המאגר הביומטרי – האשלייה הטכנולוגית

פורסם בתאריך : 25.12.2009 // אבטחת מידע // 3 תגובות »

"They who would give up an essential liberty for temporary security, deserve neither liberty or security" (Benjamin Franklin)

גם מי שאינו מעורב בעשייה הציבורית של היום יום בטוח כבר שמע על "המאגר הביומטרי". זה מספר חודשים שמתנגדים רבים מנסים בכל כוחם לבלום את העברת הצעת חוק המאגר הביומטרי בכנסת, בעיקר בעזרת הטענה של פגיעה בכבוד האדם, בחירותו ובפרטיותו. חיפוש מהיר במנועי החיפוש יציף את כל החפץ בכך בטענות בעד אבל בעיקר נגד הקמת מאגר שכזה. בעוד שקיימים טיעונים משכנעים למדי המבהירים מדוע "מהותית" מאגר שכזה מסוכן לדמוקרטיה הישראלית, נראה שחשוב לא פחות גם לעמוד על סיבות "טכניות" בגינם המאגר מהווה סיכון.

אין זה המאגר הראשון

משרד הפנים מחזיק נתונים רבים ומגוונים אודות אזרחי ישראל. לצערנו, חלקים נרחבים מנתונים אלו (שנחשבים פרטיים יש לומר) נגישים כיום לכל החפץ בכך וללא כל קושי. חיפוש קל אחרי תוכנת ה"רשומון" יראה בדיוק בדיוק עד כמה העניין פשוט.

תוכנת הרשומון היא תוכנה שמפיץ משרד הפנים לפני כל בחירות לכל המפלגות. בגרסאותיה האחרונות (כנראה 2006) הכילה התוכנה מיליוני שמות של אזרחים ישראלים יחד עם נתונים כגון תעודת זהות, כתובת, תאריך לידה וכו'. מכיוון שתוכנה זו הופצה ע"ג תקליטורים, קל למדי להעתיק אותה ולהפיץ אותה ברשת האינטרנט.

נראה שמטעויות לא באמת לומדים

אם אנשים אינם מתרגשים מהפצה נרחבת של הפרטים המנויים בתוכנת הרשומון, אז ייתכן כי דווקא התוכנה הבאה תציג נתונים מטרידים.

חדי ההבחנה ישימו לב כי בתחתית המסך רשום: "9220583 רשומות". זה דבר ידוע שבישראל כ6.5 מיליון אזרחים. הדלתא הזו היא בעצם נתונים אודות אנשים שקיבלו תעודת זהות ישראלית ונפטרו. יתרה מכך, בתוכנה זו ניתן להצליב מידע, לראות קרובי משפחה (הורים, אחים, ילדים, בני זוג) ונתונים נוספים כגון: תאריך עליה, ארץ עליה, שם קודם אם שונה ומספר טלפון מעודכן לתאריך ההפצה.

שירותי "ממשל זמין" – זמינות בלתי מוגבלת לכל דכפין

במידה וזה עדיין לא מספיק, הנה סיפור שפורסם לפני מספר ימים בכתבה שכנראה ולא קיבלה מספיק תשומת לב. כחלק משירותי הממשל הזמין, משרד התחבורה מאפשר למי שרישיונו פג תוקף לחדשו באתר המשרד. כל מה שצריך זה תעודת זהות ושנת לידה. של כל אחד.

השירות החדש לאזרח מאפשר לכל מי שמחזיק בתעודת זהות של אדם ושנת הלידה שלו, להוציא את מספר רישיון הנהיגה שלו ואת תוקפו. כפי שכתוב למעלה, זה לא באמת מסובך כל כך להשיג את תעודת זהותו של אדם.

הנ"ל מצטרף לרשימה ארוכה של נתונים של אזרחים השמורים ע"י רשויות המדינה והם בעצם נגישים לכולם. היש מישהו שעוד טרם גילה את נתוני הקב"א והדפ"ר הצה"ליים שלו (ואם נקפוץ צעד אחד קדימה – של חבריו)? חרף זאת, המאגרים הצה"ליים כנראה שאינם נגישים לרשת האינטרנט (בתקווה) ולעניות דעתי גם אינם מופצים על "תקליטור", ופרטיותנו הצה"לית תלויה ברובה ביכולתם של בעלי גישה לשמור סוד.

מגדל בבל

אחרי כל זה, משרד הפנים מתעקש על הקמת מאגר ביומטרי, המכיל את תווי הפנים וטביעות האצבעות של מכלול אזרחי ישראל. נתונים אלו לא ישמשו לניהול כ"א צה"לי או לשמירה על קשר עם המפלגות – נתונים אלו ישמשו את גורמי אכיפת החוק בישראל. אם נתקשה לדמיין עד כמה מרחיקת לכת הטענה האחרונה, ביקור חפוז באתר ההתנגדות להצעת החוק יקל עלינו בבניית תרחישים לא כל כך נעימים. מה יקרה למשל אם נתונים מהמאגר ידלפו החוצה? או חלילה מכך – יוכנסו מזויפים פנימה?

הגנה טכנולוגית היא אחת התשובות של מציעי החוק. כמה פעמים שמענו מאבא את הקלישאה "המחשב שלך היום חזק פי עשרות מהמחשב ששיגר את אפולו 11 לירח!" בעודנו מבקשים שישדרג לנו את המחשב ליום ההולדת? (כמה מאיתנו תיקנו את אבא ואמרו לו שזה אפולו 13?) אז עם כל הצער שבדבר, אבא צודק. לא רק שהטכנולוגיה היא דינאמית, כיום די ברור מאליו שההתפתחות של הטכנולוגיה על ציר של זמן איננה נעה כקו ישר כי אם עקומה שכבר בשלב זה מזנקת בצורה מסחררת כלפי מעלה. האם מישהו במשרד הפנים באמת מאמין שהטכנולוגיה שתשמש לשמירה על המאגר תהיה אפקטיבית לטווח הארוך? (ובעולם שלנו היום נראה שטווח ארוך נמדד בשנים בודדות)

וקריסתו

תוכנת הרשומון הופצה על גבי תקליטורים. בקלות היא הועתקה והופצה דרך רשתות שיתוף הקבצים השונות. בעוד שאתרי שיתוף (כמו Rapidshare) יכולים (וכנראה שאף צריכים משפטית) להיענות לבקשות משרד הפנים להסיר את קבצי התוכנה, תוכנות שיתוף (כגון eMule) גם אם היו נדרשות – אינן יכולות להסיר את התוכנה. התוכנה השנייה שצוינה לעיל גם כן הופצה על גבי תקליטור, אולם אנשי הפיתוח שילבו בה הגנה מבוססת סיסמא. סיסמא זו הוטבעה בתוכנה עצמה וכנראה שאף באופן רשלני (מי שלא מבין מה רשלני בזה, ראוי שיבקר באתרים כגון Astalavista.box.sk). השירותים של משרד התחבורה אולי נראים חיוניים לאזרחים תמימים שרוצים להימנע מתורים ארוכים, אך לצערנו תמימות היא נכס יקר מפז במחוזותינו.

הטענה בדבר "הגנה טכנולוגית" היא לא יותר מאשר תירוץ זול להשקיט את אלו שאינם מבינים את הקשר המעורפל בין משפט וטכנולוגיה. אם טענות נגד מהותית לא הצליחו לשכנע אנשים בגנות המאגר הביומטרי – אולי הבנה של פוטנציאל התממשות תוצאות זדוניות דווקא כן תצליח. בסופו של דבר, נראה שלא כדאי להישאר אדישים בעניין המאגר. בטח לא כשהפרטיות והחירות שלכם נכבלות בשלשלאות הטכנולוגיה הזמנית. על העונש שבאדישות כלפי איום על החירות שלנו אמר יפה אלי ויזל:

"It may well be that our means are fairly limited and our possibilities restricted when it comes to applying pressure on our government. But is this a reason to do nothing? Despair is nor an answer. Neither is resignation. Resignation only leads to indifference, which is not merely a sin but a punishment"

נדב נחמיאס הוא יועץ אבטחת מידע בתחום תקשורת המחשבים וסטודנט למשפטים ומדעי המחשב