0.
לפני כשבועיים חשף אמיתי דן פרצת אבטחה משמעותית בשירות של אורנג' (שככל הנראה נסגרה לבינתיים). הפרצה אפשרה, באמצעות אתר אינטרנט פשוט, להזין מספר טלפון של אדם ולדעת מהו דגם המכשיר הסלולרי שלו. עודד ירון, ב'הארץ', הסביר כי באמצעות הפרצה ניתן, לדוגמא, לזהות מי מחזיק מספר טלפון "כשר", אך אינו משתמש בטלפון כשר; ובפועל חושף עשרות אלפי חרדים שמחזיקים אייפון במערומיהם. אבל בפועל יש סיכון הרבה יותר גדול בחשיפה מהסוג הזה.

1.
בשבוע שעבר נחשפה פרצת האבטחה Heartbleed, שכמו כל פרצת אבטחה משמעותית לפניה, הוגדרה כפרצת האבטחה הגדולה ביותר אי-פעם, ושאר סופרלטיבים. בפועל? מדובר על פרצת אבטחה שמאפשרת לתוקף להשתלט ולקחת 65,536 בתים מהזכרון של המחשב הנגוע, או להשתמש במחשב הנגוע כדי לקחת 65,536 בתים מהזכרון של מכשיר קצה שגולש אליו (אפשר לקרוא טיפה יותר כאן). באמצעות המידע הזה ניתן לגנוב ססמאות, להתחזות לשירותים אחרים או לקבל הרבה מאוד. מדובר על פרצת אבטחה היסטרית, שכנראה לא תתוקן בתקופה הקרובה.

2.
לבינתיים, כדי להתגונן מפרצת האבטחה, היו צריכים חברות האינטרנט שמפעילות שרתים לעדכן את תוכנת OpenSSL, שהיא התוכנה עם הבאג, וגם משתמשי האינטרנט היו צריכים לעדכן את מערכות ההפעלה שלהם. עכשיו, במחשב נייח זה מאוד פשוט: כל מה שמשתמשים היו צריכים לעשות זה להתקין את עדכוני מערכת ההפעלה. בטלפונים סלולריים המצב קשה יותר. הסתבר, שמערכת ההפעלה אנדרואיד, בגרסא 4.1.1, נגועה בבאג הזה. גרסא 4.1 מחזיקה 34 אחוזים מ900 מיליון מכשירי האנדרואיד, וסביר להניח ש4.1.1 מחזיקה לא פחות מ10% מהמספר הזה, כלומר עשרות מיליוני מכשירים.

3.
בגלל המבנה הפתוח של אנדרואיד, בו כל יצרנית לוקחת את מערכת ההפעלה ומייצרת גרסא אישית למכשירים שלה, נוצר מצב בו למרות שגוגל תיקנה את הבאג בגרסא 4.1.2, הרי שאף אחת מהיצרניות לא ממש רצתה לשדרג את מערכת ההפעלה ללקוחות שלה (הרי, זה ימנע מהם לקנות בעוד חצי שנה מכשיר חדש). כלומר, קנית מכשיר סמסונג גלקסי 2? יש עליו גרסא 4.1.1 של אנדרואיד, סמסונג לא רוצה לשדרג? אתה חשוף. בשביל למנוע דברים כאלה, בפברואר השנה גוגל הודיעה כי היא תדרוש מיצרניות להטמיע כל גרסא חדשה תוך תשעה חודשים מהייצור שלה. אבל, זה לא חל על מכשירים שיצאו כבר, מה לעשות.

בעצם, ההתפלגות בשוק מערכות ההפעלה אנדרואיד, והעובדה שיש לכל יצרנית מכשירים גרסא משלה, אומר שיש עשרות מיליוני משתמשים שחשופים לחור האבטחה הזה, והדרך היחידה להמנע ממנו היא לקנות מכשיר חדש (שזה, אגב, מה שאני עשיתי).

4.
וכאן אנחנו חוזרים לאמיתי דן. זוכרים מה הוא גילה? אמיתי גילה דרך לדעת, לפי מספר הטלפון שלך, מה מכשיר הטלפון שלך. עכשיו, אם אנחנו יודעים שיש לך מכשיר טלפון X, ושהוא מריץ גרסא מסוימת של מערכת הפעלה שלא שדרגת, אז זה אומר בעצם שאנחנו יכולים לנצר את חור האבטחה Y שתוקן במערכות הפעלה עתידיות, אבל לא בזו. כלומר, פורץ מתוחכם היה יכול ללכת ולברר מהי פרצת האבטחה בטלפון של ראש הממשלה, ולעשות הכל כדי להשיג מידע.

5.
ומכאן לאחריות של הספקיות: כחובב קוד פתוח, אני מאוד מעריך את אנדרואיד, ואני משתמש בקוד פתוח בכל מקום אפשרי. אבל, הרבה פעמים ספקיות משתמשות במודל דפוק-וזרוק לקוד פתוח: נהנות מהטוב שבעולם (עדכונים מהקהילה) אבל לא משתפות בחזרה. זה אומר שמערכת ההפעלה שמותקנת על הטלפון שלכם לא תעודכן ככל הנראה אלא אם יכריחו אותה. למה? כי יחד עם עדכון מערכת ההפעלה כדי להמנע מפרצות אבטחה, יש גם עדכונים שגורמים למכשיר בן שנתיים לרוץ כמו שצריך. אם תסתכלו על הכתבה הזו, בה מרואין אייל רופא, הוא מסביר כיצד אפשר לקחת טלפון בן שנתיים, ועם העדכונים הנכונים לגרום לו לעבוד טוב מאוד. ליצרנית הטלפון שלך אין אינטרס שזה יקרה: היצרנית מתפרנסת ממכירת מכשירים. מבחינתה, אם לא תקנה מכשיר חדש כל שנה, ואם לא יהיו תקלות שאתה תצטרך להחליף טלפון בגללן, אז בשביל מה היא משקיעה מיליארדים בשיווק?

6.
הפתרון לבעיה הזו היא לקבוע, ביחד עם חקיקה שנוגעת למוצרים, שכמו שיש אחריות לנזקים במוצרי חשמל, הרי שיצרניות חייבות לעדכן עדכוני אבטחה. הרי, היום זה בסך הכל הטלפון הסלולרי שלכם, אבל מחר זו כבר המכונית שלכם שלא תקבל עדכוני אבטחה. ואז מה?

7.
הפתרון הזה לא יפגע בקוד הפתוח, שמבוסס על העקרון של "כותב התוכנה אינו אחראי", כי כותב התוכנה לא מתפרנס ממכירת מכשירי קצה. העקרון יקבע בחוק ש"יצרן חומרה, או משווק חומרה, שמכילה גם תוכנה, כהגדרתה בחוק המחשבים, יהא אחראי לספק עדכוני אבטחה ועדכוני תוכנה לכל פרצת אבטחה או תקלה בתוכנה לתקופה של שתיים עשרה עשרה שנים מיום מכירת המוצר". מדוע שתיים עשרה שנים? כי זו התקופה שמיקרוסופט בחרה לתת תמיכה למוצר הפופולרי שלה, חלונות XP.