אותכם, אותי, ולדעתי צריך לעניין את כולם.

זה סיפור שמכיל בתוכו הרבה אלמנטים - חוסר תיאום בין מפתחים, שיטות עבודה לקויות, ומשתמשים שנפגעים מכל הסיפור.

דביאן היא הפצת לינוקס פופולרית, שגם אובונטו מבוססת עליה.

הפצת לינוקס היא מתווך בין המשתמש לבין המפתחים - אחד הדברים שדביאן עושה זה לארוז את שלל התוכנות השונות לתוך חבילות, כדי שמשתמש שרוצה להתקין תוכנה, יוכל לפתוח מנהל חבילות, כגון תפריט “הוסף/הסר” ולהוריד את התוכנה כפי שארזו אותה אורזי התוכנות של דביאן.

זה דבר חשוב מאוד למשתמש, מפני שמפתחי תוכנות לרוב משחררים את התוכנות שלהן כקוד מקור, שפת תוכנה, ולא כקובץ שניתן להפעיל - הכנת התוכנה לעבודה אורכת זמן רב, ואריזת התוכנה עבור המשתמש כוללת את זמן ההכנה הזה.

- - -

הבעיות עלולות להתעורר כשבתהליך אריזת התוכנה, מתבצע שינוי בתוכנה.

שינוי כזה בוצע בחבילת OpenSSL/OpenSSH, שאחראית על ההצפנות במערכת.

חלק גדול מתהליך הצפנה קשור במפתחות - לאליס יש את המפתח של בוב, לבוב יש את המפתח של אליס, ואיכשהו הם מצליחים להצפין דברים.

את המפתח האישי של כל משתמש צריך לייצר, והמפתח צריך להיות אקראי - הבעיה היא שמחשב לא יודע מה זה אקראי. מחשב יכול לקחת מספר כלשהו, לבצע עליו פעולות ולכתוב את התוצאה - הוא לא יודע להמציא מספר שלא קיים, לכן משתמשים בפונקציות שמייצרות מספרים כאילו-אקראיים על בסיס מספר נתון.

אפשרות אחת היא להשתמש בשעה כמספר בסיס - זהו מספר שמשתנה בכל שניה, לכל כל הרצה של התוכנה תיתן מספרים שונים.

כמובן שמבחינת אבטחת מידע, בבואך לייצר מפתח סודי, זוהי שיטה רעה. אם אדע באיזו שעה ייצרת מפתח, אוכל לייצר מפתח זהה! לכן מפתחי OpenSSL השתמשו בשיטה ייחודית ומעניינת - קריאה של מיקום אקראי בזיכרון המחשב.

- - -

כמה שנים לאחר מכן, במקום אחר, מפתחים אחרים כתבו תוכנות אחרות, שמשתמשות בOpenSSL, וכשבאו לדבג (מלשון debug) את התוכנות שלהן כדי לגרום להן לעבוד בלי להתרסק, הם גילו שיש קריאה למקומות לא מוגדרים בזכרון, בגלל השיטה של OpenSSL לקבלת אקראיות.

כאן נכנסו לתמונה אורזי החבילות של דביאן, מתחו את החזה גבוה, ו”תיקנו את הבעיה”.

טעות מספר 1 - תיקנו “באג” שלא הבינו אותו - השיטה המשונה לקבלת מספר אקראי.

טעות מספר 2 - המפתחים המקוריים לא הסבירו בקוד מה הם עושים בצורת הערה, כפי שנהוג כשעושים משהו לא שגרתי.

- - -

הבעיה התגברה כשאורז החבילה ביצע את השינויים באופן מקומי, על דביאן, אבל לא העביר את השינוי חזרה למפתחים המקוריים. אלו, לו היו רואים מה דביאן עשו, היו נזעקים ונרעשים, או צוחקים להם בפנים, אחד מהשניים.

כאמור, השינוי לא נשלח חזרה (במעלה הזרם) אלא הוכנס כמו שהוא למערכות דביאן, שכאמור, אובונטו מבוססת על דביאן, ושם הוא נשאר משנת 2006 עד השבוע.

- - -
משנת 2006 עד השבוע, המפתחות של כל המשתמשים יוצרו באמצעות מספרים שהאקראיות שלהם נמוכה מאוד. כמה נמוכה? ניתן לייצר רשימה שמכילה מפתחות שלכ90% מהמשתמשים יש. דוגמה:

e5378b9299a5b0b000da
e538f98984504a808620
e539ae75479e565630a1
e539b10c83ece8fd730a
e53b50b3d25ab2a0bcb4
e53b87bbcc06e165ae61
e53cfde8882f1e79ee50
e53cfe5b5c86f754b3f1
e53d08db18313a7bf195
e53d122743999e6dcb2f
e53d5f69d1261e676693
e54629634a243fa1dc23

- - -

- - -

קריאה נוספת:

DSA-1571 openssl

DSA-1576 openssh

SSLkeys

תגובת המפתחים

התייחסות שחר שמש

העובדות הן אלה:

בין חיפה לבין קריית שדה התעופה מפרידים 129 קילומטרים, 24.24 ש”ח ומאה וחמש דקות. עקב עקרון הסימטריה, הדרך הלוך זהה בנתוניה לדרך חזור.

סיפור המעשה:

ביציאה דרומה על כביש 40 מופיע שלט המכוון לכיוון כביש 6, ומראהו הכללי כמתואר:

/-------------\
|      _      |
|     |6|     |
|      -      |
|             |
|      |      |
|   <--|      |
|      |      |
|      |      |
|      |--    |
|      |      |
|             |
|      8      |
|             |
\-------------/

רבות סופר ודובר על מערכת השילוט הישראלית וסגולותיה, ובמיוחד נטיותיה לשלוח נהגים בכיוונים שאינם בהכרח נכונים. היות ומדובר בכביש 6, שכידוע מקפיד על סטנדרטים יותר גבוהים של שילוט והכוונה, העדפתי לדבוק בשיטת הניווט הידועה בכינוי המלגלג “להאמין לשלט”. בשלב זה היה עלי להיזכר בשלט הדייקני ליד מחלף עירון שהכריז בגאון “כביש 6 נפתח לציבור”, אך לא כך התגלגל סיפורנו.

כביש 40

כביש 40 הוא הכביש השני באורכו במדינת ישראל (כ-302 קילומטר). הוא נמתח מצומת קטורה שבערבה, לאורך הנגב והשפלה עד כפר סבא שבדרום השרון.

אי שם, במרכז הארץ, קיים איזור דמדומים שלא מוכר במפת ארץ ישראל כפי שישרטט אותה חיפאי. חיפאי יכיר את דרכי הגישה לדרום הארץ - כביש 4 לאשקלון, כביש 6 כקיצור דרך, והאמיצים יסעו לים המלח דרך כביש הערבה. לעומת זאת, כשיידרש חיפאי לבגדים זולים להחליא ולפריטי דסקית, ייזכר בקיומו של הקרוואן הנודד המוכר בשם “שוק רמלה לוד“, אך רק היום החיפאי הספציפי גילה שקיימים מקומות בשם “רמלה” ו”לוד”.

משיחת טלפון עם בוקי נאה התברר שבניגוד לאינסטינקט הראשוני, לא כדאי לבצע סיור בכספומטי הסמים של שכונת הרכבת.

האימה התגברה, כשפניית פרסה התגלתה כטריק קשה לביצוע.

דרומה

כשהאוסף הטרי ביותר של היס רקורדס מתנגן ברכב בליווי דפיקות הלב, פנינו אקראית שמאלה בתקווה שחוק שי דרומי עדיין לא עבר.

סתריה הוא מושב באזור השפלה ליד העיר רחובות. שייך למועצה אזורית גזר.

היישוב הוקם בל”ג בעומר בשנת 1949 על ידי 95 משפחות עולים מרומניה ופולין שעלו לארץ ממחנות מעבר בקפריסין, לשם נשלחו על ידי הבריטים. עד למלחמת העצמאות שכן במקום שבט בדואי שקרא למקום סטריה, ובעקבות כך נקרא היישוב.

במהלך הזמן הצטרפו לתושבי היישוב עולים מהונגריה ותושבי הארץ.

בכבישי סתריה:

• נמדדו לפחות חמישים מעלות חום. אין צל.
• כפועל יוצא מכך, אין הולכי רגל בני פחות משבעים.
• אנשים בני שבעים ומעלה עמידים בפני חום עז.
• אבל לא יודעים איפה כביש שש.

בצרכנייה של סתריה:

• יש אייס טי ממש קר, ממש בזול.
• אין יוצאי רומניה.
• אין יוצאי פולין.
• יש ערסים.
• שיודעים איך להגיע לכביש 6.

מחשבה לאחור 1

פונים שמאלה מכביש 40 לכביש 1. פונים שמאלה מכביש 1 לכביש 6. אורך מסלול: 2000 מטרים.

מחשבה לאחור 2

בשעות הצהריים המוקדמות אין כמות פקקים שמצריכה נסיעה מכביש 6. אפשר לנסוע דרך איילון.

תודות

לדניאל וגיא שנסעו איתי ברכב והזכירו לי ברציפות שאני אידיוט.

Firefox browser undermines Israeli Shin Bet’s authority:

Website certified by an Unknown Authority

Unable to verify the identity of www.shabak.gov.il as a trusted site.

Open link with firefox browser.

השר אטיאס [...] הדגיש בפניהם כי המשימה להגן על הגולשים חשובה יותר מכל שיקול אחר.

עוד מציין שר התקשורת כי הוא פועל ע”פ הוראות מרן הרב עובדיה יוסף שליט”א וגדולי הדור.

ש”ס

חייבים לעצור את 892.

מאת גדי שמשון.

אפשר וכדאי לשלוח אימייל לחברי הכנסת שהצביעו בעד החוק.

אין יותר שמות בסיסמה והיא עכשיו מסובכת לפחות כמו שהייתי דורש שלקוחות שלי ישימו.

גיא מזרחי, Hacking.co.il.

“רפֹא רפא את עצמך”, אמר ישו. דווקא הגרסה הלטינית של דבריו, בעיוות קל, הפכה לפופולרית בקרב הרופאים – “Medice, cura te ipsum”, כסוג של קריאה לרופא לשים לב ראשית כל לתחלואיו שלו, בטרם יפנה את תשומת לבו לחולייהם של אחרים. אנחנו לא באמת מקיימים את הציווי הזה.

ולדי דבוייריס, Medice, cura te ipsum .

No one is ever safe.

שרה קונור.

- - - -

פרצו אליי היום. ניצלו פירצת Front door, או במילים יותר פשוטות, פתחו את מנעול הדלת ונכנסו לדירה. פירקו את כל הארונות אבל לא לקחו הרבה. ריחמו, יימח שמם. לא הרסו לי את החיים כפי שיכלו.

באשר אלך, אני מטיף לשמירה מסויימת על פרטיות, במיוחד בכל הקשור לדפדפנים. בחוות המחשבים הטכניון, אם אני רואה חשבון ג’ימייל מחובר כשאין אף אחד בעמדה, אני שולח לבעל החשבון מייל בשם עצמו, “למה אתה משאיר את עצמך חשוף?”. אם שומרים סיסמאות בפיירפוקס במחשב ציבורי (כשמבחינתי הפיירפוקס שמותקן לי על הדיסק און קי הוא בחזקת ציבורי) מגינים על הסיסמאות בסיסמת אב. ולא נשארים מחוברים קבוע לאף חשבון.

- - - -

אבל בבית? ביתי הוא מבצרי. החיים שלי על צלחת.

- - - -

לא לקחו לי את המחשב. אם היו, מצבי היה רע. רע מאוד. אבל מאוד.

- - - -

חכם לאחר מעשה. מגן על הפנים אחרי האגרוף. עכשיו יש סיסמת ביוס. עכשיו לא עוזב את הבית כשהמחשב לא מוגן בסיסמה. עכשיו התיקייה של מוזילה מוצפנת.

- - - -

אוף.

זה:

מונע את זה:

הפסקת חשמל נרשמה ברחבי העיר חיפה, הלילה (בין שלישי לרביעי) בין השעות אחת וחצי לאחת וחמישים.

בתמונה: חושך.

לא התקבלה תגובת דובר צה”ל.

כשעומר קציר גילה שהתבנית בה החליט להשתמש כוללת חתיכת קוד מוזר, הוא שאל בקבוצת וורדפרס בעברית מה לעשות.

מהר מאוד הסתבר שמדובר בשיטה מלוכלכת שמטרתה לכלול קישור ממומן בתחתית התבנית באופן שיקשה על אדם לא מיומן להסיר את הקישור.

בשורה התחתונה, המלצתי לו לברוח מהתבנית הזו כמו מ- כמו ממה, מאש?

למה לברוח מאש? הרבה אנשים מתים בגלל שחברים שלהם בורחים מאש.

מי שנתקל באש, שלא ייברח ממנה. שיכבה אותה, ואם אפשר גם להיכנס לחדר הבוער, להתכופף מתחת לעשן ולמשוך החוצה את האנשים המעולפים, זה בכלל יהיה טוב.

לבסוף המלצתי לעומר לברוח מהתבנית כמו מקלישאה גרועה.

- - -

לתייק תחת “ביטויים שלא משתמשים בהם יותר” יחד עם “Bull in a china shop“.

“לא ברור מתי הניצולים מתאילנד יוכלו לחזור לישראל, מה שברור זה שקרה כאן נס.”

כך נסגרה הערב כתבת ערוץ 2 על המתרחש בתאילנד.

במילה נס.

אני מבקש מכל הכתבים בכלי התקשורת, בכל לשון של בקשה - כשכבר יש מקרה שבו אנשים מצילים את עצמם, פותחים את דלת החירום וקופצים אל חיים מכנף המטוס, אנא אל תתארו את זה בתור נס.

–

לקריאה נוספת:

פטריק סמית’, מומחה התעופה של מגזין סאלון, על כמעט אסון שאירע באסיה, כשגם שם העובדה שלא כולם נשרפו תוארה כנס, ולא חס וחלילה כהפעלה נכונה של נהלי תעופה.