1234 ואני במשיבון הסלולרי שלכם (אבטחת מידע ושימושיות)

הבלוגר שחר גולן הכריז על מסע צלב של פרטיות בנוגע לסיסמאות ברירת מחדל במערכות כמו משיבונים סלולריים, מצלמות רשת ונתבים. בבלוגו הוא כתב:

אנשים חושבים שהאקינג זה משהו שעושים מרגלים רוסים או ילדים גאונים. אף אחד לא חושב שרוב הזמן, הדבר היחיד שנחוץ לשם כך הוא סיסמת ברירת מחדל. אני באמת לא מבין את זה – כמה קשה להחליף את הסיסמה הראשונית שמגיעה עם המוצר? למה לחיות בעולם של חוסר ודאות, כשהשלווה נמצאת מעבר לפינה?

הוא גם הכין סרטון הדגמה בנושא, שמדגים כמה קלה ונפוצה הפריצה למשיבון הסלולרי:

אני מסכים עם גולן שיש בעיה, אבל לא מסכים עם הפתרון שלו. חינוך לשמירה על פרטיות ואבטחת מידע הוא חשוב, אבל כשהרבה אנשים נכשלים, יותר יעיל להסיר את המכשול. המצב כיום הוא שברגע שאתם רוכשים קו סלולרי, יש עליו משיבון סלולרי, שמקבל הודעות מהמתקשרים אליכם ופתוח לכל מי שיודע את המספר שלכם ומכיר את סיסמת ברירת המחדל, גם אם אתם בכלל לא יודעים שיש לכם משיבון סלולרי. רוצה לומר, מחדל אבטחת המידע הוא של ספקיות הסלולר, לא של הלקוחות.

שני פתרונות פשוטים להפליא: (1) הפעלת המשיבון הסלולרי רק אחרי שינוי ראשון של סיסמת ברירת המחדל. לא שיניתם? המשיבון לא עובד. (2) במקום סיסמת ברירת מחדל, הנפקת סיסמה אקראית שתישלח ללקוח עם החשבונית החודשית.

31 בינואר, 2010 | בנושאים האקרים, קראקרים וקאקערים, שימושיות 

תגובות

11 תגובות לפוסט “1234 ואני במשיבון הסלולרי שלכם (אבטחת מידע ושימושיות)”

  1. רחלי on 31 בינואר, 2010 11:18

    ספציפית לעניין המשיבונים – אני פשוט לא בטוחה לכמה אנשים אכפת.

  2. שמוליק on 31 בינואר, 2010 11:36

    וכמובן, שיאחסנו את הסיסמא אצלם בצורה מוצפנת חד כוונית!

    קבל את זה:
    http://www.shmulik.co.il/blog/654/

  3. ניר on 31 בינואר, 2010 13:44

    בפתרונות שלך יש שני פגמים:
    1. החברה הסלולרית צריכה ליזום אותם.
    2. זה דורש מאמץ מצידה.

    במציאות של היום, לפחות באחת מהחברות הסלולריות, זה יקח כשלוש שנים ליישם את ההחלטה.

  4. רן בר-זיק on 31 בינואר, 2010 14:17

    אני מודה ומתוודה שבנוגע למשיבון בבית (בסלולרי אין לי משיבון) פשוט לא אכפת לי. ממילא רק אשתי יודעת לתפעל אותו…

    בסביבה מרובת סיסמאות, זה מאד קשה לזכור את הסיסמאות לכל השירותים שאתה משתמש בהם או מתבקש להשתמש בהן. השיטה שאני משתמש בה היא להשתמש בשלוש שכבות של אבטחה – סיסמה אחת פשוטה מאד לשירותים שמכריחים אותי להירשם אליהם או כאלו שמבחינתי המידע שיש בהם יכול להיות גלוי. סיסמה יותר מורכבת הכוללת אותיות ומספרים עבור שירותים שיהיה לי חבל לאבד אך לא מכילים מידע רגיש. (לדוגמא חשבון הסקייפ שלי שאני בקושי משתמש בו). עבור שירותים חשובים כמו סיסמת הכניסה לבלוג או לג’ימייל, אני משתמש בסיסמאות הרבה יותר מאובטחות ונעזר ב-Keypass כדי לשמור אותן.
    כדאי לזכור שסיסמאות מורכבות זה אחלה, אבל הן חסרות תועלת אם במחשב שלך יש סוס טרויאני זה או אחר או keylogger.

  5. צפריר כהן on 31 בינואר, 2010 18:57

    שמוליק, לא ברור על מה כל הקצף במקרה שלך. אתה רוצה שעבור פעולות תחזוקה פשוטות יצטרכו לטרטר אותך לדרג התמיכה השלישי ולקבל ממך אישור בכתב?

    לאנשי תמיכה צריכה להיות אפשרות לעזור לך. להשוואה, גם לבנקאים מבנקאים שונים יש הרשאה לראות את פרטי החשבון שלך.

  6. צפריר כהן on 31 בינואר, 2010 18:58

    עידו, יש לי הרגשה שפתרון מס’ 1 שלך יעלה עת כמות הפניות לתמיכה הטכנית.

  7. עידו קינן on 31 בינואר, 2010 21:19

    צפריר, אין שום סיבה שלעובדים זוטרים של חברות הסלולר תהיה גישה קלה לסמסים, הודעות קוליות ושאר תקשורות פרטיות שלך, וזה כי ברגע שיש גישה, מישהו ינצל אותה לרעה, או סתם בטפשות כמו במקרה המתואר.

  8. תומר on 31 בינואר, 2010 22:41

    הפתרון הוא הרבה יותר פשוט, ולמעשה גם מיושם לפחות בחברת סלולר אחת –

    כברירת מחדל ניתן להיכנס למשיבון רק ממכשיר הטלפון של הבעלים (המזוהה באמצעות מספר הטלפון), וכדי לפתוח אותו להתחברות מרוחקת יש להיכנס לתיבה מהמכשיר ולהגדיר ססמה שתאפשר גישה מרחוק.

  9. נעלולה on 1 בפברואר, 2010 01:41

    למה לא להתחיל ממצב שבו אין משיבון כלל, ותמורת התענוג להפעילו ישלם הבנאדם 2 ש”ח, ואז גם הפקיד הנחמד בחברת הסלולר ישנה את ססמתו במקום? אה, כי הרבה יותר כדאי לצייד את כו-לם במשיבון שיאלץ אותם למשוך הודעות ולשלם הרבה יותר מדמי הפעלה חד פעמיים של 2 ש”ח.

  10. צפריר כהן on 1 בפברואר, 2010 13:30

    עידו, מתשובתך אני מבין שהמצב שבו כל בנקאי זוטר יכול לראות את חשבון הבנק שלך אכן מאוד מפריע לך.

    תזכורת להתמודדות הבנקאים עם הבעיה: כל אחד אכן יכול לראות, אולם הגישות לרשומות השונות נרשמות. עובד סקרן מדי מסתכן בזמון לשיחה ידידותית אצל המנהל.

    לגבי פרטי המקרה: קשה לי לחרוץ דעה, מכיוון שמדובר על בעיה בתוכנת בדואר הקולי. אני מניח שבמקרים רגילים אין צורך בהתערבות ידנית כזו לשם העברת הודעה בין תיבות.

    כמוכן שמוליק מוסיף בפרנואידיות “אהה! לא רק שהם מאזינים להודעות במשיבון שלי בלי ידיעתי, הם גם מתמלילים אותן ושומרים את התמליל.” במקרה המתואר אין תמלול אוטומטי של שיחות ואין שמירה של תמלול השיחות (הנציגה תמללה את ההודעה עבור זמן הטיפול במקרה).

    לא מן הנמנע שסלקום מתמללים שיחות אוטומטית, שומרים מידע אוטומטית על המיקום שלנו, או סתם מקריבים עיזים למילטון פרידמן. אבל אי־אפשר להסיק את אף־אחד מהנ”ל מתאור המקרה שכאן.

  11. שמוליק on 1 בפברואר, 2010 16:13

    אם זה לא מן הנמנע, אז בבקשה להפוך את זה לכן מן הנמנע.

    הבנק לא דומה למה שתיארתי בבלוג שלי, אבל אולי כדאי לנהל את זה בבלוג הרלבנטי ולא כהסתעפות לפוסט הזה כאן.

פרסום תגובה

עליך להתחבר כדי להגיב.