לפני כארבעה חודשים קיבלתי הודעה מוזרה בחשבון הג'ימייל שלי: "אנו מאמינים כי תוקפים אשר מגובים על ידי מדינות מסוימות מנסים לפגוע בחשבון או במחשב שלך". ההמלצה של גוגל, כדי להמנע ממקרים כאלו, היתה לאפשר אימות דו-שלבי.

כאן אני צריך לעצור כדי להסביר מה זה בכלל אימות דו-שלבי, ומה זה אימות שלבי, כי בעיקר בגלל מעשי הימים האחרונים, אני הבנתי שיש דברים שלא כולם מבינים. השאלה הראשונה היא איך אנחנו מזהים אנשים? והתשובה? זה פשוט: אם אנחנו מערכת ממוחשבת, יש דרך פשוטה: לכל משתמש יש שם משתמש, ואם הוא יודע את שם המשתמש, אז ניתן לו לעבור. הבעיה? כדי לאפשר למשתמשים לתקשר אחד עם השני, שם המשתמש הופך להיות פומבי. לכן, אנחנו נותנים לכל אחד סיסמא.

סיסמא, בהנחה שהיא לא רק להוסיף את המספר 73 לסוף השם הפרטי של האדם, היא מזהה מסוג של "מה שאתה יודע"; היא סוד, שאם שומרים עליו טוב מספיק, אז היא מאפשרת אימות טוב. הבעיה? ססמאות קשה לזכור וקל לפרוץ, ולכן יש דרך נוספת להגן על חשבונות, והיא מפתחות (פיסיים, כמו כאלה שיש לכם בדלת). מפתח הוא "מה שיש לך". רק מי שיש לו מפתח לבית (ויודע איפה הבית נמצא), יכול להכנס. היתרון של מפתח? קל לשמור עליו, וגם אם הוא נאבד, לא כולם יודעים למי הוא קשור. מפתח, בדרך כלל, יכול להיות גם דיגיטלי (וזה לא מונע ממנו להגנב או להפרץ). הסוג השלישי הוא "מי שאתה". ביומטריה, כלומר "רק מי שיש לו טביעת אצבע X יכול להכנס" היא גם דרך נהדרת להגן על חשבונות. הבעיות של ביומטריה הן שקל מאוד לזייף אותה, אבל זה עניין אחר.

אימות דו-שלבי (Two-Factor Authentication) מבוסס על שדורשים שני מאפיינים מבין השלושה כדי להכנס: ססמא ומפתח, ביומטריה ומפתח, ססמא וביומטריה וכדומה. הכלל הוא פשוט מאוד: ססמאות אפשר לנחש או לפרוץ, מפתחות לבית אפשר לגנוב, וביומטריה אפשר לזייף. אבל: גם לנחש את הססמא שלך וגם לגנוב לך את המפתח לבית זה לא פשוט, אלא אם על המפתח כתובה הססמא (לכן, הפעלתי אימות דו-שלבי בגוגל).

עומר כביר דיווח אתמול על לא מעט מפעילי המחאה החברתית שחווים התקפות מהסוג שאני חוויתי לפני מספר חודשים. עכשיו, אין שום אינדיקציה אחרת להצביע כי יש נסיון פריצה מצד ממשלת ישראל דווקא לחשבונות האלו או כי המדינה עצמה מעוניינת לחדור לחשבונות, כדי לקבל מידע, בהמשך ישיר לדרישה של המשטרה לקבל מאקטיביסטים מידע לגבי מה התכניות שלהם לקיץ. אבל, כל עוד אין אינדיקציה אחרת, יכול להיות שידה של הממשלה הסינית במעל או של ממשלה אחרת. סביר להניח שלא מדובר במדינת ישראל, כיוון שלזו יש די גישה לא אמצעית למאגרי המידע של גוגל; גוגל קיבלה ממדינת ישראל כ120 בקשות לגילוי מידע על משתמשים בשנת 2012; חלק ניכר מהן בטח הם צווים שיפוטיים.

מה שמדאיג הוא אחר: תפקידה של המדינה הוא לסייע ולחנך את האזרח לשימוש נבון; בין היתר, ללמד את האזרחים איך להגן על המידע שלהם, לבחור ססמאות חזקות יותר ולהמנע ממצב בו אחרים חודרים להם לחשבון. הסיבה? הגנה מהאקרים היא אינטרס לאומי, שיחסוך כסף למשק, יקטין פשיעה ויאפשר לאזרחים לנהל מסחר בטוח יותר. אבל, באותה אבחה, המשטרה וחבריה רוצים גם גישה לחשבונות, הרבה פעמים בלי צו.

כלומר, הסבירות שמשטרת ישראל, נטולת התקציב, מפעילה יחידת האקרים שפורצת לחשבונות הג'ימייל של פעילי המחאה היא נמוכה במיוחד; אבל: זה לא אומר שפעילי המחאה לא צריכים להתחיל להצפין את המידע שלהם, לאבטח את החשבונות ולעקוב אחרי שימושים בחשבון שנראים חשודים.

יתר על כן, פעילי המחאה צריכים לפנות עכשיו למשטרה כדי שזו תחקור מי מנסה לפרוץ, אולי כך נגלה לפחות מהי המדינה עליה גוגל רומזת.