יומן אבטחה

חיים רביה מפרסם עיקרים מרשיון מערכת ההפעלה החדשה של מיקרוסופט.

שני דברים קצת הטרידו אותי במה שהוא כותב:

דבר אחד:

כמו XP וגרסאות אופיס החדשות, גם ויסטה טעונה אקטיבציה. התהליך מיועד לוודא שעותק התוכנה שבידי המשתמש הוא חוקי. בעת ההפעלה, נשלח מידע לשרתי MS. המידע הזה כולל משום מה גם את כתובת ה-IP של המשתמש! וזאת לדעת: כתובת ה-IP היא השלב הקריטי באיתורו הפיסי של המשתמש. בהינתן הכתובת הזו, יכולה החברה לעת הצורך לעתור בבקשה לחייב את ספקי השירות שהכתובת משתייכת למרחב הכתובות שלהם, להודיע מי עמד מאחורי הכתובת בתאריך ובשעה שבה בוצעה האקטיבציה....

מה קורה אם אני מאחורי NAT (המשמעות של המונח היא שהנתב שלי עובד עם כתובת אמיתית ומקצה לי כתובת פנימית, חסרת משמעות מבחינת היקום. אני לדוגמא מאחורי NAT כי הגדרתי את הנתב האלחוטי שייקח כתובת IP ויקצה לי כתובת דינמית). נכון לכתיבת שורות אלה כתובת ה-IP שלי היא 192.168.1.33, כתובת שיכולה להשתייך לכל ארגון בעולם. אני מסכים עם חיים רביה לגבי הפולשנות המטרידה, אבל מבחינה אבטחתית גרידא זה נראה לי חסר תועלת, בייחוד בטווח הזמן הארוך (כל מי שיש לו נתב אלחוטי יכול להגדיר לעצמו NAT).

דבר שני:

אם הואלידציה נכשלה, הרישיון קובע שייתכן כי פיצ'רים מסוימים במערכת לא יוסיפו לפעול ו/או שהמשתמש לא יוכל להשיג שדרוגים ועדכונים מ-MS (איזה עדכונים לא יקבל המשתמש? עדכוני אבטחה? זה יסכן את כל משתמשי המחשב האחרים המחוברים לרשת...);

בוא נניח לרגע שמשתמשים לא יוכלו לקבל עדכוני אבטחה. המשמעות היא שיהיו יותר מערכות פגיעות של חלונות בעולם והדימוי המאובטח שמיקרוסופט הצליחה לבנות לעצמה בשנים של השקעה באבטחת המשתמשים יירד לטימיון. עכשיו שאלה מעניינת היא אילו כלים מיקרוסופט תיתן בידי ארגונים על מנת לזהות מערכת כזו. נניח ובארגון שלי מחשב אחד לא עבר אקטיבציה, ואלידציה וטראומטיזציה. בוא נניח לרגע שמסיבות לגיטימיות (מחשב עם חיבור רשת, בלי חיבור לאינטרנט. עונה להגדרה של בערך 93% ממחשבי הבנקים בישראל שעל פי הוראה 357 של המפקח על הבנקים נדרשים להפריד את מחשבי הבנק מהאינטרנט) אותו מחשב הופך להיות פרצת אבטחה מהלכת (טוב, זה רק אם הוא מחשב נייד). האם מיקרוסופט מתכננת גם לספק כלים לעקוף את מנגנוני ה"אציה" השונים שלה? אם כן, מה הסיכוי שהם יהפכו להיות הדלתות האחוריות לעקיפת מנגנון האבטחה? אם לא, מה הסיכוי שהיא תספק כזה מנגנון בשלב מסוים?

אני עובד על להבין מה זה אובונטו כדי שבהגיע יום הדין אוכל לנטוש את הספינה לטובת סירת הדייג הקטנה שלי.