מה מספר הטלפון שלך אומר עלייך, ולמה חשוב שתשמור עליו?

0.
לפני כשבועיים חשף אמיתי דן פרצת אבטחה משמעותית בשירות של אורנג' (שככל הנראה נסגרה לבינתיים). הפרצה אפשרה, באמצעות אתר אינטרנט פשוט, להזין מספר טלפון של אדם ולדעת מהו דגם המכשיר הסלולרי שלו. עודד ירון, ב'הארץ', הסביר כי באמצעות הפרצה ניתן, לדוגמא, לזהות מי מחזיק מספר טלפון "כשר", אך אינו משתמש בטלפון כשר; ובפועל חושף עשרות אלפי חרדים שמחזיקים אייפון במערומיהם. אבל בפועל יש סיכון הרבה יותר גדול בחשיפה מהסוג הזה.

1.
בשבוע שעבר נחשפה פרצת האבטחה Heartbleed, שכמו כל פרצת אבטחה משמעותית לפניה, הוגדרה כפרצת האבטחה הגדולה ביותר אי-פעם, ושאר סופרלטיבים. בפועל? מדובר על פרצת אבטחה שמאפשרת לתוקף להשתלט ולקחת 65,536 בתים מהזכרון של המחשב הנגוע, או להשתמש במחשב הנגוע כדי לקחת 65,536 בתים מהזכרון של מכשיר קצה שגולש אליו (אפשר לקרוא טיפה יותר כאן). באמצעות המידע הזה ניתן לגנוב ססמאות, להתחזות לשירותים אחרים או לקבל הרבה מאוד. מדובר על פרצת אבטחה היסטרית, שכנראה לא תתוקן בתקופה הקרובה.

2.
לבינתיים, כדי להתגונן מפרצת האבטחה, היו צריכים חברות האינטרנט שמפעילות שרתים לעדכן את תוכנת OpenSSL, שהיא התוכנה עם הבאג, וגם משתמשי האינטרנט היו צריכים לעדכן את מערכות ההפעלה שלהם. עכשיו, במחשב נייח זה מאוד פשוט: כל מה שמשתמשים היו צריכים לעשות זה להתקין את עדכוני מערכת ההפעלה. בטלפונים סלולריים המצב קשה יותר. הסתבר, שמערכת ההפעלה אנדרואיד, בגרסא 4.1.1, נגועה בבאג הזה. גרסא 4.1 מחזיקה 34 אחוזים מ900 מיליון מכשירי האנדרואיד, וסביר להניח ש4.1.1 מחזיקה לא פחות מ10% מהמספר הזה, כלומר עשרות מיליוני מכשירים.

3.
בגלל המבנה הפתוח של אנדרואיד, בו כל יצרנית לוקחת את מערכת ההפעלה ומייצרת גרסא אישית למכשירים שלה, נוצר מצב בו למרות שגוגל תיקנה את הבאג בגרסא 4.1.2, הרי שאף אחת מהיצרניות לא ממש רצתה לשדרג את מערכת ההפעלה ללקוחות שלה (הרי, זה ימנע מהם לקנות בעוד חצי שנה מכשיר חדש). כלומר, קנית מכשיר סמסונג גלקסי 2? יש עליו גרסא 4.1.1 של אנדרואיד, סמסונג לא רוצה לשדרג? אתה חשוף. בשביל למנוע דברים כאלה, בפברואר השנה גוגל הודיעה כי היא תדרוש מיצרניות להטמיע כל גרסא חדשה תוך תשעה חודשים מהייצור שלה. אבל, זה לא חל על מכשירים שיצאו כבר, מה לעשות.

בעצם, ההתפלגות בשוק מערכות ההפעלה אנדרואיד, והעובדה שיש לכל יצרנית מכשירים גרסא משלה, אומר שיש עשרות מיליוני משתמשים שחשופים לחור האבטחה הזה, והדרך היחידה להמנע ממנו היא לקנות מכשיר חדש (שזה, אגב, מה שאני עשיתי).

4.
וכאן אנחנו חוזרים לאמיתי דן. זוכרים מה הוא גילה? אמיתי גילה דרך לדעת, לפי מספר הטלפון שלך, מה מכשיר הטלפון שלך. עכשיו, אם אנחנו יודעים שיש לך מכשיר טלפון X, ושהוא מריץ גרסא מסוימת של מערכת הפעלה שלא שדרגת, אז זה אומר בעצם שאנחנו יכולים לנצר את חור האבטחה Y שתוקן במערכות הפעלה עתידיות, אבל לא בזו. כלומר, פורץ מתוחכם היה יכול ללכת ולברר מהי פרצת האבטחה בטלפון של ראש הממשלה, ולעשות הכל כדי להשיג מידע.

5.
ומכאן לאחריות של הספקיות: כחובב קוד פתוח, אני מאוד מעריך את אנדרואיד, ואני משתמש בקוד פתוח בכל מקום אפשרי. אבל, הרבה פעמים ספקיות משתמשות במודל דפוק-וזרוק לקוד פתוח: נהנות מהטוב שבעולם (עדכונים מהקהילה) אבל לא משתפות בחזרה. זה אומר שמערכת ההפעלה שמותקנת על הטלפון שלכם לא תעודכן ככל הנראה אלא אם יכריחו אותה. למה? כי יחד עם עדכון מערכת ההפעלה כדי להמנע מפרצות אבטחה, יש גם עדכונים שגורמים למכשיר בן שנתיים לרוץ כמו שצריך. אם תסתכלו על הכתבה הזו, בה מרואין אייל רופא, הוא מסביר כיצד אפשר לקחת טלפון בן שנתיים, ועם העדכונים הנכונים לגרום לו לעבוד טוב מאוד. ליצרנית הטלפון שלך אין אינטרס שזה יקרה: היצרנית מתפרנסת ממכירת מכשירים. מבחינתה, אם לא תקנה מכשיר חדש כל שנה, ואם לא יהיו תקלות שאתה תצטרך להחליף טלפון בגללן, אז בשביל מה היא משקיעה מיליארדים בשיווק?

6.
הפתרון לבעיה הזו היא לקבוע, ביחד עם חקיקה שנוגעת למוצרים, שכמו שיש אחריות לנזקים במוצרי חשמל, הרי שיצרניות חייבות לעדכן עדכוני אבטחה. הרי, היום זה בסך הכל הטלפון הסלולרי שלכם, אבל מחר זו כבר המכונית שלכם שלא תקבל עדכוני אבטחה. ואז מה?

7.
הפתרון הזה לא יפגע בקוד הפתוח, שמבוסס על העקרון של "כותב התוכנה אינו אחראי", כי כותב התוכנה לא מתפרנס ממכירת מכשירי קצה. העקרון יקבע בחוק ש"יצרן חומרה, או משווק חומרה, שמכילה גם תוכנה, כהגדרתה בחוק המחשבים, יהא אחראי לספק עדכוני אבטחה ועדכוני תוכנה לכל פרצת אבטחה או תקלה בתוכנה לתקופה של שתיים עשרה עשרה שנים מיום מכירת המוצר". מדוע שתיים עשרה שנים? כי זו התקופה שמיקרוסופט בחרה לתת תמיכה למוצר הפופולרי שלה, חלונות XP.

7 תגובות ל-“מה מספר הטלפון שלך אומר עלייך, ולמה חשוב שתשמור עליו?

  1. באג "לב שותת" הוא דוגמה טובה למה *לא* כדאי לבצע עדכוני אבטחה. כי אם אני מריץ שרת שלא עודכן בו הרכיב הזה מ-2010, והטלפון שלי מריץ אנדרואיד 4.0, הרי ממני נחסכה, במקרים האלה, החשיפה לפרצת האבטחה הגדולה בהיסטוריה. אילו הייתי מקבל את ההמלצות ומעדכן הכל כל הזמן, הרי בשלוש השנים האחרונות הייתי חשוף בלי ידיעתי לדימום המדובר.

  2. לא לא לא!
    הצעות חוק כאלה רק הורסות את השוק החופשי, שהוא הסיבה ליתרונות האדירים של הקוד הפתוח

    במקום להיות תלוי בחברה קניינית כזאת או אחרת (ולקוות שחוקי המדינה מגינים עלינו מפניה), הפתרון הנכון הוא להתקין בעצמך גירסת אנדרואיד שמתוחזקת על ידי הקהילה! זה הפיתרון הנכון וההגיוני, שמבטיח ששום אינטרס כלכלי לא ישפיע על הרום שלך נגדך

  3. יירדם,
    על פניו את צודק. אבל:

    1. יש דגמים שבהם אין חלופה של תוכנה חופשית; הטלפון שלי נמכר בכמות זעומה יחסית, אז לא קמה לו גרסאת AOSP או Cyanogen.

    2. אני לא מדבר על תלות, אני מדבר על חובה לדאוג לעדכוני אבטחה למוצרי חומרה.

  4. יירדם, את מניחה שלכולם יש את המומחיות הטכנית, הזמן והרצון להתעסק עם המכשירים שלהם ברמה הזו. ההנחה שלך לא נכונה לרוב המוחלט(סביר להניח שקרוב ל90% לפחות) של מחזיקי הסמארטפונים בעולם.

  5. יונתן קיימות מערכןת הפעלה חופשיות אחרות לסמארטפון כמו FirefoxOS המתבסס על טכנולוגית HTML ועד SailfishOS שהיא סוג של המשך למיגו (מתבססת על פרוייקט mer החופשי עם ממשק קנייני של חברת Jolla) ולא נשכח את אובונטו ואולי עוד הפצות גנו/לינוקס אחרות שמנסות להיכנס לשוק הסלולרי.
    קיימים כיום מספר טלפונים מבוססי פיירפוקס וטלפון של יולה ובהמשך קנוניקל ושותפותיה יוציאו טלפון. ולפי נסיוני יש לטלפון של יולה לפחות עדכונים תכופים וקהילה פעילה, הוא יכול להריץ יישומי אנדרואיד די טוב ומהווה אופציה למי שמוכן להשקיע קצת יותר (יעלה לך יותר מאנדרואיד סיני בעל אותו מפרט) ואינו חושש להיות בעל מכשיר לא נפוץ על כל המגרעות שבכך (אין מעבדות תיקון, אין כיסוי מתאים וכו' למרות שניתן לאלתר משהו).

  6. מכיוון שהשוק כל כך פתוח, אני לא רואה איך חקיקה כזו תיושם על חברת Amoi הסינית ודומותיה. חקיקה שתחייב כל יבואן קטן?!

    עד שיקרה משהו שיזעזע באמת את השוק, לא ישתנה כלום.

כתיבת תגובה

האימייל לא יוצג באתר. שדות החובה מסומנים *