על בנקים ישראליים, אבטחה וקידמה

כאן בישראל, כשזה מגיע למצב שרותי הבנקאות שלנו, אנחנו נמצאים במקום לא רע בהשוואה לשאר העולם (מבחינה מחשובית. מבחינה פקידותית – כבר יצא לי לשמוע רק לפני מספר שבועות בבנק כלשהו שהלכתי לישיבה שם – צעקות של פקידה אחת שצועקת ללקוחה אחת "תקווה, את חורגת ב-2000 שקל ובדיוק הגיע צ'ק שצריך להוריד לך 1000 שקל לבית ספר, אני מחזירה לך אותו!" – על פרטיות היא כנראה לא שמעה). פה בישראל אנחנו לא בקידמת הבמה. בחו"ל אתה יכול כבר ממזמן לשלם בסופר ובמקומות אחרים עם הטלפון והשעון החכם שלך, בישראל זה קיים בקושי. הפקדת צ'קים ע"י צילומם נכנסה לישראל רק לאחרונה בשעה שבחו"ל זה קיים כבר שנתיים ורק עכשיו בנקים שונים מתחילים להציע העברות כספים בין אנשים (לדוגמא, BitPay של בנק הפועלים ובנקים אחרים כבר עובדים על פתרונות מתחרים), הוצאת כספים מכספומט ללא צורך בכרטיס המגנטי ועוד ועוד.

כל מי שעובד בבנק או בחברה שעובדת עבור בנק יוכל לאמר לכם שבנקים הם דבר סופר-שמרן. כשבסטארטאפים מדברים ומשתמשים כיום ב-ServerLess Computing, בבנקים מסוימים תצטרכו להסביר (אם תדברו על כך) על מה אתם מדברים. יחד עם זאת, אציין כי יש בנק או שתיים שמתחילים "לשחק" עם טכנולוגיות כמו BlockChain ואחרים – שזה דבר מבורך.

בעבר היו לא מעט באבטחת המידע בענף הבנקאי אנשים שדי זלזלו בכל ענייני פריצה לבנק על מנת לגנוב כספים או לבצע פעולות שונות. אחרי הכל, לכל בנק יש מחלקת סייבר (או שהם משלמים לחברה חיצונית שתעשה זאת) ואם מישהו ינסה לעשות את הדברים מביתו, לבנק יהיו דרכים לזהות אותו (כך היתה המחשבה של לא מעט אנשים ששוחחתי איתם בעבר בנושא). כיום לשמחתי המצב שונה ובנקים מודעים לכך שבמדינות שונות (ויאטנם, הודו ומדינות אחרות) כבר נעשו פריצות ונגנבו מיליוני דולרים.

אבל עדיין – מחלקת סייבר בסופו של דבר היא מחלקה שעוזרת לך לשמור על הקיים. מחלקת הסייבר יכולה להמליץ לבנק או לחברת אשראי להתקין פתרון X כדי לבצע מיטיגציה לבעיה Y, וכך פתרון X שומר על המצב הקיים. הוא לא מקדם את הבנק מבחינה טכנולוגית לחשוב על מתודולוגיות אחרות וכלים אחרים על מנת לשפר יעילות. זה לא התפקיד של המחלקה הזו. אם מחר קובי ינסה לפרוץ לבנק ויצליח לעשות פעולות מסויימות, מחלקת הסייבר (יחד עם מחלקת אבטחת מידע) אחראית על למצוא את קובי ובשיתוף המשטרה – לעצור אותו על כך ולתקן נקודתית את הפירצה. זה התפקיד שלהם.

ועדיין – הבעיה המרכזית של בנקים מסויימים במדינה היא ה-Over שמרנות שיכולה במקרים רבים לחשוף את הבנק לכשלי אבטחה שנעוצים במדיניות עצמה. אני לא אציין שמות, אבל אתן דוגמא פשוטה: בנק גדול מאוד בישראל באתר שלו, לאחר כניסה למערכת, המשתמש מועבר דרך מערכת אחרת שרשמית כבר מתה שנתיים! או דוגמא נוספת שקשורה לכל הבנקים וחברות האשראי: כולם משתמשים ב-SMS כדי לבצע אותנטיקציה, אבל כמה מהבנקים מודעים לכך שמערכת Signal System Number 7 (או בקיצור: SS7) קיימת בה פירצה כבר מעל שנה והרבה חברות תקשורת עדיין לא ביצעו עדכונים לסתימת הפריצה? לא מדובר בפירצה זניחה, מדובר בפירצה שדרכה אפשר להאזין לשיחות טלפון, להאזין להודעות SMS ואף למצוא מיקום של משתמש, ובכל זאת – חברות טלקום רבות עדיין לא עדכנו את המערכות שלהם, והתוצאה: גנבים שהשתמשו בחור ב-SS7 כדי לעקוף Multi Factor Authentication של בנקים כדי לרוקן חשבונות בנק, ועדיין – הבנקים וחברות האשראי משתמשות בשיטה זו. יש תחליף לשיטה זו (שהוא בדרך גם יותר זול מ-SMS: פשוט משתמשים ב-Push Notification שאפל, גוגל וחברות אחרות מציעות שגם מועבר למשתמש בצורה מוצפנת).

שמרנות היא דבר טוב, כשלא צריך "להיסחף" לכל מיני טרנדים, אבל לפעמים חייבים להבין שטכנולוגיה במחשבים היא דבר שמתקדם. לא צריך לאמץ כל טכנולוגיה, אבל כדאי לפעמים לאמץ טכנולוגיות ומתודלוגיות חדשות שיכולות לעזור בתחזוקה ובפיתוח בבנק או בחברות האשראי. קחו לדוגמא עניין די מעצבן: אתה מגיע הביתה בלילה אחרי העבודה ואחרי שהרדמת את הילדים – לטפל בעניינים פיננסיים, אתה נכנס לאתר הבנק, רוצה לבצע Login ו… מופיעה לך הודעה ש"האתר בתחזוקה". חברות רבות בעבר היו עושות זאת (זוכרים את אפל שכל פעם שהיתה הכרזת מוצר, החנות האלקטרונית היתה מושבתת לתחזוקה ועדכון?) אבל כיום יש שיטות יותר טובות: לא צריך להשבית את כל האתר, אפשר לעבוד במתודולוגיית Blue Green Deployment ובשיטה זו קודם כל מצמצמים את ה-Downtime, מצמצמים מאוד סיכונים (אפשר לזוז קדימה ואחורה בהטמעה, בהתאם לדיווחים וללוגים) ובכך אפשר לשפר דברים בצורה הרבה יותר טובה ללא צורך בשינויים מאסיביים בתוכנית העבודה. לפחות ממה שאני שומע בנקים יותר ויותר מאמצים כיום את מתדולוגיות CI/CD שזה מעולה, אבל אני ממליץ לקחת את הדברים טיפה קדימה – ולהתחיל להשתתמש יותר ויותר בקונטיינרים. הרווח? הקמה מהירה יותר של סביבות פיתוח וטסטים, ובנוסף יש בונוס מעניין: לא צריך לחכות מספר חודשים להכניס עדכוני אבטחה (קריטיים ולא קריטיים) כשמשתמשים בקונטיינרים.

לסיכום: כפרילאנסר שנמצא בשוק הטכנולוגי מעל 20 שנה (זה לא קידום עצמי, בנקים לא ממש מתייחסים לפרילאנסרים, הם מתייחסים לחברות בלבד), ראיתי טכנולוגיות שונות שמאוד הלהיבו אבל הגיעו עם שק של בעיות. בשנים האחרונות דברים השתנו וישנם יותר ויותר פתרונות שגם מוסדות שמרניים יכולים להשתמש בהם (ובחלק לא קטן מהמקרים ללא תשלום גבוה על התוכנה) ובכך הם יכולים לא רק להתקדם טכנולוגית, אלא גם להתמודד עם סיכוני אבטחה שקיימים במערכות ותיקות/ישנות. פיתוח שרותים חדשים הוא דבר מעולה, אבל אפשר גם לפתח את ה-Backend ולחסוך זמן יקר, משאבים, וסיכונים שהיו קיימים בעבר וכיום ניתנים לפתרון מהיר ולעיתים מיידי ללא סיכון המערכת.

בהזדמנות זו אני שמח להודיע שפתחתי בפייסבוק קבוצה שמיועדת לפרסום לינקים לפרצות אבטחה מידע עם טלאי תיקון החורים. אתם מוזמנים בשמחה להצטרף.

אבטחת מידע: התייחסות ל"פורץ", בדיקות וריגול תעשייתי

מכיוון שפוסט זה נכתב עבור פורום אבטחת מידע, אני רוצה להתחיל בנקודה ששותפים לה רבים (ורבות) כאן: כיצד הגעתם לתחום אבטחת מידע? חלק קטן הגיעו דרך קורסים בגלל ששמעו שבתחום מרוויחים לא רע, אולם חלק גדול מהמשתתפים החל את דרכו בתחום כ"פורץ" (Hacker) וליתר דיוק "מאתגר מערכות": ישנה מערכת X ואותו בחור מעוניין לדעת איך היא עובדת, מה החלקים השונים עושים, אם משנים כל מיני הגדרות ופרמטרים – מה קורה? כך לומדים, מתנסים ומתקדמים ובמיוחד – יודעים בדרך זו להגן על דברים. (יש כמובן חלק מהאנשים שלוקחים את זה לכיוון ה-Black Hat).

אתרים רבים בארץ, גדולים כקטנים, מוגנים בצורות שונות ע"י האנשים, המחלקות והטכנולוגיות השונות שקיימות. אתרים קטנים בד"כ יסמכו על חומת אש תוכנתית פשוטה ואולי שרות CDN ש"ימסך" חלק מההתקפות, בשעה שבאתרים גדולים בד"כ משקיעים יותר בתשתיות, פתרונות יקרים ומתוחכמים יותר ועוד, אולם לצערי אתרים רבים בארץ (כולל אתרים מסחריים) לוקים בחסר בכל מה שקשור לפרסום Section של אבטחת מידע. אינני מתכוון לפרסום כיצד האתר מוגן, אלא למי לפנות אם מוצאים פריצה. אתרים שונים, לדוגמא, מחביאים זאת אי שם במסמך הענק של תנאי השימוש ולך תעבור על ערימת סעיפים כדי לדעת איך בכלל ליצור קשר. באתרים אחרים יש איזה טופס למלא שדרכו אי אפשר לשלוח כמעט שום מידע טכני (כי הגדירו כמות קטנה של אותיות ב-FORM או שדף ה-FORM אפילו לא מצליח להיות מרונדר בצורה נורמלית בדפדפן עדכני).

ומה קורה שמצליחים לשלוח מידע על פריצה שקיימת? זה משתנה. בחלק מהמקרים אולי יתייחסו להתרעה ואולי אפילו יחזירו "תודה" במייל, בחלק מהמקרים זה יתגלגל אי שם לאיזה תומך שאין לו מושג ירוק מה עושים עם זה ולבסוף הוא יתעלם ולא יעביר הלאה, ובחלק מהמקרים (שאפשר למצוא אותם בפורומים בתפוז) חברות מעדיפות "לשסות" עו"ד בפונה ולאיים עליו בצורה מרומזת.

מכאן נעבור לנושא אחר שרבים מעדיפים לא לדבר עליו למרות שהוא חי ותוסס גם במדינתנו: ריגול עסקי.

חברה X שיש לה אחיזה רצינית בשוק מימים ימימה מתכוננת לקראת כניסת מתחרה חדש. חברת X תשמח "להציץ" בתוכניות השיווקיות של המתחרה, והם ימצאו את הדרך לרמוז למישהו בחברה שירמוז לחבר שלו שישיג את המידע. הכל ברמיזות וקריצות, ללא שום תיעוד ואם אותו "חבר" ישיג מידע – הכסף יועבר בצורה סיבובית. אם הדברים יסתבכו, תמיד יהיה אפשר להעיף מישהו בדרג הזוטר החוצה תוך הכחשה גורפת שחברה X ניסתה לרגל. חס ושלום! (וכמובן, אם זה יעבור דרך המחלקה המשפטית, מישהו כבר יוסיף איום מרומז לעיתונאי החטטן שאם משהו יפורסם, החברה "תעשה חושבים" בקשר לתקציבי הפרסום בעיתון שבו עובד אותו עיתונאי).

הבה נסתכל על אותו "חבר" שרוצה לפרוץ. איך הוא בעצם יעשה זאת? לא, סביר להניח שהוא לא יחפש פורטים פתוחים (זה בין כה סגור ע"י חומת האש), הוא לא יחפש להתקיף את השרת ב-DDOS (אנחנו בישראל, קל מאוד לנתק תקשורת של DDOS שמגיעה מחו"ל ועוד יותר קל לנתק נקודות שמשתתפות ב-DDOS ישראלי). הוא יחפש איך להשתמש בשרתים שלכם שפתוחים לציבור (אלו השרתים שנמצאים ב-DMZ) ובשרותים שרצים עליו – בין אם זה IIS או NGINX או Apache או כל שרת Web אחר. הוא יחפש לבדוק מה ה-Application Server שאתם משתמשים וינסה את חורי האבטחה הידועים לגבי אותם שרותים – על השרתים שלכם. הוא ינסה לבצע SQL Injection, ינסה לשחק עם פרמטרים ב-URL וינסה עוד שיטות רבות. אם הוא חכם, הוא כמובן לא יבצע זאת מהמחשב האישי שלו, אלא ישכור אצל אחד הספקים בארץ או בחו"ל VPS וינסה זאת משם, אולי הוא גם ישתמש בשרותי PROXY שונים כדי להחביא את כתובת ה-IP שלו. הוא מבחינתו רוצה להשיג מידע וכמה שיותר – כי בשבילו זה כסף. הוא ה-Black Hat הקלאסי.

נעזוב לרגע את אותו "חבר" ונסתכל על התשתית שלכם מבפנים. כמה חברות שוכרות שרותי Auditing לבצע בדיקת קוד מבחינת אבטחה? לא הרבה. הרוב סומכים על המתכנתים שלהם שיכתבו קוד מוגן. בוא ננסה לבצע תרגיל פשוט בחברתכם: יש לכם מספר חומות אש? בצעו login לחומת אש שלא נכנסתם אליה מספר חודשים. יש סיכוי לא רע שתמצאו חוק או 2 שיגרמו לכם להרים גבה. עתה, פנו לאיש היוניקס/לינוקס שלכם או לאנשי הסיסטם מיקרוסופט שלכם ובקשו שיכתבו סקריפט קטן שיחפש בלינוקס קבצים עם הרשאות 777 (או ב-Windows הרשאות Full Control ל-Everyone). יש מצב שהסקריפטים שלהם יפלטו רשימת תיקיות וקבצים כאלו. מדוע? כי בדיוק כמו החוקים המפתיעים שאולי גיליתם, לעיתים מפתחים או מטמיעים (גם אנשי סיסטם) מנסים לקצר תהליכים, לפתור במהירות. הבוס לוחץ, מחלקת השיווק לוחצת, כולם על הראש שלו אז הוא לא הגדיר הרשאות ספציפיות והוא שם Full Control/777 – העיקר שיעבוד. מה לגבי השלכות של אבטחת מידע? שאלה מצוינת. אותו דבר קורה עם חומות אש כשמישהו שם "ל-2 דקות" חוק שמאפשר כניסה מה-DMZ ל-LAN "להעתיק לרגע קובץ מאוד חשוב", והרגע הזה נמתח (כי ההעתקה בוצעה אבל מה שציפו לא קרה/לא עבד) ולבסוף שכחו להעיף את החוק הזה.

זה מה שבדיוק אותו "חבר" מחפש, וכשהוא ימצא – הוא בהחלט ישתמש גם ישתמש בכך לשאוב מידע, מה שבא – ברוך הבא.

נחזור לאותו בחור White Hat שמצא פירצה באתר שלכם. זוכרים את הריגול התעשייתי? אם אתם חברה מסחרית, סביר להניח שיש גם יש מי שיתעניין במידע שלא פרסמתם (כולל אלו שמעוניינים "לדפוק קופה" על מידע פנימי, מניות בבורסה וכו'). אם יהיה לכם באתר חלק שהוא קל לקריאה, מעוצב בצורה נוחה וקלה לשימוש – והכי חשוב: שהמידע יגיע ישירות לאדם הנכון/המחלקה הנכונה (ולא ל"תמיכה") – המידע הזה יהיה שווה עבורכם הרבה, ואפשר כאות תודה לתת לאותו White Hat איזו תשורה קטנה, אולי איזה שובר רכישה של כמה מאות שקלים כמתנה (החברה לא תיפול מזה). כך תקבלו גם מידע שיעזור לכם להגן בצורה יותר טובה על המידע שלכם מצד אחד, ומצד שני תכירו בחור שאולי יוכל לעזור לכם בעתיד (נניח לבדוק גירסה חדשה של אתר/מוצר). שתי הצדדים מרוצים, דבר מעולה, לא?

גוגל, פייסבוק, אמזון, אפל, HP, IBM וחברות רבות מוכנים לשלם אלפי דולרים תמורת גילויי פריצות אבטחה (יאהו קמצנים – כשמישהו לאחרונה העביר להם מידע על בעיית אבטחה – הם נתנו לו שובר .. של 18$!). אני מתקשה להאמין שחברות בארץ יאמצו את הרעיון אבל לדעתי משהו כמו שוברים דווקא יכול להצליח. אם מישהו נותן לכם מידע על בעיית אבטחה, אפשר לקחת את זה בצורה טובה ובונה. ההשקעה מצד החברה בבניית Section כזה היא השקעה קטנה, אבל בטווח הארוך היא שווה לחברה כספים רבים.

Exit mobile version