בטוחים בעננים
בין אם אתם קונים את הלהג המתלהם על מהפכה ובין אם לאו, אין ספק שהביטוי "לאבטח את הענן" נשמע לכם כאוקסימורון. "אבטחה אדוקה נשענת על עקרונות הפרנויה. מידור, חציצות, מחסומים, בדיקות זהות וסתם מלחמת התשה בעצביו המרוטים של האויב, הם כלי העבודה של קצין הביטחון"
| להשתמש בתוכנה כנשק |  | RSA: סיפור על שלושה חוקרים ואתגר אחד | | חולשת החוליה האנושית | | הפנטגון מוציא את הראש מהחול |
אוקסימורון או חזון?
בין אם אתם קונים את הלהג המתלהם על מהפכה ובין אם לאו, אין ספק שהביטוי "לאבטח את הענן" נשמע לכם כאוקסימורון. "אבטחה אדוקה נשענת על עקרונות הפרנויה", אומר לי אנליסט מחברה בינלאומית ידועה תוך כדי מאמץ מרוכז לייבש את בקבוק הוויסקי השני שלפניו. "מידור, חציצות, מחסומים, בדיקות זהות וסתם מלחמת התשה בעצביו המרוטים של האויב, הם כלי העבודה של קצין הביטחון. אבל בענן הכל אמור להיות נגיש, זמין בהקלקה אחת, שקוף ואנונימי. בהחלט לא הסביבה הנכונה לניהול מדיניות אבטחה חזקה. הענן דומה יותר לשוק הומה אנשים מאשר לחדר עסקאות בבורסה, וקצין הביטחון המסכן צריך לעצור בשוק הזה את הכייסים, הגנבים שיוצאים עם סחורה לא להם, הטרוריסטים שמחפסים פינה שקטה להטמין פצצה ואת הקונדסים שרק רוצים לראות איך דוכן תפוחים מתהפך. אני לא נותן לו צ'אנס, לא מהבחינה הטכנולוגית ולא באספקט המנטלי של המשתמשים חסרי האחריות - אבל המארחים שלנו מאמינים כי אפשר להחזיק במקל משני קצותיו, ללכת בלי (Datacenter פרטי) ולהרגיש עם (יישומים מאובטחים ונתונים מוגנים). אז כל עוד הם משלמים עבור הוויסקי אני מוכן לשמוע".
הגעתי ללונדון כאורח חברת RSA, שנוסדה בסוף שנות ה-70' כדי למסחר את הפטנט של רונלד ריווסט (Rivest ה-R בראשי התיבות), עדי שמיר (ה-S) וליאונרד אדלמן (ה-A) בתחום ההצפנה ואותנטיקציה. בשנת 2000, לאחר שהפטנט המקורי פג, רכשה את RSA חברת EMC, שהחליטה לא להסתפק יותר בנתח השוק המכובד שהיה לה בתחום האחסון. עם הגיבוי הפיננסי של EMC, יצאה RSA להרחיב את סל המוצרים שלה ולהוסיף שירותים נילווים המוסיפים ערך ייחודי לטכנולוגיה. מדיניות זו הובילה אותה לרכוש סטארט-אפ ישראלי בשם Cyota, שהפך למרכז פעילות האבטחה של EMC בישראל. בלונדון למדתי שהנהלת RSA רואה בפעילות הישראלית משאב רב ערך הן כמרכז פיתוח הטכנולוגיה של מניעת פשיעה מקוונת והן כמוקד שירות ניטור והתראות במתכונת "חדר מבצעים", SOC.
ההזמנה ללונדון נועדה, כך אני משער, לשכנע אותי כי מחשוב בטוח ומחשוב ענן אינם מושגים סותרים. הבעיה היא, שכל הרצאה, מצגת או Keynote בפני עצמה נשמעת כמו רעיון מגובש היטב, הגיוני אפילו, שאפשר להאמין בו. אבל בהשמען יחד המנגינות הנפרדות לא מתחברות לסימפוניה קוהרנטית.
לדוגמה, בבוקר היום השני לכנס, בשעה 10:40 עלה על הדוכן ריצ'רד קלארק (Clarke), יו"ר חברת הייעוץ Good Harbor, שנחשב לאחד המומחים העולמיים לנושאי פשע, ריגול ומלחמה ב-Cyberspace (ביטוי קצת מיושן, אבל גם הבחור לא ינוקא). היו לו הרבה סיפורים לאייר בהם את המסר העיקרי שלו, שבעולם המקוון אפשר להשתמש בתוכנה כנשק לכל דבר. אני אחזור אליו בהמשך וכאן אתעכב רק להצביע על האירוניה שמיד אחריו, בשעה 11:30, עלה על אותו דוכן פיליפ קורטו (Courtot), יו"ר ומנכ"ל חברת Qualys המציעה שירותי אבטחה בענן, תחת הכותרת Security as a Service.
לכאורה שני הדוברים קידמו את אותו מסר, כמו שני נפחים ההולמים חליפות על אותה פרסת ברזל כדי להתאימה לרגל הסוס המדממת. אבל רק לכאורה. כשעוצרים לחשוב על כך, המסר הכפול הופך למבלבל: כי אם תוכנה היא נשק, מין הדין שנתאר גם את שאר מרכיבי הסצנה במונחים צבאיים, ואז קשה לראות איך האבטחה הופכת לשירות.
הוירטואליזציה של הערך
זה היה מצחיק אם זה לא היה נכון כל-כך. מוסדות וגופים פונקציונליים במערכות החברה לא יכולים פשוט כך להיעלם, משום שנוח לנו יותר לא לשלם עבורם. אנשים לא מרגישים נוכחות וירטואלית באותה אינטנסיביות שהם קולטים את המציאות הפיזית. אפשר להתרגל לרעיון שלארגון יכולה להיות מערכת IT מלאה ופונקציונלית מבלי שהוא יחזיק שרת אחד במשרדיו ושום דיסק לא מסתובב בארונותיו. כמו שלמדנו לדעת, שלהיות עשיר לא אומר שאתה מחזיק כספת גדולה גדושה במטבעות זהב. את זה אנו אפילו לא דורשים מהבנק שלנו.
אבל הטרנספורמציה דורשת זמן, הרבה יותר זמן משנותנים לה נביאי הטכנולוגיה. אם נחזור לרגע לעולם הכלכלי-פיננסי, אפשר ללמוד משהו מהתהליך ההיסטורי של "הוירטואליזציה של הערך", שהתחיל ביום בו עלה בראשו של ממציא עתיק יומין למצוא שיטה יעילה יותר מברטר כדי לקיים את מוסד הסחר בטובין. המוטיבציה לשינוי די ברורה, החלפת סחורה בסחורה אינה מאפשרת פעולה אופטימלית של כוחות השוק.
למעשה קשה לנו לקבל את העובדה שאנשים (הומו ספינס, בדיוק כמונו) עסקו במשך למעלה מחמישים אלף שנה בסחר חליפין - ללא כסף או מכשיר פיננסי דומה. כל טרנסאקציה קדמונית, למשל החלפה של נתח בשר בפרוסת דג, התבססה על הערכה סובייקטיבית, על פי תנאים מקומיים ורגעיים, בשליטה של דחפים לאו דווקא רציונליים - לחלוטין ללא סקלה פסאודו-אבסולוטית של ערך מהסוג שנקרא בימינו "מחיר".
המעבר מסחר חליפין למצב הנוכחי, בו אני יכול, למשל, לעלות לטיסה בלי להכניס את היד לכיס (למעט לצורך הפקת אמצעי אותנטיקציה, משום שעדיין אנו לא מוכנים לבסס את הטרנסאקציות על זיהוי ביומטרי, ומתנגדים בתוקף לסימון אנשים בשבבי RFID כמו כלבים), דרש מספר שלבי ביניים. אפשר למנות ביניהם את:
- הסכמה על ערך קבוע לסוג מסוים של טובין, שישמש בסיס להערכה יחסית של כל שאר הסחורות. המתכות זהב וכסף מתאימות לכך במיוחד, אך היו גם חברות אדם שהשתמשו בסקלות אחרות כדי למדוד ערך ולשמש כאמצעי תיווך שמאפשר מסחר מורכב, לא רק ברטר ראשוני.
- בשלב השני הוחלפו הטובין הגולמיים (אונקיית זהב) במטבעות סטנדרטיים, שגורם סמכותי כזה או אחר (בדרך כלל המלך או נציגיו) מעידים כי הן מהוות יחידת ערך סטנדרטית (שקל הזהב אכן שוקל אונקית זהב).
- בימי הביניים, כאשר הדרכים נעשו מסוכנות מדי להובלת מטבעות זהב וכסף בין אירופה למזרח, הופיעו "מכתבי האשראי" כתחליף לכסף ממשי. היהודים שהיו מרושתים היטב ברשת של אמון בינקהילתי, הפכו במהירות לבנקאים של העולם.
- מכתבי אשראי, שהתחילו כמסמכים "אד הוק" חתומים על ידי בעלי סמכות מקומיים, הכינו את הדרך לשטרות הכסף. אלה הגיעו בערכים סטנדרטיים ומי שחתם עליהם לא היה שיילוק היהודי אלא הנסיך הונציאני שעשק אותו.
- גם שטרי הכסף לא היו פתרון מניח את הדעת כל עוד לא גובשה תיאוריה פיננסית שתקבע כמה שטרות יכול להדפיס הבנקאי המלכותי לפני שהבטחותיו יאבדו את ערכן. לכן, כתחליף לגחמות שלטוניות, נוצרו המטה-שטרות, שטרות חוב לא ממשלתיים, שמחליפים את "הכסף האמיתי" ואפשר לסחור בהם בלי מגבלות כדי שיחשבו כאמצעי תשלום "נזיל". שיקים, למשל, הם שטרי כסף ניתנים להמרה בערבות החתום עליהם, תחת התחייבות מותנית של הבנק לבצע את ההמרה כל עוד החשבון המשלם נמצא ביתרות זכות.
- כרטיסי האשראי מחליפים יותר ויותר את השיקים מסיבות טכניות-שימושיות. נוח יותר להעביר את ההתחייבות דרך מסוף הטרנסאקציות של המוכר, למחשבי הבנק (דרך גורמי תיווך כאלה ואחרים) מאשר להתעסק עם ניירות הדורשים טיפול ידני.
ועכשיו אנו בתחילתו של תהליך וירטואליזציה שמייתר גם את כרטיס האשראי. אם כל המחשבים קשורים ברשת אמינה, מימוש הטרנסאקציה לא מחייב דבר מעבר להוכחת הזהות. אותנטיקציה היא המחסום הפיזי האחרון בדרך לעולם שלא נזקק יותר לכסף ממשי. אותנטיקציה הייתה גם ה"לייטמוטיב" (הקו המוזיקלי, הנושא המוביל) של דיוני כנס RSA בלונדון.
להחזיר את האמון לטרנסאקציות לגיטימיות
"עם כל הכבוד לחברות כמו סימנטק, MacAfee ואחרות בתחום האבטחה, יש משהו מהותי שונה במה שאנו עושים", אומר ארתור קוביילו (Coveillo) נשיא RSA. "הם עוסקים בהגנה על מכשירים וערוצי תקשורת ואנו ממוקדים בתכנים ובזהות. הם שומרים על חומות האש ונלחמים בוירוסים - מלחמה שאי אפשר לנצח בה כל עוד כדאי להיות "האקר", שודד וירטואלי שיכול לגנוב מילניום בלי לקום מהכסא ובלי להסתכן למעשה (כל עוד אתה פועל במדינה שמוכנה לעצום עינים, כמו רוסיה).
"הגישה שלנו שונה, הופכית למעשה. אנו רוצים להחזיר את האמון לטרנסאקציות לגיטימיות שנעשות בין אנשים ובין מוסדות שומרי חוק, ולאפשר אותן גם עם סביבת התקשורת פרוצה לכל האקר. התנאים הדרושים לעסקה בין שני סוחרים לא מחייבים שהמשטרה תצליח לעצור את כל הרמאים - עסקאות בטוחות נעשות בין אנשים ישרים גם בבאזר שורץ גנבים. גם בעולם המקוון, כדי לעשות עסק צריך לבסס את ההתקשרות על ביטחון בזהות הצד השני ואמון הדדי. אנשים יסכימו לשלם לספק אינטרנט אם הם יאמינו כי הוא ישר והגון. וכל ספק רציני יקבל את ההזמנה כל עוד יש סיבות להאמין שהתחייבות התשלום תכובד.
"האמון מבוסס על מוניטין, במיוחד של הספק, אך אלה לא תקפים ללא ביטחון בזיהוי שני הצדדים לעסקה וללא אותנטיקציה של ההתחייבויות ההדדיות. הטכנולוגיה של RSA, שמבוססת על פריצת הדרך החד-פעמית של "שלושת המופלאים" (ריווסט, שמיר ואדלמן), היא למעשה "המאפשרת האוניברסלית" של אותנטיקציה דיגיטלית. אפשר ליישמה להוכחת הזהות של אנשים והמקוריות של מסמכים, ולכן תמצאו אותה גם בבסיס של רוב מוצרי האבטחה בשימוש היום - שלנו, של שותפינו העסקים ושל חברות שאפילו לא שמענו עליהן. אפשר לומר שאלגוריתם ההצפנה והאותנטיקציה של RSA הוא המכשיר הדיגיטלי הנפוץ ביותר בעולם".
שלושת המופלאים אליהם מתייחס ארתור הם שלושה "פוסט-דוקטורנטים" שהתקבצו במקרה באותו הזמן (1977) לאותה מחלקה ב-MIT.
באותן שנים, כאשר תקשורת בין מחשבים הייתה עדיין בחיתוליה, הבינו מנהלי ARPA (הרשות שהקימה את יסודות הרשת שהפכה אחר כך לאינטרנט) את הצורך בהצפנה חזקה של המידע המועבר על מדיום ציבורי.
בסופו של דבר, הרשת הזאת נועדה במקורה לאפשר תקשורת בין הפנטגון לפיקוד חיל האוויר האסטרטגי במקרה של מלחמה גרעינית. הגנרלים פנו למכון התקנים האמריקאי (גוף מחקר שימושי, שונה מאוד מהמוסד בעל שם דומה בישראל) כדי שזה יפתח שיטת הצפנה דיגיטלית מתאימה לצרכים של מערכות השלטון. המכון יצר שיטה לערבול סדר הביטים בתשדורת, על בסיס "מפתח סימטרי", שלדעת מומחיו הייתה "בלתי פריצה".
החוקרים הצעירים, שלקחו את הצהרת המכון כאתגר, לא התקשו להראות שהאלגוריתם של מכון התקנים לא מחזיק מעמד מול פורץ מתוחכם המצויד במחשב. יתר על כן, ניתוח הקושי של פריצת הצפנה הראה, שכל שיטה המבוססת על "מפתח סימטרי" תחשוף חולשה דומה לזו שהתגלתה באלגוריתם הרשמי. "מפתח" הוא סדרת סימנים (אותיות, מספרים, סיביות) המשמשת לקידוד (הפיכת טקסט גלוי למוצפן) או לפיענוח (הפיכת טקסט מוצפן לגלוי).
המפתח הוא "סימטרי" אם אותה סדרת סימנים ששימשה להצפנה משמשת גם לפיענוח. להמחשה, ראי הוא מפתח סימטרי. טקסט פשוט משתקף בו במהופך וטקסט הפוך נראה קריא. קידוד "לא סימטרי" דורש מפתחות שונים להצפנה ולפיענוח.
שלישיית RSA לא הסתפקה בהשפלת המוניטין של אנשי מכון התקנים, הם גם הציעו שיטה חלופית, המבוססת על זוג מפתחות - האחד פותח את מה שהשני סגר, וההיפך, בהתאמה של 1 ל-1. שני המפתחות, כמובן, קשורים זה בזה ועקרונית ניתן לשחזר אחד מתוך השני. אפשר, אבל קשה מאוד. שני המפתחות של הצפנה "לא סימטרית" ידועים בתור "המפתח הפרטי" (הנשמר בסוד וידוע רק לאחד הצדדים בתקשורת) ו"המפתח הציבורי" (זה שמפורסם ברבים ולכן ידוע גם לצד השני).
כאשר אורי רוצה לשלוח הודעה לבילי כך שרק היא תוכל לקרוא אותה, עליו להצפין את הטקסט באמצעות המפתח הציבורי של בילי, שתשתמש במפתח הפרטי שלה כדי לפענח את המסר. אם אורי רוצה שכולם יוכלו לקרוא את דבריו, אבל חשוב לו למנוע התחזות של גבי, הוא מצפין את הטקסט באמצעות המפתח הפרטי שלו ומפרסם את הטקסט המוצפן. כל מי שחפץ בכך יכול לפענח את הטקסט באמצעות המפתח הציבורי של אורי, שכאמור מפורסם ברבים, ולהשתכנע כי אורי הוא אכן המחבר משום שהוא היחיד שמחזיק במפתח תואם לזה שמפורסם.
ואם אורי רוצה שרק בילי תקרא את המסר וגם תשתכנע שאכן אורי הוא השולח, עליו ראשית להצפין את הטקסט באמצעות המפתח הפרטי שלו, ואחר כך להצפין את הטקסט המוצפן פעם נוספת, באמצעות המפתח הציבורי של בילי.
בלי לשלוח מפתחות בדואר
השיטה של RSA פתרה יותר מאת בעיית ההצפנה החזקה. היא כוללת אלמנט חזק של אותנטיקציה והיא מונעת לחלוטין את הצורך בהעברת מפתחות בין השולח למקבל - שזו הנקודה החלשה בכל שמירת סוד.
מצד שני, שיטת RSA מאפשרת לכאורה לגלות את המפתח הפרטי בלי צורך לפרוץ שום כספת או ליירט הודעה סודית, משום שהקשר המתמטי בינו לבין המפתח הציבורי אינו סוד. כתבנו לכאורה, משום שבפועל זה קשה מאוד, גם למחשבי-על שעובדים שעות נוספות במרתפי ה-CIA.
כי "חוסר הסימטריה" בשיטת RSA אינו רק בכך שמפתחות שונים משמשים להצפנה ולפיענוח, אלא גם - וזאת הנקודה החשובה – שקל יחסית לייצר זוג מפתחות תואמים אבל קשה מאוד לעשות את התהליך ההפוך הדרוש כדי ללמוד מאחד את השני. לא כאן המקום לפרט את התיאוריה המתמטית מאחורי השיטה (המבוססת על משפטים הנוגעים לפירוק מספרים מורכבים לגורמיהם הראשוניים, נושא חשוב בתורת המספרים, שהעסיק בין השאר את גאוס ואויילר, שניים מגדולי המתמטיקאים בכל הדורות) ודי אם נדגים את אופי חוסר הסימטריה בדוגמה מוכרת מאוד: קל יחסית להכפיל שני מספרים - גדולים ככל שיהיו - באמצעות התהליך (אלגוריתם "כפל ארוך") הפשוט שלומדים בכיתה ג' או ד'. אבל קשה מאוד לחלק זה בזה שני מספרים גדולים, משום שהתהליך ההופכי דורש הרבה יותר צעדים.
אלגוריתם RSA מבוסס על הצפנה באמצעות מספר גדול מאוד, שמיוצר בעזרת שני המפתחות. מי שמכיר רק אחד משני המפתחות (למשל הציבורי) יכול לפענח את הטקסט המקודד בלי להזדקק למפתח השני (הפרטי במקרה זה) - אבל הוא לא יוכל להצפין טקסט בצורה שהמפתח הראשון מסוגל לפענח.
היכולת להצפין טקסט המתפענח על ידי המפתח הציבורי היא הוכחת האותנטיות של השולח. מי שמנסה להתחזות צריך לנסות ולחשב המפתח (הפרטי) בתהליך הדורש סדרה ארוכה להדהים של פעולות חילוק של מספרים גדולים מאוד. היום, ביישומים קריטיים, משתמשים במפתחות שאורכם 4096 סיביות, כלומר מספרים שבכתיב עשרוני נזקקים ליותר מ-1,200 ספרות.
המזל מאיר פנים למי שמוכן
כאשר שלושת המופלאים ניתחו את בעיית ההצפנה נעשה ברור להם, שהפתרון לתהליך מתמטי "לא סימטרי" בצורה קיצונית חייב להיות מבוסס על תיאוריה מתמטית מפותחת, שיכולה להבטיח כי אין "קיצורי דרך" מהסוג שאפשר להם לפצח את השיטה של מכון התקנים האמריקאי.
למזלם, עדי שמיר הגיע לבוסטון מצוייד בכלים המתמטיים הדרושים למשימה – במידה רבה הודות לתורה שהפיץ בישראל פרופ' מיכאל רבין (חתן פרס ישראל ומדליית טורינג, היום בהרוורד) מכוכבי האוניברסיטה העברית בשנות ה-70-60. ב-1970 הייתי בין מאות הסטודנטים שגדשו את ההרצאות שלו, בקורס 'לוגיקה מתמטית', בהן הוא סיפק למעשה את כל הכלים הדרושים להצפנה לא סימטרית תוך הסתמכות 'אריתמטיקת השעון' של מספרים ראשוניים, שנחקרה 150 שנה מוקדם יותר על ידי גאוס ואויילר. עדי היה האדם הנכון, במקום הנכון ובזמן הנכון, כדי לספק לחבורת RSA את הבסיס המתמטי לאלגוריתם ההצפנה שהם חיפשו. וכל השאר הרי כתוב בספר תולדות התיקשוב.
אלגוריתם RSA אינו מוגבל באורך המפתחות. אלה מותאמים לקריטיות של פיצוח הסוד ולעצמת המחשבים שזמינים לנסות זאת. כך, מדי כמה שנים, תקני האבטחה מתקשחים ודורשים הגדלה נוספת של אורך המפתח. המגמה הזאת לא יוצאת מכלל שליטה, משום שהקושי לייצר מפתחות ארוכים יותר גדל לינארית בעוד הקושי לפצחם גדל כפונקציה "מעריכית" (אקספוננציאלית) של מספר הסיביות. מסיבה זו גם 30+ שנה אחרי השקת השיטה, כאשר לרשות הפורצים בפוטנציה עומדת עוצמת מחשבים גדולה פי מיליון מביום רישום הפטנט, אין סכנה ממשית שהיא תצא משימוש בעתיד הקרוב. אומנם תיאורטיקנים של הנושא האניגמטי (אין הרבה אנשים מחוץ לחוג יודעי הסוד שבאמת יודעים על מה הם מדברים) המכונה "מחשבים קוואנטיים" מנסים לרמוז כי לא לעולם חוסן, אך בשלב הנוכחי חובת ההוכחה עליהם.
לבנות מחדש את סולם האיומים
"אבטחה מבוססת סיכון" היא גישה שמנסה לדרג את סדר הקדימויות בפעולות האבטחה על פי תוחלת הנזק הצפויה מכל חשיפה. אין טעם לבזבז אנרגיה על כל צל צילו של איום, אמיתי או דימיוני, בלי לקחת בחשבון שיש דברים קריטיים וחמורים יותר לטיפול דחוף. חייבים לתעדף, ולשם כך צריך לבנות מחדש את סולם האיומים. משום שמפת הסיכונים השתנתה מאוד בשנים האחרונות. וירוסים טורדניים ומעשי קונדס ילדותיים ירדו בסולם האיומים ואת מקומם תפסו התקפות ממוקדות, מתוחכמות מאוד, מתודלקות על ידי מוטיבציה של כסף קל ונסמכות על תשתיות של פשע בינלאומי מאורגן. הסיכוי לנצח בקרב זה דורש כלי ניהול מתוחכמים, ריכוז מומחי מניעת פשע מקוון בצוותים המאיישים 24x7 את חדרי המבצעים, דוגמת זה שהקימה חברת Cyota בהרצליה.
אורי ריבנר, מי שהיה בין מייסדי Cyota בשנת 2000 והיום מכהן כראש תחום טכנולוגיות חדשות ב-RSA מסביר את הייחודיות של הפעילות הזאת. "ההגנה הטובה ביותר היא התקפה, אומר ביטוי צבאי ידוע, וזה נכון גם בהגנת מערכות מידע. לא די להצטייד בתוכנות זיהוי והשמדת חדירות, להתבצר מאחורי חומת אש ולעדכן כל בוקר את האנטי-וירוס. הגנה פסיבית, שמשאירה את כל היוזמה בידי התוקפים, תפרץ במוקדם או במאוחר. יש צורך בלקיחת היוזמה ופעילות "פרו-אקטיבית" - גם אם מסיבות שונות אי אפשר לשלוח קומדו שיתפוס את ההאקרים ויביא אותם לבית המשפט. במיוחד, אפשר להתארגן לסיכול מוקדם של התקפות עוד לפני שהן יוצאות לדרך.
"התפיסה שלנו לקוחה מהמתודות של "ביון-נגדי", או ביון מסכל - Counter Intelligence, שמתמקדות בסיכול התקפות על ידי הכרת האוייב וחדירה לתוכניותיו. בסופו של דבר, גם עולם הפשע המקוון לא יכול לפעול ללא תקשורת מקוונת. בעולם הצללים הזה קיימת תשתית נרחבת של ספקי טכנולוגיות, שכירי חרב דיגיטלית, שוק של כלי פריצה וזירת סחר במידע גנוב". למעשה, תשתית ההאקרים פרוצה לחדירות סיכול אף יותר מהתשתית של עסקים לגיטימיים, משום שקהילת הגנבים בהכרח עסוקה בפרסום ויצירת עסקאות "אד הוק" בין אנשים שלא מאמינים זה לזה.
מומחי הביון הנגדי קשובים 24x7 לרחשים המגיעים מעולם ההאקרים ופועלים בצורה נמרצת כדי לחדור למעגלי הפשע ולחשוף את הסיכונים ברגע שהסימנים האופייניים עולים לרשת. "כ-130 מומחים, שעובדים סביב השעון ומספקים "ביון אנושי" עדכני ביותר, מאפשרים לנו למקד את ההתראות ולנהל את פעולות המגננה בצורה הכי רלוונטית למצב הרגעי ברשת", אומר אורי.
"למדנו את השטח מנקודת ההשקפה של האויב, למדנו לזהות את הפעילות המנהלתית שמקדימה ומלווה את ההתקפה עצמה, ולמדנו איך תגובה מהירה יכולה לסכל את ההתקפה המתוחכמת ביותר. מרכז הניטור והסיכול מקבל מידע ממערכות הלקוחות, מזהה קורלציות בין אירועים שנראים בלתי קשורים, ויודע לכוון את אנשי האבטחה להגנה על היעד המשוער של ההאקר באחוזי הצלחה גבוהים במיוחד".
מרבית הלקוחות של RSA בתחום מניעת רמאות (Anti-Fraud) הם מוסדות פיננסיים, בנקים במיוחד. "רוב ההתקפות מתחילות בהחדרת סוס טרויאני למערכות הארגון", אומר אורי. "החדרת הסוס נעשית ברוב המקרים על ידי עובדים תמימים, שאפילו לא מודעים לכך שהמחשב האישי שלהם הוא הפתח לחדירת הסוס הטרויאני. ההאקרים מכירים היטב את החולשות של החוליה האנושית בשרשרת ההגנה וזו מהווה מטרה ראשונה להכנת ההתקפה - בדרך כלל בטכניקה של Phishing. כלומר התחזות לאתר לגיטימי כדי שהמשתמש יסגיר מבלי דעת את מפתחות הכניסה לרשת הארגון.
"מרגע שהעובד התפתה ללחוץ על הקישור המפוקפק, הכל מתנהל אוטומטית ביעילות מפתיעה ובמידה והוא בתוך הרשת המקומית, השלל נאסף תוך דקות. אחרת המעבר מהמחשב האישי לרשת הארגונית יעשה ברגע שהעובד יצור קשר, למשל לקבלת עדכון משרת הדואר, ויותר לא מעניין כמה חזקה חומת האש המקיפה את הארגון. הסוס הטרויאני בפנים, והספירה לאחור מתחילה. הסיכוי לעצור את ההתקפה אחרי שהקוד הזדוני חדר לרשת ולפני שנעשה נזק ממשי הוא קטן. חייבים לעצור את ההתקפה מוקדם ככל האפשר, מחוץ לחומת האש, כלומר כבר בשלב ה-Phishing.
"לשם כך צריך לעקוב אחרי פעילות חשודה המתבצעת מחוץ לחומות האש של הארגון - אבל אף מנהל אבטחה לא יכול להקדיש לכך זמן או משאבי אנוש. יש לו מספיק בעיות בתוך החומות, הודות לשטויות שעובדים עושים - מבלי משים, בתמימות או בכוונת זדון. כאן אנו באים לעזרתו ומספקים את ההגנה שבמונחים צבאיים הייתה בעבר נקראת "פטרול אלים" והיום הדביקו לה את המונח "סיכול ממוקד".
טום הייזר (Tom Heiser), מנהל הפעילות המסחרית ב-RSA, חולם על עולם תקשורת ממושטר, מנוהל ומפוקח בדומה לעולם התעופה האזרחית. "מדי יום ממריאות ונוחתות מעל 400,000 טיסות מסחריות בעשרות אלפי שדות תעופה גדולים וקטנים, בביטחון, באמינות וביעילות הנובעת מתשתית מנוהלת היטב", הוא אומר.
"הסיכונים הם עצומים, צפיפות המטוסים בנתיבים מסויימים דורשת זמני תגובה של שניות ספורות, והתוצאות של טעות הן תמיד קטסטרופליות. ובכל זאת, השגרה שוררת בכל הפעילות ותאונות הן דבר נדיר ביותר. הסיבה היא, שהשמיים מנוהלים בקפדנות, בלי פשרות, במתודה שמונעת מראש מצבי סכנה. הפיקוח על כל טיסה מתחיל עוד לפני שהמטוס מתייצב בשער היציאה ולפני שהשרוול נצמד לפתחו.
"הוא ממשיך צעד אחר צעד מההסעה למסלול ההמראה, דרך ההקצאה של נתיב טיסה עד ליעד וכלה בהסעה ממסלול הנחיתה לשער ההגעה. לטייס יש הרבה מה לעשות, אף אחד לא מזלזל בשיפוט שלו - אבל חופש הפעולה שלו מוגבל לפרוצדורות הנוקשות של פקוח אווירי. לא יעלה על הדעת ש"האקרים מעופפים" יחדרו לנתיבי הטיסה המפוקחים, יאיימו על סטריליות המרחב האווירי של שדות התעופה או ינחתו ללא אישור ותיאום, Out of the Blue, כמו ש-SPAM מגיע לתיבות הדואר שלנו.
"הבטיחות בטיסות מבוססת על "אבטחה פדרלית", רשת של בקרים המסכימים על סטנדרטים אחידים, שיוצרת מצב בו המכלול חזק יותר מכל מרכיב כשלעצמו. מצב דומה חייב להתפתח באינטרנט אם אנו רוצים שהרשת תממש את הפוטנציאל הכלכלי שלה במלואו. נגמרו ימי החלוצים, עכשיו הזמן לבסס מסגרות ניהול גלובליות שיעשו את האינטרנט למקום בטוח לעסקים".
ועידת פסגה בנושאי אבטחה
כמה מהאורחים שעלו על במת ה-Keynote נחשבים כ"גורואים" מהשורה הראשונה. ברוס שנייר (Bruce Schneier), למשל, הוא מנהל טכנולוגיות אבטחה ראשי של בריטיש טלקום (BT) ואחד ממובילי הדעה הבולטים בנושאי אבטחה, פרטיות והאימפקט החברתי של טכנולוגיות התקשורת. את ההרצאה שלו בכנס RSA הוא הקדיש לנושא "פער הדורות", פער שיצרה האינטרנט ולדעתו גדול יותר אף מפער ה-Rock an' Roll של שנות השישים ו"הפער הדיגיטלי של שנות ה-90'.
"בזמן שבני הדור הקודם מודעים לכך, שבעולם המקוון אין קירות ולא וילונות להגנה על צנעת הפרט, הצעירים פשוט לא מוטרדים מכך. ידוע להם, שלמעשה אין מגבלה על יכולת איסוף המידע וניתוחו לצורך יצירת פרופיל פרטני ומדויק מאוד של אדם, כל אדם שאפילו לא עולה בדעתו לחשוב שהוא יעד לריגול או מעקב פאפרצ'י. ועדיין הם נוהגים בחוסר אחריות משווע. לא שהם אדישים לפרטיות שלהם. תנסו להיכנס לחדר של Teenager בלי רשות ותזכו למחזה המוכר לכל הורה, התקפת זעם היסטרי ללא פרופורציה לאיום על הפרטיות לכאורה.
"אבל אותו צעיר או צעירה מסוגל לספר בעמוד שלו ב-Facebook פרטים אישיים מביכים בעליל ללא תחושת חשיפה בכלל. הם גם מפיצים בנון-שלנטיות סיסמאות גישה לקבצים פרטיים, מעבירים תמונות אינטימיות מטלפון לטלפון ללא חשש ממה שיעשה המקבל בצילומים - ובעיקר ללא מודעות לכך שהחוק לא מגן עליהם.
"חוקי צנעת הפרט, שאוסרים למשל על Blockbuster לפרסם את רשימת הסרטים ששאלתי בחנות "טיט ולבנים", לא מגינים עלי במקרה שהורדתי את אותם סרטים מאתר אינטרנט", הוא אומר. "מצד שני, יצרנו חברה שרושמת כל דבר ולא שוכחת כלום. כל פרט מידע שנוצר במהלך טרנסאקציה מסחרית כלשהי נשמר עד סוף כל הדורות.
"היום אף אחד לא טורח יותר למחוק מידע לא חשוב, משום שזול יותר להוסיף נפחי אחסון מלהעסיק אנשים בהערכה מחודשת של רלוונטיות וקבלת החלטות מה למחוק - נושא שבשנים האחרונות הסתבך בכללי הרגולציה החדשה. ויש היום כלים לחיפוש מידע שמסוגלים לסרוק כמויות דמיוניות של מאגרי נתונים, לשלוף פרט מפה ופרט משם כדי ליצור משלל הפיסות תמונה שלמה. והתמונה הזאת יכולה להיות לא רק מביכה אלא גם מסוכנת".
פרטיות היא שאלה של שליטה ובקרה
"כבני אדם אנו יצורים חברתיים. הרשתות החברתיות מצליחות כל כך משום שלחיות בחברה אינטראקטיבית חשוב לנו יותר מלשמור על פרטיות. במיוחד בגיל צעיר, כאשר המסתורין של אינטימיות מושכים בכוח שאי אפשר להתנגד לו. ובכל זאת, כל אחד רוצה לתחום את החשיפה שלו למסגרת נשלטת של "חברים". במילים אחרות, פרטיות היא שאלה של שליטה ובקרה. מידע פרטי יוצא לרשות הרבים משום שהצעירים לא מבינים שאין להם שליטה על מה שיעשה בו מהרגע שהם שחררו אותו לרשת - גם כאשר הנהלת האתר מנסה לעשות רושם אחר.
"מישהו קורא בכלל את הצהרות המדיניות של הרשתות החברתיות? ואם תנסו לקרוא את הטקסט המסורבל בכוונה, תבינו מה מותר ומה אסור? מה מסוכן ומה בטוח? אני לא פרנואידי ואיני מוכר לכם את "תיאוריית המזימה", כי לא מדובר בזדון חסר רגישות. הרשתות החברתיות לא סוחרות בפרטיות, הן רוצות להרוויח מפרסום. אבל כדי למכור פרסום הן זקוקות למשוך עיניים למסכים שלהן - ואין כמו מציצנות מקוונת כדי להשיג את העיניים האלה".
"דחף שונה מניע את Twitter, פלטפורמת הטריוויה האולטימטיבית. לאנשים כמוני, Twitter נראה כ"רעש תקשורתי". הרבה מילים שנזרקות לחלל המקוון ללא מחשבה מעמיקה, לא לפני ולא בזמן המשלוח. מעט פנינים שהולכות לאיבוד בערמות גבבים, טריוויה בניסוח גרוע. אבל עבור ה-Teenagers שלי, הבנים בביתי, Twitter זה Cool - מאמרי המערכת של ה-Economist, שאני קורא באדיקות, הם תמצית השעמום.
"הסוד אינו מגבלת האורך של ה"הגיגים" המשוחררים, אלא בכך שה"צייצן" המקוון נותן לכל אחד הזדמנות לרגע של תהילה (לפחות הם מאמינים בכך) בלי השקעה של שנות לימודים ארוכות, עבודה סוחטת ותסכולים בקריירה. הודות לרשתות החברתיות הצעירים נהנים מתחושת הביטחון שמספק הקונפורמיזם, גורם רב-עוצמה בלכידות חברתית. ובמקרה הנדיר שיש צורך להסתיר את הזהות אין להם בעיה לספק מידע "מפוברק" או להסתתר מאחורי Avatar.
"אך בדרך כלל הדחף החזק ביותר הוא לצאת מהאנונימיות. עבור צעיר או צעירה שעדיין לא מרגישים כי יש להם אחיזה אוטונומית משלהם בעולם, פרטיות היא מחיר נמוך לשלמו בעבור יציאה מהאנונימיות. וכאמור, הם לא מודעים לכך שהחוקים לא מגינים עליהם מפני טעויות בשיקול הדעת".
"בשורה התחתונה, נתונים הם המזהמים הנפלטים ממכונות ה-IT" אומר ברוס. "הם נשארים בשטח הרבה אחרי שהטרנסאקציה הסתיימה והתועלת שאפשר להפיק מהם הפכה להיסטוריה. האתגר של החברה האנושית אינו איך לשמר יותר נתונים ליותר זמן - שזה האקוויוולנט של הוספת מזבלות גדולות יותר ומניעת התפרקות האשפה לזמן ארוך יותר - אלא ההיפך.
"איך לבנות חברה מבוססת ידע, המשתמשת בנתונים כדי לקבל החלטות טובות יותר, ועם זאת אינה יוצרת הררים של נתונים שמורים לרעת בעליהם. עלינו להעביר לדור הבא עולם בו הסביבה נקייה לא רק ממזהמים כימיים וביולוגיים אלא גם ממצבורים דיגיטליים פסולים. והם כבר ידעו לבנות לעצמם עולם טוב יותר".
מבט מפוקח מנקודת ראות שונה לחלוטין סיפק ריצ'ארד קלארק (Richard Clacke) יו"ר חברת הייעוץ לנושאי אבטחה Good Harbor. החברה הזאת עוסקת בעיקר בייעוץ לגופי אבטחה לאומיים, דוגמת המשרד להגנת המולדת (Home Security) וריצ'ארד עצמו היה יועץ למספר נשיאים אמריקאיים בנושאי הביטחון ברשתות מידע. "לא מרבים לדבר על הנושא, טרור מקוון, משום שגופי הממשלה מאמינים כי תשומת לב רק תגדיל את הבעיה", הוא אומר.
"אבל טירור מקוון הוא בעיה אמיתית, קריטית אפילו, שרק לאחרונה התחיל הפנטגון להטמיע את הקרדינליות שלה. המודעות החדשה הביאה להקמת יחידות צבא חדשות, שכל עניינן הוא במלחמה דיגיטלית. והאתגר שלהן אינו פשוט. בניגוד לצי, אין ללוחמי הרשת Sonar ומיקרופונים תת-ימיים כדי לגלות צוללות המתקרבות להתקפת פתע. בניגוד לחיל האוויר, אין להם מערכות מכ"מ ולא לווייני ריגול.
"ובניגוד לכל המלחמות המסורתיות, ברשת לא צריך ריכוז של כוחות פיזיים, מסות של אנשים, טנקים, תותחים וזנב לוגיסטי ארוך, כדי לצאת להתקפה. בסייברספייס מדינה כמו איראן או צפון קוריאה יכולה לתקוף את ארה"ב בלי ליצור את סימני ההרתעה המקובלים. זה מפחיד - וזו אינה תיאוריה. הלוחמה המקוונת כבר כאן".
"בשבועות האחרונים כולם מדברים על התקפת התולעת Stuxnet המסתורית על מתקני כור הגרעיני של איראן", ממשיך ריצ'ארד בנימה של מגלה סוד. "לא ברור מי מאחורי ההתקפה, למרות שהספקולנטים הרגילים מצביעים על ישראל. אותם מקורות גם יודעים לספר שהפצצת הכור הסורי לפני שנתיים לוותה בפריצה למערך ההגנה האווירית של סוריה.
"האגדה האורבנית מספרת, שמפעילי המכ"ם הסוריים ראו מסכים נקיים לחלוטין בזמן שמטוסי ההפצצה הישראליים חלפו מעל ראשיהם בגובה נמוך. אלה סיפורים ספקולטיביים, אבל אני יודע בוודאות, ממעורבות אישית, על תקיפות מקוונות על יעדים אמריקאיים, שהצליחו. כמו קריסת מחשבי הבורסה בניו יורק השנה. וקל להרכיב רשימה ארוכה של אירועים שאולי לא נובעים מטרור מקוון אך מעידים על הפוטנציאל שלו. למשל, בי"ח גדול בבוסטון פונה בבהלה, על כל אלפי החולים ואנשי הסגל שלו, כאשר המחשב המרכזי קרס ללא סיבה.
"קשה להאמין, אבל רשת הרכבות בצפון אמריקה מנוהלת על שרתי Windows. כל טריק מלוכלך שהומצא כדי לנצל את מה שנקרא Zero-day Vulnerabilities בסביבת מיקרוסופט יכול לשמש להורדת רכבת מהפסים, לגרום להתנגשויות או לחולל פלונטר קולוסלי, שידרשו ימים כדי לשחרר אותו! זה כבר קרה, במתקפת Stuxnet האחרונה, ולמרות שעכשיו ה-Patch-ים במקומם, לא בטוח שאי-אפשר לחזור על הטריק על ידי ניצול רגישות לא ידועה אחרת".
הרגישות הבלתי נסבלת של התשתיות
על פי ריצ'ארד קלרק, "מדינה עויינת" פיתחה וירוס קטלני במיוחד, במטרה לפגוע במערכות תשתית לאומיות. למשל, לשבש את סינכרון מקורות הזרם ברשת החשמל בארה"ב. התולעת הנ"ל, Stuxnet, תוכננה לתקוף במיוחד מערכות שליטה ובקרה המבוססות על תוכנת WinCC של סימנס, כנראה המקובלת ביותר בתוכנות השו"ב של חברות אספקת חשמל ושירותים אזרחיים אחרים. הקוד הזדוני עלול להביא לכך, שכאשר מעלים גנרטור נוסף לרשת כדי לעמוד בדרישות גדולות יותר לזרם חשמלי, הוא יתחבר בפאזה לא נכונה ויעלה באש בין-רגע. כן, לזייף את הקריאה של מחוון אחד הוא כל מה שצריך לעשות כדי להשמיד תחנת כוח!
"באותה צורה שהישראלים מחקו את המטוסים שלהם ממסכי המכ"מ הסורי, טרוריסט חסר מצפון יכול לשבש את התמונה על מסכי הפיקוח האווירי בשדה התעופה של שיקגו, שם נוחתים מטוסי נוסעים במרווחים של 2 דקות. שתי דקות של מבוכה, זה כל מה שצריך כדי לגרום לאסון אווירי מחריד! בלי מתאבדים, בלי נשק מוסתר - אפילו בלי לשלם כרטיס טיסה".
ריצ'ארד קלארק כבר מיואש מהיכולת להגן על האינטרנט. "צריך להתחיל על דף לבן", הוא אומר. "לבנות רשת חדשה, על בסיס פרוטוקולים בטוחים - לא הפתיחות הנאיבית שמאפיינת את הרשת הנוכחית. צריך לנהל אותה בגישה סמכותית, לא כמוסד אקדמי פתוח, באחריות ובתקיפות.
"לא יתכן שרוסיה תספק מקלט בטוח להאקרים שתוקפים מטרות אמריקאיות תוך שימוש ברשת התקשורת שממשלת ארה"ב תרמה לעולם! זה אבסורד! היעלה על הדעת, שלא רק נאפשר לשודדי הים לפעול בביטחון מסומליה, גם נספק להם את סירות המנוע המהירות מתקציב הסיוע ההומניטרי שלנו? אז למה אנו מגלים רפיסות הדעת מול הפשע והטרור באינטרנט? ולא רק ממשלת ארה"ב צריכה לשאת בעול השיטור המקוון.
"צריך לפתח אמנות בינלאומיות להגנה על הרשת החדשה, כפי שהמדינות הסכימו על אמנת ז'נבה ועל מניעת התפשטות הנשק הלא קונבנציונלי בעולם הפיזי. זו אינה בעיה טכנית, למנוע טירור ברשת, אלא בעיקר בעיה פוליטית. הממשל בארה"ב עוד לא מייחס לכך קדימות ראויה, הפוליטיקאים כנראה ממתינים ל-9/11 של הסייברספייס. וברוסיה דווקא נהנים מזרם הכספים הגנובים, שמשמשים בין השאר לשימון המערכות השלטוניות. אבל זה לא יכול להמשיך כך ומוטב לפעול היום בהחלטיות במקום לדחות את קבלת ההחלטות למחר".
מי לוקח אחריות על אבטחה בענן?
בחזרה לעולם האבטחה הארגוני, בהקשר של מחשוב עננים. זה תחום בהתפתחות, שעוד לא התבגר ולכן עדיין אין קווים מנחים ברורים, פרוגרמה רגולטורית שאפשר לציית לה, כדי לצאת חובת האחריות של הארגון ומנהליו לגבי שמירת נתונים, הגנת פרטיות וכדומה. כאשר ה-IT מגיע כשירות, כמו זרם החשמל בחוטים או התקשורת בכל צורותיה, מי אחראי על קיום התקנות?
לדוגמה, בכמה מארצות אירופה הרגולטור דורש שפרטים אישיים של לקוחות ישמרו במרכזי מחשבים הנמצאים פיזית באותה מדינה. איך אתם מצייתים לתקנה זו אם הנתונים שלכם שמורים בענן? איזו שליטה יש לכם על השרת או אתר האחסון כשהכל וירטואלי? בארה"ב יש בעיות שונות אך דומות בנוגע למידע רפואי, שפתרונן חיוני לצורך הורדת עלויות ושיפור השירות הרפואי. יש צורך להוסיף לערכת כלי הניהול של מערכות מידע מכשירים שמאפשרים להבחין במבנה הפנימי של הענן ולהחזיר למנמ"ר מחדש את השליטה באספקטים ספציפיים של אחסון פיזי.
מהלך נוסף שדורש גישה חדשה לאבטחה הוא הוירטואליזציה של שולחן העבודה. המושג "מחשב אישי" והצורך לזהות את סביבת העבודה שלנו עם פיסה ספציפית של חומרה, כבר מתחילים להיעלם. טלפונים סלולריים חכמים, מכשירים דמויי iPad ומסופי מידע ציבוריים מחליפים בהדרגה את המחשב השולחני ואת אחיו הנייד - או לפחות משלימים את הפונקציונליות שלהם כאשר התנאים הפיזיים לא מתאימים למכונות הישנות.
באופן פרדוקסלי, שמירת הנתונים בענן ושימוש בשירותי עיבוד מידע מקוונים רק משפרים את הביטחון במערכות. אף מחשב אישי אינו מוגן ביסודיות ובמקצועיות, המתקרבות אפילו לרמה של שרת או דיסק בענן. נכון, צריך להגן על התקשורת עם הענן. וצריך לוודא כי המשתמש הוא לגיטימי ולא מתחזה. אותנטיקציה היא צידו השני של מטבע ההצפנה, כפי שראינו מהדואליות של שימוש במפתחות הציבורי והפרטי.
קרש קפיצה לשוק העולמי
"הישראלים טובים מאוד בקטע של אבטחה - ולא צריך להאריך בכך", אומר ארתור. "המוניטין של Cyota כמומחית למניעת פשיעה מקוונת הביאה אותנו לרכוש את החברה לפני כ-5 שנים. ומאז הבסיס הישראלי רק הולך וגדל, מ-100 אנשים ב-2005 הוא גדל ל-400 פלוס היום, ונתח השוק של שירותיו גדל במקביל. לדוגמה, כמעט כל הבנקים בבריטניה הם לקוחות השירות ורמת שביעות הרצון שלהם פשוט נפלאה. בנק אחד, שלא אוכל לנקוב בשמו, חסך בשנה האחרונה מעל 100 מיליון סטרלינג במעשי רמאות שנמנעו הודות להתרעות ממוקדות בזמן!"
"זו הייתה רכישה מאוד מוצלחת", הוא אומר. "הבסיס הישראלי נותן לנו גישה ישירה לטכנולוגיות חוד החנית והזדמנות להעסיק את האנשים הטובים ביותר בתחום. בתחום האבטחה, אני מאמין, יש לישראל הרבה מה להציע - ואנו פתוחים לשמוע. יש לנו נוכחות מתמדת בישראל, כך שאם יש לכם מה לספר לנו תמצאו את האנשים המתאימים בשיחה מקומית. ואם צריך, גם אני אגיע. ישראל היא בסיס חשוב ל-RSA, אך גם RSA יכולה להיות קרש קפיצה נפלא לסטארט-אפ ישראלי שמחפש את דרכו לשוק העולמי".
לפנייה לכתב/ת 
