אפר 062014
 

בימים האחרונים אני מקבל אימיילים, טלפונים ושאר הודעות נואשות מאנשים: המחשב שלהם הודיע להם שבתאריך 8/4/2014 מערכת ההפעלה שלהם תצא לגמלאות, והם דואגים שביום שלישי הקרוב המחשב שלהם לא יידלק. ברצוני להרגיע את כל המודאגים, ולבשר לכולכם שהשמים לא ייפלו על ראשינו (לפחות לא בגלל מיקרוסופט).

ולשאלות הקהל:

מה יקרה בשמונה באפריל?

בשמונה באפריל 2014, מיקרוסופט תסיים את התמיכה במערכת ההפעלה Windows XP על כל מהדורותיה. האמת היא שהתמיכה היתה אמורה להסתיים כבר לפני מספר שנים, אבל עקב הפופולריות של XP (והבעיות שצצו סביב ויסטה), מיקרוסופט החליטה להאריך את חייה של מערכת ההפעלה המזדקנת. משמעות סיום התמיכה היא, שמיקרוסופט לא תתקן עוד בעיות ב-XP, לא ישוחררו יותר עדכוני תוכנה עבורה, וגם תוכנות עזר כמו Security Essentials לא יהיו זמינות עוד עבור Windows XP.

במקביל, תסתיים גם התמיכה ב-Office 2003. למי שלא שדרג עד היום לגרסאות מאוחרות יותר, יש היום מניע נוסף להתחיל לזוז.

Windows XP ז"ל, 2001-2014

Windows XP ז"ל, 2001-2014

האם המחשב שלי יידלק? האם הוא יעבוד?

כן. החומרה של המחשב אינה תלויה במערכת ההפעלה. בנוסף, XP עצמה תמשיך לתפקד כרגיל – אולי תקבלו עוד אזהרות ונדנודים על סיום התמיכה, אבל הכל יעבוד כתמול-שלשום. האם כדאי להמשיך לעבוד עם XP ועם Office 2003? זאת כבר שאלה אחרת.

האם כדאי להמשיך לעבוד עם XP ועם Office 2003?

מצד אחד, שום דבר לא יקרה ב-8/4. מצד שני, מיקרוסופט לא תתקן את מערכת ההפעלה ואת מערכת התוכנות המשרדיות המיושנות, ובעידן בו כולנו מחוברים לאינטרנט, פירוש הדבר חשיפה לבעיות אבטחה שלא ייפתרו יותר. לכן, כדאי לכם לחשוב על פתרון לטווח הארוך.

אם המחשב שלכם ישן, נצלו את ההזדמנות ושדרגו אותו – מחשב חדש עם מערכת הפעלה חדשה, שירוץ מהר יותר ויתאים יותר לדברים שאתם עושים היום, ולא לדרישות שלכם מלפני עשור. ואם אתם כבר פותחים מכרז, הרשו לי להציע לכם מספר אפשרויות שאולי לא חשבתם עליהן למחשב הבא שלכם.

אם המחשב שלכם חדש, יחסית (בן שש לכל היותר), תוכלו לחדש את ימיו ולרענן את עלומיו באמצעות שדרוג מערכת ההפעלה וחבילת Office בלבד. Windows 8.1 ו-Office 2013 הן כנראה המועמדות הטבעיות.

מה לגבי התוכנות המותקנות על המחשב?

אח, הנוסטלגיה

אח, הנוסטלגיה

לתוכנות השונות מחזור חיים משלהן. אם אתם משדרגים את מערכת ההפעלה, אני ממליץ לבצע התקנה "נקיה" – שמירת כל המסמכים והקבצים שלכם, מחיקת הכונן הקשיח והתקנת המערכת החדשה, בניגוד להתקנה כשדרוג – התקנת המערכת החדשה על-גבי הישנה, דבר היכול לגרור בעיות ישנות אל תוך המערכת החדשה. התקנה נקיה מחייבת התקנת כל התוכנות שלכם מחדש, ולכן עליכם לוודא שברשותכם כל דיסקי וקבצי ההתקנות, כמו גם מספרי רשיונות. המאמר איפה קוד המוצר שלי? יעזור לכם במשימה.

תוכנות מסוימות, שיועדו לעבוד על XP בלבד, לא יהיו זמינות יותר כלל. תוכנות מבית מיקרוסופט, כמו Security Essentials, כבר קיבלו עדכון שגורם להן להציג לכם הודעה בדבר יום הדין המתקרב. במקרה של Security Essentials, מיקרוסופט לא תאפשר יותר להוריד את התוכנה בגרסת Windows XP, אבל תתיר לכם לגשת לעדכוני הווירוסים היומיים שלה. למען הסר ספק: Security Essentials תמשיך להיות זמינה לוויסטה ול-Windows 7 (החל מ-Windows 8 היא מובנית אל תוך מערכת ההפעלה).

אתה בטוח?

כן. אתם יכולים לבדוק את ההודעה הרשמית של מיקרוסופט או לחפש בעצמכם. אם כבר אתם שואלים, אזכיר לכם לבצע גיבוי של כל החומר שלכם (מסמכים וקבצים אחרים) לפני שאתם משדרגים את המחשב.

תיהנו עם המחשב החדש/מחודש!

פבר 122014
 

ממוחשבים ככל שנהיה, אנחנו עדיין בני אדם. חושבים, מרגישים – ובעיקר אי-רציונליים. אפשר לנצל אותנו די בקלות באמצעות מניפולציות – מתוחכמות יותר או פחות. אם אי-פעם היה לכם לא נעים ממישהו, אם המוכר בחנות הצליח לדחוף לכם מוצר שלא הייתם צריכים, ואפילו אם עזרתם לגברת עם סלים לעלות לאוטובוס – נתתם לרגשות שלכם לעבוד בשבילכם. לפעמים זה טוב, לפעמים פחות, ובאינטרנט זה יכול להיות די רע.

מניפולציה על רגשות

הנדסה חברתית (באנגלית: social engineering), הינו מונח שהגיע מתחום מדעי החברה, ובמקור נועד לציין שימוש בהתנהגות חברתית של בני-אדם לשם ניתובם לצרכים שונים (בעיקר פוליטיים). המונח אומץ על-ידי קהיליית האבטחה הממוחשבת, וכיום הוא מציין בעיקר את המניפולציות שמבוצעות עלינו, המשתמשים, כדי שנוותר על האבטחה שלנו ונבצע את רצונו של פושע כלשהו. רוצים דוגמה? לא חסרות כאלה:

אנטי או וירוס?

במאמר חיסון נגד וירוסים – לא רק לחורף, דנו בתוכנות זדוניות המתחזות לתוכנות אנטי-וירוס לגיטימיות. בחלק זה של המאמר תוכלו לקרוא על הזיופים הללו, ואפילו לבחון את עצמכם בזיהוי התוכנות המרושעות מבין המסכים המוצגים.

הסיבה לעצם קיומן של התוכנות הללו ברורה: אנשים רעים רוצים לגשת אל המחשב שלנו – כדי לדלות ממנו מידע, כדי לעקוב אחרינו או אפילו סתם כדי להשתלט עליו ולעשות באמצעותו דברים שליליים – והדרך הטובה ביותר לגרום לנו להריץ תוכנה זדונית על המחשב היא להסוות אותה כתוכנה שכולנו רוצים להאמין בה. במקרה הזה, זו תוכנת אנטי-וירוס שתשמור עלינו מהאנשים הרעים… אנחנו רוצים כל-כך להאמין שהכל יהיה בסדר, ולכן אנחנו מוכנים להפסיק לחשוב (ולחשוד) בהיגיון, ובמקום זה ממהרים להתקין את התוכנה על-סמך ההבטחה העצמית שלה לעזור. הפתרון הוא מניעתי: אל תסתבכו מלכתחילה. התקינו רק תוכנות שאתם מכירים או שקיבלתם עליהן המלצות חמות, כולל חיפוש של שם התוכנה בגוגל אם צריך.

סיסמה בבקשה

הטלפון מצלצל. אתם עונים, ובצד השני נמצא טכנאי של ספק האינטרנט שלכם, שרוצה לשדרג לכם את חוויית הגלישה וצריך רק את שם המשתמש והסיסמה שלכם. אתם נותנים לו… וכאן הבעיה. האם אתם יודעים שזה באמת טכנאי? נניח שהוא נתן את שם ספק האינטרנט שלכם – הוא יכול להמר על אחד הספקים הגדולים, לחייג לארבעה אנשים ולהיות צודק ברבע מהפעמים. ובכלל, האם חשבתם לרגע על כך שלספק האינטרנט שלכם יש גישה לכל המידע שהוא סיפק לכם מלכתחילה, כולל שם משתמש וסיסמה?

כריכת ספר בנושא הנדסה חברתית

כריכת ספר בנושא הנדסה חברתית

באנגלית נקראת ההתחזות הזו phishing, ובעברית "דיוג". לא לחינם חברות רציניות חוזרות שוב ושוב על ההודעה: אנחנו לא נבקש ממך לעולם את פרטי המשתמש שלך, מספר חשבון הבנק, פרטי כרטיס האשראי וכו' (למעט ארבע ספרות אחרונות כאמצעי זיהוי) – החברות לא צריכות את המידע הזה, כי הוא כבר ברשותן. מי שצריכים אותו הם "דייגים" – פושעים שמנסים "לדוג" מידע יקר-ערך ברשת, כמו מספרי חשבונות בנק או כרטיסי אשראי. מלבד שיחות טלפון, נסיונות דיוג נעשים גם באמצעות אתרים מזויפים, הנראים זהים לחלוטין לאתר הרשמי של הבנק או החברה אבל נמצאים בכתובת שונה. הדייגים מאתרים בדרך-כלל כתובת עם שגיאת כתיב (לדוגמה: www.bankhapaolim.co.il – שמתם לב לשגיאה?) ובונים אתר שייראה זהה לאתר האמיתי, כדי שלא תשימו לב לכך שלא הגעתם לאתר הבנק שלכם. ברגע שהקלדתם את פרטי הכניסה לחשבון הבנק שלכם (שם המשתמש והסיסמה), הנזק כבר נעשה – נתתם לדייגים את כל המידע הדרוש להם, ועכשיו הם יכולים להיכנס לחשבון הבנק שלכם ברשת ולהוציא ממנו כספים.

את נסיונות הדיוג באמצעות אתרים מזויפים משלימות הודעות אימייל: רשמיות למראה, מנוסחות יפה ואפילו מתהדרות בלוגו האמיתי של הבנק או החברה, אבל מכילות קישורים לאתרים המזויפים. ראו הוזהרתם.

אפשר להפקיד אצלך כסף?

שיטת דיוג נוספת נקראת "העוקץ הניגרי", והיא הולכת ככה: אתם מקבלים אימייל מאדם המציג עצמו כשליט המודח של ניגריה, או מדינה אפריקאית אחרת. ברשותו מאות אלפי דולרים שהוא רוצה להבריח מהמדינה, והוא ישמח להיעזר בחשבון הבנק שלכם כדי לעשות זאת, כמובן תמורת עמלה שמנה. לשם כך, עליכם לאשר לו גישה לחשבון שלכם. אם תאוות הבצע תתגבר עליכם ותאשרו, תגלו שלא רק שהחשבון שלכם לא זכה במאות אלפי הדולרים המובטחים, אלא שהוא רוקן לחלוטין ממעט השקלים שהיו בו.

הדייג החרוץ בונה על תאוות הבצע האנושית ועל העיוורון החלקי שנלווה אליה. אתם יכולים להימנע מפגיעה באמצעות הפעלת השכל הישר והתגברות (לא תמיד קלה!) על הדחפים הראשוניים שיש לכולנו.

מזדנבים

כאמור, הנדסה חברתית איננה המצאה של עידן האינטרנט. לדוגמה, אם הכניסה למקום העבודה שלכם מתאפשרת רק לאחר העברת תג עובד או הקשת קוד, שימו לב למזדנבים – אנשים שאין להם אישור כניסה, ולכן הם מחכים שהדלת תיפתח על-ידי מישהו אחר ואז נכנסים בזריזות אחריו. המניע? החל בצורך תמים אך דחוף לשירותים, דרך פשיטה על תיקי העובדים וגניבת ארנקים, ועד לגניבת מידע ונכסים אחרים של החברה. המזדנב סומך על כך שלאנשים לא נעים להתעמת עם אנשים אחרים – רוב בני האדם יעדיפו לעבור על הזדנבות בשתיקה במקום לשאול את המזדנב מי הוא (מה אם הוא באמת עובד כאן? אולי אפילו נפגשנו כבר ושכחתי? איזו פדיחה…) או לבקש ממנו להשתמש בתג האישי שלו (הוא עוד יחשוב שאני נודניק).

ויש עוד

כותרת מעיתון: גישה מנומסת של האקר עובדת כמו קסם

כותרת מעיתון: גישה מנומסת של האקר עובדת כמו קסם

סקרנו דוגמאות מעטות בלבד מים האפשרויות העומדות בפני אנשים רעים לנצל את טוב לבנו ואת רצוננו לעזור (וגם דחפים אחרים, נחמדים פחות, כמו תאוות הבצע הקיימת בכל אחד מאיתנו). פושעים יצרתיים ממציאים שיטות חדשות לבקרים כדי לנצל תכונות אנושיות למטרות שפלות. אף תוכנה או מערכת לא תוכל לעזור לכם – כאן מדובר בהפעלת שיקול דעת. קחו דקה, נשמו עמוק וחשבו – זה בדיוק מה שהדייגים, המזדנבים ושאר עושי הצרות מקווים שלא תעשו.

יול 232012
 

כולנו כבר יודעים שאבטחה היא נושא חשוב. ועדיין, אנחנו נוטים להתעצבן כשאתר רוצה שנירשם אליו ונזין שם משתמש חדש וסיסמה. "עוד סיסמה? איך אני אזכור את כל הסיסמאות האלה?" וכך אנו נוטים להשתמש בסיסמאות פשוטות וניתנות לזכירה בקלות, כמו "1111" או תאריך הלידה שלנו, או שאנחנו משתמשים באותה הסיסמה עבור כל האתרים והתוכנות בהם אנחנו משתמשים.

טעות חמורה.

סיסמאות, כמו מפתחות, נועדו למנוע מגורמים בלתי-רצויים גישה למקומות פרטיים, חשובים או סתם אישיים. כמו מפתחות, נרצה שהם יהיו משוכללים, כדי שלא כל אחד עם סיכת ראש יוכל לפרוץ לנו הביתה (או לתיבת הדואר). כמו מפתחות, לא נראה להשתמש במפתח מאסטר, כדי שאם מישהו ישיג גישה למקום שמור אחד, הוא לא יוכל להשתמש במפתח כדי להגיע לכל שאר המקומות. וכמו מפתחות, גם אוסף של סיסמאות יכול להכביד (אם כי, למזלנו, הוא אינו יכול להרעיש, לקרוע כיסים או ליפול לנו על הרגל). הבה נסקור מספר כללי בטיחות וטיפים שיעזרו לנו להתנהל נכון עם סיסמאות.

עצור, סיסמה! ג'ימייל בתחקור ביטחוני

עצור, סיסמה! ג'ימייל בתחקור ביטחוני

כללי בטיחות

צרו סיסמאות מורכבות

כדי לפרוץ לחשבונות משתמשים, נעזרים הפורצים בדרך-כלל בתוכנות מחשב שעוזרות להם "לנחש" סיסמאות. תוכנות כאלה יכולות לנסות צירופים שונים במהירות מדהימה, וכך לכסות אפשרויות רבות ולהגדיל את הסיכוי לפגיעה בסיסמה הנכונה. לדוגמה, הקוד הסודי של כרטיס אשראי מורכב מארבע ספרות. כדי למצוא אותו, יש לנסות את הצירוף "0000", אחר-כך את "0001" וכו', עד ל-"9999". בסך-הכל, מדובר בעשרת אלפים צירופים – ממש לא הרבה בשביל מחשב מודרני. למעשה, כל מחשב שיוצר בעשור האחרון מסוגל לספור מאפס עד מיליון תוך פחות מאלפית שניה. כדי להרתיע פורצים (ותוכנות), נוכל להגדיל את אורך הסיסמה שלנו. לדוגמה, הגדלת מספר הספרות לחמש משמעותה 100,000 צירופים (מ-"00000" עד "99999"), פי עשרה מהמספר הקודם, וזאת באמצעות הוספת סיפרה אחת בלבד! הוספת אותיות לסיסמה בנוסף לספרות תגדיל את המורכבות של כל תו – בנוסף לספרות בין 0 ל-9, אפשר יהיה גם להקיש כל אות בין א' לת', ובכך להגדיל את המורכבות של כל תו ל-37 אפשרויות (10 ספרות + 22 אותיות + 5 אותיות סופיות) במקום העשר הקודמות (ספרות בלבד). ארבעה תווים יתנו לנו מורכבות של 1,874,161 צירופים שונים – מ-"0000" ועד "תתתת", וחמישה תווים יזניקו אותנו ל-69,343,957 אפשרויות. ככל שנוסיף סוגי תווים (אותיות אנגליות קטנות וגדולות, תווים מיוחדים כמו "+" או "%") ונגדיל את מספרם, נוכל להגיע לסיסמה שיקשה מאוד על תוכנת מחשב לפצח בזמן סביר.

פורצי המחשבים נעזרים לא רק בתוכנות, כי-אם גם בשכל ישר. אנשים רבים משתמשים במידע קיים עבור הסיסמאות שלהם – ממספר הטלפון שלהם ועד לתאריך הלידה. מאחר שהמידע הזה זמין לכל וניתן להשגה בלי בעיות, לא כדאי להשתמש בו. בסרטים, הכספת נפתחת לאחר שהפורץ מנסה את תאריך הלידה של הילדים, את שם הכלב או צירוף פשוט, כמו "12345". הרבה פעמים, התיאור הזה לא רחוק מהמציאות. בקטגוריה זו נכללות סיסמאות כמו "password1", "סיסמה", "1998" ואפילו "123qwe" – לא צריך להיות גאון כדי להסתכל על לוח המקשים ולמצוא צירופים פשוטים.

אתרים מסוימים מקשים עלינו לאבטח את עצמנו – הם מגבילים אותנו לאותיות קטנות באנגלית, או לספרות בלבד, או לאורך סיסמה של שמונה תווים לכל היותר. צרו את הסיסמה החזקה ביותר שאתם יכולים, בהתחשב במגבלות שמטילים האתרים הללו – אל תחזרו על אותו תו פעמיים, אל תיצרו מלים או מספרים בעלי משמעות ואל תחזרו על סיסמאות.

השתמשו בסיסמאות שונות

אמרתי זאת כבר, ואומר זאת שוב: כשאתם משתמשים בסיסמה אחת לכל האתרים ולכל המחשבים אליהם אתם ניגשים, מי שיכול לגשת למקום אחד יוכל לגשת לכולם. אם נתתם את הסיסמה לחבר כדי שיוכל לבדוק עבורכם אימייל בעודכם בטיול, הוא יוכל גם לגשת לחשבון הבנק שלכם. אם אתם משתמשים בחשבון אחד במחשב עבור כל בני הבית וכולם יודעים את הסיסמה, יש לכולם עכשיו גם גישה לחשבון האשראי שלכם (יש לכם ילדים? חישבו מה הם יכולים לעולל עם המידע הזה…).

הפתרון פשוט: השתמשו בסיסמה שונה עבור כל אתר ועבור כל חשבון. כך תוכלו לשלוט ברמת הגישה שיש לאנשים אחרים לחיים הפרטיים שלכם, וגם לצמצם נזקים במקרה שאחת הסיסמאות דולפת. וזה קורה: מדי פעם, אנחנו שומעים על סיסמאות שנגנבו מאתר כלשהו. כדאי מאוד, שגם אם מישהו פרץ לאתר הקניות האהוב עלינו וגנב את שם המשתמש והסיסמה שלנו שם, הוא לא יוכל להשתמש במידע הזה כדי להיכנס בשמנו לאתרים אחרים ולחגוג על חשבוננו.

שנו את הסיסמאות מדי פעם

ואל תשתמשו בהן שוב, גם לא עבור חשבונות אחרים. כך תוכלו להקשות על פורצים, שייאלצו להתחיל מהתחלה בכל פעם. אתרים מסוימים (בעיקר בנקים) אף יכריחו אתכם לעדכן את הסיסמה בכל חודשיים-שלושה. זהו טווח הזמן המקובל, וכל המקצר – הרי זה משובח (כן, אני יודע – גם מסובך).

אתר Live של מיקרוסופט בודק אישור כניסה

אתר Live של מיקרוסופט בודק אישור כניסה

אל תשמרו את הסיסמאות שלכם במקום גלוי

את הכותרת לעיל הייתי רוצה לנסח כ"אל תשמרו את הסיסמאות שלכם בכתב, בשום מקום", אבל אני מציאותי. קשה לזכור סיסמה ארוכה ונטולת משמעות (בלי שמות, תאריכים או מלים ידועות – זוכרים?). קשה עוד יותר לעשות זאת עם סיסמאות שונות עבור כל אתר וחשבון – לרובנו יש יותר מעשרה חשבונות הדורשים סיסמה (מחשב בבית ובעבודה, ספק אינטרנט, תא קולי, כתובת אימייל אחת או שתיים, הקוד של הרכב, כרטיס האשראי ועוד, ואפילו לא דיברנו על אתרי קניות, בנקים ותשלומי חשבונות). ראיתי כבר סיסמאות כתובות על פתקים שהוצמדו לצג המחשב, כאלה שהודבקו מתחת למקלדת וגם כאלה שנשמרו בצורה מאוד מסודרת במסמך במחשב. כל האמצעים הללו נגישים מדי, וכל פורץ (פיזי הפעם) יוכל לגלות את הסיסמאות ולעשות בהן שימוש זדוני.

מה עושים? מצפינים. תוכנות שונות (בהן נדון בהמשך) יעזרו לנו לשמור את אוסף הסיסמאות שלנו. התוכנות הללו מוגנות אף הן באמצעות סיסמה, אבל עכשיו עלינו לזכור רק סיסמה אחת. נוכל לדמות זאת למפתחות המונחים בכספת – עכשיו עלינו לשמור רק על מפתח הכספת. מצד שני, אם מישהו יניח את ידו על המפתח הזה, הכל אבוד – הוא יוכל לגשת לכל שאר המפתחות. לכן, שימרו מכל משמר על הסיסמה הראשית, זיכרו אותה בעל-פה, אל תכתבו אותה ואל תשתפו אותה עם אף אחד.

אל תשתפו אחרים בסיסמאות שלכם

אני לא מדבר כאן על אנשים שאנחנו לא בוטחים בהם – זה מובן מאליו. אבל גם אנשים שאנחנו מכירים ואוהבים יכולים לגרום לפגיעה בנו – אולי הם לא מקפידים על אבטחת המידע שלהם, הסיסמה שנתתם להם כתובה אצלם איפשהו וכל אחד יכול לקרוא אותה? אולי הם חושבים שהסיסמה שנתתם להם היא סיסמה טובה ולכן הם משתמשים בה בעצמם? ואולי הם חושבים שהיא סיסמה ממש מצוינת, ומספרים לכולם על החברים הגאונים שלהם שחשבו על סיסמה כל-כך מקורית?

טוב, בואו לא נגזים; ועדיין, שיתוף סיסמאות אינו רעיון טוב – הוא רק מגדיל את הסיכון. במקרה שאתם צריכים לשתף מישהו בסיסמה כדי שיבצע עבורכם פעולה כלשהי, אל תשכחו לשנות אותה מייד אחרי שהוא סיים, כדי למנוע בעיות אפשריות.

עצות לעבודה עם סיסמאות

ייצור סיסמאות

סיסמאות אקראיות

סיסמאות אקראיות

כדי ליצור סיסמאות מאובטחות, עלינו להשתמש בתווים שונים ומשונים. אתרים שונים מציעים סיסמאות המיוצרות באופן אקראי לפי דרישה. לדוגמה, בכל פעם שתרעננו את הדף (לחיצה על F5) בעמוד הסיסמאות של סטיב גיבסון, תקבלו סיסמאות שונות. אתרים אחרים מציעים עמוד בו תוכלו לבחור את אורך הסיסמה וסוגי התווים (עם/בלי אותיות גדולות, עם/בלי מספרים וכו'). אם המאמר הזה גורם לכם להרגיש מעט פרנואידים, תוכלו לבקש מספר גדול מהרצוי של תווים ולבחור רק חלק מהם עבור הסיסמה שלכם כדי להרגיש בטוחים לגמרי.

ישנן גם תוכנות שכל תפקידן הוא לייצר סיסמאות, אך מאחר שהאתרים שציינתי עושים זאת לא פחות טוב ואינם מצריכים התקנה כלשהי, נדלג על התוכנות הללו.

טריק נוסף שאנשים משתמשים בו הוא הסתמכות על "בסיס סיסמה" קבוע, תוך שינוי חלקים בסיסמה בהתבסס על האתר עבורו אנו מייצרים אותה. לדוגמה, נבחר בצירוף "8jrs5" כבסיס לסיסמה. הסיסמה שלנו בבנק תהיה "8jrs5banK", הסיסמה לאתר כרטיס האשראי תהיה  "8jrs5visA" והסיסמה שלנו באתר הקניות איביי תהיה "8jrs5ebaY". עליתם על הנוסחה? כל הסיסמאות מורכבות מהבסיס ולאחריו שם האתר באותיות קטנות, כשהאות האחרונה של שם האתר גדולה. כדאי, כמובן, ליצור בסיס וכללי חיבור מורכבים יותר, אבל הרעיון נשאר. היתרון בשיטה זו הוא שימוש בסיסמאות שונות מצד אחד, כשמצד שני קל לזכור אותן. החיסרון הוא בפגיעות: מי שיעלה על הנוסחה שלנו יוכל להסיק ממנה את כל הסיסמאות שלנו, מתן סיסמה אחת לחבר מסכנת את כולן, וגם קשה לשנות אותן כל שלושה חודשים, מאחר שהן די קבועות עבור כל אתר.

תוכנות

תוכנות מסוימות יזכרו עבורנו סיסמאות, ואפילו יציעו אפשרויות נוספות. לדוגמה, כל דפדפן מציע כיום לזכור עבורנו שמות משתמש וסיסמאות עבור האתרים בהם אנו מבקרים. הדפדפן פיירפוקס מציע, נוסף על זכירת הסיסמאות ומילוין בעמודים הנכונים, גם הגנה על רשימת הסיסמאות באמצעות סיסמה ראשית, ואפילו סנכרון הסיסמאות בין המחשבים בהם אנחנו משתמשים. הנה מספר תוכנות נוספות:

RoboForm - גרסת אייפון

RoboForm – גרסת אייפון

תוכנה בשם SplashID מנהלת שמות משתמש וסיסמאות ומאפשרת למשתמש לחפש ולעדכן אותן. אם יש לכם טלפון חכם, תוכלו להתקין עליו גרסה ניידת של התוכנה שתסתנכרן עם המחשב שלכם. באופן זה, תוכלו לשאת עמכם את הסיסמאות שלכם לכל מקום, ולהיכנס לחשבונות שלכם גם אם אתם משתמשים כרגע במחשב שאינו שלכם. התוכנה עולה אמנם כסף, אבל מעריציה טוענים שהיא שווה כל שקל.

תוכנת ניהול סיסמאות אחרת בשם RoboForm מוסיפה תכונה מעניינת: נוסף על ניהול הסיסמאות וסנכרון אפשרי עם מכשיר הטלפון, היא אף תמלא עבורכם טפסים בעמודי אינטרנט באופן אוטומטי במבחר דפדפנים.

קיימות גם תוכנות חינמיות לניהול סיסמאות, למרות שאוסף האפשרויות שלהן מוגבל יותר. אחת מהן היא KeePass, המציעה גם מבחר תוספים ותוכנות לטלפונים שנכתבו על-ידי מתנדבים.

 סיסמאות ללא תווים

סמסונג גלקסי עומד על המשמר

סמסונג גלקסי עומד על המשמר

במקרים מסוימים, ניתן להשתמש בהגנה נטולת סיסמאות, או לפחות כאלה הדורשות הקלדה. לדוגמה, מחשבים ניידים מגיעים לפעמים עם קורא טביעות אצבע – הירשמו באמצעות התוכנה המסופקת עם המחשב ותוכלו להיכנס לחשבון שלכם בהינף אצבע ממש, ללא הקלדת סיסמה. טלפונים חכמים מסדרת גלקסי של סמסונג מציעים הגנה באמצעות ציור קווים בין נקודות במקום הקלדת סיסמה – רק מי שיודע לצייר את הציור שהוזן יוכל להשתמש בטלפון.

דוגמה נוספת היא מערכת ההפעלה Windows 8, שם נעשה ניסוי להציג צורה חדשה של סיסמאות: המחשב יציג תמונה על המסך, והמשתמש יצטרך לגעת בנקודות מסוימות לפי הסדר. לדוגמה, ביצירת ה"סיסמה" נוכל לבחור בתמונה של הילדים, ואז לגעת בלחי ימין, בלחי שמאל ובאף של כל אחד מהם. מעכשיו, בכל פעם שנרצה להיכנס לחשבון שלנו במחשב, נצטרך לחזור על רצף הנגיעות שהגדרנו.

איך אתם זוכרים סיסמאות? איך אתם בוחרים אותן? האם יש לכם רעיונות לטריקים שלא נדונו כאן? אשמח לשמוע!

פבר 272011
 

החורף הגיע, ועמו השפעת ושאר הווירוסים הטורדים את מנוחתנו. אנשים משתעלים ברחוב, טישו נתחב לכיסים, ליטרים של תה נמזגים כדי להילחם במזיקים הקטנים… אבל רגע, אנחנו כאן כדי לדון במחשבים. אז בואו נתחיל מהתחלה:

וירוסים, תולעים, סוסים טרויאניים ורוגלות – אלו הם חלק מהשמות שניתנו לתוכנות בלתי-קרואות שעושות דברים לא רצויים למחשב שלנו. לא ניכנס כרגע לסיווגים ולדקויות, ונגיע ישר לתכל'ס: מה עושים נגדם.

וירוס

וירוס אמיתי (זהירות, לא לגעת!)

חיסון דיגיטלי

התשובה די פשוטה, לכאורה, וקיימת מזה שנים רבות: אנטי-וירוס. זוהי תוכנה שרצה על המחשב ברקע כל הזמן, ומסוגלת להתריע על וירוסים ושאר מרעין בישין שהיא מוצאת. החיפוש מתבצע באחת משלוש דרכים:

  1. בקשה מהמשתמש: אם נבקש מתוכנת האנטי-וירוס שלנו לסרוק קובץ, היא תעשה זאת. אם נבקש ממנה לסרוק תיקיה או כונן, היא תסרוק את כל הקבצים באותה תיקיה או באותו כונן (וכמובן גם את כל הקבצים שבתתי-התיקיות וכן הלאה).
  2. סריקה מתוזמנת: ברוב האנטי-וירוסים, ניתן לקבוע זמנים בהם התוכנה תסרוק את הקבצים במחשב: כל יום, כל שבוע ביום רביעי, בחצות או ב-17:30.
  3. סריקה אוטומטית: בסריקה זו, האנטי-וירוס יושב ומחכה לנו. ברגע שנריץ תוכנה או נפתח מסמך, הוא יתפוס פיקוד ויעביר את הקובץ סריקה קצרה לפני שישחרר אותו וירשה לקובץ להיטען. באופן זה, כל קובץ עובר סריקה – גם כאלה שעוד לא היו על המחשב בזמן הסריקה המתוזמנת האחרונה.

איך יודעת התוכנה לזהות וירוס?

גם כאן, התשובה נחלקת לשלושה סוגים:

  1. לאנטי-וירוס יש רשימה של תוכנות הידועות כזדוניות – תוכנות שלמות שנוצרו כדי לפגוע ולהזיק (למה אנשים עושים את זה? שאלה טובה. אפשר להתחיל עם סיבת הרוע הכללי בעולם, להמשיך עם צורך נואש בתשומת-לב ולהגיע אפילו לבצע כסף. כן, יש מי שעושה כסף מווירוסים, ואלה לאו דווקא חברות האנטי-וירוס). כל קובץ שהאנטי-וירוס עובר עליו הוא משווה לרשימה שבידו, ואם יש התאמה (מבחינת שם הקובץ, גודלו או תוכנו), הוא מתריע.
  2. לפעמים, הווירוס הוא קטע קוד (חלק מתוכנה) המושתל בתוך קובץ רגיל. זהו, אגב, המקור לשם וירוס – הדמיון לווירוס אמיתי, החודר לגוף חי ו"תופס עליו טרמפ" לצורך נשיאה ושכפול. גם במקרה זה, לאנטי-וירוס יש רשימת-זיהוי של מסתננים שכאלה, והוא מחפש אותם בתוך הקבצים שהוא סורק.
  3. בנוסף, יש תוכנות אנטי-וירוס מסוימות שיודעות לבצע הסקות והשערות (או, בשפה מקצועית, יוריסטיקות). הן "יודעות" איך אמור להיראות וירוס באופן כללי, ומחפשות בתוך הקבצים שהן סורקות חלקים הנראים "כמו וירוס". אם האנטי-וירוס מצא משהו שנראה כמו וירוס אבל לא נמצא ברשימת החשודים הידועים, הוא יכול לשלוח אותו לבדיקה, לסמן את הקובץ הנושא את האולי-וירוס כחשוד או להודיע למשתמש על החשד.

מאחר שווירוסים חדשים מתגלים ומזוהים כמעט מדי יום, תוכנות אנטי-וירוס מודרניות מתוכנתות להתקשר לאתר החברה שייצרה אותן ולהוריד משם רשימות וירוסים. החברות המייצרות את התוכנות מעסיקות מעבדות זיהוי, המעדכנות את הרשימות הללו באופן יומיומי.

בעקבות העליה החדה בכמות (ובאיכות) התוכנות הזדוניות למיניהן בעשור האחרון, הפכו תוכנות אנטי-וירוס לרכיב חיוני במחשב, ואחד הדברים הראשונים שכדאי להתקין אחרי התקנת Windows. כפועל יוצא מכך, צצו המוני אנטי-וירוסים שמבטיחים להגן עלינו מפני כל הרוע שבעולם, ועכשיו צריך להחליט על מי מהם לסמוך, ובידי מי להפקיד את מחשבנו היקר.

זהירות – אנטי-וירוס!

הבחירה הופכת מסובכת ובעייתית יותר, אם ניקח בחשבון את העובדה שחלק מתוכנות האנטי-וירוס הן למעשה וירוסים בעצמן – תוכנות המיוצרות על-ידי גורמים מפוקפקים במטרה שתתקינו אותן על המחשב שלכם. ברגע שהן מותקנות ומקבלות אישור לקרוא את כל הקבצים שלכם, הן יכולות לעבור עליהם ולשלוח פרטים שנראים מעניינים ("הי, יש כאן מספר בן 16 ספרות. נראה כמו כרטיס אשראי! בואו נשלח אותו למי שכתב אותי כדי שיוכל לחגוג קצת"), להכניס אתכם לפאניקה כדי שתרוצו להוציא כסף על "אבטחה" נוספת מתוצרת אותם עבריינים ("יש לך וירוס!!! הכנס מייד את מספר כרטיס האשראי שלך וקנה את התוכנה המשופרת שתמחק אותו!!!") או תצרף את המחשב שלכם לרשת-הרובוטים שמתחזק אותו עבריין (ברשתות רובוטים, או botnet, נדון בפעם אחרת). בקיצור – העולם מלא ברוע, ואנחנו צריכים לברור בין האמיתי לבין הזיוף.

כדי לתת לכם מושג עד כמה קשה להבדיל בין אנטי-וירוס אמיתי לבין החיקוי המרושע, נשחק משחק קצר: אנא הביטו בתמונה הבאה והחליטו אילו מהחלונות שייכים לתוכנות אנטי-וירוס לגיטימיות ואילו – לזיופים.

התרעת וירוס

זהירות, וירוס! זהו את הזיופים

החלטתם? בטוחים? הנה התשובה הנכונה: שני החלונות משמאל שייכים לתוכנות אנטי-וירוס לגיטימיות – נורטון ו-AVG. התוכנות מימין הן זיוף – הן לא מתקנות כלום, מתריעות כל הזמן על איומים שאינם קיימים ואי אפשר להסיר אותן. מטרתם של יוצרי התוכנות הללו מתבררת די מהר – לאחר שהודיעו לך על שלל פרצות האבטחה שמצאו במחשב שלך, הן מאיצות בך לקנות את החבילה המלאה על-מנת לתקן אותן, ואפילו על-מנת להיות מסוגל להסיר את התוכנה המקורית. נקרא לילד בשמו – זו סחיטה.

התוכנה מימין למעלה משתמשת בסמלים של Windows כיד לגרום לנו להאמין שהיא "אמיתית" – המגן האדום עם האיקס של XP, המגן עם ארבעת הצבעים של ויסטה, חומת האש (החומה האפורה) – כל אלה מוכרים לנו, ולכן ניטה לייחס להם אמינות, ואולי אפילו נטעה לחשוב שהתוכנה יוצרה על-ידי מיקרוסופט. הגדילו לעשות יוצריה של תוכנה בשם "מיקרוסופט אנטיוירוס" – בנוסף לכל הסמלים ש"שאלו" מ-Windows, הם גנבו ללא בושה את שמה של מיקרוסופט ומשתמשים בו כדי לפתות משתמשים תמימים. התוכנה אינה של מיקרוסופט, ולא תתפלאו לדעת שהיא לא באמת מזהה וירוסים ורק גורמת נזק.

איך בוחרים אנטי-וירוס?

בעולם מרושע כל כך, על מי אפשר לסמוך? אם יש לכם "גורו מחשבים" שאתם סומכים עליו, זה הזמן לפנות אליו ולשאול בעצתו. לכל אחד יש העדפה משלו – יש אנשים שמתקינים תמיד את NOD32 של ESET, יש הנשבעים בשמו של קספרסקי, ויש כאלה שעובדים כבר שנים עם נורטון. לא משנה באיזו תוכנה תבחרו, חשוב שיהיה לכם אנטי-וירוס, וחשוב שלא תתקינו בטעות "אנטי-וירוס" זדוני.

אצלי במחשב מותקן אנטי-וירוס בשם Microsoft Security Essentials – תוכנה חדשה, יחסית, של מיקרוסופט. זהו גם האנטי-וירוס שאני ממליץ עליו בדרך-כלל לכל מי ששואל. הנה הסיבות העיקריות להעדפה האישית שלי:

Microsoft Security Essentials

Microsoft Security Essentials

  • ה"מנוע" של התוכנה הוא אותו מנוע שנמצא בבסיסה של Forefront, תוכנת האנטי-וירוס שמיקרוסופט מוכרת לארגונים (חברות ומשרדים גדולים). מדובר במוצר קיים ונמכר שאפשר לסמוך עליו.
  • התוכנה קיבלה ציונים לא רעים (ואפילו טובים מאוד) במבחני זיהוי וירוסים שונים. היא נמצאת באותה רמה של תוכנות אנטי-וירוס ותיקות ומשופשפות (אין אנטי-וירוס מושלם, לכל תוכנה יש יתרונות וחסרונות. המטרה היא למצוא תוכנה עם מקסימום יתרונות ועם מינימום חסרונות).
  • קל מאוד להשתמש בתוכנה – מעט כפתורים, אינדיקציה ברורה בסמלון במגש המערכת (ליד השעון) מה מצב המחשב (ירוק – MSE - סמלון ירוק הכל בסדר; אדום – MSE - סמלון אדום משהו קרה, כדאי לשים לב), הכל עובד ללא צורך בכיוונונים ובחפירה במסכים.
  • עדכון רשימת הווירוסים הידועים יכול להיעשות כחלק מהעדכונים של Windows.
  • העלות אטרקטיבית במיוחד: חינם, ללא עלות ראשונית וללא צורך בחידוש מנוי שנתי.

אפשר למצוא את התוכנה בעמוד הבית של Security Essentials (באנגלית בלבד, לצערי). לחצו על כפתור "Download Now" (בכחול, באמצע הדף), בחרו במערכת ההפעלה שלכם (XP, ויסטה או 7, 32- או 64-ביט) והתחילו להוריד. שימו לב – לאחר ההתקנה, התוכנה תוריד את כל עדכוני הווירוסים, כך שיקח לה קצת זמן להפוך ל"מבצעית". ניתן לקצר מעט את הזמנים על-ידי קפיצה לעמוד עדכוני הווירוסים, הורדת הקובץ המתאים (עבור מערכת הפעלה של 32- או 64-ביט) והתקנתו מייד לאחר התקנת התוכנה.

קליק-כפול על הסמלון במגש יפתח את החלון הראשי (והיחיד) של התוכנה. אם הכל בסדר, המסך ייראה בערך ככה:

המסך הראשי של Security Essentials - הכל כשורה

המסך הראשי של Security Essentials – הכל כשורה

במקרה של בעיה (הסמלון אדום), המסך הראשי ייראה כך:

המסך הראשי של Security Essentials - משהו לא בסדר, נא לתקן

המסך הראשי של Security Essentials – משהו לא בסדר, נא לתקן

הכפתור שיופיע במסך ינחה אתכם מה לעשות. במקרה שלפנינו, ההתרעה נגרמה מכיבוי של הסריקה האוטומטית (אל תדאגו, עשיתי את זה בכוונה כדי להראות לכם מסך אדום), ולכן הכפתור יאיץ בנו להפעיל אותה מחדש. במקרה של גילוי וירוס, נוכל להורות למחשב מה לעשות עם הקובץ הנגוע (למחוק, לנסות לתקן, לשמור בצד ואפילו להתעלם מההתרעה).

שתהיו בריאים!

ספט 252010
 

TrueCrypt

אנחנו כבר יודעים שחשוב לשמור על המחשב בטוח, ואפילו מכירים כבר את שתי השיטות העיקריות – הרשאות והצפנה. תוכנת ההצפנה המועדפת עלי היא TrueCrypt. רוצים לדעת למה?

  • היא עושה את העבודה: זה נראה אולי מובן מאליו, אבל לא כל התוכנות עובדות, ואלה שכן מגלות לפעמים סימני מרד. אני משתמש ב-TrueCrypt כבר מספר שנים, ועוד לא נתקלתי בבעיה כלשהי.
  • היא גמישה ומלאת אפשרויות, כך שאם קיים צורך מסוים כלשהו, יש סיכוי טוב שתוכל לבצע זאת באמצעות התוכנה. היא תומכת באפשרויות של שורת פקודה, אפשר להחליט על סיסמה אבל גם על קובץ מסוים שיתפקד כמפתח (ואפילו לשלב בין סיסמה לקובץ), ועוד ועוד.
  • …אבל לא מסובכת – לא חייבים להבין את כל האפשרויות כדי להשתמש בה – אפשר לבחור באפשרויות הראשוניות שהתוכנה נותנת, והיא תעבוד (ותגן) גם ככה.
  • חינמית – אין צורך לקנות, אין צורך לחדש מנוי, אין צורך להכניס שיקולי תקציב להחלטה האם להשתמש או לא
  • ניידת – לא חייבים להתקין אותה על מחשב כדי להשתמש בה. ניתן לשמור את קובצי ההפעלה שלה ולהפעיל אותה משם – אני מחזיק עותק על הדיסק הנייד שלי, כך שאוכל להפעיל אותה מכל מחשב שאתחבר אליו.
  • עובדת על מספר מערכות הפעלה: אולי לא קריטי בשבילכם, אבל כל מי שמחזיק בבית מחשב עם Windows וגם מק או לינוקס מכיר את הבעיה – איך מעבירים קבצים, איך לוודא שמסמך שנערך על המחשב הזה ייפתח כמו שצריך על המחשב ההוא, ובקיצור – בעיות תאימות. ל-TrueCrypt יש גרסאות ל-PC, למק וללינוקס, כך שקבצים מוצפנים ניתנים לפתיחה מכל מחשב שהוא
  • מהירה – ההבדל בין שמירת קובץ בצורה מוצפנת לשמירה לכונן רגיל אינו מורגש בדרך כלל.

איך היא עובדת?

TrueCrypt עובדת עם מטאפורה של כונן: כש"נכנסים" לאיזור שהוצפן על ידי התוכנה, מערכת ההפעלה שלנו תחשוב שמדובר בכונן חדש שחיברנו ותציג אותו בסייר (Windows Explorer). היא אפילו לא תדע שלא מדובר בדיסק/כונן USB/דיסקט. ניתן ליצור איזור מוצפן בתוך חלק מדיסק אמיתי – TrueCrypt תייצר קובץ בגודל שנבקש, תצפין אותו, ומעכשיו נוכל להכניס אליו קבצים משלנו כמו שאנחנו מעתיקים קבצים בכל כונן לכל כונן אחר. ניתן גם להצפין כונן או מחיצה (partition) שלמים – במקרה זה, TrueCrypt תפרמט את כל הכונן וכל הגישה אליו תעבור (מאחורי הקלעים) דרכה. אנחנו עדיין נעבוד עם הכונן כמו כונן רגיל, כל עוד הוא "פתוח" על ידי TrueCrypt.

בחירה בקובץ ל"פתיחה" באמצעות TrueCrypt

בחירה בקובץ ל"פתיחה" באמצעות TrueCrypt

הקובץ מיוצג בתור כונן בעזרת TrueCrypt

כדי למנוע מכל שאר העולם לגשת לקבצים המוצפנים שלנו, נאמר ל-TrueCrypt לסגור את הקובץ. הדבר ינתק את הכונן (מבחינתה של מערכת ההפעלה), ועכשיו יש לנו קובץ תמים למראה ובלתי-חדיר. את הקובץ הזה ניתן להעתיק לכונן USB (אם הוא לא גדול מדי), לצרוב על CD ואפילו לשלוח באימייל. כל העולם יכול לראות אותו – רק מי שיודע (א) שמדובר בקובץ של TrueCrypt ו-(ב) את הסיסמה לקובץ הספציפי הזה, יוכל לטעון אותו ככונן (באמצעות עותק של TrueCrypt משלו) ולראות מה יש בפנים.

איפה משיגים

אתר הבית של TrueCrypt הוא www.truecrypt.org. את הגרסה העדכנית ביותר תוכלו להוריד מדף ההורדות באתר. העלות, כפי שאמרנו, און-דה-האוס.

רגע לפני שאתם מתמכרים…

כדי שלא ניהנה יותר מדי, יש אנשים שדואגים להדאיג אותנו בקשר ל-TrueCrypt. אז רק שתדעו: קיימת תיאוריה האומרת שמדובר בפרויקט של סוכנות אמריקאית כלשהי (CIA, NSA או כל ראשי תיבות אחרים), שנותנת לכולנו להשתמש חופשי בתוכנה, אבל מחזיקה "מפתח קסמים" שיוכל לפתוח כל קובץ שיצרנו בעזרתה. הרעיון של "דלתות סתרים" המאפשרות לעקוף מנגנוני הגנה ובטיחות של תוכנות קיים בשטח, ותיאורטיקני הקונספירציה מצביעים על מספר עובדות שמעלות חשד:

  1. למרות שקוד המקור קיים, וכל מי שרוצה יכול לכאורה להכין לעצמו עותק ולוודא שאין בו דלתות סתרים, קוד זה לא נסרק מעולם על ידי קבוצה מוכרת שאישרה שהוא נקי. כמו כן, רוב (אם לא כל) מי שמגיע לאתר, מוריד את הגירסה המוכנה להתקנה ולא מתעסק עם הקוד (כי לא כולנו מתכנתים עם הידע והזמן הדרושים), כך שהגרסה המוכנה באתר יכולה להיות שונה מזו שמוצגת בקוד. מספיק שונה כדי להיות פתוחה בפני "כוחות האופל".
  2. הקבוצה שמפתחת את TrueCrypt שומרת על חשאיות. היא כל כך חשאית, למעשה, שלא ניתן להצטרף אליה, ולא ידוע אפילו מי האנשים המרכיבים אותה. מתיאורים באתר,נראה שמדובר בשני אנשים בסך הכל, דבר המעלה תהיות: איך יכולים שני אנשים ליצור תוכנה מורכבת כל כך, העובדת במספר מערכות הפעלה (זוכרים את הגרסאות ללינוקס ולמק?) והמתעדכנת בתדירות, תוך שהם ממשיכים לעבוד בעבודה רגילה (TrueCrypt היא חינמית, כך שאת פרנסתם הם חייבים למצוא במקום אחר)?

קונספירציה או לא, התוכנה קיימת ופופולרית מאוד. אולי כדאי רק לא לשמור באמצעותה קבצים שאתם מנסים להסתיר מהביון האמריקאי.

אוג 302010
 

– "הצפנה? אצלי במחשב? אבל אני לא שומר כאן סודות מדינה!"

לפני לא-כל-כך-הרבה זמן, ג'יימס בונד הסתובב עם מכשיר קשר מוצפן, התדריך של "משימה בלתי אפשרית" הושמד באופן עצמאי תוך 5 שניות והחבר'ה מ"סניקרס" פיצחו סיסמאות כמו גרעינים. לאף אחד אחר לא היה צורך בהצפנה – מה כבר היה לנו להסתיר? ואז, כמו דלת פלדלת חורקת, נפתח בפנינו עולם חדש: אנחנו מוסרים מידע באינטרנט, מסתובבים עם מחשב נייד, מטלטלים טלפון חכם, וכבר שכחנו מהדיסק-און-קי ושאר הזכרונות הניידים שבארנק, בתיק ועל מחזיק המפתחות. במקרים רבים, אנו שומרים הרבה סודות בכל המקומות הללו, גם אם אנחנו לא מודעים לכך.

במאמר הקודם דנו באפשרות לחזק את האבטחה באמצעות הרשאות; בנוסף (או ללא שום קשר) להרשאות, ניתן להצפין קבצים. בעזרת הצפנה ניתן להפוך כל קובץ לאוסף אקראי (לכאורה) של תווים; רק מי שברשותו הסיסמה הנכונה יוכל לראות את התוכן האמיתי של הקובץ.

הצפנה – למה צריך את זה?

הרשאות עובדות כל עוד יש לנו שליטה על המחשב ועל המשתמשים. במקרים מסוימים, לנו עצמנו אין הרשאות לקבוע הרשאות של אחרים. לפעמים אנחנו משתמשים בהתקן שאינו תומך במערכת הרשאות (כמו דיסק-און-קי וכרטיסי זיכרון המפורמטים על ידי FAT32 – לא חייבים לדעת מה זה, רק שזה לא עובד עם הרשאות). והרשאות, כזכור לנו, ניתנות לשינוי על ידי משתמש עם הרשאות מנהל (המאפשרות, בין השאר, לשנות את ההרשאות הקיימות לכל הקבצים), ולכן אם מישהו גנב, כלומר מצא-ועוד-לא-החזיר את המחשב שלנו, הוא יכול לחבר את הדיסק הקשיח למחשב שלו, בו יש לו הרשאות מנהל, ואז לעשות בקבצים שלנו כרצונו. לא טוב.

הצפנה של קובץ "נועלת" אותו בפני כל מי שאינו מורשה לגשת אליו. רק אם ברשותך המפתח המתאים (בדרך כלל סיסמה), תוכל לפתוח את הקובץ ולהשתמש בו.

הצפנה – איך עושים את זה?

ישנן תוכנות המאפשרות להצפין את הקבצים שהן יוצרות. לדוגמה, תוכנות Office כמו Word ו-Excel מאפשרות להצפין את המסמכים ולהרשות רק למי שבידו הסיסמה לצפות במסמך. ככה זה נראה ב-Word 2010:

פרטים מלאים תוכלו למצוא בדף העזרה (בעברית!) באתר מיקרוסופט, הדן בהגנה על מסמכים, חוברות עבודה ומצגות באמצעות סיסמה. הדף מיועד אמנם ל-Office 2007, אך ההוראות עבור גרסאות אחרות של Office דומות מאוד.

מערכת ההפעלה האהובה (טוב, אולי קצת הגזמתי) על כולנו, Windows, מאפשרת (במהדורות מסוימות) להצפין כל קובץ שתרצו. אפשרות זו קיימת במהדורות ה"מסחריות" של Windows – מהדורת Professional, מהדורת Enterprise, וכמובן המהדורה האולטימטיבית – Ultimate (השוואה מקיפה תוכלו למצוא כאן). זה די פשוט, למעשה – כל שעליך לעשות הוא לבחור בקובץ, קליק-ימני, מאפיינים, מתקדם… ושם, בתיבת הסימון האחרונה, תוכלו להצפין את הקובץ. ככה זה נראה:

לאחר הלחיצה על אישור, המערכת תוודא שאתם מעוניינים להצפין את הקובץ, ותציע להצפין את כל התיקיה בה הוא נמצא. לא חייבים להסכים, אבל כדאי לחשוב על זה – בדרך כלל, מסמכים וקבצים נמצאים בתיקיה מסוימת מסיבה כלשהי, ולכן כנראה שהסיבה להצפנתו של אחד מהם תהיה סיבה טובה להצפין גם את השאר.

אישרתם. הקובץ (ואיתו אולי גם התיקיה) יוצפן עבור המשתמש בלבד, ולאף אחד אחר לא תהיה גישה אליו, אלא אם כן תגדירו זאת בפירוש. משתמשים אחרים אפילו לא יוכלו להזיז את הקובץ לתיקיה אחרת. והכי חשוב – אם המשתמש כבר לא יהיה קיים במערכת (אפילו אם פירמטתם והתקנתם Windows מחדש, ואפילו אם יצרתם משתמש עם אותו השם), הקובץ אבוד לעולמי עד. אם אתם רוצים להשתמש בהצפנה המובנית של Windows, כדאי לעבור על אמצעי הזהירות המומלצים.

אפשרות נוספת לבעלי ויסטה ו-7 (ושוב – בגרסאות ה"מסחריות" בלבד), היא להשתמש בתוכנה בשם BitLocker, המאפשרת להצפין את תכולתו של כונן שלם. ניתן להצפין אפילו את הכונן עליו מותקנת Windows! (איך המערכת עולה אם היא מוצפנת? את זה תשאירו למהנדסי מיקרוסופט.) ב-Windows 7 ניתן להצפין גם כוננים ניידים, כגון דיסק-און-קי, אבל שימו לב – התכונה הזו קיימת כיום רק ב-Windows 7, ולכן, מהרגע שהצפנתם, תוכלו להשתמש בהם רק במחשבים עליהם מותקנת Windows 7.

ולדובדבן שבקצפת: ישנה תוכנה טובה, בחינם, שעובדת על כל סוגי Windows (וגם על לינוקס ומק). ניתן להתקין אותה על המחשב, אבל אפשר להפעיל אותה גם על מחשב בו היא אינה מותקנת. היא יכולה להצפין כוננים שלמים, או ליצור "כוננים" מתוך קבצים שיצרתם בעזרתה והיא גם מבוססת קוד פתוח, מה שנותן לה יתרונות מסוימים על פני תוכנות אחרות. קוראים לה TrueCrypt, ואנחנו נדון בה במאמר הבא.

אוג 232010
 

במאמר הקודם עסקנו באבטחת הגישה למחשב באמצעות התוכנות שעליו (כולל מערכת ההפעלה). אבל מחשבים באים והולכים, מפורמטים ומשודרגים; הדבר הכי חשוב במחשב שלכם הוא המידע שעליו. המידע שלכם.

לכולנו יש מידע על המחשב: מסמכים שכתבנו, תמונות ששמרנו, אימיילים וכתובות בתוכנת הדואר, ואפילו סימניות של אתרים בהם ביקרנו או נרצה לבקר בעתיד. איך שומרים על המידע הזה?

למעשה, יש כאן שתי שאלות: האחת נוגעת לשמירת המידע מפני אובדן או היעלמות, והתשובה לה היא גיבוי. נייחד לה מקום במאמר נפרד.

השאלה השניה נוגעת לאבטחת המידע – איך מונעים גישה לא רצויה למידע? טוב ששאלתם. זה אפשרי, לא קשה (לפחות לא קשה מדי), ושווה את המאמץ. מאמר זה ידון בפתרון אחד לבעיה ושמו הרשאות. במאמר הבא נדון בהצפנה. מוכנים? בואו נתחיל:

הרשאות

למערכת ההפעלה שלכם (בהנחה שיש לכם מערכת הפעלה עדכנית יותר מ-Windows 98) יש מנגנון הרשאות לא רע: לכל כונן, לכל תיקיה ולכל קובץ ניתן לקבוע (באופן גורף או פרטני) הרשאות שונות. לדוגמה, ניתן לקבוע שההורים יכולים לערוך קבצים בתיקיית מסמכי החשבונות והילדים לא יכולים אפילו לראות אילו מסמכים נמצאים שם, או שהבת יכולה לצפות בתמונות של החברות מהכיתה והבן לא יכול למחוק אותן.


ההרשאות של Windows מתבססות על משתמשים, קבוצות (שהן דרך נוחה לנהל מספר משתמשים יחד) ואפשרויות גישה לקבצים – קריאה, כתיבה, מחיקה והפעלה (במקרה שמדובר בקובץ להרצה, כגון תוכנה). רוצים לראות? פיתחו את סייר הקבצים (Explorer, ההוא עם הציור של התיקיה הצהובה), היכנסו לתיקיה כלשהי ובחרו בקובץ. קליק-ימני על הקובץ ובחירה באפשרות "מאפיינים" יציגו בפניכם מאפיינים שונים של הקובץ. עיברו ללשונית "אבטחה" ותקבלו מסך דומה לזה:

הרשאות עובדות במערכת הקבצים NTFS – זוהי מערכת הקבצים עמה מותקנות Windows XP, ויסטה ו-7. שימו לב – כוננים חיצוניים, כגון דיסק-און-קי וכרטיסי זיכרון, מפורמטים לעתים עם מערכת הקבצים FAT32, בה לא ניתן להגדיר הרשאות. אם הלשונית "אבטחה" לא קיימת, סימן שהכונן עליו נמצא הקובץ לא מפורמט עם NTFS ולא ניתן להגדיר הרשאות על הקבצים שבו.

ניתן לערוך שינויים בהרשאות של משתמש או קבוצה על ידי בחירתו, ולאחר מכן סימון של סוגי ההרשאות המבוקשים. אם המשתמש או הקבוצה לא מופיעים ברשימה, ניתן להוסיף אותם (נכון, בעזרת לחצן "הוספה…") ואז לערוך את ההרשאות. לא לשכוח לשים לב למי יש הרשאות מנהל בבית – כל משתמש כזה יוכל לשנות את ההרשאות בחזרה (ולכן, לדוגמה, אצלי בבית רק לי יש הרשאות מנהל; כל שאר המשתמשים הם "משתמשים רגילים" שאינם יכולים לשנות את הגדרות האבטחה).

כללי אצבע: אל תגעו בקבוצת המנהלים (Administrators), בחשבון המנהל (Administrator) ובכל חשבון לא מוכר אחר (כמו SYSTEM או LOCAL SERVICE) – יש משתמשים וקבוצות המנוהלים על ידי מערכת ההפעלה, ואם תשחקו להם בהרשאות ייתכן שהמערכת לא תפעל כמו שצריך.

סיימתם? נהדר. עכשיו רק משתמשים מורשים במחשב יוכלו לגשת לקבצים.

רגע, אבל מה קורה אם המחשב נגנב או אובד? במקרה כזה, ניתן יהיה לחבר את הדיסק למחשב אחר, בו למי-שזה-לא-יהיה יש הרשאות מנהל, ולשנות את ההרשאות! שאלה מצוינת, התשובה במאמר הבא.

אוג 032010
 

רבות כבר נאמר על נושא אבטחת המחשב, אבל זה בדרך כלל לווה במלים כמו "הצפנת 128 סיביות" (או 256, או 512) או "מפתח ציבורי", או כל מיני מושגים כמו פורטים ו-RSA ודיבורים על וירוסים ותולעים. בואו נעזוב רגע את המלים הגבוהות ונתחיל, כמו שאמר מר סלוצקי, בהתחלה.

בהתחלה היה המחשב האישי, השולחני, והכי חשוב – המנותק. הוא היה מחובר לחשמל מצד אחד, ולמשתמש מהצד השני (באמצעות מקלדת ומסך), וזהו. הסיכון הכי גדול היה שמישהו יבוא ויגנוב אותו יחד עם התכשיטים והפיקאסו המקורי בסלון.

ואז נכנסו לחיינו שתי תופעות חדשות, פחות או יותר באותו הזמן: רשת האינטרנט, שחיברה אותנו (ולמעשה את המחשב) להמון מחשבים אחרים, והמחשבים הניידים, שהוציאו את המחשב מהבית ומיקמו אותו בסביבות פחות, איך נאמר את זה, בטוחות.

אינטרנט: להיות מחובר לכולם זה נחמד; הצד השני של המטבע הוא שכולם מחוברים אליך בדיוק באותו הזמן. מה קורה אם מישהו יכול לראות, ואולי גם לשלוט, במה שקורה אצלך במחשב? שני התרחישים המקובלים הם ביצוע שינויים (הרצת תוכנות, כיבוי תוכנות אחרות, וסתם גרימת נזק) וגישה למידע (קריאת קבצים, מסמכים, אימיילים, כמו גם דברים פחות נגישים כמו סיסמאות השמורות בדפדפן). לא נעים.

מחשבים ניידים: הימצאותו של המחשב מחוץ לבית מעלה משמעותית את הסיכוי להיעלמותו – אובדן, גניבה, ואפילו גישה רגעית בזמן שאתם לא מסתכלים. המשמעות במקרה של גניבה היא אובדן המידע שעליו; במקרה של גישה רגעית, אנחנו מדברים שוב על ביצוע שינויים וקריאת מידע.

הסירו דאגה מלבכם – יש פתרונות למצב!

אבטחת המחשב ברשת

הפתרון מורכב משלוש תוכנות הכרחיות, עוד אחת אפשרית, ומערכת נוספת (והכי חשובה), אותה נדחה (כמובן) לסוף:

1. חומת אש (firewall בלע"ז): זוהי תוכנה שבודקת את כל תשדורות הרשת הנכנסות למחשב והיוצאות ממנו, ומסוגלת לאתר ולסנן פעילות חשודה. לדוגמה: חומת האש מאפשרת שימוש בדפדפן – שיטוט באתרי אינטרנט, העלאת קבצים ועוד – אבל תחסום נסיונות של תוכנה לא מוכרת (נגיד, וירוס מרושע) "לטלפן הביתה" ולהלשין על כל הסיסמאות שגילה.

דוגמאות לחומות אש: Comodo וחומת האש המובנית של Windows.

2. אנטי- וירוס: תוכנה הסורקת קבצים ובודקת האם הם נגועים בווירוס. תוכנות האנטי-וירוס הקיימות היום מסוגלות גם לסרוק תוכנות אחרות שפועלות במחשב, קבצים המורדים מהאינטרנט, ואפילו אימיילים שמגיעים לתיבת הדואר.

דוגמאות: ESET (בתשלום), Microsoft Security Essentials (חינם).

3. עדכונים: בעולם התוכנה יש אקסיומה אחת חשובה: תמיד יש עוד באג. מה לעשות, כולנו (או לפחות רובנו) בני אדם, ואנחנו עושים טעויות או שוכחים משהו. תוכנות רבות מגיעות כיום עם מערכת עדכון, ה"מתקשרת הביתה" מדי כמה ימים ובודקת האם נתגלו ותוקנו בעיות. במקרה שהתשובה חיובית, המערכת תדע לעדכן את התוכנה על המחשב שלנו, על מנת להביאה למצב תקין. זה טוב לשגיאות שונות ומשונות (כמו התרסקויות או התנהגות בלתי הולמת אחרת), וזה חיוני לתיקוני אבטחה.

4. זיהוי תוכנות ריגול: יש תוכנות המציגות את עצמן כתמימות או אפילו עוזרות, אבל כשאף אחד לא מסתכל הן מלשינות ליוצרים שלהן על דברים שהן מוצאות במחשב. הכינוי שהודבק להן הוא רוגלה (על משקל תוכנה וחומרה, אין קשר לעוגיות).

דוגמאות: Spybot Search & Destroy ו-Windows Defender. מערכות ההפעלה החדשות של מיקרוסופט, ויסטה ו-Windows 7, מגיעות עם Windows Defender מוכנה לשימוש ומופעלת. אם התקנתם את Microsoft Security Essentials על XP, קיבלתם איתה את Defender באותו המחיר.

5. המערכת הכי חשובה לא ניתנת להורדה באינטרנט, ואי אפשר לקבל אותה על דיסק באף חנות: זהו הראש שלכם. האם אתם יודעים מה התוכנה שאתם עומדים להתקין אמורה לעשות? האם אתם בטוחים? קיבלתם המלצות עליה, או שההתראה המהבהבת בדף האינטרנט בו אתם צופים כרגע הכניסה אתכם לפאניקה? חישבו, בידקו, ואם אתם רוצים, שאלו אותי.

בפעם הבאה: אבטחת המידע שעל המחשב.