דף 3 מתוך 3123

עמנואל רוזן ומשטרת האינטרנט של "נדבר על זה בבית".

דקה 26:43 של התוכנית החדשה "נדבר על זה בבית". אני, ובעצם כמעט מחצית קהילת ההאקינג, נצמדים לטלוויזיה ומחכים בכיליון עיניים למה שהולך להיות הבדיחה החדשה של הקהילה. בתוכנית הטלוויזיה החדשה של עמנואל רוזן (המנחה, עיתונאי ואיש תקשורת), יושבים שבעה אנשים שמקבלים חמש דקות לדבר על אייטם כלשהו. לפני שמדברים על אותו אייטם, מוצגת כתבה, שבסיומה יגיד רוזן מספר מילים, ויתן את אות הפתיחה להנחתת כדורי האש מששת חברי הפאנל האחרים, שמדברים ישירות מבתיהם. חברי הפאנל, מזה שצירופו לפאנל מובנת לזה ההזוי הם: גבי גזית (עיתונאי, שדרן רדיו ומנחה טלוויזיה), שלי טימן (שופט), מנחם בן (מבקר ספרות, משורר ומבקר דעות), דניאלה וייס (דתייה, מראשי תנועת גוש אמונים), נטע אחיטוב (אישיות לא מוכרת לפחות עבורי, עיתונאית) ומוקי (זמר(???)).

בפרק השני שהוצג רק שלשום (12/05/2010), אחד האייטמים נבנה על אמא מבוהלת וסקרנית, ששאלה מה הילד שלה עושה ליד המחשב כל-כך הרבה שעות ביום מאחורי הדלת הסגורה, בטענה שאין לה יכולות לפקח עליו. רוזן מתחיל למלמל כמה מילים שאני מתקשה להאמין שאני שומע, ובמקום לספר לאמא שהפיקוח כיום הוא לא ממש קשה, או לדבר על פורנו ולהזכיר תכנים בלתי-הולמים אחרים, הוא מדבר על… האקינג?! אני יושב ותוהה האם הנושא בכוח הוצמד לכתבה, מכיוון שאם נקח את העובדות בשטח – אין שום קשר בין רוב הילדים בישראל להאקינג. זאת ועוד, עמנואל רוזן משתדל להציג את הטיעון הזה באופן שבו הוא טוען שרוב הילדים בישראל הם האקרים ("כל ילד שני", כפי שהוא טוען בסוף האייטם). נראה שעמנואל רוזן היקר לא נותן לעובדות לבלבל אותו.

האייטם מתחיל, ומשודרת כתבה משעשעת עד דמעות לכל אחד שמבין דבר וחצי דבר בהאקינג. כבר בתחילת הכתבה נראת גודל הזוועה: שתי דוגמאות לריצה ראנדומלית של דברים על המסך (שלא קשורים אפילו לא במעט להאקינג, אפילו שכתוב שם "Hacked"), כנראה סתם כדי ליצור קשר אסוציאטיבי עם המטריקס. מובאים שני ילדים בני 13 שידברו על נושא ההאקינג (מובן שנלקחו בכוונה ילדים צעירים, על מנת ליצור רושם מסוים), וניכר שאת מה שהם אומרים לא אימתו מול אף גורם מקצועי (SQLi פירושו SQL Injection [ולא איג'קטיום]). גם ברור לכל אדם בר-דעת שהילד כובע שחור שהוצג שם אינו מבין את הדברים שהוא עצמו אומר ("מציבים מודעות של גוגל, של קליק-און ושל אדסנס", כאשר אדסנס היא בכלל תוכנית של גוגל, בעוד שבאותה נשימה הילד מרשה לעצמו לחשוב שהוא טוב בהרבה מהאנלייזר), וטענת הכתב שבני עשר פורצים לאתרי משחקים ושבני 13 "מתמחים בפלילים" היא אבסורדית – הייתי שמח שהכתב הנכבד יראה לי דוגמה לתיק בודד שכזה. בקיצור: עבודה עיתונאית לשמה – ללא אימות עובדות, עם הוצאה מובהקת של העניין מכל פרופורציה שהיא.

והנה, עמנואל רוזן נוקש בגוינג הפתיחה המטאפורי, ומופיעה השאלה על המסך: "האם צריך לפתוח משטרת אינטרנט?" המום מהשאלה הפסיכית ובעלת הקשר הקלוש מאוד למציאות ולאפשרות הטכנולוגית, הקשבתי לדברי ששת השטותניקים, שהרשו לעצמם לפתוח את פיותיהם הגדולים אפילו ללא מעט רגשות אשמה על כך שאינם מבינים בנושא. מתחילים עם מוקי, הזמר, ואני בטוח שאני הולך לשמוע ביקורת מטומטמת משהו, אבל אני דווקא מוצא את הדברים שאמר כמעניינים: מוקי טוען שיש לקחת את אותם האקרים בידיים ולתת לממסד לטפח אותם. במילים אחרות: לפני שיהפכו לפושעים ויוצבו כבושה למדינת ישראל, יש לקחת אותם, ללמד אותם ולחנך אותם, בידיעה שבבוא העת (צבא?) יוכלו אותם האקרים לשרת את ישראל נאמנה, ולנצל את הידע שלהם לדברים מועילים. נטע אחיטוב משמיעה דעה ממולמלת משהו, ונראה שהיא לא סגורה על עצמה, ומדברת על טוקבקים פוגעים לצד עולם מלא ידע שמספק האינטרנט. כשאני מתחיל לתהות האם הפאנליסטים אולי סוף-סוף ימתיקו את טעמה המר של הכתבה הזו, זכות הדיבור מועברת לגבי גזית שכרגיל מביע את הגיגיו (הדי-מטופשים, יש לציין) ברהיטות בלתי-נלאת, וטוען שהילדים האלו הם פושעים בהם יש לטפל "גם אם הם יהיו האליטה של חברות הStartup עלי-אדמות". ניכר שאת גבי גזית לא ממש מעניינת הכלכלה של מדינת ישראל, בטח ובטח שלא הבטחון שלה (שכן את אותם הילדים ניתן לנצל למטרות כמו התקפת אפיקי התקשורת של מדינות אויב). הוא מוסיף ואומר, בצורה שבאופן אישי הרגיזה אותי מאוד, שבלי שום קשר אישי לטוקבקים הפוגעניים שנגדו (כן, בטח), יש לחייב כל אחד שמגיב לחשוף שם, מספר זהות(?!) וIP "של מחשב". על ההגבלות הטכנולוגיות בנושא מר גזית הנכבד לא טרח לחשוב, אבל נו מילא. העיקר להביע דעה ולהראות נחרץ לגביה, ככל עיתונאי. תודה לאל זכות הדיבור עוברת לחבר הפאנל הבא, הפעם לשלי טימן השופט, שמדבר (כצפוי) על החקיקה בנושא. הוא מסכים עם גבי גזית, אך מקטין את היקף דבריו; הוא אומר שיש להקים "משטרת אינטרנט" (רק השימוש בביטוי גורם לי בחילה), שתטפל בטוקבקים רק אם אלו גורמים נזק. גבי גזית שוב נכנס לתמונה, ומנסה לתקן אותו בעדינות (עד כמה שהוא יכול): "מכפישים, שלי". שלי עומד על שלו ואומר: "מכפישים? הכפישו אותי גם כן. ברגע שהם גורמים נזק בהסתה, זה כבר משהו אחר". תורו של מנחם בן המשורר והפובליציסט לדבר, ודווקא כאן אנחנו שומעים את הקול השפוי: לא רק שהוא נמנע מהביטוי משטרת אינטרנט, אלא הוא גם טוען שאין לפקח על טוקבקים בכלל (אלא כאשר הם מגיעים להפרה פלילית). כשגבי גזית מתקיף באומרו שיש לזהות את שם הטוקבק, ואומר למנחם בן שיחזיק בדעה שהציג "עד שתפגע יום אחד", מנחם בן יוצא להתקפה שמנגד וטוען שיש נגדו אלפי טוקבקים, והוא קורא את זה באהבה ובשעשוע. אבל אז מנחם בן מסתבך. הוא גילה את סוד הסודות של עמנואל רוזן: "בכל עניין ההאקרים, נראה לי ניפוח לגמרי מוגזם…". קולו של מנחם נקטע על ידי ששת האחרים שממהרים לצעוק "נו באמת", ועמנואל רוזן יוצא למתקפת הגנה על האייטם: "מנחם, תאמין לי שזה לא ניפוח ושכל ילד שני פורץ היום לאתרים[...]". יצא המרצע מן השק. עמנואל רוזן ממהר להעביר את רשות הדיבור לחברת הפאנל האחרונה, דניאלה וייס, שמדברת על חסימת האינטרנט לבני נוער באמצעים כמו "אינטרנט רמון" ומוסיפה את דעתו של מוקי על טיפוח קבוצת הנוער הזו לצרכים חיוביים. בכך מסתיימת בזריזות הכתבה, בלי זכר לנזק התדמיתי המטורף שהשאירה מאחור.

אני רוצה לציין שאני לא מכיר אף אדם מהשכבה שלי [יב'] שמבין יותר מדי בנושא אבטחת המידע, בטח ובטח לא אחד שמבין בתחומי הWeb, Reverse Engineering וחבריהם לעומק (לא יאמן, יכול להיות שלא כל אחד משני ילדים הוא האקר?!). כפי שמנחם בן ציין, מדובר בניפוח תקשורתי היסטרי שכל קשר שלו למציאות הוא מקרי בהחלט, וליבי מצר על כל האמהות המבוהלות שהכתבה הזו תצמיח. רוצות לדאוג? יש לכם את הפורנו ושאר החולרעות – תאמינו לי שהסיכוי לזה הוא גבוה באלפי מונים מהסיכוי שהבן שלכם מתעסק בהאקינג. התוכנית המגוחכת והמנופחת הזו ודאי לא תחזור להופיע אצלי שוב על צג הטלוויזיה, ואני גאה להגיד שהיא לא העניקה לי כלום, פרט לאפשרות לצחוק יחד עם הקהילה על הטמטום העז שהוחדר לשם בכח מכל עבר.

כל טוב ושבת שלום לכם,
ים מסיקה.

מבקר המדינה מאחר – החזיון שלי שהתגשם

מסתבר שאני בהחלט יכול להיות מבקר המדינה בנושאי חינוך, או לפחות מגד-עתידות. לקוראים שהצטרפו זה עתה, אני אמליץ לקרוא את הפוסט הקודם שלי על נושא משרד החינוך: החינוך בישראל – שחרור קיטור: פוסט תלונה אישי. מאנשי בור הסוד מבינכם ודאי לא ישכחו התלונות הרבות שהטחתי במוסד האומלל הזה: החל מהעצבים על חוסר היכולת (הרצון?) לגרום לתלמידים לרצות ולהרחיב את עולמם שלהם, דרך הטחת עלבונות ברעיון הבחינות וכלה בהזכרת האימפוטנטיות המוחלטת של היושבים בראש משרד החינוך להתאמת המערכת לצרכים הטכנולוגיים החדשים של היום.

אז נו, היום יצא דו"ח מבקר המדינה, ואיך אוכל שלא לחטט בדפים שלימים יהפכו לניירות הטואלט של משרד החינוך? מיד פתחתי את אתר מבקר המדינה (שלמרבה האירוניה נראה ומתפקד מזעזע אגב, אל תטרחו אפילו לחפש) ושלפתי את הקובץ שמראה את עמודים 679 עד 843. מכיוון שאתם אחרי הכל קוראים שלי ואני רוצה אתכם חיים, מצאתי בשבילכם את הקישור לקובץ, מה שהיה ממש מציק כי האתר בנוי על סקריפטים של JS. בכל מקרה, למעוניינים – עמוד 713 תחילת הביקורת על משרד החינוך, שמשתרעת על קצת יותר מ150 עמודים (ומתפצלת לקובץ אחר, שלא רלוונטי לי). פרט לכל הנתונים הבאמת שערורייתיים ברמה זוועתית שתוכלו למצוא שם, תוכלו לפתוח בעמוד 843, "מנהל תקשוב ומערכות במערכת החינוך". אז הנה, מבקר המדינה מטיף למשרד החינוך בעמוד 857 בדיוק על מה שכתבתי בפוסט הקודם. גם אתם לא מופתעים? להלן מובאת הביקורת של מבקר המדינה:

"לדעת משרד מבקר המדינה, על הנהלת המשרד להיות מעורבת יותר בפרויקט מנב"ס "הדור הבא".  מן הראוי היה שהמשרד יקיים דיון, שבו ישתתף גם מנכ"ל המשרד, כדי להפיק לקחים ולהתוות תכנית פעולה הכוללת הגדרת יעדים, אומדן עלויות וקביעת מנגנון למעקב אחר עמידה בעלויות וביעדים ולדיווח עליהם. כל זאת כדי לקדם מיצוי יעיל של המשאבים הניכרים המושקעים בתחום זה. על המערכת החדשה שתיושם לספק להנהלת המשרד אפשרות לקבל החלטות בזמן אמת על סמך נתונים אמינים ומבוקרים."

אבל מי שטרח לדפדף מעט, גילה שלמרות שמדובר בחלק שמשותף לי ולמבקר המדינה, הוא לאו דווקא הכי מעניין במסמך. כך נכתב בעמוד 842, לאחר 4 עמודים של ביקורת מסוכמת היטב על אבטחת המידע של מערכת החינוך בישראל, באופן קצר, אך ברור מאין כמוהו:

"בתחום ניהול המערכות יש להדגיש במיוחד את חוסר יכולתו יש המשרד לזהות את הסיכונים למערכותיו, את היערכותו הלקויה להתאושש מאסון, אם חלילה יקרה להן, ואת הפרצות בתחום אבטחת המידע."

באופן כללי, אני ממליץ לכולם לקרוא את הPDF הנהדר הזה שמסכם באופן מעולה את מה שרבים מהתלמידים בישראל צריכים לסבול במשך 12 שנים מחייהם, ואמור לבסס את המדינה שלנו.

Cheers guys?
Anyone?…

שלכם עד לפעם הבאה,
ים.

עריכה: בונוס קטן לגיקים שבינינו, מהיום, לינוקס יודעת להכין גלידה! מה לגבי מערכת ההפעלה שלכם? (;

גוגל במערכת חדשה: גן-עדן להאקרים

ראשית אני מעוניין להודות לכל אלו שהגיבו לי על הפוסט הקודם. מספר תגובות כזה באמת מחמיא לי ואולי מראה שהנושא הוא די קולע ומדבר אל כולנו, אפילו שלא כולם הסכימו בדיוק עם הדברים שאמרתי.

ולנושא של הערב – גוגל יצאה בהצהרה על פתיחת מערכת חדשה, שנקראת Jarlsberg (על שם גבינה שנקראת ירלזברג). מערכת זו היא שילוב של מספר דפים, בו המשתמש יכול לדחוף סניפטים וקבצי טקסט, ולאחסן בה כל מני שטויות כאוות נפשו. למרות זאת, המטרה של המערכת היא שונה בתכלית – המטרה של המערכת היא בעצם שתפרצו אותה. המערכת מלאה בעשרות פרצות אבטחה. פרצות האבטחה הללו הן חלקן די פשוטות וניתנות לניצול בלי יותר מדי מאמץ, וחלקן דורשות התעמקות של ממש בקוד המקור. המערכת ניתנת לבדיקה הן בצורת קופסה לבנה והן בצורת קופסה שחורה: תוכלו להשתמש במערכת על השרת המרוחק בו היא נמצאת (Black-Box Testing), אבל תקבלו תקבלו גם קוד מקור, על מנת שתוכלו לבחון את הצורה שבה כתובה התוכנה (White-Box Testing) – כדאי מאוד שיהיה לצורך כך ידע בפיית'ון. לפי גוגל, המערכת עוזרת ללמד כיצד מוצאים פרצות אבטחה, כיצד האקרים מנצלים פרצות אבטחה וכיצד להתגונן מפני האקרים. תוכלו להוריד את קוד המקור מכאן ולהכנס לאתר עליו תוכלו לעשות את הPenetration test כאן. המון בהצלחה (:

מחכה להמון תגובות עם פרצות אבטחה אפשריות שמצאתם (אישית כבר מצאתי די-הרבה XSSים, XSRFים וחבריהם, וDoS אחד מגניב למדי).

שיהיה ערב ושבוע מצוין,

ים

הקורס להאקר המתחיל של Ynet

היום, נפרץ אתר "נקה" על ידי האקרים טורקיים והושחת. כמובן, שידיעה מתאימה התפרסמה מיד בYnet. להלן שורה מהכתבה (פורסם: 4/5/09, 19:06)
"הפריצה שבוצעה לאתר היא מסוג "Defacement", השחתת פנים. התקפות מן הסוג הזה לרוב מתבצעות בכדי לפגוע באתרים ישראליים באשר הם, ואינן מכוונות כדי לפגוע באתר ספציפי."

אז ראשית, צוות Ynet היקר, צר לי לבשר לכם שאין שום מתקפה ש"לרוב מתבצעת בכדי לפגוע באתרים ישראליים באשר הם". אני מניח שאפילו הקורא האינטיליגנט שלא מתעסק במחשבים, בטח שלא באבטחת מידע, יכול להבין את זה בעצמו. אנשים מסוימים עוד יכולים להתחיל לחשוב שהתפתחה מתקפה מיוחדת כנגד שרתים חובשי כיפה.
שנית, Defacement בהחלט יכול להיות מיועד לפגיעה באתר ספציפי. יתכן מצב שבו נפרץ השרת, ואז בהחלט יכולים ההאקרים להתקיף את כל האתרים שמאוחסנים על אותו שרת.

אז בואו נוריד לחץ, Ynet. מתקפה חובבנית כזאת לא צריכה להדאיג אף אחד, וסביר להניח שנקה עלתה בטעות בגורל, וזה יכול לקרות לאתרים רבים נוספים בישראל (שמשום מה מתעקשים להיות בנויים שלא לפי סטנדרטים כמו תקן W3C, ובטח ובטח שלא לפי שום סטנדרט שקשור לאבטחת מידע).

ובנימה קצת יותר אופטימית: המדריך המלא לכיצד להיות בלתי נראה. תודה לנמרוד על הלינק (:

עד לפעם הבאה, שלכם
ים

דף 3 מתוך 3123