|
בעלי מקצועות חופשיים מוזמנים להעביר אלינו לפרסום מאמרים, מידע בעל ערך חדשותי, חוות דעת מקצועיות בתחומים משפט, כלכלה, שוק ההון, ממשל, תקשורת ועוד, וכן כתבי טענות בהליכים בבית המשפט.
דוא"ל: vip@news1.co.il
|
|
|
"דרכון ירוק" פתרון בטוח - תלוי את מי תשאלו <br>
|
מדינת ישראל אולי בדרך לנצח את נגיף הקורונה, אבל בכל הנוגע לשמירת המידע האישי שלנו היא לוקה בחסר ● התעודה המיוחלת שאמורה לאפשר למחוסנים את חופש התנועה ניתנת לזיוף בקלות רבה ● החדשות הטובות הן שיש דרך קלה לפתור את המצב
|
|
קל לזיוף [צילום: יונתן זינדל, פלאש 90]
|
|
|
|
|
מדינת ישראל אולי בדרך לנצח את נגיף הקורונה, אבל בכל הנוגע לשמירת המידע האישי שלנו היא לוקה בחסר. התעודה המיוחלת שאמורה לאפשר למחוסנים את חופש התנועה ניתנת לזיוף בקלות רבה. החדשות הטובות הן שיש דרך קלה לפתור את המצב.
נתוני התחלואה בישראל נמצאים בנסיגה משמעותית ונראה כי החיסונים אכן יעילים בכ-99% מהמקרים. כחלק מדרכי היציאה ממגיפת הקורונה, מדינת ישראל מציעה שאזרחים שחוסנו והחלימו מהמחלה יצוידו בתעודה בעלת קוד QR. אך האם "הדרכון הירוק" בטוח לשימוש? התשובה כרגע היא כנראה שלא.
החשש הגדול הוא שקוד ה-QR הוא קל מאוד לזיוף. אתרי משרד הבריאות האחראים על הנפקת התעודה, מנפקים את התעודה באופן כזה שקל מאוד לזייפה. זאת למרות שקיימות חלופות בטוחות שמאפשרות בשניות לוודא את תקינות התעודה ולמנוע את הזיוף שלה בצורה השומרת על הפרטיות של כל אזרח.
אם ללמוד מההיסטוריה של דליפת מידע אישי בידי משרדים ממשלתיים, הרי שהחששות לזיופים מציאותיים לגמרי. די להיזכר בפריצה אל מאגר מרשם האוכלוסין בשנת 2006 והדלפתו באמצעות תוכנה בשם "אגרון". התוכנה הופצה בחופשיות באתרי אינטרנט רבים והגיעה לישראלים רבים שנחשפו לפרטים כמו מספרי ת.ז, מצב משפחתי ומספרי טלפון של הרשומים במאגר המאפשרים לכל תוקף בעל תוכנה זו אף לבצע גניבת זהות שקשה מאוד להוכחה לאחר מכן עד בלתי אפשרית.
כדי להבין את הבעייתיות ב"דרכון הירוק" כדאי להרחיב מעט על אופן הפעולה של QR ועל הצפנת המידע הקיים שם. קוד זה יכול להסרק על-ידי כל מכשיר עם מצלמה ומכיל טקסט. בוודאי יצא לכם לעשות שימוש בקוד כזה באתרים וכרטיסי ביקור, שאם סורקים אותם מקבלים כתובת של אתר אינטרנט. ברמת העיקרון אפשר להציב ב-QR Code כל טקסט שהוא.
הקידוד של תעודת המתחסן בנוי כך שיכיל רצף ארוך של אותיות ומספרים. אדם שאינו מתמצא כלל בעולמות אלה יהיה סבור שמדובר ברצף כמעט בלתי ניתן לפיצוח. אבל למעשה מדובר בקידוד. כלומר, הצגה של מידע באופן שונה (לא הצפנה/עירבול). אופן הצגה זה נקראת base64 וניתן בקלות לא רק על-ידי כלים פשוטים מאוד שניתנים להורדה בקלות. בנוסף לאופציית הפיענוח לאחר חקירה קלה ניתן יהיה גם לזייף את רצף האותיות והמספרים. לא מדובר בהצפנה מסובכת אלא בטכניקה פשוטה המסייעת למפתחים להמיר מבני נתונים מורכבים לטקסט פשוט.
העניין הוא שכמעט כל הרצף הקיים בתעודת המתחסן ניתן להמרה או לפענוח באמצעים פשוטים למדי (אפילו באמצעות אתרי אינטרנט המציעים לכל אחד ואחת לפענח קידודים אלה).
מכאן הדרך לזיוף קצרה וקלה ביותר. כל מה שהאקר צריך לעשות זה ליצור אובייקט עם הפרטים שלו, לקודד אותו ב-base64, להמיר את מחרוזת הטקסט ל-QR Code ולשתול אותה באופן גרפי בתעודה. כיוון שכל כך קל ליצור תעודה כזו, כל מה שצריך לעשות זה להכניס את הפרטים של כל אדם וליצור את ה-QR Code.
הפתרון למניעת זיוף ה QR
פתרון אפשרי ופשוט למדי המונע את היכולת לזייף את הקוד הוא באמצעות שימוש במפתח ציבורי ומפתח פרטי, או בקיצור: חתימה דיגיטלית, כך גם מוצפנות ההודעות שלנו באפליקצית WhatsApp. חתימה דיגיטלית היא שיטה ידועה שבזכותה אנו יכולים לעבוד עם HTTPS ולבצע מסחר ותקשורת מאובטחת ומוצפנת ברשת. זוהי דרך מצוינת ומקובלת על-מנת לבצע וידוא של מידע. חשוב לומר: לא מדובר בהצפנה המסתירה את המידע. בחתימה דיגיטלית המידע חשוף אבל ניתן לאמת אותו, כלומר להיות בטוחים שהוא לא מזויף.
בלי להיכנס להיבטים המתמטיים של פתרון זה, אפשר לומר באופן כללי שהוא פועל באופן הבא: המפתח הציבורי קורא בלבד את המידע ואף ניתן להפצה, הוא לא סודי כלל. לעומת זאת המפתח הפרטי מסוגל להצפין ונשמר בסודיות בשרתי הממשלה. כאשר מייצרים את תעודת החיסון, מספר תעודת הזהות ו/או השם מוצפנים באמצעות המפתח הפרטי והתוצאה מומרת ל-QR Code. כל קורא המצויד במפתח הציבורי, יכול לפתוח ולראות את התוצאה. אך כל עוד המפתח הפרטי סודי, לא ניתן לזייף אותה אף פעם.
על אף שמדובר בפתרון פשוט שידוע לכל מפתח או בוגר תואר במדעי המחשב, הוא בכל זאת לא יושם עד כה. נכון לרגע זה, מצער לומר, התעודה של משרד הבריאות ניתנת לפריצה בקלות. כל מה שנדרש הוא מעט זמן פנוי וגישה לתוכנה גרפית.
|
|
הכותב הוא ראש תחום התקפה בינלאומי, האקריו סולושנס.
|
|
| תאריך:
|
23/03/2021
|
|
|
עודכן:
|
23/03/2021
|
|
עידן סטמבולצ'יק
|
|
+ההפגנות, סניגוריה
|
|
13:42 23/03/21 | דן מרגלית | לרשימה המלאה |
גם אילו היה סיכון בריאותי מסוים בהפגנות - נחיצותן לחברה הישראלית כה גבוהה שהיה מקום להסתכן, וכך עשינו
(נחוצות [צילום: אוליביה פיטוסי/פלאש 90])
|
|
|
|
+942 חולים חדשים ביממה האחרונה
|
|
10:26 23/03/21 | איציק וולף | לרשימה המלאה |
מאז תחילת מבצע החיסונים התחסנו בישראל 5,189,210 בני אדם במנה הראשונה של החיסון ו-4,601,075 מתוכם כבר קיבלו גם את המנה השנייה של החיסון
([צילום: יוסי אלוני, פלאש 90])
|
|
|
|
+זכויות הפרט
|
|
09:38 23/03/21 | אביתר בן-צדף | לרשימה המלאה |
עוד כמה תגובות קצרות בדרך כלל - בנושאים גדולים כקטנים ▪ והפעם - הכנופייה, בשתי שפות, סומא בארובה, כופים ▪ "אל נא רפא נא לה" (במדבר י"ב, פסוק י"ג) ▪ הרבה בריאות ואושר ▪ "בניסן נגאלו ובניסן עתידין ליגאל" (מסכת ראש השנה) ▪ חג כשר ושמח
(חובת חיסון [צילום: דוד זלבובסקי/AP])
|
|
|
|
"דרכון ירוק" פתרון בטוח - תלוי את מי תשאלו
|
|
|
מרכז המידע למערכה בקורונה עדכן (יום ב', 22.3.21) כי מקדם ההדבקה ירד בחדות בשבוע האחרון, והוא עומד כעת על 0.62. 669 חולים מאומתים אובחנו ביממה האחרונה ואחוז הבדיקות החיוביות הוא 1.5%. עם זאת, מזהירים באמ"ן כי התחלואה עדיין רחבה: מאות מאושפזים, מעל ל-10 אלף חולים פעילים, ולכן יש להיזהר משאננות, להמשיך לעטות מסכה כנדרש ולהקפיד על הנחיות ההתקהלות, בפרט לקראת יום הבחירות וחג הפסח המתקרב.
|
|
|
|
|
עבדול מוקטדיר, מנכ"ל חברת התרופות Incepta בבנגלה-דש, שלח דוא"ל למנהלים במודרנה, ג'ונסון אנד ג'ונסון ונובאבאקס והציע את עזרתו. לדבריו, החברה יכולה לייצר 800-600 מיליון חיסוני קורונה בשנה להפצה באסיה. הוא לא קיבל תשובה מאיש. המשמעות היא, שהמגיפה עלולה להשתולל בבנגלה-דש ובשכנותיה עוד זמן רב, מאחר שיצרניות החיסונים מכרו את רוב המלאי הראשוני שלהן לארה"ב, אירופה ומדינות עשירות אחרות – מסביר וושינגטון פוסט.
|
|
|
|
|
ממונה הקורונה, פרופ' נחמן אש, מעריך כי לא צפוי בישראל גל תחלואה נוסף בקורונה. "אני לא צופה גל תחלואה נוסף ומקווה שננהג באחריות כדי שזה לא יקרה", אמר (יום א', 21.3.21) בתדרוך לעיתונאים שקיים אחר-הצהריים.
|
|
|
|
|
תשומת הלב הציבורית מתמקדת בשנה האחרונה בפגיעות הכלכליות של מגפת הקורונה בנשים וגברים המצויים במורד הפירמידה הכלכלית: שכירים מובטלים, עובדים שהוצאו לחל"ת, בעלי עסקים קטנים שנאלצו לסגור את מפעל חייהם.. תוך כדי כך מוסטת תשומת הלב מן העובדה שפגיעתה של המגפה לא הייתה אחידה במעלה הפירמידה הכלכלית, רבים לא נפגעו כלל או שנפגעו אך מעט ויש גם מי שהמשיכו להרוויח במהלכה - כך עולה מהדוח השנתי של מרכז אדוה בנושא תמונת מצב חברתית 2021 - הקורונה ומגפת אי-השוויון בישראל.
|
|
|
|
|
מעסיק יכול למנוע מעובד להיכנס למקום העבודה אם אינו מחוסן נגד הקורונה. כך קובע לראשונה (יום א', 21.3.21) בית הדין האיזורי לעבודה בתל אביב, אשר דחה את בקשתה של מורה לאפשר לה ללמד בבית הספר למרות שלא התחסנה. מדובר בהחלטה בבקשתה של המורה לצו ביניים ולא בפסק דין סופי, ואין ספק שהסוגיה תגיע לפתחו של בית הדין הארצי לעבודה - ואולי גם לבית המשפט העליון.
|
|
|
|
|
