פורום תחבורה ציבורית

עכשיו חיילים חייבים לתקף את החוגר כאילו היה רב קו. זה ייאפשר למשרד הביטחון להעביר למשרד התחבורה תשלום מדוייק לפי כמות הנסיעות בפועל של החיילים, ולא לפי הערכות משוערות כמו שעשו עד עכשיו.

 

אני שמעתי על חיילים שניסו לתקף את הרב קו לפי ההוראה וזה כתב להם "אין זכות נסיעה" והתנהג כאילו הכרטיס לא בתוקף, אז כנראה שלמערכת יש קצת חבלי לידה.

 

"על פי ההסדר החדש יידרשו מעתה כלל חיילי החובה לתקף את תעודת החוגר שברשותם בכל נסיעה באוטובוס, בדומה למנגנון הקיים כיום ברכבת, שם כרטיס החוגר משמש ככרטיס רב קו. ההתחשבנות בין המשרדים בגין נסיעת החיילים תבוצע מעתה על פי היקף נסיעות החיילים בפועל."

 

חיילים שאני מכיר אמרו לי שהם קיבלו הוראה שמעכשיו הם חייבים לתקף את החוגר.

מה בקשר לחיילי הקבע,יהיה סידור שונה?

אולי פּטור מתיקוף?

שלשום כשיצאה הביתה,בדרך לבאר-שבע,יצא לה גם לנסוע בקו 056 מדימונה,קו זה מופעל ע"י אגד,והיא אומרת שבאוטובוס זה היא לא נדרשה להעביר את החוגר שלה לתיקוף,זה היה רק בקטע של 388 במטרופולין,בנסיעה לערד.

ניהיו תקפים

 

כפי שלהלן - http://www.tapuz.co.il/forums/viewmsg/394/18252990...

 

יש תאריך תוקף לפרופיל וחוזה. אם התאריך הוא לא יום השחרור, אז לקראת תאריך זה החייל צריך לגשת למשרד שמנפיק כרטיסי חוגר שיעדכנו את החוזים בהתאם, זה כפי שפרופיל סטודנט תקף רק עד סוף הסמסטר או שנה"ל

 

אותו הדבר לגבי חייל שמקבל "אין זכות נסיעה": החוזה בחוגר פג תוקף

 

תיקוף כרטיס חוגר הונחה לכל המפעילים

לצבא גם אין אינטרס לאכוף את זה כרגע, כי כרטיס לא בתוקף לא נרשם במערכת ואז משרד הבטחון לא ישלם על הנסיעה.

התחבורה אל המפעיל שיש לתקף כרטיס במכשיר הכרטוס ולדווח כנדרש כפי שכל נוסע אחר נדרש, אז משרד התחבורה יידרוש מכוחות הביטחון לאכוף עדכון חוזים ופרופילים בזמן

 

יבוא יום ויהיה דרישה שכל נוסע ידרוש לתקף חוזה ברב-קו, גם אם כיום הדבר נעשה על ידי הצגת אישור כלשהו בדומה איך שבזמנו הציגו לנהג כרטיסי חופשי חודשי מנייר

 

דע שבמערך רב-קו קיימים זיהויים להרבה קטגוריות נוסעים:

פרופיל נוסע, חוזה ואישור נסיעה (profileId)

0 רגיל/כללי

1 מבוגר (רק בר"י)

2 ילד (רק בר"י)

3 סטודנט מורחב

4 אזרח ותיק

5 נכה (לרוב משתמשים בפרופיל 40 במקום)

6 עוור

7 אילם/חירש

8 מובטל

9 פרסונל

10 כוחות הביטחון/חייל

11 תושב

12 אמצעי תחבורה (למקרה של תשלום נוסף על אופניים וכדומה)

13 עובד תחבורה ציבורית

14 הובלה ארוכת טווח

15 הובלה קצרת טווח

16 יומם

17 בעל חיים

18 חפץ הובלה גדול (אם יוחלט לתקף הובלת מזוודות ואריזות)

19 סטודנט רגיל

32 קטין בין 5-10

33 נוער עד 18

34 שירות לאומי

35 של"ת / קד"צ

36 משטרת ישראל

37 שירות בתי הסוהר

38 חבר כנסת

39 משמר הכנסת

40 זכאי בטוח לאומי

41 נפגע פעולות איבה

42 עולה חדש בישוב כפרי

43 מלווה עוור

53 תושב הדרום (ר"י)

54 תושב הבקעה / כפר יהושע (ר"י)

55 קטין 0-4

59 נוער בנסיעה בין עירונית

 

מוסד/חברת הנפקה (companyId)

0 ללא

256 משטרת ישראל

257 שירות בתי הסוהר

258 צבא הגנה לישראל

260 סטודנט מורחב תושב אילת וערבה

261 סטודנט רגיל תושב אילת וערבה

269 משמר הכנסת

270 זיהוי על פי דרכון זר

 

מפעיל/מנפיק (issuerId)

250 צה"ל

ביום שבו חברי כנסת (למעט תמר זנדברג שעושה את זה מדי פעם) באמת ייסעו באוטובוס וייתקפו רב קו חזירים יתחילו לעוף.

מסבכים את החיים...,כנראה.

במקום לעבוד לפי הערכות (לא ברור מראש מי מהצדדים ירויח מהענין)

 

אבל אני חושש לבטחון שדה: היות ומסד הנתונים של כל הנסיעות לא הכי מאובטח, רשימה של כל המשתמשים בתחנות ליד בסיסים צבאיים יכולה להיות מקור מודיעין משובח לאויבנו

אם חיילים לא יתקפו, והתשלום הוא לפי תיקופים, משרד התחבורה יפסיד המון כסף מהמהלך, וזה לא דבר טוב.

 

אני חושש גם ממצב שבו חיילים לא יוכלו להגיע לבסיס בחינם בגלל תקלות בחוגר-רבקו, ויצטרכו או לשלם מכספם הפרטי או לקבל ריתוק על משהו שהוא לא באשמתם.

בהתחשב בכך שמסד הנתונים של כרטיס הרב קו עלול לדלוף לגורמים עויינים, אז אי התיקוף של החיילים יעביר לאותם גורמים עויינים מידע שגוי שהוא למעשה דיסאינפורמציה.

 

כך שאין מה לחשוש ממצב שהחיילים לא יתקפו. צריך דווקא כן לחשוש מהמצב שהחיילים כן יתקפו ומסד הנתונים עלול חלילה לדלוף לגורמים עויינים.

 

אתה כותב: "משרד התחבורה יפסיד המון כסף..."

 

כאילו מדובר באיזו חברה פרטית עסקית שעלולה להפסיד כסף. משרד התחבורה ומשרד הביטחון זה אותו כסף שמגיע מאוצר המדינה.

 

מה שרשמת בשורה האחרונה (אני חושש גם ממצב שבו חיילים לא יוכלו להגיע לבסיס בחינם בגלל תקלות בחוגר-רבקו, ויצטרכו או לשלם מכספם הפרטי או לקבל ריתוק על משהו שהוא לא באשמתם) זו בעיה נוספת שעלולה לקרות לחיילים בגלל אותו כרטיס רב קו.

החיילים לא נוסעים "חינם", משרד הביטחון תמיד העביר תשלום למשרד התחבורה. אם החיילים לא יתקפו, משרד התחבורה יפסיד כסף שמגיע לו, שבמקום זה יילך לתקציב הביטחון שגדול מספיק גם ככה. כשהכסף הזה במשרד התחבורה הוא משמש לשיפור השירות לתחבורה הציבורית, לתחזוקת תשתיות, וכו'.

 

משרד הבטחון בעצמו החליט שעל החיילים לתקף. אם היה חושב שיש כאן סיכון בטחוני בזה הוא לא היה מנפיק כרטיסי חוגר שיכולים לשמש כרב קו, והוא לא היה יוצא בהוראה שחיילים חייבים לתקף.

מה כבר גורם עויין יכול לעשות עם המאגר הזה בכל מקרה? לעקוב אחרי חיילים? בכל מקרה קל לעשות את זה בלי להדליף אף מאגר.

בשביל גורמים עויינים מדובר ביתרון שמשמעותו הנוספת היא חיסכון כספי אדיר.

 

לבצע מעקבים מיקצועיים עולה הרבה מאוד כסף וגם דורש כוח אדם מיומן בעל ניסיון. ועכשיו יהיה אפשר להשיג את הכל בכמה קליקים על המחשב...

 

בלי לפרוץ למשרד התחבורה.

חברת עדליא ועוד כמה חברות פרטיות ומפעילי תח"צ פרטיים שסביר להניח שמאגרי המידע שלהם לא מאובטחים כראוי.

 

כך שלא צריך לפרוץ למשרד התחבורה אלא לחברה הפרטית שמפעילה את הרב קו.

אני זוכר שלפני 10 שנים (לפני עידן הטלפונים הסלולריים החדשים והפייסבוק) שוטטתי באחד מאתרי האינטרנט של אחת מהרשתות החברתיות של הימים ההם (ככל הנראה אתר מקושרים). באחד הדפים של אחת החיילות ראיתי אותה מצולמת מול מפה צבאית של רשת התמסורת (רשת התקשורת האופטית) הצבאית של צה"ל.

 

המידע שרואים במפה הצבאית הוא חסר כל משמעות להדיוטות. אבל מי שמבין בתחום ומכיר היטב את אותם קודים מקצועיים (כמו: הצפון, ירקון, הדרום, מערב, נורדיה, וכו... זה בכלל לא מה שאתם חושבים, זה רק קודים) יכול להפיק מהמפה הזו מטעמים רבים ביותר.

 

אבל למרות זאת ולמרות שיש כיום מספיק מידע בפייסבוק של החיילים, אין כל ספק בכך שמסד הנתונים של כרטיס הרב קו יכול לדלוף לגורמים עויינים ולגרום לנזק ביטחוני.

אבל אני חושב שאתם מדברים על דברים שאתם לא מבינים בהם.

 

בהנחה שמימשו את העניין הזה נכון... אין שום מסד נתונים או רשימה כלשהי. כל מה שיש זה קוד שנמצא על הכרטיס ובעת "גיהוץ" הוא עובר ערבול ואם התוצאה של הערבול עומדת בטווח מסוים אז ניתן אישור ואם לא אז יש דחיה. זה הכל.

אין פרטים אישיים ואין שום מסד נתונים שמכיל את כל שמות החיילים.

 

אם תרצו זה בערך כמו גיהוץ אשראי, לבית העסק שאצלו אתם מגהצים אין דרך לדעת מי אתם או מה אתם הוא מעביר מספר ומקבל אישור או דחיה. המספר גם לא נשמר אצלו לאחר מכן.

המספר המלא של כרטיס האשראי נשמר במחשב של בית העסק וכל ילד קטן שקצת מבין במחשבים יכול לשלוף את מספרי כרטיסי האשראי אם יש לו גישה לאותו מחשב. הרי לא צריך כרטיס מגנטי או סיסמא בשביל גישה לקבצים של המחשב, מספיק ידע בסיסי במחשבים וגישה לסייר הקבצים במחשב. כל הקבצים עם מספרי כרטיסי האשראי אמנם מוצפנים (בגלל שרבים כיום מעבירים אוותם לשב"א דרך האינטרנט), אבל אם יש לך גישה למחשב שבו נוצרו הקבצים המוצפנים אז אין להצפנה הזו כל ערך מאחר והתוכנה שיצרה את הקבצים המוצפנים יודעת היטב לפתוח אותם ללא כל בעיה. גם אם אין לך כל גישה למחשב שבו נוצרו הקבצים המוצפנים, ניתן לפתוח את אותם הקבצים המוצפנים ללא כל בעיה אם יש ברשותך את מספר ה-XXXXXX (פה אני נאלצתי לעצור ולא לחשוף איזה מספר בדיוק נדרש מאחר ואת המספר הזה יכול להשיג בקלות כל ילד קטן שיודע להשתמש בסייר הקבצים ולפתוח אותם בעורך טקסטים וגם אם אין לו גישה למחשב...)

 

עכשיו בו נמשיך, 1. בבתי העסק שבהם מעבירים עדיין את התקשורת לשב"א בחיוג לקו בזק ולא דרך האינטרנט, הקבצים בכלל לא מוצפנים. 2. בבתי עסק רבים מבצעים מדי פעם גיבויים של כל הקבצים כולל קבצי אשראית.

 

כך שמה שרשמת בעניין כרטיסי האשראי אינו נכון כלל.

 

בעניין הרב קו אתה בכלל לא הבנת את המהות של הדבר. יתכן ומאגר הנתונים של כרטיסי הרב קו הצהליים אינו כולל את הפרטים האישיים של החיילים, אבל הוא כן כולל את דפוסי הנסיעה של חיילי צה"ל לבסיסים ומהם ואת היעדים ותחנות המוצא של אותם חיילים ומידע שכזה אם ידלוף לגורמים עויינים עלול לגרום נזק ביטחוני כבד.

 

עדיף שמשרד התחובורה "יפסיד" הרבה כסף מאשר שמאגר הנתונים ידלוף לגורמים עויינים.

בשיטות הצפנה נורמליות יש מפתח פומבי ומפתח פרטי ואז כל מה שכתבת לא תקף כי אתה מסתמך על זה שההצפנה והפענוח נעשים באותה מכונה ועם אותו מפתח.

 

ואם יש חנות כלשהי ששומרת את מספרי כרטיסי האשראי זוהי עברה על החוק.

 

אני לא יודע באיזה אמצעי אבטחה שב"א מאבטחת את החיבור הקווי שלהם, אפילו פייפאל כבר התקדמו והטמיעו את תקן SHA-256

כאשר קבצי העיסקאות נמצאים במחשב ניתן לפתוח אותם מאותו המחשב שבו הם נמצאים בעזרת תוכנת אשראית שקיימת במחשב. מי שמכיר היטב את תוכנת אשראית יכול גם לפתוח את הקבצים הללו ממחשב אחר... ושוב, אין לזה כל קשר לאלגוריתם הצפנה ולמפתחות, אתה מדבר בכלל על משהו אחר לחלוטין.

 

אלגוריתם ההצפנה ומפתחות רלוונטיים לעניין תעבורת המידע באינטרנט בלבד ולא לגבי המחשב שבו מותקנת תוכנת אשראית. כאשר בית העסק משדר לשב"א את הנתונים דרך קו טלפון בחיוג כפי שהיה פעם, אז אין כל הצפנה של הנתונים.

 

כאשר הנתונים עוברים דרך האינטרנט הם מוצפנים ואין כל אפשרות לדעת מהם. וזו המטרה היחידה של ההצפנה.

 

ובאשר למה שכתבת על עבירה על החוק, אני לא יודע על איזה חוק אתה מדבר. אבל תוכנת אשראית PC שומרת את כל קבצי העיסקאות באשראי עד 100 ימים לאחר ביצוע העיסקה וכל הקבצים הללו נמצאים במחשב הקופה הרושמת. כך בנויה התוכנה.

 

יתכן אולי שאתה מדבר בכלל על חוק שאוסר לשמור נתוני פס מגנטי של כרטיס האשראי שזה בכלל משהו שונה לחלוטין ממספר כרטיס האשראי.

 

מספר כרטיס האשראי (כולל כל המותגים הבינלאומיים אך לא כולל כרטיסי מותג ישראכרט) הם עד 19 ספרות כאשר בנוסף למספר הכרטיס קיימים על הפס המגנטי של הכרטיס נתונים רבים נוספים כמו: תוקף הכרטיס, קוד שרות לכרטיס, ונתונים נוספים שלא כאן המקום לפרט אותם.

 

לפני 20 שנה תוכנת אשראית שמרה למעשה את נתוני הפס המגנטי המלא. אך בשלב מאוחר יותר בגירסה מתקדמת של התוכנה נתוני הפס המגנטי המלאים "נמחקו" על מנת שלא ישמרו במחשב מאחר ואין לתוכנת הקופה הרושמת וגם לא לתוכנת אשראית כל צורך בנתונים הללו.

 

לצורך תאימות לאחור, תוכנת אשראית שומרת עדיין את אותו מספר התווים המלא של נתוני הפס המגנטי, אבל נתוני הפס המגנטי שאין בהם צורך הוחלפו בנתונים אחרים. כך שאם בנתוני הפס המגנטי המלא מופיעים נתונים נוספים כמו 143699876542, התוכנה מחליפה אותם לספרות 999999999999 וכך לעולם לא ניתן לדעת מה היו הנתונים המקוריים.

ובית העסק שומר את הקבלה המאושרת הזו, שכוללת את המספר המלא של הכרטיס, גם באופן פיזי וגם בתור קובץ בקופה הרושמת למספר חודשים (וגם משדרת נתוני כל עסקה לרשות המיסים המקומית, כדי לוודא שבית העסק ישלם מיסים (מע"מ וכדומה) כראוי על סמך כמות העסקות ומחירם הכולל ביום/חודש/שנה - פיסקליזציה), למקרים שבית העסק יצטרך להוכיח ביצוע עסקה במקרה והלקוח מכחיש את העסקה בחברת האשראי שלו

 

עותק הקבלה שכוללת רק מספר חלקי של הכרטיס, ניתנת ללקוח, האם אתם בכלל קוראים את מה שאתם חותמים?

> אשר קבצי העיסקאות נמצאים במחשב ניתן לפתוח אותם מאותו המחשב שבו הם נמצאים בעזרת תוכנת אשראית שקיימת במחשב. מי שמכיר היטב את תוכנת אשראית יכול גם לפתוח את הקבצים הללו ממחשב אחר...

> אלגוריתם ההצפנה ומפתחות רלוונטיים לעניין תעבורת המידע באינטרנט בלבד ולא לגבי המחשב שבו מותקנת תוכנת אשראית

 

ממש לא, מי שמכיר היטב את התוכנות המשתמשות בכל נתונים מוצפנים, מוודא שכל הנתונים יוצפנו באמצעות האישור הנכון, ויפוענחו באמצעות מפתח פרטי ייחודי המתאים, ולא יתקין את אותו צירוף המפתחות על כל עותק של תוכנה. אם יש סיכון לגנבת מפתח פרטי, מבוצע טקס מפתחות ליצירת מפתח פיענוח חדש

שימוש באותו צירוף מפתחות בכל האביזרים מותנה באותו סיכון של שימוש באותה הסיסמא לכל מקום

אלגוריתמי ההצפנה, חתימה, פיענוח ואימות נועדו לא רק לעניין תעבורת מידע בפרוטוקול כלשהו באינטרנט, אלא גם לשמירת מידע סודי הלא נועד למסירה, הנמצא על אותה הסביבה. קבצים מוצפנים יפוענחו על ידי עותק התוכנה בסביבה אחרת רק במקרה ואותה הסביבה משתמשת באותן מפתחות!

אני גם לא מתכוון לפרט כאן ואין לי גם שום סמכות למסור כאן מידע על אמצעי האבטחה וההצפנה של תוכנת אשראית.

 

מי שמכיר היטב את תוכנת אשראית ורק מי שמכיר היטב את תוכנת אשראית, יכול לפתוח את הקבצים המוצפנים אם יש ברשותו קוד מסויים.

 

את הקוד הזה אמנם קל מאוד להשיג אבל אני לא מתכוון לפרט כאן בפורום מהו בדיוק הקוד הזה ואיך משיגים אותו ומדוע זה מאוד קל להשיג אותו. ושוב, רק מי שמכיר היטב את תוכנת אשראית יכול להשיג את הקוד הזה בקלות רבה ביותר ולעשות בו שימוש לפתיחת הקבצים המוצפנים. ומי שלא מכיר את הקוד הזה, אז הקוד בשבילו הוא לא יותר מאשר אוסף ספרות חסרי כל משמעות. יכול להיות שמה שאני קורא לו קוד, זה מה שאתה קורא לו מפתח, שיהיה.

 

במסופים המוגדרים לעבודה בתקשורת בחיוג דרך קו הטלפון של בזק, אין הצפנה של הקבצים.

בערך כפי שנשלחים פקסים או כל מידע אחר המשתמש במודם לעיבוד ביטי מידע... כולל חיוג ליצירת חיבור קו dial-up (שכבה הפיזית), ייצור חיבור X25 (שכבת קו ורשת), תמסורת על שכבת תעבורה, ועד קבצים זה מגיע רק בשכבת היישום, ויש מלא אפשרויות להצפנת המידע בדרך, עוד בשכבת השיחה ושכבת הייצוג.

אין לי מושג איך חברות האשראי ממשות את נושא שמירת המידע על המסופים, נתתי את דוגמאת האשראי לצורך המחשה.

 

אם חברות האשראי לא מצפינות את המידע בדרך שבה הלקוח לא יוכל לפענח אותו בכוחות עצמו אז זה מחדל חמור שאין כמותו. גם אני עוסק בתוכנה וגם לי יש רכיבי מידע שפזורים אצל לקוחות ואין להם שום יכולת לגשת ולהבין מה כתוב במסדי הנתונים שמותקנים שם בלי שאני אתן להם את ההרשאה לפענח. אני בוחר איזה מידע לתת להם לראות ואיזה מידע יהיה מעורבל בצורה שבה גם אם הלקוח יגיע אליו הוא לא יבין כלום.

אגב, כמעט כל משחק מחשב פועל באותה צורה אחרת כל הקטע של צ'יטים היה כבר מזמן חוצה גבולות.

רק אם הלקוח ובעל העסק מכירים היטב את תוכנת אשראית, הם יכולים לפענח את הנתונים שבתוכנה.

 

תוכנת הקופה הרושמת מעבירה לבעל העסק רק את הנתונים שהוא צריך לצורך ניהול בית העסק ובהתאם להסכם עם בית התוכנה. בהתחשב בכך שבעל בית העסק לא ישחק במחשב עם הקבצים והתוכנות, אז לא יכול להיות מצב שהוא יפענח את הנתונים או ינסה לפענח את הנתונים. סביר גם להניח שבכל קופה רושמת יש גם אנטי וירוס וקיר חסין אש.

 

אבל כל זה לא מבטיח שהנתונים של הקופה הרושמת לא ידלפו למקומות אחרים לאחר שהתבצע גיבוי על התקן חיצוני. הנתונים שבגיבוי יכולים לדלוף למישהו שיכול להשתמש בהם...

 

לגבי מה שכתבת על הלקוחות שלך,

 

אמנם אין להם שום יכולת לגשת ולהבין מה כתוב במסדי הנתונים שמותקנים שם בלי שאתה תתן להם את ההרשאה לפענח, אבל מספיק שאחד העובדים שלך שמכיר היטב את התוכנה ואת מסדי הנתונים ישתף איתם פעולה בשביל שהם יוכלו לפענח את מסדי הנתונים הללו....

אתה יודע מה בוא נסתכל על זה מנקודת מבט אחרת...

קח חברה שמשתמשת בשרת LDAP בשביל לעשות LOGIN למחשבים שלהם.

קח את כל צוות המתכנתים שלך ואת עצמך ותנסה לומר לי מהן הסיסמאות של המשתמשים שלך. אתה לא תצליח.

 

בעת ביצוע כניסה השרת מבצע האשינג של הנתונים שהוזנו על ידי המשתמש, כל פעם מחדש, ואז בודק אם הצרוף שיוצא תואם למה שיש במסד הנתונים כאמצעי זיהוי, אם זה תואם, הכניסה מאושרת

 

אינך יכול לדעת מהו הצירוף ה-input שהמשתמש מזין, אם ברשותך רק ההאש של ה-output בלבד (!), אלא אם תבצע ברוטפורס של כל צירוף אפשרי, ואם ה-input די ארוך ומסובך, כמעט לעולם לא תגיע עם ברוטפורס לצרוף שיהיה שווה למה שיש לך ב-output , תצטרך מחשב קוונטי כדי לעבד כל צירוף אפשרי בזמן קצר, ועיקר אם אינך יודע מראש את אורך תווי צירוף המקור, יש לך אינסוף אפשרויות עד שתגיע ליעד

 

 

מצורף הקובץ המלא שהוא למעשה קובץ טקסט פשוט. לא שיניתי שום דבר בקובץ אלא רק את שמו של הקובץ על מנת למנוע את הזיהוי שלו.

 

לא יכולתי שלא להתפקע מצחוק לאחר שראיתי את הסיסמא ואת המבנה של הקובץ ואת המיקום שבו נמצא הקובץ הזה.....

 

למען הסר ספק אני מציין בזאת שזה לא מספר ה-...... ולא ניתן לפתוח עם הסיסמא הזו שום קובץ מוצפן אלא רק להיכנס לתוכנה במקרה ויש צורך להקיש את הסיסמא.

 

מספר ה-....... זה משהו שונה לחלוטין ואני לא מתכוון לכתוב עליו כאן בפורום. אבל אציין שגם מספר ה-...... הוא למעשה טקסט פשוט שניתן לפתוח אותו עם כל עורך טקסטים...

הבהרת כבר שרמת אבטחת המידע של חברות האשראי היא בדיחה. הבנו את זה.

אנחנו מדברים על מה אמור להיות, ומתכנתים נורמלים לא היו מאפשרים סיטואציות כאלה.

אתה בינתיים הרחקת לכת ואמרת שתמיד אפשר "לעשות UNDO" ולקבל את הסיסמאות והמידע וזה פשוט לא נכון.

 

 

נסה לבטל את הדוגמה הזו ותקבל כל מספר עם 3, 13, 23, 33, 5956655935653, 3*

 

צריך עוד?

 

 

ולמה אתה כל כך בטוח שהמתכנתים של שב"א אינם מתכנתים נורמליים?

 

הרי הבהרתי חזור והבהר שרק מי שמכיר את תוכנת אשראית היטב (כול איך היא בנויה ועובדת) יכול להגיע אל הנתונים ואל פרטי כרטיסי האשראי. ואילו מי שלא מכיר היטב את התוכנה ולא יודע איך בדיוק היא פועלת לא יכול להגיע אל הנתונים ובוודאי שלא יכול לפתוח את הקבצים המוצפנים. הרי בכל דבר יש נקודת תורפהשמי שמכיר אותה היטב יודע  לעקוף אותה.

 

אז למה אתה כל כך בטוח שבחברת עדליא הכל מאובטח ומוצפן וכל המתכנתים שם הם מתכנתים נורמליים לחלוטין ולא יכול להיות מצב כמו בשב"א שמי שמכיר את התוכנה היטב יכול גם לפענח את ההצפנות אם בכלל קיימות?

 

וגם אם קיימות הצפנות מחוץ למשרדי חברת עדליא, הדבר לא אמור למנוע מעובדים בחברת עדליא שיש להם גישה לבסיס הנתונים, להעתיק אותו ולהפיץ אותו לכל המרבה במחיר או אף לפתוח הרשאת גישה למחשבי עדליא לגורם עויין ללא ידיעת משרד התחבורה.

 

בקיצור, אני לא סומך על חברת עדליא וגם לא על משרד התחבורה. לגבי השאלה האם אני סומך על משרד הביטחון, זו כבר תשובה מורכבת לשרשור נפרד.

 

לעומת זאת על שב"א אני דווקא כן סומך מאחר ואני יודע בוודאות שלמי שלא מכיר את תוכנת אשראית היטב ולא יודע איך היא בדיוק פועלת, אין שום סיכוי לפענח את המידע המוצפן שבקבצים.

אחרת אתה סתם מוסיף עוד תווים לבדיקה.

 

אני לא חושב שיש איזשהו האקר שמדמיין בראש שלו לפרוץ משהו עם ברוטפורס

יהפוך לחסר משמעות, כי כל אורך הצפנה של כל אלגוריטם דו-כווני של היום (PKI), נפרץ בקלות תוך דקות על ידי רק מספר קוביטים בסופרפוזיציה של שני המצבים בו זמנית

 

ו-SHA עם לא משנה איזה אורך הוא בכלל אלגוריטם קריפטוגרפי בכיוון אחד, כל דבר אשר מתבטה כצירוף קסדצימלי SHA אינו יכול להיות מומר חזרה לנתוני המקור, אלא אם נתוני המקור ידועים לך מראש או שיש לך גישה למסד נתונים או רשימה עם שיוכים של כל צירוף אשר בשימוש חזרה אל נתוני המקור, מה שהופך את הפיענוח לחסר משמעות אם יש לך את הצירוף המוצפן בלבד :

 

 PS C:\WINDOWS\system32> [System.Security.Cryptography.HashAlgorithm]::Create("sha512").ComputeHash([System.Text.Encoding]::UTF8.GetBytes("Hello world!!!!!1111")) | ForEach-Object -Begin {$str=''} -Process{$str += "{0:x2}" -f $_} -End{$str}
3a50774ef4741174165ea7fcbd7356de7cbb3233dd096f5372a9607ac0eaf2f7f88fbc9576a27bdbebbb1dee3cf3983fdd6bef86e4bed05616c7e4dd8f0161b9

> גם אם אין לך כל גישה למחשב שבו נוצרו הקבצים המוצפנים, ניתן לפתוח את אותם הקבצים המוצפנים ללא כל בעיה אם יש ברשותך את מספר ה-.......

 

רק אם יש לך את אופן מערך ההצפנה, ואת המפתח הפרטי לפיענוח של אותם נתונים, אשר ייוצא מאותו מחשב וייובא אל מחשבך כולל מפתחות ואישורים מאותה שרשרת הנפקה. נקודה

תוכנה תפתח את אותם הקבצים רק אם הוצפנו באמצעות אותו מפתח ואומתו באמצעות אותו secret או על ידי מפתח מדרגה עליונה יותר באותה שרשרת הנפקת מפתחות שיצר את המפתח המיידי התחתון, ורק אם יש לך את המפתח הפרטי לצירוף זה שיצר את המפתח הפומבי שמתחתיו בשרשרת שהצפין את הנתונים

 

גם אם אין לך כל גישה למחשב שבו נוצרו הקבצים המוצפנים, ניתן לפתוח את אותם הקבצים המוצפנים ללא כל בעיה במחשב אחר אם יש לך כמובן את תוכנת אשראית שיצרה את הקבצים המוצפנים ויש ברשותך את מספר ה-.......

 

יכול להיות שהמספר שעליו אני מדבר זה המפתח שעליו אתה מדבר?

 

למעשה בלי מספר ה-....... אין כל אפשרות לפענח את ההצפנה.

 

אני מציין ומדגיש שרק בתוכנת אשראית ניתן לפתוח את הקבצים המוצפנים ורק אם אתה מכיר היטב את התוכנה ורק אם יש ברשותך את מספר ה-.......

ומי שעובד עם היישום ומתמצא באיך שהוא בנוי יכול בקלות לקבל את הקוד הראשי העליון הזה, אז להצפנה אין שום משמעות וזה אותו דבר אם היית רושם את כל הססמאות שלך בציבור, או אם כל חברות האשראי היו מעבירים מידע בטקסט פתוח שזה מחדל חמור מאוד

 

ביישומים ומערכות נורמליות שום מֵפּתֵחַ לא יכול להרשות לעצמו לכתוב קוד להצפנות בצורה כזו שמאפשרת ללקוח קצה לקבל בהנדסה הפוכה את הקוד/המפתח הפרטי העליון שבאמצעותו נוצרו בשרשראות כל המפתחות האחרים המשומשים ביישום או המערכת הספציפית, וזה מה ש"די להכריח להרשם" מנסה להגיד

למעשה כל מי שעובד כיום עם היישום ומתמצא באיך שהוא בנוי, יכול בקלות לקבל את אותו הקוד הראשי העליון הזה, ולכן טענתי כאן בפורום חזור והבהר שלמעשה להצפנה הזו אין שום משמעות אמיתית.

 

אבל החמור מכך הוא שאותו עובד שמתמצא ביישום ויודע היטב איך הוא בנוי, לא צריך בכלל לקבל את אותו קוד ראשי עליון מאחר והקוד הזה נמצא אצלו. עכשיו אתה מבין למה אין להצפנה הזו כל משמעות?

 

האמת היא שהמצב גרוע וחמור עוד הרבה יותר ואני לא מתכוון להמשיך ולפרט ואפילו לא ברמז מאחר וכל רמז שאתן עלול לחשוף את הקוד...

 

זה בדיוק אותו הדבר כמו שבשביל לפענח את ההצפנה של חברת סלקום יהיה צריך לדעת שהקוד הראשי שלה הוא 052 ואז הופ הכל פתוח.

 

אבל למה בכלל זה צריך להפתיע אותך או את גולשי הפורום האחרים?

 

הרי כבר כתבתי חזור והבהר שההצפנה נועדה רק לצורך תעבורת הנתונים באינטרנט ובמחשבים שלא עושים תקשורת דרך האינטרנט אז אין בכלל הצפנה וניתן לפתוח את הקבצים עם כל עורך טקסטים והנתונים שם הם מספרים הקריאים לכל אדם.

אם היישום כתוב בשפת תכנות עליונה כמו שפות ממערך NET. והמפתח לא ביצע אובפוסקציה של הקוד באלגוריתם הצפנה חד-כווני כלשהו, הלא מאפשר דה-אובפוסקציה חזרה לקוד מקור ללא ידיעת קוד האובפוסקטור, אז זה חמור מאוד

 

לעומת זאת אם היישום כתוב בשפה (יחסית) תחתונה כמו C (לא ++C או #C שהם NET. !!!), שבה אתה חייב לכתוב מחדש את הכל, כולל את אופן העיבוד של הזיכרון, אז האפשרות הכמעט יחידה לגורם עוייני זה לבצע דקומפילציה כדי לקבל דיזאסמבלי והרגיסטרים של הוראות המעבד, ובהתחשב בכך שהעניין מאוד תלוי בארכיטקטורה של המעבד......

אם יש לו את מספר ה-....... אז הוא לא צריך בכלל לשבור את הראש אלא רק להשתמש עם מספר ה-.......... במקום הנכון והכל פתוח בפניו.

 

ואם אין לו את מספר ה-........... אז הוא צריך רק לנסות כל צרוף אפשרי והאמת היא שאין הרבה אפשרויות של צירופים אפשריים מאחר והתוכנה עצמה (משנת 1996 במקור) בנויה כך שמספר האפשרויות הוא נמוך ביותר.

 

מאז 1996 שכל התקשורות לשב"א היו אז רק דרך קו הטלפון של בזק והיו רק שתי חברות אשראי בישראל, בוצעו עידכוני תוכנה טלאי על טלאי על מנת להתאים את התוכנה למצבים המשתנים, אבל התוכנה נשארה למעשה עם אותן מגבלות של שנת 1996.

 

יתכן ועם המעבר לתוכנת אשראית EMV החדשה הבעיה תיפטר, אבל אני לא רואה את זה קורה בקרוב.

 

יש כיום מעט בתי עסק בישראל שעובדים עם תוכנת EMV החדשה והרוב ממשיכים עדיין לעבוד עם התוכנה המיושנת משנת 1996. בנק ישראל מאריך כל פעם מחדש את החובה לעבור לתוכנת EMV החדשה שהיא בטוחה הרבה יותר והגישה למידע שם היא יותר מורכבת.

 

אבל שלא תחשוב חלילה שתוכנת ה-EMV היא מושלמת לחלוטין. גם בה נמצאים קבצים בפורמט טקסט הקריא לאדם.

 

ובאופן כללי, רמת האבטחה וההצפנה של היצרנים הפרטיים (כמו וריפון וכספיט) היא גבוהה הרבה יותר מהרמה של גירסאות אשראית הסטנדרטיות ל-PC.

קוד בצורה שמשתמש קצה יוכל כלל להגיע לאותו מאסטר קוד, הדבר היה אמור להיות מוהאש בצורה שאף אחד (!) לא ישתמש בקוד ראשי, אלא רק בקודי משנה הנותנים הרשאה לקבל רק את הנתונים שהלקוח צריך בלבד

 

ולגבי תקן EMV זה בכלל סיפור אחר, אם אתה יודע טוב את מערך הסטנדרט ISO7816, ידוע לך שבחלק 4 נומק אופן תמסורת APDU שלרוב זהה לכל אפליקציה הכלולה בכרטיס חכם. שירותי ההצפנה וקריפטוגרפיה מייושמים ברמת הייצוג והאפליקציה, ועדיין אם הנתונים מוהאשים כראוי, רק גורם מסויים יכול לבצע קצת יותר דברים מכל משתמש אחר

 

נקח את הרב-קו לדוגמא כדי להחזיר את הנושא למקום הנכון אחרי כל האופטופ בנושא אבטחת מידע: לקרוא את החלק הציבורי (!) של האפליקציה השמורה בכרטיס, יכול כל דבר אשר ייושם כראוי (הופאון, רב-קו אונליין, אפליקציות אחרות, Cardpeek, ועוד)

אך לכתוב חוזים יכול רק לקוח המזדהה אל הכרטיס באמצעות קוד SAM המיועד לכתיבת נתונים, (קובץ תקן ציבורי מצורף, פרק 4.2, ופרק 6) וסעיפיו

 

האפליקציה אומנם מזדהה על ידי input מסויים, , והכרטיס מוודא שהמפתח תקין לפני שהוא מאפשר לכתוב חוזה

בפרק 6.2.3 נומק שהמפתח DESX שמור כ-3DES עם דיברסיפיקציה, ומספר אופני האשינג MAC

כך שכל מה שהלקוח יכול לקבל בלוגים למעט קוד תמסורת APDU בשכבה תחתונה, זה רק ההאש של המפתח הכרטיס בלבד, והלקןח לא יוכל להסב את זה למקור

סוגי מפתחות המיועדים לרמת גישה שונה מפורטים בפרק 6.4 , כתיבה מתבצעת ברמת Session , מזוהה על ידי מפתח הכתיבה (ואל הכרטיס והאפליקציית הקצה מועבר רק האש של מידע שהאימות בוצע בהצלחה, ללקוח אין אפשרות לקבל את מפתח SAM המקור), מוחתם, מאושר ועובר רטיפיקציה

 

לעובד בחברה יש גישה לבסיס הנתונים אותו הוא יכול להעתיק ולהעביר או למכור לכל דיכפין ולכל המרבה במחיר.

 

ואל תספר לי עכשיו שלעובדי חברת עדליא (או איך שקוראים לה) אין גישה לבסיס הנתונים של הרב קו. הם הרי מפעילים את המרכז עבור משרד התחבורה ויש להם גישה לכל הנתונים שקשורים לכרטיס הרב קו והשימוש בו.

 

לכן עובד בחברת עדליא יכול להעתיק את הנתונים או אף לפתוח דלת אחורית לגורם עויין ובמשרד התחבורה לא אמורים בכלל לדעת מכך.

 

ולכן כל מה שקורה מחוץ למשרדים של חברת עדליא לא רלוונטי ואין לו כל ערך.

 

הבעייה האמיתית באבטחה היא דווקא בתוך החברה ולא מחוצה לה. אם יש בחברה אדם שמדליף נתונים או פותח דלתות אחוריות, לשום אמצעי הצפנה אין כל ערך.

שנקרא מהכרטיס ב"גיהוץ" האחרון, כולל מצב חוזים אחרון, ולפני מספר ימים נימקתי שאפשר לקבל פרוט נסיעות מכל מפעיל בנפרד אם נסעת עם אותו המפעיל

 

והמצב הנוחכי של חוזים שמור בכרטיס עצמו באופן לא מקוון ולא מתקבל באמצעות התקשרות ממסוף בנק acquirer אל המנפיק של הכרטיס אל פי מספר כרטיס כפי שזה בכרטיסי אשראי וחיוב

אומנם לא מעודכנים מזה שנים באתר הנהלים (דפדפו מימין) כי "עובדים על אתר חדש" אבל למי שמתמצא בעניין, אין בעיה לקבל אותם עם כל העדכונים, והגרסה המפורסמת כמעט ולא השתנתה כלל, היו רק מספר תיקונים

 

 

אבל לא נראה שמישהו שתכנן את השינוי הזה,לוקח או יקח בחשבון זליגת מידע בטחוני דרך נתונים של אנשי כוחות הבטחון המשתמשים בתחבורה הציבורית.

ואולי זה יגרום להם להבין שהם יכולים לחסוך מליונים אם יפסיקו לשבץ תושבי חיפה בתור עובדים כללים בבסיסים פתוחים במרכז הארץ וכו'.

היום השיקול הכלכלי של נסיעת החייל בכלל לא נלקח בחשבון בשיבוץ. אני לא אומר שזה צריך להיות שיקול מכריע אבל זה בהחלט צריך להיות שיקול.

אם הנתונים נשמרים רק על הרב קו אז אף אחד בשום מקום לא יוכל לעשות פילוח סטטיסטי של כמה נסיעות חיילים היו.

 

הנתונים איכשהו אמורים להגיע למשרד הביטחון.

אולי זה מגיע ברמה מספרית ולא ברמה שמית אבל זה מגיע..

ומעבירה אותם לחברה פרטית כמו חברת עדליא (להלן עדליא) שמעבדת את כל הנתונים ומרכזת אותם אצלה עבור משרד התחבורה.

 

בעדליא נמצאים הנתונים המלאים של כל משתמשי התח"צ שמשתמשים בכרטיסי רב קו אישיים וניתן ללמוד מהנתונים האלה את הרגלי הנסיעות של כל המשתמשים ברב קו.

 

את משרד התחבורה עדליא מאכילה בדבש, כלומר מעבירה אליו את החומרים המעובדים לצרכיו על פי בקשותיו ולא את חומרי הגלם המקוריים שנמצאים במאגרי המידע של עדליא.