים שעדיין אינם כלולים בהשקה המדורגת.

השיטות הוותיקות ממשיכות לספק כיסוי ונגישות רחבים יותר, אך האבטחה שלהן תלויה במידה רבה בהתנהגות המשתמש. אדם עלול להשתכנע למסור סיסמה או קוד OTP, לסרוק QR מזויף או לאשר בקשת התחברות בלתי צפויה. משטרת סינגפור ממשיכה להזהיר את הציבור שלא למסור סיסמאות Singpass או פרטי אימות דו-שלבי לאנשים שאינם מוכרים.

חשוב לזכור: Passkeys מצמצמות את כמות פרטי ההתחברות שניתן לדוג, אך אינן מבטלות כל סוג של הונאה. נוכל עדיין יכול להתחזות לארגון, להפעיל לחץ פסיכולוגי, לנסות להשיג מידע אישי או לנצל תהליכי שחזור חשבון והשתלטות עליו.

הקשר לתקני FIDO

העיצוב של Singpass מבוסס על מודל של קריפטוגרפיית מפתח ציבורי הקשורה למקור השירות, כפי שמקובל בתקני FIDO ו-WebAuthn. FIDO2 הוא תקן פתוח לאימות משתמשים, שנועד להחליף סודות הניתנים לדלייה — כמו סיסמאות וקודים — בפרטי התחברות קריפטוגרפיים עמידים יותר בפני פישינג.

המשמעות של שימוש בתקנים פתוחים היא ש-Passkeys אינן פורמט קנייני ייחודי ל-Singpass. תקני FIDO נועדו לאפשר פעולה הדדית רחבה יותר בין שירותים, מכשירים ופלטפורמות, בכפוף לאופן שבו כל שירות מיישם אותם ולשלב ההשקה שלו. ניתן לשמור Passkey בטלפון, במחשב או במפתח אבטחה פיזי, בהתאם לשירות ולמכשיר.

עבור Singpass, היתרון המעשי הוא קשירת האימות לדומיין האמיתי: המאמת אמור להגיב עבור השירות הלגיטימי, ולא עבור אתר שנראה דומה אך נמצא בכתובת אחרת.

אילו נתונים הובילו להשקת השיטה?

בסינגפור נרשמו בשנת 2025 37,308 מקרי הונאה והפסדים של כ-913.1 מיליון דולר סינגפורי. הנתונים מתייחסים לכלל ההונאות, ולא לפישינג בלבד.

הנתונים השנתיים הרשמיים מפרידים בין סוגי ההונאה ומונים 6,264 מקרי פישינג והפסדים של 39.9 מיליון דולר סינגפורי שנגרמו מפישינג בשנת 2025. לכן מדובר ברכיב משמעותי מבעיית ההונאות הרחבה, אך הנתונים אינם מוכיחים שכל ההפסדים נגרמו מגניבת פרטי Singpass.

הפתרון ממוקד בהתאם: Passkeys נועדו להפוך את שלב לכידת פרטי ההתחברות בפישינג להרבה פחות יעיל. עם זאת, גם לאחר ההרשמה חשוב לבדוק כתובות אתרים, לדחות בקשות התחברות לא צפויות ולא למסור פרטי Singpass — במיוחד כל עוד שיטות האימות הישנות ממשיכות להיות זמינות.