| |
יומן אבטחהבלוג אבטחת מידע. עדכונים, עניינים, חדשות ופרסומים. הכל מכל בכל בנושא אבטחת מידע. ופרטיות. |
| 2/2009
רישום, תעודות מזהות ובחירות
זו הפעם הראשונה לדעתי שניתן להצביע עם רישיון נהיגה (אבל יכול להיות שאני טועה). בכל מקרה, ההצבעה עם רישיון נהיגה אינה דבר של מה בכך. בראש ובראשונה בשל כך שרישיון נהיגה מוכר כתעודה מזהה. באותה המידה ניתן היה לאפשר להצביע עם פנקס חוגר (פנקס. מילה השמורה לאנשים שהתגייסו לפני 1995 וממש קיבלו פנקס). ישנן שתי תעודות מזהות רשמיות במדינת ישראל ואלו הן תעודת הזהות ורישיון הנהיגה. מה שהופך אותן לתעודות זיהוי רשמיות היא העובדה שהמנפיק שלהן הוא האחראי למרשם התושבים ולמעשה מי שאמון על קביעת הזכאות לאזרחות, משרד הפנים. תעודות אחרון מונפקות על ידי גורמים שונים, להם סמכויות שונות, אך לא סמכויות הקשורות בקביעת אזרחות. הגופים האחרים נסמכים על משרד הפנים.
כל ההקדמה הזו בשל מה, בשל העובדה שתהליך הנפקת רישיונות הנהיגה, להבדיל מהנפקת תעודות הזהות, אינו מנוהל על ידי גורם ממשלתי. אדייק - תהליך ההנפקה מנוהל על ידי גורם ממשלתי, תהליך הרישום אינו מנוהל על ידי גורם ממשלתי. חידשתי לאחרונה את רישיון הנהיגה שלי ולטובת חידוש זה נדרשתי להצטלם מחדש. לשם כך ניגשתי לחנות אופטיקה הקרובה למקום מגורי, שם ביקשתי להצטלם, ציינתי מספר זהות וזהו למעשה, הרישיון היה בדרכו אליי. באותה המידה יכולתי לחדש רישיון של אזרח ישראלי הגר בחו"ל (ישנם כשלוש מאות אלף בעלי זכות בחירה המתגוררים בנכר) ולהצביע בשמו, כיוון שהתמונה בתעודה המזהה היא תמונתי. על מספר זה ניתן להוסיף מבוגרים שאינם מסוגלים להצביע, אך יש מי שמוכן להצביע בשמם, אזרחים שאינם מתכוונים להצביע אך מוכנים שאחרים יעשו שימוש בקולם (להזכירכם כמעט ארבעים אחוז מבעלי זכות הבחירה אינם מצביעים).
הכשל נובע מהעובדה שהגורמים המצלמים אינם נדרשים כלל לבצע בדיקות אבטחה ומטבע הדברים הם בכלל לא בכיוון גם לו היו נדרשים לכך. במשרד הפנים הנהלים מעט יותר קפדניים ומעצם מיקומם בתוך מתחמים מאובטחים מעוררים יותר רתיעה לבצע תהליכי רמאות שכאלה. קל להסתמך על חוזקה של תעודה מזהה כבסיס לתהליך האבטחה, אך זו טעות נפוצה. חוזקה של התעודה (כלומר הקושי לזייף אותה) הוא רק אחד משלושה מרכיבים: התעודה עצמה, תהליך הניפוק (המידה בה ניתן לקבל תעודה חוקית באמתלא כלשהיא) ותהליך הבדיקה (כלומר, המידה בה ניתן או בפועל מנסים לאמת את התעודה עצמה).
זו דוגמא טובה לתהליך מסוכן שקורה בארגונים (ולבטח במשרדים ממשלתיים) בו קיימת הסתמכות של תהליכי אבטחה על תהליכי אבטחה אחרים. קיימת נטייה לחשוב על כל תהליך אבטחה כתהליך מבוקר ועם הזמן אנו בונים תלי תלים של פתרונות אבטחה על בסיס רעוע. יותר מכך, הכשל הבא בתהליך יהיה כאשר יאפשרו להנפיק תעודות זהות בהסתמך על רישיון נהיגה. על פניו זו אינה מחשבה מופרכת - אדם חסר דרכון שאבדה לו תעודת הזהות אינו מסוגל להזדהות לכאורה כלל ולכן הבחירה ברישיון נהיגה - המונפק על ידי גורם ממשלתי מוסמך - הנה אינטואיטיבית ועל פניו תקינה לחלוטין.
מעבר לסוגיית הבחירות, הנושא רלוונטי ביותר לשני תחומים בארגונים - PKI ותעודות דיגיטליות.
| |
| כינוי:
גיל: 48
|
בבלוג זה
בכל הבלוגים
