חושבים שצריך יותר תוכנה חופשית בממשלה ??

יופי .

הנה הזמן שלכם לתרום ולסייע.

משרד האוצר הוציא RFI (בקשה לקבלת מידע) על תכונות, כלים וטכנולוגיות שיכולים לסייע בפרוייקט data.gov.il , ולמעשה הם מחפשים את הדרך להחצין מידע ממשלתי על מנת שהציבור הרחב יוכל להשתמש בו .

אם יש לכם מידע, רעיונות, וכיוצ"ב ואתם לא יודעים איך לעשות וכיצד להעביר את המידע אליהם , אפשר ליצור קשר איתי ו/או ועד המקור (שגם מכירים את הפעילות).

אם ראיתם איך ההולנדים מוציאים את המידע הממשלתי, אם במקרה עבדתם על פרוייקט בשביל הממשל הסיני , אם במקרה הייתם יד ימינו של ג'וליאן אסנג' ואתם ממש יודעים איך לייצא מידע ממשלתי …

זו ההזדמנות שלכם .

הגשתי מענה כללי בשם קהילת התוכנה החופשית / עמותת המקור, המענה הוא כללי דיו על מנת לכלול את כל התוכנה החופשית ולתת לכל מי שירצה בהמשך לתת מענים בתחום , למעשה רק ניסיתי לשמור דלת פתוחה לתוכנה חופשית .

]]> http://ofek.biz/blog/archives/2157/feed 9 http://ofek.biz/blog/archives/2138 http://ofek.biz/blog/archives/2138#comments Mon, 16 Jan 2012 15:40:43 +0000 ‫doron‬ http://ofek.biz/blog/?p=2138

זמינות המידע !

כאשר בנק חוסם את הגישה של הלקוחות שלנו לשרותים שהוא אמור לספק ..
נשאלת שאלה מאד לא פשוטה.
אם מחר יתקפו כספומטים ? האם הבנק יפסיק להשתמש בכספומטים ?
והאם הבנק בכלל כשיר לספק את השירות שהוא "מוכר" ללקוחות ?
סגירה של שרותים, גם אם על מנת למנוע פגיעה - פוגעת בזמינות של השירות ללקוחות ולפיכך מהווה אירועה אבטחה כשלעצמו.

הלקוח מצפה לקבל את השירות כאשר הוא צריך אותו. נקודה.

האם אתם תהיו מוכנים לקבל שחברת חשמל לא תספק שירות לאיזור תל אביב כי ….

האם תהיו מוכנים לקבל שבית חולים לא מספק שירות כי …..

אם בנק מפסיק לספק שירות – זוהי הודאה של אנשי אבטחת המידע שלו בכישלון שלהם .. ואם אנשי אבטחת המידע (שיש להם כמעט תקציב לא מוגבל) מודים שהם כשלו – האם אתם הייתם שמים בבנק כזה את הכסף שלכם ?

תחשבו על זה .

]]> http://ofek.biz/blog/archives/2138/feed 10 http://ofek.biz/blog/archives/2133 http://ofek.biz/blog/archives/2133#comments Sun, 15 Jan 2012 14:58:44 +0000 ‫doron‬ http://ofek.biz/blog/?p=2133

עבר די הרבה זמן מאז שכתבתי או דיברתי על הנושא, ולפני שאני נכנס לאיזה פרוייקט גדול בצבא (מה שלא ישאיר לי זמן), ומכוון שהיום מישהו דיבר איתי על הנושא, החלטתי לכתוב על זה כמה מילים.

איפה הכסף?

כמו סיסמת הבחירות של יאיר לפיד, “איפה הכסף" היא שאלה מאד טריוויאלית כאשר נדרשים היום לנושאים של מיחשוב (או כל נושא אחר).

בחברות מסחריות, מכוון שהן משלמות את העלות של תוכנה והעבודה סביב תוכנה – ניתן לבנות טבלה, בצד אחד לשים את התוכנה המסחרית, ובצד השני את התוכנה החופשית, לראות מה מקבלים מכל תוכנה , כמה עבודה צריך להשקיע ובסופו של דבר במקרים רבים התוכנה החופשית הינה כלכלית יותר לארגונים , היא מביאה ערכים מוספים , העלויות שלה שונות, וניתן לשכנע אנשים בחברות מסחריות – מתוקף אותו הגיון, להשתמש בתוכנה חופשית.

לפני שנים, בהיותי בוועד של המקור (בפעם הראשונה) נדרשנו לנושא של תוכנה חופשית במערכת החינוך, עם המון אופטימיות ורצון טוב נפגשנו עם הממונה על החינוך הטכנולוגי – ולצערי ההתרשמות שלי לא היתה חיובית (ממנו וממהלך של הכנסת תוכנה חופשית למערכת החינוך).

שנים אחר כך, בהיותי בקדנציה נוספת בוועד של המקור, ניסה רם און לקדם את הפיעילות של תוכנה חופשית במערכת החינוך מול המדען הראשי של משרד החינוך – הפעם אני הייתי הרבה יותר סקפטי מיכולת לשנות משהו.

איפה הכסף?

והנה אני חוזר לסיסמת הבחירות של יאיר לפיד. רק שבשונה מהסביבה המסחרית, מערכת החינוך, בתי ספר (בין אם ברמה מקומית, בין אם ברמה איזורית, מחוזית או ארצית) לא תתוגמל מחיסכון אשר יושג מתוכנה חופשית.

כלומר, אם מורה או בי"ס מסויים, יתחיל ללמד תוך שימוש בכלי תוכנה חופשית – לא רק שהוא לא יתוגמל אלא שהוא יינזק.

בשלב הזה אמורה להתעורר השאלה "יינזק? “ – והתשובה היא כן.

בואו, לרגע נבחן את המצב הקיים בבתי הספר.

רוב המערכות הינן מערכות קינייניות (מייקרוסופט או אחרות) , כתוצאה מכך, אותן חברות (MS לדוג') מוכרת אותן במחיר מגוחך לבתי הספר …. בנוסף לכך , כל מורה יכול לקבל תחת הסכם רישוי זה גם תוכנות אליו הביתה בעלות של כמה עשרות שקלים בודדים (פחות ממאה ש"ח במקום אלפי ש”ח) .. בנוסף לכך , אחת לכמה זמן אותן חברות מוציאות את המורים, המפקחים ושאר בעלי התפקידים ל"כנסים מקצועיים" .. כן כנסים אשר נערכים במלון בים המלח (או במלון באילת , או במלון במקום אחר) – כמובן שאם קיימת השתתפות מצידו של המשתתף היא סמלית מאד בעיקרה ..

בנוסף לכך קיימים ימי עיון, ואירוח ע"ח אותן חברות מסחריות ..

עכשיו נשים לרגע את המשקפיים של מפקח או של מורה

מצד אחד , תוכנה חופשית באמת מספקת חינוך לערכים, היא גם זולה יותר למערכת, אבל אני אצטרך להשקיע אנרגיה ולשכנע ולריב …. באותה נשימה אני "אסתבך" עם אותן חברות מסחריות .. אני לא ממש יוזמן לימי עיון, ה"נופש" השנתי באילת לא יהיה יותר .. (ויותר אני לא אוכל לראות את המורות החתיכות של XXX שוחות בביקיני בבריכה של המלון).

בשורה התחתונה – אני כמורה / מפקח רק יארגן לעצמי כאב ראש , וכאבי לב .. אם אני אלך בנתיב של תוכנה חופשית.

ופה טמונה הבעיה של תוכנה חופשית במערכת החינוך:

1. אין חיסכון כספי שמי שמחליט את ההחלטה מרגיש אותו .. (כלומר ה"ביזבוז" לא יוצא מתקציב בית ספר .. ולפיכך גם החיסכון לא חוזר לתקציב בית ספר).

2. חברות מסחריות עוטפות את אספקת המוצר במגוון של צ'ופרים וטובות הנאה למרות שיש איסור על טובות הנאה .. (ולכן כתבתי עוטפים) .. כלומר ימי עיון / אירוח וכיוצ"ב.

3. מערכת החינוך מקבלת כמערכת מחיר זול – ובאותה נשימה מורים ואנשים שעובדים במערכת מקבלים את התוכנות בהנחה של אלפי שקלים.

4. הגורמים שיוכלים לקבל החלטה רוחבית של שימוש בתוכנה חופשית – נהנים מקרבתם את הספקים הקיניינים .

לפיכך, אני סבור שאי אפשר להתמודד את הנושא אלא אם תהיה "הוראה מלמעלה" המתעדפת תוכנה חופשית.

כל הכנסה של תוכנה חופשית למערכות חינכיות – תהיה נקודתית ונדירה , עד שלא יפוצח העיניין הזה .

שימו לב שבאוניברסיטאות ומוסדות להשכלה גבוהה – שם התנאים אינם כתנאי מערכת החינוך , ישנו אימוץ של תוכנה חופשית .

הצדק החברתי הוא מהפכת קוד פתוח ?

היום קראתי פרסום (“מאמר" ) של גון קמני, מנהל הרשות לניהול המאגר הביומטרי.

בדרך כלל אני ממש לא יורד על אנשים ברמה האישית – אבל שר הפנים, ומשרד הפנים חצו מבחינתי את כל הגבולות ..

בתחילה הביאו את מר ניסים אליאסף, ואת מר יורם אורן, ועכשיו את מר גון קמני, וכל מה שיש לי לומר הוא – די לקישקושים.

לפחות אם הייתם מצליחים לשפר את התירוצים שלכם, את הסיבות .. הרי לא צריך להתאמץ כדי למצוא עוד כמה סיבות הגיוניות להצדקת הטיעון שאתם מעלים .. תחת זאת אתם ממשיכים להשתמש באותם תירוצים נבובים שכבר אמרתם אותם בעבר ..

אמרתם , והראתם לעולם כמה אתם לא מבינים – ואם אתם לא מבינים, חייבת להישאל השאלה , מה אתם בדיוק עושים בתפקיד שלכם.

בכתבה מסביר מר קמני כי תעודות זהות אובדות, וכך גם דרכונים , והם משמשים גורמים שונים (פליליים ובטחונים) על מנת לזייף זהויות ולהשתמש בהם .. נו ?

אז מה הבעיה לקיים את הפרויקט של תעודת זהות חכמה ? הרי אפשר לייצר תעודות זהות שיהיה קשה מאד עד כדי בלתי אפשרי לזייף אותן (ללא משאבים מאד מאד גדולים) ..

וגם אם תהיה תעודה שאי אפשר לזייף אותה , הרי כשמישהו מחליט שהוא הולך לרצוח מישהו או להתפוצץ איפשהו , הדבר היחיד שעוצר אותו הוא תעודת זהות ??? מה זה הקישקוש הזה ..

ונניח לרגע שאכן זה מה שיעצור את הטרור ואת האלימות ואת הפשיעה ..

נניח לרגע שאני הולך להוציא תעודה (תעודת זהות .. לא ביומטרית) , הרי במסוף ניתן לכתוב שהוצאתי תעודה, ניתן לתת סימנים במידע , סימנים שידועים רק למשרד הפנים. לא חייבים להוציא מידע ביומטרי .. הרי כאשר יבוא מישהו נוסף להוציא תעודה תחת שמי יהיה כתוב במסוף שכבר הוצאתי – הרי באותו רגע ניתן לעצור את אותו אדם ולהביא גם אותי לזיהוי – כי ברור שאחד מאיתנו משקר לגביי הזהות שלו (שזה אגב מה שיקרה כאשר יהיה שימוש במידע ביומטרי …. מסתבר שאפשר לעשות זאת גם ללא מידע ביומטרי).

מה כל כך קשה ? בשביל זה צריך ביומטריה ?

אבל נניח שרוצים להשתמש במידע ביומטרי, אפשר לשים אותו על שבב בכרטיס .. הרי אתם לא צריכים דווקא את המידע במאגר – ופשוט אין לי כוח לכתוב את כל זה – אבל ניתן לאמת אדם מול תעודה, ותעודה מול מפתח .. לא צריך מאגר ..

(ואל תקשקשו שצריך תמונה ביומטרית .. כבר יש לכם את התמונות שמשרד התחבורה לקח מכל הנהגים … כן, הם קיבלו את מאגר התמונות של משרד התחבורה).

אז אם שנתיים אחרי תחילת הדיונים על מאגר ביומטרי (אולי כבר 3 שנים ) – אתם ממשיכים עם אותם תירוצים ילדותיים וירודים – אולי אנחנו פשוט צריכים להבין בידיים של מי אנחנו מפקירים את הזהות שלנו ופשוט לשלוח אתכם , ואת משרד הפנים ואת שר הפנים .. ללכת לעשות מאגר אצל מישהו אחר.

חבל על הכסף, חבל על המאמץ, חבל על הזהות השדודה שתהיה כאן לאזרחים, חבל שאתם מסכנים את כולנו ..

[הפוסט תוקן והוסרו ממנו כמה "פניני לשון" ]

]]> http://ofek.biz/blog/archives/2119/feed 1 http://ofek.biz/blog/archives/2114 http://ofek.biz/blog/archives/2114#comments Tue, 10 Jan 2012 17:51:22 +0000 ‫doron‬ http://ofek.biz/blog/?p=2114

אוקיי, אני סבור שנתתי את כל הזמן שבעולם לחברה מסויימת לטפל בבעיות שלה.

מקרה שהיה, כך היה.

היה זה לפני שנה וחצי, כאשר בהיותי אצל חברה מקומית שהסתייעה בי, הייתי צריך לסייע בהתקנה של storage על בסיס iSCSI .

במסגרת הפרוייקט, היו גם בעיות, והיה שלב שחשדנו בסוויצ'ים – או יותר נכון בחוסר תפקודיות טובה שלהם, למעשה שהם מפלים תקשורת כאשר יש עליהם עומס.

תוך כדי בדיקה של הנושא, הופעל tcpdump על מנת לראות מה מגיע, איך מגיע ….

ולפתע ….

telnet .. אני מזהה שמישהו עובד ברשת על telnet ….

“אבי … בוא, בוא הנה. אני שואג על מנהל הרשת" , “אתה פתחת telnet איפשהו ? אני שואל … "

והבן אדם לא יודע על מה אני מדבר ..

חקירה מהירה איתרה את התחנה ואת השרת שהיא עבדה מולו (שרת לינוקס) …

“תביא , תביא .. את הסיסמה של root לשרת הזה , נראה מה עשו פה" אני מפטיר לעבר אבי ..

והוא .. מביא ..

מדובר בשרת שחברה חיצונית טיפלה ומטפלת בו .. שרת ERP .. שרת שמחובר להנהלת החשבונות … ועליו מתבצעות פעולות חשבוניות של הארגון המדובר ..

אני מתחבר .. ועיניי חשכו.

כל מה שאתם רוצים מותקן על השרת .. telnet , ftp פתוח לחלוטין, samba על תקן של זונה דרום אמריקאית, webmin ללא שמץ של אבטחה … הכל כולל הכל .. כלי פיתוח, שרותי "r” למינהם (rlogin, rsh' rexec …. )

אני ואבי לוקחים את הרשימה וניגשים למנמ"ר של אוצה חברה ..

“אתה ידעת מזה? “ אני שואל .. והוא, מופתע לא פחות מאיתנו ..

מספבר שאותה חברת ERP ישראלית היא זו שהקימה וטיפלה בשרת .. אני מסביר לו את הבעיות הנובעות מהסיטוציה (הכל כולל הכל פרוץ) ..

ועוד באותו ערב אני מוציא מייל גם אליו וגם אל החברה של ה ERP על מנת להציבע על התקלות ועל הסיכון הנובע מהן ..

וחברת ה ERP מגיבה במייל מתחמק ..

אני כמעט מתחנן שינחו אותנו מה אפשר לסגור ואיך אפשר לתקן את המצב ..

.. וחברת ה ERP ממשיכה להתחמק .. מנסה למכור לי סיפורים (בנתיים מעורבים בתכתובת גם המנכ"ל של חברת ה ERP וגם מנהלים אצל אותו לקוח)

אני אפילו מוכן לעשות את זה בחינם .. רק שהמצב לא יישאר כפי שהוא נשאר ..

וחברת ה ERP .. מאיימת שהיא תתבע לי את הצורה בבית משפט אם אני אפרסם את זה ..

לאחרונה, אותו לקוח היה צריך לשדרג את המערכת , וברגע שבחברת ה ERP שמעו שאני עדיין היועץ של הלקוח בתחום של הלינוקס .. המנכ"ל של חברת ה ERP הודיע שהוא לא מוכן ..

אז באמת שלא נראה לי לעניין שמחר בבוקר יגלו כאן מאות או אלפי עסקים בארץ שהמערכת הנהלת החשבונות שלהם פתוחה ופרוצה לכל רוח ..

אבל … אם יש לכם, לארגון שבו אתם עובדים, מערכת ERP ישראלית שמיועדת לעסקים קטנים / בינוניים (עד כמה מאות עובדים בדרך כלל) – תבדקו שהמערכת לא פתוחה לחלוטין .. ואם היא פתוחה לחלוטין .. גשו לאותה חברה ותודיעו להם שלכם יש בעיה עם זה ..

אלא אם לא אכפת לכם שכל המידע הפיננסי של הארגון שלכם יהיה חשוף ופריץ ..

בימים האחרונים, ישנה תכונה סביב הנושא של מאגרי מידע והקלות של זליגת מידע, זאת בעקבות דליפה של כמה אלפי כרטיסי אשראי לפורצי מחשבים, ככל הנראה ערביים.

מן הסתם ההשוואה למאגר הביומטרי, לקיומו ולהפעלתו הינה השוואה שתמקיימת לא אחת .

בפוסט זה רציתי לגעת רק בכמה נקודות הנוגעות ל"שקר" שבו מציפים את הקהל הרחב על מנת שלא יראו את האמת שמאחורי הדברים.

דליפה של מאגר מידע:

בכל ההתייחסויות של המדינה / הממשלה / משרד הפנים / גופים בטחוניים / ממוחי אבטחת מידע מטעמם, לנושא של דליפת מידע מהמאגר הביומטרי – כולם כולל כולם טוענים שזה קשה מאד עד לא אפשרי.

שימו לב – הם מתייחסים לדליפת מידע מהמאגר עצמו או מהרשות האחראית על המאגר.

מצד שני, באותה נשימה ניתן לומר שכרטיסי אשראי כלל לא דלפו מכוון שהשרתים של חברות האשראי לא נפרצו (כמו שהשרתים של הרשות הביומטרית לא ייפרצו) .. כמובן שטיעון שכזה יישמע לכם הזוי כי עובדתית המידע דלף .. ולכן :

דליפת מידע ביומטרי, לא הכרחי כי תהיה מהמאגר עצמו, הכשל יכול להיות בכל נקודה בדרך.

שימו לב, כמו שאתר קניות הוא נקודה בדרך אל חשבון הבנק שלי – כך כל גוף שמנסה לזהות אותי הוא "נקודה בדרך" אל המאגר הביומטרי .

דיגיטליזציה של האדם:

לא מעט מתייחסים לנקודה של קיומה או אי קיומה של פרטיות.

אישית, אני סבור שלא תמיד מדובר על "פרטיות" כהוויתה אלא שתהליך הדיגיטליזציה של המידע האישי שלנו וההסתמכות עליו, עשויים לגרום לגורמים זרים להזדהות בשמנו (או פעיליות אחרות) אין משמעם של הדברים "אובדן פרטיות" אלא יותר שימוש לא מורשה במידע אישי.(ןיש הבדל עצמום בין הדברים).

נחשוב לרגע מהו כרטיס אשראי. כרטיס אשראי הוא למעשה התקן המייצג או המהווה interface (מישהו יודע מה המילה בעברית?) למידע הכספי הנדיף שלי (דהיינו לחשבון העובר ושב), באמצעותו אני יכול לעשות פעיליות כלכליות.

הנזק לפיכך בעת דליפת המידע ושימוש לא מורשה בו הוא נזק כלכלי ותו לא.

מהצד השני, מהי תעודת הזהות התמוכננת (תעודת הזהות הביומטרית)?

תעודה זו מהווה interface לזהות שלי כאדם.

במשמעות הרחבה של הדברים, אינני צריך כלל לפרוץ למאגר הביומטרי כדי להשתמש בזהותו של אדם – כמו שאינני צריך לפרוץ לחשבון הבנק של אדם על מנת לעשות שימוש לא מורשה בכרטיס האשראי שלו.

רגע, רגע , הרי הטיעון המרכזי של מצדדי המאגר הביומטרי לצורך במאגר הביומטרי הוא לצורך מניעה של "הרכשה כפולה" .. הטיעון שבו ניתן לעשות שימוש לא מורשה בזהות של אדם סותר למעשה את אותה הרכשה כפולה.

האמת היא שנכון .. נחשוב לרגע מה בעצם ניסו למכור לנו ..

ניסו למכור לנו שהדרך היחידה, למניעה של שימוש בזהות אחידה ע"י שני אנשים היא ע"י ניהול של מאגר עם מידע ביומטרי.

ועכשיו נשאל, הרי מה ההבדל , אם לצורך העיניין קיים בת"א אדם שמתיימר להיות דורון אופק, עם שיער שחור, ועיניים כהות .. ומצד שני בחיפה מתיימר להיות אדם שמתיימר להיות דורון אופק עם שיער בהיר ועיניים בהירות – האם יש הבדל בין שימוש בתמונה לבין שימוש בטביעת אצבע ?

הרי אותו אדם (המתחזה) כאשר הוא יבוא בפני הפקיד לא תהיה לפקיד האפשרות לדעת האם הוא הדורון האמיתי או המתחזה ..

הנחת היסוד שמוטמעת בכולנו היא שלכאורה במידע במאגר הוא המידע הנכון שאליו יש להשוות .. ואני אשאל : מי אמר בדיוק שהמידע במאגר הוא המידע הנכון ולא מידע שגוי ?

בנוסף לכך, האם יש הבדל בין שימוש בתמונת טביעת האצבע ותמונת הפנים ? בשני המקרים הפקיד לא יכול לדעת האם המידע הזה הוא זהה למידע שבמאגר .. לכל היותר הוא יוכל לדעת אם המידע הזה זהה למידע שנמצא על השבב (בהנחה ויהיה שבב , כי מסתבר שיש אמירות שהעיניין לא ברור לגמריי) – הוא לא יוכל לדעת on line האם המידע שיש בשבב או המידע שהוא מוציא ממני זהה למידע במאגר.

הממשלה מודעת לזה, למעשה היא טוענת שגופים חיצוניים לא יוכלו לעבור ישירות מול המאגר אבל יוכלו לעשות שאילתה "איטית" מול הרשות הביומטרית (שאילתה שהזמן לענות אליה יהיה ממספר שעות ואילך) .

למה כל ההסבר הארון והמתיש הזה נועד ?

האמת שהוא נועד למטרה אחת פשוטה להסביר שקשר, אם קייים, בין תעודה למידע במערכות מיחשוב, הוא קשר שקיים בתוך המאגר הביומטרי ..

או יותר נכון, קשר שקיים בין כרטיס אשראי לבין חשבון בנק , הוא קשר שקיים בחברת האשראי .

לא צריך גישה לחשבון הבנק שלי על מנת לעשות שימוש אסור או "לפרוץ" לכרטיס האשראי שלי אפשר לעשות זאת רק מול מידע בכרטיס בלי לפרוץ למחשבי חברת האשראי ובלי לפרוץ למחשבי הבנק – ובגלל אותו קשר מזהה, בעצם ישפיע הפורץ על הכספים המצויים בחשבון שלי.

וכך גם בקשר לזהות הביומטרית – לא צריך לפרוץ לתוך המאגר עצמו או לתוך הרשות הביוממטרית על מנת לעשות שימוש אסור במידע ביומטרי.

אם עד עתה כבר הספקתם להתבלבל, אחזור על כך שוב .. כדי לפרוץ את המידע הביומטרי כלל לא צריך לפרוץ למאגר הביומטרי, כמו שכדי לפרוץ את המידע של כרטיסי האשראי כלל לא היה צריך לפרוץ למאגרי המידע של חברות האשראי.

אינטרס סמוי או גלוי:

כאשר נפרץ מידע של כרטיסי אשראי – מי המפסיד הגדול מכך ? שאלה שלכאורה אתם חושבים שאתם יודעים את התשובה עליה.. כל אחד מיד יאמר "אני" .. זהו שלא.

אם מידע של כרטיס אשראי מתגלה ונעשה בו שימוש אסור, לכאורה, באמת חשבון הבנק של הבעלים של הכרטיס נפגע, ואותו אדם מסכן באמת עשוי לאבד את כל הכסף שיש לו בעובר ושב ואף חמור מכך.

האבל האם באמת אותו אדם הוה המפסיד הגדול ?

חברות האשרי למוכרות לכם (ולי כמובן) קשר של אמון, במסגרת האמון הזה הן אומרות לי "קח כרטיס פלסטיק ותשתמש בו בכסף" השימוש שלי בכרטיס הוא כי אני מאמין שאני מוגן ומכוון שזה עושה לי חיים קלים.

עכשיו ניקח לרגע קבוצה של X אנשים (נניח 100 או 1000 ) וניתן לכולם כרטיסי אשראי ונדאג שלאחר פרק זמן של שימוש אחד מהם ייפרץ והמשתמש יפסיד את כל הכסף שלו. באותו רגע אם ננטוש את המשתמש (הצרכן) לבדו .. אחרי מספר דקות יחששו כל חברי הקבוצה להשתמש בכרטיס האשראי כי הם מייד יחשבו לעצמם "מה יקרה אם הכרטיס שלי ייפרץ" .

מכוון שתעשיית כרטיסי האשראי היא תעשיה שמגלגלת מליונים של דולרים בכל רגע נתון, המפסידים הגדולים יהיו חברות האשראי שלמעשה יאבדו את הזכות או הסיבה לקיומם.

ולכן, לתעשיית כרטיסי האשראי יש אינטרס אדיר ל 2 דברים מרכזיים:

1. שמירה על סודיות במקרה של דליפת כרטיסים.

2. שיפוי לקוח במידה והוא נפגע כתוצאה משימוש בכרטיסי אשראי.

כמו כן, בואו נשאל בעל עסק מה יקרה למחזור המכירות שלו באם יפסיק להשתמש בכרטיסי אשראי – כמובן שאם אותו אדם הוא בעל דוכן פלאפל זה לא מאד ישפיע עליו , אך אם הוא בעל חנות של מוצרים מעט יותר יקרים (ביגוד, הנעלה … ומעלה) הפסקה של שימוש בכרטיסי אשראי תשפיע באחוזים ניכרים על מחזור המכירות שלו .. באם מדובר על עסק אינטרנטי מדובר על אובדן של 100% מהעיסקאות.

ולכן בתעשית כרטיסי האשראי יש לא מעט גורמים שכלכלי להם לדאוג שהצרכנים / המשתמשים ימשיכו להשתמש עד כדי כך שהם ייתנו שיפוי מלא למשתמשים ולו רק על מנת שכולנו נשמיך להשתמש…

כתוצאה מכך יש באמת השקעה של מליונים של דולרים על מנת להגן על כל השרשרת של המידע וזרימנו בהקשר זה.

ולעניין זהות, ותעודות זהות .. צריכה להישאל השאלה האם יש למישהו סיבה להגן על כל השרשרת של זרימת המידע.

יותר מכך, האם במקרה של מידע ביומטרי אפשר יהיה להחליף למשתמש את המידע (כמו שעושים עתה בכרטיסי האשראי )? .. החלפה של מידע ביומטרי לאדם משמעה כריתת אצבעות ושתילה של אצבעות חדשות .. לחילופין אפשר לעקור לאדם את העיניים ולהשתיל לו עיניים חדשות ..

צריך להיות אמיצים ולהודות שממשלת ישראל אינה יכולה להשקיעה את הסכומים שמשקיעות חברות האשראי בהגנה על המידע.

כן היא הקימה רשות ביומטרית (שעולה בטח כמה מאות אלפי שקלים לשנה .. ואולי קצת יותר) .. אבל היא לא תוכל להשקיע , מה גם שאין את האינטרס, את הסכומים שמשקיעות חברות האשראי.

וזה עוד לפני שדיברתי על האימפוטנטיות של הממשלה .. הנה ראו הקימו מטה ללוחמת סייבר .. בעצם הכריזו על מטה שכזה .. נראה לי שלפעמים חושבים אצלינו שהכרזה על פרוייקט היא המהות ולא הפרוייקט עצמו .

אז אין מאגרים סודיים ?

התשובה היא וודאי שיש, אולם מאגר מידע נבחן גם בכמות האנשים או האוכלוסיות שהוא צריך לשרת.

אם יש למוסד מאגר מידע ש 4 אנשים הם שותפי הסוד שלו – אזי ברור שהוא לא ייפרץ, אולם כאשר מאגר אמור לספק את המידע שלו למאות או אלפי נקודות גישה ואנשים – ברור שהוא לא יוכל להישאר זמן רב מוגן , יותר מכך במצבים שכאלו נוכל לפרוץ לאותן נקודות גישה ולאגור את המידע שהן שולחות למאגר – כך שניצור לעצמינו "מאגר אלטרנטיבי" .

סודיות, אמינות , וזמינות.

את הסיסמה הזו אני נוהג לדקלם בכל הרצאה שעוסקת במבוא להגנה על מידע.

סודיות – שהמידע למעשה נגיש ע"י האנשים והגופים שאמורים לגשת אליו (במקרה של מידע המזהה אזרחים תחשבו לבד כמו גופים בכל יום נתון צריכים לזהות אותכם .. (בנק, דואר, וכו') )

אמינות ומהימנות – שהמידע שהמתשאל הגיע אליו הוא אכן המידע האמיתי שלא נפגם ושלא השתנה ..

וזמינות – משרד הפנים הקים בצורה מאד מאד מסורבלת רשות ביומטרית שלכאורה תפקידה הוא לספק זמינות אל המידע שיש במאגר .. הסירבול הזה בסופו של דבר פוגע בזמינות .. ואם ישנה פגיעה בזמינות המידע אל המתשאלים (שוטרים בשטח, או פקידים במשרדים שונים, או נותני שירות למינהם )- אז צריכה לישאל השאלה, אם המידע אינו זמין למי שצריך אותו בזמן שהוא צריך אותו .. למה לאגור אותו מלכתחילה.

מקווה שפוסט זה סיפק לכם כמה נקודות לחשיבה על הצורך בקיומם של מאגרי מידע ביומטרים ע"י הממשלה .. ואם עד עתה לא שכנעתי אתכם, אז רק אזכיר לכם ששר הפנים (כן זה שאחראי על המידע הזה) הוא אותו שר פנים שתחתיו היתה השריפה בכרמל, אותם אנשים שידעו לחמוק מלקיחת אחריות בכרמל , הם אלו שעכשיו יהיו אחראים על המידע הביומטרי שלכם..

עזבו אתכם – אל תתנו לאף אחד לעשות עליכם ניסויים .

]]> http://ofek.biz/blog/archives/2091/feed 4 http://ofek.biz/blog/archives/2076 http://ofek.biz/blog/archives/2076#comments Mon, 26 Dec 2011 08:02:20 +0000 ‫doron‬ http://ofek.biz/blog/?p=2076

לקוח שאת שמו לא אוכל לומר

היה צריך חוות סטורג'ים – כתריסר

במקום לזרוק את כספו על מספר אפשרויות

הצעתי לו לבדוק חלופות חופשיות

ועכשיו הוא כולו מאושר.

(סיפור אמיתי מלפני שבועיים שהוביל לחיסכון של מאות אלפי דולרים בחברה ישראלית)

(לצערי הפוסט עולה באיחור אופנתי .. כתבתי אותו אתמול – אבל רק עתה הזדמן לי להעלות אותו ) .

• כהרגלי בקודש .. כמה מילים שיש אנשים שלא יאהבו לשמוע (אופס אני מעלה עוד פרה קדושה על המנגל ? ) .

היום, זכיתי להיכלל במאושרים שהיו בכנס שאורגנה ע"י סדנת ת"א למדע, טכנולוגיה ובטחון ע"ש יובל נאמן, שהתקיים בבר שירה באונ' ת"א .

כותרת הכנס היתה "מחשוב על – טכנולוגיות מיחשוב" , ובסה"כ היו בכנס הרצאות במספר נושאים מעניינים ומגוונים .

אבל , כבר שהגעתי (באיחור אופנתי ) עוד בטרם נכנסתי כלל אל האולם, תפשו אותי בחוץ שני אנשים שאני מאד מעריך יאן ופייר, והתחלנו לגלגל שיחה / דיון על הנושא .. ובאופן כללי האם באמת יש צורך בהשקעה ממשלתית על מנת להקים מחשב על ישראלי .

באופן כללי, דעתי היא שיש פרוייקטים שלא נועדו אלא לומר "השגנו זאת" , כמובן שאני אשמח מאד אם יהיה מחשב על ישראלי – אבל מה המחיר שנידרש לכך, והאם המחיר שווה כלל את התמורה שנפיק כאן בארץ ממחשב שכזה .

ראוי לומר, יש את היכולות בישראל להקים מחשב שכזה .. עם זאת, חשוב לדרג את המיקום שבו אנו רוצים להיות מבחינת גודלו של אותו מחשב על .

יש לשים לב כי ברשימת 500 המחשבים החזקים בעולם יש חלוקה כמעט ברורה, בין ה 50 מחשבים הראשונים לבין שאר ה 450 ..

ה 450 מחשבים (סוף הרשימה) אלו למעשה מערכות שניתן להקים אותם ולתחזק אותם בלי הרבה בעיה (אבל עם הרבה כסף) .. כלומר צוות של כ 5-10 אנשים לערך יוכל לעשות את מירב העבודה.

אבל אם רוצים להגיע ל 50 מקומות הראשונים , או יותר מכך ל 10 המקומות הראשונים , הצוות כבר יצטרך להיות גדול משמעותית ..

שימו לב ש 50 המחשבים הראשונים ברשימה לא רק כוללים מערכות סטנדרטיות אלא כוללים גם פיתוחים וקסטומיזציות על מנת לשפר את היכולות הספציפיות של אותה מערכת ..

או אז אנחנו מתחילים לדבר על צוות גדול יותר שכולל צוותי פיתוח וכיוצ"ב .

אבל יותר מכך, לא אחת יצא לי לשמוע את הטענה ש"ישראל חייבת מחשב על – הממשלה צריכה לעודד את זה ולתמוך בזה " .. ועל זה אני אשאל "האמנם? “ .

כבר בטענה מסתתר הרמז כאילו אין תמיכה ממשלתית בעיניין – ואני חושב שראוי לשים את הדברים על השולחן , מזכרוני הדלוח ועמום אני זוכר כי קיימת תמיכה ממשלתית לנושאים של HPC , מסוף שנות ה 90 .

יכול להיות שאפשר להתווכח על גודל התרומה, או היקפה .. אך אי אפשר לטעון כי אינה קיימת .

למעשה בסוף שנות ה 90 , הוקמה מערכת (אם אני זכור שמה היה דרדסון או משהו כזה) , שישבה בחוות של אונ' ת"א והיתה שייכת למחב"א .. מערכת שהתבססה על חומרה של SGI .

לאורך העשור – עשור וחצי האחרונים, ראיתי לא מעט מערכות HPC ו HTC במגזר האקדמי ..

במכון וויצמן אתה לא יכול שלא ללכת במסדרון ולא להתקל באיזה cluster חישובי קטן ..

בראשית שנות ה 2000 , עת מילאתי תפקיד באחת מהחברות הגדולות בארץ התיישב יום בהיר מולי אדם בשם אבנר אלגום, אותו אדם קיבל מימון ומנדט מטעם התמ"ת על מנת להקים גריד ישראלי ולהעלות ולשפר את המודעות לטכנולוגיה .

באיזה שהוא שלב, מועדון הגריד הפך להיות קבוצת משתמשים עת פרופ' דוד הורן, הצליח לגרד מהתמ"ת תקציב לבניה של גריד ישראלי במסגרת של מחב"א ..

כך שמועדון הגריד (של אבנר אלגום) הפך להיות "קבוצת המשתמשים" ועסק בבנייית המודעות, ואילו "ישראגריד" היה הזרוע הביצועית שהיתה אמורה להקים מערכת ..

בשני המקרים המימון הגיע מהתמ"ת .. ככל שאני יודע – מדובר במימון ממשלתי כך שהמדינה כן מסייעת בנושא .

כמובן, שאי אפשר בלי קצת מלחמות גנראלים (או פרופסורים במקרה להלן) .. והנה התמ"ת מעביר מימון נוסף (לא רק התמ"ת אבל "גם התמת" ) להקמה של מערכת גריד נוספת ששיכת לפרוייקט גלובוס (חלק מהפרוייקט של מאיץ החלקיקים שבסרן) ..

כלומר המדינה משלמת בפעם השלשית .. או התקציב השלישי – וצריכה האמת להאמר המדענים הישראלים עושים חיל במסגרת פרוייקט גלובוס ..

הבנו, האקדמיה משתמשת במיחשוב על במימון ממשלתי .. אך מה על התעשיה ?

האמת שזו שאלה בהחלט מעניינת, למעשה , אנו כן רואים מעורבות של גופי תעשיה בקבוצת משתמשי הגריד של אבנר אלגום .. אך אנחנו לא רואים את התעשיה משתפת או משתתפת במערכות הגריד האחרות ..

ויש לכך סיבה .

מערכות הגריד של ישראגריד (שאמורות להיות פתוחות גם לתעשיה) , או של גלובוס (שלא ממש פתוחה בפני התעשיה) , מבטיחות למשתמשים שלהם (בעיקר פיסיקאים חוקרים) אספקה של יכולות עיבוד רבות בסדרי גודל גדולים דבר שיקצר זמני עיבוד ..

אבל אין מתנות חינם, היכולת הזו מושגת בזכות כך שישינו פיקוח הדוק על משאבים .. פיקוח כזה שכל משתמש מקבל חתימות משרת CA ובעת הפעלה של עיבוד .. הדבר מתבצע תחת ה certification שלו .. וכל תתי התהליכים הנבנים במערכת הגריד .. גם הם מקבלים ועובדים תחת אותו certification , כל זה עובד במודל של "ארגונים ווירטואלים" ..

בקיצור אם לא הבנתם יש תקורות אדירות מבחינת נוחות ומימוש של עבודה – תקורות שלא כל אחד ירצה ויוכל לחיות איתן ..

הפיסיקאים או המתמטיקאים שיכולים להנות מאספקה מהירה ורבה של משאבים – ימצאו בכך פתרון טוב .. ולכן הם מוכנים לשלם את המחר של התקורות הרבות ..

אבל מה על חוקרים אחרים ?

חוקרים אחרים לא בהכרח ימצאו בכך ייתרונות מהותיים ולכן אנו רואים שבתחומים אחרים באמת אין פעילות מאד ענפה על מערכות הגריד הללו ..

ומה על התעשיה .. ??

אם באקדמיה יש גורמים שמקשים ב"לשלם את המחיר" .. ברור שבתעשיה לא יהיו מוכנים לשלם אותו – וזו הדילמה וזו הבעיה , כאשר מדובר על מימוש של HPC וגריד בתעשיה ..

התקורות של ה"תשלום" שנועדו לספק טווח גדול יותר של משאבים גורמות לתעשיה להתרחק ולא לעבוד עם מערכות שכאלו ..

או כמו שאמר לי מישהו מהתעשיה " מה אני משוגע ? אני צריך את כל הכאב ראש הזה ? אני צריך שהחוקרים שלי יעבדו – כבר יותר זול לי לקנות חומרה ולבנות גריד אצלי , בלי כל הצורך בשימוש ב CA וחתימות .. וכל כאב הראש הזה " .

ובמשפט הזה – הוא סיכם את כל הדילמה שלכאורה קיימת בין התעשיה למחקר בכל הקשור לשימוש במשאבי מיחשוב מבוזרים או מיחשוב על כמות שהוא נקרא .

ואכן, יש בארץ מספר תעשיות שממשות גרידים, גרידים חלקיים , מערכות HTC ו – HPC .. תעשיות אלו מקיימים ומחזיקים מערכת עצמאית משלהם .. בלי הצורך לשתף בה אחרים ובלי הכאב ראש הכלול בכך .

עכשיו , הבעיה היא שהכספים שמגיעים מהתמ"ת לכאורה אמורים לסייע לתעשיה (הרי התמ"ת הוא בסופו של דבר המשרד לתעשיה, מסחר ותעסוקה ) ולא "סתם לתרום לאקדמיה בשביל הסבבה" .. שזה חשוב .. אבל לא בטוח שזה באג'נדה של התמ"ת .

יש הטוענים שמדינת ישראל צריכה מחשב על .. ואני עדיין שואל "בשביל מה? “

לאקדמיה יש פתרונות, אמנם לא הכי קלים ולא הכי נעימים, אך מערך מחשבי הגריד שמחובר ל CERN הוא לא קטן וכולל אלפי יחידות עיבוד .

למי שצריך בתעשיה – יש .. ומי שאין לו , ככל הנראה לא צריך (ואם יש מישהו מהתעשיה שממש צריך ואין לו , הוא מוזמן לפנות לישראגריד .. זה חלק מהמנדט שלהם) .

סתם לבנות מערכת כדי לומר "יש לנו את ה.. החמישי בגודלו בעולם" – זו פשוט תחרות של "למי יש בולבול גדול יותר" ..

אני פשוט אומר שאם אין לנו סיבה מספיק טובה – אולי יש כמה דברים יותר חשובים לעשות עם הכסף .

מצד שני – אם אכן יש סיבה טובה – אז בוודאי שכדאי לנו להקים ..

אתמול הסתיים קורס לינוקס .. הסטודנטים החליטו לחגוג עם עוגה .