לפני האיתחול

בואו נדבר על מערך הסייבר

2021-01-22T00:00:00+00:00

מזה תקופה עולים קולות שונים מתוך התעשייה המבקרים את התנהלותו של מערך הסייבר אל מול האיומים הניצבים בפני המשק הישראלי, ובעצם תוהים לגבי חשיבות קיומו של גוף שהיקף סמכויותיו והיקף פועלו לא ברורים לאיש, כולל לאלה העובדים בו.

המערך, שהוקם לפני מספר שנים בהוראתו של ראש הממשלה בנימין נתניהו, בא לכאורה לתת מענה לשלל מתקפות המתרחשות במרחב האינטרנטי הישראלי, הן במישור המקצועי, והן במישור הלוגיסטי-הכנתי שאמור להנחות את המשק לנקוט באמצעים על מנת לצמצם את חשיפתו למתקפות כאלה. ברם, פעילותו בשטח מעלה לא מעט סימני שאלה לגבי תפקודו במרחבים האלה, ונחיצותו של עוד גוף יקר ומסורבל שבפועל השפעתו על המשק זניחה עד לא קיימת. וכמה אנחנו משלמים על התענוג המפוקפק הזה? על פי אמיתי זיו ב”דה מרקר” - כ-250 מיליון ש”ח בשנה, לפני מאפים.

מקרה מבחן

בואו ניקח למשל את המקרה של חברת “רנעד”, המפעילה מערכת כח אדם עבור מעל מאה ארגונים ישראלים, בהם מספר חברות גדולות, ישובים משני צידי הקו הירוק, ועוד. אודות מה שהתרחש שם תוכלו להאזין לפרק של הפודקאסט הפופולרי “סייבר סייבר” בו יחד עם ידידי רן בר-זיק ועידו קינן אנחנו מסבירים על הכשלים הרבים, הבסיסיים, והמגוונים, שהובילו לדליפת המידע הרגיש מתוך מערכות החברה, וכאן אני מבקש להתייחס לתפקודו של מערך הסייבר בפרשה הזו. בפסקאות הבאות אפרט את השתלשלות התכתובת ביני לבין מערך הסייבר לגבי דליפת המידע של חברת “רענד”:

ומעשה שהיה - כך היה

יום שלישי ה-29 בדצמבר, 10:51 בבוקר, אני שולח מייל למערך הסייבר ובו אני מפרט לפרטים את מהות הפרצה, דרכים לשחזר אותה, ואפילו מוסיף תמונות עם מידע רפואי רגיש שדולפות מהמערכת. סיימתי את המייל “בברכת חברים”, והמתנתי.

יום שלישי ה-29 בדצמבר, 12:32, עונה “מיכל” ממערך הסייבר. אגב, אין להם שמות משפחה שם, אולי בגלל כמות אנשי השב”כ שעובדים שם, החליפו טייטל, ומתקשים להיפרד מההרגלים הישנים. בתור אדם שעובד מול עשרות גופים דומים ברחבי העולם - ישראל זה המקום היחיד בו נתקלתי בנוהג הנפסד הזה, אבל שאלה יהיו הבעיות שלהם. “מיכל” מודה לי על פנייתי, מוסרת כי הנושא בבדיקה ויטופל בהתאם, ומסיימת בטון שירותי “לכל שאלה או בקשה נשמח לסייע”. התרגשתי.

יום שלישי ה-29 בדצמבר, 16:41 אחרי הצהריים, מגיע מייל נוסף, הפעם חתומ/ה עליו “יהב”, שמודיע/ה לי בהתרגשות פואטית כמעט: “בהמשך לדיווח שהתקבל / אעדכן כי החולשה טופלה”.

איזה טיפול מרהיב! מהירות ויעילות מהאשלון העליון! התמלאתי שמחה, דמעה קטנה נצצה בזווית של העין ו”התקווה” החל להתנגן ברקע. עד שהרצתי בדיוק את אותן בקשות שהופיעו במייל האסגרה, וראיתי שלא נעשה דבר. כל המידע עדיין היה חשוף. למרות הצהרתו/ה הנרגשת של “יהב” כי הנושא טופל, הנושא לא טופל. “התקווה” התחלפה בנעימת הנושא של “פונאר”, ושלחתי מייל תשובה.

יום שלישי ה-29 בדצמבר, השעה 17:50, המייל שיצא מתיבת הדוא”ל שלי הכיל את השורות: “למרבה הצער, החולשה לא טופלה והמידע עדיין זמין ונגיש. מציע בחום לחבר את הגוף הפרוץ עם גורם מקצועי מהתחום”.

ואז - דממה. לא ציוץ ולא אוושה נשמעה מכיוון הגוף המתוקצב בכ-250 מיליון ש”ח לשנה ושזה ליטרלי התפקיד המרכזי שלו, אז המתנתי.

והמתנתי.

ואז ביום ראשון ה-3 בינואר, לאחר שלא נשמע ציוץ מכיוון הגורם המקצועי שטען שהוא מטפל בעניין, שלחתי מייל נוסף: “לא קיבלתי מענה למייל הקודם שלי ולכן מבקש לעדכנכם שהמערכת עדיין פרוצה לכל דורש בעל דפדפן, ועדיין זולגת את פרטיהם של עשרות אלפי עובדים ישראלים. לטיפולכם הנבון אודה, נעם”.

לא עברה חצי שעה ומענה נחת בתיבת הדוא”ל שלי. הפעם הית/ה זה/ו “לירן” שעדכנ/ה כי “התקבל דיווח מגורם אבטחת מידע בחברה שהטיפול בנושא הדיווח ייקח בין שבוע ל10 ימים”. זאת אומרת - קודם התבצע תיקון תוך חצי שעה, דבר שמבחינת מערך הסייבר סגר את הנושא - כי לא טרחו לבדוק כלום, ועכשיו תשובה מופרכת ומוגזמת כמו “המידע ימשיך לדלוף עוד שבוע וחצי” מתקבלת בסטואיות שהיתה מעלה את קנאתו של הדלאי לאמה.

פה חשדתי

התחלתי לחשוד שעובדי מערך הסייבר לא באמת מתעניינים ב”סייבר”, אלא מתמקדמים בהעברת הודעות מצד אחד לצד השני בלי לעצור רגע ולהגיד “חברה נחמדה, אנחנו מעריכים את השקר הקודם שלכם, אבל ברשותכם - סגרו את המערכת עד התיקון, כי עם כל הכבוד להערכות המופרכות שלכם, המידע של אזרחי ישראל אינו הפקר”.

אבל - מי אני שאטיל ספק במקצוענים מהמערך. אמרו שבוע עד עשרה ימים? אולי באמת צריך לזרוע את החיטה שתגדל וממנה ייצרו את הקמח באמצעותו יאפה הבורקס שיאפשר למפתח העצל לקום ממקום מרבצו ולתקתק כמה שעות על המקלדת על מנת למנוע נזק נוסף לאלפי אנשים. אז חיכיתי. אגב, כמנהל פיתוח עם ניסיון של יותר מעשרים שנה בתעשייה, קשה לי לחשוב על סיבה אמיתית לכך שתיקון פשוט כל כך, במערכת שאינה קריטית, יקח עשרה ימים, אבל כאמור - ניחא.

חלפו עברו מספר ימים, וב-10 בינואר בשעה חמש אחרי הצהריים, אחרי שהמידע המשיך לדלוף ולסכן אלפי אזרחים ישראלים, לא התעצלתי ושלחתי מייל נוסף:

“בשעה טובה אנחנו חוגגים יום הולדת שבועיים לדיווח, ועד כה לא נעשה דבר על מנת למנוע מהמידע להיות חשוף, והוא עדיין (!) זמין לכל אדם בעל דפדפן. לעניות דעתי מדובר בהתנהלות שערורייתית ומזלזלת מצד החברה, אבל מי שנפגע כאן הם אלפי עובדים שחשופים לשלל מריעין בישין ושאין להם שום דבר שהם יכולים לעשות נגד זה. לידיעתם, ובתקווה גם לטיפולכם, נעם”.

כאמור - שבועיים חלפו מאז נודע למערך הסייבר ולחברה שמידע רפואי ואישי רגיש על אלפי עובדים במשק חשוף ונגיש לכל אדם החמוש בדפדפן - ודבר לא נעשה. כלום, נאדה, זילץ’, וואלה אישי, אפילו לא החור של הבייגעלה. ולמרות זאת - לאיש מהמעורבים לא נראה שיש פה איזושהי בעיה. מערך הסייבר בתפקיד שירותי המזכירות שמעבירים הודעות, החברה עם שיקוליה המשונים שמעדיפה לא לעשות דבר, והאזרחים? כרגיל - משלמים את המחיר.

חצי שעה מאוחר יותר ענתה “נעמי” ממערך הסייבר כי “הנושא בבדיקה”.

אני רק שאלה

למחרת, ב-12 בינואר 2021, התקבל מייל נוסף, הפעם מ”מור”, שטענ/ה כי “נעשתה בדיקה מול הארגון, צפי לסיום הטיפול בתחילת שבוע הבא”. זאת אומרת - הטענה הראשונה שהנושא טופל - שקרית. הטענה השניה שהטיפול יקח שבוע עד עשרה ימים, הערכה מופרכת לכל הדעות, ועדיין - שקרית. עלתה הערכה חדשה. והמידע של אלפי אזרחים ישראלים (וגם כמה כאלה שאינם אזרחים, כמו למשל בעל התפקיד “תאילנדי” מאחת המערכות של החברה) - עדיין דולף.

הודיתי ל”מור” על העדכון, אבל לא הייתי בטוח שהבנתי נכון. למערך הסייבר אין דעה בנושא? אז כתבתי: “רק כדי לוודא ולמנוע אי הבנות בפרסום - עד אז מבחינתכם אין בעיה שכל המידע נשאר פתוח, ואין כל דרישה לאבטח אותו עד עדכון הקוד, נכון? אני רוצה לוודא שאני מדווח נכון על השתלשלות העניינים התמוהה הזו”.

שאלה לגיטימית לגוף שמתיימר להגן על אזרחי ישראל מפני מריעין בישין ברשת, לא? אז מסתבר - שלא.

תוך זמן קצר ענתה “נעמי”, והפעם באריכות: “אנו מודים לך על הדיווח ושמחים על שיתוף הפעולה שלך עם המערך בנוגע לגילוי חולשות. כפי שמקובל בעולם, האחריות על סגירת חולשות וצמצום החשיפה מהן מוטלת על בעל המערכות, כאשר גם תכנית גילוי חולשות אחראית אינה מסירה את האחריות מהארגון הנוגע בדבר. נבהיר כי אנחנו רואים בחומרה רבה כל חשיפה של מידע אישי. הבהרנו לארגון את המשמעויות של החשיפה לצד המלצות לסגירת הפער ודחיפותו ואנו חוזרים ובודקים למול הארגון את סטטוס הטיפול תכופות. אף על פי כן, חשוב לציין כי מערך הסייבר הלאומי אינו גוף אכיפה בהקשר זה. אנו נדאג לעדכנך כאשר הטיפול בחולשה על ידי הארגון יסתיים”.

אתם מבינים? הם רואים חשיפה של מידע אישי בחומרה. הם הבהירו לארגון את המשמעויות והדחיפות, והם חוזרים ובודקים את הסטטוס. זהו, זה בקצרה כל תפקידו מערך הסייבר. על זה אנחנו משלמים 250 מיליון ש”ח בשנה. שירותי העברת הודעות עם אפס סמכות ואפס אחריות. כאן מסתכם הכל.

ואגב, אם הם אכן “חוזרים ובודקים”, מדוע אמרו ש”הנושא בבדיקה” כששאלתי למה זה עוד פתוח? נשמע יותר כמו מרכזיה ופחות כמו חמ”ל, אבל אם הם אומרים - הם בטח יודעים.

ובכל זאת

ובכל זאת, אולי לא הבנתי נכון? הרי לא יתכן שתמורת 250 מיליון ש”ח בשנה אנחנו מקבלים שירות לקוי שכזה, אז שלחתי מייל נוסף ובו כתבתי: “תודה על ההסבר. אם אכן אלה הדברים - תפקידכם בשרשרת הזו לא ברור לי איזה ערך יש בהעברת דיווחים אליכם. אני לא אומר את זה לגנותכם, חלילה, רק מבקש לוודא שאני לא מפספס שום דבר בתפקידכם במשחק, אם הוא מסתכם בהעברת דיווחים לגופים הדולפים ותו לאו.”

הפעם לא התקבל מענה. לא מאשים אותם, תכלס. מה הם יכולים לענות “כן, אתה צודק?” או “אתה טועה אבל אנחנו לא יכולים להסביר לך למה”, או שבדיוק החל פרק של “סברי מרנן”. לעולם לא נדע.

אבל אז - חלפו ארבעה ימים נוספים, והתקבל מייל נוסף מ”מור” ובטון חגיגי נמסר: “ברצוני לעדכנך שהארגון דיווח כי הם טיפלו בליקויים”. הידד! שלושה שבועות בלבד(!) מאז קבלת הדיווח - והם מרוצים מסגירת המערכת שהמשיכה לדלוף כל אותו הזמן. אכן - איכות ללא תחרות. שמחתי מאוד, ועדכנתי את ידידי במערכת הפודקאסט הפופולרי “סייבר סייבר” כי אפשר לצאת עם הפרסום. הדליפה נסגרה - המידע של אזרחי ישראל - בטוח.

אז פרסמנו בפודקאסט ורן בר-זיק פרסם ב”הארץ”, וחשבנו שכאן מסתיים הסיפור. אך לא.

סברי מרנן

במהלך שיחה עם אדם מקצועי שהתעניין בפרטי הדליפה במסגרת עבודתו (הממשלתית, יש לו תעודה) לחצתי בטעות (באמת שבטעות) על אחד הלינקים שלכאורה נסגרו, ומה רבה היתה הפתעתי כשכל המידע על כל העובדים עדיין היה חשוף? הרי אחרי שמערך הסייבר כשל פעם אחת כשדיווח בעליצות שהדליפה נסגרה לא יעלה על הדעת שיעשה זאת שוב, נכון? הרי רק קוף מתחלק על אותה הבננה פעמיים.

אז שלחתי מייל נוסף למערך הסייבר, ב-19 בינואר, ובו הבעתי תמיהה: “הי מור, תודה על העדכון. ברשותך אשאל אם בדקתם שאכן הצהרת הארגון נכונה (לאחר שההצהרה הקודמת התבררה שלא נכונה) או שאתם מסתפקים באמירה שלהם ופשוט מעבירים אותה? אני שואל כי המערכת עדיין פתוחה והמידע עדיין דולף”.

דממה. אין תשובה.

חשבתי שאולי הפרק של “סברי מרנן” מותח במיוחד, אולי יהורם גאון אוכל שניצל כשהמזלג, רחמנא ליצלן, בידו הימנית(!) ולא השמאלית כמקובל. דרמת מתח כזו עשויה היתה להצדיק עיכוב של כמה שעות במענה, לכן לא לחצתי ורק למחרת שלחתי מייל נוסף:

“הי, מוודא שקיבלתם את המייל ואתם מודעים לכך שהמידע עדיין חשוף”

ושקט, צרצרים. גבעת הסייבר אינה עונה.

חיכיתי עוד יום, אולי בדיוק מתנגן הפרק בו דביר בנדק אכל משהו לא טוב ונאלץ להיות מובהל לחדר המיון, ושלחתי מייל נוסף: “אנא אשרו את קבלת שני המיילים הקודמים, בבדיקה שנערכה המידע עדיין דולף. אם אין ברצונכם לטפל בנושא, אנא הפנו אותי לגוף המתאים”.

תשובה טרם התקבלה, המערכת עדיין דולפת, ולאיש עדיין לא אכפת.

מערכת ניתוב שיחות ב-250 מיליון ש”ח לשנה

אני סמכתי על מערך הסייבר שכשאמר “הדליפה נסגרה” - התבצעה בדיקה מקצועית שאכן הדליפה נסגרה. אם הייתי צריך שירות העברת הודעות - יש כאלה בפיליפינים בקצת פחות משני דולר לשעה, ועם SLA טוב משמעותית. מערך הסייבר אמור להיות גוף מקצועי בתחומו, אך המציאות רחוקה מכך שנות אור. מדוע כשמתגלה פרצה משמעותית עם השלכות על אלפי אזרחים מערך הסייבר מסתפק בשירותי מזכירות? מדוע מאות אנשים מקבלים שם משכורות מנופחות ופנסיה תקציבית כשאפשר היה לסגור את הפינה הזו בהקמת מדור תחת משרד התחבורה עם חמישה עובדים ומכשיר טלפון מסוג “זמיר” של בזק משנות השמונים? לאן הולכים מאתיים וחמישים מיליון שקלים אם זו התוצאה שהם מפיקים? אין לנו משהו טוב יותר לעשות עם הכסף הזה?

בחודשים האחרונים המשק הישראלי ספג כמה מכות לא נעימות בתחום הסייבר סייבר, ונמנע מכמה מכות לא נעימות בזכות אזרחים עירניים. האם באמת למערך הסייבר יש תרומה כלשהי לבטחון מרחב הרשת הישראלי? או שמדובר בעוד גוף מיותר ובזבזני שנועד לסדר משרות למקורבים עם ניחוח בטחוני?

אז נכון, למערך הסייבר אין סמכויות חוקיות מול חברות אזרחיות - ואולי טוב שכך. אז למה בכל זאת הוא מציג את עצמו כגוף שמטפל בענייני הסייבר שלהם? מדוע התשובה לדיווח על דלף מידע הוא לא “אנחנו לא גוף עם איזושהן סמכויות, אנא פנו למשטרה או למשרד המשפטים, להם כן יש סמכויות”? מה הערך האמיתי של שירותי המזכירות שמספק המערך היום?

אולי עבודתו בתחום חומרי הלימוד, ההנחייה המקצועית של גופים מפוקחים, וכתיבת דו”חות על אמצעי כיבוי אש, היא חשובה ואיכותית יותר ממה שיכול לתת כל גוף אחר בארץ. אולי, וזה אכן שווה בדיקה מעמיקה יותר. אבל בתחום הטיפול בדליפות מידע - אין שום ערך לקיומו של הגוף הזה, ובטח לא להילה ההייטקיסטית והביטחונית שהוא מייצר סביבו. לכל מדינה יש CERT, “צוות טיפול באירועי מחשב”. זה טוב וזה חשוב, ואם למי מכן יש קצת זמן פנוי אני ממליץ בחום לקרוא את הספר “The Cuckoo’s Egg” של ריצ’רד סטול שמבהיר את חשיבות ארגון כזה ברמה הממשלתית. כל תקציב ה-CERT האמריקאי עומד על 96 מיליון דולר, מתוך תקציב של 6.6 טריליון. התקציב של “מערך הסייבר” הישראלי יקר ממנו פי כמה באופן יחסי למרחב עליו הוא אמור להגן ולחלק בתקציב ממנו הוא נלקח.

דרוש: דיסקליימר

בשורה תחתונה - אם מערך הסייבר לא יודע לטפל באירועי דליפות מידע ופרצות אבטחה - שישים דיסקליימר לאלה הפונים אליו: “אנחנו נעביר את הודעתך לחברה תוך שמירה על זהותך, אבל אנחנו לא נעשה שום דבר מעבר לזה”. כשהוא עונה “החולשה טופלה” מבלי לבדוק כלום, וכשהוא מתייחס בסטואיות לשבועות העוברים כשהדליפה עדיין בועטת ומשפריצה מידע לכל עבר - יש מקום לתקן ולשפר, ואולי לשוב ולבחון כמה מהנחות היסוד שעומדות בבסיס פעילות הגוף הזה.

אירוע הסחיטה של שירביט - ברוכים הבאים למציאות

2020-12-04T00:00:00+00:00

בימים האחרונים נחשפת פעולת סחיטה מעניינת של חברת הביטוח “שירביט” על ידי קבוצת האקרים המכנה את עצמה “בלאק שאדו”. מכיוון שהמון מומחים בעיני עצמם החליטו לשתף את הציבור בדעתם, חשבתי לעצמי - הי, גם אני מומחה בעיני עצמי, אולי גם אני אשתף את הציבור בדעתי! אז הנה השנקל שלי על מה שמתרחש, שאולי יתנגש מעט עם חלק מהתזות שנזרקות באוויר על ידי אחרים.

זה לא טרור

אז אמ;לק: תפסיקו לקרוא לכל דבר “טרור”, זה מביך. בתור אדם שמכיר בצורה אינטימית עד כדי חוסר נוחות את מצב האבטחה ברשת הישראלית, המידע שנחשף על ידי “הצללים השחור” הוא לא יוצא דופן או רגיש במיוחד. לו ארגון טרור היה רוצה לעשות “פיגוע תודעתי” כמו שאוהבים כל מיני יוצאי ארגונים אפלים לכנות את זה, אני יכול לחשוב על לפחות עשר מטרות טובות יותר, פתוחות יותר, קלות יותר, ועם השלכות קשות יותר על החברה הישראלית, מאשר חברת ביטוח אחת. כשכל תעשיית הסייבר הישראלית מבוססת על יוצאי ארגונים ממשלתיים אפלים כאלה, כל נפיחה מצטיירת כמו פיגוע טרנס-גלקטי, כי זה פשוט הדבר היחיד שהם מכירים.

בשנים האחרונות מצאתי אני, יחד עם כמה מידידי הטובים, מאות מערכות ישראליות פתוחות, חלקן ממשלתיות, חלקן שייכות לגופים גדולים משמעותית מ”שירביט”, ועדיין הארץ שקטה. למה? כי פשוט סיפרנו להם על הבעיה כדי שיוכלו להמשיך ולטאטא אותה מתחת לשטיח. כל ההבדל עכשיו הוא שמי שמצא את המערכת ניחן בחוש עסקי מפותח יותר ובמקום לקוות לאיזה בורקס כאות תודה מהחברות הפרוצות, שלא מגיע אף פעם, אגב, החליטו לנקוט עמדה נחושה יותר ולדרוש תשלום עבור הרשלנות הזו. זה הכל.

כאשר מצאנו את עצמנו במערכות של חברות גדולות יותר מ”שירביט” יכולנו לעשות בדיוק את אותו הדבר, אבל בחרנו לדווח. כאשר מצאנו את עצמו במערכת של שירות בתי הסוהר עם מידע אישי ורגיש על אלפי עובדים ביטחוניים, יכול לעשות את אותו הדבר, אבל בחרנו לדווח. כאשר מצאנו את עצמנו במערכות רפואיות רגישות מאוד - בחרנו לדווח. כאשר מצאנו את עצמו במערכות של משרדי ממשלה - בחרנו לדווח. כאשר מצאנו את עצמו במערכות פיננסיות מכובדות - בחרנו לדווח.

ואלה באמת לא פרצות שדורשות תחכום מיוחד, אלא היכרות בסיסית עם דרכי הפעולה של אנשי פיתוח ותפעול עצלנים. “יצאה גרסה חדשה? אבל היום יום שלישי וסוף השבוע ממש מתקרב, נדחה את העדכון למתישהו אחר”, “להקליד סיסמה מסובכת כל פעם שאני רוצה להיכנס למערכת? מה אני, איכר? 1234 זה קל ונעים”, וכן הלאה. במקרה של “שירביט” רשימת הכשלים ארוכה ומביכה, החל משרת VPN עם חולשות ידועות בנות כשנתיים שלא עודכן כי תירוצים, גרסת שרת דוא”ל לא מעודכנת, המשך בטביעת רשת גדולה משמעותית מהנדרש, כולל חשיפה של שרתי פיתוח ובדיקות לרשת הציבורית, ניהול גיבויים לא נכון, והרשימה עוד ארוכה. הם לא יוצאי דופן,הם פשוט נתפסו הפעם עם הסנדלים על האוזניים, כי סייבר סייבר זו בעיה רק כשהיא הופכת לבעיה. עד אז תנו לגאון הצעיר משמונה גרביים משכורת מנופחת כי הוא זורק ביטויים אניגמטיים כמו “פרוקסי” לאוויר, ואף אחד לא רוצה להתווכח כדי לא להצטייר כלא מבין בסייבר סייבר, חלילה.

משא ומתן בקולחוז

וזה מוביל אותנו לעניין הבא: ניהול המו”מ עם הפורצים. קהילת הסייבר סייבר רוחשת ובוטשת עם שלל דעות אם צריך לנהל מו”מ או לא צריך לנהל מו”מ כאילו אנחנו בקולחוז, וכאילו מדובר באירוע בודד שיש להסכים על דרך הטיפול בו לטובת הכלל. זו אכן ראיית עולם קסומה ומכובדת, אך למרבה הצער היא לא מאוד מחוברת למציאות. המקרה הזה הוא מקרה זניח יחסית (עם כל הכבוד לעוסקים בדבר, ויש כבוד, לחלקם). הפורצים יודעים את זה, ולכן לא מתכופפים סנטימטר. העניין כאן הוא לא “שירביט”, אלא הארגון הבא בתור שרואה את הסצנה המביכה הזו ומצקצק. כשתיגמר הסאגה הזו עם המידע של כולנו בחוץ ועם השלכות קשות על המשך קיומה של חברת הביטוח הישראלית, מנהל הארגון הבא בתור (שכבר מוכן במגירה) ישלם כמו כבש מנומס כי הוא לא רוצה להיות במצב של “שירביט”. ככה מנהלים מודל כלכלי איתן, והאמירות המגוחכות של “זה טרור כי הם לא רוצים באמת כסף” מצביעות על חוסר הבנה בסיסי מאוד של התעשייה הזו, ולמרבה הצער והאימה - אלה האנשים שמקבלים כסף, והרבה ממנו, כדי לנהל אירועים מסוג זה.

אירוע הסחיטה הבא כבר מוכן. זה לא טרור, וזו לא עוגת בננות, זו סחיטה ישנה וטובה. עושה רושם שהפריצה ל”שירביט” החלה כבר לפני מספר חודשים, ונכון להניח שזה לא רק שם. הדרך בה מתנהלים הסוחטים היא בדיוק הדרך בה הם צריכים להתנהל בהתאם למודל שאנחנו מכירים היטב ממדינות אחרות. העובדה שבארץ עדיין לא היה אירוע ציבורי בקנה מידה כזה היא קוריוז, ועדיין אין בו שום דבר מיוחד לעומת עשרות ומאות מקרים דומים ברחבי העולם. יש פירצה, אם בשל רשלנות של הארגון הנפרץ או בשל מיומנות מיוחדת של הארגון הפורץ, ומכאן הדברים מתנהלים. אם הפורצים יתכופפו - הם מאותתים שיש פה ברירה. אם לא יתכופפו - אולי לא יקבלו כסף הפעם, אבל הפעם הבאה תהיה קלה יותר משמעותית. זו אסטרטגיה מוכרת, וניסיון לתלות עליה תיאוריות מופרכות שמתאימות לראיית העולם הביטחונית ממנה באים רבים מהמומחים הישראלים - מיותרת.

אז מה צריך לעשות

וכאן אנחנו מגיעים לשאלת מיליון הדולר, שכמו כל דבר מתחלקת לכמה חלקים: מדיניות, מדיניות, ומדיניות.

ראשית, יש להכיר בכך שלא מדובר באירוע בודד, ווודאי וודאי לא באירוע חריג. כשמבינים את זה, יש לעצור רגע, ולהניח תשתית לאומית לטיפול במקרים כאלה. רק השנה דווחו יותר ממאתיים ארועי כופרה בישראל, וסביר להניח שבפועל היו הרבה יותר. אז נהדר ש”מערך הסייבר” מוציאים עלונים שמטרתם לחנך את הציבור (ברצינות, זה חשוב), אבל חסר פה נדבך משמעותי - והוא מדיניות מו”מ עם סחטנות כזו. קל להשליך את ההחלטה על המנכ”ל האומלל של ארגון שכל המידע שלו נמצא בידיים של סחטנים, אבל זה רק יעודד מתקפות נוספות. חוק האוסר תשלום כופר, למשל, יניח תשתית אחרת למשא ומתן, ואולי ישכנע פורצים להתמקד במדינות אחרות, שם קל יותר להוציא כספים. המחיר לא יהיה פשוט, אבל שוב - מי שרוצה את המידע שלנו - יקח אותו, זה באמת לא מסובך. מי שרוצה לעשות ממנו כסף בדרכים נכלוליות - זה כבר סיפור אחר, ובזה אפשר לטפל.

דבר נוסף שמומלץ מאוד לכל ארגון לעשות - הוא להגדיר מדיניות ניהול ארועים כאלה. ארגון שיש לו תכנית מגירה למה לעשות ביום שמתקבלת דרישה כזו - לא יתפס עם חותלות וורודות ושירים של “טקטרוניקס” ברקע. תכנית כזו תקיף גיבויים (ושיוריות בכלל), עדכון גרסאות, בדיקות חדירה רבעוניות לכל הפחות, קווי מתאר לניהול מו”מ, ועוד רשימה ארוכה של דברים שיש לעשות כדי להיות מוכנים ליום בו מתקבלת הודעה כזו. זה לא דבר יקר, אבל זה דבר נחוץ, וזה תהליך שחייב להיות מובל על ידי המנכ”ל ושחשיבותו תהיה ברורה לכל עובדי החברה.

אגב, כחלק ממדיניות ארגונית כזו אפשר להקים גם תכניות “באונטי” שיאפשרו לחוקרי אבטחה מנומסים לדווח על פרצות ולקבל תמורתן כמה שקלים. זה עובד בכל העולם, ואין שום סיבה שזה לא יעבוד גם אצלנו. כרגע אני מודע לתכנית באונטי רק בחברה ישראלית אחת, וזה חבל.

דבר אחרון

יחד עם ידידי אנחנו נתקלים בשלל תגובות מהארגונים להם אנחנו מאסגרים את הפרצות שאנחנו מגלים, החל מהתעלמות טוטאלית (וסגירה של החור בשקט, כאילו לא היה שם מעולם) ועד איומים בתביעות, במשטרה, ובעירוב שב”כ שיקח אותנו למרתפיו. זו לא הדרך, כי אם ככה מתייחסים לאנשים עם כוונות טובות, אין פלא שבסוף באים צללים שחורים.

בתקופה האחרונה, בעקבות מספר מקרים מאכזבים מאוד בטיפול הלקוי מצד הארגון הדולף וביחס לו זכיתי, פשוט הפסקתי לדווח כמעט לחלוטין, למרות שהרשימות עדיין ארוכות מאוד. בעקבות דליפות מידע משמעותיות מאוד כמו זו של מערכת ה”אלקטור” - שלא קרה איתן כלום - הבנתי שאין פה באמת רצון לתקן, אלא יש בעיקר רצון לטאטא את הבעיות מתחת לשטיח. הפצעתם של “הצללים השחורים” היא פועל יוצא של המדיניות הזו, כי כאמור - מה שלא לומדים בכח, לומדים בהרבה יותר כח.

ישראל לא ממציאה פה כלום, ופרט ללצווח “טרור” או “אנטישמיות” בכל פעם שקורה פה משהו לא נעים שקורה בכל יום בכל מקום אחר בעולם זה מעבר למביך. בראייה מפוכחת יש להודות שהעובדה שאירוע ציבורי כזה קורה רק עכשיו ולא קודם היא ברכה, ושצריך לצפות לעוד הרבה כאלה. כאמור, מהיכרות אינטימית עם הרשת הישראלית - ארגון פשיעה עם מספיק עזוז יכול לעשות פה מילארדים, והפוקוס שמקבל האירוע ב”שירביט” רק יקדם את הנושא. לכשלעצמי, אני שוקל ברצינות השקעה בתעשיית הפופקורן, כי הולך להיות מעניין מאוד.

The Trumpcoin Fake News Affiliate Netowrk

2019-12-24T00:00:00+00:00

As we barrel toward the 2020 elections, and with impeachment proceedings underway, we are now uncovering a disinformation campaign that has gone unnoticed since 2016.

We’ve all heard a lot about the disinformation campaign around the 2016 US Election, spreading fake-news and hate, and tearing the great American nation apart, the supposed evil-doers behind it, and the international intrigues and conspiracies that fueled the whole thing.

Today, my colleague Ran Locar and I are disclosing the details of this and its motivation: Money.

What we found is a network of dozens of blogs and websites with classic fake-news content (Muslims are raping children, a Flesh eating parasite is being spread by ISIS, Crooked Hillary, etc.; More on that later). Many of the websites are nearly identical, using similar templates, and a lot of meta-data in common.

There were also facebook pages that were purchasing advertisements on the social network for hundreds of thousands of dollars, and that were shut down after our disclosure.

If you’re not into the technical details, you can scroll down to the TL;DR section at the end.

Identifying the Cluster

Earlier this month, Steffan Watkins, a Canadian OSINT researcher, tweeted about a “news aggregator” that had popped up, and concluded that ‘Sites like these should be blacklisted”. We were intrigued, and decided to look into this.

Once we had a single domain lead, we started to look at various indicators to see what else we could find. For example, calling the wp-json/wp/v2/users would return the same user, “93jd2wd”, for many of the platforms:

Beside the common username, all the ‘news’ sites we encountered, and the commercial sites they directed traffic to, shared the same IP address, as we found with the help of Security Trails.

Manually reviewing all the sites on that machine allowed us to discover more domain names participating in the same scheme.

The famous “cyber-necrophilia rule” states that there is never just one corpse, so we had to dig a little deeper.

By analyzing the calls from the sites we found (a fancy way of saying that we looked at the traffic), we found a common AWS S3 bucket, called “splitpagesimagesdfg”, that served static files for many of these websites. Luckily, and following the cyber-necrophilia rule to a T, the bucket was open, and exposed thousands of files conveniently organized by the websites they serve, in a total of 146 directories. Before you start crying “Is that all?” - it’s not the only bucket we found.

We went over the directories one by one, identifying the source of each directory and matching it to a website. Many of the websites were regular junk affiliate stuff for “seducing” men and women like “SupremeSexualStamina.com”, “FemaleMindControlSystem.com”, and “ErectionMasterySystem.com”, pushing e-books and useless products to naive men and women through various affiliate networks.

Some were about “surviving the apocalypse”, with affiliate links to e-books teaching about weapons, military batteries, special knives, and living in the woods (“CrisisSurvivalCenter.com”, “SystematicSurvival.com”, “Military Battery Reconditioning system”, “PowerOutPrepper.com” etc.). Others were about various money-making schemes, like “PhoneMoneyMethod.com”, “FinancialFreedomMembers.com”, etc.

And some were built to push “Freedom coins”, with the President’s face on them.

What are Affiliate Networks?

Before we get into the dirty details, let’s take a minute to understand how affiliate networks work. Basically, they are a subset of the online advertising industry where people, or businesses are compensated for a sale they product for another business entity. Amazon, for example, has been running an affiliate network since the late 1990’s.

The basic premise is, the more quality traffic the affiliate can deliver, the more sales they’ll drive, and consequently, the more commissions they’ll make. Sounds simple, right?

There are many techniques used to accomplish this. One of them is giving a “limited time offer”, pressuring the user to buy whatever it is NOW. Some use fear for persuasion:

Some are selling a dream of a flat-stomach or a voodoo trick to make every man and/or woman fall in love with you. The words “magic”, “loophole”, and vague promises of scientific methods, are present in many of these:

Others peddle patriotism in order to push their products, harnessing the fear and hate sowed by powerful malicious parties to make a profit. These are the ones we’ll be focusing on.

The Freedom Scheme

What the network we’ve identified would do is generate a traffic stream of Trump-supporters, and send them to an online-store that sells stuff with Trump’s face on it.

Trump hats, posters portraying Trump as Rambo, but mainly Trump coins labeled “Liberty Coins”, because hey - who doesn’t love liberty?

Every affiliate with common sense knows that you sell diets to people with weight issues, sell “seduction” techniques to people with no social skills, and in general - you have got to find the right audience to make money. The same goes with Trump merchandise. You won’t sell it at a democratic convention, so you need to find your audience in other places, and that’s exactly what the people who were behind this operation did.

They needed to provide some value in order to prepare their potential customers to the idea that they must take out their wallet and spend money. But how do you do that? You pretend to be a news outlet, and since other parties, supposedly from the infamous “troll factory” in Russia, already invested heavily in suspending all sense of criticism in their target audience, the task seems doable. So they went for it.

For example, in 2016, thetruthreporter.com popped up a modal asking its users “USA Should Not Be Under Sharia Law - Click ‘Like’ If You Agree”; republifacts.com listed “10 Hillary Scandals The Liberal Media Hides From You”; americanonlinetimes.com, also operated by the same network, went further with the “facts” and published stories like “Elementary School In THIS STATE Bans Valentine’s Day – It OFFENDS MUSLIMS!” and “Muslim migrants in Germany rape Russian child for 30 hours, then get ‘massacred’ by angry Russians in reprisal”; rightsidepress.com cried “Crooked Hillary Gets By Again”; onlineconservativepress.com warned that “DEMS Considering New DNC Chairman, One with Strong Ties to Radical Islam”; digitallibertyvoice.com told its readers that “Thanks To ISIS, A Flesh-Eating Parasite Is Sweeping Through Syria”, and that there’s a toy plane that makes plays a muslim prayer.

Chilling, right? There are a lot more examples, but you get the idea.

Looking into the Domains

While some of the domains wisely employed whois privacy, a feature that prevents us from knowing who had registered them, many of them didn’t, so we found a hefty list of domains all purchased by the same individual. It is important to note that the same individual’s name also appeared on several S3 buckets we identified as related to this operation.

This individual, “Jackson Lin”, along with the company “Extreme Wisdom” (really, that’s the name of the company, we are not making this up), registered dozens of websites over a few years, the same domains we connected to the S3 bucket. On these domains they installed various platforms to generate traffic for quite a few affiliate programs. Some of these domains were targeting right-wing Americans, taking advantage of the work (supposedly) done by foreign entities to remove the critical element of reading content online, and spreading fake-news in order to get them to buy Trump branded merchandise.

Jackson.lin84 is tied to the bucket above, listed as the owner of the media, which is used on multiple sites running on that same machine. He is also an active affiliate marketer:

An affiliate marketer, who in spite of his blazing patriotism, does not refrain from sending American jobs to the Philippines:

Some of the sites, like http://www.trumpvictorycoin.org/ link to multiple domains, which establishes a link between them:

And

While some of the sites selling Trump merch (as well as the ‘news’ sites) mention that they are not part of the Trump campaign, but rather ‘simply supporters’, others claim the goods sold are a ‘donation’ to ‘help support the president’:

The Company

So who is profiting from all this? One of the companies connected to this network is called Click Wu LLC, and operates from Huntsville, AL. This company appears on the contact us page on The Freedom Store. According to records, the agent name for this company is “Jeffry P Wu” from 10127 Shades Road, Huntsville, Alabama.

This company runs several online properties to sell and distribute pro-Trump merchandise, and benefitted from the fake-news websites that were used to send traffic their way.

Facebook

On the Facebook Ad Library we found a few of the network’s properties that were being advertised. Overall it seems that over $276,000 was spent on Facebook alone by organizations looking to promote it:

This website spread fake news like “Saudi Arabia Is About To Behead 6 School Girls For Acting Indecently With Their Male Friends”, already debunked by Politifact with the wonderful “pants on fire” rating. For this specific property, LibertyVoiceReport.com, the organization registered as the payer is called “Piton Performance Marketing”:

…which seems to be related to the pitonperformance.com domain, which in turn leads, based on the Skype username and email on the website, to an individual called “Chris Norwood”, who coincidentally owns a strikingly similar website.

It seems that Facebook took the easy path here, and while showing who actively paid for the ad, allowed bypassing it very easily by hiring a marketing company to add the ads to the platform, thus keeping the actual advertiser hidden in the shadows. This is especially important with political ads, and even more so when the content is inciting fake news.

After Facebook were made aware of the operation, they shut down 13 pages that were promoting it, after a total of $276,387 were spent on them by the advertisers.

Not Just a Business - A Misleading Business!

In addition to their misleading advertising practices, it seems Click WU LLC also allegedly mislead their buyers by including hidden charges on their bills, while claiming the products are ‘Free! Pay only S&H!’

But Wait! There’s More!

Remember the cyber-necrophilia rule we talked about earlier? The technical operation behind this network was less than excellent, to use polite language. Other than the poor opsec, the unmasked domain purchasing, the lack of security on the various S3 buckets, and the lack of protection on the “members only” materials sold for hefty sums, they also neglected to protect the identity and privacy of their customers, exposing details of over 75,000 customers who bought stuff on their stores.

They also forgot a video of one of the operators, showing a few of the network properties:

This video is titled “Jacky”, and shows that this person manages various domains which are part of the network, with admin access to the affiliate platform and the FTP servers.

TL;DR We found a network of dozens of websites operated by an affiliate marketer. Some of the websites pushed pro-Trump/anti-Clinton fake-news meant to use patriotism in order to sell unofficial Trump merch to Trump supporters. The technical aspects of the operation allowed us full visibility into not only the operators, but also the unwitting customers.

The network is definitely not dead. It keeps spending money to get traffic, and based on a few assets we found on their infrastructure, it seems that they’re looking forward to the coming elections as well:

It’s sad to say, but the future of the coming elections is very much in the hands of corporations like Facebook and Google, that have the power to stop the spreading of fake news.

Let’s hope they don’t continue dropping the ball.

Ecuador exposed

2019-09-27T00:00:00+00:00

Privacy is no more for the citizens of Ecuador. Two systems containing all the information of all citizens of Ecuador had extremely poor security that only a regular web-browser was required to gain full access to the entire trove of data. Evidence was also found to show that at least one of the systems was exploited for months before being taken down by the authorities in Ecuador.

Breach #1 - Novaestrat

A lot was written about the first breach we discovered a few weeks ago, we won’t go over it again, just mention that during routine scans we’re running as part of a fun side-project, we stumbled upon an open elasticsearch instance that required no authentication and was accessible with nothing but a web browser, and exposed the data of ~20 million citizens of Ecuador.

Obviously having an unsecured database with no authentication just open to the web is not the best idea the fine people at a company called “Novaestrat” had, but after a few days of trying to reach the CERT (Computer Emergency Response Team) of Ecuador, they did an excellent job in taking it offline and finding the people behind it.

Breach #2 - databook

Surprisingly, the 2nd system we encountered was even worse. We got tipped about it by Andrés N. Robalino (https://twitter.com/andras_io), a computer scientist and open-source contributor from Ecuador.

He received an anonymous tip on twitter, that the same data Novaestrat had, is also in the hands of databook.com.ec, and we started our investigation into it.

The domain hosting the system had the promising name “databook.com.ec”, and looked like this:

We immediately identified the data on the screen as XML, and we knew the field names from the previous breach at NovaEstrat, so we knew we are onto something. That was a clue to do something very simple using a sophisticated hacking tool called a “web browser”.

By looking at the source of the image (it was http://databook.com.ec/imagenes/webservice1.jpg) We removed the file name (webservice1.jpg) and behold - all the files in the directory immediately became visible:

A quick look at a file called “xml.jpg” shows sample output from the system:

(The original image was not blurred, and all of the information was visible. We blurred it so prevent further privacy issues for this poor individual, who seems to be the husband of one of the company’s managers).

That’s a lot of data, but if you take a closer look at the image, you can see it has a URL. Any curious mind would try to type it and see if it works. And we did. And it did.

The website “databook-premium.com.ec” presented itself as a property rental site. Nothing about selling personal data of millions of citizens. The website was hosted on a server in Germany, and it was so for over a year.

Looking for proof the sites were linked, we checked the founders page of databook.com.ec

And the contacts page of databook-premium.com.ec

Clearly, the same people.

So far, using nothing but a web browser, we found access to live data of a specific person in Ecuador. One person you ask? Well, by changing the parameter “ced” in the URL (again, with nothing but a web browser) - we could get the details for any citizen in Ecuador in a convenient XML format. No passwords were required, nothing. Nice!

But that’s not all. Oh no, we’re only getting started: by once again using a sophisticated hacking tool called a “web-browser”, we figured that such a nice system must have some kind of front-end to make it easier for users to browse extremely private details of all citizens of Ecuador. And we were right.

By pointing our browsers to “/users”, we saw a complete list of all users of the system. Thousands of them.

And what’s that on top you ask? A “Create User” button.

Again, no passwords were necessary to view all of this information. Absolutely nothing. Anyone with a web-browser could SEE all of the existing users of the system, and anyone with a web browser could CREATE a new user. For a system that is holding such valuable data - that must be a record in irresponsibleness. Nowhere, Never, is this an acceptable practice. Nowhere, except Ecuador, apparently.

So we’ve created a user, since, remember, nothing prevented us from doing so, and it was so welcoming. After using the new user details to log in - we were greeted by a grey screen with a text box. By typing in any “cedula” (id number), a lovely output was presented (again, we blurred out some of the details to prevent further privacy issues, but since this is the president we guess it’s OK):

So this is how customers of the system see the data. And it’s A LOT of data. Down at the bottom, using family data, they are even nice enough to build a family tree - spouse, children, parents, uncles and aunts. If you wonder about the possible uses of this kind of data?

Look no further than the https://demo.databook.com.ec page:

“Our mission is to help companies improve their marketing strategies, decrease credit risk, and maximize their commercial processes, intelligently using social, demographic, economic and genealogic data”. Then they are literally saying ‘Family tree for collections’ (bottom line, middle). And if you don’t pay your bills, we’ll pay your Aunt Lizzy a vizzy!

Nearly all people urinate in the pool, but these guys do it from the diving board.

However - it’s still not enough. By doing a simple google search (again, nothing but a web-browser) we found that someone else found this back in January of 2019 and posted a short code snippet that automatically creates a user, allowing anyone to log in. It is safe to assume that whoever published this snippet used it to gain access to the system, and most probably sent it to other people as well.

By using various methods and techniques we will not be able to disclose at this point, we were able to find further data:

The first time the system was accessed was on December 9th, 2013. That means that the data of all of the people in Ecuador was being sold by the owners of this platform for almost 6 years before we contacted the government to shut it down.
There were 4168 users in the system with valid login credentials. The same credentials can be used by multiple people, and as we’ve seen - the data was accessible even without logging in (by accessing the XML directly), so it is safe to assume that many thousands of people had complete access to the system for many years.
Information in the system was updated until (at least) August of 2019, including monthly actual salaries for millions of citizens of Ecuador. This is not old data, but fresh, continuously updating data from various official sources.
There were 263,348,202 employment records, which means the (almost) complete employment history for all citizens was available, including salaries.
A total of 20,391,705 citizens were accessible by the system. Since the total number of citizens of Ecuador is approximately 17.37 million people, it’s safe to assume some are dead, but the numbers seem slightly too large to explain the discrepancy by deceased people alone. If we were citizens of Ecuador, we would ask the government if any of the surplus people in the database voted in the last election.
There were also 24,070,332 cell phones, 6,116,076 telephone numbers, and 4,352,773 email addresses. Enough to spam everyone in the country for a very long time.

And it doesn’t end here

Since the first data breach was detected on Novaestrat, we’ve been in contact with some wonderful activists from Ecuador, who were kind enough to give us some history of privacy issues in the country, and did some mapping work of similar systems. As it turns out, there were more systems like the 2 we uncovered, and since the initial publication they went into “maintenance mode”.

It is not common for us to be able to make such an impact on the lives of millions, and we really hope the impact will be positive, and that the government of Ecuador begin to take the privacy of its citizens much more seriously. It is rarely good to leave private data in the hands of “marketing” companies, as their interests are not in line with the interests of the people whose data they hold.

We will continue to monitor privacy issues around the world as part of our little side-project we’re doing in our spare time, but it is really in the hands of the people to demand that their governments protect their privacy, and prevent “for-profit” organizations from capitalizing on their data.

הפודקאסט הפופולרי סייבר סייבר

2019-08-22T00:00:00+00:00

מזה תקופה עידו קינן ואני, יחד עם עומר סנש הנהדר מפודקאסטיקו, מגישים פודקאסט בשם “סייבר סייבר”, בו אנחנו דנים בשלל נושאים משעשעים יותר ופחות בעולם הסייבר הישראלי והעולמי. על מנת להקל עליכם, קוראי הבלוג החביבים, למצוא היכן להאזין לו, הכנו רשימה של לינקים לשלל אפליקציות בהם תוכלו למצוא את הפרקים החדשים והישנים של הפודקאסט:

האזנה נעימה!

פוסט מורטם - פרויקט הבוטים הגדול

2019-06-10T00:00:00+00:00

זו הטיוטה העשירית, בערך, לטקסט הזה, שנועד לנסות ולהסביר מה התרחש בימים שהובילו לפרסום ממצאי פרויקט הבוטים של יובל אדם ושלי, ובימים שאחריו. אומרים שבימים סוערים אדם נוטה לגלות מי הם חבריו ומי ימכור אותו בשביל סינק בתכנית בוקר עם רייטינג של וועד בית ברחוב נידח בקרית אתא - ואת זאת בהחלט למדנו על בשרנו. אבל ראשית ראשית ואחרית אחרית.

הדו”ח שהתפרסם ברעש רב בראשית חודש אפריל הכיל שורה ארוכה של ממצאים טכניים ואחרים שהצביעו כולם על קיומה של רשת השפעה מתואמת המפיצה מסרים של מפלגת הליכוד, ואת הממצאים האלה לא הצליחו לערער עד היום. שיטת העבודה של מבקרי הפרויקט היתה להצהיר הצהרות שלא מופיעות בדו”ח ולתקוף אותן. כך עשה ד”ר אורן צור, אקדמאי זעיר שמיהר להתראיין ברדיו המקומי ובבטאון התעמולה של נתניהו ולזלזל במחקר שלנו תוך שהוא בוחר בפינצטה דברים שהתאימו לו, מסכים עם עיקרי ממצאינו (אבל מצניע את זה), ומתעלם משורה ארוכה של דברים אחרים, כך עשה הפובליציסט חיים לוינסון, שבכסות עיתונאית לא טרח אפילו לשאול אותנו אודות הדברים שלא הבין, ושלו הודלפה טיוטה לא גמורה של הדו”ח על ידי מישהי שהציגה את עצמה כבת ברית ובשלב מסוים בחרה לפעול אקטיבית על מנת לפגוע בפרויקט, וכך עשה גם מנגנון התעמולה של ראש הממשלה שמיהר להכריז על מסיבת עיתונאים עם חלק קטנטן מחברי הרשת, לאחר שגם לו הודלפה טיוטה של הדו”ח על ידי אותה “בת ברית” כביכול.

לא נתכחש שלא השכלנו להתמודד עם מתקפה מתואמת כזו. הוצבנו כמטרות בפני מנגנון תעמולה אדיר, הותקפנו באופן אישי, ומכיוון ששנינו אנשים עובדים ולשנינו חיים מעבר לפרויקט, בחרנו לתת לסערה לעבור. אולי זו היתה טעות, אבל באותה שעה, אחרי חודשים של עבודה מאומצת, כבר הגענו לסוף כוחותינו.

כחלק מהממצאים של הפרויקט הראינו, באמצעים מתמטים ואחרים, שורה של קליקות שפעלו באופן משותף לצורך הפצה של תכנים מאוד מסוימים. השווינו את הרשת הזו לקבוצות ביקורת והראינו מדוע מדובר ברשת שאינה אורגנית, הראינו קשרים תוכניים ורשתיים בין חברי הרשת, הבאנו הקלטה של מי שעל פי החשד לקח תפקיד מרכזי ברשת הזו, בקולו, בה הוא מודה שהוא “פעיל פוליטי סודי” - וכל זה עדיין לא מספיק. לעזאזל - טוויטר בעצמם סגרו את החשבונות של חלק מחברי הרשת, ואת החשבון שעמד מרכזה בכל פעם שניסה לפתוח חשבון חדש. אבל לא, כל זה עדיין לא מספיק.

למעשה, אין שום דבר שהיינו יכולים להביא שהיה מתקבל כ”מספיק”, כי השיח הפך מזמן לכזה הבז לעובדות ומקדש שקרים. בשבועות שחלפו מאז פרסום הדו”ח בדקנו שוב ושוב את הממצאים, בחנו אותם מזוויות שונות, הבאנו חוקרים חיצוניים, וניסינו לאתגר את הממצאים - אבל כל זה באמת לא משנה למבקרים שלנו. לא עם עובדות משנים את השיח - לשיטתם.

זה לא משנה שהראינו ניתוח תוכני של מסרי הרשת, כי אורן צור מאוניברסיטת בן גוריון בחר לדבר בראיונותיו בבטאון התעמולה של נתניהו רק על קליקות; זה לא משנה שדווקא כן דיברנו על קליקות והראינו שהסבירות שהן אורגניות כאשר גודלן מעל 170% מקליקות ביקורת - נמוכה; זה לא משנה שאותו חוקר מהאוניברסיטה הדרומית, בקולו, אומר כי “מבחינה סטטיסטית קליקות גדולות הן חריגות והמצאותה של קליקה גדולה אכן רומזת על אירגון ותיאום”, ואנחנו ליטרלי מראים בדיוק קליקות כאלה; הכותרת שהוא נותן לדברים שלו היא שהדו”ח “לא רציני”, מה שהופך למיסגור של בטאון התעמולה של “מחברי הדו”ח הם חובבנים” (יצוין לזכותו המעטה מאוד שהוא צייץ כי הוא לא אמר חובבנים אלא חובבים). על פי אותו חוקר - קליקות גדולות הן אינדיקטור לקיום תיאום - וזה בדיוק מה שהראינו. אבל שוב - כל זה לא משנה.

כן הראינו אינדיקטורים לכאורה לקיומה של רשת המורכבת ממאות חשבונות אשר מקדמים תכנים התומכים בראש הממשלה הנבחר בנימין נתניהו ובמפלגת הליכוד. רבים מהחשבונות המזויפים לא הזדהו בשמם או העלו תמונת פרופיל (בנוסף לחשבונות אמיתיים רבים שכן עשו זאת) והם פעלו באמצעות מניפולציות, הכפשות, שקרים, הוצאת דיבה והפצת שמועות, באנונימיות, וללא קישור גלוי לשום גוף מרכזי, פוליטי או אחר. בדיעבד התבררו הקשרים האלה לאשורם כשהופיעו בדיוק אלה עליהם הצבענו במסיבת עיתונאים יחד עם ראש מנגנון התעמולה בעצמו בספין נאה ומחוכם (מצידו).

כן הראינו כי בימי השיא שלה הפיצה הרשת אלפי ציוצים ביום לטובת נתניהו והליכוד, וניתן לראות באופן ברור כי קצב הפרסומים וההשתתפות בה עלה באופן משמעותי עם הכרזת הבחירות, ופעילותה חריגה גם בהשוואה לקבוצות ביקורת שונות.

כן הראינו כי בנקודות זמן מסוימות, כמו למשל האיחוד של מפלגת ‘כחול לבן’ או ערב פרסום כתבי האישום נגד נתניהו, קצב הפעילות של הרשת הזו עלה. התכנים שהרשת הזו מפיצה כוללים האשמות באונס, הפצת ספינים ושקרים, מתקפות אישיות חסרות רחם על פוליטיקאים, עיתונאים, ואישי ציבור, והסתה כלפי ציבורים שלמים. לדוגמה, על העיתונאית קרן מרציאנו: “הייתכן שהברברית הזו הרטיבה אמש בעת כניסתו של כבוד ראש הממשלה?”, “היא היתה ביץ’ לא מקצועית”, על בני גנץ: “אנס אנס אנס לכלא לכלא לכלא”, “גנץ האנס”, “חלאה מנובל אפס אנס” [הטעות במקור], על יריבו של נתניהו רוני מאנה: “חלאה פודופיל” [הטעות במקור], הרשת מפיצה סיפורים אשר נועדו לפגוע ביריבי נתניהו, וניתוח מפורט של רגעי הפעלת השיא, בנוסח לניתוח של הציוצים אשר היא מפיצה, מצביעה כי ישנה תאימות גבוהה בין דפי המסרים של מפלגת הליכוד לבין התכנים המופצים על ידה.

אפשר להיכנס פה שוב לפרטי הפרטים של הדו”ח, וזה בדיוק מה שעשינו בטיוטות הקודמות של הטקסט הזה שכבר לא יראו אור, אבל הראיון שערכה איילת שני ושעלה בסוף השבוע במוסף הארץ הפך את ההבנה הזו לבהירה הרבה יותר: זה פשוט לא משנה. אין שום דבר שהיינו יכולים להביא שהיה “מספיק” למשחק המטונף הזה. “אני ראיתי את מה שהוא עשה ותפסתי את הראש. זה היה רגע כמו בסרטים, שהבריון נכנס לקפטריה ומתחיל לצעוק ולהשתולל, ואף אחד לא עושה כלום. נו, אז אם נתניהו מצא אחד שהיה אמיתי, זה אומר שהכל שטויות?” את הדברים האלה אומר סקוט גודסטיין, ששימש יועץ אסטרטגי במירוץ לנשיאות בארה”ב.

אנחנו פשוט לא משחקים את אותו המשחק. נתניהו לא רק שלא מתכחש לאנשים שהפיצו שקרים, דיבה, גזענות, ושנאה - להיפך - הוא מחבק אותם, הוא אחד מהם. הוא מציב אותם לידו ואומר: “אלה לא בוטים, אלה אנשים אמיתיים”. זה, כמובן, נכון, ולא סותר דבר ממה שאמרנו אנחנו בדו”ח שלנו, אבל אומר הרבה עליו ועל משנתו. אדם שמתגאה בדברים האלה שנעשים בשמו - אינו אדם ראוי בשום דרך, אבל זה האדם מולו אנחנו צריכים להתמודד. בשולי הדברים, שאלתם את עצמכם מה עשה צייצן סעודי במסיבת העיתונאים של נתניהו ולמה היה חשוב לראש הממשלה לערבב אותו בחגיגה הזו? כי גם לזה יש תשובות - אבל שום דבר כבר לא משנה.

הפרויקט הזה, שהתחיל כמחקר מעניין, הפך למעמסה. עשרות גופים ניסו לקפוץ על העגלה הזו, ואנחנו, שרגילים להתנהלות פתוחה בשלל הפרויקטים האחרים שאנחנו מריצים לאורך השנים, לא השכלנו לסנן מי מהם ראוי יותר ומי פחות לקחת בו חלק. במהלך הפרויקט חשפנו רשתות רבות. חשפנו רשת שניסתה לקדם פגיעה בראש המוסד הישראלי, רשת של כת שניסתה לבסס לה בסיס בישראל, רשת השפעה זרה שהופעלה מדובאי, רשת מטורקיה שהקיפה את נתניהו, רשתות של מפלגות פה בארץ, ועוד כמה שאודותיהן לא פרסמנו כלל.

באותה נשימה חשוב לציין את עשרות השותפים שכן לקחו חלק בהתנדבות מלאה, תרמו מזמנם ומכשרונם על מנת ליצור, לתקן, ולשפר את הכלים אותם פיתחנו במהלך הפרויקט. זכינו להכיר אנשים חכמים, יפים, ומוכשרים, שאנחנו תקווה שעוד יצא לנו לעבוד איתם בעתיד על פרויקטים אחרים.

כמובן שבפרויקט בהיקף כזה סביר שיתגלו פה ושם טעויות. זה בסדר גמור ואנחנו פתוחים לביקורת ולתיקון, אבל בסך הכל הממצאים של הפרויקט נותרו כפי שהם ואיש לא הצליח לערער עליהם עד היום. היתה רשת מתואמת, היו קליקות צפופות שחרגו בהרבה מהתחום האורגני, התכנים היו מוטים מאוד והראו מתאם גבוה לדף המסרים של מנגנון התעמולה הרשמי של מפלגת הליכוד, ומעבר לכל זה - אחת מהדמויות המרכזיות ברשת מודה, בקולה, בהשתתפות בפעילות כזו, וראש הממשלה בעצמו מחבק את חבריה במסיבה משותפת. כל זה, כאמור, לא משנה למי שמסרב לראות את המציאות מסיבותיו הוא.

מה שקרה כאן לפני הבחירות הוא תעודת עניות לנו, כחברה. תועפות של פרופילים מזויפים ואחרים מפיצים תעמולת ביבים בשפה אלימה ודוחה, וראש הממשלה, המנהיג, מחבק אותם ובפועל אומר להם “כל הכבוד”. אוי לעם שאלה מנהיגיו, ואוי לעם שאלה הערכים אותם הוא מקדש. הפרויקט עזר לחשוף חלק מהמנגנונים העומדים מאחורי זרם הביוב שזרם ברשתות החברתיות, ואף עזר לסגירת חלק מהחשבונות שלקחו בו חלק. זו כמובן רק טיפה בים, אבל גם זה משהו.

אם למדנו משהו מהפרויקט הזה, פרט, כמובן, לעניינים הטכניים ועולמות המחקר המרתקים, הוא לבחור בקפידה את השותפים העתידיים לפרויקטים שלנו, שעוד יהיו. ולאלה שחשפו את פרצופם האמיתי כשהתחממו העניינים - אנחנו עוד ניפגש.

How to fake a source of a Tweet

2019-05-13T00:00:00+00:00

Twitter doesn’t provide a whole lot of metadata on users or tweets, likely for privacy and commercial reasons. This means that everything it does provide is important for the analysis of non-human behavior by varied entities - commercial, academic, and governmental.

Tweet Source as an Indicator

One of the best, unequivocal indicators of a user’s “authenticity” is their tweet source, namely, what service or application was used to generate it. A third-party app, which allows easy automation of tweets via the API, is a strong indicator that something fishy might be going on; a group of accounts all using the same distinct source and working in tandem may indicate the existence of a bot network; and, combined with other indicators, increases the probability that we’re not dealing with a so called “normal”, or “organic”, user. However, if the user tweets from an “official” app, be it Twitter’s own app or one by a respectable vendor, it’s harder to decisively classify the user as suspicious. This is particularly important when trying to identify bot networks.

The paradigm is that using “official” apps for bot-network operators requires a much higher level of sophistication and/or resources. In the next few paragraphs I will show that this paradigm is false: it’s extremely easy to misrepresent an official source via a script, thus masquerading an automation-operation as a valid user, without utilizing expensive browser automation tools or human operators.

Browser Automation and its Limitations

A common way to tweet via the web is to simply use a web browser. This can be done by humans, obviously, but also by machines using tools like Selenium, Phantom JS, Puppeteer, and many others. While this is a valid option, it’s very expensive in terms of time and resources. In order to send a tweet, the operator must fire up their browser, navigate to the login page, enter the credentials, hope there’re no A/B tests running, click “New Tweet”, fill it in, and click “Tweet”. The process takes around a minute a tweet, and any minor UI change breaks the code. The number of tweets that can be sent using this method depends on the computing power, which is not cheap.

If only there were a way to tweet in under a second without the need for expensive RAM and CPU…

In order to comprehend how this can be achieved, it’s important to first understand the way Twitter checks if users have authorization to tweet. This is going to get a bit technical, but without it, it’ll be difficult to explain the bypass.

How Twitter Authentication Works

Twitter uses OAuth 2.0, which is great. OAuth is basically a security mechanism that allows applications to authorize users without asking for their passwords. This mechanism works on two levels:

Identify the application requesting access

Identify the actual user

To identify the application, the app operators receive two parameters: a consumer key and a consumer secret. With these parameters they can generate a “Bearer Token” that classifies each call to Twitter as a valid call from the specific application. Twitter knows “for sure” that only calls sent with this token are valid calls from the application, and each token can be attributed to a specific source. This is where we get our “Source” attribute on the meta-data for each tweet.

Next, Twitter needs to know which user is sending the tweet, so only the owner of the account (or someone with access to the username/password/2FA) can submit content under it. This is done using an “auth_token” created by verifying the user key and secret, much like the consumer key and secret process.

Combining the application authentication using bearer tokens and the user authentication using auth tokens, Twitter can safely assume that the user is using the application, and that the authentication process is successful and secure.

There is another test utilized by Twitter to minimize the risk of automation. This is done by using CSRF tokens, which are a common (and excellent) practice to make sure the call is coming from a valid website.

Layering these three methods allows Twitter to make sure the user is using their application (with the bearer tokens), that it’s actually the user (with the auth tokens), and in case of the Twitter website, that the call is coming from their website (with the CSRF tokens).

While these methods are great, their implementation by Twitter allows a novice operator to send tweets automatically by using scripts and have them appear as if they were sent through the Twitter website or application, thus allowing nefarious actors to programmatically send tweets that appear as if they were sent manually by legit users.

Another point worth emphasizing is that speaking to many shady “campaign operators” running Twitter networks, one learns that their account creation process is not automated. Some of them pay people in Nigeria $1 per account opened, some pay less in Russia, Central Asia, and the Far East, but the bottom line is that it’s done manually, including mobile authentication, which is required in most cases. The importance of this detail will become apparent shortly.

How to Actually Do It

In order to send a tweet, we can use the following code (variables appear in bold):

~$: curl ‘https://api.twitter.com/1.1/statuses/update.json’ \
-H ‘User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:65.0) Gecko/20100101 Firefox/65.0’ \
-H ‘authorization: Bearer XXX’ \
-H ‘x-csrf-token: YYY’ \
-H ‘content-type: application/x-www-form-urlencoded’ \
-H ‘Cookie: ct0=YYY; auth_token=ZZZ;’ \
–data ‘status=whatever’

XXX is the authorization bearer. Although it sounds like complicated processes are required to get the official Twitter bearer, it’s actually loaded (semi-hardcoded) as part of the JSON webpack process (parameter ‘u’ in the screenshot below, which was taken from code that is loaded every time a browser loads twitter.com):

We can simply take the Bearer token from there. a simple JavaScript button on the operator’s browser bookmarks’ menu should be enough to extract it, and since we already established that many operations are using humans to open accounts, this can be done as part of the same process. Now we are sending our request as the Twitter official web client, and this is what will appear as the “Source” in the tweet metadata visible to API users.

Next, YYY, the CSRF-token, appears identically in two places: in the cookie with the crumb name “ct0”, and as a header called “x-csrf-token”. This, too, can be extracted with javascript from the browser.

Finally, ZZZ, the “auth_token”, which appears in the cookie and again can be taken with a single JavaScript command. In fact, one does not even need JS to extract these values, as they are sent with every call from the user. So it suffices to follow a single transaction between a logged-in Twitter user and the Twitter server.

Once we have all three parameters, we store them in our database (they are static and don’t change, as far as we can tell after a few weeks of testing), and whenever we want to send a tweet without the hassle of opening a browser, we simply construct an HTTP call with those headers and set the body to “text=[whatever I want to tweet]”.

You can use different IP addresses, different user agents, different machines, and the calls still goes through, no matter how many tweets you send. I tested dozens of tweets with the same parameters and different content; all of them went through without any problems, and all appear to be sent from the Twitter web platform.

By simply changing the bearer token we can change our source. For example, when we use the bearer token from the old Twitter UI, the source appears as “source”: Twitter Web Client, and when using the bearer token from the new Twitter UI, it appears as Twitter Web App. The same CSRF and Auth tokens are used, and the only different parameter is the bearer token, which is given “for free” from the JavaScript code on the official Twitter websites.

These methods were tested on tweets, but the same exact measures can be used to retweet, like, follow, and perform any other action.

Implications

Seeing how easy it is to automate tweeting with a fake source should raise the alarm for organizations relying on the “source” of the tweets as a strong indicator for tagging, and subsequently confronting, users or bot-networks. The “source” needs to be treated as a “false-positive” prone parameter, and the “official” Twitter app source should no longer be used as a signal to lower the suspicion of automation and/or inorganic activity.

Why This Is an Issue

Obviously, this practice goes against Twitter’s own terms of service, but it’s much more than that. A legitimate client needs to go through a verification process as a developer, and again for each application, so Twitter knows who’s doing what on its platform. Using these methods makes the entire process redundant, since the malicious actor masquerades themselves as official apps. This also bypasses many of the “rate limits” imposed on application operators, as Twitter limits users, but not its own apps and clients.

It also prevents the company from blocking malicious applications’ access, which is something that can, and is, easily deployed against normal app developers who break the rules.

But the impact here is much larger than simply following Twitter’s rules (or defying them). Twitter’s data is used for research by thousands of organizations around the globe to identify malicious activities that harm the public interest, such as election tampering, pump-and-dump schemes, and the spreading of fake news. By allowing this hack to exist, Twitter severely cripples the ability of researchers around the world to detect automation in activities performed on the social platform.

What Twitter Can Do to Mitigate This

On paper, Twitter is acting exactly as it should. Using known, trusted, and open technologies for authentication, creating an stable and robust API for developers and researchers, and in general doing everything “by the book”.

They require four different keys to use their API, which is the correct way to do things, but they also leave the master key in plain sight, literally in the code loaded every time a user opens their browser to use the application, thus making the entire design redundant. This is like leaving the house key under the carpet, or rather, above the carpet.

It’s important to emphasize that this hack doesn’t breach users‘ security and privacy, but as we demonstrated,it does allow automation of information spreading via the platform. We emphasize one needs (legitimate) access to a user to obtain its tokens.

To fix this, Twitter can do several things:

Apply single-use CSRF tokens, or at least use time sensitive tokens, depending on the design that wish to use, thus even if a hacker takes a token, they cannot simply replay it with a different tweet text, or at least not for longer than a few minutes.

Use sessions properly. Twitter actually already has sessions (a crumb called “_twitter_sess” already exists in the cookie), but it’s not mandatory for interaction with the website. There are many ways sessions can be used to prevent automation, and it will make the attacker’s life much harder.

This may be a paradigm change, but maybe it’s not the best idea to have end-users communicate directly with the API - the same API that is used by application developers. The reason is that it requires bypassing a major authentication mechanism by neglecting the consumer key and consumer secret, and simply publishing the bearer tokens in plain sight. By wrapping the API with a website-compatible mechanism, there will be no need to bypass the proper authentication mechanism.

The research was conducted by Noam Rotem and Ron Asherov. We reached out to twitter via email and online forms on their website prior to the publication in order to see if this is of interest to them, but received no response.

This issue was also discussed in the popular (Hebrew) podcast Cyber Cyber hosted by Noam Rotem and Ido Kenan.

חברת החשמל המזרח ירושלמית

2019-04-18T00:00:00+00:00

תארו לעצמכם שבלחיצת כפתור יכולתם למחוק את החוב שלכם לחברת החשמל. תארו לעצמכם שיכולתם למחוק את החוב של כל החברים שלכם. תארו לעצמכם שיכולתם לשלוח טכנאי לנתק את החשמל של שאול מהמכולת, זה שמרמה בעודף ומסרב לקבל חזרה את הטופו המקולקל שמכר לכם. עכשיו - פתחו דפדפן, ולכו לעשות את זה.

טוב, לא כולכם, רק אם אתם תושבי חלקים מסוימים בגדה המערבית או ממזרח ירושלים שמקבלים את החשמל מ”חברת החשמל המזרח ירושלמית” (JDECO), או בערבית - شركة كهرباء محافظة القدس.

בישראל, מסתבר, יש שתי חברות שלהן רישיון לספק חשמל. הראשונה, בעלת השם המקורי “חברת החשמל לישראל”, שמייצרת ומספקת חשמל כמעט לכל הישובים בארץ ולהתנחלויות בגדה המערבית, והשניה, גם היא בעלת שם מקורי “חברת החשמל המזרח ירושלמית”, שמקבלת חשמל מהראשונה ומספקת אותו לצרכנים במזרח ירושלים, רמאללה, יריחו, בית לחם, ובמאה ומשהו ישובים נוספים באזור.

מעניין היה לגלות, אם כן, ששרתים השייכים לחברת החשמל המזרח ירושלמית יושבים על טווח כתובות IP השייך לחברת החשמל לישראל. ולא זו בלבד שהשרתים ישבו על טווח הכתובות הזה, הם גם לא שמעו על אבטחת מידע. לא כשמועה רחוקה, לא כרמז הנישא על כנפי הרוח, ואפילו לא כניחוח רחוק המזכיר גשם ישן. כלום.

כשאנחנו גולשים ברשת באמצעות דפדפן, נוצר חיבור בין המחשב שלנו לבין שרת האינטרנט המגיש את הדפים המוצגים אצלנו. כשאנחנו מבקשים דף לא מוצפן, הדפדפן שלנו שולח בקשה לשרת ב”פורט 80”, שם מאזין השרת לחיבורי גלישה בלתי מוצפנים. חיבורים מוצפנים מתחברים בדרך כלל ל”פורט 443”, שם מתוכנתים רוב השרתים לענות לגולשים המעוניינים בתוכן מוצפן.

חברת החשמל המזרח ירושלמית פתחה פורט נוסף, פורט 82, כך שאם גולש היה מקליד את כתובת השרת ולוחץ אנטר - הוא לא היה מגיע לאתר. אך אם היה מוסיף לכתובת נקודותיים ואחריהן את מספר הפורט (82), הפלא ופלא - האתר נטען. זה נראה בערך ככה:

http://1.2.3.4 - לא עובד

http://1.2.3.4:82 - עובד

הגנה של אלופים.

וזה מה שהתקבל:

דף התחברות סטנדרטי עם שם וסיסמה, כמו שצריך. ברם אולם, מאחורי דלת הפלדה המחוזקת הזו התגלתה רשת יתושים עם חורים בגודל של טקסס. כל מה שהיה צריך לעשות זה ללכת לתיקית מסוימת בשרת, ולמצוא שם קובץ להוספת משתמשים. הקובץ להוספת משתמשים הזה, בניגוד לשאר המערכת, לא דרש סיסמה, כך שכל אחד היה יכול לגשת אליו ולהוסיף את עצמו כמשתמש במערכת. אבל לא סתם משתמש, אפשר היה לקבוע גם את רמת ההרשאות של אותו משתמש, כך שכל אחד המחזיק בדפדפן יכול היה ליצור משתמש חדש ולהגדיר אותו כמנהל המערכת. סייבר!

ולאחר שיש שם משתמש וסיסמה, אפשר לחזור לדף ההתחברות המאובטח, להקיש אותם, ולהיכנס פנימה עם הרשאות מלאות. כך אפשר היה לראות את רשימת כל העובדים, מנהלי המערכת, רשימת הלקוחות ומצב החשבון של כל אחד ואחת מהם, רשימת קריאות השירות, סידור העבודה של הטכנאים - לאן הם הולכים ומה הם צריכים לעשות שם, רשימת מוני החשמל ומצבם, שנאים, מכשירי קריאה, וכל מיני דברים טובים נוספים.

אבל לא היה מדובר רק בלראות - אלא אפשר היה גם לשנות. מישהו חייב חמישה זוזים? אפשר לאפס את החוב! מישהו אחר לא חייב כלום? נוסיף לו חוב של שישים זוז וזוז ונכניס קריאת ניתוק! זה מה שכתוב המחשב, יגיד לו הטכנאי. המחשב, הרי, לעולם לא טועה. לא נעים.

אבל זה לא הכל. בנוסף לרשימות הלא נגמרות של העובדים והלקוחות, היו גם צילומי תעודות זהות. תועפות מהם. של כל לקוח ולקוחה של החברה, ככל הנראה לצורך אימות פרטים. מוחזקים על אותו שרת, בלי סיסמה, נגישים לכל בר בי רב בעל דפדפן.

אז מה קרה כאן, בעצם?

הבעיה כאן מתחלקת לשלושה חלקים. אחד הוא האיכות הנמוכה של הקוד שמפעיל את מערכת הניהול הזו, השני הוא רשלנות קיצונית בהתקנת השרת, והשלישי הוא העדרה המוחלט של כל מודעות לאבטחת מידע.

חלק ראשון - הקוד

פעם פעם, לפני המון שנים, כשהדינוזאורים רעו באחו ולדיסקטים היתה מדבקה קטנה כדי להגן עליהם מכתיבה, מפתחי אתרים בנו אותם עמוד אחרי עמוד. “דף הבית” היה קובץ נפרד שנקרא, נניח, homepage.asp. עמוד משתמש נקרא user.asp, עמוד מתכון נקרא recipe.asp, והקשר בין העמודים היה רופף. כך, למשל, אם עמוד המשתמש היה צריך לבדוק אם הגולש שקורא לו אכן מחובר - הוא היה בודק איזו עוגיה ולפי זה מחליט. פעמים רבות מפתחים התחלפו, או שהיה יום חמישי בערב ואנשים רצו ללכת הביתה להכין את המוץ לשבת או מה שלא עשו אי אז בימים הרחוקים האלה, והעלו עמודים שלא היתה בהם בדיקה כזו. מכיוון שהעמודים היו ממילא “בתוך” המערכת וכדי להגיע אליהם היה צריך להתחבר, למה לבדוק אם מותר לגולש לצפות בהם?

וזה בדיוק מה שקרה כאן. המערכת של חברת החשמל הפלסטינית בנויה עמודים-עמודים, כך שכל עמוד צריך לבצע את בדיקות האבטחה האלה בעצמו. שימו לב שהשתמשתי במילה “צריך”, כי עמודים רבים פשוט לא עושים את זה, ויוצאים מנקודת הנחה שמי שמגיע אליהם - בטח כבר מחובר ולא צריך לשאול אותו שאלות. כך קרה לעמוד הוספת המשתמשים. לא היתה בו שום בדיקה האם למי שהגיע אליו באמת מותר להגיע אליו, או שהוא ארחי פרחי מהרחוב. מתודולוגיית האבטחה של פורסט גאמפ.

אפליקציות מודרניות (ואני משתמש במילה הזו בנדיבות, מדובר בכבר 15 שנה לפחות מאז שזה הפך לסטנדרט, נצח בכל מה שקשור לפיתוח) לא פועלות ככה. כל קריאה למערכת עוברת דרך מקום מרכזי שבודק למי מותר ולמי אסור לגשת לאיזה דף, כך שלא יכול לקרות מצב שגם אם הוספתי עמוד ביום חמישי בערב - אפשר יהיה לגשת אליו בלי להזדהות.

חלק שני - ההתקנה

אבל לא רק הקוד אשם כאן. מדובר כאן במערכת פנימית, כזו המחזיקה מידע אישי רב ומשמשת רק את עובדי החברה. שום חלק במערכת הזו לא אמור להיות פתוח לציבור. מדוע, אם כן, היא מותקנת על שרת ציבורי? התקנות כאלה מקובל לעשות בדרך כלל על רשת פרטית, ואם מישהו צריך לגשת אליה מבחוץ הוא מקבל גישה באמצעות VPN, תוכנה קטנה שמחברת אותו לרשת המקומית, או אמצעים דומים.

גם הגדרות השרת עצמו הן רשלניות מאוד, ומאפשרות גישה מלאה לקבצים שלא אמורים להיות נגישים לאף אחד פרט למערכת עצמה. כל הקבצים (תעודות זהות, זוכרים?) מאוחסנים על אותה מערכת בלי שום בקרת גישה למי מותר לראות מה. הבחירה להגיש אותו על פורט 82 נועדה (אולי) לספק איזו שכבת הגנה תמימה נגד סורקים בסיסיים, אבל פרט לזה לא נעשה שום דבר כדי לאבטח את המערכת.

חלק שלישי - מודעות

וזה אולי החלק הבעייתי ביותר. נניח שהקוד מחורבן. ונניח שההתקנה איומה. ונינח שאין מה לעשות בקשר לזה. בדיקה פשוטה של עשר דקות (ליטרלי עשר דקות) היתה חושפת שורה של ליקויים שהיו צריכים להניף מאה דגלים אדומים. אם כל אתר קיקיוני שמקבל כרטיסי אשראי חייב לבצע סריקה כזו פעם ברבעון - למה מונופול המספק שירות בסיסי כל כך כמו חשמל לא חייב בכך?

המידע שלנו נמצא, בעל כורחנו, בידיים של מאות גופים שאצל חלקם אין לנו ברירה אלה להשאירו, ואחרים פשוט לוקחים אותו בלי לשאול אותנו. המינימום שאפשר לדרוש מהם זה לשמור עליו.

הפרק עלה גם כפרק בפודקאסט הפופולרי “סייבר סייבר”

פרויקט הבוטים הגדול - עדכון ביניים

2019-02-20T00:00:00+00:00

כמה חודשים לתוך פרויקט הבוטים הגדול חשבנו שכדאי לעשות סיכום ביניים לגבי מה השגנו עד כה, ומה עוד מתוכנן לקרות. אבל אולי לפני שנגיע לשם נתחיל דווקא עם מה זה בעצם הפרויקט הזה, ומה אנחנו מנסים להשיג באמצעותו.

פרויקט הבוטים הגדול הוא מיזם משותף ליובל אדם ולי. אנחנו לא מאוגדים תחת שום מטריה, אנחנו לא עובדים בשביל אף אחד, אין לנו כוונות מסחריות סביב הפרויקט, והוא נעשה בעיקר כי הוא מעניין אותנו, בגלל שמטרותיו ראויות, ובגלל שהוא נראה לנו כמשהו ששווה להשקיע בו את הזמן שלנו.

לאורך הדרך מצאנו שותפים נהדרים לדרך שזה המקום להוקיר להם תודה: המרכז לחקר סייבר משפט ומדיניות באוניברסיטת חיפה, מכון קיסריה רוטשילד ליישומים בין תחומיים במדעי המחשב, איגוד האינטרנט הישראלי, הברית הישראלית, הבלוק הדמוקרטי, העין השביעית, מרכז צ’ק פוינט לאבטחת מידע, עיריית חיפה, ותודות מיוחדות שלוחות ללילי פייביש-שור, פרופ’ אור דונקלמן, יוני הר כרמל, תמיר גדות’ ופרופ’ ניבה אלקין-קורן שעשו הרבה מעל ומעבר על מנת לאפשר את קיום ההאקתון המוצלח שאודות רבים מתוצריו תקראו כאן ובהמשך.

המטרות

השיח ברשתות החברתיות מזוהם. מה שעל הנייר אמור להיות “כיכר העיר” בה כל אחד יכול להביע את דעתו, הפך לזירה בה בעל המאה הוא בעל הדעה. הנרטיב הנשמע הוא בעיקר של אלה שיש להם כסף להשקיע בבניית פרופילים פיקטיביים שיגרמו לעמדתם לקבל קול חזק יותר מעמדותיהם של אלה שאין להם, ושל אלה שהאג’נדה שלהם כל כך לא פופולרית עד שהחדרתה לשיח באמצעים נכלוליים היא בעצם האפשרות היחידה שלהם.

ישראל, מן הסתם, היא לא המדינה היחידה בה מתרחשים הדברים האלה. ראינו אותם קורים בארצות הברית, באוקראינה, בצרפת, בבריטניה, בפינלנד, בקולומביה, בניגריה, ובמקומות רבים נוספים. יובל ואני שמנו לנו למטרה לייצר כלים פתוחים שיאפשרו לאקטיביסטים במדינות שונות לזהות את רשתות ההשפעה הללו ולחשוף אותן, ובכך, אולי, לנסות להפעיל לחץ על הפלטפורמות והמדינות על מנת שיסדירו את הפעילות הפראית הזו החותרת תחת יסודות הדמוקרטיה.

התוצר העיקרי של הפרויקט לקראתו אנו פועלים הוא שחרור סט של כלים בקוד פתוח שיאפשרו לחוקרים ולאקטיביסטים להפעיל אותם במדינותיהם על מנת לזהות את הפעילויות הללו ולנסות להתחקות אחרי מפעיליהן הנכלוליים.

תוצר נוסף, שבעינינו לא פחות חשוב, הוא העלאת המודעות של משתמשי הרשת לקיומם של גורמים המבקשים להשפיע על התודעה שלהם באמצעים שונים. ה”רעש” שעושה התקשורת היום סביב הנושא עמוס אי-דיוקים והגזמות, ומושפע מכל מיני גורמים מסחריים המבקשים לדחוף את מרכולתם לכל המרבה במחיר. אנחנו מבקשים לייצר שיח מבוסס עובדות ופחות שיח המבוסס על פחדים ודמיונות.

הכלים

סט הכלים שלנו הוא מגוון מאוד ומשתמש בכמה דיסיפלינות על מנת לנסות ולכסות כמה שיותר היבטים של הפעילות הזו. ברור לנו שלא מדובר בסט שלם, ושיש עוד עבודה רבה ומקיפה, אבל הי, גם זר מאפים מפואר מתחיל בבורקס אחד קטן.

במהלך ההאקתון האחרון שנערך באוניברסיטת חיפה עלו כמה אלגוריתמים מעניינים מאוד לזיהוי וניתוח רשתות שכל אחד מהם יכול לעמוד כמוצר בפני עצמו, אך שילוב שלהם יחד יכול לספר סיפור שלם הרבה יותר הן לגבי גבולות הרשתות והחשבונות המשתתפים בה והן לגבי מטרותיה. לא ניכנס כאן להסבר מפורט לגבי כל אחד ואחד מהם, שאני מאמין שלפחות חלקם יצאו כמאמרים אקדמיים על ידי הוגיהם, אבל כן נאמר שהתוצרים שלהם מרשימים מאוד.

בתמונה: תוצר ביניים של רון אשרוב שבודק חפיפה בשימוש ברשתות על ידי חשבונות שונים, ומציג שני פוליטיקאים ישראלים ממפלגות שונות (באדום ובכחול) ופוליטיקאי זר (בצהוב) שגם הוא השתמש בשיטות דומות.

בתמונה: כמה רשתות שהתגלו על ידי הפרויקט

“מוצרים” נוספים המפותחים במסגרת הפרויקט נועדו להתחקות אחרי “נרטיבים” וממים המופצים ברשתות. פעמים רבות אנחנו רואים “סיפור” מסוים שזוכה להפצה למרות שלכאורה הוא לא מסוג החומרים הויראליים הרגילים, או שאנחנו רואים פיסת “פייק ניוז” שזוכה לתהודה גדולה. אחד הכלים שאנחנו עובדים עליהם הוא כלי NLP (עיבוד שפה טבעית) שיאפשר לתייג “נרטיב” (ולא רק חיפוש מילות מפתח טיפש) וביחד עם שאר כלי הניטור שלנו יאפשר להתחקות אחורה אחרי אותו סיפור עד למקור שלו, ומשם לראות את דרכי ודפוסי הפצתו, על ידי מי, ובכך לסמן כחשודים גם את הפרופילים שהפיצו אותו.

בתמונה: מה קורה לכלי ה-NLP שלנו כשמבקשים ממנו להגיד איזה מילים מזכירות לו “סמולני”

יחד עם כלי ניטור הנרטיב יש לנו גם כלי דומה שמתייג תמונות ומאפשר לנו לבצע את אותה הפעולה כשמדובר ב”מם” גרפי שתופס תאוצה. ברגע שמעוניינים לגלות את מקור ואמצעי ההפצה של תמונה מסוימת, אפשר ללכת אחורה בציר הזמן עד שמגיעים להתחלה.

היופי בסיפור הזה הוא שהכלים האלה יכולים לעבוד לרוחב כמה רשתות חברתיות ואינם מוגבלים לאחת בלבד, כך שאפשר יהיה, בעתיד, לראות איך הנרטיבים הללו מתפשטים מווטצאפ, לטוויטר, לרדיט, לאינסטגרם, ולפייסבוק, ולמפות את כל המשתתפים במנגנון ההפצה הזה.

כלי נוסף עליו עומלים מספר אנשים יקרים הוא תוסף לדפדפנים כרום ופיירפוקס שיאפשר למי שיתקין אותו לראות סימון קטן סמוך לשם המשתמש האם מדובר בפרופיל חשוד או שלא.

הכלי מתוכנן לפעול בשלב הראשון בטוויטר, פייסבוק, ואינסטגרם, ופרט לסימון פרופילים חשודים גם יאפשר למשתמשים לדווח על פרופילים שלא זוהו עדיין על ידי האלגוריתמים שלנו. התכנית היא להפיץ אותו קודם לבטא-סגורה בקרב התורמים לפרויקט שירצו בכך, על מנת לעזור לנקות אותו מבאגים ככל הניתן, ואחר כך לשחרר אותו לכלל הציבור.

למה זה כל כך לאט

אחת הטענות (המנומסות) הנפוצות כלפינו היא שאנחנו עובדים לאט בפרסום הממצאים שלנו. אלה כמובן טענות נכונות, כי אנחנו יושבים על כמות גדולה יחסית של רשתות ישראליות וזרות המכוונות לישראל ועדיין לא משחררים את ממצאינו. הסיבה העיקרית לכך היא שאנחנו לא אוהבים לטעות, כי לטעות, אפילו קטנה, יהיה מחיר כבד לפרויקט. הממצאים שאנחנו כן משחררים עברו ביקורת קפדנית מאוד שלנו ושל אחרים ואנחנו באמת עושים מאמצים כבירים לא לסמן משתמשים תמימים כבוטים, ואכן כמעט 100% מהחשבונות שהעברנו לפלטפורמות כחברים באופרציות כאלה נסגרו על ידן. בעזרת שותפינו לדרך אנחנו מקווים לשפר ולהאיץ את תהליך הבדיקה הזה כך שנוכל לשחרר יותר מידע על יותר רשתות בקצב מהיר יותר.

כמו כן, מכיוון שהפרויקט הוא לא “העבודה” שלנו, אלא רק תחביב, יש אילוצים נוספים שלא מאפשרים לנו להשקיע את כמות השעות הנדרשת למחקר בהיקף כזה. בגדול - מה שאנחנו מבקשים לומר הוא - סבלנות. אנחנו עושים מאמצים גדולים לשחרר את רוב המידע שבידינו עוד לפני הבחירות, מתוך הכרה בחשיבות ניקיון השיח בתקופות רגישות כאלה.

מה הלאה?

בשבועות הקרובים נמשיך לעבוד על שיפור הכלים וחשיפת הרשתות בספרה הישראלית, עם לפחות האקתון אחד נוסף שיערך באוניברסיטת תל אביב בסוף השבוע של ה-7 במרץ, והמשך פעילות עם קבוצות העבודה שהתגבשו עד כה באוניברסיטת חיפה, באוניברסיטת בר אילן, ובקבוצות פיתוח עצמאיות סביב מוצרים שונים בפרויקט. אנחנו תקווה שהמאמצים הללו ישאו פרי ובקרוב נוכל לשחרר את סט הכלים עליו אנחנו עומלים לטובת אקטיביסטים ברחבי העולם, שכולם נאבקים באותם קרבות.

בנוסף, אנחנו מנסים לייצר ממשקים מול הרשתות החברתיות על מנת שנוכל לדווח להן באופן מסודר, וליצור ממשקים גם עם גופים רשמיים במדינה על מנת לקדם יותר בהירות סביב הטיפול האחראי בנושא רשתות ההשפעה מבית ומחוץ.

אם הפרויקט נראה לכם חשוב, ואם אתם רוצים לעזור, אתם מוזמנים לתרום לקמפיין הגיוס שלנו - מה שיעזור לנו להאיץ את קצב הפיתוח, או אם אתן מפתחות או מפתחים, חוקרים או חוקרות, אתם כמובן מוזמנים להצטרף להאקתון הקרוב ולהשתלב באחת מהקבוצות שיפעלו בו.

דורקינג - פרק רביעי בפודקאסט סייבר סייבר

2019-01-22T00:00:00+00:00

להאזנה לפרק לחצו כאן

גוגל עושה עבודה מרשימה מאוד בחיטוט וקיטלוג המידע ברשת. הם לא מפרסמים מספרים מדויקים, אבל טוענים שיש להם טריליונים רבים של דפים באינדקס, מה שאומר שבכל רגע נתון הם שולחים תועפות של “זחלנים”, Crawlers, בלעז, לשוטט ברחבי הרשת ולהביא משם את המידע.

הזחלנים האלה טוענים דפי רשת, מנתחים אותם, ושומרים את המידע כדי שבטלנים כמונו יוכלו להקיש את מבוקשנו בשורת החיפוש הנחמדה בדפדפן ויקבלו קישור לדפים הללו. מכל דף כזה, הזחלנים גם לוקחים את הקישורים שנמצאים עליו, וזוחלים גם עליהם. ככה בעצם נבנה האינדקס העצום של גוגל.

זה נחמד, ומגניב, ובאמת עושה את החיים של כולנו קלים יותר. אם פעם היה צריך להסתכסך ולהתווכח שעות בנושאים חשובים כמו מי זכה בתחרות “השפם הטבעי” באליפות העולם לשפמים ב-2017, כל מה שצריך לעשות היום זה לשאול את גוגל ולקבל את התשובה מיד. כמובן שזה היה הגרמני וולפגנג שניידר.

אבל כמו שוודאי ניחשתם, לא בשביל זה התכנסנו כאן.

רובנו משתמשים בשורת החיפוש של גוגל כדי להקיש מילות מפתח ולקבל תשובות. זה יופי, וככה זה אמור לעבוד. אבל גוגל מציע כמה פיצ’רים נוספים שיכולים להפוך את החיים של ציידי פרצות לקלים באופן משמעותי.

למשל, נניח שהתגלתה חולשה במערכת מסוג “שיירפוינט” שחושפת מידע שלא אמור להיות חשוף. איך מוצאים מערכות כאלה כדי לבדוק מי מהן פגיעה לחולשה הזו? כאן מגיע לעזרה ידידנו גוגל, ומאפשר לנו לשאול אותו את השאלה הבאה:

“spsdisco.aspx” inurl:gov.il

אנחנו מחפשים קובץ מסוים שקיים בהתקנות שיירפוינט, אבל לא מעניינות אותנו התקנות של המערכת במלזיה או בבוטאן, אלא רק באתרי ממשל ישראלים. הדוגמה הספציפית הזו כבר טופלה על ידי הגופים האמונים על כך בישראל, כך שהיא לא תניב תוצאות רלוונטיוות, אבל זה הרעיון הכללי.

או למשל בואו נמצא את קבצי ה-SQL (קבצי מסדי נתונים) באתרי מסחר ישראלים שאפשר לגשת אליהם באמצעות דפדפן:

filetype:sql inurl:co.il

כאן אנחנו מבקשים, קצת בגמלוניות, רק קבצים מסוג SQL רק בכתובות שמכילות את המחרוזת co.il המזוהה עם אתרי מסחר ישראלים. בין התוצאות שנקבל נוכל למצוא רשימות של משתמשים, סיסמאות, ומידע נוסף שהושאר ברשלנות על ידי מפעילי אתרים ישראלים.

אפשר גם להגביל את החיפוש לאתרים ישראלים באמצעות הפרמטר site, שעובד פחות או יותר אותו דבר, אבל פעמים רבות יחזיר תוצאות שונות, ומניסיוני גם פחות טובות. אבל הנה דוגמה נחמדה לחיפוש של כל קבצי האקסל באתרים שמסתיימים בסיומת il ומכילים את המחרוזת “password”:

password filetype:xls site:il

או

סיסמה filetype:xls site:il

ושם אפשר למצוא פנינים כמו רשימת הפרופילים שהפעילה מפלגה מסוימת בבחירות האחרונות עם העובדים והמשכורות ששולמו להם, או רשימת עובדים במשרד ממשלתי עם תעודות הזהות והטלפונים שלהם, והכיף לא נגמר.

וזה לא הכל - בגלל שגוגל מאפשר לנו לצפות גם בקבצים ש”נמחקו” מהאתרים, אנחנו מגיעים לפנינים כמו זו. כאמור, מפעילי האתר כבר מחקו אותו, אבל גוגל לא שוכח מאפשר לנו להגיע אליו בשתי לחיצות: אחת על החץ הירוק הקטן ליד הכתובת, והשניה על האפשרות “Cached” שמופיעה שם. נסו ותהנו

אבל זה לא נגמר כאן. גוגל דורקינג מאפשר לנו למצוא כל מיני הגדרות שגויות של אתרים, כמו למשל מי שהשאיר את רשימות הקבצים שלו פתוחות לרווחה. חיפוש כמו:

site:il “Index of /”

או

יניב תועפות של תוצאות של המוני אתרים ישראלים שמאפשרים לכל אחת מאיתנו להסתובב להם ברשימות הקבצים על שרת. כדי למקד את זה קצת, בואו נחפש קבצי גיבוי מכווצים ומוכנים להורדה:

site:il “Index of /” backup “tar.gz”

או והנה אנחנו מקבלים בדיוק את מה שרצינו:

כמה “מגדירים” (מודיפיירים, modifiers) נוספים איתם אפשר לשחק הם:

Inurl - מביא רק דפים שמחרוזת מסוימת נמצאת בכתובת העמוד שלהם

Allinurl - אותו דבר כמו הקודם, רק שכל המחרוזות נמצאות בכתובת העמוד

לנוחיותכם, להלן כמה מחרוזות נחמדות שימלאו את זמנכם בגיל והנאה:

כל האתרים של ה”ארגונים” הישראלים שמאפשרים לנו לחטט להם בספריות:

site:il “index of” “parent directory” “org.il”

או

להביא את כל קבצי ה-CSV מהאתרים הישראלים שמאפשרים לנו לחטט להם בספריות:

site:il “index of” “parent directory” “csv”

או

למצוא את כל האתרים שמאפשרים לנו לחטט להם בקבצי ניהול הפיתוח שלהם:

site:il “index of /” “parent directory” git index

או

למצוא דאמפים יפים של דטהבייס:

”– Dumping data for table” ext:sql site:il

או

למצוא סיסמאות של דטהבייסים:

filetype:tpl intext:mysql_connect

או

למצוא קבצי הגדרות פתוחים של אתרי וורדפרס ישראלים:

site:il intext:DB_PASSWORD || intext:”MySQL hostname” ext:txt

או

למצוא פוטנציאל להזרקות SQL באתרים ישראלים:

inurl:”.php?id=” “You have an error in your SQL syntax” site:il

או

ועוד המון כאלה, אבל אתם מבינים את הרעיון.

אל תהיו מטרות קלות

גוגל דורקינג זו טכניקה בה משתמשים בעיקר פושעים שמחפשים מטרות קלות. הם לא יודעים את מי הם רוצים לתקוף, הם רק יודעים שהם רוצים מישהו כזה. מערכת שלא מגנה על המידע שלה בפני זחלן תמים כמו גוגל בוט ככל הנראה תתמסר ביתר קלות לכלים כבדים יותר.

יתרה מכך, אם יום אחד מתגלה, חו”ח, פגיעות במערכת מסוימת, או בגרסה מסוימת, דורקינג זו טכניקה מצוינת למצוא את כל המערכות הפגיעות. כשהתגלתה פרצת הדרופלגדיאון (ואז הדרופלגדיאון 2) שאיפשרה השתלטות על מערכות מסוג “דרופל”, ככה התגלו תועפות של מערכות פגיעות. פשוט מחפשים דפוס מסוים, קובץ מסוים, פורמט מסוים, והרשת נפתחת כמו מניפה.

אגב, אותו הדבר עובד במנועי חיפוש אחרים כמו דק-דק-גו, יאנדקס, ואפילו בינג. לגוגל פשוט יש אינדקס גדול יותר.

מנהלים אתר? החלק הבא הוא בשבילכם

ועכשיו מילה לבעלי האתרים: קחו רגע וגגלו את האתר שלכם. אולי תופתעו ממה שתגלו. מיד אחר כך לכו תבדקו את קובץ הרובוטים שלכם (robots.txt) - הקובץ שמורה לזחלני מנועי החיפוש לאן מותר להם לגשת ולאן לא. אם יש ספריות בהן אין תוכן רלוונטי לגולשים - חיסמו אותן. הכי טוב, כמובן, זה לא לציין אותן בשמן (כי אז זה יותר מעניין לתוקף שיתמקד בכם, אבל זה כבר סיפור אחר לפרק אחר) אלא להפך: לציין את התכנים שאתם כן מעוניינים לקטלג.

מנועי חיפוש הם מעולים בעבודה שלהם, שזה לקחת כל מה שנותנים להם ואז להראות אותו למשתמשים. התפקיד שלכם, כמפעילי אתרים, זה לוודא שאתם נותנים להם רק את מה שהם צריכים לקבל, ולא גרגר שומשום אחד יותר. ואם כן מצאתם משהו בחיפושים שלכם ואתם מעוניינים להסיר אותו, לכו למערכת של “גוגל וובמסטרס” של האתר אותו אתם מנהלים, ותבקשו יפה להוריד אותו. גוגל בדרך כלל עושים עבודה לא רעה בתחום הזה.

עוד טיפ ששווה לקחת זה ליצור “גוגל אלרט”, שיגרום לכך שגוגל יודע לכם בכל פעם שמופיעה תוצאה חדשה בנושא מסוים. צרו התרעה כזו על האתר שלכם ונניח קבצי אקסל, וככה גם אם מישהו ישכח איזה קובץ שגוגל חשוף אליו - אתם תדעו על זה.

ודבר אחרון

אנחנו מדברים על הדברים האלה לא כדי שתתחילו לחפש קורבנות ולהתחיל להזיק להם, חלילה, אלא כדי שכמפעילי מערכות תדעו להתגונן מפני גורמים מרושעים. באתר הזה (https://www.exploit-db.com/google-hacking-database) תוכלו למצוא המון דוגמאות לדורקס שונים, ואם בכל זאת תיתקלו באיזו מערכת שחושפת משהו שאמור להיות מכוסה, תוכלו לדווח על הפירצה לבעליה על מנת שיסיר אותו מהאינדקס.

להאזנה לפרק לחצו כאן