“אתרים פקקטה” טקס פרסי הסייברסייבר 2019 ‍ סייברסייבר ע01פ05

סיסמאות גלויות בקוד, היעדר הצפנה, בוטים טפשים, פארק סייבר וג’ימבורי ועוד ועוד מככבים בטקס פרסי הסייברסייבר 2019, בהגשת נעם רותם ורן בר-זיק

הנגשה לכבדי שמיעה: המצגת המלאה של הטקס

‍ סייברסייבר הוא הסכת (פודקאסט) על האקרים ומאפים מגישים: נעם רותם, עידו קינן מוזיקה: (Fauna & Killah B – CC-by), רוברט קלאות’ עיצוב סאונד: עומר סנש הופק על ידי Podcasti.co – מפיקים פודקאסטים מעולים, בשיתוף אורבן פלייס; תודה לסולוטו על האירוח חדשות סייברסייבר: @OhCyberMyCyber דברו איתנו: cybercyber@podcasti.co

ההדלפה של רוסיליקס לייק אינו השמצה איחוד בין מסנג’ר, וואטסאפ ואינסטגרם האחראי על האינטרנט, מוצ”ש 19:30 גלצ

ספריפדיה

פעילי וויקיפדיה העברית הוותיקים לא תמיד ידידותיים כלפי תורמים מזדמנים. קבוצה של תורמים כאלו ביצעו בשבוע וחצי האחרון מאות עריכות, במסגרת קמפיין #1Lib1Ref העולמי, שבו ספרנים מעשירים ערכים וויקיפדיים. בשנה שעברה הגיעה וויקיפדיה העברית למקום הרביעי בקמפיין עם 356 עריכות, וכרגע, קצת לפני אמצע הקמפיין, 43 ספרנים בספרייה הלאומית ובספריות אחרות בארץ ביצעו כבר 578 עריכות. אנחנו מדברים על כך עם אורלי סימון, מנהלת אגף שירותי קהל בספרייה הלאומית.

דברים שלא נדבר עליהם בפינה

על רקע המתיחות המתגברת בין סין לארה”ב, מנוע החיפוש בינג של מיקרוסופט, שעדיין קיים, נחסם על ידי הממשל הסיני ביום רביעי. זאת במסגרת פעילות מסיבית של רשות הסייברספייס הסינית נגד שירותי אינטרנט, שמתנהלת בשנה האחרונה ואשר כללה חסימת 9300 אפליקציות ו-700 אתרים השבוע. הסינים הורו על החסימה למרות שמיקרוסופט נכנעה לשלטון הרודני וסיפקה בסין גירסה מצונזרת של מנוע החיפוש (ושל הרשת החברתית העסקית לינקדאין), בעוד המתחרה גוגל החליטה ב-2010 להפסיק לצנזר תוצאות ויצאה מהמדינה.

175 גיגהבייט של מסמכים רוסיים פנימיים, ובהם חומרים על המלחמה הרוסית באוקראינה, והתנהלות עסקית של אוליגרכים הודלפה אתמול לרשת () על ידי קבוצת פעילי שקיפות בשם Distributed Denial of Secrets, משחק מילים על DDoS, סוג של מתקפת סייבר מבוזרת. בין השאר, ההדלפה כוללת חומרים שנגנבו מהמשרד לעניינים פנימיים של רוסיה, שוויקיליקס סירבו לפרסם ב-2016 בטענה שהם לא מפרסמים חומרים שאינם יכולים לוודא את אמיתותם או שהם לא חשובים, ואשר חיזקו את הטענות שלפיהן המטרות של וויקיליקס ורוסיה חופפות. לפי הניו יורק טיימס, הדלפת המידע הרוסי נתפסת כתגובה סמלית להדלפת המידע מהמפלגה הדמוקרטית ומהקמפיין של הילרי קלינטון, שהרוסים חשודים שביצעו בבחירות 2016 בארה”ב.

מנכ”ל פייסבוק, מארק זאקרברג, רוצה לאחד עד תחילת 2020 את התשתיות שמאחורי אפליקציות המסרים המידיים וואטסאפ, פייסבוק מסנג’ר וזו של אינסטגרם, שביחד מחזיקות ב-2.6 מיליארד משתמשים (חלקם חופפים), ולהוסיף לשתי האחרונות הצפנה מקצה-לקצה, כך חשף הניו יורק טיימס. המטרה היא לחזק את השליטה של פייסבוק במשתמשים, והתוכנית מעוררת חששות לגבי פרטיותם והגידול באחיזה המונופוליסטית של פייסבוק בשוק המסרים המידיים.

שיתוף פוסט משמיץ בפייסבוק עלול להיחשב כלשון הרע, אבל לייק/פיברוט לא, כך קובע היועמ”ש לממשלה. “מהותה ותכליתה של פעולת החיבוב כשלעצמה, מנקודת מבטו של המשתמש, אינה הפצת פרסום, אלא הבעת רגש כלפיו, ואילו הפצת התוכן, ככל שאכן מתרחשת, הינה תוצר נלווה ותלויה באלגוריתם שאינו בשליטתו או בידיעתו”, נקבע בעמדת היועמ”ש, שהוגשה לביהמ”ש המחוזי בת”א בנוגע לערעור על פסק דין מאוגוסט 2016 על בני זוג שנתבעו על השמצה פייסבוקית של מקומון.

גוגל דורקינג: מנוע חיפוש למציאת פירצות ‍ סייברסייבר ע01פ04

גוגל עושה עבודה מרשימה מאוד בחיטוט וקיטלוג המידע ברשת, עם טריליונים רבים של דפים מאונדקסים. רובנו משתמשים בשורת החיפוש של גוגל כדי להקיש מילות מפתח ולקבל תשובות. חלקנו, במיוחד אלו מאיתנו שהם האקר נאה וחובב פחמימות, משתמשים בגוגל גם כדי למצוא פירצות אבטחה. זה נקרא גוגל דורקינג, ובפרק 4 של סייברסייבר נלמד איך עושים את זה.

הנגשה לכבדי שמיעה: התסריט המלא של הפרק

הערותוכנית

• 0:00 פירצות האבטחה שרן בר-זיק ועידוק מצאו באתר מפלגת העבודה, והטיפול המביך בהן: 1, 2, 3, 4, 5
• 0:50 מפלגת העבודה מחלקת פרטי התחברות למאגר שלה לכל גולש
• 8:55 מחקתם קובץ/עמוד מהאתר? אולי נשמר לו עותק מטמון
• 13:39 המון דוגמאות לפירצות שאפשר למצוא באמצעות דורקינג
• 17:24 אם מחקתם דף או קובץ, בקשו מגוגל להסיר את עותק המטמון
• 16:01 צרו גוגל אלרטים לפירצות אבטחה באתר שלכם
• 18:12 זהירות עם Robots.txt, שלא תסייעו בטעות להאקרים
• 19:28 שוב המון דוגמאות לפירצות שאפשר למצוא באמצעות דורקינג
• 20:18 הכתבה של אמיתי זיו על פריצה לשרשראות אבטחה, שמכילה גם את הפרק הראשון של סייברסייבר

‍ סייברסייבר הוא הסכת (פודקאסט) על האקרים ומאפים מגישים: נעם רותם, עידו קינן מוזיקה: (Fauna & Killah B – CC-by), רוברט קלאות’ עיצוב סאונד: עומר סנש הופק על ידי Podcasti.co – מפיקים פודקאסטים מעולים, בשיתוף אורבן פלייס חדשות סייברסייבר: @OhCyberMyCyber

לשמירה על הפרטיות האזינו כאן

לקראת יום הגנת הפרטיות הבינלאומי, שמצויין ב-28/1, הפקנו ב-Podcasti.co פודקאסט חדש בשם “פרטיות העתיד” עבור הרשות להגנת הפרטיות במשרד המשפטים. בפרק הבכורה מדברים אנשי הרשות על מספר חידושים טכנולוגיים שנכנסו וייכנסו לחיינו (לבישי כושר ובריאות, האינטרנט של הדברים והעיר החכמה), בעיות הפרטיות שהם הביאו איתם ודרכי התמודדות.

הנגשה לכבדי שמיעה; RSS

פרטי נוסעי אל על וחברות נוספות נחשפו בפירצה ב”אמדאוס”, ששולטת ב-44% מהשוק העולמי ‍ סייברסייבר ע01פ03

רן בר-זיק בסך הכל רצה לטוס לפסטיבל מטאל, “המוזיקה היחידה ששווה משהו”. אבל האקר נאה וחובב פחמימות (אך מתעב מטאל) פרץ לו לחשבון, שינה לו את הפרטים והכי נורא, הזמין לו ארוחה טבעונית גלאט כושר. איך זה קרה? בגלל פירצת אבטחה במערכת ששולטת על כמעט חצי משוק הכירטוס העולמי. הסיפור המלא בפרק 3 של סייברסייבר (שהוקלט בבהילות, ואנחנו מתנצלים על הסאונד).

הנגשה לכבדי שמיעה: כתבה על הפירצה

זה התחיל מכך שנעםר הזמין לעצמו כרטיס טיסה באל על (לקייב, מכל המקומות בעולם). כשקיבל אישור באימייל ראה שהלינק שצורף אליו, שמאפשר לצפות בהזמנה ולעדכנה, מכיל את המזהה הייחודי (ID) של ההזמנה. הוא ניסה לשנות את המזהה בשורת הכתובת ולהגיע לכרטיסים של אנשים נוספים, ונחל הצלחה. הוא גילה גם ששילוב של שם הנוסע והמזהה מאפשר לו ללגון למערכת, לראות את כל פרטי הנוסע ולשנותם.

בר-זיק, שלא ידע על כל זה, הזמין כרטיס לפסטיבל המטאל ומיהר לספר לחבר’ה בוואטסאפ, כולל תמונה של הכרטיס. אחד הנמענים היה נעםר, שנכנס לעמוד ההזמנה של בר זיק עם שמו של ברזיק והמזהה הייחודי, והזמין לו ארוחת גלאט טבעונית. יאמי.

אבל גם אם בר-זיק לא היה חושף את כרטיסו, נעםר יכול היה לאתר את ההזמנה בעצמו. כשהריץ סקריפט על האתר גילה שאין הגנה ממתקפת כוח-גס (ברוט פורס), כך שהוא יכול להריץ את כל צירופי האותיות והמספרים האפשריים למזהה הייחודי, ולשאוב את מאגר המידע המלא של נסיעות נוסעי אל על. וב-2018 אין שום סיבה שאתר יהיה חשוף למתקפה פרימיטיבית כמו ברוט פורס.

מחברת אל על נמסר בתגובה:

אל על קיבלה דיווח מלקוח של החברה לפיו קיים ליקוי אבטחת מידע.
הלקוח מסר כי לא עשה ואינו מתכוון לעשות שימוש במידע  וכי מטרת הפניה הינה בחינת הליקוי במטרה לתקנו.
החברה התייחסה במלוא הרצינות לדיווח וביצעה בדיקות מידיות. במסגרת הבדיקות עלה כי  הליקוי איפשר באמצעות הזנת מספר ההזמנה של לקוח אחר, לצפות בפרטי הזמנתו. יש לציין כי בשום שלב לא התאפשרה חדירה אל בסיס הנתונים של החברה. נדגיש כי אין מדובר בגישה למערכת ההזמנות עצמה אלא בגישה לתצוגה מצומצמת הקשורה בהזמנה ספציפית בלבד.
מערכת ההזמנות בה אל על עושה שימוש הינה מערכת בינלאומית בעלת רמת אבטחה גבוהה, המשמשת חברות תעופה רבות בעולם. אל על פנתה באופן מיידי לספק מערכת ההזמנות שנרתם לתיקון הליקוי.

המערכת הפרוצה שבה משתמשת אל על הוקמה על ידי אמדאוס, ספקית שירותים לחברות תעופה שב-2017 הכניסה 5.81 מיליארד דולר והחזיקה ב-43.9% מהשוק. מחברת אמדאוס נמסר בתגובה:

אבטחת מידע נמצאת בעדיפות עליונה באמדאוס, ואנחנו מנטרים ומעדכנים את המערכות שלנו כל הזמן. הצוותים הטכניים שלנו פעלו מיידית ואנחנו יכולים לאשר כעת שהסוגייה נפתרה. כדי לחזק את האבטחה, הוספנו Recovery PTR כדי למנוע ממשתמשים זדוניים גישה למידע הפרטי של הנוסעים. אנחנו מתנצלים על כל אי נוחות שעלולה היתה להיגרם בגלל המצב הזה.

ועל כך אומר נעםר: “אני מודה בבושה שאני לא מבין עד הסוף מה התיקון שהם עשו, אבל היי – זו חברה ששווה מיליארדים, הם בטח יודעים על מה הם מדברים”.

‍ סייברסייבר הוא הסכת (פודקאסט) על האקרים ומאפים מגישים: נעם רותם, עידו קינן אורח: רן בר-זיק בורקס: Shlomif (PD) מטוס אל על: זיגי נגראה (cc-by-nc-sa) מוזיקה: (Fauna & Killah B – CC-by), רוברט קלאות’ עיצוב סאונד: עומר סנש הופק על ידי Podcasti.co – מפיקים פודקאסטים מעולים, בשיתוף אורבן פלייס חדשות סייברסייבר: @OhCyberMyCyber

טעות במספר שׁרת התרבות, פרק 6

ספאמר טלמרקטינג של סלקום התקשר לבנאדם הלא נכון. הוא והאחמשית שלו נקלעו לשיחה ארוכה על אישה שאינה קיימת וצ’יפים לחתולים. פרק שישי של שׁרת התרבות, פודקאסט תרבות רשת.

---

שׁרת התרבות הוא הסכת (פודקאסט) על תרבות רשת יוצר ומגיש: עידו קינן עיצוב סאונד: עומר סנש מוזיקת פתיח וסגיר: N1N10DOH! (cc-by) מוזיקה עגומה: Setuniman (cc-by-nc) תמונת חתול: Stock Catalog (cc-by) השראה ושם התוכנית: אלה נובק  הופק על ידי Podcasti.co – מפיקים פודקאסטים מעולים, בשיתוף אורבן פלייס

---

תכלה שנה ופירצותיה ‍ סייברסייבר מסכמים את 2018

רק פרק שני וסייברסייבר כבר מסכמים שנה: נעם רותם ועידו קינן מדברים על דליפת פרטי מאות מיליוני משתמשים, מתקפות DDoS, פייסבוק וקיימברידג’ אנליטיקה, חקיקה נגד הצפנה, מלחמות הראוטרים ועשרות פירצות ופירצות בישראל.

הנגשה לכבדי שמיעה: התסריט המלא של הפרק מתפרסם כאן.

הערותוכנית

1:01 מתקפת מניעת שירות מבוזרת (DDoS)

• מהי DDoS – מתקפת מניעת שירות מבוזרת
• גוגל עוזרים לעיתונאי הסייבר בראיין קרבז אחרי מתקפת DDoS עצומה
• מתקפה על גיטאהב
• שרתי ממקאשד פגיעים

6:01 ביג ביג דאטה

• פועלה המשוקץ של קיימברידג’ אנליטיקה
• פיטר תיל תומך בפרטיות
• פייסבוק נתנה ל-150 חברות גישה למידע פרטי של משתמשים

9:23 הצפנה

• אוסטרליה מחוקקת נגד הצפנה
• חוכמתו של ח”כ מיקי זוהר
• מה זה הצפנה? והצפנה מקצה לקצה?
• נעםר אוהב את סיגנל, כי הם מצפינים מקצה לקצה בקוד פתוח מלא ולא מחזיקים מידע על המשתמשים
• ליידר לוויסון סגר את שירות האימייל לאבהביט כדי לא לתת את מפתחות ה-SSL של השירות כולו ל-FBI, שרצה אותם כדי להשיג מידע על לקוח אחד בלבד – אדוארד סנואודן

15:19 מלחמות הראוטרים

• מתקפת VPN Filter על נתבים
• קבוצת ההאקרים BlackEnergy APT (אנרגיהשחורה)
• מתקפה על נתבי מיקרוטיק לכריית קריפטומטבעות
• בשיאה המתקפה הגיעה ל-100 אלף מכשירים נגועים
• מתקפות סלינגשאט ואיטרנלסיילנס

18:18 פריצות ופירצות

• פרטי 500 מיליון לקוחות זלגו מרשת מלונות מריוט
• פרטי 150 מיליון משתמשים זלגו מאפליקציית הכושר והתזונה MyFitnessPal
• קבוצת מייגקארט פרצה ל-800 מערכות באמצעות פריצה לשרשרת האספקה
• פרטי 380 אלף לקוחות זלגו מחברת התעופה בריטיש איירווייז
• פרטי 100 מיליון משתמשים זלגו מאתר השאלות והתשובות קוורה
• פרטי 340 מיליון משתמשים נשכחו על שרת פתוח על ידי חברת השיווק אגזקטיס
• פרטי 92 מיליון משתמשים זלגו מחברת הגניאולוגיה מיי-הריטג’
• 70 מיליון מסמכים זלגו מתאגיד משחק הכדור FIFA
• פרטי 500 מיליון משתמשים זלגו, מה שהביא לסגירתה של הרשת החברתית הכושלת
• פרטי 87 מיליון משתמשים לפחות זלגו מפייסבוק
• אחרי התרברבות שר המשפטים וההייטק של הודו ראווי שנקאר פראסד על מאגר בלתי פציח, פרטי 1.1 מיליארד אזרחי הודו זלגו מאדהאאר, המאגר הביומטרי ההודי, ונמכרים בזול

22:33 ובארץ

• האקר נאה וחובב פחמימות עשה חיים קשים להרבה מנמ”רים בישראל. הוא ואחרים מצאו פירצות בשירות בתי הסוהר, רשות התעופה האזרחית, איתוראן, שורה ארוכה של מערכות ממשלתיות, משרד הפנים, משרד החינוך, אפליקציית ילדי הגן רמיני, כביש 6, מגן דוד אדום, נמל אשדוד, כרטיסי סיבוס, דואר ישראל Be של שופרסל, זאפ, קופ”ח מאוחדת ועוד ועוד.

‍ סייברסייבר הוא הסכת (פודקאסט) על האקרים ומאפים מגישים: נעם רותם, עידו קינן מוזיקה: (Fauna & Killah B – CC-by), רוברט קלאות’ עיצוב סאונד: עומר סנש הופק על ידי Podcasti.co – מפיקים פודקאסטים מעולים, בשיתוף אורבן פלייס חדשות סייברסייבר: @OhCyberMyCyber

פיקוד העורף לא רוצה שתשתמשו באפליקציות צבע אדום

זוכרים את ההתרעות של אפליקציית פיקוד העורף בצוק איתן? ברור שלא, כי לא היתה אחת כזו, עד שפקע”ר השיק רשמית את האפליקציה שלו, כנראה ביולי השנה, אני מנחש לפי המועד שבו דיווחו על כך אתרים שונים ועלו סרטוני ההסבר הרשמיים (תאריך ההשקה הוא מידע שלא תוכלו לאתר אם תסמכו על הודעת ההשקה ודברי ההסבר באתר פיקוד העורף, שמי שיצר אותו לא חשב שהודעות של גוף בטחוני לציבור צריכות הקשר כמו תאריך הפרסום, כי זה יעזור לאויב אני מניח; הוא גם לא מאמין בחיפוש הודעות ארכיון, לכן החיפוש שם לא עובד).

עד אז, אזרחי ישראל נאלצו להשתמש באפליקציות פרטיות, שצה”ל ניסה ליירט. עכשיו הוא החליט בטפשותו להשמיד אותן כליל, כפי שדיווח עודד ירון ב”הארץ”:

צה”ל החליט לנתק את האפליקציות הפרטיות להתרעה על ירי תלול מסלול לעבר ישראל מהמערכת של פיקוד העורף, מחשש להפצת התרעות שגויות והתרעות שווא. מצה”ל נמסר כי ההחלטה התקבלה בעקבות תלונות של אזרחים על תקלות טכניות באפליקציות, שאינן באחריות ובשליטת פיקוד העורף, אשר יצרו בלבול בקרב המשתמשים.

הצבא מסר כי גורמים ויזמים פרטיים רבים עושים שימוש בהתרעות המפורסמת באתר פיקוד העורף ברשת, לשם הפצתן באפליקציות. ואולם, בעקבות תקלות שונות – המידע המתקבל מהן לעתים מגיע באיחור ולעתים מפיץ התרעות שגויות.

וזה לא שאני לא סומך על פיקוד העורף וצה”ל בעניינים האלה. כלומר, חוץ מהקטע הזה שהטוויטר הרשמי של צה”ל דיווח ב-2014 על “דליפה גרעינית אפשרית בעקבות פגיעת שתי רקטות במתקן הגרעיני בדימונה” (עבודה של האקרים שפרצו לו לחשבון). וחוץ מהקטע שב-2015 פיקוד העורף שלח לירושלמים “התרעת חירום: חמורה ביותר” לא חתומה דרך מערכת ההתרעות הסלולרית, שהתבררה כהודעה לא חמורה על תרגיל ברכבת הקלה. פיקוד העורף, המשטרה ועיריית ירושלים לא טרחו לספק עליו פרטים באתריהם (צדיק בסדום: אתר סיטי פס, מפעילת הרכבת הקלה). אחרי המון טלפונים להמון גורמים גיליתי שפקע”ר בכלל לא היה זה ששלח את ההודעה: “פנה אלינו רב פקד בבקשה להשתמש במערכת ולכתוב את הסמס הזה. אישרנו לו להשתמש במערכת. […] זו הודעה של המשטרה, לא אנחנו כתבנו אותה”, סיפרה לי עוזרת דוברת פיקוד העורף.

• מה זה פה?

  חדר 404 של עידו קינן הוא מגזין תרבות דיגיטלית, טכנולוגיה וחיי רשת. הקליקו למידע נוסף »

  Room 404 by Ido Kenan is an Israeli based digital culture magazine. Click for more info in English »

• רוצה להפיק פודקאסט?

  

• המלצת סייברסייבר (מ)

  

• פרנסה

  

• לאחרונה בחדר 404

  • ילד, רובוט התמיכה הרגשית שלך עומד למות האחראי על האינטרנט בגלצ
  • שליחות קטלנית בלי ביטוח רפואי האחראי על האינטרנט בגלצ
  • ה-NFL מזייפים את אלישה קיז, קנדה אייר מאשימים את הצ’טבוט ומפסידים האחראי על האינטרנט בגלצ
  • שתיקטוק האחראי על האינטרנט בגלצ
  • איך מדרגים בעברית?
  • שקר הביטקוין, קיץ חם במקרר של שופרסל, הצופן היווני ועוד עדכוני סייברסייבר
  • זום מסתבכת עם העובדים והמשתמשים האחראי על האינטרנט בגלצ
  • אילן מאסק ממשיך לחטוף יוזרים בטוויטר
  • ברכות לסופרת בינה מ. על כניסתה לרשימת רבי המכר של קינדל
  • פסיקה עלולה לתת למו”לים שליטה מוחלטת על השאלת ספרים דיגיטליים בספריות
  • תומכי נטלי דדון מבצעים לינצ’טרנט שנמוך דירוג בבית-קפה הלא-נכון
  • זעם נגד תרגום המכונה האחראי על האינטרנט בגלצ
  • מתמונות חתולים לפוליצר – חדשות באזזפיד נסגרים האחראי על האינטרנט בגלצ
  • תיק-תק לחסום את טיקטוק האחראי על האינטרנט בגלצ
  • זו תרבות ביטול על כלום האחראי על האינטרנט בגלצ

•