יומן אבטחה

1. זמן ההרכשה של טביעות ביומטריות ייקח כ-10 דקות יותר מהזמן שהוא לוקח כיום. מרכיב הזמן לוקח בחשבון שישנם אנשים איטיים יותר מקוראי הבלוג ונודניקים יותר מקוראי הבלוג (בטח נתקלתם בהם בעבר בהמתנה לשירותי משרד הפנים). מניסיון אישי, הרכשה ביומטרית לוקחת זמן, בטח אם האזרחים לא מרוצים.
   
2. בכל גישה של אזרח להנפקת דרכון או תעודת זהות ללא תעודה מזהה קיימת, הבדיקה תכלול בדיקת שתי טביעות אצבע וצילום ביומטרי (שכן על כך נסמכת תפיסת האבטחה של משרד הפנים בכל האמור לשימוש בביומטריה) ולכן כל פנייה שכזו תארך אותן 10 דקות כמו בפעם הראשונה.
3. בחודש עבודה ממוצע של עובד משרד הפנים (22 ימי עבודה בחודש, יום עבודה של 8.5 שעות - נתוני המגזר הפרטי...) יש 1122 הנפקות אפשריות, אם העובד עוסק כל היום רק בהנפקות ואלו אורכות רק עשר דקות יותר ממה שלוקח היום (כלומר, ניקיתי את הזמן הקיים היום) ובשנה 13464 הנפקות.

1. קלות הזיוף של התעודה.
2. יכולת תיקוף.
3. שימושיות נמוכה.
4. יידוע אזרחים על הרכשה כפולה.
5. מתן אפשרות לאזרחים לבטל תעודות ללא הגעה למשרד הפנים (ביטול ללא הנפקה).
   

• משרד הפנים מתכנן לעשות שימוש בכרטיס חכם ועל כך אין לי מה להוסיף. בין אם כרטיס חכם עם זיהוי ביומטרי לכרטיס או עם זיהוי באמצעות PIN נראה לי שהפתרון נכון ואינני רוצה להכנס בשלב זה להבדל בין החלופות.
• כרטיס פלסטי קשה לזיוף. למרות השימוש בכרטיס חכם, יש לזכור שרוב העסקאות יבוצעו על ידי הצגת הכרטיס ולכן יש לבחור בטכנולוגיה קשה לזיוף של הפלסטיקה עצמה בכרטיס.
• משרד הפנים צריך לאפשר קבלת תעודה מזהה רק למי שהזדהה. לצורך העניין כל תעודה מזהה רשמית (רישיון נהיגה/חוגר/דרכון), או עדות מקרוב משפחה הנושא תעודת זהות. כל האחרים ייכנסו באופן מיידי למסלול תשאול חריגים. 
• משרד הפנים צריך ליידע אזרחים על כל בקשה להנפקת תעודה מזהה בשמם. מאחר ותעודות לא יונפקו במקום בלאו הכי, יש לשלוח מכתב בדואר רשום לכתובת הרשומה במשרד הפנים. במידה והאזרח שינה כתובת בשנה האחרונה, יש לשלוח דואר לכל אחת מהכתובות הרשומות בשנה האחרונה. בכל בקשה לשינוי כתובת יש לשלוח דואר רשום לכתובת הנוכחית.
  

• כחלק משימוש בכרטיס חכם יש לאפשר גישה לכל מי שיעשה שימוש בכרטיס החכם הן לרשימת התעודות הבטלות (CRL).
  
• על מנת לאפשר לאזרחים מן השורה לאמת את תוקף תעודות הזהות יש לכתוב את זיהוי התעודה הדיגיטלית על גבי התעודה עצמה, כך שבהקשת רצף תוים באינטרנט (וללא קורא כרטיסים) ניתן יהיה לוודא האם תעודה היא בתוקף. אני צריך להשקיע קצת מחשבה באיך לבנות את המנגנון הזה (למשל, ניתן יהיה להקיש מספר זהות ומספר תעודה ולקבל תשובה האם התעודה בתוקף או לא, על מנת לצמצם אפשרות ל-Brute Force), אבל העיקרון הוא לאפשר לאזרחים מהשורה לאמת מספר זהות בלי צורך בקורא כרטיסים חכמים. באופן זה יימנעו גם הונאות המבוססות על השבתת הכרטיס החכם וביצוע הנדסה חברתית.
• יש לאפשר לאזרחים לבטל את תעודת הזהות שלהם דרך האינטרנט. ניתן להמליץ לאזרחים להחזיק בבית צילום של תעודת הזהות. במידה והתעודה נגנבה, ניתן להקליד את מספר הזהות ואת מספר התעודה ולבטל את התעודה בלי להגיע למשרד הפנים (לצורך הנפקה מחודשת עדיין יצטרך האזרח להגיע למשרד הפנים).
  

• אני חושב שזה אחד הדברים החשובים בכל פתרון אבטחה. התכלית של הגברת השימושיות היא לייצר מצב בו אזרחים מודעים לכך שהתעודה שברשותם אינה בתוקף או נגנבה/אבדה.
• יש לייצר תעודה בגודל נורמלי, שנכנסת לארנק ממוצע.
  
• יש לחייב זיהוי באמצעות תעודת זהות עבור פתיחת חשבון בנק (ניתן אף לדרוש שלאחר תהליך ההנפקה הראשוני אזרחים יידרשו להגיע לבנק לאמת את זהותם).
• יש לחייב את רשות הדואר לאמת אזרחים באמצעות תעודת זהות מאומתת עבור קבלת דואר רשום ועבור כל שינוי בעלות רכב (קונה ומוכר).
  
• בכל מצב בו בית עסק מעל גודל מסוים (כדי לא להרוג עסקים קטנים) מאפשר לעשות שימוש בכרטיס אשראי וללא הצגת תעודת זהות בתוקף (יש לזכור שעל פי חוק חובה להסתובב עם תעודת זהות), באופן קטגורי האחריות על העסקה במקרה של הונאה תהיה על בית העסק, גם אם כרטיס האשראי היה בתוקף. באופן זה כל אזרח יידע תמיד שהתעודה שלו בתוקף. אם נחיל את העיקרון על חברות הסלולר ורשתות הפארם/סופרים הגדולות, רבים הסיכויים שאזרחים יידעו מהר מאוד שהתעודה שברשותם אינה בתוקף. האמת היא שנראה לי שמרגע שתעודת זהות חכמה תהיה שם בחוץ בלאו הכי העסקים הגדולים יעשו זאת. בסופו של דבר זה יחסוך להם כסף, כך שאני בכלל בכלל לא בטוח שצריך פה איזה שהוא סוג של רגולציה.
  

1. קל לזייף תעודות זהות מרגע שנרכשו (כלומר, קל לייצר תעודה הדומה לדבר אמיתי), כך שקשה לאמת את אמיתותה של התעודה (כלומר, שתעודה זו יוצרה כמו שהיא על ידי משרד הפנים)
   
2. קשה לאמת את תוקפה של התעודה (כלומר שתעודה לא בוטלה על ידי משרד הפנים).
   

1. קלות זיוף.
2. קושי תיקוף.
3. שימושיות נמוכה.

1. ישנה בעיית זיופים של תעודות זהות. בעיה זו נובעת מקלות זיוף התעודה עצמה ומקלות קבלת התעודה במשרד הפנים.
2. בעיית הזיופים מולידה תופעה של הרכשה כפולה, בה לאדם יש מספר זהויות במקביל. עובדה זו מאפשרת לו לקבל מהמדינה תגמולים שונים במקביל.
   
3. המאגר הביומטרי נועד למנוע מצב של הרכשה כפולה במשרד הפנים באופן הבא:

• כל אזרח המגיע למשרד הפנים מספק שתי טביעות אצבע מורות וצילום פנים.
  
• כל אזרח יכול להירשם עם טביעות האצבע שלו רק פעם אחת, כיוון שבכל רישום למאגר נבדקות הטביעות שנלקחו אל מול כל הטביעות במאגר. באופן זה, גם אם אדם מחזיק כיום במספר זהויות, הוא ייאלץ לצמצמן לאחת לאחר הרישום הראשוני.
  
• גם אם האזרח המזויף מניח טביעות אצבע מזויפות, כאשר יגיע האזרח האמיתי להירשם, תמצא אי התאמה בין הרישומים הקיימים לטביעות האצבע הקיימות, דבר שידרוש חקירה במהלכה ניתן יהיה לעלות על הזיוף (אך לא בהכרח על הזייפן).

1. כל אזרח המגיע למשרד הפנים יכול לפצוע אצבע אחת או שתיים ובכך להירשם עם אצבעות אחרות מאלו שמשרד הפנים מתכנן. באופן זה בכל רישום הוא יירשם עם אצבעות שונות. זה יגביל את כמות הזיופים, אך לא ימנע אותם.
2. הנחת משרד הפנים היא כי כל האזרחים יגיעו לרישום לטביעות אצבע (אחרת הזיופים לא יצופו). הנחה זו נכונה במידה מסוימת לדעתי, אך דווקא נכונותה מהווה את הסיבה מדוע אין צורך במאגר הביומטרי (ועל כך בהמשך).
3. משרד הפנים מניח שביומטריה היא טכנולוגיה מוכחת ובלתי פריצה, על אף הניסיון בתחום. לטענת משרד הפנים טכנולוגיות הביומטריה בהן יעשה שימוש הן המתקדמות ביותר. מה שמשרד הפנים שוכח, או אינו רוצה לציין, הוא שהטכנולוגיה בו יעשה שימוש היא מיושנת. פשוט כיוון שהמכרז ייקח זמן, אך הקריטריונים המקצועיים בו כבר נקבעו. הטכנולוגיה של משרד הפנים תתחלף כל מספר שנים (8-10 שנים לכל הפחות), מספיק זמן לפתח טכנולוגיות פריצה ולנסות אותן. בפיתוח טכנולוגיות פריצה אני מכוון לזיוף טביעת אצבע כך שתעבור קורא ביומטרי מתוחכם.
4. לפי נתוני משרד הפנים והמשטרה אחוז יוצא דופן של הנפקות תעודות הזהות מבוצע על ידי מנפיקים סדרתיים ובעלי רקע בהונאה. הסיבה שמשרד הפנים מודע לכך היא שאנשים אלה מנפיקים תעודות חוקיות לעצמם ולאחר מכן ניגשים לזייפנים מומחים על מנת לזייף את התעודה. דפוס פעולה זה לא צפוי להשתנות לאחר קיומו של המאגר הביומטרי ולמעשה מעיד כי קיומו של המאגר הביומטרי אינו בהכרח רלוונטי למניעת פעילות ההונאה בתעודות זהות מזויפות. כהערת אגב אציין כי מאפיינים אלה של הונאות אמורים להיות מטופלים על ידי הכרטיס החכם שבתוך תעודת הזהות, עליו יש כמובן הסכמה בדבר נחיצותו.
   

• כניסה לארץ - במידה ובנתוני המאגר הביומטרי ייעשה שימוש גם בביקורת הדרכונים (תוצאה סבירה לחלוטין), יהיה יותר קל להכנס לארץ בהסתר מאשר כיום, כיוון שבביקורת הביומטרית אין צורך לדבר עם איש, אלא רק לעבור בדיקה ביומטרית הנעשית מול מכונה, ללא לחץ זמן. כל שצריך לעשות הוא לאתר ישראלי בחו"ל (כיוון שבביקורת הדרכונים נרשם שיצא מהארץ - בהנחה ומישהו מצליב כניסות עם יציאות), לזהות אותו על בסיס המאגר (השוואת תמונה) ולהיכנס לארץ בלי לזייף דרכון (המראה עם דרכון זר ובביקורת הדרכונים זיהוי ביומטרי על בסיס טביעת אצבע). לחילופין, במידה וצריך דרכון ניתן פשוט לכייס ולהשתמש (עד שהאזרח התמים ייגש לשגרירות זה כבר יהיה חסר משמעות). 
• פעילות מבצעית במדינות אויב - תארו לכם מצב בו לוחם מוסד נכנס למדינה עוינת עם דרכון זר אמיתי, אך מצלמת הוידאו בנמל התעופה משווה את נתוניו לנתוני המאגר הביומטרי ומגלה כי מדובר באזרח ישראלי? כמובן שגופי הבטחון ידרשו להוציא נתונים ביומטריים של אישים מסוימים מהמאגר, אך מאחר ואלו הוכנסו לשם בהיותם קטינים אין כל משמעות להוצאה מאוחרת. מספיק שבעותק שדלף לפני שאותו אדם נכנס לתפקיד המסווג הופיעו פרטיו.
  
• זיהוי בעלי תפקידים בגופים מסווגים - תארו לכם שניתן יהיה לצלם את הנכנסים למתקנים מסווגים ובאמצעות תוכנת מחשב פשוטה לקבל את פרטיהם האישיים של כל הנכנסים ויותר מזה, לבנות מאגר נתונים מדויק ומקיף יותר על פעילותם של נושאי תפקיד רגישים. לדוגמא - לצלם את הנכנסים למתקן הקריה ולבנות פרופיל קצונה ובעלי תפקידים. 
• כניסה למתקנים מסווגים - ישנם גופי בטחון העושים שימוש בזיהוי ביומטרי לטובת סינון בכניסה למתקנים. קיומו של מאגר ביומטרי עלול להפוך את הכניסה למתקנים שכאלו לקל יותר ממה שנדמה ולבטח יותר קל ממה שדמיינו מתכנני פתרון האבטחה בגופים. הם מתייחסים לביומטרי כאל משהו שהוא חלק מהאדם, אך אם המדינה מבקשת להקים מאגר דגימות מרכזי היא בעצם סותרת הנחת יסוד זו ביוצרה מאפיין של האדם שייצוג דיגיטלי מלא שלו קיים ברשותה.
  

1. על מנת למנוע זיופי תעודות זהות ודרכונים.
2. כדי לאפשר במניעת וחקירת פשעים.
3. כדי לאפשר זיהוי אנשים שאינם מעוניינים להזדהות.
4. כדי לאפשר זיהוי חללים.

מניעת זיופי תעודות זהות ודרכונים: ללא ספק קיימת בעיה עם מסמכים רשמיים של מדינת ישראל, הקלים מאוד לזיוף. מהיכן נובעת פשטות הזיוף? מהשימוש בחומרים קלים לזיוף. לדוגמא, שטר של 20 שקלים קשה לזייף וקשה להשחית. תעודת זהות לעומת זאת עשויה מחומרים אחרים, פשוטים יותר לזיוף ונהרסים בקלות. אם כן, מדוע לא פשוט לעשות שימוש בחומרים איכותיים יותר וקשים יותר לזיוף בתעודת הזהות או הדרכון? שאלה טובה. רשיון הנהיגה החדש שקיבלתי אך אתמול אינו קל לזיוף כמו תעודת זהות (למרות שגם הוא ניתן לזיוף) ואינו יקר. מדוע לא לייצר תעודות זהות טובות יותר? אולי כי אז לא ניתן יהיה לקדם פרויקטים כמו מאגר ביומטרי. השימוש באמצעים ביומטריים אמור לספק את ההגנה המיטבית כנגד זיופים. אלא שאליה וקוץ בה - נכון להיום מחקרים מראים שניתן לזייף אמצעים ביומטריים (טביעות אצבע) ולפחות רשימה מעניינת אחת שקראתי לאחרונה קוראת תיגר על זיהוי פנים. בכלל, מי אמר שתעודות מזויפות הנן בעיה? ואם הן בעיה, על מי הן מעיקות? לא מצוינים נתונים בתזכיר למעט סטטיסטיקה של אובדן תעודות. ובכן כנראה שבאמת תעודות מזויפות הנן סוגיה המפריעה למסחר תקין, מאפשרות לאנשים לפתוח חשבונות בנק פיקטיביים, לעשות שימוש בפנקסי המחאות של אחרים וכדומה. הטמעת אמצעי זיהוי ביומטריים בתעודה מזהה כלשהי לא תפתור את כל אלה, אלא אם ניתן גישה לכל בית עסק למאגר הביומטרי או נספק לו את האפשרות לבצע השוואות ביומטריות. בשלב זה, לפחות על פי התזכיר נדמה כי השימוש במנגנונים הביומטריים אמור להיות מותר רק לגופי מדינה ובכך למעשה מכריזים על פתרון שאינו מיועד לפתור את הבעיה לשמה נוצר. סוגיות אחרות אגב הנן שביומטריקה, כביומטריקה, מתבססת על מדידה. החוק אינו מגדיר ואף אינו מגדיר מי יגדיר את סוגי המדידה, רמת הרגישות שלהן ותוצאות ה-False Positive וה-False Negative שלהן. בכלל, על אילו תקנים יתבססו המנגנונים הביומטריים? לא מצוין.

על מנת שבתי עסק יוכלו להגן על עצמם מזיופים (המטרה העקרונית של סעיף זה) הם צריכים לא רק תעודה שקשה לזייף אלא גם תעודה שקל לוודא. כלומר המנגנון הנדרש הוא כפול - קשה לזייף, קל לאמת. שטר הנו דוגמא קלאסית לאמצעי מסוג זה. טביעה ביומטרית? למיטב ידיעתי לא. רוב הסיכויים שעסקים יעשו שימוש ברכיבים הלא ביומטריים של התעודה (עיצוב הכרטיס) על מנת לאמת את תקפותה.

הנה שני רעיונות זולים בהרבה לפתרון בעיית הזיופים:

• לכל תעודה יש מספר תעודה המופיע מאחוריה (ת"ז) או על כל דף (דרכון). ניתן לפרסם באינטרנט את מספרי כל התעודות הפסולות, גנובות וכד'. זה לכשעצמו יחייב זייפנים לעבודה הרבה יותר אינטנסיבית ויוריד את כמות הזיופים.
• ניתן לנפק תעודות זולות אך קשות יותר לזיוף, כדוגמת רישיון נהיגה חדש או כל דרכון אחר בעולם (ללא המרכיב הביומטרי).

מניעת וחקירת פשעים

בסוגיית המאגר הביומטרי, כמו גם בסוגיית הרשומה הרפואית הממוחשבת קיימת הנחת יסוד לפיה הבעיה המרכזית עמה גורמי המקצוע מתמודדים הנה חוסר מידע ולא (למשל) חוסר כוח אדם, חוסר משאבים או חוסר מקצועיות. המאגר הביומטרי אמור לאפשר למשטרה לבקש להשוות טביעות אצבע שנמצאו בזירת פשע מול המאגר הארצי ובכך לסייע לה לאתר חשודים. אלא מה, תהליך שכזה יגרור לעליה עצומה בכמות החשודים בכל זירת אירוע ויעמיס על המשטרה (עוד חשודים, עוד הצהרות, עוד גביית עדויות ורובם כמובן חפים מפשע). האם זה יסייע למשטרה בחקירת פשעים או יפגע בה? לדעתי זה רק יפריע למשטרה וייצור הסתמכות יתר על מנגנון הזיהוי הביומטרי כיוון שהוא נגיש, תוך פגיעה בתהליכים אחרים. מעבר לכך, טביעות האצבע שנלקחות במשטרה שונות באופן הדגימה מאלו שיילקחו במאגר הביומטרי. לא ברור האם השירות המבוקש יספק תוצר כלשהו והאם הוא יהיה ניתן לשימוש במתכונת המוצעת (סוגיות טכנולוגיות גרידא).

 

זיהוי אנשים שאינם מעוניינים להזדהות

האמת שכנגד זה אין לי מה לומר, למעט שמי שלא רוצה להזדהות לא יזוהה גם על ידי שתי טביעות אצבע (שניתן להשחית...) ותווי פנים שניתן לשנות.

 

זיהוי חללים

הנה מטרה ראויה באמת. אלא מה, מהי כמות החללים הלא מזוהה במדינת ישראל בכל שנה? ולטובת העניין חיילים אינם נספרים כי מהם לוקחים דגימות דנא ולכן לא צריך טביעות אצבע. זו נראית לי בעיה כל כך זניחה.

 

סיכום ביניים

נדמה כי המטרה האמיתית של החוק אינה למנוע זיופים של תעודות זהות כפי שכתוב בפתיח לתזכיר החקיקה אלא דווקא לספק לגופי הבטחון מאגר ביומטרי על האזרחים. את סוגיית הזיוף ניתן למנוע בצורה זולה יותר וללא שימוש במאגר ביומטרי מרכזי (גם אם נעשה שימוש במאגר ביומטרי ניתן לעשות שימוש במאגר שאינו ניתן לשחזור ושאינו מרכזי), זיהוי אנשים שאינם רוצים להזדהות וזיהוי חללים הנן בעיות זניחות וכך אנו נשארים על מאגר ביומטרי למעקב אחרי אזרחי המדינה. מבחינה פונקציונאלית לא הוכח כלל וגם לא נטענה הטענה שהמאגר נחוץ כדי לטפל בפשיעה ושהחסם העיקרי כיום הוא היעדר יכולת לנתח טביעות אצבע. נדמה כי מאגר שכזה יפריע למשטרה במילוי תפקידה יותר מאשר יועיל. באופן כללי אגב, לא התרשמתי שתזכיר החקיקה מגובה בעבודת מטה אמיתית המנתחת צרכים, סיכונים ותהליכים. נדמה כי תזכיר החקיקה נולד מתוך מספר גחמות - הרצון הנצחי של גופי בטחון ושיטור לקבל את כל הנתונים האפשריים על כל האזרחים; הרצון של משרד האוצר לקדם תעודת זהות דיגיטלית; הרצון של משרד הפנים להסיט את האש מחוסר המאמצים שלו לטפל בסוגיית זיוף תעודות רשמיות.

כך נולד לו פרויקט מסוכן, מגלומני ובזבזני. מאחר והוא משרת את רצונות האוצר והבטחון, אגב, כנראה שבמקרה זה לא יהיה מחסור תקציבי.