פורסם ב

עוגת השוקולד של סבתא

עוגת שוקולד בתבנית מרובעת

עוגות שוקולד הן כאילו משהו "פשוט, לילדים", אבל אני מבטיח לכם שכאן מדובר במשהו יותר עשיר מסתם "עוגה כושית" ישראלית ממוצעת. למעשה היום כמבוגר אני מסתכל מחדש על המתכון ותוהה איך לא חטפתי התקף לב כבר בגיל 10 מרוב שהעוגה הזו עשירה :)

חומרים:

  • 150 גרם חמאה (בטמפרטורת החדר).
  • 150 גרם סוכר (¾ כוס)
  • 5 ביצים (בטמפרטורת החדר!)
  • 150 גרם שוקולד מריר 60%, מומס בכלי ייעודי במיקרו או בבאן-מארי.
  • 1 כף רום (אופציונלי)
  • 100 גרם קמח תופח מאליו

הוראות הכנה:

  1. מחממים תנור ל 175 מעלות. מכינים תבנית בגודל 18X22 ס"מ לערך או תבנית עוגה אנגלית, עם שכבת שימון בחמאה ולאחר מכן קמח שמפזרים באחידות כך שיכסה את כל התבנית, ומנערים את השארית.
  2. במיקסר עם מערבל "גיטרה", מקציפים יחד במהירות בינונית-גבוהה חמאה וסוכר, עד שהתערובת אחידה ומעט תפוחה, כ-2 דקות.
  3. מנמיכים מעט את מהירות המיקסר, שוברים ביצה לקערה קטנה (למקרה שתיפול קליפה) ומוסיפים את הביצה למיקסר. כשהביצה התערבלה, מוסיפים ביצה נוספת וכך אחת-אחת עד שכל חמש הביצים נטמעו היטב בתערובת.
  4. מוסיפים את השוקולד שהומס וכבר הצטנן לטמפרטורת החדר (שלא יבשל את הביצים), ואת הרום (אם משתמשים). מערבלים היטב לתערובת אחידה.
  5. מוסיפים את הקמח ומערבלים מעט רק עד שהקמח נבלע בתערובת ונזהרים להימנע מערבול יתר.
  6. מעבירים את הבלילה לתבנית שהוכנה מראש, מניחים על הרשת במרכז התנור ואופים 40-50 דקות, עד שקיסם שננעץ במרכז העוגה יוצא עם פירורים בלבד. לאפיה אחידה רצוי לסובב את התבנית בתנור לאחר חצי מזמן האפייה.
  7. כשהעוגה מוכנה מוציאים אותה להצטנן על רשת, וכשאפשר לגעת בתבנית, אפשר להוציא את העוגה להמשיך להצטנן ללא התבנית. חותכים לקוביות ונהנים (רצוי עם כוס תה או כוס חלב). גודל מומלץ לפרוסה בערך 3X3 עד 4X4 ס"מ, אני מזכיר, זה עשיר למדי :)

הערות:

  1. לעוגה יש גירסא "רטובה" יותר שהייתה אהובה על חלק מבני המשפחה. בגירסא זו מוסיפים רק חצי מכמות הקמח (50 גרם) ומשתמשים בקמח רגיל ולא תופח, ומוותרים על הרום. התוצאה היא עוגה במרקם פאדג'י ממכר.
  2. בחירת שוקולד מריר בין 50-75% מוצקי קקאו תשנה קצת את איזון המתיקות לעומת מרירות, בהתאמה לחך ילדים או מבוגרים לפי הטעם.
  3. את העוגה אפשר לאכול מיד כשהיא מתקררת, ואפשר לשמור אותה ללא קירור עד שלושה ימים, בכלי אטום (בקיץ בכל זאת עדיף לשמור במקרר).
  4. סבתא בטי תמיד הכינה לפחות כמות כפולה, אם לא יותר. העוגה בדרך כלל הייתה נאכלת במהלך סוף השבוע, ואם היו שאריות הן חזרו עם הנכדים הביתה.
  5. העוגה נשמרת היטב בהקפאה – כשמגיעה ההזדמנות לשמח אורחים,  מוציאים אותה להפשיר בטמפרטורת החדר מספר שעות.

אחרית דבר: הנהלת הבלוג לא לוקחת אחריות על כל התמכרות שתנבע מהכנת העוגה. כמו כן נמסר לנו שהיא מזכירה את המתכון הזה של חנוך פרבר (אבל היחסים די שונים, לא טעמנו אז לא יכולים לאשר. מי שיטעם וישווה מוזמן לספר לנו בתגובות.

פורסם ב

המטבח של סבתא בטי

Betty Abramov and Mania Shokhat, late 1950s

השבוע בפרץ של נוסטלגיה מחד ורצון לפנק את המשפחה מאידך, החלטתי לשבור את החרם שלי על אפיה ולהכין את עוגת השוקולד של סבתא שלי. כל מי שמכיר אותי יודע שאני אוהב לבשל ולאלתר במטבח, אבל עוגות מבחינתי זו כימיה, חייבים דיוק, אין מרווח אילתורים, וקל לדפוק את זה (וזה לפני שנזכיר שבמקרה של מתכון של סבתא, אז גם אם יצא טעים אבל לא בטעם של המטבח של סבתא אז תחושת ההחמצה מציקה).

ולמה מתכונים של סבתא בטי זה מיוחד? הסבתא שלי היתה מהפכנית לא קטנה, פעילה בתחומים רבים לאורך חייה (בתמונת הכותרת עם מניה שוחט) אבל בהקשר של המתכונים היא היתה בשלנית נדירה ומיוחדת. היא נולדה בערך לפני 100 שנה, בעולם בלי מיקסרים ומג'ימיקס, עם מתכונים שעוברים מדור לדור מפה לאוזן ולא בספרים. היא גם הייתה האחות הבכורה שדאגה לילדים הקטנים ולכן הייתה יותר מכולם בענייני המטבח והבית כבר מהילדות. היא גדלה בצ'רנוביץ, שהיתה אוסטרו-הונגריה כשנולדה ורומניה כשהגיעה ללמוד בבית הספר, המטבח שלה היה שילוב מנצח של מאפים  אוסטריים, בישול עשיר הונגרי-רומני, עם שיטות עבודה צרפתיות וטאץ' טעמי בלקן. כמה וכמה במשפחה הצליחו לרשת חלק מהחושים והמתכונים אבל המכלול תמיד יותר גדול. עם השנים אחרי לכתה, שכל אחד הכיר בקושי חצי או פחות מהתבשילים שלה, כי כשביקרנו היא הייתה מבשלת את מה שאבא שלי אהב, אבל עשרות סלטים, תבשילים וקינוחים אחרים היו שמורים לביקורים של אחותו או בני דודים שונים – ועכשיו לך תשחזר מטעמים שלא ידעת אפילו שהיו קיימים או מה היה טעמם.

אספנו חלק קטן מהמתכונים עם השנים, תכננו לכתוב ולהפיץ ספר לכולם במשפחה אבל עוד לא הגענו לכתוב, אז החלטתי שבינתיים אטפטף לבלוג מתכונים שחשוב לי שלא יעלמו. בתור פודי אני מאוד מעריך מסורת וסלואו פוד, אני תמיד מצטער לשמוע על בשלנים ובשלניות ששומרים על מתכונים משפחתיים משל היו סודות מקצוע. אולי זה חובב התכנה החופשית שבי, ואולי הפודי שרוצה שמאכלים טובים לא יעלמו. לדוגמא לאחרונה גיליתי את החנות הקטנה של זוארץ באור יהודה, שם הוא מכין מטעמי עוגות סולת, שקדים ושאר ממתקים שלא דומים בדיוק לשום דבר אחר שטעמתי, ותיבול מיוחד, ביתי ואקזוטי בעת ובעונה אחת. בשיחות איתו אני מבין שהילדים והנכדים שלו לא מתכוונים להחזיק את המקום פתוח ואת המתכונים הוא לא מתכוון לחלוק עם אף אחד, וזה עצוב לי לשמוע. אז החלטתי שאצלי במשפחה זה לא יקרה, ואני מתכוון לפרסם פה מתכונים מדי פעם, כשאגיע לרכז ידע מאחותי והדודה ושאר יודעי דבר.

הקדמה חשובה, בדומה לזו של צ'ארלי טרוטר ז"ל בספרו "בישול גורמה להדיוטות", ושיהיה ברור לגבי כל המתכונים שיובאו פה בהמשך:

  • "שמנת" היא תמיד שמנת להקצפה 38% או יותר. לא תחליפים צמחיים.
  • "חמאה" היא לעולם חמאה בלתי מלוחה, לרוב בטמפרטורת חדר אם לא צוין אחרת.
  • "ביצים" הן לעולם ביצים גדולות ובטמפרטורת החדר. חשוב כי הקצפות ושאר תהליכים כימיים פשוט לא יעבדו כראוי (או בכלל) אם תשתמשו בביצים ישר מהמקרר.
  • המלח הוא תמיד מלח גס פשוט. לא הימלאיה ורוד, שחור או עם נצנצים.
  • החלב הוא תמיד חלב 3% או מלא, שום עמיד או 1% או סויה, אני לא יכול להבטיח לכם שום תוצאות עם אלתורים כאלו.
  • טמפרטורת התנור היא תמיד לתנור שחומם מראש.

עם ההקדמה הזו וההבהרות הצמודות, אני הולך לכתוב עכשיו את המתכון הראשון, עוגת השוקולד המפורסמת.

פורסם ב

עוד פרויקט שלא אגיע אליו: עוזר חכם ובית חכם

האם אתם רוצים מערכת כזו? התשובה מורכבת.

כן, זה נחמד לשבת בעצלנות על הספה ולהגיד "הי גוגל, תדליק לי דוד", או אפילו להדליק אוטומטית את הדוד ברגע שיצאתי מהעבודה ע"י נתינת קואורדינטות של המשרד ליישומון IFTTT ולתת לו להקשיב לGPS.

לא, זה לא נחמד שכל מילה שנאמרת בבית מוקלטת ונשלחת לשרתים של גוגל או אמאזון (אלקסה) או מוקרוסופט (קורטנה) וכולי. זה גם לא חכם להשקיע בציוד שמייקר את החיים בבית והופך אותך תלוי ביצרן או משהו. למשל זו הסיבה שלא אקנה נורת פיליפס HUE בעשרות דולרים כי כשהיא נשרפת אני צריך למעשה לקנות נורה ומחשב קטן. אני מעדיף לחבר ממסרי SONOFF ולשלוט בהם בעצמי. כמו כן, אני לא אחבר בקרוב את מנעול הדלת למערכת ממוחשבת. אני לא ממליץ לסמוך עליה בנקודות אבטחה, אבל אפשר להסתפק במגע בנקודות הנוחיות.

אני לוקח רגע ומפרק מערכת ממוצעת כדי לסבר את האוזן למי שלא מכיר את הטכנולוגיה שמאחורה. בגדול יש כאן כמה רכיבי תוכנה תפורים ביחד כדי לגרום לקסם לקרות:

  1. יש מיקרופון והמחשב שמאזין לו, מנסה לבטל רעשי רקע ולהתמקד במה שעלול להיות דיבור.
  2. אח"כ תוכנה אחרת שבודקת אם זה אכן דיבור ומתרגמת אותו לטקסט. זה אולי הרכיב הכי מתוחכם במערכת ונחמד שיש אופציה או שתיים ברישיון חופשי (אבל כרגע אני די בטוח שזה עובד רק באנגלית, ולא יעבוד בעברית בקרוב. מקווה שלא תהיה בעיה עם זיהוי מבטא לא ילידי :)
  3. אחרי שיש לנו טקסט אפשר לפענח ממנו את הפקודה גם אם לא נאמרה בצורה תקנית אחת. כלומר "התראה עוד שעה" או "בבקשה כוון לי תזכורת בעוד שעה מעכשיו, תודה" הם שני משפטים שונים למדי אבל המחשב צריך לזהות את שניהם. הרכיב הזה והרכיב הקודם הם הרכיבים שקורים בענן של גוגל או אמאזון או מיקרוסופט שאותם אני רוצה להביא אל תוך הבית.
  4. בשלב הזה אפשר להפעיל מיני תוכנות וסקריפטים (מייקרופט למשל קוראים לזה "כשרונות" והקהילה פיתחה כבר כ-140 כאלו), כאן מגיעה ההתממשקות עם MQTT ורכיבי חומרת Sonoff השונים, או גישה לרשת כדי לדבר עם חשבון הגוגל שלכן כדי לבדוק איש קשר או לדחוף ארוע ליומן, וכיוצא באלו.
  5. לבסוף לאשר או להחזיר משוב למשתמש בצורת רכיב אחר שהופך תשובת טקסט לדיבור, מסנטזים כאלו יש הרבה בשוק – היה לי אפילו על אפפל ][ עם 64K זכרון, לצערי האיכות התפתחה מעט מאוד מאז בתוכנה פתוחה. מקווה שישתפר בעתיד.

התכוונתי (וויתרתי בגלל סיבות) לשחק עם עוזרים חכמים פתוחים. נתקלתי באינדיגוגו של מייקרופט (גיבוי עסקי לא יכול להזיק). כמו כן גיליתי שיש פרויקט בשם Jasper שכבר לא זז שנה ועוד אחת מליסה, כנראה גם אחרים.

מה דרוש? כרגע סבלנות וחוש טכני. כמו שלא לכולם מתאים לפרמט את האנדרואיד ולהתקין LineageOS, או ללמוד לקנפג קודי, וכולי. זה פרויקט לסקרנים, עקשנים, שאין להם בעיה לבנות ולהלחים כמה דברים לבד. הנה המידע שאספתי והפרמטרים שהייתי בוחר להתחיל איתם אם הייתי הולך על הפרויקט.

  • יש ארגז כלים נאה (וחופשי! ופתוח!) ללינוקס, זה אומר שזה יכול לרוץ על התחנה הביתית שלי (שהיא גם שרת המדיה) או על מכשיר שיבנה סביב Raspberry Pi וישב עם מיקרופונים בסלון, מטבח, חדר שינה וכיוצא באלו. בצד המנשק האנושי יש את מייקרופט וכלים אחרים, בצד השליטה על Sonoff ורכיבים אחרים של בית חכם יש את Home Assistant, שיודע לעבוד גם עם גוגל הום, אלקסה ודומיהם.
  • עוד לא ברור לי אם הרספי מספיק חזק לנתח דיבור או שהוא צריך להיות מגובה במחשב חזק יותר או שרות מקוון. המטרה שלי בפרויקט היא כמובן לא להוציא פיפס מהבית לשרתים של אחרים, אז אני מתמקד ביכולות שנשארות על הרספי והמחשב הביתי.
  • אני אשמח אם המערכת תדע לזהות קולות שונים של בני הבית ולתת לכל אחד את התזכורות והתשובות שרלוונטיות אליו.
  • מלבד שליפת תשובות מהרשת ולענות על שעה ומזג אוויר, רצוי לבדוק התממשקות לבית חכם. השם הפופולארי בתחום הוא Sonoff, ששולט על כיבוי והדלקה של קווי חשמל 220V, 10A או 16A. יש מכשירים עם דימר, חיישן חום ולחות או הרחבות אחרות. יש התקנים ששולחים IR כדי לשלוט על טלוויזיה או מזגן וכולי.
  • למה Sonoff? הם זולים, זמינים בעלי אקספרס ובכל מקום, ויש להם כמה וכמה קושחות פתוחות ברשת. כשקונים אותם מקבלים אותם עם קושחה שמכוונת לדבר עם שרתי החברה, שזה כמובן BIG nono בסיסי בשבילי, אבל עם קצת מאמץ צורבים קושחה חלופית ותופסים פיקוד.
  • יש פרויקט הפצת עדכוני קושחה לכל הבית החכם בעזרת כלי בשם Resin, אם אתם עוסקים באוטומציה לעננים, אומרים לי שזו המקבילה לPuppet או Chef לעולם ה־IOT.
  • כדי לדבר עם כל ההתקנים האלו, קיים תקן MQTT, שזה מעין שרת תורים מפושט. הפיקוד משאיר להתקן הודעה בתיבת הדואר וההתקן בא לאסוף. שרת MQTT שכזה יכול לרוץ מקומית (למשל בשרת Home-Assistant על הרספי) או ברשת למי שרוצה לעשות את כל זה בממשק על Google Home בלי להתקין סייען פתוח.

קריאה לעומק של תשובות מייקרופט לתומכי הקיקסטארטר ושל תנאי הפרטיות שלהם שכנעה אותי שהם לא עומדים בדרישות הפרטיות שלי בתצורה הנוכחית שלהם. בגדול הם "מתכננים" גרסא מקומית של רכיב ה־STT (דיבור לטקסט) שתרוץ על מחשב לינוקס או חלונות אבל זה עוד לא שם, ובתלות ברכיב שיבחרו, יכול להיות שזה ידרוש GPU חזק כדי לבצע את הניתוח בצורה מהירה ככל הניתן. מנתח ה־STT הנוכחי שלהם לא מספיק טוב והחדש שיכנס בסוף החודש צריך הרבה יותר כוח מחשוב. אז  כדאי לחכות. בעתיד זו תהיה אפליקציה או תמונת Docker מוכנה שנוכל להריץ על שרת PC כעזר לרספברי בלי להסתמך על שרתי החברה.

כאמור, בפוסט המקורי כתבתי שאני בודק את המערכת לביתי אבל הוטל ווטו משפחתי. אני עדיין אנסה לראות איך זה להתקין עוזר AI שכזה על הלאפטופ או הדסקטופ, ואוסיף דיווחים כשיהיו.

פורסם ב

קריפטוכסף זו לא השקעה טובה

אמ;לק: לא ממליץ על השקעה בקריפטומטבעות, אבל אני לא כלכלן וגו'.

אני מנסה ב4-5 שנים האחרונות לעקוב אחרי עולם הקריפטוקוינז כדי להבין אם זה טוב או רע למין האנושי. חבר אצלי בעבודה קנה 100 מטבעות לפי מחיר $0.75 ומכר ביום הקפיצה הגדולה ל$1200. כשנפל חזרה ל$600 אמרנו לו כל הכבוד אבל מאז מחיר הביטקוין טיפס לטווחי $4000-$5000. לכאורה זה ימשיך לטפס. ערך המטבע לא יציב בלשון המעטה, אבל ב־8+ שנות קיומו של הבלוקצ'יין הוא טיפס יפה ובהתמדה בממוצע לאורך זמן. נראה שהטכנולוגיה מוכיחה את עצמה כאמינה מספיק כדי לעורר ענין אצל חברות פינטק ובנקים מהעולם השמרני הממוסד.

אז מה הביקורת? ובכן, כל מי שניסה לכרות בבית מטבעות בעצמו גילה שלPC הכי חזק שתוכלו להרכיב אין ממש כוח חישוב מתאים. רוב המטבעות היום עוברים כרייה ע"י כרטיסים ייעודיים מאוד מאוד ספציפיים לסוג המשימה הזה, שלקנות אותם הביתה זה יקר (ואולי תופס מקום ומרעיש), ורבים פשוט שוכרים זמן מיחשוב בחדרי שרתים אי שם במקומות בעולם שבהם החשמל או לפחות הקירור יותר זול, וגם אז לא כולם מצליחים להשאר בעסק – היום קראתי למשל שזירופונד, אולי חוות הכרייה הידועה ביותר בתחום כריית זיקאש, סוגרים את הדלתות אחרי שנה של פעילות כי זה פשוט לא משתלם כלכלית. הם יכולים להסב את הציוד או למכור אותו למשתמשים ביתיים, והם החליטו שהם מעדיפים לצאת מהעסק לגמרי. הרווח השולי זניח מדי.

אם נחשוב על זה, לחתיכות הנייר והמספרים בבנק היה פעם ערך רק כי לממשלה היה זהב לגבות אותו, אח"כ רק כי לממשלה היה כוח פוליטי, ואילו לקריפטומטבעות יש ערך רק כי אלפי אנשים ברחבי העולם מריצים מכונות חישוב חזקות ייעודיות, לא זולות או יעילות מאוד בחשמל, כדי לרוץ כל הזמן על קצה היכולת בפול גז ולהדביק את האינפלציה הטכנולוגית והאנרגטית של ציוד הכרייה.

אם אתם מסתכלים על זה אגואיסטית-קפיטליסטית, אולי זה נתיב השקעה נחמד, אבל לטווח בינוני בלבד. בטווח הרחוק כמות האנרגיה המתבזבזת על תחזוקת הרשת הזו לא שווה את הברדק. גם אם ערך המטבע הוירטואלי הזה עולה, גם המחיר הסביבתי עולה איתו. הציוד הייעודי שמתיישן ונזרק והחשמל שמאכיל את כל הפעולות החשבוניות האלו שלא מייצרות הרבה מלבד "הוכחות עבודה", במירוץ חימוש שלא ייגמר בצורה זולה ואפילו לא ממש משתלם.

פורסם ב

עולם של קרח ואש לעצלנים

בין משחקי הכס (הסדרה הטלוויזיונית) ובין שיר של אש וקרח (סדרת הספרים והעולם המורחב) יש פער גדול של דמויות, סיפורים, חפצים קסומים, תרבויות, היסטוריה, גיאוגראפיה, אמונות, נבואות ואפילו עמים וגזעים הומנואידיים מקבילים. אני אישית לא הצלחתי עדיין לצלוח את הספרים עצמם, יכול להיות שג'ורג' מרטין פשוט כותב בצורה שמעייפת והידוק העלילה בטלוויזיה עושה לסיפור הזה מצווה, אבל רוחב היריעה לא מוערך אם צפיתם רק בסדרה המצולמת. למרבה המזל יש מי שיגשרו לנו על הפער וירחיבו בצורה שחוסכת לעצלנים כמוני את הקריאה במסלול המייגע והארוך – יוצרים ביוטיוב.

אספתי פה טעימה "קטנה" מתוך אלפי הסרטונים, אלו שעזרו לי להבין את העולם שבתוכו נטועה הסדרה טוב יותר. מיותר להזהיר פה מפני ספויילרים (כן, יש לי חבר אחד שעוד לא ראה פרק אחד מהסדרה אבל רוצה), אני ממליץ לכם להפעיל שיקול דעת בתחילת כל סרטון אם לצפות או לדלג, ובכל מקרה כנראה לא לפני סוף עונה 5-6 לכל הפחות. יש פה סיפורי רקע מהספרים העיקריים וספרי המשנה, יש כאן תיאוריות של מעריצים שלא תמיד יוכחו כנכונות כמובן, יש סקירות על ההבדלים החשובים בין הספרים והתוכנית, ומקסים שזה מגיע מכל מני מקומות בעולם ובשלל מבטאים (בעיקר בריטיים ואמריקניים אבל לא רק). מלבד זאת שירבבתי גם סרטונים של ראיונות עם השחקנים, מאחורי הקלעים, פרודיות ועוד. מקווה שיהיה לכם מעניין עם האוסף עד שתצא העונה האחרונה (2019?) ואשמח לדון דיונים מלאי ספויילרים בתגובות. נכון ליום פרסום הפוסט יש ברשימה שלי 212 סרטונים (בעמבד מופיעים רק ה200 הראשונים), את רובם המוחלט ראיתי מההתחלה ועד הסוף (לרוב במהירות X2 כי נו באמת…) ויש פה ושם מקרים של חפיפת תכנים בין הסרטונים, אבל לא הרבה. כל פרשן מביא את הזווית שלו, מביא ציטוטים מהספרים או מתגבר באנימציה, ואם זו לא חזרה טוטאלית על משהו שכבר ראיתי, הסרטון הוסף לרשימה. מקווה שתהנו!

Header photo credit: Jemimus On Flickr

פורסם ב

כפתור פראנויה לכל כיס

YubiKey 4 keychain and YubiKey 4 Nano

אמ;לק: סקירת מוצר שיוסיף לכם שכבת הגנה על חשבונות מקוונים וגם על המחשב האישי. זו תהיה כתבה ראשונה בסדרת פוסטים על אבטחת מידע בסיסית לישראלי המצוי, למרות שהפוסט הספציפי הזה אולי לא מיועד ממש לכולם כי הוא עוסק בחומרה יעודית שעולה בסביבות $50 (כולל משלוח) ולא תוכנה זמינה וזולה/חינם.

יותר מחצי שנה לא כתבתי פוסט, למעשה כמעט 8 חודשים אני חושב. המון חדשות חולפות בקצב מסחרר ואי אפשר להתעמק בכלום, וגם החלפת מקום עבודה מוריד מהזמן הפנוי לכתיבה של יותר מציוצים בטוויטר. אם אתם לא עוקבים, חוק הזיהוי הביומטרי עבר והחל מיוני כולם חייבים לתת טביעות אצבע ופנים. מי שישלם כופר מיוחד יוכל להשאר מחוץ למאגר (אם אתם באמת מאמינים שלא ישמרו לכם את תביעת האצבע אחרי שיכתבו אותה לשבב בתעודה), אבל יצטרך לעשות את זה פעמיים בעשור במקום פעם אחת. ההמשך עכשיו יכול להיות אחד משלושה עיקריים: או שהפניה שלנו לבג"צ תצליח והמאגר יבוטל מתישהו ב-2018, או שיהיה מהפך בחירות וקואליציה חדשה תחליט למחוק את השרץ, או שהגזרה תשאר, ועד 2022 (2027 למי שרץ להחליף תיעוד במאי) כל הישראלים שישארו פה יאלצו להשתדרק למאגר. בינתיים כבר היו דליפות בהודו וסיפורים מסוכנים אחרים, אז נחיה ונראה. על עדכונים של פאדיחות הבית הלבן אני גם לא ארחיב, אתם בטח צופים כמוני בסטיבן קולבר ביוטיוב.

היום אני רוצה לספר לכם על הצעצוע החדש שלי, יוביקי 4. כל מי שמכיר אותי, יודע שככל שנכנסתי בשנים האחרונות לתחום הזכויות הדיגיטליות, אני יותר ויותר מתעניין בתחומי הצפנה, זיהוי והזדהות, סיסמאות חזקות וכדומה. זה רק אספקט קטן מהעולם הזה, וכמובן לא משנה כמה חזקה הסיסמא שלכם לפיכסבוק אתם עדיין צריכים להיות אחראים למה שאתם מפרסמים שם. בכל מקרה כדאי גם שלא יגנבו לכם את החשבון עצמו, ולכן אני ממליץ תמיד:

  • סיסמאות ארוכות וקשות, ושונות לכל אתר.
  • כמה ארוכות וקשות? כאלו שבחיים לא תזכרו, בשביל זה יש מנהלי סיסמאות. על זה כנראה פוסט נפרד בעתיד.
  • אם השירות מציע אימות כפול, הפעילו אותו תמיד! יוצא דופן – אימות באמצעות סמס, זה כנראה חלש ובעייתי מדי, ומאלץ אתכם לתת לשירות את מספר הטלפון שלכם, אז לשיקולכם. חפשו בהגדרות המשתמש שלכם, יש אלפי אתרים שתומכים.
  • כדאי להחליף סיסמאות פעם בשנה, אבל אפילו אני לא עד כדי כך קדוש. החליפו כשיוצא לכם.
  • אפשר לסנכרן סיסמאות ושאר מידע בין דפדפנים באמצעות Chrome Sync או Firefox Sync/Weave אבל לבחור במקרים כאלו סיסמת הצפנה ארוכה וקשה, אפילו 64 תווים, שתשמר כמובן מוצפנת במנהל הסיסמאות שלכם.

כמה מילים על אימות כפול, או אימות בשני פקטורים: אחד הדברים הראשונים שמוגדרים בפרוטוקול זיהוי (ולא משנה אם אנחנו מדברים על סיסמא לאתר או כשאתם מתיישבים מול הפקיד בבנק) הוא הגדרת שיטת הזיהוי, כששיטות אימות הזיהוי מתחלקות ל3 קטגוריות כלליות: מי אתה, מה אתה יודע, ומה יש לך.

מי אתה – זה לרוב זיהוי ביומטרי, הבעיות איתו שאת חלק מהמדידות הביומטריות יקר למדוד או קל לזייף, ובמיוחד זה לא שונה מול כל גורם, ולכן אם היכולת להתאמת במקום אחד דלפה, הרי שהיא טובה לאחרים שסומכים על אותה השיטה. זה שווה ערך לסיסמא לא חזקה, שכתובה בצורה לא מוצפנת בכל מיני מקומות שאתה מסתובב בהם, שניתן לזייף ואי אפשר להחליף. רעיון גרוע. הצעתי היא שאם ספק השירות נותן בחירה, אל תסתפקו לעולם בזיהוי ביומטרי כאמצעי זיהוי ראשי. לא מול משרד הפנים או רשויות המס, לא טביעת האצבע לפתיחת הטלפון, לא להפעיל חתימה אלקטרונית במחשב, לא טביעה קולית מול השירות הטלפוני של הבנק, כל אחת מהשיטות האלו כבר הוכחה כקלה לזיוף.

משהו שאתה יודע – זו לרוב סיסמא, ובמקרים הפחות מוצלחים: תאריך יום הולדת, קוד סודי מגב כרטיס האשראי, תאריך ההוצאה של תעודת הזהות האחרונה שלך, מספר תעודת הזהות, שם הנעורים של אימא, שם חיה או מורה או בי"ס ראשון וכיוצא באלו דברים שקל לגלות עליכם ע"י בילוש או כיוס.

משהו שיש לך – תעודה בלתי ניתנת לזיוף, אם ע"י שימוש בשיטות ייצור סודיות וייחודיות ואם ע"י חתימה דיגיטלית, או אולי מפתח כלשהו שלא ניתן לשכפל. כשאני אומר מפתח עולה לכם אולי בראש מפתח פלדלת או ייל, אבל את אלו כבר שכפלו כי הופיעו בטעות בתמונה. הסיפור הכי מצחיק היה כשסוכני TSA הצטלמו ברוב היבריס עם צרור המפתחות שלהם שפותח כל מנעול מזוודות בשוק, ואנשים מיהרו להעתיק את המבנה מהתמונות, וכמזה שנתיים אפשר להוריד את כל המפתחות מגיטהאב להדפסה בתלתפסת ביתית. לא, אני מתכוון למפתחות הצפנה פיזיים, כלומר מעין התקן USB עם מעבד קטן וזכרון שאי אפשר לקרוא, וניסיון למעקף פיזי של ההגנות אמור להרוס אותו ללא שוב. כאלו יש מספר מוצרים בשוק ואחד היצרנים הבולטים הוא Yubico. אני סוקר את המוצר שלהם כאן כי אחרי שלמדתי את הנושא ברשת הגעתי למסקנה שזה אחד משניים-שלושה הכי מעניינים, מגוונים ונגישים, ואין לי שום קשר איתם מעבר לזה (וכמובן לא קיבלתי מהם מוצר או טובות), ולכן קניתי אותו. יש להם אפילו יבואן רשמי בארץ אבל אחרי שקיבלתי מהם ספאם, העדפתי לשלם את המחיר המלא של הזמנה מחו"ל (אמזון או הריסלר הזה). שווה להציץ, לפעמים יש להם סייל 50% הנחה ליום-יומיים.

אימות כפול, או אימות מרובה, הוא כזה שמשתמש ביותר משיטה אחת מאלו שפירטתי, ובמיוחד עדיף שלפחות משתי קטגוריות שונות.1

המוצר עליו אדבר פה הוא חד פעמי ולא ניתן לגיבוי או העתקה, ולכן הוא בגדר משהו שיש לי. לא אכנס כאן לכל הפרטים הטכניים הקטנים, אבל רשימת הדברים שעושה הכרטיסון הקטן הזה היא מרשימה:

  • מול אתרי ווב יש לי את שירות U2F שמזכיר את יישומון Google Authenticator רק שלא צריך להעתיק שישיות ספרות ולא ניתן להעתיק את הסודות ע"י יישומון זדוני (מצד שני, אי אפשר לגבות, לטוב ולרע…)
  • משמש לפתיחת כספות סיסמאות כמו Keepass או LastPass.
  • הוא יודע לעבוד במוד challenge-response מכמה סוגים, שמאפשרים לי למשל לאבטח את הלפטופ שלי כך שלוגין פשוט (בקונסול, GDM או מנעילת מסך) ללא הכרטיס תיחסם (מודול PAM ששולח לו צ'אלנג' ורואה שהוא מחשב אותו נכון ואז מאשר גם לפי הסיסמא). לחלונות ומאק יש אפשרות דומה.
  • בשיטה אחרת גם פתיחת ההצפנה של הדיסק (root on LUKS) לא תתאפשר בלי שהסיסמא תעבור פיענוח דרך הכרטיס.
  • הוא יודע להצפין ולפתוח מסרים עם מפתח RSA של GPG עד 4069 ביט (2048 בלבד בגרסת Yubikey NEO של ההתקן, לצערי).
  • משמש אמצעי אימות לחיבור SSH, אם ע"י שמירת המפתח הסודי או דרך אימות PGP שעד לאחרונה לא הכרתי אפילו שקיים.
  • הוא יודע לחתום על Docker Images (לא בגרסת NEO) למי שזה מעניין אותו.
  • הוא יודע לייצר קודים חד פעמיים מסוג HOTP (אין לו שעון פנימי, אז אין TOTP בלי תוכנה מסייעת).
  • האתרים שכרגע אני עובד איתם בעזרתו: חשבונות גוגל השונים, גיטהאב, בלוגים מבוססים וורדפרס.
  • אתרים בהם אני לא משתמש אבל תומכים: סיילזפורס, פיכסבוק ודרופבוקס.
  • אתרים שהייתי רוצה לעבוד אתם אבל לא תומכים (בינתיים): פייפאל, בנקים ישראליים, חברות ביטוח ובריאות, אמאזון, טוויטר, ובעצם כל אתר אחר שאני נכנס אליו עם סיסמא.
  • רוב התוכנות והדרייברים פתוחים וברישיון חופשי, אפשר גם לבנות שרת אותנטיקציה משלך לשרתים אחרים ועוד המון אפשרויות לאנשים פרטיים וללקוחות תאגידיים.

שו"ת

זה לא פרנואידי?
למשתמש פרטי כיום, קצת. בעתיד אולי כבר לא. כדאי להתחיל להכיר או להתרגל.

להצפין את הדיסק? זה לא מעמיס את המערכת?
עם LUKS זה מובנה בקרנל, לחלונות ומאק יש משהו דומה, המחיר אחוז או שניים. אני לא ממליץ על ecryptfs שאובונטו מציעה להצפין אתה רק את ספריית הבית, זה פוגע בביצועים הרבה יותר. התחלתי לעשות את זה כשעבדתי בחברות שעסקו במידע רגיש, אצל מעסיקים אחרים הסתכלו עלי כמשוגע ובסוף באו להתייעץ איתי כשהמחשב הראשון נגנב מהמשרד או כשנציגים התחילו לצאת לשטח ולתערוכות ועלה הפחד שיגנבו סודות מקצועיים. אז כאמור לדעתי היום זו חובה שלא עולה הרבה לממש.

אני בונה היום אתר, להשקיע באימות כזה למשתמשים שלי?
גם TOTP-2FA וגם U2F – לדעתי כן, במיוחד אם האתר שומר פרטים אישיים של כרטיסי אשראי, בריאות מטופלים ועוד כיוצא באלו. יש ספריות חופשיות שקל לשלב, ולמערכות כמו וורדפרס, דג'נגו, ג'ומלה, רובי-או-ריילז ואחרות יש כבר מודולים מוכנים לקטיפה מהעץ, אז חבל להתעצל!

למה יוביקי 4 ולא גרסת הנאו?
טעם אישי. היוביקי 4 תומך במפתחות טיפה יותר גדולים, הוא טיפה יותר זול, קוד ה-PGP שלו פתוח בגיטהאב. לרוב האנשים גם הנאו יהיה מצוין, והיתרון הגדול שלו הוא NFC שעובד עם אנדרואידים שיש להם רכיב תקשורת תואם. אם רוצים להשתמש ביוביקי 4 (ללא NFC) על אנדרואיד, אפשר בעזרת כבל OTG, או לטלפונים חדשים, חיבור ישיר USB-C בדקם יוביקי החדש).

יש מתחרים ראויים?
יש כמה. חלקם יתנו U2F בלבד בפחות מ$10-$20, חלקם יקרים מאוד אבל עושים דברים נוספים כמו לשמש כארנק קריפטומטבעות (למשל Trezor ואחרים) ויש גם אופציות "האקריות" פתוחות כגון OnlyKey שמוסיף שכבות הגנה כמו סיסמא, פיצ'רים כמו השמדה עצמית וכדומה. יש מצב שאקנה כזה בעתיד, למרות שהוא נראה פחות עמיד מכנית לשבירה ושפשופים.

התוכנה צרובה ולא ניתנת להחלפה? אז מה אם יתגלה באג אבטחה?
כבר קרה פעם אחת, וכל הלקוחות קיבלו מפתח חדש עם קושחה מעודכנת. זה חלק מהשירות (והמחיר). אי האפשרות לעדכן את הקושחה זה פיצ'ר מתוכנן במכוון, כדי לא לאפשר החלפה לתוכנה שתגלה את המפתחות הסודיים ששמורים על המפתח.

כבר יש לי כזה מהמעסיק
אם המעסיק נתן לכם התקן כזה שישאר שלכם לשימוש אישי גם אחרי שתעזבו – כיף לכם! גוגל, פייסבוק וחברות טכנולוגיה אחרות עושות את זה. השתמשו בזה חופשי גם לחשבונות פרטיים!

אבל זה בעצם כרטיס חכם! יש לי כזה מרשות המסים ובתעודת הזהות החכמה החדשה!
כן ולא. יש על הכרטיסים האלו מעבד מספיק חזק לכל אלו ככל הנראה, ויכולות להזדהות בפרוטוקול כלשהו מול הממשלה יום אחד, אבל לא קושחה פתוחה שמאפשרת את כל הטוב שעליו כתבתי לעיל. אם הייתי שר הפנים, אחרי שהייתי מבטל את המאגר הביומטרי, הייתי מעביר נותן לכל הציבור תעודות חכמות עם היכולות האלו מובנות שישמרו עליהם ביום-יום. לצערי לא נראה לי שזה יקרה בזמן הקרוב.

למה לא כתבת פוסט כבר המון זמן?!
כי הייתי עסוק, וכי אף אחד לא שאל למה לא כתבתי כבר המון זמן, אז אולי מסתפקים בפרסונה הטוויטרית שלי…

אם יש לכן עוד שאלות, שתפו בבקשה בתגובות. אם זה מספיק מעניין לכלל הקהל, אולי אענה פה בגוף הפוסט.

-------
  1. אפשר לדון פה פילוסופית אם ה־‏Google Authenticator שלי, שמגובה כל יום וניתן לשחזור במקום אחר הוא באמת משהו שיש לי או שהוא מידע ולכן משהו שאני יודע, אבל לצורך הפשטות, לרוב המוחץ של האוכלוסייה, זה נופל תחת משהו שיש לי.[^]