תעודת זהות ביומטרית

[bagira]

והרבה מעבר לרמה ההיפוטטית של פרוץ או לא פרוץ, יש פה בעיה הרבה יותר חמורה.

 

משטרת ישראל, נו, איך נגיד את זה, לא ידועים בתור יחידת משטרה חוקרת עתירת ממון ועתירת חוקרים משובחים ולכן מחפשים תמיד את הדרך הקלה והזולה לביצוע חקירה.

 

מרגע שיהיה מאגר ביומטרי, מגיעים לזירה, אוספים איזה שרים-שרים וחמשה טביעות אצבע, מזמנים את כולם לחקירה ומתחילים לנער עד שמישהוא מודה שהוא שועל (כמאמר הבדיחה הידועה).

 

אז את מי מעניין שכולם בכלל אזרחים מן המניין שכל חטאם ששבוע שעבר פישתנו בשרותים של המועדון שהתרחש בהם אונס.

[Asaf-R]

טועה אני לא, אתה כנראה לא הבנת.

אין צורך "להאזין" בכלל לתקשורת בין המסוף שבלשכה לשרת המרכזי, מה גם שזה קשה יותר עם כבלים שמסוככים בצורה הרבה יותר טובה.

אתה מאזין לכבל בין הקורא טביעת יד USB לבין המסוף, אתה שואב משם Raw Data שהקורא הסטנדרטי שולח למחשב.

למעשה בתור פושע אתה לא צריך שום דבר מעבר, לא מעניין אותך הפרטים הנוספים של אותו קורבן, שאבת את הטביעת יד שלו וזהו.

 

וכמו שאמרתי בכבלים כאלה שהם לא מסוככים כמו כבלי רשת למשל, אפשר להאזין להם ממרחק של 1.5 מטר דרך קיר עם בסה"כ אנטנה כיוונית.

 

אתה לא צריך לבצע שאילתות, כמו שאמרתי הכי Low Level, הכי Low-Tech שאפשר, אפילו לא מצריך ממך להיכנס בכלל ללשכה למקרה שהיא מנוטרת במצלמות, אתה יכול לשכור את המשרד הסמוך.

 

אין לי מושג למה אבל אתה טועה ומטעה

 

אני לא רואה אנשים מתחילים להסתובב עם מכשור ליד קירות משרד הפנים בכדי לאסוף כמות מידע פעוטה

מה הם יצליחו לאסוף כבר, מידע אודות 20 אנשים שניגשו להוציא תעודה ביומטרית באותו יום - כמה זמן יקח להם לפענח את המידע מתוך בליל ההקשות בפייסבוק של הפקידה? - הרי הם לא יכולים להאזין רק לקורא טביעות האצבע, הם צריכים את המידע האישי שהפקידה מקלידה (שם, תז.ז וכו').

בקיצור - חלומות של מישהו שראה יותר מדי סרטי ריגול בילדותו ולא כ"כ מצליח לעשות הפרדה מהעולם האמיתי.

[m3x7r3m3]

בדיוק במקום שבו לא אתה, ולא השרים הקודמים ולא השר הנוכחי ראו את הפירצה, שם הפורץ מסתתר, לחפש את המטבע מתחת לפנס לא יביא אותך רחוק כל כך.

 

אין בליל תקשורת בפייסבוק, כי אם היית טורח לקרוא, היית מבין שכבלי רשת מסוככים ולכן את המידע מהם יותר קשה לשאוב בזליגות, ממקלדת / עכבר / קורא כרטיסים / קורא ברקוד / קורא טביעות כף יד, הרבה יותר קל.

ולא צריך להסתובב ליד משרד הפנים, אפשר לשכור משרד לשבוע, להקים בפנים עמדה בגרושים עם אנטנה כיוונית מ-ebay, לאסוף מספיק חומר וללכת.

 

התפקיד של מומחי אבטחה בעולם, זה להעלות את הרעיונות האלה, לחשוב מחוץ לקופסה ולא לחפש את המטבע מתחת לפנס, יש בזה המון המון ידע, כישורים טכניים ויצירתיות, ולכן הם גם מרוויחים המון המון כסף (למומחי אבטחה אמיתיים ולא מומחים בעיני עצמם).

והזוי מבחינתי שמדברים על האבטחה של המאגר הביומטרי, אבל כל מומחה אבטחה שראיתי שדיבר בנושא היה חד משמעית נגד.

לא חסרים מומחי אבטחה בארץ, אבל כבוד השר (לשעבר תודה לאל) שטרית יודע טוב יותר מכולם, הוא - הוא המומחה אבטחה האמיתי.

 

בבקשה ממך, אם אתה מתכנן להגיב, תגיב לעניין ואל תתחיל ב"אני לא רואה את זה קורה" או "אני לא חושב שמישהו יעשה X" או "רק ל-X אנשים יש גישה", כי בדיוק מהדברים האלה שהאדם הרגיל לא חושב עליהם, ההאקרים או מומחי האבטחה מרוויחים מיליונים אם לא יותר.

 

אני הבאתי רק כמה תרחישים הכי פשוטים, שלאחר מכן משרד הפנים אפילו לא יידע שהמידע שבידיו שוכפל והועתק.

[Asaf-R]

בדיוק במקום שבו לא אתה, ולא השרים הקודמים ולא השר הנוכחי ראו את הפירצה, שם הפורץ מסתתר, לחפש את המטבע מתחת לפנס לא יביא אותך רחוק כל כך.

 

אין בליל תקשורת בפייסבוק, כי אם היית טורח לקרוא, היית מבין שכבלי רשת מסוככים ולכן את המידע מהם יותר קשה לשאוב בזליגות, ממקלדת / עכבר / קורא כרטיסים / קורא ברקוד / קורא טביעות כף יד, הרבה יותר קל.

ולא צריך להסתובב ליד משרד הפנים, אפשר לשכור משרד לשבוע, להקים בפנים עמדה בגרושים עם אנטנה כיוונית מ-ebay, לאסוף מספיק חומר וללכת.

 

התפקיד של מומחי אבטחה בעולם, זה להעלות את הרעיונות האלה, לחשוב מחוץ לקופסה ולא לחפש את המטבע מתחת לפנס, יש בזה המון המון ידע, כישורים טכניים ויצירתיות, ולכן הם גם מרוויחים המון המון כסף (למומחי אבטחה אמיתיים ולא מומחים בעיני עצמם).

והזוי מבחינתי שמדברים על האבטחה של המאגר הביומטרי, אבל כל מומחה אבטחה שראיתי שדיבר בנושא היה חד משמעית נגד.

לא חסרים מומחי אבטחה בארץ, אבל כבוד השר (לשעבר תודה לאל) שטרית יודע טוב יותר מכולם, הוא - הוא המומחה אבטחה האמיתי.

 

בבקשה ממך, אם אתה מתכנן להגיב, תגיב לעניין ואל תתחיל ב"אני לא רואה את זה קורה" או "אני לא חושב שמישהו יעשה X" או "רק ל-X אנשים יש גישה", כי בדיוק מהדברים האלה שהאדם הרגיל לא חושב עליהם, ההאקרים או מומחי האבטחה מרוויחים מיליונים אם לא יותר.

 

אני הבאתי רק כמה תרחישים הכי פשוטים, שלאחר מכן משרד הפנים אפילו לא יידע שהמידע שבידיו שוכפל והועתק.

 

 

אוקיי, אז אני שואל אותך, במקום לנסות להשיג את המידע בצורה הזו (ספק אם יצליח ברמה האופרטיבית כי רוב משרדי הפנים שאני מכיר נמצאים בבניין מבודד או כחלק מקומפלקס ממשלתי) לא יותר פשוט להרים מפח זבל רנדומלי מכתב שכולל פרטים אישיים עם טביעות אצבע עליו.

[m3x7r3m3]

א. אפשרי, אבל אז אתה חייב לבצע מעקב לראות שהטביעת אצבע אכן של אותו אדם, במכתב אחד אתה יודע כמה אנשים נוגעים?

ואז אתה נכנס לבעיה הטכנית של איכות הסריקה, מכשיר ביתי לא ייתן לך את אותן תוצאות של מכשיר ממשלתי (מה לעשות? הכסף קונה רזולוציית סריקה).

ב. אני מכיר לשכת משרד הפנים שלא נמצאת בשום קומפלקס, יותר מזה, החנויות שמסביבה כמעט ריקות, מעליה יש כניסה לאולם אירועים ומחסנים של האולם אירועים, אתה יכול להיכנס לאחד המחסנים האלה ואף אחד לא יידע שאתה שם עד שתמות ותתחיל להרקב.

ג. ה"ייצור" של כפפה / אצבעון עם טביעת אצבע עליו הרבה יותר קל כשיש לך מידע דיגיטלי איכותי מאשר ט"א שיכולה להיות מרוחה, לא איכותית, או סתם על משטח לא נוח לסריקה, מה שייתן לך תוצאות הרבה פחות טובות, בהרבה יותר עבודה מלוכלכת, כולל לאבק עבור ט"א ואז לקוות שהטביעה מספיק טובה, ואז לסרוק אותה בסורק באיכות הרבה הרבה יותר נמוכה מהסורק שהממשלה קנתה מ-HP.

 

הכל אפשרי גם בעולם ה-Low-Tech, השאלה היחידה היא המאמץ והקושי, כאן רק חסר לבוא לגנב עם DOK ולהגיד לו "קח יש כאן מידע ביומטרי של כמה Random Strangers".

 

למה בכלל לאבטח משהו בעולם? הרי יש דרך לקחת DNA שלך (דיממת לאחרונה ושמת פלסטר או ניגבת עם תחבושת או נייר? זרקת מסרק?), ט"א (שתית קפה במשרד? נתת כרטיס אשראי בארוחת צהריים?), תווי פנים (אתה מסתובב ברחוב לפעמים?).

אל תנעל את הדלת לבית שלך וזהו

[Ziv]

והרבה מעבר לרמה ההיפוטטית של פרוץ או לא פרוץ, יש פה בעיה הרבה יותר חמורה.

 

משטרת ישראל, נו, איך נגיד את זה, לא ידועים בתור יחידת משטרה חוקרת עתירת ממון ועתירת חוקרים משובחים ולכן מחפשים תמיד את הדרך הקלה והזולה לביצוע חקירה.

 

מרגע שיהיה מאגר ביומטרי, מגיעים לזירה, אוספים איזה שרים-שרים וחמשה טביעות אצבע, מזמנים את כולם לחקירה ומתחילים לנער עד שמישהוא מודה שהוא שועל (כמאמר הבדיחה הידועה).

 

אז את מי מעניין שכולם בכלל אזרחים מן המניין שכל חטאם ששבוע שעבר פישתנו בשרותים של המועדון שהתרחש בהם אונס.

 

זה בדיוק החשש שלי.

לכו תדעו מתי ינסו להדביק לכם איזה תיק כי תביעת האצבע שלכם מופיעה שם (אולי גם זויפה).

[נהג מתחיל]

אין לי הרבה מה להוסיף חוץ מהערה שולית: תמיד חפשו את הכסף, כמו בפרויקט א3.

[yuvk]

בנוסף, וזה הכי חשוב, אחת ל4 שנים המדינה מחלקת את נתוני משרד הפנים - בהתאם לחוק הבחירות, כחצי שנה לפני הבחירות, כל המפלגות שרצות לכנסת מקבלות ממשרד הפנים את המאגר בשלמותו, כולל כתובות, מספרי תז, משפחה וכו׳ - משם הדליפה הגדולה.

לא נכון! אכן גם "ספר הבוחרים" וגם מרשם התושבים (ועוד כמה מאגרים שמפרים את פרטיותנו) דלפו לרשת, אבל הם שונים. "ספר הבוחרים" כולל רק את פרטי הזכאים להצביע, וכולל פרטים בסיסיים בלבד. מרשם התושבים כולל את כל התושבים וכל הפרטים אודותיהם.

 

אין לי הרבה מה להוסיף חוץ מהערה שולית: תמיד חפשו את הכסף, כמו בפרויקט א3.

 

אכן.

[רוכב בודד]

דליפות מידע היו אפילו לפני עידן המחשב לכל עובד.

אנשים בכל הרמות, מבכירות מאוד עד זוטרות סיפקו מידע, בין אם כטובה, כנקמה או תמורת תשלום.

לא הכל מתפרסם, יש הרבה ארגונים שמעדיפים לסגור את הפרשה בכתלי ביתם ולא לתת למידע לדלוף החוצה מחשש לערעור המוניטין שלהם. מוסדות פיננסיים לדוגמה.

יש לא מעט חוקרים פרטיים שישיגו הרבה מידע אישי, חברתי, בריאותי, פיננסי - תמורת תשלום, ולא גבוה במיוחד.

 

התיעוד הביומטרי יועיל הרבה לענייני בטחון, אבל יפגע קשות בחופש הפרט חיבור מידע ממנו למצלמות אבטחה לדוגמה - יוביל למצב שבו לא רק ניתן לעקוב אחרי אדם דרך הסמרטפון או המחשב אלא בכל מקום בו הוא נמצא, ולא כולנו נקבל זאת בשמחה.

האח הגדול מ- 1984, בהחלט. והסיכוון של שימוש בידי גורמים עויינים הוא עצום.

 

אבטחת ברמה גבוהה (וזה יקר מאוד) של מאגרי מידע, בניית וביקורת תרחישים בהחלט מקשה מאוד ומונעת היטב דליפת מידע, אבל לא תמנע דליפת מידע. היא תצריך ידע וטכנולוגיה רבים - אבל כל מי שמכיר את הנושא יכול לאתר נקודות חולשה, אפילו פשוטות, ואני לא מתכוון לתת פה שום רעיון. זו ה-בעיה, וכרגע בבחינת תועלת מול סיכון חופש הפרט (אפילו פרט שלילי) היא לרעת המאגר.

[m3x7r3m3]

גם איראן השקיעה המון המון באבטחה של הכורים הגרעיניים שלהם, ושם אין להם בעיה לתפוס "מרגל" או מרגל, ולערוף לו את הראש, או לחתוך לו יד או שתיים, זה לא מנע מכמה וכמה מתקפות סייבר להיכנס לקודש הקודשים של תוכנית הגרעין האיראנית.

[bagira]

מה יש לרוץ לאירן, קודש הקודשים בדימונה ובנס ציונה לא הודלף ע"י הגורם האנושי?

[m3x7r3m3]

אבל בדימונה ובנס ציונה לא כורתים למרגל ידיים, ולא חוטפים את אחותו, באיראן כן.

היינו אם שם למרות האבטחה וה"תמריצים" הנוספים, עדיין דלפו דברים ונכנסו וירוסים, על אחת כמה וכמה פה שאין שום "תמריצים".

[dny]

אני עדיין לא הבנתי איזה יתרונות אמורים להיות לדבר הזה. כל הססמאות על "בטחוני" לא אומרות לי כלום.

 

מה בעצם זה נותן לעומת מה שכבר יש?

 

דני

[SlowRide]

זה מסדר עבודה לקבלן שיעשה את זה.

[m3x7r3m3]

אני עדיין לא הבנתי איזה יתרונות אמורים להיות לדבר הזה. כל הססמאות על "בטחוני" לא אומרות לי כלום.

 

מה בעצם זה נותן לעומת מה שכבר יש?

 

דני

 

זה נותן למשפחות הפשע את האפשרות הפשוטה והקלה למצוא שעירים לעזאזל בכל פעולה לא חוקית שהם יעשו.