ברשתות החברתיות נצפה מגוון תגובות לידיעה שמגן דוד אדום בישראל קורא לעוד ועוד תורמי דם, ובינתיים מעביר מנות לנזקקים להן... בעזה. לא נכנס כאן לענייני מוסריות או כדאיות, רק הערה קטנה: ראינו שבדיון בשפה האנגלית, ישראלים רבים כתבו MDA (מד"א). אבל MDA, בארה"ב, זה משהו אחר, בעל משמעות לא מנותקת מהתקופה אותה אנו עוברים. MDA היא הסוכנות להגנה נגד טילים - Missile Defense Agency. היא הוקמה לפני יותר מ-25 שנה, כאשר הנשיא רייגן ביקש מהקהילה המדעית בארצו לפתח טכנולוגיות נגד טילים בליסטיים, כדי לצמצם את ההסתמכות על הנשק הגרעיני. בשונה מאיתנו, ארה"ב מרוחקת גיאוגרפית דיה ממדינות האויב, לכן היא מפתחת את מערכות ההגנה נגד טילים לטווח ארוך.
כיפת ברזל יירטה בהצלחה, על פי דיווחים רשמיים, יותר מ-90% מהרקטות אליהן כוונה המהוות כ-20% מן הרקטות שנורו נגד ישראל במהלך מבצע צוק איתן. CyberESI, חברת מחשוב סייבר פורנזי מקולומביה, מרילנד, ארה"ב דיווחה כי במהלך 2011 ו-2012 נגנבו מאות מסמכים ממערכות המידע של הספקים הישראליים של כיפת ברזל: אלישרא, תעשייה אווירית, ורפאל. לדבריה, על הפריצה אחראית קבוצת פורצים Comment Crew הקשורה לממשלת סין. Comment Crew קיבלה את שמה מפני שהיא שותלת תוכנה זדונית בהערות מוסתרות (hidden comments) בעמודי ווב בשליטתם, ומשתמשים באותם אתרים כמרכזי שליטה ובקרה להורדת מסמכים גנובים. לדברי CyberESI, הם איתרו את הכניסות למערכות של הקבלנים הישראלים וזיהו יותר מ-700 מיילים גנובים, מסמכים וספרי עזר הקשורים לפיתוח פרויקט כיפת ברזל ונוספים. CyberESI עשו זאת לפני שהפורצים הצליחו לכסות את עקבותיהם הוירטואליות. אבל מיד אחרי זה, ניסו לשווא לשכנע את החברות, ואת ממשלות ארה"ב וישראל שיש לטפל בפרצות ולקחת אחריות על הפגיעה בסודיות הפרויקטים. רק ביולי השנה התפרסמה הפרשה. חודשיים לפני כן, אמנם, תבע משרד ההגנה האמריקאי חמישה קציני צבא סין שנחשדו בהשתייכות ל-קבוצת Comment Crew על הפריצה לרשתות המחשוב של ספקים לממשלת ארה"ב: תאגיד US Steel, חברתWestinghouse Electric השייכת לתאגיד טושיבה, ועוד ארבעה חברות אמריקניות, על מנת לגנוב קניין רוחני. התברר שהקבוצה היא לא אחרת מיחידת 61398 ללוחמה קיברנטית בצבא הסיני, עם בסיס בשנחאי. למרות שזהות היחידה נחשפה על ידי חברת Mandiant (חברת אבטחת מידע אמריקנית) ב-2013 (בדו"ח APT1 שכותרתו: "Exposing One of China’s Cyber-Espionage Units", גורמים אמריקנים מתעקשים שזהות הקבוצה מוכרת כבר 12 שנה ל-CIA. בהמשך לתביעה האמריקנית, העניינים התכערו בין סין לארה"ב בתחום ביון הסייבר, כמובן שסין התנערה מכל אחריות לקיום יחידת 61398. סין מצידה, תבעה את עלבונה בכך שסיימה את פעילויותיה של קבוצת עבודה דו לאומית שהייתה להם עם ארה"ב בנושא אבטחת סייבר. התגובה של החברות הישראליות לפרסום של CyberESI הייתה כמעט אפסית, לא היה ולא נברא. סברה נפוצה היא שהאינטרס של סין הוא בעיקר בריגול תעשייתי, עם תוכניות הנשק ההגנתי בידיהם, יוכלו לייצר אותו בזול ולמכור אותו לכל דורש. או אז תשמח גברת Navi Pillay (שמות תואר צונזרו) מן האומות המאוחדות, כי גם לחמאס יהיה כיפת ברזל, Made in China.
ובחזרה ל-MDA, בתחילת יולי השנה דיווח מנהל הסוכנותלקונגרס, שמערכות ההגנה נגד טילים אשר בידי הצבא, פגיעות מפני מתקפות סייבר. אם נכון שסודות הנשק ההגנתי אצלנו נגנבו, יהיה קל הרבה יותר לנצל את החולשות שבמערכות למתקפות סייבר. מתקפה יכולה, תיאורטית, לשבש את מערכות החיישנים המתוחכמות ואמצעי השליטה המתקדמים לפגיעה בטילים עוינים. כמו שאנשי MDA הסבירו לקונגרס, יש סיבה לדאגה. אכן, אפשר לפרוץ למערכות בקרת טילים וכלי טייס בלתי מאוישים. אבל את זה ידע ג'ק באואר כבר מזמן .
עוד על הסינים. בשבוע שעבר פרסמה סוכנות Reuters כי ממשלת סין עדכנה את רשימת ספקי טכנולוגיות מידע לשימוש ממשלתי. רוב הדעות ברשת מקשרות את ההחלטה לחשיפת פעילות הביון האמריקנית בתחום הסייבר, על ידי אדוורד סנוודן. מן המסמכים שזה חשף ניתן היה להבין כי הסוכנות לביטחון לאומי של ארה"ב התקינה דלתות אחוריות במוצרי חומרה ותוכנה מתוצרת אמריקה, בכדי לשמור על התלות ברכש מארה"ב של ממשלות זרות. כמו בתחומים אחרים, גם בעניין מערכות מידע ממשלת סין מנסה לקדם את התוצרת המקומית. הרשימה המעודכנת של ספקים למוצרי אנטי וירוס כוללת 5 יצרנים סיניים בלבד. נשארו בחוץ חברות Symantec ו-Kaspersky. ב-קספרסקי לא מוכנים לוותר כל כך מהר על לקוח כל כך גדול. דובר החברה אמר לעיתונות כי הם החלו חקירה והידברות עם הרשויות הסיניות בנושא. בסימנטק לא ממהרים לדפוק על הדלתות שנסגרו, במיוחד עקב הירידה ברווחים שלה מהמזרח הרחוק (כ-10%) במהלך שנת העסקים האחרונה. כזכור, בסוף מאי 2014 סין אסרה את השימוש ב-Windows8 במחשבים הממשלתיים. מאז חשיפת המסמכים של סנוודן, חברות אמריקניות נוספות (IBM, Cisco וכו') החלו להרגיש שהעסקים עם סין לא מתקדמים יפה - הכל מחשש לריגול.
מה משותף בין יצרניות המכוניות Fordו-GM, יצרנית חלקי המכוניות Denso ויצרנית מערכות אודיו וניווט, ותקשורת לרכב Clarion? (אגב, קלריון היא ברובה בבעלות Hitachi) פתרון לחידה: את ארבעתן תבע בסוף יולי, על הפרת זכויות יוצרים, מלכ"ר בשם AARC - ברית האמנים וחברות תקליטים. התביעה מתבססת על חוק הקלטת האודיו הביתית (Audio Home Recording Act) משנת 1992, להסדרת הייצור, יבוא והפצה של מכשירי הקלטת אודיו דיגיטליים. לטענת התובעים, הקונגרס האמריקני חקק את החוק כדי להבטיח הן שהצרכנים יקבלו גישה לטכנולוגיית העתקת אודיו דיגיטלי, והן שהאמנים ובעלי זכויות יוצרים אחרים יתגמלו על עבודותיהם. אך, יצרני המכוניות והציוד למכוניות לא משלמים תגמולים על מערכות האודיו שלהם, המכילות דיסקים קשיחים. מערכות אלו הן ה-Jukebox של מכוניות ה-פורד, וה-Hard Drive Device של רכבי ה-GM, בהן כלל לא הותקנה תוכנית SCMS אוSerial Copy Management System, למניעת העתקת קובצי אודיו.
הטיעון נשען על הייעוד הספציפי של המכשירים ברכב, כמערכות מוסיקה בלבד. ומביאה ראיות כגון המסר השיווקי של GM שאומר ש-"הכונן הקשיח לא יקבל תמונות או סוגים אחרים של נתונים", והוא שמיש רק עבור אודיו מועתק (Ripped)
רִיפִּינְג היא פעולה המתבצעת באמצעות תוכנה ייעודית, לשם העתקת מדיה דיגיטלית אל הכונן הקשיח של המחשב, לרוב ההעתקה מבוצעת מתקליטור או מזרם מדיה (media stream). לרוב, ההעתקה מבוצעת בניגוד לכוונה המקורית של מפיץ המדיה. בשל כך, הריפינג של מדיה מקודדת נחשב לעבירה פלילית במדינות מסוימות.
החוק הנ"ל אכן מסדיר את ההיטל לתגמולים, על מכשירים המיועדים להעתקת אודיו, אך רק עבור המכשירים שנועדו להכנת עותקים חוזרים ונשנים (תקליטורים מזויפים וכו'). בתביעה דומה בעבר, הובהר כי ההגבלות, כולל הדרישה ל SCMS ותגמולים, לא נוגעות למכשירים שנועדו להעתקה לצרכים אישיים בלבד. אבל, עקב כך שיצרני הרכב לא התקינו חסימה לביצוע העתקים מרובים, ברית האמנים מקווה לנצח, לעצור את מכירת מכשירי הרכב הכוללים דיסק קשיח, וכן את דמי התגמולים ש-Ford ו-GM היו נדרשים לשלם על פי תעריפי AHRA לו ביקשו את רשותם. אם יפסידו, עוד יהיה על היצרניות לשלם פיצוי על נזקים נוספים בגובה 50% מעבר לנזק הניתן להוכיח, למשרד הרישום של זכויות יוצרים : 2,500 דולר על כל מכשיר שנמכר. וכמובן, הוצאות משפט, שכר טרחה וריביות.
הדברים הבאים, נכתבו על ידי ירמיהו (Jeremiah) גרוסמן, כיום מנכ"ל זמני של חברת ווייט האט סקיוריטי. מדובר במרצה וכותב פורה בנושאים של אבטחת מידע בעשור האחרון, אך את בלוגו האישי חתם לפני שנה וחצי לאחר שנפגע עמוקות מהתאבדותו של ה-האקר ארון שוורץ . קבלו מתוך: הטכנולוגיה לבדה אינה מסוגלת לנצח מתקפות לאתרים:
"ב-11 בנובמבר 2003 מכונת משחקי השחמט X3D Fritz הגיעה לתיקו מול אלוף העולם גרי קספארוב בתחרות של 4 משחקים. בהתחרות קלאסית זו של אדם נגד מכונה, המחשב תפקד בצורה כה מרשימה שהקרב הוכתר כניצחון לבינה המלאכותית. המשחק החזק של המחשב הושג על ידי חישוב של מיליוני מהלכים לשנייה בשילוב של גיגה בייטים של עמדות מצבים מאוחסנים. בכל פעם שקספארוב הזיז כלי שחמט, X3D Fritz ניתח את הלוח על ידי שליפת הצעד הטוב ביותר האפשרי מתוך מסד הנתונים העצום שלו.
אז מה הקשר בין שחמט, מכונת השחמט החזקה ביותר בעולם, וגרי קספארוב, לבין יישומי ווב, או יותר נכון אבטחת רשת? במשך שנים רבות, מקצועני אבטחת מידע חשבון שיגיע יום בו הטכנולוגיה לבדה תוכל לזהות כל נקודות התורפה של יישומי ווב ולמנוע כל המתקפות, עם ביטול הצורך בכל הקספארובים של העולם. הבנה אליה הגענו, היא שאבטחת אתרים הוא משחק שונה ביסודו משחמט, או אפילו מאבטחת רשת. מאוד לא סביר שמכונות יחליפו לגמרי את האדם אי פעם בתהליך של הערכת אבטחת אתרים. מה שחשוב להבין, הוא למה. שחמט הוא משחק פשוט. הלוח מאפשר מספר סופי של מהלכים חוקיים, ומספר מוגבל של מצבי סוף משחק. בשחמט אפשרי לחשב מתמטית כל מהלך שיכול להיות תוצאה של מצב נתון, וכל מספר של מהלכי המשך עתידיים. היות והמשחק עצמו הוא מוגדר וסופי, למרות שהדרך תהיה ארוכה מאוד, אפשר שתהיה אוטומטית לחלוטין ומבוצעת בדיוק. בסופו של דבר, מחשבים יכולים לנצח בשחמט בכל פעם במקום להסתפק בתיקו. אתרי אינטרנט נמצאים בצד השני של הספקטרום: הם מחזיקים במדיניות של דלתות פתוחות לגבי אינטראקציה עם המשתמש. לעיתים רחוקות הם עובדים על פי תקני אינטרנט, ואף פעם לא פועלים פעמיים באותה צורה. לפעולות פשוטות כגון קניות אונליין או בנקאות וובית יש ארכיטקטורה ומנגנון שונים ביסודם.
סורקי חולשות באתרי ווב פועלים בסביבה מורכבת ולרוב מניבים תוצאות בלתי צפויות. הסורקים הללו תלויים מיכולת חיזוי לזיהוי בעיות אבטחה. הם מדמים מתקפות ברשת ומנתחים את התגובות בחיפוש אחר סימני חולשה. מניסיון אנו יודעים כי אתר יגיב בצורה רגילה כאשר מופיעה בעיית אבטחה. אנו יודעים גם שמשלוח של מתה-תווים מסוימים לאתר, יוצר מסר של שגיאת ODBC (חיבוריות מסד נתונים פתוח) ממסד הנתונים, נושא של הזרקת SQLשאותר. אנו קוראים להם חולשות טכניות, והסורקים כיום די בקיאים בזיהוין. אבל, ככל שהאתרים הופכים ליותר מתוחכמים, סימני העבר לבעיות אבטחה הופכים לחיוב-כוזב. אין לנו ביטחון שתוצאה מסוימת, בהכרח פירושה שקיימת בעיית אבטחה. על כן התהליך האוטומטי למציאת חולשות פשוטות, נהיה מורכב ביותר, והמציאה של בעיות מורכבות, בלתי אפשרי." ..."כבני אדם, יש לנו יכולת טבעית להעריך הקשר, ובעיות אבטחה רבות - כמו שינוי ערכים מוצגים בדף- הן בדיוק כאלה בעיות, שרק בני אדם מסוגלים לזהות, חולשות לוגיות."
■ בתקשורת העולמית, אחרי המונדיאל הגיעה המלחמה בעזה. כעת המלחמה מתה, תחייה מחלת ה-Ebola. טכנולוגיית מחשב מאפשרת לאתר, לעקוב אחר ההתפרצויות, ואפילו לחזות אותן.
במדור "מקרה השחזור של השבוע" היינו בעבר כותבים על מקרים מורכבים במיוחד, קשים לפיצוח או ייחודיים מבחינה טכנולוגית. יותר ויותר אנו משתכנעים שבאומנות שחזור הנתונים, הגורם האנושי הוא המרתק מכולם. מרבית הפונים למעבדה להצלת נתונים מבקשים לשחזר את כל תוכן הדיסק הקשיח, או המחשב, או הטלפון החכם שלהם. פלח לא קטן מחפש ספריות או קבצים מסוימים, חשובים או יקרים להם במיוחד, כמו תמונות, סרטונים, עבודות דיגיטאליות שהם ביצעו, הנהלת חשבונות או מסמכים יוצאי דופן. בשבוע שעבר טיפלנו בטלפון נייד בו נמחקו קבצים. הקובץ האבוד החשוב מכולם שהתבקשנו לשחזר, היה קובץ שבעלי המכשיר לא ידע מהו התוכן שלו. "לא משנה אם לא תשחזרו כלום חוץ ממנו, אבל אני חייב לדעת מה היה בו"
בזמן השחזור החלפנו מחשבות על סקרנות. ביניהן שווה לציין את זו של ג'ורג' מרטין ("משחקי הכס"), שכתב: "מה הסיבה שכאשר אדם אחד בונה קיר, האדם האחר מיד צריך לדעת מה יש בצד השני שלו?"
אבל יש גם פתגם באנגלית שתמיד זוכרים את חלקו הראשון. ביררנו מהו החלק השני:
למרות שכל המידע במגזין זה מובא תוך רצון טוב, אין חברת צ'יף אחראית על שגיאות בגין אי הבנה או הַשְׁמָטָה, או בגין השימוש העסקי או האישי שיעשה בו. חברת צ'יף אינה אחראית לדבריהם של כותבים-אורחים במגזין.
מגזין זה נדחס אלקטרונית למען חסכון באחסון ותעבורת מידע מתוך שימת לב לאיכות הסביבה וחסכון באנרגיה.