פרטיות ומידע אישי

ננסה להסביר בכמה מילים מה פרצות האבטחה הקיימות בנטפרי והאם המשתמש אמור לחשוש מזה.

מושגים:

תקשורת מקוונת: גלישה באינטרנט. שזה בעצם דו-שיח בין המשתמש למחשב מרוחק

פרוטוקול: מערכת כללים לביצוע משימה כלשהי

http: פרוטוקול לתקשורת רגילה.

https: פרוטוקול לתקשורת מאובטחת.

תעודת אבטחה: קובץ המותקן במחשב של המשתמש המאשר שאתר מסויים הוא אכן האתר המצופה ולא אתר מתחזה.

רקע:

כל גישה למחשב מרוחק מתבצע באמצעות מערכת כללים מוגדרת מראש (פרוטוקול). שני הפרוטוקולים הנפוצים הם פרוטוקול http המשמש לתקשורת שאינה מוצפנת, ופרוטוקול https המשמש לתקשורת מוצפנת.

דוגמא לתקשורת שאינה מוצפנת היא גלישה לאתר של תחזית מזג אויר. המשתמש מבקש להציג נתונים מסויימים (לדוגמא: המזג אויר הצפוי בירושלים מחר), והמחשב המרוחק מציג את התשובה באופן חזותי.

דוגמא לתקשורת מוצפנת היא גלישה לאתר של בנק. המשתמש מבקש להציג נתונים מסויימים (לדוגמא: מצב העובר ושב שלו). המחשב המרוחק מבקש לוודא שהמבקש גישה לנתונים אכן רשאי לגשת אליהם, זה מתבצע ע"י שם משתמש וסיסמה שעל המשתמש לספק. כדי למנוע ציטוט לתקשורת הזאת ע"י גורמים זרים, היא מתבצעת בפרוטוקול מאובטח המצפין את התקשורת מה שלא מאפשר לצדדים אחרים לצוטט לה. בשלב הזה, המחשב המרוחק יודע שהמשתמש רשאי לצפות בנתונים אותם הוא מבקש, אבל המשתמש אינו יכול לדעת אם הוא מבקש את הנתונים מהמחשב המרוחק של הבנק, או ממחשב מרוחק המתחזה לבנק וע"י כך גונב את הסיסמה שלו. כאן נכנסת לתמונה תעודת האבטחה, אשר היא מעין מדבקת הלוגרמה המודבקת על האתר ומאשרת שהיא אינה אתר מתחזה.

כיום רבים מהאתרים, משתמשים בפרוטוקול מוצפן, דוגמת גוגל, מייל, בנקים, אשראי, אתרי קניות באינטרנט ועוד רבים.

סינון ופרטיות המידע:

כדי לאפשר למערכת סינון (בין אם מדובר באנטי וירוס המסנן מפני וירוסים, ובין אם מדובר במערכת סינון תוכן כדוגמת נטפרי, אתרוג ורימון וכדו') לסנן תקשורת מאובטחת, המשתמש נדרש להתקין תעודת אבטחה של המסנן, אחרת לא תהיה למערכת אפשרות לקרוא ולסנן את התקשורת. התקנת תעודת אבטחה של מסנן אינה חושפת את התקשורת המוצפנת בפני אנשים, אלא רק בפני המערכת המסננת.

הבעיה שמערכת הסינון יכולה להיות חשופה לתכנים (סימאות וכו') היא בעצם התקנת תעודת האבטחה (שזה קיים בכל החברות), וללא קשר אם חברת הסינון בוחרת לסנן את התכנים של האתר או לא. דהיינו, בכך שיש חברות שבוחרות לא לסנן אתרים מאובטחים מסויימים, זה בגלל בחירתם. ובמידה וירצו לאסוף פרטי אשראי במודע על משתמשים, הם יכולים בלחיצת כפתור לסנן ולאסוף תכנים ללא ידיעת המשתמש (משתמש מתקדם יכול לבדוק בפרטי התעודה: אם היא זו של חברת הסינון, סימן שבוצע פיענוח והנתונים היו חשופים).

נטפרי בוחרת לסנן אתרים מאובטחים, אבל אין איסוף של נתוני תעבורה (בשונה מחברות אחרות). לדוג', אם יש למשתמש בעיה, אין לנציגי השרות וכו' אפשרות לדעת לאן הוא גלש ואיפה הוא נתקע. אלא המשתמש עצמו יוצר הקלטת תעבורת האינטרנט שלו, ושולח לנטפרי לראות מה נחסם והיכן. אמנם השולטים על המערכת המסננת באופן תיאורתי יכולים ברצותם לפתח מערכת לפיענוח התקשורת המאובטחת. מערכת כזאת לא קיימת בנטפרי בשונה ממערכות סינון אחרות שיש להם מערכת כזאת, אלא שמגבילים את הגישה אליה למורשים מטעמם בלבד.

כאמור, טכנית גם נטפרי יכולה לפתח מערכת כזאת, אמנם נכון להיום היא לא קיימת, וגם לא תהיה קיימת בעתיד!