נדהמתי מהפרסומת החדשה של אורנג' – פייסבוק, טוויטר, יוטיוב וג'ימייל בפורטל הסלולרי של אורנג'!

חבילת הגלישה של אורנג' שאני מנוי אליה בנויה כך – הפורטל הסלולרי של אורנג' ללא הגבלה (יש לבחור באפשרות Portal 3G במכשיר הנוקיה) ואינטרנט רגיל 200 מגה-בייט לחודש, כשצריכה מעל לכך מחוייבת במחיר גבוה במיוחד.

לכן שמחתי על האפשרות החדשה שיש לי כביכול – העלאת סרטים ליוטיוב על חשבון הפורטל שאינו מוגבל מהמכשיר הסלולרי. זוהי אפשרות שאין לי כרגע, מכיוון שסרטון אחד באורך של כחמש דקות יכול בקלות להגיע לכדי כ15 מגה בייט.

בירור באותיות הקטנות של הפורטל של אורנג' העלה שהגלישה לאתרים החיצוניים שהקישורים אליהם מופיעים בפורטל הסלולרי יחויבו לפי תעריף אינטרנט רגיל, למרות שהגלישה אליהם התבצעה דרך הפורטל.

למעשה השירות החדש היחיד שאורנג' נותנים כאן, ומפרסמים בראש חוצות, הוא השמת תשעה לינקים בפורטל שלהם. בשביל תשעה לינקים שלא נותנים שום דבר חדש לא צריך לפרסם בערוץ 2 ו10, על אחת כמה וכמה כשנותנים לינק ליוטיוב, אתר שצורך רוחב פס גבוה במיוחד, ויכניס לכיסיה של אורנג' בודאי כמה עשרות אלפי שקלים בחיוב המפתיע שיקבלו לקוחותיה התמימים בחודש הקרוב.

בעקרון בא לי להצביע מרצ.

אבל מתחיל להסתמן שאולי קדימה תעקוף את הליכוד. ממש קרוב.

אני כבר שבוע מטיף לאנשים שהם צריכים להצביע למי שיעשה להם טוב, לא למי שיעשה רע למישהו אחר.

אם אפשר ליצור מצב שבו נתניהו לא יהיה ראש ממשלה, האם זה שווה זניחת עקרונות?

בעקבות המשבר הכלכלי – מכירות הלוף בארה"ב עולות בסדרי גודל דו ספרתיים.

Dear attendee,

First of all thanks for attending Google Developer Day yesterday, we hope you found it useful. Unfortunately, we need to let you know about an incident which took place during the conference which you may need to take precautionary action on.

We identified unauthorised activity on the public wired Ethernet network which was provided by the convention centre for conference attendees to access the Internet. This may have affected a limited number of  attendees accessing websites and online applications through the wired Ethernet connection. We have no evidence so far to suggest that the wireless network also provided at the event, and which was used by most attendees, was affected.

Due to the unauthorised activity, there is a chance that if you used the wired network, any user name and password entered to access a website may have been put at risk. When trying to access a secure website (a website using https), you may have received an alert indicating that the page had an invalid security certificate. In any case, we advise users as a precaution to change the passwords for any websites or services they accessed through the wired connection during the conference.

We're really sorry that this has happened but we believe that the vast majority of attendees won't have been affected by this incident. In the meantime, we look forward to seeing you at future events very soon.

The Google Developer Day Team

היה זה יום רגיל של סוף הסתיו. הרמזור התחלף לירוק, וקבוצת התלמידים החלה לחצות את הכביש במבט בוטח. כוחות האבטחה המתוגברים סביבם הפיגו כל פחד מליבם, למרות החשש הטבעי משהו, אשר נובע מכך שזה עתה הגיעו לירושלים.

לא הייתה הרבה תנועה באותו בוקר. אי אפשר שלא היה לשמוע את המכונית מגיעה – הצליל המוכר של מנוע בוקסר של סובארו לא ממש חדשה, שמתקרבת מהיכנשהו.

אחרי שפגעה בתלמיד הראשון, קצין מג"ב שהיה מעבר לכביש כבר היה עם מחסנית בהכנס. עוד שלושה נערי תיכון התעופפו באוויר, מבטם ספק גוסס ספק מופתע, בדרכם חזרה לקרקע הפיגוע, לפני שהכדור הראשון ניתץ בדיוק מיומן את גולגולתו של המחבל.

כלי הרכב דהר בזריזות לתוך מעקה הבטחון בצד הכביש, התהפך ונעצר. חייל שריון הגיע ראשון והתחיל במלאכת העתקת גופת המחבל אל מחוץ לרכב. תושב מודיעין, שבמקרה היה שם, לא מצמץ לפני שביצע בטרוריסט וידוא הריגה. בשניות המעטות שעברו מתחילת האירוע, כבר החל להתאסף קהל משולהב שהלך והתקרב לרכב ההפוך ולנהגו הרצחני. כשצוות מד"א התפנה לגשת לגופתו, זו כבר כמעט הייתה מחולקת לשניים.

בחקירת המשטרה התבררה זהותו של המחבל – אברהם כהן, תושב הרצליה.

הגיע לירושלים לסידורים, שעה שבלמיו בגדו בו.

ההיסטוריונים יסמנו יום זה כיום הראשון של התמוטטות מדינת ישראל הראשונה.

אותכם, אותי, ולדעתי צריך לעניין את כולם.

זה סיפור שמכיל בתוכו הרבה אלמנטים – חוסר תיאום בין מפתחים, שיטות עבודה לקויות, ומשתמשים שנפגעים מכל הסיפור.

דביאן היא הפצת לינוקס פופולרית, שגם אובונטו מבוססת עליה.

הפצת לינוקס היא מתווך בין המשתמש לבין המפתחים – אחד הדברים שדביאן עושה זה לארוז את שלל התוכנות השונות לתוך חבילות, כדי שמשתמש שרוצה להתקין תוכנה, יוכל לפתוח מנהל חבילות, כגון תפריט "הוסף/הסר" ולהוריד את התוכנה כפי שארזו אותה אורזי התוכנות של דביאן.

זה דבר חשוב מאוד למשתמש, מפני שמפתחי תוכנות לרוב משחררים את התוכנות שלהן כקוד מקור, שפת תוכנה, ולא כקובץ שניתן להפעיל – הכנת התוכנה לעבודה אורכת זמן רב, ואריזת התוכנה עבור המשתמש כוללת את זמן ההכנה הזה.

- – -

הבעיות עלולות להתעורר כשבתהליך אריזת התוכנה, מתבצע שינוי בתוכנה.

שינוי כזה בוצע בחבילת OpenSSL/OpenSSH, שאחראית על ההצפנות במערכת.

חלק גדול מתהליך הצפנה קשור במפתחות – לאליס יש את המפתח של בוב, לבוב יש את המפתח של אליס, ואיכשהו הם מצליחים להצפין דברים.

את המפתח האישי של כל משתמש צריך לייצר, והמפתח צריך להיות אקראי – הבעיה היא שמחשב לא יודע מה זה אקראי. מחשב יכול לקחת מספר כלשהו, לבצע עליו פעולות ולכתוב את התוצאה – הוא לא יודע להמציא מספר שלא קיים, לכן משתמשים בפונקציות שמייצרות מספרים כאילו-אקראיים על בסיס מספר נתון.

אפשרות אחת היא להשתמש בשעה כמספר בסיס – זהו מספר שמשתנה בכל שניה, לכל כל הרצה של התוכנה תיתן מספרים שונים.

כמובן שמבחינת אבטחת מידע, בבואך לייצר מפתח סודי, זוהי שיטה רעה. אם אדע באיזו שעה ייצרת מפתח, אוכל לייצר מפתח זהה! לכן מפתחי OpenSSL השתמשו בשיטה ייחודית ומעניינת – קריאה של מיקום אקראי בזיכרון המחשב.

- – -

כמה שנים לאחר מכן, במקום אחר, מפתחים אחרים כתבו תוכנות אחרות, שמשתמשות בOpenSSL, וכשבאו לדבג (מלשון debug) את התוכנות שלהן כדי לגרום להן לעבוד בלי להתרסק, הם גילו שיש קריאה למקומות לא מוגדרים בזכרון, בגלל השיטה של OpenSSL לקבלת אקראיות.

כאן נכנסו לתמונה אורזי החבילות של דביאן, מתחו את החזה גבוה, ו"תיקנו את הבעיה".

טעות מספר 1 – תיקנו "באג" שלא הבינו אותו – השיטה המשונה לקבלת מספר אקראי.

טעות מספר 2 – המפתחים המקוריים לא הסבירו בקוד מה הם עושים בצורת הערה, כפי שנהוג כשעושים משהו לא שגרתי.

- – -

הבעיה התגברה כשאורז החבילה ביצע את השינויים באופן מקומי, על דביאן, אבל לא העביר את השינוי חזרה למפתחים המקוריים. אלו, לו היו רואים מה דביאן עשו, היו נזעקים ונרעשים, או צוחקים להם בפנים, אחד מהשניים.

כאמור, השינוי לא נשלח חזרה (במעלה הזרם) אלא הוכנס כמו שהוא למערכות דביאן, שכאמור, אובונטו מבוססת על דביאן, ושם הוא נשאר משנת 2006 עד השבוע.

- – -
משנת 2006 עד השבוע, המפתחות של כל המשתמשים יוצרו באמצעות מספרים שהאקראיות שלהם נמוכה מאוד. כמה נמוכה? ניתן לייצר רשימה שמכילה מפתחות שלכ90% מהמשתמשים יש. דוגמה:

e5378b9299a5b0b000da
e538f98984504a808620
e539ae75479e565630a1
e539b10c83ece8fd730a
e53b50b3d25ab2a0bcb4
e53b87bbcc06e165ae61
e53cfde8882f1e79ee50
e53cfe5b5c86f754b3f1
e53d08db18313a7bf195
e53d122743999e6dcb2f
e53d5f69d1261e676693
e54629634a243fa1dc23

- – -

- – -

קריאה נוספת:

DSA-1571 openssl

DSA-1576 openssh

SSLkeys

תגובת המפתחים

התייחסות שחר שמש

העובדות הן אלה:

בין חיפה לבין קריית שדה התעופה מפרידים 129 קילומטרים, 24.24 ש"ח ומאה וחמש דקות. עקב עקרון הסימטריה, הדרך הלוך זהה בנתוניה לדרך חזור.

סיפור המעשה:

ביציאה דרומה על כביש 40 מופיע שלט המכוון לכיוון כביש 6, ומראהו הכללי כמתואר:

/-------------\
|      _      |
|     |6|     |
|      -      |
|             |
|      |      |
|   <--|      |
|      |      |
|      |      |
|      |--    |
|      |      |
|             |
|      8      |
|             |
\-------------/

רבות סופר ודובר על מערכת השילוט הישראלית וסגולותיה, ובמיוחד נטיותיה לשלוח נהגים בכיוונים שאינם בהכרח נכונים. היות ומדובר בכביש 6, שכידוע מקפיד על סטנדרטים יותר גבוהים של שילוט והכוונה, העדפתי לדבוק בשיטת הניווט הידועה בכינוי המלגלג "להאמין לשלט". בשלב זה היה עלי להיזכר בשלט הדייקני ליד מחלף עירון שהכריז בגאון "כביש 6 נפתח לציבור", אך לא כך התגלגל סיפורנו.

כביש 40

כביש 40 הוא הכביש השני באורכו במדינת ישראל (כ-302 קילומטר). הוא נמתח מצומת קטורה שבערבה, לאורך הנגב והשפלה עד כפר סבא שבדרום השרון.

אי שם, במרכז הארץ, קיים איזור דמדומים שלא מוכר במפת ארץ ישראל כפי שישרטט אותה חיפאי. חיפאי יכיר את דרכי הגישה לדרום הארץ – כביש 4 לאשקלון, כביש 6 כקיצור דרך, והאמיצים יסעו לים המלח דרך כביש הערבה. לעומת זאת, כשיידרש חיפאי לבגדים זולים להחליא ולפריטי דסקית, ייזכר בקיומו של הקרוואן הנודד המוכר בשם "שוק רמלה לוד", אך רק היום החיפאי הספציפי גילה שקיימים מקומות בשם "רמלה" ו"לוד".

משיחת טלפון עם בוקי נאה התברר שבניגוד לאינסטינקט הראשוני, לא כדאי לבצע סיור בכספומטי הסמים של שכונת הרכבת.

האימה התגברה, כשפניית פרסה התגלתה כטריק קשה לביצוע.

דרומה

כשהאוסף הטרי ביותר של היס רקורדס מתנגן ברכב בליווי דפיקות הלב, פנינו אקראית שמאלה בתקווה שחוק שי דרומי עדיין לא עבר.

סתריה הוא מושב באזור השפלה ליד העיר רחובות. שייך למועצה אזורית גזר.

היישוב הוקם בל"ג בעומר בשנת 1949 על ידי 95 משפחות עולים מרומניה ופולין שעלו לארץ ממחנות מעבר בקפריסין, לשם נשלחו על ידי הבריטים. עד למלחמת העצמאות שכן במקום שבט בדואי שקרא למקום סטריה, ובעקבות כך נקרא היישוב.

במהלך הזמן הצטרפו לתושבי היישוב עולים מהונגריה ותושבי הארץ.

בכבישי סתריה:

• נמדדו לפחות חמישים מעלות חום. אין צל.
• כפועל יוצא מכך, אין הולכי רגל בני פחות משבעים.
• אנשים בני שבעים ומעלה עמידים בפני חום עז.
• אבל לא יודעים איפה כביש שש.

בצרכנייה של סתריה:

• יש אייס טי ממש קר, ממש בזול.
• אין יוצאי רומניה.
• אין יוצאי פולין.
• יש ערסים.
• שיודעים איך להגיע לכביש 6.

מחשבה לאחור 1

פונים שמאלה מכביש 40 לכביש 1. פונים שמאלה מכביש 1 לכביש 6. אורך מסלול: 2000 מטרים.

מחשבה לאחור 2

בשעות הצהריים המוקדמות אין כמות פקקים שמצריכה נסיעה מכביש 6. אפשר לנסוע דרך איילון.

תודות

לדניאל וגיא שנסעו איתי ברכב והזכירו לי ברציפות שאני אידיוט.

Firefox browser undermines Israeli Shin Bet's authority:

Website certified by an Unknown Authority

Unable to verify the identity of www.shabak.gov.il as a trusted site.

Open link with firefox browser.

השר אטיאס [...] הדגיש בפניהם כי המשימה להגן על הגולשים חשובה יותר מכל שיקול אחר.

עוד מציין שר התקשורת כי הוא פועל ע"פ הוראות מרן הרב עובדיה יוסף שליט"א וגדולי הדור.

ש"ס

חייבים לעצור את 892.

מאת גדי שמשון.

אפשר וכדאי לשלוח אימייל לחברי הכנסת שהצביעו בעד החוק.