חתימתו האלקטרונית של החתול

יש דברים שאנשים עם חתולים צריכים להיזהר מהם במיוחד. למשל, השארת אוכל על השיש, או דפי אינטרנט פתוחים על המחשב ללא השגחה. לפני שבועיים, תוך חיפוש מידע על חתימות אלקטרוניות, גילינו, חתולי הצעיר ואני, שכמה מה"בטחוניסטים" העוסקים באבטחת מידע והצפנה לא עשו דבר כדי להתגונן מפגיעתו של היצור הכתום והסקרן הזה. מילא, לו רק בעלי חתולים היו עלולים להיפגע משתי לחיצות לא מפוקסות על אלמנטים בעמוד אינטרנט תמים. לצערי, זה יכול לקרות לכל אחד מאתנו.
יש משהו כאוב בכל נושא החתימה הדיגיטלית וההצפנה. מצד אחד, מדובר בנושא סבוך שלא רבים מבינים לעומק. מצד שני, מדובר בתחום שישפיע על חיינו הרבה יותר ממה ש-MP3 השפיע. כזכור, כשהחלו ההפגנות נגד הגלובליזציה יצאו לא מעט אנשים לרחובות כדי למחות נגדה, אבל רק מעטים הצליחו להסביר לעיתונאים נגד מה הם מפגינים. תחום החתימה הדיגיטלית מסובך הרבה יותר להבנה, אך ההשלכות החברתיות שלו שוות לא פחות הפגנות. אם אתם מתעניינים בנושא (ומומלץ להתעניין בעתיד שלכם), כדאי להתחיל במצגת המבוא שהכין עו"ד חיים רביה (ראו קישור מימין).

הסיפור הנורא על החתול הג'ינג'י והגורם המאשר

באותו יום גורלי לפני שבועיים ניצל הג'ינג'י הפוחז הפסקה קצרה שלקחתי אחרי שנכנסתי לאתר של חברת Securenet, וכמעט והפך אותה ל"גורם המאשר" שלי (Certification Authority). "גורם מאשר" הוא גוף שמנפיק מעין תעודה אלקטרונית, שהתקנתה על הדפדפן שלי פירושה שאני מסמיך את אותו גוף לחתום באופן אוטומטי על תצהירים בתחומי הסמכות המוגדרים בתעודה. למשל, אישור זהות של שרת: אם אני מתחבר באופן מוצפן לחשבון הבנק שלי, אני בטוח שאיש אינו יכול לקרוא את המידע חוץ ממני ומהשרת שאליו אני מחובר. אבל מי אמר שאני מחובר ישירות לשרת של הבנק? מה אם שרת של האקר הצליח להתחזות לשרת של הבנק שלי? הוא אפילו יכול "לתווך" ביני לבין השרת האמיתי של הבנק, ו"להאזין" לתעבורת המידע.
גורם מאשר יכול לחתום על "תעודת הזהות" (מפתח ההצפנה) של השרת. ברגע שאני מתקין "תעודת גורם מאשר" עם סמכות לזיהוי שרתים בדפדפן שלי, אני מורה לו לכבד את החתימה של הגורם המאשר לצורך זיהוי של שרתים שונים. רוב תעודות הגורם המאשר שנתקלים בהן ברשת הן בעלות סמכות זו בלבד, אבל אפשר להגדיר להן גם סמכויות אחרות (זיהוי משתמשים למשל).
לצערי, דפדפן "אקספלורר" של מיקרוסופט הוסיף לרשימת הסמכויות של הגורמים המאשרים גם את האפשרות לאשר תעודות לחתימה על תוכנה, כאמצעי "אבטחה משפטית" נגד האקרים. למה הכוונה? אם, למשל, הגעתי לאתר שמציע לי להתקין את הגרסה החדשה של פלאש מבית "מקרומדיה", הגורם המאשר יכול להעיד בפני כי התוכנה אכן נכתבה על ידי "מקרומדיה" (גוף משפטי בר תביעה), ולא על ידי מפתח וירוסים רשע ואלמוני. המשעשע באותה "הגנה משפטית" הוא שאם תוכנת הפלאש תידבק בשוגג בווירוס (במשרדי "מקרומדיה") שבהמשך יפרמט לכם את הדיסק הקשיח, לא תדעו איזו תוכנה היתה נגועה ואיזו חברה לתבוע (כאילו שהייתם זוכים בתביעה כזו).
בשורה התחתונה: יש תעודות גורם מאשר שאפשר לכנות "חלשות" (אם אתקין על השרת שלי תעודה כזו ממקור מפוקפק, הנזק המקסימלי שייגרם לי הוא שמישהו יוכל - במאמץ לא קטן - להאזין לשיחות מוצפנות שלי עם שרתים). לעומתן, יש תעודות "חזקות" (אלו יכולות לשכנע את המחשב שלי שהווירוס שהוא עומד להתקין נכתב על ידי "מיקרוסופט ישראל"). איך מבדילים ביניהן? במקרים מסוימים, אפילו חתול משכיל במיוחד לא יצליח.

אז מה הבעיה, בעצם?

בעקבות חוק החתימה האלקטרונית שעבר בכנסת באוקטובר (ראו קישור) החליטה חברת Securenet הרמת-גנית להיכנס לשוק הגורמים המאשרים. בימים אלה נמצאת החברה בהליכים לקבלת רשיון ממשלתי של גורם מאשר, על פי החוק החדש.
חתולי ואני החלטנו להיכנס לדף הבית שלה, שם מצאנו קישור בשם download (ובעברית מעשית: "לחצו כאן!"). נכנסנו וראינו את הכיתוב "לחץ על הכפתור להכנסת התעודה של Securenet לרשימת האמון שבמחשב שלך". מתחת למשפט הזה היה כפתור שעליו נכתב "להתקנת התעודה". איזה סוג של תעודה? אני לא הבנתי, והחתול שלי אף פעם לא התעמק בדקויות. הוא נכנע לסקרנות, לחץ, וקיבל חלון סטנדרטי של מיקרוסופט שבו כתובים כל מיני מספרים מוזרים ש"מזהים" את התעודה, אבל אף מלה על רמת ה"חוזק" שלה. למזלי, תפסתי אותו במהלך ההתלבטות אם לאשר את ההתקנה.
מה היה קורה אם החתול היה מתפתה ללחוץ על "yes"? מתברר שזו היתה תעודה מהסוג החזק ביותר שקיים בטבע. אם אחד העובדים של Securenet הוא בעל מחשבות זדון (או עושה מילואים ב- "8200") ויש לו גישה למפתח הסודי של התעודה, הוא יוכל בקלות לייצר תוכנה עתירת וירוסים, שתיראה כאילו נכתבה על ידי בנק לאומי, ynet, נמרוד קרת או בוק ג'ונס. משם, הדרך קצרה להדבקת המחשב שלכם בסוס טרויאני שישלח את הסיסמאות שלכם לפורום של מגדלי עגבניות בהונגריה. אם תרצו, תוכלו לתבוע את בוק ג'ונס על הנזקים שנגרמו לכם. בהצלחה.

פליטת מקלדת מסוכנת

כשפניתי אל Securenet בבקשה שיסבירו לי איך עניין כל כך מסובך יכול להיות מוכרע על ידי פליטת מקלדת של חתול שקיבל הסבר בן 11 מלים, הסביר לי עו"ד יורם הכהן (סמנכ"ל "גורם מאשר" של החברה) כי הדף לא נועד לציבור הרחב, אלא למשתתפי כנס בנושא חתימה אלקטרונית, שנערך בנובמבר. מפליא: הרי יש באתר אזור לחברים בלבד, שבו אפשר היה למקם את הכפתור הבעייתי, במקום להשאיר אותו נגיש לכל חתול. חוץ מזה, למה לא נכתב שם מה בדיוק אני עומד להתקין? מועד פרסום הכתבה נדחה בשבועיים כדי לאפשר לחברה לבצע עבודה של חמש דקות ולהעלים את הכפתור. רק בדקה ה- 90, ולאחר תזכורת נוספת, נלחצו ב- Securenet מספיק כדי לשנות את העמוד (את גרסתו הראשונית תמצאו בקישור מימין).
אבל הדבר החמור יותר היה טענתו של הכהן כי מדובר בתעודה שנועדה לצורכי הדגמה בלבד. "אין לה שום תוקף משפטי" אמר. הבעיה היא שSecurenet- לא קבעה שתוקף התעודה הוא שבוע או חודש, אלא עשר שנים. לכן, לו אכן הייתי נותן לחתול שלי להתקין אותה, הייתי חושף את עצמי לפגיעותיה הרעות עד שנת 2011. כשהערתי את תשומת ליבו של הכהן לכך, הוא הבטיח לי שהמפתח הדרוש לצורך הפעלת התעודה נמחק, כלומר: היא אינה ניתנת לשימוש. כששאלתי האם ייתכן שאחד מעובדיו שמר לעצמו עותק של המפתח (אולי הכהן ואנשיו לא ייחסו לתעודה חשיבות מיוחדת, הואיל ואין לה "תוקף משפטי"), ענה שהמקום מאובטח מספיק והוא בטוח שלא קרה דבר כזה. נרגעתם?
מוסר השכל: תיזהרו על מה אתם לוחצים, אפילו אם מדובר בחברות מכובדות ובעלות כוונות טובות (שיום אחד אולי ינפיקו את תעודת הזהות שלכם). באתרי סקס אני בטוח שכבר למדתם להיות ערניים.

לסיום: הערה וגילוי נאות

אין לי דבר נגד securenet. אני שמח שהם הפיקו לקחים מהמקרה ומאחל להם הצלחה בקבלת רשיון "גורם מאשר", אבל למען הגילוי הנאות (כמו שאומרים בעורכדינית), אני חייב לציין את התנגדותי לנוסח הנוכחי של החוק לגבי "מעמד הגורם המאשר". לדעתי, אותם "גורמים מאשרים" עלולים להפוך למעמד חברתי שליט, שמרכז בידיו כמויות מסוכנות של כוח. אני וחברי נעשה כל מה שנוכל כדי להתחרות במעמד הזה באמצעות שירותים בחינם בניגוד לרוח החוק (אך לא בניגוד לחוק), כדי שהרשיון של securenet (או של המתחרים שלהם) יהיה חסר ערך. שום דבר אישי, כאמור.