זהויות והרשאות · נבדק ב־4 בנובמבר 2026, בשעה 20:00 UTC.
Yubico פרסמה ב־3 בנובמבר את Authenticator 7.5.0 למחשבים ול־Android. לפי מדריך ה־PIV שלה, תצורת PIN-derived מונעת כעת פעולות המחייבות מפתח ניהול, ובהן ייבוא תעודה. מפתחות ניהול מסוג PIN-protected עדיין נתמכים.
שתי תצורות שנראות דומות למשתמש
הקלדת PIN בלבד אינה מגלה איך מנוהל מפתח הניהול מאחורי הקלעים. במצב PIN-derived, התוכנה גוזרת את מפתח הניהול מה־PIN ומערך מלח. במצב PIN-protected, המפתח מאוחסן באובייקט נתונים ב־YubiKey, ואפשר לקרוא אותו לאחר אימות ה־PIN. אימות באמצעות מפתח הניהול עדיין מתבצע. ההבדל מוסבר בתיעוד מצבי PIN-only של Yubico.
לכן כדאי לזהות את התצורה לפני שמסתמכים על היישום החדש להנפקה או לחידוש תעודות. מסך PIN מוכר אינו ראיה מספקת. מימוש ה־PIV שפורסם עבור Manager 5.9.0 מבחין בפלט המידע בין מפתח נגזר לבין מפתח מאוחסן. זהו מקור עזר לאבחון, ולא הבטחה שכל כלי ניהול מציג את אותם תיאורים.
מה עוד כדאי לכלול בתוכנית העדכון
רשומת גרסה 7.5.0 מוסיפה שירות רקע ב־Windows, המאפשר פעולות FIDO בלי להפעיל את היישום כמנהל מערכת. במחשבים הוחלף רכיב העזר מבוסס Python ברכיב Rust, ודרישת המינימום ב־macOS עלתה ל־Monterey 12.0. אלה שינויים שכדאי לבדוק מול חבילת ההפצה ותחנות הקצה בארגון.
לפי הערות הגרסה במדריך המשתמש, מטמון זמני של פרטי אימות ב־FIDO2, ב־PIV וב־OATH פג לאחר שלוש דקות ללא פעילות; תכונת הגישה המתמשכת לקריאה בלבד אינה מושפעת. נוספו גם אפשרויות ML-DSA ו־ML-KEM לעבודת PIV עם YubiKey המותאם ל־PQC. לפני בדיקתן יש לתעד במפורש את החומרה והתוכנה התואמות.
בדיקת קבלה מצומצמת לפני הפצה רחבה
זו תוכנית בדיקה שאנחנו מציעים. בדקנו את התיעוד, אך לא התקנו את הגרסה ולא ערכנו ניסוי במפתח YubiKey.
- ממפים את התהליך. מתעדים מערכת הפעלה, חבילת יישום, דגם התקן, קושחה, קורא או חיבור וכלי הנפקה. מבררים באיזה מצב של מפתח ניהול משתמש כל תהליך נתמך. אין להכניס PIN או חומר מפתח לרשומת הבדיקה.
- מפרידים שימוש מניהול. עם מפתח וחשבון ייעודיים לניסוי, בודקים כניסה קיימת בנפרד מייבוא או חידוש תעודה. כניסה מוצלחת אינה מוכיחה שפעולת הניהול הבאה תצליח.
- בודקים בסביבת העובד הרגילה. ב־Windows משתמשים בחשבון רגיל ובמדיניות ההפצה האמיתית של הארגון. בודקים התקנת שירות, פעולה לאחר הפעלה מחדש והרשאות צפויות. היעלמות הדרישה להפעלת היישום כמנהל אינה מוכיחה שכל שלבי ההתקנה פועלים ללא הרשאות מיוחדות.
- בוחנים מה קורה אחרי חוסר פעילות. משווים התנהגות לפני ואחרי יותר משלוש דקות ללא פעילות. מתעדים אם גישה מתמשכת לקריאה בלבד מופעלת, ובודקים אותה בנפרד במקום לצפות שכל מסכי פרטי האימות יתנהגו באותה דרך.
- מכינים דרך התאוששות. מגדירים כתובת לתמיכה ונוהל התאוששות שנבדק לפני שינוי תהליך ההנפקה בייצור. אין לאפס מפתח תקין כניסוי תאימות מהיר: Yubico מזהירה שאיפוס יישום ה־PIV מוחק את המפתחות הפרטיים ואת התעודות שבו.
בססו הפצה על תצורות שנבדקו. שינוי הניהול ב־Authenticator אינו מוכיח שכניסות קיימות בכרטיס חכם ייכשלו או שלקוחות אחרים הפסיקו לתמוך ב־PIN-derived.