תגית: דליפה

עוד פירצה ועוד פירצה 🌆 אתרי התשלומים המוניציפליים דולפים 🐱‍💻 הסיפור המלא של סייברסייבר ע04פ02

כולם מדברים על ההאקר המלזי שמוכר מידע ממוחזר מ-City4U, אבל כבר לפני שלושה חודשים איסגרנו פירצה באתר המתחרה MAST שחשפה 660+ אלף קבצים עם מידע אישי ורגיש 🐱‍💻 נעם רותם, עידו קינן – סייברסייבר

המידע המוניציפלי שלנו מופקר – צילומי תעודות זהות, כתובות, בני משפחה, חשבונות ארנונה ומים, מסמכים רפואיים, בקשות הנחה ועוד. השבוע הודיע ההאקר @SANGKANCIL_MY (צבי זעיר במלזית) כי הוא מעמיד למכירה מאגר מידע רגיש מרשויות מוניציפליות ישראליות שנגנב מפורטל השירותים המוניציפלי City4U של אוטומציה החדשה שבבעלות וואן טכנולוגיות. אנחנו חשפנו במערכת הזאת פירצה לפני שנתיים, ואחת נוספת לפני מספר חודשים. בנוסף, לפני שלושה חודשים חשפנו פירצה חמורה בפורטל המתחרה, MAST של קבוצת מ.ג.ע.ר, שאותה אנחנו מפרסמים פה לראשונה.

הפירצה במאסט רשלנית, וקשה להאמין שאיש אבטחת מידע אישר להוציא מערכת כזאת לפרודקשן. המפתח והסוד לדלי ה-AWS (אחסון ענן באמזון) של מאסט הופיעו בטקסט גלוי באתר, וניתן היה לראותם בצפייה במקור (view source) של האתר באמצעות כלי הפריצה המשוכלל דפדפן. הפירצה חשפה יותר מ-660 אלף קבצים בגודל 209+ גיגה של מסמכים אישיים ורגישים של מאות אלפי אזרחים שמחוייבים להשתמש בהם, ובין השאר צילומי תעודות זהות כולל מועד ההנפקה, שמשמש כסיסמה באתרי ממשל, אישורי ביטוח לאומי ואישורים אחרים החושפים מידע פרטי, רגיש, ולעיתים רפואי.

<חסות>

אוהבות פרצות אבטחה, אבל רוצות להפוך את הרשת למקום בטוח יותר? רוצים להתפתח בעולם הסייבר, ללמוד על וקטורים חדשים ומגניבים, ועל הדרך גם להתפרנס? אם אתן מאזינות לפודקאסט ומתמצאות בסייבר, יכול להיות שיש לנו עבודה בשבילכן!

vpnMentor, המבוססת בישראל, מוציאה דוחות על פירצות אבטחה שמתפרסמים בכלכליסט, דה מרקר ובכלי תקשורת ברחבי העולם, ובהם ניו יורק טיימס, CNN ו-BBC. החברה מגייסת חוקרות וחוקרי סייבר מתחילים (ג’וניורים) לצוות המובחר שלה, שיזכו למנטורינג ממומחים בתחום, ייחשפו לעולם אבטחת המידע והתקשורת ויקבלו הזדמנות לצמוח ולהפוך לשחקניות מובילות בעולם הסייבר

שילחו קורות חיים אל [email protected] ותראו ישועות

<\חסות>
מפתח וסוד ה-AWS של MAST. מערכת סייברסייבר הסתירה את המידע הרגיש כי אנחנו יותר אחראיים ממ.ג.ע.ר

איסגרנו את הפירצה ל🎶מערך הסייבר🎵. הם העבירו את ההודעה למגער, ואחרי 11 ימים הודיעו לנו מטעם מגער שהפירצה נסגרה. מ.ג.ע.ר מסרו (התחביר המקולקל במקור):

נושאי אבטחת המידע והגנת הפרטיות הם נר לרגלי החברה, המקבלים דגש ומענה הן בהנהלת הארגון ובהנחייתה והן בקרב עובדי החברה, בכל הדרגים והתפקידים המקבלים תדרוכים ודגשים תקופתיים. כמו כן, החברה שוקדת על ביצוע בדיקות ובקרות שוטפות ושונות לאורך השנה לעמידות, עדכון ותחזוקת מערכותיה, ולריענון נהליה המקיפים בתחומי הגנת הפרטיות ואבטחת המידע.

לאחרונה עודכנו על-ידי מערך הסייבר הלאומי, כי דיווח אלמוני סבור שקיימת חולשה אפשרית ביחס למפתח הגישה לשרת הענן המצוי בבעלות חברת  AMAZON, המשמש לשמירה זמנית של קבצים (תמונות וקבצי מידע, לא נתונים) עבור רשויות מקומיות ותאגידי מים, עבורן אנו בחזקת מחזיקים של הקבצים הנ"ל ומופעלת על-ידה. יובהר כי החולשה האפשרית עוסקת באפשרות גישה למידע, זאת אך ורק באמצעות נקיטת סדרת פעולות טכנולוגיות ייחודיות, אשר אינן בגדר מאמץ בסיסי של משתמש סביר.

מיד עם קבלת הדיווח כאמור לעיל, ערכה החברה בדיקה מקיפה ממנה עולה כי אין כל אינדיקציה המעידה על חשיפה בפועל של פרטי מידע אישיים אודות נושאי המידע, וכי למיטב ידיעתה החולשה האפשרית לכאורה לא נוצלה בפועל ולא נשקף ממנה סיכון ממשי ו/או שימוש זדוני במידע. בכל מקרה, החברה פעלה באופן מידי לשם חסימת החולשה האפשרית, ומימשה דרכים נוספות לחיזוק ההיבטים הרלוונטיים בהתחשב במקרה המתואר לעיל, ותדאג לבצע התאמות נוספות, ככל שיידרשו.

החברה פעלה, פועלת ותוסיף לפעול למען לקוחותיה בכלל וביחס להיבטי הגנת הפרטיות ואבטחת המידע בפרט.

תגובת מג.ע.ר לאסגרה

התגובה הזאת היא המשכו של הביזיון באמצעים אחרים: הדיווח לא היה אנונימי; המפתח והסוד הוצגו במפורש בצילומסך ששלחנו למערך הסייבר; תמונות וקבצי מידע ליטרלי מכילים נתונים; סדרת הפעולות הטכנולוגיות הייחודיות הן כשתי הקלקות עכבר בדפדפן; ו-11 יום לסגירת פירצה כזאת הן 11 יום יותר מדי, גם אם מתעלמים מכך שהיא היתה צריכה להתגלות עוד לפני שהאתר הושק.

בנוסף, מאחר שהפירצה זמינה ופשוטה כל כך, לא בלתי סביר להניח שהאקרים שמפעילים כלים אוטומטיים לאיתור פירצות כאלו כבר שמו את ידיהם על המידע, דבר שאפשר לבדוק בקבצי הלוג של בסיס הנתונים. למרות זאת, מגער טוענים כי לא היתה חשיפה של המידע והחולשה לא נוצלה לרעה. לא מגער ולא מערך הסייבר הוציאו הודעה לציבור על פוטנציאל השימוש לרעה במידע שהיה נגיש לכל גולשת – גניבת מידע, גניבת כסף וגניבת זהות.

<חסות>

VPN זה חשוב, ו-ProtonVPN הוא שירות ה-VPN האהוב עלינו. אם תיכנסו לכאן, או לכתובת המקוצרת cybercyber.co.il/vpn, על כל רכישה שלכם הבלוג והפודקאסט יקבלו כמה שקלים – דרך נחמדה להגיד לנו תודה.

<\חסות>

פרוייקט המיחזור המלזי

בנוגע לדאמפ של @SANGKANCIL_MY, התאריכים בקבציו הביאו מומחי סייבר לשער שמדובר בפריצה ממוחזרת.

האוטומציה החדשה מסרו בתגובה לפרסומים של ההאקר המלזי: "חברת אוטומציה החדשה מתחקרת את הטענות לדלף מידע ממערכת City4U מאז פורסמו לראשונה בערב החג, ונמצאת בקשר שוטף עם מערך הסייבר הלאומי. בבדיקות שנערכו עד כה, לא זוהתה כל חדירה למערכת ולא מן הנמנע שמדובר במידע ישן ומוגבל בהיקפו. ככלל, יש לציין כי מערכת City4U מחזיקה נתונים של כמה מאות אלפי ישראלים לכל היותר, ולא בסדרי הגודל שהזכיר התוקף בהודעתו. אוטומציה החדשה משקיעה משאבים רבים באבטחת מידע והינה מוסמכת תקן אבטחת המידע ISO 27001. החברה עורכת באופן תדיר סקרי סיכונים ומבדקי חדירה, ומקיימת בקרות שוטפות של חדירות המערכות שלה לפריצות סייבר. אנו ממשיכים בחקירת האירוע ונעדכן ככל שיהיו ברשותנו ממצאים חדשים".

__________________________
תמונה ראשית: "גרמניה – פיצוץ מבוקר, 1996" (פרט) 🖼️ © יוליאן רוזפלדט ופיירו שטיינלה; מוצג בתערוכת "הווה מתמשך: חדש באמנות עכשווית" במוזיאון ישראל

תמונת פרק: Metropolis 🖼️ שרון פזנר (cc-by-nc)


המאגר הביומטרי, שפרטי יועץ אבטחת המידע שלו דלפו עכשיו בפריצה, לא ידלוף

ההאקר @SANGKANCIL_MY הודיע אתמול (5.9.2021) שהצליח לחדור למאגר מידע רגיש של רשויות מוניציפליות ישראליות. הוא פרסם בטלגרם דאמפ צנוע כהוכחה (PoC), ומציע את המאגר המלא בן 7 מיליון הרשומות למכירה. לא ברור אם ההאקר ידע זאת, אבל שניים מהמסמכים בדאמפ חושפים פרטים של יועץ סייברסייבר של המאגר הביומטרי.

בין המסמכים שבדאמפ יש צילומי תעודות זהות וספחים, מסמכי רכב (רשיונות נהיגה, רשיונות רכב, חוזה שכירת רכב, טופס החלפת בעלות), קבלה על תשלום ארנונה בהרצליה וקובץ אקסל עם פרטים של כ-3000 ישראלים.

הקבלה של יורם אורן שדלפה. מערכת סייברסייבר הסתירה פרטים מזהים

סייברסייברון אנונימי הבחין ודיווח לסייברסייבר כי קבלת הארנונה היא על שם יורם אורן ואשתו (שבחרנו לא לפרסם את שמה). אורן משמש מאז 2008 יועץ לענייני ביומטריה, כרטיסים חכמים ואבטחת מידע של משרד הפנים, שתחתיו פועלת רשות המאגר הביומטרי הלאומי. הקבלה הונפקה ב-2012, והיא מכילה את הכתובת והמיקוד של האורנים, סכום התשלום ומספר חשבון משלם, שזהה למספר הח"פ של אורן במסמכים (הפומביים) של הארכת והגדלת ההתקשרות שלו עם משרד הפנים – כלומר, מספר תעודת הזהות שלו.

בדקנו באקסל ומצאנו את האורנים גם שם, עם תאריכי יום הולדת, שמות האבות שלהם, עיר מגורים (אחרת מזו שמופיעה בקבלה) ושדה בשם TELL, שאולי מציין מספר טלפון.

פנינו אל אורן בסמס ודרך טופס באתרו, ונעדכן בתגובתו.

<חסות>

אם אתם מחפשים אחסון לפודקאסט, אנחנו ממליצים ללקוחות שלנו על פודבין. יש חבילה בסיסית בחינם שמאפשרת להתנסות בשירות, ואפשר לשדרג לחבילה בתשלום. אם תירשמו דרכנו כאן podbean.com/podcastico – אנחנו נקבל כמה שקלים, ואתם תקבלו מפודבין חודש במתנה.

<\חסות>

עיתונאי פלש לווידאוצ'ט של שרי ההגנה של אירופה אחרי שהשרה ההולנדית חשפה את הסיסמה בטוויטר

מאז שמגיפת הקורונה שינתה את חיינו, צילומסכים של קוביות עם פרצופים הפכו לחלק מהשפה החזותית שלנו, בין אם מדובר בזום עם חברים או בוובקס עם העמיתים לעבודה. שרת ההגנה ההולנדית, אנק ביילפלד (Ank Bijleveld), צייצה ביום שישי צילומסך של שיחת וידאו שבה השתתפה, במסגרת פגישת שרי ההגנה האירופים במועצת יחסי החוץ של האיחוד האירופי. זמן קצר לאחר מכן התחרטה ומחקה את התמונה, אבל זה כבר היה מאוחר מדי: איש זר פלש לווידאוצ'ט והביא לפיצוץ הפגישה.

אותו פולש אכזר הוא העיתונאי ההולנדי דניאל ורלאן (Daniël Verlaan) מ-RTL Nieuws. הוא קיבל טיפ אנונימי שהתמונה שהעלתה ביילפלד מכילה ב-URL (כתובת האתר) שם משתמש ו-5 מתוך 6 ספרות של הפינקוד הנדרש לכניסה לשיחה. ורלאן ניסה כמה מספרים עד שהגיע לפינקוד הנכון.

בשלב הזה צריך היה להיות אמצעי הגנה נוסף, שעליו התחייבו מנהלי השיחה בהודעה מוקדמת למשתתפים. אבל ורלאן לא נתקל בשום הגנה כזאת – הוא נכנס ישר לשיחה, נופף לשלום לשרי ההגנה המופתעים והצוחקים, הציג את עצמו וניהל שיחה קצרה עם הנציג העליון של האיחוד לענייני חוץ ומדיניות ביטחון, ג’וזפ בורל. זה צחק במבוכה ושאל את ורלאן אם הוא מודע לכך שזו עבירה פלילית, ואז ביקש ממנו לעזוב את השיחה במהירות, לפני שהמשטרה תגיע.

ביילפלד, כאמור, מחקה את הציוץ. דובר מטעם משרד ההגנה ההולנדי מסר ל-RTL כי “עובד צייץ בטעות תמונה עם חלק מהפינקוד. התמונה נמחקה לאחר מכן. טעות טפשית. זה מראה לך כמה צריך להיות זהירים כששולחים תמונה מפגישה”. אפילו ראש הממשלה מארק רוטה התייחס לדברים ואמר: “התוצאה היחידה של זה היא שביילפלד הראתה לשרים האחרים כמה צריך להיזהר”.

במועצה אמרו ששום מידע סודי לא נידון בישיבה (בפוליטיקו דיווחו שעלה לדיון מסמך מסווג על הסכנות שעומדות בפני האיחוד האירופי, שישמש בסיס לאסטרטגיית הגנה עתידית של האיחוד האירופי). עוד אמרו במועצה כי יגישו תלונה לרשויות.

הצילומסך שצייצה אנק ביילפלד. RTL Nieuws הסתירו את פרטי ההתקשרות 🖼️ ורלאן
הצילומסך שצייצה אנק ביילפלד. RTL Nieuws הסתירו את שם המשתמש והסיסמה 🖼️ ורלאן

ורלאן סיכם:

> כעיתונאי, אתה צריך להביא ראיות חותכות אחרת ישקרו לך (‘לא, יש אמצעי הגנה נוספים, לא יתנו לך גישה’)
> הם מעדיפים לפגוע בעיתונאי מאשר לתקן את החרא שלהם

דניאל ורלאן בטוויטר, 20.11.2020

התפרסם במקור בגירסה שונה בפינה "האחראי על האינטרנט" בגלצ


חולדאי דולף

ראש מדינת תל אביב, רון חולדאי, הכריז בתחילת החודש שהוא מתכוון להתמודד בבחירות הארציות, כי אף פעם אין מספיק גנרלים שרוצים לרוץ לראשות הממשלה מטעם השמאל המרכזי. בשבוע הראשון למועמדותו-מטעם-עצמו הוא הספיק לעשות שתי טעויות סייברסייבר: לדלוף מידע שהתכוון לשמור בפרטיות, ולסמן את המידע הזה לטובת מי שהתקשה למצוא אותו.

העיתונאית טל שניידר חשפה את הדליפה: בוק צילומי סטודיו של הראיס, ככל הנראה כהכנה לקמפיין הבחירות הארצי (הבחירות המוניציפליות הבאות רק ב-2023). התמונות הועלו לאלבום "פורטרט ראש העיר – לא לפרסום" בפליקר של עיריית תל אביב, שעדיין קיים ואף מתעדכן לטובת 48 עוקביו (לא פספסתי את המילה אלף, מדובר בארבעים ושמונה אנשים).

הטעות הראשונה היא, כמובן, העלאת האלבום לפליקר כשהוא לא מיועד לפרסום. פליקר מאפשרים לקבוע עבור כל תמונה ותמונה אם היא פרטית, לחברים/משפחה או ציבורית. יתכן שאיש הסושיאל חשב בטעות שהוא מעלה אותן כפרטיות (וזו לא תהיה הטעות המביכה הראשונה שלו [אלא אם הדליפה של אלבום הבחירות היתה מכוונת, כדי לייצר עוד יח"ץ לריצתו העתידית]).

"נאבקים בקורונה […] באים ונדבקים", תקלדה חמודה בפייסבוק של רון חולדאי

העלאת מידע פרטי/סודי באופן גלוי באינטרנט היא בעיה נפוצה מאוד, בגלל הסתמכות על אחסון ענן ומורכבות הגדרות הפרטיות ומתן ההרשאות. למשל: הקמת קבוצת וואטסאפ לעבודה ושלחת לינק הצטרפות בתפוצת נאט"ו משרדית? גולשים זרים עלולים להגיע אליה דרך חיפוש גוגל.

הטעות השנייה היא המילים "לא לפרסום" בשם האלבום, משתי סיבות:

1) הן מסמנות את התמונות כבעלות חשיבות וסודיות. גולשת שהיתה רואה את האלבום הזה בלי המילים "לא לפרסום" עשויה היתה לדלג עליהן משעמום ולפספס את הסיפור.

2) הן מנגישות את התמונות לחיפוש שממוקד במסמכים סודיים. לכו למנוע חיפוש, חפשו קבצי דוק/פדף עם המחרוזת "סודי ביותר" או "לא לפרסום" ותגלו עולם שלם של דליפות מידע.


מערכת הפעלה בת 19 יוצאת לחופשי ועושה צרות להורים

מי לא זוכר את Windows XP ותמונת הרקע המפורסמת שלה? אמנם עברו 19 שנה מאז שמערכת ההפעלה האהובה הושקה, אבל גם היום היא מצליחה לעשות כאב-ראש לא קטן ליצרנית שלה מיקרוסופט, ועכשיו נראה שכאב הראש הזה הולך לגדול.

בסוף השבוע שעבר הופיעו בטוויטר דיווחים ראשונים על דליפה של קוד המקור של מערכת ההפעלה Windows XP מבית מיקרוסופט. ע"פ הדיווחים בשיחה, קובץ במשקל 43 גיגה שותף לראשונה באתר 4chan, ומאז נמחק, אך עותקים שלו כבר זמינים בטורנטים ובפלטפורמות שיתוף קבצים שונות, והוא נגיש לכל דורש.

דסקטופ חלונות XP

חלונות XP יצאה לשוק ב-2001, ונחשבה למערכת הפעלה מוצלחת בסדרת חלונות. מיקרוסופט לקחה אותה לווטרינר שירדים אותה ב-2014, אז הפסיקה לספק לה עדכונים וטלאי אבטחה (למעט עדכון קריטי חריג אחד ב-2017, שנועד לחסום את הכופרה WannaCry).

הקובץ שדלף כולל את כל קוד המקור של חלונות XP, וכן מספר קבצים וסרטונים הכוללים תאוריות קונספירציה שונות הממוקדות בביל גייטס, מייסד מיקרוסופט. הוא שימש כמנכ"ל החברה עד כשנתיים לפני השקתה של XP, והיום הוא פילנתרופ בתחום הרפואה, שנמצא במוקד של מספר תאוריות קונספירציה שונות המופצות ברשת, ומאשימות אותו במעורבות זדונית בהקשר לנגיף הקורונה ולפריסת רשתות הסלולר בדור החמישי (5G).

קוד מקור – הדנ"א של התוכנה

קוד מקור הוא הקוד שנכתב ע"י המתכנתים שמפתחים את התוכנה, והוא כולל את כל ההתנהגויות של התוכנה וכן הערות שונות, בצורה שניתנת לקריאה והבנה ע"י מתכנתים אחרים. אחרי שקוד המקור מוכן, הוא עובר הידור (ובלעז קומפילציה) – תרגום משפת תכנות לשפת מחשב, מה שהופך אותו לבלתי-קריא לעין אנושית וקשה-עד-בלתי-אפשרי להנדסה לאחור כדי לחלץ ממנו את קוד המקור. זה הקוד שנמצא במחשבי המשתמשים – הם יכולים להשתמש בו, אבל על פי רוב לא יוכלו לפענח אותו.

התכונות של קוד המקור הופכות אותו לקניין הרוחני החשוב ביותר של חברות תוכנה. רוב חברות התוכנה שומרות על קוד המקור שלהן מכל משמר, ומסרבות לחלוק אותו עם גורמים מחוץ לחברה. מקרים של דליפת קוד מקור פרטי לאינטרנט או למתחרים עסקיים יכולים להוביל לנזק כלכלי עצום ואף לסגירה של חברות.

דליפת קוד המקור של חלונות XP ב-4Chan
דליפת קוד המקור של חלונות XP ב-4Chan

(עם זאת, אנו שמחים לראות בשנים האחרונות עליה רצינית בכמות החברות המסחריות המסתמכות על קוד פתוח או על חלקים של קוד פתוח במוצרים שלהן. קוד פתוח – open source – הוא מודל שבו קוד המקור של התוכנה גלוי לחלוטין, וזמין לשימוש, להפצה ולשינוי. היתרון של קוד פתוח הוא שכולם יכולים לראותו, למצוא בו טעויות ופירצות ולתקנן).

כשיש חור בתחתית הדלי, גם המים שלמעלה נוזלים

הבעיה עם חשיפת קוד המקור, מעבר לנזק הכלכלי שבהפצת גירסאות פיראטיות, היא סכנת האבטחה. קוד המקור מאפשר לכל מתכנת בעל ידע להבין כיצד התוכנה תתנהג במצבים שונים, היכן מצויים טעויות ובאגים, וחשוב מכל – היכן השאירו המתכנתים פרצה באופן לא מכוון. באמצעות קוד המקור ניתן גם לייצר עותק של התוכנה לאחר שעבר מניפולציה, והוסרו או הוספו אליו חלקי קוד שונים. האקרים מתים על קוד מקור.

אז איך קורה שדליפה של קוד מקור של מערכת הפעלה כ"כ ישנה עדיין יוצרת בעיות למיקרוסופט כיום? התשובה נעוצה בצורת הפיתוח של סידרת מערכות ההפעלה חלונות. מיקרוסופט מפתחת כל גירסת חלונות חדשה כהמשך ישיר למערכת שקדמה לה, מבצעת שינויים בקוד הקיים (לפעמים תוך כתיבת אגפים שלמים מחדש), ומוסיפה קטעי קוד חדשים כדי לייצר את מערכת ההפעלה החדשה. משמעות הדבר היא שבכל גירסת מערכת הפעלה יש חלקים שלמים שנובעים באופן ישיר ממערכת ההפעלה שקדמה לה.

סוודר חלונות XP שנמכר באתר Shelfies
חולצת חלונות XP שנמכרת באתר Shelfies

בין XP הוותיקה לחלונות 10 של ימינו מפרידים אמנם שלוש גירסאות והר של עדכונים, אבל סביר מאוד שעדיין קיימים חלקים גדולים בקוד של 10 שעברו שינויים קטנים בלבד, או בכלל לא, בהשוואה ל-XP. כך שבאמצעות קריאה ומחקר של קוד המקור של XP, האקרים יוכלו למצוא וקטורים לתקיפה של חלונות 10; ולמידה מעמיקה של הקוד תסייע לתוקפים לקבל תמונה טובה של סגנון הפיתוח של מיקרוסופט, דבר שיכול לסייע להם לחשוף חולשות נוספות במערכות העדכניות.

דבר זה יכריח את מיקרוסופט להשקיע משאבים גדולים עוד יותר באיתור וסגירת פרצות, שחלקן אף עלולות להיות קשות מאוד לטיפול, במיוחד אם הן בבסיס מערכת ההפעלה ואחראיות על פעולות קריטיות רבות.

XP – המערכת שמסרבת למות

סכנה נוספת הנובעת מדליפת קוד המקור היא הסיכון למחשבים שעדיין מריצים XP. נכון להיום, כ-1.3% מהמחשבים בעולם עדיין מריצים את XP. רוב המחשבים הלא מעודכנים הללו משמשים להרצת תוכנות ישנות או שליטה על מכונות ישנות, ועדכון שלהם יהיה כרוך בכתיבת תוכנות חדשות או תוכנות התאמה במקרה הטוב, או בהחלפת חומרה ואף מערכות שלמות במקרה הרע. ארגונים רבים לא מסוגלים להרשות לעצמם את העלויות הללו, ונשארים תקועים עם XP מכורח הנסיבות.

הבעיה היא שרוב המחשבים שעדיין רצים על XP משמשים לשליטה על מערכות חשובות ויקרות, בהן כספומטים, מערכות לחימה, מכשירים רפואיים ומכונות ייצור גדולות. כך שמלכתחילה מדובר במטרות מפתות לתוקפים, וקל וחומר אחרי דליפת קוד המקור.

מסך פרסומת שרץ על חלונות XP 🖼️ ג'וי איטו (CC-BY)
מסך פרסומת שרץ על חלונות XP 🖼️ ג'וי איטו (CC-BY)

מאחר שמיקרוסופט הפסיקה לעדכן את XP בחינם לכלל המשתמשים, כבר כמה שנים ששורה של ארגונים ומדינות משלמים סכומי כסף גבוהים לחברה עבור גישה לקוד המקור והמשך קבלת תמיכה מסוימת, כדי להימנע מהצורך בשדרוג המערכות. התמיכה הזו איפשרה להם להישאר צעד אחד לפני תוקפים פוטנציאלים, ולהצליח לשמר מידה סבירה של הגנה, שכעת לא תתקיים יותר. בנוסף, מיקרוסופט גם הפעילה תוכנית בשם Government Security Program (GSP), שבמסגרתה נתנה למדינות ולארגונים גדולים גישה לקוד המקור כדי שיוכלו לייצר גירסאות מוגנות יותר של מערכת ההפעלה (אולי משם הגיעה הדליפה?)

מה עכשיו?

כדי למנוע ניצול לרעה של קוד המקור לפיתוח מתקפות חדשות ויעילות על מכשירי XP, אחד מהשניים יצטרך לקרות: אחרוני משתמשי XP ייאלצו להיפרד ולשדרג, או שמיקרוסופט תצטרך לחזור ולעדכן את XP.

הערכה זהירה אומרת שמיקרוסופט לא יחזירו את המערכת לחיים, והפרצות שבה יישארו פתוחות. הארגונים שעדיין עושים שימוש במערכת יעמדו בפני בחירה קשה האם לשדרג את המערכות שלהם בעלויות גבוהות, לנסות לסתום לבד את הפרצות במערכת, או פשוט להשאיר את המערכת שלהם פרוצה לחלוטין.

מאחר שקוד המקור נגיש כעת לכולם, ייתכן שנראה צמיחה של חברות שימלאו את החלל שהשאירה מיקרוסופט ויציעו עדכונים והגנות בתשלום. אולי תקום קבוצה קטנה של ארגונים שיפתחו ויפיצו עדכונים כדי להשאיר את המערכת בחיים. ייתכן שגם קהילת הקוד הפתוח תתגייס לנושא ותפיץ עדכוני אבטחה בחינם לכל דורש, כדי לשמר את מערכת ההפעלה האהובה בחיים עוד כמה שנים. מיקרוסופט עלולה לפעול משפטית להגן על זכות הקניין שלה, אבל זה יהיה טפשי מצדה להילחם במי שמנסים לעזור למשתמשים הלגיטימיים שנשארו מאחור.

יוסף ורד הוא סמנכ"ל טכנולוגיה בחברת EMT Engineering LTD