שנת 2014 הייתה שנה עם לא מעט אירועים שייצרבו כביטים מעל דפי ההיסטוריה הוירטואלים של עולם ההאקינג. חלקם לטובה, וחלקם קצת פחות. בהסתכלות על אותם האירועים, נראה כי שנת 2014 תרשם בין היתר, כשנה שבה למדנו הרבה למדי.

 

חולשות כגון HeartBleed לימדו אותנו שבכל מוצר עלולות להיות טעויות, גם במוצרים ש״אמורים״ להיות הבטוחים ביותר. תולעים כגון TheMoon לימדו אותנו שלכל דבר ברשת שלנו שיש לו כתובת IP, יש פוטנציאל להוות וקטור חדירה שמאיים עלינו. חולשות כגון ShellShock ו-SChannel Shenanigans, לימדו אותנו שגם בקוד שרץ ב"פרודקשיין" כבר לא מעט שנים, ניתן למצוא חולשות קריטיות שעלולות להיות מנוצלות נגדנו. חולשות כגון POODLE לימדו אותנו שגם פרוטוקולים אשר אמורים להגן עלינו לא תמיד מסוגלים לעשות זאת.

 

אירועים כגון מתקפות ה-DDoS מבוססות ה-NTP או SSDP מלמדים אותנו שגם השירותים המינימליים ״והסתמיים״ ביותר יכולים להיות מנוצלים נגדינו (ולהוריד לארגון שלנו סטירה במהירות של עשרות GBps). מקרים כגון מאות-אם-לא-אלפי-הארגונים-שנפרצים-על-בסיס-יומי אמורים ללמד אותנו ששום דבר באינטרנט לא בטוח, ואף פעם אל תסמכו על שום אתר. אירועים, כגון הפסקת התמיכה הפתאומית ב-TrueCrypt וסגירת הפרוייקט אמורים ללמד אותנו שאנחנו כנראה חשופים רק לקצה הקרחון ברב מבזקי החדשות שאנחנו קוראים - ולחשוד בהכל. ועוד אלף ואחת דוגמאות.

 

המצב טבעי וזה לגמרי בסדר ואנושי, אך על מנת שהעניין יהיה גם נסבל, אסור יהיה לנו (בתור משתמשים פרטיים, ובתור אירגונים) לחזור על אותן טעויות. תמיד יהיו מפתחים שיעשו טעויות, ותמיד יהיו אותם גורמים עויינים שידעו לכתוב כלים שינצלו את אותן הטעויות. אך אם באמת נלמד, אפילו רק מחלק מאותם המקרים שהזכרתי קודם לכן - כבר המצב שלנו יהיה טוב יותר.