דוא"ל איננו מדיום מאובטח

דוא"ל תמיד היה איתנו, עוד לפני ימי הרשתות החברתיות, לפני הבלוגים, אפילו לפני פתיחת המרשתת לציבור, ובהחלט לפני שתקני הצפנה כמו SSL או TLS היו בשטח. למעשה דואר אלקטרוני הנישא על גבי UUCP או SMTP קיים בצורה די דומה לצורתו הנוכחית כבר במעט חצי מאה. סימן השטרודל בכתובת יחגוג 50 בשנה הבאה, וה-RFC הראשון עוד שלוש שנים. נולד חודש אחרי, הצוציק.

מצד אחד זה מראה על יציבות בלתי רגילה. תקנים נכנסו ויצאו, HTTP למשל עבר באותה התקופה שינויים אדירים, התפצל והתאחד, מפלרטט עם UDP, והשתלט על הקשקשת ברשת. פרוטוקולים אחרים לבלבו וקמלו, אבל איכשהו הדוא"ל נשאר איתנו באותה הצורה. נכון שקראנו דרך הדפדפן, אאוטלוק, יודורה, mutt, ועוד מאות תוכנות, אבל מלבד שינויים קלים הבסיס נשאר ונשאר די אמין (מלבד פילטרים חזקים מדי לספאם…). מצד שני זה אומר שתקני ההצפנה לא הגיעו לשם.

כשאני אומר הצפנה זה לא רק שליחה וקבלה של דוא"ל מוצפן במפתחות ציבוריים, GPG או תעודות X.509 ושאר תקנים מסורבלים, הלוואי שזה היה תופס כראוי (אתם עדיין מוזמנים להתכתב איתי עם GPG דרך Thunderburd+Enigmail אבל אני הראשון להודות שזה מסובך מכדי להיות שימושי). אני מתכוון להצפנה פשוטה של TLS, אותו HTTPS בתחילת כתובות מרשתת שהיום הדפדפן יזהיר אתכם כשאתם משתמשים בגרסה הלא מאובטחת של הגישה לאתר.

כמו שכתבתי פה בפוסט הקודם, עברתי בשנה האחרונה טיפול בסרטן המעי הגס. זה כלל בדיקות קולונוסקופיה, CT, MRI, שני ניתוחים, חצי שנה של טיפולי כימו והמון המון קביעות תורים אצל אונקולוגים, גסטרואנטרולוגים, יועצים גנטיים וסתם הפעלות של ביטוח פרטי ורופאת קופ"ח. כל זה להגיד שהייתי צריך לשלוח ולקבל המון ניירות שבהם מתנוססים מספר תעודת הזהות שלי ובחלק מהמקרים גם צילום מלא של תעודת הזהות שלי. לעשות את זה בדוא"ל לא מקובל עלי כי יש לנו מה להפסיד.

בעזרת ת"ז אפשר לעשות לא מעט נזק לאזרח ישר. אפשר להצליב עליו מידע מכמה מאגרים, חוקיים יותר ופחות, אפשר לנסות להזדהות מול נותני שירות שלו ולגנוב זהות, למרות שבנקים ומשרדי ממשלה שונים הפסיקו לתת שירות רק עבוד מספר ת"ז, מומחים להנדסה חברתית עדיין מכירים טריקים להיעזר בזה. צילום של תעודת הזהות כולה מכיל גם את תאריך ההנפקה שלה וכאן אנחנו כבר מספקים דרך להיכנס לאתרים ממשלתיים כמו "הר הכסף" ו"הר הביטוח" ועל זה אני ממש לא ממליץ. מה גם שאת תעודת הזהות הישראלית קל לזייף, במיוחד אם כמוני אתם עדיין מסרבים לעבוד לתעודה החדשה כל עוד המאגר הביומטרי עדיין קיים.

אז מה עשיתי? תאמינו או לא נאלצתי להשתמש בפקסים. איכס. יש לנו פה מדפסת מולטיפנקשן בבית, לדעתי אלו המודמים האנלוגיים האחרונים בעולם שעוד מיוצרים, אבל ככה אני לפחות יודע שרק השב"כ עשוי להאזין, ולא כל ארחי פרחי במרשתת. לשב"כ יש ממילא את כל המידע עלי שבא לו, אז זה זניח.

זה לא שאין תקן למשלוח דוא"ל מוצפן בין שרת לשרת. פשוט הרבה מוסדות לא טורחים לממש אותו. שרת הדוא"ל האישי שלי ינסה לשלוח לג'ימייל בצורה מוצפנת ויצליח, אבל מה לגבי קופת החולים שלי? והמכון שבו עשיתי את הקולונוסקופיה? ובי"ח שיבא שם יושבים האונקולוגית והכירורג שלי? ובי"ח בילינסון שם אני אמור לעבור יעוץ גנטי? יותר מזה, כשאני הולך לצלם את השיניים הם שולחים בדוא"ל את הצילומים לרופא השיניים שלי, מזהה ביומטרי אחו-שלוקי אם תרצו, כולל תעודת הזהות, ואין לי מושג איך הדוא"ל עובר ביניהם.

אם מסקרן אתכם אתם יכולים לבדוק עם כמה כלים פשוטים בשורת הפקודה בלינוקס. לכל דומיין (=שם מתחם) במרשתת אמורות להיות רשומה אחת או יותר מסוג MX ואפשר לראות מי מטפל להם בדוא"ל והאם כתובת הIP הנ"ל עונה בפורט 465/tcp – אחרת זה נופל לפורט הרגיל הבלתי מוצפן 25/tcp שעליו אפשר להפעיל TLS אבל סביר להניח שזה כבר לא יהיה אם 465 לא פתוח. הבעיה היא שאין פה איזה מנעול ירוק או סימן קריאה אדום. לא קל לברר מה קורה עם מכתב מרגע ששלחתם, אלא אם כן תוכלו לראות את כל המסלול שעבר עד שהגיע ליעד (במילים אחרות תשכחו מזה). בדקתי את המצב בכמה גופים, והתעודדתי שרובם מקפידים, רק שלפחחות אחד מאלו שהזכרתי לעיל השתמש בספק אינטרנט ציבורי למקרה שהשרת שלו מושבת (כלומר רשומות MX נוספות בעדיפות נמוכה) ושם לא הייתה הצפנה, או במילים אחרות, אם תקרה להם תקלה טכנית זמנית, כל הדוא"ל שלהם יוזרם לשרת פרטי בצורה לא מוצפנת עד שהם יחזרו לתפקוד.

כבר קרה לי גם שישבתי מול סוכן ביטוח או יועצת השקעות שביקשו לצלם את תעודת הזהות שלי ועשו את זה למרבה התרעומת עם הסמארטפון הפרטי שלהם. לאיפה הולך הצילום? "אה, אני שולח את זה לעצמי לאימייל של העבודה". יופי נחמה. בדרך זה גם בטח מתרפלק לגוגל פוטוז ונשמר בחשבון הענן שלך לנצח. תודה באמת. ולא נכנס פה לשליחי דואר שמצלמים לך את התעודה כהוכחה שקיבלת את החבילה, או שכל סופר שכונתי רוצה את מספר הזהות בשביל כרטיס ההנחות שלהם. נופ. זה בכלל מיותר וחודרני.

פתרון אפשרי אחד: פרוייקט מאוד חביב של מוזילה הוא Mozilla Send, שלצערי הומת בטרם עת. למרבית המזל הוא עדיין תוכנה חופשית ויש סיכוי טוב שאחרים יתקינו אותו בכל מיני מקומות שנצטרך להחליט אם הם אמינים ולא מילכדו את התוכנה. אני כנראה אקים אחד לשימושי הפרטיים על השרת שלי. אני רק מקווה שימשיכו לתחזק את הקוד שלו. זה מאפשר לשלוח קבצים בצורה מוצפנת, שהמפתח שיוכל לפתוח אותם (ורק פעם אחת) הוא לינק שאותו אפשר לשלוח דרך דוא"ל או תוכנות מסרים שונות. אם הלינק נשלח בדוא"ל זה לא מושלם, אבל לפחות תדעו שברגע שהמקבל הוריד אותו הוא נמחק מהשרת לבלי שוב והלינק הופך לבלתי שימושי. במקרה הנדיר שמישהו תפס את הלינק והוריד את הקובץ לפני המקבל המיועד, לפחות תהיה לכם הוכחה שהקובץ נגנב ע"י מאזין שלישי ולא ע"י המקבל. ברכותי, הפרנויה הוכחה כרלוונטית. חסרונות – לא ברור אם או מתי יחזור השירות, לא ברור אם למישהו בתוך מוסד כמו בנק/ביטוח/קופ"ח יש בכלל גישה לשרת החיצוני שאליו הלינק שנתתם.

אפשרות אחרת – אם החלטתם שגוגל באמת לטובתכם ולא רק בהצהרות, וגם אתם וגם המקבל משתמשים בג'ימייל, אפשר לסמוך על זה ששליחה בין שתי תיבות ג'ימייל היא בטוחה ולא תדלוף מחוץ לשרתי החברה. החסרונות הם שלגוגל יש גישה. באותה הצורה גם העלאה של הקובץ לגוגל דרייב, דרופבוקס, מיקרוסופט וואן דרייב ודומיהם.

אפשרות נפוצה אבל לא הכי נוחה – שליחה בוואטסאפ. קל לצלם את המסמכים ולשלוח JPG או PDF לצד השני, זה מוצפן מקצה לקצה. הבעיות – בטלפון השולח והמקבל יש עוד יישומים שרואים את הקובץ הנשלח, אז רוגלות, תוכנות גיבוי, גוגל פוטוז ושאר דברים שאנשים לא מאוד טכניים שוכחים לקחת בחשבון עלולים לעשות העתקים של שמידע. כמו כן לא הייתי שולח את זה לטלפון הפרטי של עובד חברת ביטוח וכדומה.

אפשרות טיפה יותר טובה היא סיגנל, שהמציאה את הפרוטוקול שבו וואטסאפ משתמשת, והיחידה שידוע שמיישמת אותו נכון כי הקוד פתוח. הבעיה שלא הרבה בארץ ובעולם משתמשים בה, ושאר החסרונות כמו שכתבתי לעיל.

על טלגרם לא בא לי לדבר. הם טוענים שהם מאובטחים אבל מומחים מהתחום מעקמים את האף על המימוש שלהם, הם בחרו בהצפנה לא תקנית ולא מוכחת פרטית משלהם, וזה אומר מנורות אזהרה.

הצפנת GPG מקצה לקצה דרך כלים כמו אניגמייל או KeyBase קיימים ומצויינים, אבל רחוקים מלהיות לגמרי שמישים למשתמש הממוצע. אני אשמח אם יותר ישתמשו בזה להעברת מסרים וקבצים, אבל ברור שזה איננו פתרון אידאלי לכולם.

אז מה הפיתרון האידאלי? חברות הביטוח וקופות החולים צריכים לאפשר העלאת קבצים בצורה מאובטחת באתר שלהם או דרך אפליקציה ייעודית (איכס) ועד אז, אל תנתקו עדיין את קו הבזק ומכשיר הפקס שלכם. לא, שימוש בחברות של פקס-דרך-דוא"ל לא מוסיפות אבטחה, להפך, זה מוסיף כמעט בוודאות חוליה לא מוצפנת לשרשרת שאחרת הייתה יכולה להיות פרטית.

(את הפוסט הזה העליתי בעקבות שנה וחצי של תסכולים מול מערכת הבריאות והביטוח, אבל גב הגמל נשבר בעקבות הבחירות המקוונות המתקרבות בעמותה לידע ציבורי, שלדעתי אינן מאפשרות לי להצביע במתכונת שהוצגה – בלינק פירטתי גם חלופה פרקטית להצבעה מקוונת בעמותה שכנראה לא תיושם נכון לכרגע)

Have you written to the FCC today?

Just posted this on Dear FCC:

Dear FCC,

I'm Ira Abramov and I live in Ramat Gan, Israel.
Net neutrality, the principle that Internet service providers (ISPs) treat all data that travels over their networks equally, is important to me because without it My freedoms of expression, usage and being informed are hurt.
A pay-­to-play Internet worries me because new, innovative services that can’t afford expensive fees for better service will be less likely to succeed.
My entire professional and activist life is based on the ability to learn through the net, communicate with and activate people through it. It's the real land of equal opportunities that can't be matched today by political and pricey educational systems. It's like taxing pedestrians for walking certain streets, reading the signs and walking to stores. It is an unfair and unjust tampering with an important public resource.

Sincerely,
Ira Abramov

Feel free to post your own plea!

אינטרנט גנב

במסגרת חודש ירידות הבלוגוספירה על ספקי התקשורת (ראו פרק נטביזיון ופרק נזק, ואם אתם שונאי הוט ואורנג', הציצו פה) הגיע תורם של 012-סמיילי-אינטרנט-גנב. הדרמה הזו נגרר מאוגוסט לספטמבר, אבל לקהל הרחב מגיע להנות מהפרטים:

  • זוגתי היתה מנויה לשירות האינטרנט והטלפוניה של סמייל, שדאגו דרך החבילה שקנתה לשים אצלה תשתית של הוט.
  • בשלב כלשהוא היא קיבלה מהם טלפון בבקשה להתחייב לעוד שנה אם היא רוצה לשמור על המחירים הנמוכים. הזהרתי אותה לבל תעשה זאת כי דמי הניתוק גבוהים, וממילא איכות השירות שקיבלה היה איום, ניתוקים יומיומיים ובעיות עם ממיר הטלפוניה. היא העדיפה לתת בהם אמון וביקשה לדעת מה יהיה הקנס במקרה התנתקות. נאמר לה שהניתוק יגרור את החזר ההנחה החודשית שנותנת לה ההתחייבות (50 ש"ח) על החודשים שבהם קיבלה את ההנחה, והיא הסכימה. לצערנו ההקלטה של זה אין לנו, והחוזה לא נשלח מעולם בדואר.
  • לאחר כארבעה ומשהו חודשים של שירות גרוע וחוסר פנאי לטפל בבעיה היא הודיעה לסמיילי לנתק אותה. כאן הסתבר שלא רק שרצו שתשלם קנס של 355 ש"ח (כמעט פי שתיים ממה שחשבנו שיהיה), הם סיפרו לה שהיא תצטרך להחזיר לבד את הציוד שלהם ושל הוט, וכי הוט יקנסו אותה בעוד 209 ש"ח דמי ניתוק.
  • בבירור עם הוט על מה הקנס לא קיבלנו תשובה ברורה אבל מסתבר שיש להם את פרטי האשראי שלה והם מתכוונים לחייב אותה בכל מקרה. כששאלנו את סמיילי מאיפה להוט את פרטי האשראי שלה לא קיבלנו תשובה משכנעת. בינתיים בוצעה על ידינו חסימת חיוב נגדם.
  • הציוד הוחזר לשתי החברות. אחרי דיונים של חודש הדבר הכי זול שהציעו לנו בסמיל לעשות הוא שיורידו לנו את דמי המנוי ל-20 ש"ח לחודש לשארית חמשת החודשים שנותרו במנוי, כלומר שנשלם רק 100 ש"ח סה"כ אבל שנזכור להתקשר לבטל את המנוי שוב בפברואר. זוגתי שכבר היתה מעורערת מהפרשה העדיפה לשלם את המחיר המלא כדי להיות מנותקת מיידית ורק לא לשמוע מהם יותר לעולם.
  • עדין לא שמענו מהוט אם הם עדיין דורשים את התשלום שלהם או מה, בכל מקרה הציוד הוחזר להם.

בינתיים הזמנו קו טלפון של בזק. לא מצאנו פואנטה לסמוך על יציבות קו האינטרנט כדי לספק טלפוניה. אולי אבנה יום אחד אסטריסק בתוך הבית, אבל נכון לעכשיו, אני חושש שלספקי התקשורת הגדולים עדיין אין כל סיבה לקבל מאיתנו את אמונם.

לבסוף קוריוז מהימים שבהם עבדתי באינטרנט זהב, סביבות אמצע 1999 עד אמצע 2000. חשבונות אינטרנט חולקו חינם על ימין ועל שמאל למנויי כרטיסי אשראי, סופרמרקט וכולי. אלי הולצמן התגאה שחילקו/פתחו לאורך תקופה ארוכה כ-100,000 חשבונות אינטרנט בחודש. "כמה מתוכם משלמים" שאל אותו מישהו. "אולי 3000 או 5000, אבל זו לא הפואנטה!" ענה לו הולצמן. "אינטרנט זהב היא חברת שיווק, לא חברת טכנולוגיה". אז הנה אנחנו, 10 שנים אחרי.

אל תהיה פוץ

כמו שהזכרתי, פיל פלייט נתן הרצאה לפני כמה שבועות בכנס הספקנים TAM8. במקום לדבר על התכווצות הירח ואסטרונומיה הוא בחר לדבר על גישה. רבים בתנועה הספקנית (ואני מודה, גם אני חטאתי) לוקים בבעית הסברה. השבוע ההרצאה הגיעה סוף סוף לרשת.

Phil Plait – Don't Be A Dick from JREF on Vimeo.

לצערי לא הועלה תמלול מלא של ההרצאה (הנה משהו חלקי שהעלה בלוגר אחר) אבל אם לנסות לסכם:
* כמה מכם החזקתם פעם באמונה מופרכת או שגויה? (למעלה מחצי מהקהל מרים ידיים).
* כמה מכם זנחתם אותה כי מישהו נתקע לכם בפרצוף וקרא לכם בשמות וירד עליכם? (יד אחת עולה, וכנראה בצחוק).

דרך טיעונים רציונאליים, פיל עובר בעדינות, שלא מתוך מטרה להטיח במישהו ביקורת קשה אלא להסביר את גודל הבעיה ולמה חשוב לשנות גישה. הוא חוזר ומדגיש שהוא לא מבקש שנוותר על כעס או התלהבות, אלו רגשות אנושיים ומובנים, אבל אנחנו חייבים להבין שאמונה היא חלק מובנה במוחינו ואי אפשר לצפות שמישהו יעקור מראשו אמונה ויחליף אותה באי-אמונה. יותר סביר שמיד תקנן שם אמונה אחרת. הוא נותן דוגמאות להפעלת הגישה הזו עם ילדי בתי ספר שהוא פוגש בבתי ספר של "חגורת התנ"ך" ואיך הוא נותן לרעיון של עובדות ומחקר מדעי להנחות אותו הרחק מהפיכת דיונים כאלו לפוליטיים.

"הרעיון הכי טוב שיעלה בראשך שווה כקליפת השום אם לא תשתמש נכון בתקשורת כדי להפיץ אותו" הוא אומר, והוא מדבר על תקשורת בינאישית כמובן. חשוב שאנחנו נלחמים על הגיון ועובדות, אבל זו לא מלחמה של ארטילריה, כאן חייבים דיפלומטיה.

פיל פרסם את הוידאו אצלו בבלוג והוסיף שני פוסטים על התגובות בבלוגוספירה ועל האנשים שזה הכי נגע בהם. האחרון שווה קריאה, אם מעניין אתכם הנושא.

הסברה מול הטחת עובדות – עוד פן

אני חושב שזו כמובן גישה נכונה. כמו שבנושאים אחרים התברר שבנושא אלכוהול, סמים או הימורים, הסברה וטיפול בגורמים אפקטיביים יותר (גם כלכלית) מאשר איסורים גורפים ואכיפה קשה. אנשים בורחים לסמים לא כי הם זמינים אלא כי מצב הרוחה והחברה גורם לאנשים לחפש בריחה מהחיים הלא נעימים. אנשים בורחים בצורה כזו לאמונות תפלות וטיפולים אלטרנטיביים בגלל יחס גרוע מהמערכת הציבורית העייפה והבלתי תומכת. לצערי אני המום לגלות שהחל מהיום ספקית האינטרנט שלי מתחילה לחסום אתרים. משטרת ישראל, בצו בלתי חוקי, הורתה להם לחסום אתרי הימורים. זה נשמע כמו יריית ניסוי לפני שיתחילו לחסום אולי פורנו, חדשות לא מצונזרות, דעות אנטי-ישראליות ולך-תדע-מה. אני תוהה כמה כסף מושקע בחינוך, הסברה ושיקום מהמרים. הלוואי שיתחילו ללמד ילדים סטטיסטיקה מגיל צעיר כדי שיבינו שאין איך לנצח בזה וישקיעו פחות בלעוות את חוקי המדינה.

הסטטיסטיקה לגבי תקופת היובש בארה"ב מראה שכמות הליטרים אלכוהול לנפש לא ירדה בזמן האיסור. יש טענות שגם כמות הגראס שתעושן אם יוכנס הקנאביס לחוק תשאר דומה, רק שאנשים יכנסו פחות לכלא ושוטרים יעברו לעסוק בדברים אחרים. אנשים מוצאים איך לעקוף חוקים מטופשים, למשל תאילנד התחילה לחסום את ויקיליקס ומיד צץ אתר מראה מקומי. תהיו בטוחים שגם אתרי ההימורים הבעייתיים ימשיכו להיות נגישים, אם לא ישירות אז דרך TOR.

אז משטרה יקרה וכנסת גם – אל תהיו פוצים בבקשה.

הדג מסריח מהראש

למי שתהה איך יכול אתר כל כך נחמד כמו פייסבוק לזלזל בפרטיותו, מתפרסם השבוע תחקיר שבו מסתבר שמארק צוקרברג לא רק גנב את הרעיון של פייסבוק, הוא גם פרץ לא פעם לחשבונות הדואל של מתנגדיו, תובעיו ומבקריו, בין השאר בעזרת סיסמאות הפייסבוק שלהם.

אתם עדיין בפייסבוק? ודאו שהסיסמא שלכם לא זהה לזו של הדואל או כל שירות אחר. שוב אני מוצא את עצמי שמח שאני ממשיך לסרב בתוקף להכנס למדמנה הזו.

עוד הדלפה שמנמנה מ-ACTA

לפני שני פוסטים התייחסתי לאותה אמנה המסריחה מראש הדג, דרך ממלכת דנמרק (וקוריאה וסינגפור) ועד עדר הלוביסטים של גבעת הקפיטול, והיום מייקל גייסט שופך על החדשות האחרונות שדולפות משם: האמנה לא רק דורשת מהמדינות החותמות (שאף אחת מהן לא מציגה בשקיפות את תנאי האמנה) לנתק "פיראטים" מהרשת ולשלול מהם זכויות בסיסיות של פרנסה, חינוך, תקשורת ומידע, היא נכנסת ב-44 עמודים מפורטים לגבי אחריות ספקי האינטרנט, חוקי אי-עקיפה ועוד הרבה.

הגיע דרך בוינגבוינג. בי וורי אפרייד.

עדכונצ'יק בנושא קרוב – אובמה רוצה להחזיק כפתור חירום בהישג יד, אם צריך להשליט משטר חירום באינטרנטים…