גרסת BOS העדכנית הינה BOSv 2.2.1.9
▪ לקוחות בהסכם שירות הזכאים לעדכון הקישו כאן לקבלת העדכון.
▪ לאלו שעדיין אינם לקוחות, לבקשת גרסת הדגמה הקישו כאן.

▪ ל- Beta-Testers : פרטים על גרסת BOS 2007 כאן.

הדיסק כמבצר

הקונצנזוס העולמי, כלומר כל אחד מאיתנו, מסתכל על וירוס ורואה נגע הממרר את חיינו באמצעות פגיעה במערכת ההפעלה. אילו הייתה מערכת ההפעלה עמידה, חסינה בפני קוד זדוני, אילו היה היצרן שלה דואג להקשיח אותה בדרך מושלמת, היינו הרבה יותר נינוחים, וחברות האנטי וירוס הרבה פחות עשירות.
יש, לעומת זאת, אנשים הרואים את המצב מזווית אחרת. בשבוע שעבר השווה סקוט פולטון את הדאגה שהייתה לנו פעם, לפני עידן האינטרנט, בקשר לדיסקטים "נגועים"- על כל אמצעי הזהירות שהנהגנו מפניהם בזמנם- לדאגה הגורמים לנו הדיסקים הקשיחים היום. הדיסקטים היו המצע הנגוע, כמו שהיום הדיסק. הקוד הזדוני של היום מגיע אלינו דרך הרשת, מנצל נקודות תורפה במערכות ההפעלה על מנת להפעיל את עצמו, אך הוא גם מתאכסן בדיסק. כמו במחזורי החיים של צורות חיים מסוימות (חשבו על נבגי הגחלת, למשל) בכדי שווירוס מחשב יישאר חיוני לאורך זמן, הוא חייב להפוך ל"מידע במנוחה" - קבצים רדומים שאיש לא מבחין בהם, בין מיליוני קבצים אחרים על גבי השטח המגנטי של פלטה מסתובבת. האפשרות לתקוף אותם במקום מרבצם, או לחלופין למנוע את הגעתם אליה מלכתחילה, ובמזעור התפקיד של מערכת ההפעלה בתהליך, הייתה מעבירה את הכדור למגרש של יצרני המערכות.
התיאוריה מזכירה את השעה הקלה על אבטחה של יונתן משבוע שעבר, כאשר התייחס להיסטוריה של הכספות, בה היו מתחכמים היצרנים בכל פעם שמצאו הפורצים  דרך להתגבר על טכנולוגיה קיימת.
יצרנית הדיסקים סיגייט הציעה פתרון לבעיית שלמות המידע, אשר עקרונית עוברת את ההצעה של Vista בכמה רמות. המודל שלה מעביר את מעמד הדיסק הקשיח מכלי קיבול מידע לשותף בשורה של ספקי אבטחה,  ואת פתרונות האבטחה כפי שהם מוכרים לנו עד כה - לקו ההגנה השלישי או הרביעי. התנגדות למודל זה, אם בכלל, תגיע כנראה מהצרכן. הסיבה? אליה וקוץ בה. יחד עם "הפתרון החלומי" לניקיון סופי מקוד זדוני, יגיע "חוזה" המגן על דרישת ספקים של פתרונות משתלבים לשמר עבור צרכיהן אזורים חבויים בזיכרון הדיסק. חלק מספקים אלו יכולים להיות ספקי אבטחה.

אילולי העובדה שהתרגלנו לא להאמין לכוונות הטובות של היצרנים -קונצרנים גדולים ורודפי בצע- אולי הקונספט המוצע על ידי ה-"Trusted Computing Group"  לא היה מתקבל בסקפטיות גורפת. רובנו פחות ממרוצים מהחסרונות ונקודות התורפה של התוכנה שמספקים לנו. מצד שני, אנו מאמינים בזכות לאנונימיות של המשתמשים ברשת. אבל אותה  האנונימיות הינה בעצם מקור בעיית חוסר האמון.
הצורך בבירור מקור הפניות אל המחשב שלנו, של זיהוי מפורש של תהליכים שלא מזדהים בעצמם, על מנת לבודד ולנטרל קוד זדוני, הם אלו שהצמיחו תעשייה רבת ממון, שחייה מיום ליום בציפייה לגילוי החור הבא באבטחה של מייקרוסופט, בשאלה האם היא תטפל בו כראוי, או כי מה תהיה הזדמנות לייצר עוד טלאי.
המחזור המעצבן הזה הפך לכל כך נפוץ, שהתרגלנו אליו כמו כלב לפרעושים שלו. "יום שלישי הנורא" הפך לתחנה רוטינית נוספת בסדר השבועי של אנשי מערכות המידע. פחות ופחות אנשים מצפים שיהיה אי פעם סוף למחזור הזה.
הפתרון האולטימטיבי לבעיית האבטחה, על פי פולטון היא אחת: תכנון מחדש של המחשב עצמו. תכנון מחדש, ליישום בשלבים, היה מאמץ את עיקרון האוטנטיקציה, על פיו גם משתמשים וגם תהליכים מזדהים ומאפשרים אישור זהותם, בזמן שתהליכי הצפנה ופענוח ינהלו את הזיהוי והאישור.
אבל, כל אחד יודע כי זהות ניתן לזייף, גם בכדי לעבור מחסום של מספר עשרות או מספר מיליוני ספרות. ושם חייב להיכנס לפעולה עיקרון האמון (trust). במערכת אותנטיקציה המשתמשת באשורים, ברירת המחדל היא "חוסר אמון". בכדי שזהות משתמש או תהליך יהיה מאושר, יהיה על צד שלישי לבצע את הבדיקה. ומקרה שזהות הצד השלישי הזה ניתנת לזיוף, צד נוסף בשרשרת יבדוק את הבקשה. זו שרשרת האמון, מפתח לארכיטקטורות חומרה ותוכנה חדשות.
הדרך היחידה למנוע אפשרות זיוף זהות של המערכת האחראית לאישור בקשות היא אולי הצבתו של רכיב אליו לא ניתן לגשת באמצעות הרשת. מבין הרכיבים הקיימים היום במחשבים האישיים יש אחד שמסוגל להוות עולם עצמאי, והוא... הדיסק הקשיח.

אבל העיקרון של המחשוב הבטוח כפי שרואים אותו ב- TCG כבר למעשה קיים. אינטל מספקת את טכנולוגיית ה-vPro, באמצעותה יכולים יצרני מערכות מחשב לייצר מודולי TPM או Trusted Platform Module. ואילו אצל AMD קוראים למפרט  של TCG  בשם Secure Execution Mode -SEM. במיקרוסופט עצמה עוברים בינתיים לבטים קשים בעניין המיצוב, ומה שפעם כונה Palladium נושא את השם המאולץ NGSCB  -  קיצור של Next-Generation Secure Computing Base. שלושתן מתבססות על נוכחות רכיבי החומרה בכדי לקבל מחשוב בטוח.
מטרתו של רכיבי ה-TPM, לא משנה איך נקרא להם, הינה להיות זמין לצרכי אישור אשרות קריפטוגראפיות, ובלתי נגיש לכל דבר המגיע מהרשת. מיקומו של ה-TPM קרוב ל-CPU, ומסתבר שקיימות דרכים "לרמות" את ה-CPU כדי שזה "יאמין" כי גישה כלשהי נעשית באישור ה-TPM. הפתרון של סיגייט (DriveTrust) פתר בעיה זו.
בדיסק הקשיח, מרב התקלות נגרמות על ידי מנגנון הכתיבה / קריאה למידע עצמו. אין גישה חיצונית לעיבוד ולזיכרון החבוי הפנימי בדיסק, הנעול ושמור מפני העולם החיצוני. בכל דיסק קשיח נשמרים בצד כמה מאות מגה בייטים כדי לאחסן את פקודות ההפעלה של הדיסק עצמו. זו הסיבה שרבים מאמינים כי שם המקום להתקין שבב TPM, ולא בלוח האם. אבל העניין הוא שאם פותחים את "כספת" הדיסק כדי להכניס את ה-TPM, היא תאבד את אטימותה.
בקיצור, על גבי לוח האם שבב ה-TPM הינו רכיב עצמאי שכלל לא נגשים אליו. בתוך הדיסק, הוא חלק ממנגנון תלוי בפלטפורמה, שחייב להיות נגיש. וזו בדיוק הסיבה שקבוצת העבודה בענייני אחסון של TCG הביאו הצעה שונה. "ביחידת אחסון סגורה כמו דיסק קשיח, ניתן במובן מסוים לחקות את העצמאות וההגנה להן זוכה השבב על גבי לוח האם, באמצעות השימוש בתכונות הדיסק עצמו". כלומר, מצבור תוכנה (המחקה את הפונקציות הראשוניות של ה-TPM בתוכנה), אשר בקר הדיסק מריץ אותו. ברגע שהדיסק מתחיל לעבוד, זה הופך למערכת אבטחה רבת-רכיב. המערכת נמצאת מאחורי קבוצת פקודות מועדפות (Trusted Send / Trusted Receive)  שנכנסו לתקנים של SCSI ו- ATA. זאת אומרת, הפרוטוקולים הללו הותאמו לפקודות הפנימיות הללו מתוך הדיסק קשיח ונשענות על מצבור התוכנה המאובטחת בכדי לאשר את האמינות של פעולות הקריאה והכתיבה. ושוב, כל זאת כבר קיים היום.
לעתיד צפוי כי אותן פקודות ישופרו כדי לאפשר לפעולות ה-TCG להתנהל מתוך הדיסק הקשיח, לגמרי בנפרד ממערכת ה-BIOS וממערכת ההפעלה, וכך ימלאו את הפונקציות של שבב TPM. על פי תכנון זה, ניתן יהיה לנצל את כל מערך פונקציות האבטחה על הדיסק כאילו היה זה יישום.
היתרון המידי של מוצר עם יכולות אלו תהיה יכולתו להצפין את כל התוכן. כפי שכתבנו בעבר, יכולות הצפנה של דיסק שלם קיימות כבר שנים. בשיטות הקיימות ההצפנה רצה על גבי הפלטפורמה בתוכנה, והמפתחות שמורים גם הן בתוכנה. יש בשיטה נקודות תורפה מסוימות.
בהצעה שלפנינו, מי שמבצע את ההצפנה הינה החומרה של הדיסק. המפתח נמצא בזיכרון החבוי, אשר מעולם לא נמצא בגלוי. במפעל יוצר מפתח הצפנה בצורה רנדומאלית, ולאחר שהדיסק נרכש על ידי בעליו, זה יאתחל את הדיסק ביצירת שורה של סיסמאות שישולבו בצורה מתמטית עם מפתח ההצפנה המקורי, על מנת לצור מפתח סופי. תיכף לאחר מכן, מפתח ההצפנה שנוצר במפעל נמחק מהדיסק, והמפתח החדש, "אישי", תופס את מקומו. כאשר מכבים את הדיסק, המפתח החדש נשמר, אך ללא הסיסמאות מפתח זה הינו בלתי שמיש.

והשאלה: מה קורה אם מעבירים את הדיסק לבעלים חדשים? תהליך ידני מאפשר הפקת המפתח המקורי (זה שנוצר שם במפעל, זוכרים?) מתוך המפתח האישי של הדיסק, כדי לשלב אותו עם סדרה חדשה של סיסמאות תוך יצירת מפתח "אישי" חדש. לתהליך הזה אמורה להיות היכולת "לנקות את הדיסק ללא פרמוט".
הרגע בו הדיסק עובר ידיים הינו נקודה קריטית בכל התמונה של המחשוב הבטוח. אין לשכוח שכאשר כל רכיב עם TPM מותקן נמכר ללקוח, הוא חייב להיות "מופעל" בתהליך דומה להפעלת  תוכנה של מיקרוסופט.  בדיסקים, התהליך של העברה לבעלים חדשים נשאר "מתועד" בזיכרון החבוי וניתן לשחזור בתהליך פורנזי.
החומרה ממש מתחילה לקבל פונקציות ותכונות של התוכנה, וגם תופעל כמו תוכנה.
 

אלטרנטיבה

את צרוף האותיות In תוכלו למצוא במרכז הטבלה הפריודית, קצת ימינה, ליד הקדמיום. האינדיום הוא יסוד מתכתי שלא התגלה בהודו כפי ששמו מרמז, אלא בגרמניה.
ב-1863 חיפש המדען Ferdinand Reich שאריות של יסוד אחר (Tl- thallium) בדגימות ממכרות אבץ. רייך היה עיוור צבעים, ועל מנת לזהות את תוצאות הבדיקות האורגנולפטיות נזקק לשותף. Hieronymus Theodor Richter היה שותפו. בבדיקת סְפֶּקְטְרוּם הדגימות שהכילו את היסוד החדש הופיע פס יפה וברור בצבע האינדיגו (שהוא תוצר צמחי כחול בוהק). ריכטר, ה"עיניים הצבעוניות" של רייך, זיהה את הפס הבולט, ועל שמו כונה האינדיום.
עד לשנת 1924 כל האספקה העולמית של יסוד האינדיום הטהור היה של כ-1 גרם בלבד. בעצם, הוא נפוץ בטבע בערך כמו הכסף, אך קל בהרבה להפיק אותו מפני שהאינדיום נמצא באופן טיפוסי במחצבות אבץ, ברזל, עופרת ונחושת. משתמשים בו לציפוי מֵסַבים במנועים המהירים מאוד מפני שהוא משפר את אחידות הפיזור של שמן הסיכה.
לאינדיום גם שימוש בייצור רכיבים חשמליים אחרים כמו מיישרי זרם, חישני חום וחישני אור. גם בייצור מראות שמחזירות אור בדיוק כמו מראות כסף אך אינן משחירות כה מהר. ובייצור סגסוגות איטיות הִתּוּךְ. סגסוגת של 24% אינדיום ו-76% גאליום (Ga) הינה נוזלית בטמפרטורת החדר.
בתעשיית המוליכים למחצה קיים תהליך ("doping") של החדרה מכוונת של חומרים זרים אל חומר טהור במיוחד, על מנת לשנות את תכונותיו החשמליות. סוג החומרים המוחדרים הינו בהתאם לסוג המוליך למחצה. באינדיום משתמשים בד"כ לשינוי תכונותיו של הגרמניום (Ge) בייצור טרנזיסטורים.
כאשר מוסיפים לתחמוצת האינדיום (In₂O₃), תחמוצת הבדיל (SnO₂) - ביחס משקל 1:9, התוצאה ידועה כ-ITO (ראשי תיבות של indium tin oxide שהוא בעצם tin-doped indium oxide). החומר נראה צהבהב או אפור בגושים, אך יוצר שכבות דקות שקופות ללא צבע. יתרונו העיקרי הוא שילוב התכונות של מוליכות חשמלית ושל שקיפות אופטית. אמנם ביצירת השכבות לשימושים שונים יש לקחת בחשבון שריכוז גבוה של מוליכי מטענים יגביר את המוליכות אך יפחית בשקיפות החומר.
את שכבות ה-ITO מניחים על גבי משטחים באמצעות טכניקות שונות :
PVD, e-beam evaporation או מגוון טכניקות של התזת יונים.
בשנים האחרונות, המחיר הגבוה והאספקה המוגבלת של ה-ITO, השבריריות וחוסר הגמישות של שכבות ה-ITO, והעלות הגבוהה של הנחת שכבות באמצעות ואקום, שלחו את המומחים לחפש אלטרנטיבות, כגון ציפויים של ננו-צינורות פחמן, תחמוצת האבץ עם אלומיניום (aluminium-doped zinc oxide) או שכבות PEDOT ו-PEDOT:PSS שנמצאות כבר היום בשימוש למרות חסרונותיהן, כמו למשל פירוקן תחת קרינה אולטרה סגולה.
ב-ITO משתמשים היום להנחת ציפוי מוליך שקוף על גבי מסכי LCD.  ה-ITO חיוני להרכבת קרום שקוף של אלקטרודות בתוך פנלים ה-LCD .
מכיוון שקיים מספר קטן של ספקים, מחירו בד"כ גבוה. חברת Tosoh היפנית, יצרנית חומרי גלם כימיים יצאה השבוע עם אלטרנטיבה במחיר סביר של חומר מבוסס אבץ, שלדבריה יעיל בדיוק כמו ITO.
הדרישה הגדולה לטלוויזיות שטוחות של השנים האחרונות דחפה כלפי מעלה בצורה חדה את מחיר האינדיום, ועודדה את החיפוש אחר אלטרנטיבות זולות יותר.
בעיות זיהום הסביבה הקשורות להפקת האינדיום גם הן מהוות גורם לכך.
Tosoh החלה כבר בקו ייצור בקנה מידה קטן של החומר המבוסס אבץ, וכבר יצרן גדול של מסכי LCD מתחיל להתעניין באימוץ המוצר.
מאז פברואר 2006 מחיר האינדיום ירד ב-30%, ועומד על כ-$685 לקילו, אך מהווה עדיין פי 10 ממחירו לפני 4 שנים.
 

איון מידע

הרשת שופעת כלים -חלקם חינמיים- שלטענת מפיציהם מסוגלים לשחזר נתונים שנמחקו מטלפונים חכמים ומכשירי PDA. אמנם עד כה לא הופיעו פתרונות מוכחים למחיקה בטוחה של אותם הנתונים. מידע דיגיטאלי משאיר עקבות תמידיות בכל מצע אחסון, ובדרך כלל ניתן לשחזר אותם גם אחרי שנדרסו או נמחקו (delete). וכך, למרות ההיצע הגדול לכלי שחזור, אין בנמצא פתרונות איון סופי ובטוח במכשירים הנישאים הללו.
ניכר כי נדרש שירות שייתן מענה לצורך זה. ה-PDA בימינו והטלפונים המתקדמים מגיעים עם נפח אחסון השווה לזה של המחשבים האישיים מלפני עשור. האפשרויות המוצעות על ידי המכשירים בימינו מאפשרים לנו לאחסן בהם מידע בעל ערך עסקי, רשימות אנשי קשר, תוכניות שיווק, ומידע מפורט עם אודיו, תמונות ומסרים. בנוסף, נשארים רשומים בטלפונים כל הפרטים לגבי השיחות שעשינו, קיבלנו, ומחקנו.
משתמשים רבים מחליפים את הטלפונים הניידים שלהם כעבור שנה - שנתיים, ורובם לא מקדיש מחשבה לכך שהמידע האגור בהם יכול להגיע לידיים זרות.
חברת Trust Digital ערכה ניסוי קטן על מנת לבדוק את יעילותם של פתרונות האבטחה שלה לטלפונים ניידים ומחשבי כף יד. הם רכשו ב-eBay עשרה מכשירי טלפון משומשים. אחד מהם לא הכיל מידע מכיוון ולא נעשה בו כל שימוש, מתוך 9 הטלפונים הנותרים הצליחו הטכנאים לשאוב 27,000 עמודי מידע, שכללו מידע בנקאי אישי, מידע ארגוני פנימי, דו"חות פנימיים לגבי לקוחות, רשימות אנשי קשר, רשימת שיחות וגלישה, רשימת חוזים, תכתובת אישית, פנים ארגונית וסיסמאות לשירותי מידע, מידע אישי לגבי השימוש בתרופות, וחומר רב ומגוון בעל אופי אישי ופנים ארגוני.
לא הייתה כל בעיה לאתר, באמצעות מידע זה, את הבעלים המקוריים של המכשירים. ביניהם, עובד לשעבר של חברה בתחום אבטחת המידע, ויועץ משפטי של חברה טכנולוגית המוכרת באלפי מיליוני דולרים בשנה.
פוטנציאל הניצול של המידע הזה הינו ענקי, הרכישה של טלפונים משומשים יכולה להפוך לאחת הדרכים העיקריות של ריגול תעשייתי. אחת הדרכים להגן על המידע הוא השימוש בפתרונות הצפנה (כמו אלו של פוינטסק), אך בעיקר, לבצע איון זהיר של המידע בטרם נפתרים ממחשב כף יד או טלפון - גם אם המכשיר עצמו תקול, עד כדי כך שלא ניתן להדליק אותו.
בצ'יף, אנו מבצעים איון מידע גם ממכשירים תקולים, מדיסקים קשיחים, וממדיה מתכלה.

לפרטים נוספים

שרת אי-נטרנט

צרכי האחסון של עסקים מבוססי אינטרנט שונים מאלו של ארגון קונבנציונאלי. בעבור פורטל או חנות של e-commerce, האחסון אינו סתם שלוחה של העסק העיקרי.
למרות שהיצרנים בחרו ב-SAN - Storage Area Network כפתרון האחסון המתאים ביותר לעסקים המקוונים, משום מה, פורטלי האינטרנט מעדיפים NAS - Network Attached Storage, ויש גם חברות אינטרנטיות שהולכות על שילוב של שניהם. בכל מקרה, המטרה היא יישום של פתרון שיאפשר לאחד ציוד, לפשט את הניהול, ולמטב את השימוש באזור האחסון, תוך כדי מתן גמישות להרחבה כאשר זו נדרשת.
אבל אחסון שאין בצידו אסטרטגיית שרידות נכונה, עתידו בידי הגורל. באופן כללי, האחסון מורכב משלושה אלמנטים: גיבוי, שחזור, וארכיון. פעם, את שלושת הפונקציות היו פותרים לנו עם אותה מרקחת: גיבוי ושחזור עם VTL, וארכיון עם טייפים LTO או DLT. ואפילו היום, מציעים לנו פתרונות אחסון משולבים על טייפים - VTL -ספריית טייפים וירטואלית, עם ספריית טייפים אמיתית לגבי מערכי דיסקים המחקים טייפים, זה תמיד נראה לאחדים מאיתנו כמו ניצול של מכונית מודרנית לחיקוי פונקציות של כרכרה עם סוס. ולגבי הטייפים, אפילו החדישים מכולם, מספיק להעיף מבט לסליל הדקיק המגולגל בתוך קלטת כדי למצוא לפחות 10 סיבות לא להשתמש בטכנולוגיה זו. מי שמנתח את ההוצאות הרב שנתיות בהן כרוכות האימפלמנטציה, התחזוקה, ושחזור המידע ממדיה תקולה של הטייפים, מגיע בעצמו לסיבות רבות נוספות.

מערכות BOS מטפלות בשרידות המידע בשרתי אינטרנט כפי שהן מגינות על שרתי קבצים..
1. כוח הגיבוי - BOS מגבה עד כדי כל מספר דקות תוך כדי שמירת גרסאות מידע קודמות.
2. כוח השחזור - ב BOS אין צורך בשחזור - המידע המשוחזר מוכן בכל עת להמשכיות עבודה.
3. כוח הארכיון - BOS מגנה על מידע חשוב מפני שינויים לא רצויים ושומרת אותו בארכיון קפוא בזמן.

שעה קלה על אבטחה

יום אפס

הכול התחיל כשהאקר מפורסם בשם H.D.Moore הכריז על יולי כ-”חודש הבאגים בדפדפנים".
הפדאנטים יכריזו שהכול התחיל במפץ הגדול, או כשאלוהים ברא את השמיים ואת הארץ ואת החושך עם התהום. ברטראנד ראסל, שהיה מאבות הפילוסופיה האנליטית, אמר "פדאנט הוא פשוט מישהו שמעדיף שהדעות שלו יהיו נכונות".
האבא השני של הפילוסופיה האנליטית (ויסלחו לי ההומופובים) ענה לשם G.E.Moore – שזה יופי של צירוף מקרים.
(סטיתי קצת מהנושא, אבל אני בטוח שעכשיו זה כבר לא חדש לכם). אז H.D.M הכריז על חודש הבאגים בדפדפנים ופרסם בבלוג (http://browserfun.blogspot.com) בכל יום בחודש, באג חדש בדפדפן כלשהו.
באגים בדפדפנים עובדים כך: בעלים של אתר עוין (מסוג האתרים שאמא הזהירה אותך לא לבקר בהם) רוצה לפגוע במי שגולש אליו. הוא מקים דף המכיל קוד, מידע, תמונה, וידאו, פלאש, או כל אחד מעשרות וקטורי-תקיפה אחרים. דפדפן פגיע שהגיע לאתר – יינזק מהקוד. דפדפן לא פגיע – לא.
העניין הוא שבאינטרנט יש דפדפן אחד מאד נפוץ (מאד מאד, אפילו) ושמו Microsoft Internet Explorer. למרבה הצער (או השמחה) דפדפן זה מאד גרוע (מאד מאד, אפילו) בכל מה שקשור לאבטחת מידע. הוא סבל מבאגים כמעט בכל אחד מהמרכיבים – הרבה מהבאגים אפשרו לבעל אתר זדוני להשתלט על המחשב של כל מי שגלש אליו.
Internet Explorer סבל מהזנחה רבת שנים, ופיתוחו הואץ רק כשקם לו מתחרה – Firefox. גם המתחרה החדש סבל מלא מעט בעיות אבטחה, אבל הכף עדיין לטובתו.

מדי יום, אצנו רצנו (בעדה שלי), לבלוג החדש של HDM, לראות מה פורסם, איזה דפדפן, מה הבאג, האם ניתן לנצל אותו להשתלטות או רק להפלת הדפדפן. אח!... אלו היו ימים טובים.

HDM, האקר מכובד כבר מקודם, זכה לפרסום ולקידום האבטחה בדפדפנים. עיתונאים רבים זכו לקונן מרה על המצב הנורא של האבטחה כיום – מצב שהוא, כרגיל, הגרוע ביותר שהיה אי פעם. כותבי בלוגים ערכו סטטיסטיקות, מי הדפדפן הפגיע ביותר, עם תוספת נקודות רעות לבאגים חמורים, הפחתת נקודות לבאגים שקשה לנצל וכן הלאה. כמה מתכנתי דפדפנים עבדו שעות נוספות, אבל אליהם אף אחד לא שם לב.

כאן המקום לעצור ולעשות היכרות עם הדבר הכי מפחיד שיש להאקרים להציע: קוראים לו “0 Day”, או Zero-Day - עולה חדש, חייכתם-קלטתם וכל זה.

Zero-Day הוא פרצת אבטחה שאף אחד לא יודע עליה. יש האקר אחד בעולם שיודע על פירצה, יודע איך לנצל אותה ויכול לפרוץ איתה באופן אקטיבי לכל מי שפגיע. קרה כבר שכמה גילו את אותה פרצה במקביל, אבל זה עדיין נדיר.

מדוע זה איום גדול? כי יש רק דרך אחת לא להיות פגיע ל-Zero-Day: עפ"י העיקרון על שם מיאגי (מ"ילד הקראטה", למרות שיכול להיות שאני מבלבל עם העיקרון על שם שחקן האופי ברוס לי) - “ההגנה הכי טובה היא לא להיות שם”.
מה זה אומר על מחשבים?
אי אפשר לפרוץ תוכנה שאין. אם אין לך תוכנה, או אם התכונות (Features) שאתה לא צריך בתוכנה מנותקות (Disabled) – אי אפשר לפרוץ דרכן.
אילו תוכנות יש לך עכשיו על המחשב שלא היו בשימוש חצי שנה ומעלה? קל מאד לבדוק את זה, דרך "Start->Settings->Control Panel->Add/Remove Programs”, ולמיין את התוכנות לפי זמן שימוש אחרון. אני ממליץ לגבות את התוכנות הישנות, ולמחוק.

היום קל יותר מתמיד להפיק Zero-Day לא רע, וזה רק נהיה יותר קל. זו עוד סיבה ללילות חסרי השינה של אנשי ההגנה בעולם אבטחת המידע. ספרים נכתבים בנושא, ידע חשאי משוחרר לציבור, טכניקות מתפתחות והכלים משתפרים.
ShellCoder's Handbook היה הספר הראשון שנכתב בנושא ונערך ע"י כמה מטובי ההאקרים בעולם. כדי להדגים כמה העניין טרי – הספר יצא רק באפריל 2004.

אם נחזור רגע לחודש הבאגים בדפדפנים, בו פרסם HDM יום-יום Zero-Day חדש - בחורצ'יק בשם L.M.H, האקר (קצת פחות מפורסם) ראה כי טוב והכריז על חודש נובמבר, שזה עתה הסתיים, כ"חודש הבאגים ב-Kernels”.

http://kernelfun.blogspot.com/ - http://projects.info-pull.com/mokb

המילה Kernel נשמעת כמו מונח טכני מסובך ומורכב – והיא בדיוק כך.
אם כשהיינו קטנים (וכך-כך תמימים, עם סיסמאות קצרצרות, וחשבנו ששם-המשתמש "אני" זה מצחיק, אחחחח, הילדות...) הסבירו לנו שמערכת ההפעלה מגשרת בין החומרה לתוכנה – אז זה בדיוק התפקיד של ה-Kernel. זו חתיכת התוכנה הכי קריטית והכי משמעותית שיש לנו על המחשב (למעט סודות מדינה).
כדי להבהיר את החשיבות: באג בתוכנה במערכת ההפעלה Microsoft Windows XP ומעלה גורם להקפצת חלון שמודיע באבל על מות התוכנה ושואל אם תרצה לדווח על הנספה ל-Microsoft.
אז: http://scorpioncity.com/images/crash/m/crash01.png
והיום: http://static.howstuffworks.com/gif/pressplay-crash.gif

באג, בדיוק מאותו סדר גודל, שמתרחש ב-Kernel, מוביל למסך הכחול שכולנו אוהבים.
www.plasticanalog.net/bsod.jpg. נכון חמור?
למכורים, הנה שומר מסך של "מסכים כחולים": microsoft.com/technet/

ה-Kernel, כאמור, היא פיסת הקוד שבה לכל באג יש את המשמעות הכי חריפה, ולשם החליט מר L.M.H לכוון את מאמציו. הקהל הריע, הבאגים פורסמו יום-יום, ושוב כמה מתכנתים רשמו שעות נוספות. חלק מהקהל צעק "בוז" – שבעדה שלנו פירושו: “אנחנו לא מרוצים מזה שמצאת את כל הבאגים עם אותם שלושה כלים באותן ארבע מערכות הפעלה, ובכלל חלק מהבאגים הם בלתי סבירים, אי אפשר לשחזר אותם או שבלתי אפשרי לשחזר אותם". אבל הנקודה כבר הוכחה – גם ב-Kernels יש באגים. ולא סתם באגים – Zero Day.

הוכיח L.M.H את נקודה, הגיע האקר אחר, שמו Argeniss, בחורצ'יק רציני וידוע, והכריז שבמשך שבוע בחודש דצמבר הוא יפרסם Zero-Day יומיומי כשרת מאגר הנתונים של Oracle. ראו: www.argeniss.com

חברת Oracle מחזיקה באוברדראפט-של-כבוד מאד גדול אצל קהילת ההאקרים מאז קמפיין "הבלתי-חדיר". חברת Oracle יצא בהכרזה גורפת שמאגר הנתונים שלה הוא "בלתי-פריץ". זה קצת הציק לכמה אנשים שב-Oracle, שאף פעם לא הייתה ידועה ברמת האבטחה הגבוהה של מוצריה. הם אפילו לא עשו מאמץ כדי לשפר דברים לפני הקמפיין – סתם שיקרו. נכון, פורסמו "התחייבויות ארגוניות לאבטחת מידע". (ראו ב-
www.oracle.com/technology/deploy/security/pdf/unbreak3.pdf) ועוד דברי הבל כאלו ואחרים. זוג האקרים מאד חדים בשם מארק ודויד ליצ'פילד הציגו באחד מכנסי ההאקרים פרצות שבעזרתן ניתן לחדור לשרת ה-Oracle ה"בלתי-פריץ".
Oracle המשיכה עם הקמפיין כמתוכנן, ואיכשהו אף אחד לא תבע אותה על שקר גס בכוונה תחילה בפרסום.

לא מזמן פרסם דויד ליצ'פילד מחקר (www.nextgenss.com) המשווה בין שרת מאגר הנתונים של Oracle, למתחרה Microsoft SQL. השרת של Microsoft פותח בעזרת מתודולוגיית פיתוח חדשה, וככל הנראה מוצלחת, והתוצאות נראות נהדר.

שבוע יומיומי.

תגובה ליונתן

חולות רעות

מתוך דו"ח תקופתי מסכם של אנליסט בכיר המועסק על ידי חברת אנטי וירוס גדולה, נובע כי בין אפריל ליוני 2006 יישומי האופיס של מיקרוסופט (ליתר דיוק Word, Excel ו- PowerPoint) היו למטרה של יוצרי וירוסים שניצלו נקודות תורפה (מניין של 12 "חורים" ב-3 חודשים). כל נקודת תורפה נוצלה על ידי וירוסים רבים. ברבעון השלישי של 2006 הפיקה מיקרוסופט 6 טלאים. היה נדמה שכותבי הוירוסים עובדים בהתחשב בתוכנית הפקת הטלאים של מיקרוסופט, ומשחררים את יצירותיהם הזדוניות בקושי יום או יומיים אחרי הופעת הטלאי. כתוצאה מכך, היו כמעט חודשים שלמים בהם האקרים ניצלו את נקודות התורפה ופגעו במשתמשים החשופים. יש המאמינים כי התאום יוצא הדופן בין קבוצות ההאקרים נראה כניסיון שלהם להלבין את פניה של מיקרוסופט באופן כללי, או במומחיותה באבטחה במיוחד, על הרגלה להשיק טלאים בתזמון מוגדר.
התקפות יצירתיות יותר צפויות עם השקת ה-Office 2007. גם מיליוני ה-beta testers שהורידו את חבילת התוכנות לפני השקתה מהווים מטרה לכותבי הוירוסים ולחוקרי האבטחה. שתי פרצות נוספות במוצרי מיקרוסופט העסיקו את הברנז'ה מיולי ועד ספטמבר השנה, בנוסף לחולשות הרבות באופיס.
הן נקראות MS06-040 ו- MS06-055. הראשונה  שייכת לקבוצה המסוכנת ביותר של פרצות, מאפשרת לתוקף להפעיל קוד ככל שעולה על רוחו באמצעות הרשת. טבעה של פרצה זו ושל השיטות המבקשות לנצל אותה אינן שונות בהרבה מקודמותיה הידועות - MS04-011 ו- MS05-039.  על כן, יצרני אנטי וירוס ופיירוולים רבים הצליחו לחסום את ההתקפות ללא צורך בהפקת טלאים למוצריהם. כך נמנעה מגיפה שהצילה את אוגוסט מלהיות  החודש השחור בלוח המשחק וירוס נגד אנטי ווירוס.
MS06-055 היא  פרצה בדפדפן Internet Explorer, שהתגלתה בספטמבר וקשורה לעיבוד VML (או Vector Markup Language). היא מאפשרת יצירת סקריפט על ידי פורץ מרוחק שהיה גורם לביצוע של קוד כלשהו על גבי מכונת הקורבן כאשר המשתמש היה נכנס לאתר נגוע. במקרה זה מיקרוסופט הועילה והפיצה טלאי מחוץ לתוכנית בזמן שיא, שצמצם באופן משמעותי את פוטנציאל הנזק.

לגבי טלפונים סלולאריים, הם לא נחסכו במלחמת הוירוסים גם בתקופה האחרונה. בין היתר, סוסים טרויאניים כגון ה-Comwar 3, המחפש קובצי sis בטלפון וכותב את עצמו לקבצים אלו. כך הוא גם מוצא דרך להפיץ את עצמו, בנוסף לדרכים הרגילות שלו דרך MMS ו-Bluetooth.
עוד פגע רע שהשתולל היה Mobler.a , וירוס חוצה פלטפורמות ראשון, המסוגל להדביק מערכות ווינדווס ו-סימביאן. תולעת זו מתפשטת על ידי העתקה עצמית ממחשב נגוע לטלפון נייד. אומר האנליסט, כי "זו יכולה להיחשב לדרך חדשה של תקיפת מחשבים אישיים, במקום דרך חדישה לחדור לטלפונים ניידים".
סוס טרויאני שכונה Acallno ופותח על ידי חברה מסחרית, נוצר בכדי לרגל אחר המשתמש בטלפון מסוים, ושולח עותקים של כל ה-SMS שהתקבלו ונשלחו מאותו מספר, למספר אחר המוגדר מראש.
ועוד "מציעא" -לא עלינו-: הסוס הטרויאני ל- J2Me, השני מסוגו הידוע כמסוגל להדביק גם טלפונים חכמים וגם את מרבית הסלולאריים המודרניים.
משתמשים של תמסורת מאוחדת ברוסיה הותקפו בסוסים טרויאניים רבים, ובעיקר בתוכנת הריגול LdPinch. ברגע שזו חדרה את מכונת הקורבן וקצרה את המידע בו המשתמש המרוחק המְרֻשָּׁע חפץ, היא שולחת לשולחה קישור למיקום רשימת אנשי הקשר ב-ICQ של הקורבן. לא הייתה זו המגפה היחידה שפשטה השנה על הרוסים, מאות ואלפים של משתמשים אלו קיבלו לינקים מאנשי הקשר שלהם שהבטיחו תמונות מצחיקות וכדומה. כמו תמיד, החולשה העיקרית  נטועה בגורם האנושי, הסומך על קישורים שנשלחו על ידי חברים. בהחלט, מסיבה זו, תמסורת מידית אינו דבר רצוי לסביבה הארגונית.
כותבי הוירוסים ופושעי מחשב מתאימים את עצמם להתפתחות של תעשיית האנטי וירוס העכשווית, הם לא נמצאים כל הזמן עסוקים בתקיפה. הם מעריכים את זמן התגובה של מנגנוני ההגנה במעבדות האנטי וירוס, ומשתדלים לקצור עד כמה שניתן ב"חלון ההזדמנות" להם. אבל תעשיית האנטי וירוס תמיד בעמדת הגנה, החסינות שהם מקנים היא "נרכשת". לא הגיע עדיין עידן החסינות המולדת, או של התקיפה המונעת.
 

השורות של עמית

אנטישמיות או חוליגניות

בשבוע שעבר ביקרה הפועל תל אביב בכדורגל בפאריס, אכלה בלי מלח את פאריס סן ז'רמן וחזרה הביתה. אחר המשחק ערכו אוהדי PSG פוגרום לא קטן שבמהלכו נהרג אוהד מקומי שנורה על ידי שוטר מוכשר במיוחד (כדור בודד הרג אוהד אחד ופצע שני קשה) השוטר ניסה להגן על אוהד יהודי ומצא את עצמו מגן על חייו. כעקרון נראה הדבר כאנטישמיות. דווקא לא מדובר בחוליגניזם לשמו, ואוהדי פאריס סן ז'רמן ידועים ככאלו. ואיך מגיע הנושא לעיתונות במרסיי חמישה ימים אחרי האירוע? היריבות בין מרסיי לפאריס סן ז'רמן קשה וחמורה אפילו מזו שבין התל אביביות (הפועל ומכבי) והיות ולגרוטאה של מרסיי אין הרבה שמחה ביום יום, הרי ש... אין שמחה כמו השמחה לאיד. אגב זו הקבוצה השלישית שמועפת על ידי ישראליות מגביע אופ"א ותוסיפו לכך את נבחרת צרפת הצעירה. לא כדאי להניף דגל ישראל ביציע צרפתי. זו לא אנטישמיות, החוליגנים פשוט יאכלו את הדגל עם נושאו.
 

ישראלים ברשת

בשבוע שעבר פתחתי את האתר www.not2pay.com והשבוע קיבלתי כבר הודעה אנונימית בלוח המודעות, מישראלי. המודיע לא מעוניין להזדהות, אבל לפי כתובת ה- IP שלו ברור לי שהוא ישראלי. ההודעה אומרת בזו הלשון, ואני מתרגם: “אתרים מסוג זה מזיקים לאינטרנט". ואני שואל: האם מישהו הגון באמת חושב שאתרים מסוג זה פוגעים ברשת? למה צרכני האינטרנט לא יכולים לפעול ביחד כדי לבנות להם מאגר של שירותים חינם, למה הם לא יכולים להגן על עצמם מפני כל אותם נוכלים?
מניסיון אני יכול לומר כי כמעט כל שירות או תכנה שתמצאו במחיר רב, ניתן למצוא באיכות לא פחות טובה בחינם. אז למה לא?
אגב הישראלים על הרשת הם כוח אדיר, כל האתרים הישראלים הגדולים ממוקמים בטופ של הדירוגים באינטרנט, ואין שום סיבה שהם לא יהפכו להיות כוח צרכני ויכתיבו מה להוריד והיכן לגלוש.
אגב אני מודה לכל אלו שביקרו בו ושהוסיפו אתרים לאינדקס, המשיכו להוסיף! ולאלו שהפסיקו לשלוח לי סרטים... או קי אז אל תעלו אותם ישירות לאתר אבל אנא מכם תמשיכו לשלוח לי סחורה דליקטס.
 

בעניין רב

בתגובה לקורא יעקב אדר: אין לי דבר וחצי דבר כנגד הרב עמר וכבודו במקומו מונח, עם זקן וכיפה או בלי זקן וכיפה. ובעיני דינו של נשיא המדינה ועשרות פרופסורים רבי שם, כדין הרב עמר. מבחינתי אינטרסנט (נשיא המדינה שמציע מעבר למשטר נשיאותי או רב ראשי שמציע חסימת גישה לרפורמים) פסול כעקרון להציע כל הצעת חוק אפילו אם הוא מומחה בעניין. כל עוד לי, למר יעקב אדר או לכל מאן דבעי אין את אותה הזכות אזי הזכות להגיש הצעות חוק ואפילו רק להציע אותן נשארת בידי הכנסת וחברי הכנסת, גרועים ועלובים ככל שיהיו.
אל יעקב אדר הצטרף קורא נוסף אורי שמו שציין ובצדק ש"לכל אזרח יש את הזכות להגיש הצעת חוק”. כתב והוסיף: "אם תתקבל או לא, זו כבר שאלה אחרת”.
 

ספין

יש מישהו מבריק ברשות השידור! לרשות אין כסף והיא מציגה זבל בשידורים חוזרים ומתפללת לאירועים חדשותיים כבר כמעט שנתיים. רוב הצופים כבר לא ממש פותחים את הערוץ (אולי רק אוהדי מכבי תל אביב למשך שעתיים ביום חמישי). מה עושים?
פותחים רצועת נוסטלגיה! במשך 40 דקות היא מגישה סחורה עתיקה ומהוהה ולא חשוב אם בעבר היא הייתה טובה ורלוונטית אף אחד לא ישכנע אותי שסמי וסוסו ראוי להצגה בטלוויזיה מודרנית. יש לתכנית גם מגיש "גבי רביד" (שזה לא המנהלת של שום בית השקעות), ושימו לב לנוסח דבריו "בעידן של זיכרון קצר יש פה אלמנט חינוכי נהדר". סלוגן אדיר... שכבת ענק של טיח על קיר מלא חורים. פתטי!
 

ארומה...

במדינת ישראל בה כל חמור יכול להיות מלך באבחת פה מטופשת, גם כל מלך יכול להיות חמור באותה צורה. סהר שפע, הוא טמבל, טמבל עשיר... אבל טמבל. אני לא כל כך בטוח שהוא אפילו גזען. מה שאני כן יודע זה שהוא ואחיו פירקו את השותפות שלהם, האחד לקח את ניהול סניפי ארומה בתל אביב והשני את שאר הארץ. למה? כי אחד מהם טמבל והשני בהחלט לא! (ולא קשה לנחש מי הוא מי ).
אז נודע ברבים כי סהר שפע פתח פה על עובדת מרצדס, ובית המשפט אילץ אותו להיפרד על כך לעולמי עד מ- 100,000 שקלים (עלבון יקר במיוחד). עד כאן הכול פשוט. עצוב, אבל הישראלים שאצים רצים להרים חרמות על כל טמבל, לא יעיזו לעשות זאת למי שגונב ישירות כסף מכיסם. אז הם שאלו את עצמם "למה לא להחרים את ארומה?".
כמו שציינתי, הרשת היום מפוצלת לשניים וחלקו של המעליב הוא באזור תל אביב.
אחיו של סהר הוא בחור נחמד, נעים הליכות ומאוד לא גזען: ארומה דהיום מבוססת על זכיינים, ששילמו כסף רב וחיים (לא רע) מההשקעה שלהם, אין להם כל קשר אישי עם סהר שפע גם אם הם זכיינים באזור תל אביב, לא כל שכן בירושלים (עיר הולדתה של הרשת). ארומה מעסיקה מאות עובדים בצבעים שונים, ממוצאים שונים, במקומות שונים, שגם להם אין שום מושג מי זה הטמבל שדופק להם את החיים.
רוצים לדפוק את סהר שפע? כבר עשו זאת, גם אדם עמיד במיוחד לא אוהב להיפטר מ- 100 אלף שקלים בגלל רגע של קריזה - שלא רק שהוכיח שהוא טמבל, אלא גם הציב אותו בעמדת הגזען. אז אנא מכם תמשיכו לשתות קפה בארומה, יש להם קפה טוב. ותחוסו על העובדים, האתיופים, הרוסים, הערבים והיהודים (שחורים ולבנים).
 

היענות הציבור ועוד...

בהמשך לקריאתי למומחים בנושא תמיכה טכנית בכל תחומי המחשב, בינתיים נענה רק אחד, בועז רייז, שייתן תמיכה בנושאי אקסל/אקסס באתר not2pay.com יש לו לוח מודעות משלו והוא ממתין לכם, כל שאר השאלות קשות וקלות אנא העבירו בינתיים ללוח המודעות הכללי. ניתן לכתוב בעברית, אל דאגה.
החל מהשבוע אני מכניס את היד לתוך האש, ומאפשר גישה לסדרות טלוויזיה עדכניות דרך אתר ה- videowebgate.com. הראשונה תהיה 24 שעות סדרה שאי אפשר לראות פעם בשבוע וחובה לראות מהתחלה ועד הסוף. לדואגים: אני לא גונב כלום לאף אחד ואי אפשר, עקרונית להוריד את הסרטים הללו.... אלא אם כן... קראתם כמה מהכתבות הקודמות שלי. בילוי נעים!
 

תגובה לשורות של עמית

ישראל כמותג

● השבוע פורסם ב-http://business.msn.co.il כתבה של רמי הסמן מגלובס, עם מידע על סקר של חברת המחקר GMI בו נבחנו עמדותיהם של 25 אלף נשאלים, מ-35 מדינות מפותחות ומתפתחות בעולם, כלפי 36 "מותגי מדינה". הסקר עסק בהיבטים שונים, כולל איכות ממשל, תיירות, וכו'. כל המשיבים, למעט הרוסים, ציינו את ישראל כמקום האחרון בעולם שהיו מוכנים לחיות בו.  כך זכינו להיות "המדינה בעלת התדמית הגרועה בעולם".
מכל הסקר, רק על השאלה "עד כמה אתה מסכים שלמדינה תרומה משמעותית בחידושי מדע וטכנולוגיה?", קיבלה ישראל ציונים יחסית  גבוהים.
ישבו חכמים מחברת היי-טק בבית קפה מאזור החיוג שלנו והתגאו מחלקם הטוב בתוצאות... עד שמלצר מעצבן הוציאם משלוותם!. וכאן הנקודה: בהיותך מדען מבריק או יזם מוצלח אתה יכול לתרום לעתיד המדינה, לכלכלתה, לתדמיתה ולכל המדדים שבסקר או מחוצה לו. אבל בהיותך אדם חסר סבלנות, פזיז, קנאי, "מקטין ראש", נהג אגרסיבי, בוחר מבולבל בקלפי, ועוד כהנה וכהנה, אתה אחראי כמו כל אחד אחר לציונים השליליים...

● נשיא ברזיל הנוכחי לויס אינאציו לולה דה סילבה עלה לשלטון בשנת 2003, ובאופן טבעי חילק את משרות השרים בממשלה בין עמיתיו למפלגה (מפלגת הפועלים), שרבים מהם הובסו קודם בבחירות למושלי מחוז או לגוף המחוקק. מתוכם, לא מעטים כיכבו במהלך כהונתם כשרים בפרשיות שְׁחִיתוּת מתוקשרות ביותר.
בשבוע שעבר, ערב ההכרזה על הרכב הקבינט לתקופת כהונתו השנייה, אמר לולה שבתקופת הנשיאות הראשונה שלו למד שאינו צריך לבחור את עוזריו על פי קריטריונים של ידידות, אלא של יעילות. הדברים נאמרו בפורום של מועמדים שיקבלו את משרותיהם של מושלים בתחילת 2007. ובתרגום מילולי: "למדתי לקח: במכונה הציבורית, כמה שיותר אנשים יעילים ומֻסְמָכים יהיו, יותר קל יהיה למשול".
במערכת הידיעון כמעט הזלנו ריר מרוב קנאה. הלוואי עלינו, מן המאקרו ועד המיקרו!

פ.ג.

הומור

השימושים הקדומים למחשבים
http://www.makingpages.org/pagemaker/humor/Early-uses-of-the-computer.gif