איסוף, חשיפה וקישור בין לוחית רישוי לבעלים שלה

[m3x7r3m3]

תחשוב ככה, יצא לך להיות מעורב בתאונת פגע וברח?

אתה יודע מה אתה עובד עד שתקבל פרטים של בעל רכב לפי מספר רישוי?

אתה צריך ללכת למשטרה, למלא טפסים, לשבת עם חוקר שעובר על כל הפרטים, נפתח תיק, אתה מחכה איזה שבועיים ומקבל הביתה מכתב שנפתח תיק, אחרי תקופה לא ידועה אתה מקבל מכתב שהתיק נסגר מחוסר עניין לציבור ומצורפים הפרטים של בעל הרכב כדי שתוכל לתבוע נזק.

 

אם המידע הזה לא היה פרטי, מה היה מונע ממך להתקשר למוקד 100, להגיד שמספר רישוי ככה וככה עשה איתך תאונה ושיתנו לך פרטים בטלפון?

[סאפיר]

אני יודע שביקשת תגובות שלא כוללות "נראה לי" ו"נדמה לי", אבל כמו שאמר m3x7r3m3, מדורי הגיהנום שאתה נדרש לעבור בידיי המשטרה כדי לקבל פרטים של מישהו לפי מספר הרישוי של הרכב שלו גורמת לי לחשוב שקישור בין פרטים אישיים לבין מספר רישוי הוא משהו שניתן לעשות רק עם הוראת המשטרה או צו בית משפט או משהו בסגנון.

 

מה שאני יכול לחשוב עליו זה כיוון קצת אחר, לאסוף את הפרטים מבעלי הרכבים תוך התחייבות לשמירה על פרטיות. הפרטים חייבים לכלול מספר רישוי מן הסתם ומספר טלפון, בלי שם או שם משפחה. המידע שיהיה גלוי למשתמשים האחרים הוא רק מספר הרישוי והם יוכלו בעזרת אפליקציה או כלי דומה לשלוח הודעה לאותו בן אדם. אבל אתה צריך לדאוג לאבטחת המידע ולדאוג שהשמות של בעלי הרכבים לא יגיעו למשתמשים האחרים.

[raiden]

m3x7r3m3 ו spire

תודה על התגובות, אבל זה שזה "נשמע לא הגיוני" או "מצריך לעבור בגיהינום" לא בהכרח אומר שזה ככה מתטעמי חוק. יש מספיק דברים שעושים מה... במדינה שלנו.

 

בכל מקרה אקח את ההמלצות והדאגות שלכם בחשבון.

[סאפיר]

ברור שזה לא וודאי שזה בגלל החוק. הנקודה שלי, ואני מצטער אם הובנתי לא נכון, הייתה שזה משהו שצריך לשים אליו לב לתת ולבדוק אותו לעומק כי יכול להיות שעל זה יעמוד או ייפול הפרוייקט. היה לי בזמנו גם רעיון לא רע שהיה יכול לעזור להרבה אנשים בכבישים אבל כשנכנסתי לעובי הקורה על מנת להבין למה הוא לא היה קיים עד היום (זה היה רעיון פשוט יחסית) הבנתי שמה שרציתי לעשות הוא לא חוקי בישראל.

[m3x7r3m3]

m3x7r3m3 ו spire

תודה על התגובות, אבל זה שזה "נשמע לא הגיוני" או "מצריך לעבור בגיהינום" לא בהכרח אומר שזה ככה מתטעמי חוק. יש מספיק דברים שעושים מה... במדינה שלנו.

 

בכל מקרה אקח את ההמלצות והדאגות שלכם בחשבון.

 

מבלי להיכנס יותר מדי לעניינים טכניים, ומבלי ידע אינטימי על המערכות המדוברות (אבל זה כן חלק מהמקצוע שלי - מערכות מידע) הקישור הוא בין מספר רישוי שהוא "חד-חד ערכי" (משמע ייחודי) ובין מספר זהות של בעל הרכב (או מספר ח.פ של חברה) - שניהם גם הם "חד-חד ערכי".

מספר רישוי אינו מידע חסוי, אבל מספר זהות או ח.פ. חסויים גם חסויים (לפחות מבחינה חוקית).

 

כלומר ככה לפחות אני במקום מנתח המערכות הייתי בונה את הטבלה, מספר רישוי, מספר זהות או ח.פ ותאריכי תחילת וסיום בעלות (ושעבודים וכו' אבל זה לא רלוונטי לעניינינו).

[סאפיר]

לא מדוייק. מספר זהות ומספר ח.פ אינם חסויים בישראל (בניגוד למשל לארה"ב, שם ה-Social Security Number שלך כן חסוי).

[m3x7r3m3]

אלה אמנם לא מספרים סודיים, אבל הם חסויים, וניהולם במערכת מידע מצריך למיטב זכרוני אישור מיוחד של אבטחת מידע.

[tzvipper]

אתר כזה יהיה מכרה זהב לגורמים בלתי רצויים. ככה בקלות הם יוכלו להוריד את כל בסיס הנתונים עם וטבלה מסודרת של בעלים ורכבים. זה כמו תפריט במסעדה - נשאר רק לבחור את המנה האהובה.

 

תתפלאו, כמה אתרים יש עם אבטחה מרושלת. לא צריך להיות גאון כדי כדי להשיג מהם נתונים.

 

אתר מאובטח לבנות עולה הרבה מאוד כסף ואחזקה שותפת.

[wil]

אלה אמנם לא מספרים סודיים, אבל הם חסויים, וניהולם במערכת מידע מצריך למיטב זכרוני אישור מיוחד של אבטחת מידע.

 

סודי וחסוי אלו מילים נרדפות. מה הכוונה שלך ב"חסוי אבל לא סודי"?

 

צודק spire בכך שמצבינו בישראל עדיף בהרבה על הטמטום שמתקיים בארה"ב עם ה-SSN.

בארץ מספר הזהות הוא מזהה בלבד ומודפס על כל תעודה מזהה ורשום אצל כל נותן שירות שהבנאדם קשור איתו בהסכם.

 

אי אפשר ל"גנוב זהות" של מישהו בארץ כל כך בקלות, גם כשיודעים את מספר ת.ז ואת השם, הכתובת וכו'.

 

בארה"ב שורש הבעיה הוא שאין תעודה מזהה רשמית פדרלית ולכן בידיעת כמה פרטים מזהים (ובעיקר ה-SSN הידוע לשמצה) אפשר להתחיל לעשות סבב בין הרשויות השונות ולהפיק תעודות של מישהו אחר במרמה.

[m3x7r3m3]

סודי במובן הזה הוא ה-SSN, שאותו אתה לא אמור למסור, ידיעתו כביכול מצביעה על כך שאתה בעל הזהות המקושרת אליו.

חסוי במובן הזה אתה כן יכול למסור אותו (ולפעמים גם נדרש למסור אותו), ידיעת המספר אינה מצביעה על כך שאתה בעל הזהות המקושרת, אך יש הגבלות קשות על מסדי נתונים המכילים את מספרי הזהות, בעיקר מבחינת רמת אבטחה נדרשת וכו'.

 

כך לפחות היה לפני כ-4 שנים, אני לא חושב שזה השתנה מאז.

 

אני בספק שמישהו באמת יילך ויחפש האם חברה X שומרת מספרי זהות ואם כן האם היא עומדת בתנאי רמת אבטחה Y, אבל זה עדיין לא חוקי, עבור חברה שזה בסיס לקיום המוצר שלה, לא הייתי בונה על משהו לא חוקי.

מה גם שאם המאגר ייפרץ, אז כן יבואו ויחפשו את החברה ומנהליה.

עריכה אחרונה ב-26 לאוגוסט, 2014 על ידי m3x7r3m3