למי שמעוניין לעשות הפסקת קריאה קלילה, הינה ה-White Paper ש-Google Quantum AI פרסמו.

 

לא קראתי את המאמר (ה-"קריאה קלילה" הייתה בדיחה...), אבל כן צפיתי בראיון של שעה ו-40 עם דן בונה (אחד מכותבי המאמר ואחד הקריפטוגרפיים היותר פורים שחי כיום) על המאמר, ובו הוא מספר על הרקע למחקר, על האופטימיזציות לאלגוריתם, ועל המשמעויות שלו. הראיון מרתק, ממליץ לכולם.

 

הדרך שהחבר'ה מ-Quantum AI בחרו לפרסם את תוצאות המחקר, הייתה (לאחר התייעצות עם גורמים מדיניים) שלא לחשוף את האופטימיזציות שלהם לאלגוריתם Shor (לא לפרסם את המעגל הקוונטי שבו הם השתמשו), אלא לפרסם במקומו הוכחת אפס-ידע (Zero-Knowledge Proof) לעצם קיום המעגל ברשותם. במילים אחרות, הם אפשרו לעולם להשתכנע שברשותם מעגל שמהווה אופטימיזציה לאלגוריתם Shor, שמאפשרת להם לשבור הצפנות מבוססות עקומים אליפטיים בעזרת כמות משאבים קוונטים הנמוכה באופן משמעותי ממה שהאנושות חשבה שצריך עד כה, וזאת מבלי לחשוף שום נתון על המעגל או על הדרך שבה הם הגיעו אליו.

 

במבט ראשון, זאת נשמעת כמו פשרה מצוינת. מצד אחד, הקהילה המדעית וקהילת אבטחת המידע מקבלת הוכחה לתוצאות המחקר שניתן לסמוך עליה, ובכך לאפשר לכולם לדעת איך להתנהל נכון כלכלית ולהתחיל להקצות משאבים לנושא כבר בעתיד הקרוב. אך מצד שני, פרסום שכזה לא מספק מספיק פרטים שיוכלו לאפשר למעצמות, שבעתיד הקרוב יהיו נגישות למחשבים קוונטים להתכונן לרגע שבו אכן יהיו בידיים מספיק קיוביטים, ולנצל את מרווח הזמן שבין הפרסום ועד עדכון המערכות בפועל.

 

אבל אז קרה משהו מעניין. תוך זמן קצר מאוד מאז פרסום ה-ZKP של צוות המחקר בגוגל, החלו להופיע באינטרנט מחקרים נוספים ושילובי כוחות שניסו להגיע לאותו המעגל. חלקם אף הציגו פתרונות יעילים יותר, לפחות על פי חלק מהמדדים. ופתאום העולם מצא את עצמו עם פתרונות טובים יותר ממה שגוגל ניסו לא לפרסם, אצל גורמים שאין לאף אחד באמת שליטה עליהם.

 

וזה גורם לתהות: האם הפרסום שנעשה מתמטית באפס ידע אכן היה באפס ידע? וזה מוביל לשאלה יותר משמעותית: האם באמת אפשר לפרסם היום משהו מבלי לחשוף אותו? ועזבו אתכם מההגדרה המתמטית, כי הרי גם אם לא פרסמתם את הפתרון, עדיין פרסמתם את העובדה שיש פתרון. ובמקרים רבים, אולי זה כל מה שהקהילה צריכה כדי לרכז משאבים בכיוון ספציפי.

 

המחשבה הזו הזכירה לי תחום אחר שאנחנו מכירים היטב וגם שם יש דילמה: מה, כמה ומתי לפרסם. ה-Responsible Disclosure על חולשות שנמצאות במוצרים השונים.

 

במשך שנים התגבשו בתעשייה כללים לא כתובים: יש חברות שמפרסמות רק CVE ותיאור כללי. יש כאלה שמסתירות את פרטי הבאג עד שרוב המשתמשים יעדכנו. אחרות מעכבות את פרסום ה-PoC בעוד מספר שבועות או חודשים. כל אחת בוחרת איזון מעט שונה בין שקיפות לאחריות.

 

אבל כולן נשענות על אותה הנחת יסוד: היסוד שאומר שקיים פער משמעותי בין רמז לבין פתרון מלא.

 

הנחת היסוד הזאת אומרת שאם אכתוב שמצאתי חולשת Use-After-Free במנוע JavaScript ספציפי, או שפגיעות במנגנון אימות ספציפי התגלתה ותתוקן בקרוב - עדיין יידרשו שעות, ימים או שבועות של עבודה כדי שחוקרים נוספים יצליחו למצוא אותו ולהבין מה בדיוק מצאתי ואיך ניתן לשחזר את המתקפה.

 

והשאלה היא האם ההנחה הזו עדיין מחזיקה.

 

לא בגלל שחוקרים נהיו טובים יותר בן לילה, אלא בגלל שכלי העבודה נהיו עוצמתיים יותר, והעלות של לחקור כיוון מסויים הפכה להיות הרבה יותר זולה מעד לפני שנים בודדות.

 

גוגל למשל, נוקטת לעיתים בגישה מדורגת: תחילה הודעה כללית כמו זאת:

Note: Access to bug details and links may be kept restricted until a majority of users are updated with a fix. We will also retain restrictions if the bug exists in a third party library that other projects similarly depend on, but haven’t yet fixed.

 

ורק בהמשך, פרסום מלא של פרטי החולשה. זאת מתוך מחשבה שחלון הזמן הזה עדיין מייצר יתרון למגינים. אבל עושה רושם שגם ההבחנה הזו מתחילה להיסדק.

 

היום כבר לא מופרך לדמיין Agent שמקבל Advisory קצר, מבצע Patch Diff, מתמקד ברכיב שהשתנה, ומפיק כיווני חקירה תוך דקות. הוא לא בהכרח מגיע לפתרון מלא - אבל מספיק כדי לצמצם משמעותית את המרחק בין רמז להבנה. למעשה, יש כבר כמה חברות שטוענות שיש להן מוצר כזה. זאת לדוגמא.

 

ויש גם כיוון נוסף, כמעט הפוך: פרסום עדכונים מבלי לפרט מה בדיוק תוקן. לא מתוך רצון להסתיר מידע מהקהילה, אלא מתוך ניסיון לא למשוך תשומת לב ממוקדת לנקודת החולשה לפני שהעדכון הופך לנפוץ מספיק. סוג של “עמעום זמני” של משמעות התיקון עצמו.

 

ופתאום גם הבחירה של Google נראית באור שונה. ה-ZKP באמת הסתיר את הפתרון. אבל האם הוא הסתיר מספיק את כיוון החיפוש? אין לי תשובה חד משמעית. למעשה, אני לא בטוח שלמישהו יש.

 

אבל ייתכן שבעשור הקרוב נצטרך להגדיר מחדש מושג שליווה את קהילת אבטחת המידע במשך עשרות שנים. אולי "פרסום אחראי" כבר לא יהיה רק השאלה מתי לפרסם או כמה לפרסם.

 

אולי השאלה תהיה הרבה יותר בסיסית: האם עצם הידיעה שיש מה לחפש - היא כבר סוג של פרסום?

 

ושיהיה בהצלחה לכולנו!

וכמובן, לפני שניגש לתוכן הגליון, נרצה להגיד תודה לכל מי שישב והשקיע מזמנו וכתב לנו מאמר החודש. תודה רבה לשי מרדכי, תודה רבה לגיא תותחני, תודה רבה לניר אברהם, תודה רבה לסופי ציאדה, תודה רבה לדור נאמני ותודה רבה לגיא ברנהרט מגן.