עמרי מוטרד מבעיות פרטיות במנגנון העדכון האוטומטי של תוספים בוורדפרס 2.3 (אני לא, מאחר שממילא נמסרת כתובת הIP כחלק מההודעה ולפי הכתובת לא קשה לנחש מה היה האתר). אני מוטרד הרבה יותר מבעיות אבטחה שהמנגנון עשוי ליצור.

המנגנון יעדכן אוטומטית, או יודיע שקיים עדכון, תוספים הנמצאים במאגר התוספים של וורדפרס שיש להם גירסא חדשה יותר מזו המותקנת בבלוג. לתוכן של אותו מאגר אחראים כותבי התוספים שאמורים להעלות אליו את הקוד של התוסף.

מאחר שלמעשה איש לא בודק את התוכן של התוסף הנמצא במערכת ניתן להשתמש בה בכדי להשתלט על אתרי וורדפרס בצורה הבאה:

• כתוב תוסף פופולארי, נניח כזה שמציג רקע של נשים ערומות למבקרים הגברים וגברים שריריים לנשים (או ההפך, תלוי בקהל היעד של הבלוג), והעלה אותו למאגר המרכזי.
• כאשר אתה מגיע ל50,000 התקנות של התוסף שחרר לו גירסא חדשה המציגה תמונות של בובות לילדות ומכוניות צעצוע לילדים. בתוך הגירסא החדשה תשתול קוד ששולח פעם בשעה ספאם תגובות. את הגירסא החדשה העלה למאגר המרכזי.
• שב בנחת בבית קפה בזמן שלפחות 40,000 מתוך ה50,000 בלוגים משדרגים לגירסא החדשה והופכים להיות לחלק ממכונת ספאם שבשליתתך.

הבעיה פה היא בעיה של אמון. אני לא יודע כמה אנשים מוכנים להתקין תוספים הנמצאים באתרים שאיש לא מכיר, אבל אני בטוח שרמת המוכנות להתקין תוספים מתוך המאגר היא הרבה יותר גבוהה. הבעיה היא שמי שאחראי על המאגר לא מתחיב בשום צורה ואופן שהתוספים הנמצאים בו הם בטוחים לשימוש.

אחרי שחשבתי על זה נזכרתי שגם התוספים של שועל האש מנוהלים באותה הדרך. אני מניח שגם שם איש לא לוקח אחריות ומכן להבטיח שמנגנון העדכון האוטומטי של התוספים בשועל לא יהרוס לך את המחשב.

(אני מניח שזה מתקשר בצורה כזו או אחרת לשיחה שלי עם יהונתן על מה יותר פגיע לסוסים טרויאניים, קוד סגור או פתוח).

הזעקה שמקים חנן כהן כנגד חוק צינזור האינטרנט מאתרי סקס מצחיקה אותי בכמה רמות שונות

• החוק מחייב למעשה הקמת מנגנון אבטחה עם יכולת הזדהות טובה. בשביל לישם הזדהות טובה לא מספיקה סיסמא שאותה כל אדם יכול להפיץ לחבר'ה שלו אלא נדרש מכשיר פיזי קשה להעברה מאדם לאדם. כמובן שגם מכשיר פיזי בעצם לא מספיק מאחר שכל אחד יוכל ללמוד די בקלות את צורת ההתקשרות שלו ולחקות אותה גם בלי שיהיה לו את המכשיר עצמו. מבחינת התכנות טכנולוגית החוק הזה שקול לחוק שידרוש מהשמש לזרוח במערב.

• חנן הרי שייך לאותה קבוצת אנשים קולנית בבלוגוספירה שטוענת שמדינה צריכה כל הזמן לדאוג לאזרחיה, קבוצה שבמידה מסוימת לפחות אחראית לתוצאות הבחירות. אז מה קרה היום, האם הסיסמא של אותה קבוצה בעד התערבות ממשלתית תקפה רק לדברים שמוצאים חן בעיני אותם אנשים וחס וחלילה אם הממשלה תטיל מגבלות לטובת האזרחים שיגבילו אותם באופן אישי?

• יש ניסיון לא סביר לפגוע בלגיטימיות של הרעיון מאחורי החוק. החוק משקף דאגה של אנשים שלא רוצים לראות אורגיות המוניות מתחת למרפסת שלהם, ולא מעונינים להגיע בטעות לאתרי זימה (ואם כבר, אולי זו הזדמנות לטפל באתרי הפצת וירוסים ?). זו דאגה אמיתית שמשותפת להרבה אנשים ומדינות בעולם (עובדה שיש כלים להגבלת הגלישה לאתרים "בטוחים" בלבד) והניסיון לעשות דמוניזציה לחבר כנסת אחד, הוא לכל הפחות לא הוגן.

• יש בישראל משרד ממשלתי מיותר שנקרא משרד התקשורת. המשרד הזה קובע כמה חברות יתנו שירותי טלפוניה קוית, כמה שירותי טלפוניה סלולרית, איזה שירותים ניתן לקבל דרך קוי הטלפון (האם מישהו זוכר את הקידומת 056? היא סיפקה שירותי מידע שמהר מאוד התחלפו לשרותי סקס ולכן הממשלה סגרה את הקידומת והגלתה את שירותי הסקס לקידומת אחרת) כמה תחנות רדיו וטלביזיה יהיה בארץ ומה הן ישדרו (דרך הרשות השניה לרדיו וטלביזיה), אילו ערוצים יספקו חברות הכבלים והלוין ובאיזה פורמט (דרך מועצת הכבלים שלמען האמת הרבה יותר ליברלית מחברתה). האינטרנט הוא רק עוד פרט קטן במתוך מערכת הבקרה על התכנים שמדינת ישראל מפעילה כבר עכשיו.

• אני מנסה לחזות את העתיד והוא נראה לי מאוד מצחיק. בעתיד אני מתאר לעצמי שהחוק עבר והממשלה, מאחר שאינה רוצה להפריש תקציב להקמת גוף אכיפה חדש ויצירת אמצעי הזדהות באינטרנט לאזרחים, תחליט למנוע את מימוש החוק דרך חוק ההסדרים. אני מדמין לעצמי את הדילמה בה חנן יעמוד כאשר יבוא לכתוב נגד חוק ההסדרים 2008 וזה מצחיק אותי.

חנן כהן מתחבט האם צריך להסתיר את התווים המוקלדים בשדה הסיסמא בחלון הכניסה לאתר. מצד אחד קשה לתקן טעות הקלדה כאשר לא רואים מה מקלידים ומצד שני, מה אם עומד לידנו מישהו שאנחנו לא מעונינים שיראה את הסיסמא?. לדעתי זה יפה שיש לפחות אדם אחד שמנסה לערער על המוסכמות המושרשות.

הינה רשימה של כל הדרכים בהן אני יכול לגלות את הסיסמא למרות שהיא מוסתרת:

1. בעזרת keylogger, תוכנה השומרת את כל מה שאתה מקיש, ושולחת את ההקשות לגורם זר. מאחר שהעובדה שיש לך תוכנה כזו על המחשב מעידה על כך שכל המחשב אינו מאובטח, אין טעם להיטפל לסיסמאות של אתרים כי זו הדאגה הקטנה ביותר שלך.
2. צפיה על המקלדת בזמן בו אתה מקליד את הסיסמא
3. התקנת מצלמה המצלמת את המיקלדת והמסך
4. אם הסיסמא לא מועברת בצורה מוצפנת, קל להוסיף אמצעי האזנה (בדרך כלל פשוט מחשב שמחובר לאותה רשת) שיזהה את הסיסמא בתוך כל אוסף הנתונים שאתה שולח. אם הרשת היא אלחוטית זה עוד יותר קל מאחר שלא חייבים גישה פיזית.
5. גם אם אתה שולח את הסיסמא בצורה מוצפנת בעזרת פרוטוקול SSL לא פתרת את הבעיה מאחר שקל לנהל כנגדו מתקפת האיש שבאמצע, במיוחד אם אני מנהל הרשת שלך.
6. ותמיד אני יכול לנסות טכניקות פישינג ולשלוח לך דואל המבקש ממך להכנס לאתר אבל לתת לך קישור לאתר שלי.

למעשה כל מה שאמרתי בסעיפים האלו הוא שזה לא בטוח להשתמש בסיסמא אם אתה לא שולט בכל רכיבי הרשת שלך, או במילים אחרות ניתן להשתמש בסיסמא בביטחון מלא רק מהבית שלך. אבל אם אתה תשתמש בסיסמא רק מהבית זה די מוציא את העוקץ מכל הקטע של הנגישות שהאינטרנט מציע.

זו פשוט טעות להעביר את הסיסמא ברשת. סיסמא צריכה לשמש כמפתח להצפנת המידע המועבר ולעולם לא להיות מועברת בעצמה. הצד השני שאמור לדעת באיזו סיסמא אתה משתמש יוכל לפנעח את המידע לפיה, ועצם פיענוח המידע יעיד שהשולח הוא אכן מי שהוא מתימר להיות. בצורה בה משתמשים היום בסיסמאות ברשת נוצר הרושם המוטעה כאילו שהמידע המועבר מוגן, ואולי אם יפסק המנהג של הסתרת סיסמאות אנשים יהפכו להיות יותר מודעים לכך שלמעשה הם אינם מאובטחים כאשר הם לא נמצאים במרחב הפרטי שלהם.