בשנת 2001 החלה מדינת ישראל בארגון דיני ההצפנה בצורה ראויה וחוקקה את חוק חתימה אלקטרונית. החוק, למרות היותו מעניין ומאוד פשוט, קובע הסדרים יחסית סבוכים אך בבסיסו אומר כי ניתן להשתמש בתעודות אלקטרוניות (Certificates) על מנת לחתום על מסמכים כך שזהות החותם תהיה מאומתת. המשמעות היא שכאשר מתקבל מסמך אלקטרוני כזה, משקלו כראיה אלקטרונית גבוה במיוחד וניתן להניח שאלא אם הגורם המאשר (כלומר, מי שהנפיק את התעודה) כשל במילוי תפקידו (ודברים כאלה קורים מדי פעם) הרי שמי שכתב את המסמך הוא אכן מי שרשום בתעודה. הדבר דומה לחותמת לייזר או חתימה רשמית, אך בעל אמינות גבוהה במיוחד והיכולת לפרוץ אותו קיימת, אך מבוססת ברובה על טעויות אנוש והיא נדירה, יקרה וצורכת משאבים.

לכן, המדינה החליטה כי כל הגשת מסמך רשמי אליה יבוצע או בכתב או באמצעות מסמכים החתומים בחתימה אלקטרונית. כך, דיווחים למס הכנסה ומע"מ יבוצעו על ידי חתימה אלקטרונית, והמדינה תוכל לזהות כל חשבונית, לקבל מידע יותר מעמיק, אמין וזמין.

אלא שהמדינה, כרגיל, מחליטה שהסטדנרטים הקשים של אבטחת מידע שהיא מטילה על אזרחיה אינם הולמים אותה. כך, לדוגמא, במהלך הדיונים על חוק מסחר אלקטרוני החלה המדינה להתמקח עם יו"ר הועדה שדנה בחוק אז, מיכאל איתן ודרשה לקבל פטורים מפרסום אלקטרוני (פרטיכל מיום 15.07.2008) והעדר חובה שהממשלה תקבל מסמכים החתומים במסמכים אלקטרוניים (פרטיכל מיום 19.05.2008). הסטנדרטים הכפולים של המדינה, בין היתר, היו מה שגרם להעדר תחרות בשוק החתימות האלקטרוניות וחוסר רצון של הציבור להסמך עליהם.

וכאן מגיע חוק ההסדרים לתוקף. בין היתר, במסגרת תיקון לפקודת המסים (גביה) מעוניינת המדינה להיות מסוגלת לשלוח צווי עיקול לבנקים כאשר הם אינם חתומים בחתימה אלקטרונית. על פי הוראת השעה, "עד תום תקופה של שנתיים מיום פרסומו של חוק זה, יראו צו עיקול או צו בהתאם להוראות סעיף 7ב(1) לפקודת הגבייה שנערך באופן אלקטרוני (להלן – צו אלקטרוני), כמסמך אלקטרוני לעניין סעיף 12ב1 לפקודת הגבייה, אף אם אינו חתום בחתימה אלקטרונית מאושרת", כל עוד מתקיימים מספר כללים: "(1) ביחס לכל צו אלקטרוני אפשר לזהות את פקיד הגבייה שנתן אותו; (2) המערכת היא מערכת מהימנה, המעניקה הגנה נאותה מפני חדירה אליה ומפני שיבוש או הפרעה לעבודתה; (3) המערכת עורכת תיעוד אוטומטי בדבר פעילות המשתמשים בה, והתיעוד האמור נשמר באופן מאובטח ובנפרד מהמערכת; (4) ממונה אבטחת המידע של המערכת הכין נוהל להוספה ולהסרה של משתמשים מורשים, כדי למנוע שימוש לרעה במערכת; (5) המערכת מונעת עריכה של שינויים בצו האלקטרוני לאחר שהופק".

שימו לב, רשות המסים תהיה רשאית לשלוח לבנקים הודעות שיאפשרו לעקל את חשבון הבנק שלכם, אם מערכת אבטחת המידע של רשות המסים מהימנה מספיק. אלא, שהבעיה בשליחת הודעות דואר אלקטרוני אינה של רשות המסים, אלא של הקלות בזיוף של הודעות אלקטרוניות ללא שימוש במערכת של רשות המסים כלל וכלל. כלומר, גם אם מערכת המשלוח של רשות המסים תהיה מצוינת, מאובטחת, עמידה לפריצות, עדיין כל מה שצריך זה אידיוט עם לפטופ כדי לעקל לכם את חשבון הבנק. בשביל לשלוח הודעה המכילה את הצו, כלל לא צריך לגשת למערכת של רשות המסים אלא למערכות הבנקאיות.

כאשר מתקבלת הודעת דואר אלקטרוני בשרת שלכם, תוכנת הדואר האלקטרוני קוראת חלק בהודעה הנראה Header ומכיל את הפרטים על אודות זהות השולח, כתובת הIP ממנה נשלחה ההודעה, השרתים בהן עברה ההודעה ועוד. אלא, שבאמצעות כלים פשוטים למדי ניתן לזייף את כותרות הדואר האלקטרוני, לרבות זהות השולח. אכן, ניתן להתגונן ולהבין איך להמנע מרמאויות כאלה, אך הדבר אינו טריויאלי. כל אדם יכול לשלוח הודעת דואר אלקטרוני המתחזה להיות מרשות המסים, ולזייף את רישת ההודעה בצורה טובה דיו.

כלומר, כל עוד הודעות העיקול אינן חתומות אלקטרונית בצורה המצליחה להצביע על כך שרשות המסים היא מי שהפיקה אותן, הרי שהבנקים לא יכולו להפריד בין הודעת עיקול אותנטית להודעה שהוכנה על ידי האקר מיומן, שכעת קיבל דרך מצוינת לסחוט אנשים: הוא שולח הודעות עיקול בשם רשות המסים לבנק, מעקל לאנשים את חשבון הבנק שלהם, ומבקש כסף עבור השחרור.

אפשרות אחרת, שאמורה להדאיג את יובל דיסקין יותר מאייפון וגוגל היא האפשרות לעקל את החשבונות של חלק מהתעשיות הבטחוניות הישראליות בקלות יחסית: כל גורם עוין יוכל לזייף טופס עיקול של רשות המסים, לשלוח ולעקל את חשבון הבנק שלכם. אכן, אל תצפו יותר לרמאויות בסגנון העוקץ הניגרי אלא תחכו לכך שחשבון הבנק שלכם יעוקל.

הטמעת מערכת של חתימות אלקטרוניות בשירותי הממשלה אמורה להיות פשוטה, זמינה ולחסוך מיליוני שקלים בשנה. לעומת זאת, המדינה מעוניינת לתת לעצמה פטור שוב. לא רק שמדובר בעניין פסול, אלא שהמדינה מסכנת את כולנו על ידי קביעת כללי אבטחת מידע לקויים.