מנהל הסיסמאות שלכם אחרי המוות

מנהל סיסמאות הוא מפתח האב לחיים הדיגיטליים שלכם: כספת מוצפנת אחת שמחזיקה את פרטי ההתחברות לבנק, לדוא״ל, לתמונות, למנויים ולכמעט כל דבר אחר שאתם נכנסים אליו. אחרי מותכם, אותו עיצוב הופך לנקודת כשל יחידה. הכספת מוגנת בסיסמה ראשית שבכוונה אף אחד אחר אינו מכיר, וגם הספק עצמו אינו יכול לשחזר אותה. אם לא סידרתם דרך להיכנס, משפחתכם יורשת קופסה נעולה בלי מפתח.

הדף הזה מסביר מה קורה למנהל סיסמאות אחרי המוות, איך הכלים המובילים מטפלים בגישת חירום ובגישת מורשת, ואיך מגדירים אותה צעד אחר צעד. הוא גם עוסק באמת הקשה יותר שמתחת לכל זה: הכניסה לכספת היא רק הבעיה הראשונה, והגישה שהיא מעניקה אינה זהה לסמכות לפעול, ואינה האדם שמשפחתכם איבדה.

למה כספת שונה מחשבון רגיל

כדאי להבין למה מנהל סיסמאות נכשל כל כך לגמרי במוות, בעוד שבנק או ספק דוא״ל אינם נכשלים. את רוב החשבונות שלכם מחזיק גורם אפוטרופוס שיכול לקרוא אותם. בנק יכול לאמת תעודת פטירה ולשחרר כספים, וספק דוא״ל יכול, במקרים מסוימים, להעניק גישה למנהל העיזבון. הגורם המחזיק את המידע יכול לבחור למסור אותו.

מנהל סיסמאות רציני בנוי בכוונה כך שלא קיים גורם כזה. הוא משתמש בהצפנה מקצה לקצה שמפתחה הוא סיסמה ראשית שהספק לעולם אינו רואה ואינו יכול לאפס. זו התכונה שבשבילה אתם משלמים כל עוד אתם בחיים, כי פירוש הדבר שפריצה לשרתי החברה לא חושפת דבר שאפשר להשתמש בו. אחרי מותכם זו הופכת לבעיה: אין אף אחד שיש לו הכוח להכניס את משפחתכם, כי העיצוב שלל את הכוח הזה מכולם, כולל מהספק. הדרכים היחידות פנימה הן אלה שהכנתם בעצמכם מראש.

השוואה בין גישת חירום וגישת מורשת

מנהלי הסיסמאות המובילים מכירים את בעיית מפתח האב, ורובם מציעים דרך למנות אדם שיוכל לשחזר את הכספת שלכם. המנגנונים שונים זה מזה בדרכים חשובות, וההבדלים חשובים ביותר ברגע הגרוע ביותר.

ל-1Password אין מתג מוות כשלעצמו. במקומו היא נותנת לכם ערכת חירום (Emergency Kit), מסמך להדפסה שמכיל את כתובת הדוא״ל של החשבון, את המפתח הסודי (Secret Key) שלכם ומקום לכתוב בו את הסיסמה הראשית. מי שמחזיק בערכת חירום שהושלמה יכול להתחבר במלואו. בחשבונות משותפים ומשפחתיים, מארגן המשפחה יכול גם לשחזר את החשבון של חבר אחר, וזה הדבר הקרוב ביותר לתכונת מורשת אמיתית ב-1Password. הערכה היא המודל: חפץ פיזי שאתם שומרים במקום בטוח, ולא העברה אוטומטית.

LastPass מציעה גישת חירום (Emergency Access) מובנית במוצר. אתם ממנים אדם מהימן שכבר יש לו חשבון LastPass, וקובעים תקופת המתנה. כשהוא מבקש גישה, אתם מקבלים התראה ויש לכם את משך תקופת ההמתנה כדי לסרב. אם אתם לא עושים דבר, כי מתם, הגישה ניתנת אוטומטית כשהטיימר פוקע. Bitwarden פועלת באותו מודל עם תכונת גישת החירום שלה: נאמן שמונה, זמן המתנה שניתן להגדרה, וזכויות צפייה או השתלטות על הכספת ברגע שהבקשה מבשילה מעצמה.

Apple בוחרת בדרך אחרת. ל-Apple Passwords אין כלי גישת חירום עצמאי, אבל היא נמצאת בתוך חשבון Apple שלכם, שתומך באיש קשר מורשת (Legacy Contact). אתם ממנים אנשים שיכולים, אחרי מותכם, לבקש גישה לנתונים בחשבון שלכם באמצעות תעודת פטירה ומפתח גישה ש-Apple מפיקה. זה חל על החשבון כולו ולא על הסיסמאות בלבד, והוא מותנה בבדיקה של Apple ולא בטיימר פשוט. המסקנה המעשית מכל הארבעה היא שאין תקן אחד. שניים מהם מאפשרים גישה אוטומטית באמצעות טיימר, אחד נותן לכם חפץ מודפס לשמור בעצמכם, ואחד משלב את השאלה בתהליך רחב יותר של שחזור חשבון. בכל כלי שתשתמשו, עליכם ללמוד את הכללים הספציפיים שלו ולא להניח שקיים מתג מוות כברירת מחדל.

כל אחד מהכלים האלה בנוי על אותו הימור שקט: שהאדם שמינתם עדיין האדם הנכון, ועדיין ניתן להשיג אותו, ביום שזה חשוב.

מודל תקופת ההמתנה, ולמה הוא קיים

תקופת ההמתנה היא לב הגישה האוטומטית שבה משתמשות LastPass ו-Bitwarden, והיא ראויה להבנה ולא רק ללחיצה עליה. ההיגיון הוא איזון בין שני סיכונים. אילו הגישה הייתה מיידית, איש קשר מהימן זדוני יכול היה להשתלט על הכספת שלכם בזמן שאתם בחיים ובריאים. אילו הגישה הייתה בלתי אפשרית בלעדיכם, התכונה לא הייתה מועילה במוות. תקופת ההמתנה חוצה את ההפרש: היא נותנת לכם, בעל החשבון החי, חלון זמן להבחין בבקשה ולסרב לה. שתיקה נקראת כהסכמה, ואחרי מותכם שתיקה היא כל מה שנשאר.

זה אלגנטי, אבל יש לזה קצה חד. החלון מגן עליכם רק אם אתם בחיים ויכולים לראות את ההתראה, כלומר הוא תלוי בכך שאתם עדיין שולטים בדוא״ל או במכשיר שאליו ההתראה נשלחת. פירוש הדבר גם שהטיימר, ולא שיקול דעת אנושי, הוא שמכריע בתוצאה. אין מנהל עיזבון שבוחן את הבקשה, ואין בדיקה שזה אכן הרגע הנכון. אותו פער מבני מופיע גם בחשבונות דיגיטליים אחרי המוות: כלי הפלטפורמות מבצעים באופן אוטומטי החלטה שבעיזבון דורשת אדם בעל מעמד שעומד מאחוריה.

איך מגדירים גישת חירום, צעד אחר צעד

בכל מנהל סיסמאות שתשתמשו, ההגדרה בנויה בצורה דומה. העיקר הוא לעשות זאת במכוון בזמן שאתם בחיים ויכולים, ולרשום היכן נמצאת דרך השחזור כדי שאפשר יהיה למצוא אותה באמת.

• בחרו את האדם הנכון. בחרו מישהו שאתם סומכים עליו לגמרי ושסביר שיחיה אחריכם, ואמרו לו שמיניתם אותו. איש קשר מהימן שאינו יודע שהוא כזה לא עוזר בכלל.

• ב-LastPass או ב-Bitwarden, פתחו את גישת החירום (Emergency Access) בהגדרות החשבון, הוסיפו את האדם הזה לפי כתובת דוא״ל ובחרו בזכויות צפייה או השתלטות. הוא יצטרך חשבון חינמי משלו כדי לקבל את ההזמנה.

• קבעו תקופת המתנה שנוחה לכם. קצרה יותר פירושה גישה מהירה יותר למשפחתכם אבל פחות זמן עבורכם לתפוס בקשה שלא כדין. ארוכה יותר היא ההפך. כמה ימים עד שבוע הם פשרה נפוצה.

• ב-1Password, הפיקו והדפיסו את ערכת החירום (Emergency Kit), כתבו בה בכתב יד את הסיסמה הראשית ושמרו אותה במקום בטוח פיזית, כמו כספת ביתית או יחד עם מסמכי הצוואה, ולא בכספת שהיא פותחת.

• ב-Apple Passwords, פתחו את הגדרות חשבון Apple שלכם, הוסיפו איש קשר מורשת (Legacy Contact) וודאו שהוא מקבל ושומר את מפתח הגישה ש-Apple מספקת. בלי המפתח הזה, תעודת הפטירה לבדה אינה מספיקה.

• רשמו היכן נמצאת דרך השחזור. בפתק פרטי אחד ששמור עם מסמכי העיזבון שלכם, ציינו באיזה מנהל סיסמאות אתם משתמשים וכיצד אמורה להינתן הגישה, כדי שמנהל העיזבון שלכם ידע שהדלת קיימת ואיפה הידית. חשבונות משחקים הם מקרה בוחן מועיל, כי הכללים של Valve אוסרים על כל אחד אחר להשתמש בהתחברות שלכם ל-Steam, כפי שמסביר מה קורה לחשבון ה-Steam שלכם כשאתם מתים.

הצעד האחרון הזה הוא זה שרוב האנשים מחמיצים. תכונת גישת חירום שאיש אינו יודע שהגדרתם היא בפועל בלתי נראית, ומשפחתכם אינה יכולה להשתמש במנגנון שלעולם לא נודע לה עליו.

המגבלות: גישה אינה סמכות, וסמכות אינה זהות

הגדירו את כל זה היטב, ומשפחתכם תוכל להיכנס לכספת שלכם. זה הכרחי, אבל זה לא מספיק. יש עוד שני פערים שאף מנהל סיסמאות אינו סוגר, וכדאי לקרוא להם בשמם.

ראשית, גישה אינה סמכות. החזקת פרטי ההתחברות שלכם מאפשרת למישהו לפתוח את החשבונות שלכם, אבל אינה מעניקה לו את המעמד המשפטי לנהל את העיזבון, לסגור חשבונות, להעביר כסף או לקבל החלטות בשמכם. איש קשר מהימן שיש לו את הסיסמה הראשית שלכם ומנהל עיזבון שיש לו צו קיום צוואה (probate) הם תפקידים שונים, והבלבול ביניהם יוצר בדיוק את סוג המחלוקת שתוכנית טובה נועדה למנוע. לכן תכנון רציני מנתב את הגישה לכספת דרך מנהל עיזבון דיגיטלי בשם, ולא פשוט מוסר את המפתחות למי שקרוב ביותר. אותה הפרדה חשובה גם בחשבונות פיננסיים: סיפור השחזור של מה קורה ל-PayPal שלכם כשאתם מתים, או של מה קורה לקריפטו שלכם כשאתם מתים, תלוי בסמכות ולא רק בסיסמה.

שנית, סמכות אינה זהות. אפילו מסירה שבוצעה בצורה מושלמת, שבה האדם הנכון נכנס ברגע הנכון עם המעמד הנכון, מעבירה את החשבונות שלכם. היא לא מעבירה אתכם. הכספת מחזיקה את פרטי ההתחברות שלכם, והיא אינה מחזיקה את הדרך שבה חשבתם, את מה שהאמנתם בו, או את הקול שמשפחתכם תתגעגע אליו. החלק הזה בכם אינו ניתן לשחזור מסיסמה, לא משנה כמה היטב היא שמורה.

שני הפערים האלה מצטברים. איש קשר מהימן שיכול לפתוח את הכספת שלכם אבל אין לו סמכות משפטית נמצא במצב מביך וחשוף, כשהוא פועל בחשבונות שאין לו מעמד רשמי לגעת בהם. ואפילו כשגם הגישה וגם הסמכות הוסדרו, המשפחה נשארת עם החוויה המוזרה של החזקת כל מה שאדם השתמש בו ושום דבר מהאדם עצמו. עיזבון דיגיטלי מסודר היטב פותר את הבעיה הראשונה לגמרי ומשאיר את השנייה בלתי נגועה לחלוטין, ולכן אינו יכול להיות כל התוכנית.

מנהל סיסמאות מגן על המפתח. הוא מעולם לא תוכנן להגן על האדם.

מגישה לתוכנית עיזבון אמיתית

גישת חירום היא תכונה. תוכנית עיזבון היא מערכת. ההבדל הוא ממשל: לא רק אם מישהו יכול להיכנס, אלא מי מחליט שהרגע הגיע, באיזה סדר ניתנת הגישה, ובאיזו סמכות. פיזור של אנשי קשר ממונים בארבע אפליקציות שונות, לכל אחת טיימר וכללים משלה, אינו תוכנית. אלה כמה חוטים רופפים, שכל אחד מהם יכול להיקרע בלי שמישהו ישים לב עד שיהיה מאוחר מדי.

זה הפער ש-Executor Lock™‎ נבנה לסגור. במקום להשאיר כל חשבון למתג השחזור הספונטני שלו, הוא מציב מבנה ממשל אחד מעל התמונה כולה: מודל תלת-שכבתי של נמענים, איש קשר מהימן עם זכויות גישה במותכם, ומנהל עיזבון שיכול לדווח על פטירתכם ולהפעיל את המסירה. למנהל העיזבון יש את המילה האחרונה, וכל פעולה נרשמת ביומן ביקורת קבוע שרק מוסיפים אליו. זה ההבדל בין לקוות שטיימר יפוג כראוי לבין שיש אדם בשם בעל סמכות לפעול כשהרגע אמיתי.

גישה לסיסמאות היא פרק אחד בתחום הרחב של תכנון עיזבון דיגיטלי: להחליט, בזמן שאתם בחיים ויכולים, מי יכול להגיע למה שאתם משאירים אחריכם ובאיזו סמכות. מנהל הסיסמאות שלכם שייך בתוך התוכנית הזו, ולא במקומה.

החלק בכם שאף כספת אינה מחזיקה

אז הגדירו את גישת החירום כראוי. מנו מישהו שאתם סומכים עליו, קבעו תקופת המתנה סבירה, הדפיסו את ערכת החירום, מנו את איש קשר המורשת שלכם, ואמרו למנהל העיזבון שלכם היכן נמצאת דרך השחזור. כשהעבודה הזו נעשית היטב, משפחתכם אינה ננעלת מחוץ לחיים הדיגיטליים שלכם ברגע שבו היא הכי פחות מסוגלת להילחם בסיסמה ראשית שלעולם לא ינחשו.

ואז עשו את העבודה הנפרדת, והמתמשכת יותר. את החשבונות אפשר לשחזר עם תוכנית, אבל את האדם שמאחוריהם אפשר לשמר רק אם בוחרים לשמר אותו. בשביל זה נועדה בניית Persona: ייצוג מנוהל ומבוסס הסכמה של מי שאתם, שנוצר בזמן שאתם בחיים ואז ננעל כדי שלא ניתן יהיה לשנות אותו או לסחור בו אחרי מותכם. מנהל הסיסמאות שומר את המפתח. ה-Persona שומרת את האדם. אתם צריכים את שניהם, ורק אחד מהם פוקע ברגע שהכספת נפתחת. Build Once. Live Twice.™‎