תגית: גניבת זהות

התחלתי לענות למגיב אצלי בבלוג, אבל זה התנפח למימדים שמצדיקים עוד פוסט. אז הנה התשובה שלי לירייה-מן-המותן של צבי גלברד מאתמול:

חוק מעולה, יצמצם עבריינות, זיופים, ויצמצם אנרכיה.
די להפחדות די לשקרים די להסתה די לתעמולה של החתרנים השמאלנים וכל ה"מומחים" מטעם שיש להם ידע חלקי. אנו מכירים הרבה כאלה…..חלקם מתוסכלים שלא מצאו ג'וב יותר טוב בחיים.
לידיעתכם: יש מלא מאגרי מידע הכוללים יותר אינפורמציה עלינו מאשר במאגר הביומטרי: בנקים, קופ"ח, ולאקדמאים שבינינו- באונברסיטאות.
לקבל ויזה לארה"ב נותנים פעמיים טביעות אצבעות!!! מדוע לממשלת ארה"ב מותר לעשות מאגר ביומטרי של אזרחי ישראל ולממשלת ישראל אסור ?
המאגר הביומטרי יהיה מוגן יותר מכל הנ"ל. בנוסף: לא כל האנשים במשטרה ובזרועות הבטחון מטומטמים כל הזמן. אני מחכה לראות את המטומטמים שינסו לפרוץ למאגר וייכנסו לכלא……

צבי, הבטחתי לך תשובה בערב ובסוף יצא לי לילה. אני אנסה לענות בכ"ז, ואם אחת הנקודות נראית לך רעועה, רק תבקש ואני אנסה לגבות אותה במראי מקום (אבל לא ב4 בבוקר). אני גם מתנצל אם בגלל השעה הניסוח יצא ארכני או לא ברור, אני עייף מכדי לערוך את זה מחדש עכשיו. לענייננו:

"חוק מעולה" – זה כל כך כללי שאין לי מושג מאיפה לענות על זה. בחוק היו המון חורים, בעקבות פניות דורון אופק, קלינגר, פינצ'וק ואחרים התגלו המון חורים בתכנון (חפש גם "קן עקרבים" בבלוג של דורון אופק) והרבה תוקנו, למרות שהרבה נשארו ופורטו בבלוגים שלי+קלינגר+אופק+פינצ'וק+אחרים. חוק "מעולה" הוא לא.

תראה, אני עוסק בתחום של ניהול רשתות, והדרך שבה מגינים על מערכת הוא ראשית לשבת ולהחליט על מה צריך להגן ומפני מי (פרטי אשראי מפורץ חיצוני? יכולות בתוך המערכת ממשתמש חוקי?) ומתוך זה לבחור את הכלים והמתודולוגיות, שימלאו את המטרות החשובות האלו, מבלי לפגוע ביכולות המשתמשים החוקיים הקבועים לקבל שירות טוב ויעיל, וכמובן מבלי שיזרקו תכופות מהמערכת כחשודים בגלל רגישות יתר של המערכת.

הבעיה לדעתי מתחילה בזה ששטרית צייר מראש את המאגר כמטרת החוק (והוא מופיע כמטרה בנוסח ההצעה!), במקום להגדיר את המטרה האמיתית (בטחון? מניעת זיופים? לא ברור) ולהבין שהמאגר הוא רק כלי אחד מרבים, ויש לשאול את המומחים מהו הכלי הנכון להשגת המטרה בלי ליצור בעיות וסכנות חדשות. יש חלופות, יותר זולות ולא מסוכנות, הן לא נבחנו. שטרית כבר העביר כספים ל-HP (שקיבלה פטור ממכרז), ופיזר רמזים שהאחראית לצד הכרטיסים תהיה חברת און-טראק (OTI), שוב לפני שהתפרסם מכרז. על בעיות מטרידות אחרות בתהליך החקיקה תוכל לקרוא פה. אבל חזרה לעיקר – כאמור מאגר מרכזי איננו הפתרון היחידי, והוא יותר מסוכן לאזרח התמים מאשר לפושע, במיוחד כשידלוף אבל גם לפני כן. את זה פירטתי במקומות אחרים. לא מעולה בכלל.

"יצמצם עבריינות" – איך בדיוק? האם הוא יהפוך אזרחים תמימים לחסיני כדורים ודקירות סכין? האם הוא יחנך עבריינים שכדאי להתיישר ולפתח קריירה חוקית? כל הסטטיסטיקה על ערי מעקב (ולונדון בראשן) הראו שכל האמצעים הטכנולוגיים לא מונעים פשעים ולרוב לא עוזרים לפתור אותם. אז הסבר בבקשה את טענתך.

יצמצם זיופים: נהפוך הוא. אם פקידי הממשלה יחלו להסתמך יותר מדי על אמצעים טכנולוגיים, הזיופים יהיו יותר קלים. דוגמא: עשרות אלפי אנשים עוברים כל יום בשכת העבודה בלי שפקיד יזרוק אליהם מבט כי סומכים בעיוורון על סורקי טביעות האצבע בקצה השני של האולם. עו"ד אפי פוקס הדגים לכתבים איך בכמה עשרות שקלים העתיק את טביעת אצבעו בקלות ואחיו הזדהה בהצלחה בשמו במחשבי לשכת התעסוקה עם אצבעון לאטקס. בהמשך הזיופים האלו ישמשו לגניבות זהות יותר בעיתיות, אני בטוח שהפושעים כבר ימצאו דרכים משעשעות להעביר לנו את בעלות הרכב או הבית או חשבון הבנק, כשמשרד הפנים יחליט יום אחד שמה שטוב בשביל קבלת קהל אצלו יתאים גם לרשויות אחרות. אגב, הבעיה הזו קיימת גם בתעודות ביומטריות ללא מאגר מרכזי, המאגר המרכזי לא משנה את המצב לכאן או לכאן.

"די לתעמולה של החתרנים השמאלנים" – יש לא מעט מתנגדים גם בימין, כמו שראינו לפני שעות ספורות. חברי סיעות ישראל ביתינו והליכוד עוד יגרמו לחוק ליפול, ובוודאי שלנערי הגבעות וקיצוניים אחרים יש גם כן אינטרס שלא יזוהו פרצופיהם בהתקלויות מול הצבא והמשטרה, שלא נאמר המשטרה הפלסטינית. אנשים בשולי החוק רוצים להשאר אנונימיים בגלל מה שהם עושים במודע, ואילו אנשים שומרי חוק במרכז המפה לא רוצים שיהיו יותר אמצעים להפליל אותם בגלל טעויות תוכנה וסטטיסטיקה במקרה הטוב, או בגלל משטרה שחותכת פינות כדי להשוויץ בסגירת תיקים במקרה הרע. חפש בגוגל את השם Brandon Mayfield לדוגמא אחת מפורסמת מבין רבות. משטרת ישראל כבר נתפסה לא פעם עושה את זה, המערכות הנוספות האלו רק יקלו עליה לעשות את הטעויות האלו יותר ויותר, וענין הציבור בבעיה ילך ויחלש עד שהדיעה הציבורית תהפוך ל"טוב נו, אז נשברו כמה בייצים, העיקר שיש חביתה". זו לא דמוקרטיה, ולא אכפת לי מאיזה צד אתה של המפה, זה חייב להטריד אותך.

עוד דוגמא – אם בריטית שהיתה מטרה למעקב ממושך ללא סיבה מוצלחת. אנחנו רואים יותר ויותר שההשפעה העיקרית של המערכות האלו היא בזבוז כספי ציבור, וערעור הבטחון האישי של האזרח. אתה רוצה לראות עוד אנשים מתדרדרים לדיכאון או אולי לסמים ואלכוהול? רק תן להם את ההרגשה שעוקבים אחריהם כל הזמן והם כבר יתחילו לעשות שטויות ו/או לפגוע בעצמם או באחרים מהלחץ. חברה יציבה ורגועה? ההפך הגמור. האם זהו החזון הציוני? האם זה תואם מוסר יהודי? האם זו התנהלות דמוקרטית בעיניך? הפושעים ילמדו את המערכות ויגלו איך לעקוף אותן, ורק לנצל יותר בקלות את הציבור המפוחד והחשדן. חוסן חברתי, מורל לאומי ואמון בממשל ובקהילה זה לא יחזק, אני מבטיח לך. רק יפורר וימעך.

"כל ה'מומחים מטעם' שיש להם ידע חלקי" – ה'מומחים מטעם' שעד היום הזהירו או הביעו התנגדות נחרצת: שרים, משפטנים, הסנגוריה הציבורית, לשכת עורכי הדין, לפחות שופט אחד (בועז אוקון), היועמ"ש, רשות החקיקה הטכנולוגית במשרד המשפטים, רשות ההגנה על הפרטיות במשרד המשפטים, מומחי אבטחה, מחשבים והצפנה בעלי שם עולמי (ביהם, שנאייר ואחרים), מומחים ויועצים מרשויות הגנת פרטיות במדינות אירופאיות שונות, ארה"ב וקנדה, ואלו רק אלו שאני זוכר בשעה מאוחרת זו.

מומחים ובעלי ענין שהודו שהמאגר לא נחוץ בשביל תעודות מוצלחות וקשות לזיוף: חמי פקר מהמל"ל, מספר אנשי משטרה (בפרוטוקולי הועדה איפשהוא) ואפילו שטרית עצמו.

"יש מלא מאגרי מידע הכוללים יותר אינפורמציה עלינו" – נכון, וגם זה מטריד. כשהם זולגים הם אכן פוגעים בנו מאוד, אבל הם זולגים פחות מאשר אלו של משרד הפנים, נושא שמבקר המדינה הקדיש לו הרבה תשומת לב בדו"ח האחרון במיוחד. מצד שני, הם לא סוג המידע שמאפשר לזהות אותנו מרחוק ברחוב למעקב מזוהה קל ואוטומטי, הם לרוב לא מסוג המידע שמאפשר לגנוב לנו את הזהות, לפחות לא יותר מפעם-פעמיים, לפני שהדליפה תתגלה ויוחלפו סיסמאות והליכים. אבל אפשר להחליף סיסמאות, מספרי אשראי ואולי אפילו מספר זהות. פרצופים ואצבעות זה יותר קשה.

בארה"ב, הNSA מקליט מליוני שיחות טלפון ביום, מצליב עם פעולות בנקים ואשראי, מיקום סלולארי ולך תדע מה. הם מחפשים חריגות מהרגלים קבועים – רווק ממוצא ערבי שפתאום קונה קבוע יותר אוכל בסופר? פרופסור שנוסע הרבה לחו"ל נוסע פתאום באוטו יקר יותר מרמת משכורתו? המערכת שולפת חשודים לבדיקה אבל הם טוענים שיש להם 99% דיוק. יופי! זה אומר שאם יש טרוריסט אחד למליון, המערכת מציעה עדיין 10,000 חשודים תמימים מכל מליון, שרשויות הבטחון עכשיו עוקבות אחריהם בזכוכית מגדלת. אבל אתה יודע איפה ישבו חוטפי המטוסים של 9/11? בלאנגלי! בצד השני של האוטוסטראדה מה-NSA וה-CIA! הם אכלו באותם דיינרים ומילאו באותן תחנות דלק עם הסוכנים שחיפשו אנשים כמותם. זו הסטטיסטיקה המהוללת שגם אח"כ חטפה אנשים לשנים של חקירות ועינויים במקומות כמו גיטמו ואבו גרייב. זה מה שקורה כשאתה מסתמך על אלקטרוניקה ותוכנות במקום על עבודת בילוש. אני לא צריך משטרה כזו, ושוב – אם זה חוק משטרתי, למה הוא מיוזמת משרד הפנים?

"לאקדמאים שבינינו- באונברסיטאות" – אכן! לידידה שלי גנבו ממשרד ההרשמה את מספר הבט"ל האמריקני עם ערימה של טפסי הרשמה של עוד הרבה אחרים, ומאז כבר עשרים שנה נפתחים על שמה עשרות חשבונות בנקים ונערמים חובות בשל גניבות זהות, ולכן היא לא יכולה לקבל בארה"ב אשראי, ביטוחים שונים וצרות נוספות רדפו אותה עד שנאלצה פשוט לעבור מדינה. מאגרי מידע מסוימים הם רגישים ובעייתיים, ואם אין להם שימוש מאוד מוגדר ואפשרות להתגונן מנזקי הדליפה לאחר מעשה, עדיף לחפש פתרון אחר!

"לקבל ויזה לארה"ב נותנים פעמיים טביעות אצבעות" – נכון מאוד, צבי! ואם יהיו לנו דרכונים ביומטריים כמו שדורשת רשות התעופה הבינלאומית (בלי מאגר מרכזי, בלי טביעות אצבע, רק תמונה איכותית מודפסת גם ויזואלית וגם בברקוד דיגיטלי), אז לא נצטרך יותר לבקש ויזה ולא לתת אצבעות. בדוק וחזור להתנצל.

"מדוע לממשלת ארה"ב מותר לעשות מאגר ביומטרי של אזרחי ישראל ולממשלת ישראל אסור ?" – כי אתה אזרח זר שרוצה לבוא לבקר אצלם, אף אחד לא מכריח אותך. בישראל לעומת זאת אסור לך לצאת מהבית בלי תעודת זהות, הקנס הוא אלפי שקלים עד כלא. בנוסף, המאגר של המבקרים שמור היטב במחשבי משטרת הגבולות ואולי מועבר גם ל-FBI, עד כמה שאני יודע עוד לא דווח על מקרים שהנתונים דלפו חופשי לחברות פרטיות, משווקים, חוקרים פרטיים ושאר גורמים. המדינה אמורה להגן עליך מפני זרים עם כוונות לא ידועות, לא לגונן על עצמה מפני האזרחים שלה ע"י שהיא לוקחת מהם חרויות ועוקבת אחריהם תוך סיכון רכושם ובטחונם.

בכל מקרה, ממשלת ארה"ב עושה המון פעולות תמוהות וחמורות נגד אזרחיה, הם הדמוקרטיה עם האחוז הגבוה ביותר (2.5%!) של האוכלוסיה בבתי כלא, רבים מהם מסתברים בדיעבד כחפים מפשע (לפעמים לאחר הוצאה להורג). אני לא רוצה אותם כדוגמא לכלום, אני רוצה שישראל תלמד מהטעויות שלהם ותעשה את הדברים יותר נכון ולא יותר גרוע.

"המאגר הביומטרי יהיה מוגן יותר מכל הנ"ל" – לא מנסיונינו העגום עם מרשם התושבים, רשימות ההוצאה לפועל ועוד הרבה מאגרים. אין לי מושג מאיפה האמון הנדיב הזה, כי כל ההיסטוריה מצביעה על ההפך הגמור.

"לא כל האנשים במשטרה ובזרועות הבטחון מטומטמים כל הזמן" – אבל מספיק שאחד או שניים מהם מטומטם או מושחת חלק מהזמן כדי שיקרו צרות, וקרו מקרים. אבל בכל מקרה המאגר הזה אינו אמור להיות נגיש למשטרה ללא צווים ותהליכים (לשון הצעת החוק) אבל יהיה מפוזר ומועתק במשרד הפנים, משרד הרישוי, משרד העבודה, ולמעשה כל גוף ממשלתי שנותן שירותים לאזרח וצריך לזהות אותו, משמע – כמו מרשם התושבים, יותר מדי ידיים יקבלו גישה ליותר מדי מידע, והחוליה החלשה תדפוק את כולם.

"אני מחכה לראות את המטומטמים שינסו לפרוץ למאגר וייכנסו לכלא" – אני לא אתנחם בזה שמישהו יפשל וישב אפילו 100 שנה בכלא על מכשירי הנשמה, אם לחיזבאללה, חמאס והמאפיה הרוסית יהיו עותקים של המאגר, שיהפכו את כולנו למטרות יותר ממוינות וממוקדות לצרכיהם השונים.

המאגר הזה אסור שיאסף, הוא בפירוש בבחינת פצצת אטום כדי להרוג פיל. אני לא אפחית מחשיבות הבעיות הבטחוניות שלנו, לכן לא אמרתי "פצצת אטום כדי להרוג זבוב", אבל עדיין, הפתרון הזה מסוכן בכמה סדרי גודל מכל הפשיעה והאלימות הנוכחית בארץ, הוא יקר, הוא פסול ע"י כל מי שמבין בתחום.

אם המשטרה רוצה מאגר, שתחוקק אחד, נראה ונדון. משרד הפנים לא צריך לפתור את בעיות הפשע בשביל משרד בטחון הפנים ולא את בעיית הזיופים לביטוח לאומי. ממשלת ישראל לא צריכה להיות הדמוקרטיה הראשונה בעולם שתעשה ניסוי כזה בבני אדם, כי כשלון בניסוי הזה הוא לא הפיך.

אני מקווה שעזרתי לך לחשוב על הבעיה מעוד נקודת מבט. כאמור אם תרצה סימוכין ולינקים אני אחפש לך מחר. עכשיו אני חייב לישון.