מיקרוסופט יצרה פירצת אבטחה בווינדואוז • פרויקט בן יהודה מגיע לקינדל » האחראי על האינטרנט

מיקרוסופט דופקת בדלת

בחקירת פיגוע הטרור בסן ברנדינו, אפל סירבה לספק ל-FBI גישה לטלפון אייפון באמצעות דלת אחורית – כינוי לפירצה יזומה במערכת סייבראבטחה, שנועדה לאפשר לגורמים שיש בידיהם את המפתח לאותה דלת אחורית לחדור למערכת המאובטחת בניגוד לדעתו ולרצונו של בעליה, ומבלי להזדקק למפתח (סיסמה) שבידיו. מיקרוסופט מדגימה כעת את הסכנה שבדלת אחורית כזאת, אחרי שהטמיעה אחת כזו במערכת ההפעלה שלה, ו”מפתח הזהב” שלה דלף.

החל מגירסת חלונות 8.1, מערכת ההפעלה של מיקרוסופט מכילה מנגנון הגנה בשם Secure Boot, שמוטבע בקושחה ומונע הפעלת תוכנות עם איתחול מערכת ההפעלה. סקיור בוט מוודא שהתוכנות שהוגדרו להפעלה עם האיתחול חתומות בחתימה אלקטרונית ומאושרות על ידי מיקרוסופט או יצרן המחשב, אחרת הוא לא מפעיל אותן, מחשש שמדובר בנוזקות שהושתלו שם על ידי גורמים עויינים, או, חלילה, מערכות הפעלה מתחרות כמו לינוקס או אנדרואיד.

אבל מיקרוסופט עשתה כמה טעויות:
1) היא מנעה ממשתמשי התוכנה אפשרות לכבות את המנגנון הזה במכשירים שעובדים על ווינדואוז RT ו-ווינדואוז פואון (אפשר לכבותו בווינדואוז על מחשב אישי).
2) היא הכניסה במנגנון ההגנה הזה דלת אחורית, שמאפשרת למפתחי תוכנות לבחון את התוכנות שלהם בלי להעביר אותן אישור מלא, לצורך שימוש פנימי של מתכנתי מיקרוסופט של מפתחי תוכנה לדיבוג תוכנות.
3) היא נתנה ל”מפתחות” של הדלת האחורית לדלוף כששיווקה בטעות מכשירים עם הדלת האחורית פעילה בהם.

הרג’יסטר מדווח שלדברי ההאקרים Slipstream ו-MY123, שפרסמו את הפירצה השבוע, הם גילו אותה בחודש מרץ והודיעו למיקרוסופט. בתחילה החברה לא עשתה דבר, אולם חודש מאוחר יותר היא הכירה בפירצה ונתנה להם את הפרס על מציאתו. ביולי שחררה החברה עדכון אבטחה אחד, השבוע שחררה עדכון נוסף ועדכון שלישי צפוי להשתחרר בחודש הבא.

הדלת האחורית/פירצה מאפשרת להתקין על טאבלטים וסלולריים מבוססי ווינדואוז מערכות הפעלה חלופיות מצד אחד, ונוזקות מצד שני. אם קראקר משתמש בדלת האחורית להתקין נוזקה שמערימה על סקיור בוט, היא בהכרח תופעל על הטאבלט/הסלולרי, משום שהמשתמש לא יכול לכבות את סקיור בוט.

מיקרוסופט טוענת שהפירצה “לא נוגעת למערכות הפעלה של מחשבים שולחניים אישיים או עסקיים. היא דורשת גישה פיזית והרשאות מנהל למכשירי [סלולר מבוססי מעבדי] ARM ו[מערכת ההפעלה ווינדואוז] RT ולא מסכנת הגנות הצפנה”. החברה מנסה, כאמור, לטפל בפירצה באמצעות עדכוני אבטחה, אבל ההאקרים טוענים שהיא לא יכולה לסגור אותה באופן מוחלט בלי לשבש את פעילות המכשירים.

ההאקרים כתבו בפוסט שפרסמו על הפירצה:

דלת אחורית, שמיקרוסופט הכניסו בסקיור בוט משום שהם החליטו לא לתת למשתמש לכבות אותו במכשירים מסויימים, מאפשר לנטרל את סקיור בוט בכל מקום! אתם יכולים לראות את האירוניה. האירוניה היא גם שמיקרוסופט עצמה סיפרה לנו מספר ‘מפתחות זהב’ יפים (כמו שה-FBI היו אומרים ;) שנוכל להשתמש בהם למטרה זו :)

בנוגע ל-FBI: אתם קוראים את זה? אם כן, אז זו הדגמה מושלמת בעולם האמיתי לכך שהרעיון שלכם לשים דלתות אחוריות במערכות הצפנה עם ‘מפתח זהב מאובטח’ הוא גרוע מאוד! אנשים חכמים ממני אומרים לכם את זה כבר זמן רב, נראה שאתם סותמים את האוזניים. אתם ברצינות עדיים לא מבינים? מיקרוסופט הטמיעה מערכת ‘מפתח זהב מאובטח’. ומפתחות הזהב שוחררו בגלל הטיפשות של מיקרוסופט עצמה. עכשיו, מה יקרה אם תגידו לכולם ליצור מערכות ‘מפתח זהב מאובטח’? בתקווה שאתם יודעים לעשות 2+2…

בן יהודה לקוראלים

פרויקט בן-יהודה החל להמיר את תכניו לקוראלים (קוראים דיגיטליים).

הפרויקט, של אסף ברטוב ומתנדבים, מעלה לרשת טקסטים עבריים שזכויות היוצרים עליהם פגו לפי החוק הישראלי, בתחילת השנה שאחרי מלאת 70 שנה למות היוצר, ותכנים שהיוצרים או יורשיהם התירו להעלותם לפני כן. עד כה התפרסמו התכנים בפורמט טקסט פשוט באתר של הפרויקט.

בסוף יולי הודיע הפרוייקט בפייסבוק שלו: “זה כמה שנים שמבקשים מאיתנו לאפשר הורדת יצירות מן המאגר בתבנית ספר אלקטרוני. אנו שמחים להודיע שבקרוב נציע את כל תכני הפרויקט כספרים אלקטרוניים (ספר לכל יוצר, בשלב ראשון)”.

למחרת פרסם הפרוייקט בפייסבוק לינק לעמוד הספרים הדיגיטליים, שבו כבר 180 ספרים שהומרו לפורמטים EPUB, MOBI ו-PDF.

---

משודר בגלצ בפינה “האחראי על האינטרנט” בתוכנית “שישבת” בהגשת אילאיל שחר. הפינה משודרת מדי שבת ב-19:30

---

תגובות

• מה זה פה?

  חדר 404 של עידו קינן הוא מגזין תרבות דיגיטלית, טכנולוגיה וחיי רשת. הקליקו למידע נוסף »

  Room 404 by Ido Kenan is an Israeli based digital culture magazine. Click for more info in English »

• רוצה להפיק פודקאסט?

  

• המלצת סייברסייבר (מ)

  

• פרנסה

  

• לאחרונה בחדר 404

  • ילד, רובוט התמיכה הרגשית שלך עומד למות האחראי על האינטרנט בגלצ
  • שליחות קטלנית בלי ביטוח רפואי האחראי על האינטרנט בגלצ
  • ה-NFL מזייפים את אלישה קיז, קנדה אייר מאשימים את הצ’טבוט ומפסידים האחראי על האינטרנט בגלצ
  • שתיקטוק האחראי על האינטרנט בגלצ
  • איך מדרגים בעברית?
  • שקר הביטקוין, קיץ חם במקרר של שופרסל, הצופן היווני ועוד עדכוני סייברסייבר
  • זום מסתבכת עם העובדים והמשתמשים האחראי על האינטרנט בגלצ
  • אילן מאסק ממשיך לחטוף יוזרים בטוויטר
  • ברכות לסופרת בינה מ. על כניסתה לרשימת רבי המכר של קינדל
  • פסיקה עלולה לתת למו”לים שליטה מוחלטת על השאלת ספרים דיגיטליים בספריות
  • תומכי נטלי דדון מבצעים לינצ’טרנט שנמוך דירוג בבית-קפה הלא-נכון
  • זעם נגד תרגום המכונה האחראי על האינטרנט בגלצ
  • מתמונות חתולים לפוליצר – חדשות באזזפיד נסגרים האחראי על האינטרנט בגלצ
  • תיק-תק לחסום את טיקטוק האחראי על האינטרנט בגלצ
  • זו תרבות ביטול על כלום האחראי על האינטרנט בגלצ

•