יומן אבטחה

שתי רשימות בלוגים שקראתי לאחרונה שוות התייחסות. הראשונה שייכת ל-Jeremiah Grossman, בחור די חביב עם בלוג די טוב בנושא אבטחת יישומים. ברשימה שפרסם שכותרתה "האם אנו סומכים על אבטחה בצד הלקוח?" הוא טוען כי הכלל הידוע של המנעות משימוש במנגנוני אבטחה בצד הלקוח נשבר זה מכבר ולמעשה צריך להבין כי אנחנו כל הזמן מיישמים אבטחה בצד הלקוח. כדוגמא הוא מביא את המפגעים שהתגלו בשנתיים האחרונות בדפדפנים, מתקפות XSS ו-CSRF וכדומה. אלא שגרוסמן טועה. העובדה שישנם מפגעים בצד הלקוח אינה קשורה לתכנון האבטחה ואינה אומרת שאנו חייבים להסתמך על אבטחה בצד הלקוח. הוא כן מעלה (מבלי משים) נקודה נכונה ובה אני רוצה להתמקד. כאשר אנחנו מיישמים אבטחה במערכות Web, כמעט תמיד אנו מגדירים את מחשב המשתמש מחוץ לגבולות מערכת האבטחה שלנו. זה שיקול נכון ברוב המקרים, אך חשוב לזכור כי כשאנחנו בוחרים שלא להתמודד עם סיכונים מסוימים זה לא מעלים אותם. כמעט תמיד, כשנשב לבצע תכנון אבטחה למערכת, יהיה זה נכון להגדיר מספר הנחות יסוד. על בסיס מה אנחנו מחליטים לתכנן את האבטחה. הנחות אלה יתייחסו להיבטים פונקציונאליים (שימושיות המערכת), טכנולוגיים וכדומה. אחת ההנחות צריכה להתייחס לגבולות המערכת, את מה אנו מאבטחים ואת מה לא. לגבי מה שאנו לא מאבטחים, צריך להעריך את הסיכון הצפוי. המשמעות המעשית היא שניתוח הסיכונים צריך ברוב המקרים להיות נרחב יותר מתכנון האבטחה בפועל.

הרשימה השנייה שייכת ל-Applisec, בלוג אבטחת מידע במיקרוסופט ועניינה ההבדל בין אבטחת מנגנון ההזדהות למזהה. הדוגמא שמביא Applisec מעניינת ונכונה. בנתב"ג קיים מנגנון ביומטרי במקום ביקורת גבולות. המנגנון עצמו מאובטח דיו (נניח, אני לא רוצה להיכנס לרמת האבטחה של מנגנונים ביומטריים), אך הפלט המסופק לאזרח הוא צטלה (שזה פתק בשפת היישוב). פתק שכל אחד יכול להדפיס בבית. הפתק אינו מכיל (כך נראה) נתון זיהוי ייחודי שיאפשר לאמת כי הופק כרגע עבור משתמש מסוים. זו דוגמא למצב בו מנגנון ההזדהות עצמו טוב (ביומטרי), אך המזהה (כלומר הרכיב שמזהה אותנו בתוך המערכת לאחר ההזדהות) אינו מאובטח ולמעשה ניתן לעקוף את תהליך ההזדהות כולו על ידי זיוף המזהה. כשמתכננים אבטחה צריך לפרוט כל תהליך לכל מרכיביו ולממש את האבטחה לאורך ולרוחב המערכת בצורה אורתוגונלית (קדימה, להפעיל את בבילון).

הערה קטנה לסיום. במקרה הגעתי לבלוגים במיקרוסופט (דרך גיא מזרחי) ושוטטתי שם קצת. מישהו צריך להגיד שם לאנשים שאם הם לא יודעים מספיק טוב אנגלית, שיכתבו בעברית. לעתים זה קצת מביך.