מה אפשר להגיד, חודש ספטמבר שחלף יזכר בין דפי ההיסטוריה של עולם ההאקינג בעקבות כנס הסייבר הבינלאומי 2014 שהתקיים בישראל זאת השנה הרביעית. לא, סתם, עם כל הכבוד לכנסי הסייבר שמתקיימים בארץ ולמטה הקיברנטי ולחבריו, חודש ספטמבר יזכר ככל הנראה בעקבות הפרסום אודות חולשת ה-Shellshock שהתגלתה ב-Bash ממש לפני מספר ימים.

 

על פניו זה נשמע הגיוני מאוד שחולשה כזאת תקבל מקום של כבוד בין דפי ההיסטוריה, בסופו של דבר מדובר בחולשה המאפשרת במקרים מסוימים, הרצת קוד מרחוק, שהתגלתה על רכיב שנמצא בהרבה מאוד מקומות ושאינה דורשת כמעט מאמץ. נשמע בדיוק כמו במקרה של HeartBleed, חולשה חזקה, שנמצאת באיזורים מאוד קריטים שתפסה את כולנו לא מוכנים. ושוב, אני לא חושב שכשל ה-Shellshock הוא לא עניין רציני, אני פשוט טוען שלא זאת הסיבה שכנראה נזכור אותה לעוד לא מעט זמן.

 

הסיבה שלדעתי נזכור אותה לאורך זמן היא מפני שהפשטות שלה אל מול פרק הזמן שהיא לא פורסמה (או לא התגלתה) הוא הזוי ברמה שקשה להבין. את ה-HeartBleed לדוגמא, מצאו באפריל 2014, בקוד שנכנס למוצר במרץ 2012 - זאת אומרת שאחרי קצת יותר משנתיים הצליחו לזהות את הכשל, על המורכבות של החולשה עוד ניתן להתווכח. אך כאן במקרה של Shellshock, מדובר בחולשה שנמצאה בקוד שנכנס למוצר בשנת 1992, כך שמדובר במעל 21 שנה בין הרגע שנוצרה לרגע בו התגלתה, וכאן קשה מאוד להתווכח עם המורכבות שלה.

 

ה-HeartBleed עזרה לאנשי ה-IT להבין שגם במוצרים שנחשבים אמינים ובטוחים ופרושים בכל כך הרבה מקומות קיימות חולשות, אך ה-Shellshock עזרה להבין שאותן החולשות יכולות להיות פשוט בכל מקום, ולא משנה כמה עיניים עברו על הקוד או כמה המוצר וותיק. ובעוד שהניצול של HeartBleed הוביל לחשיפת מידע בעייתי כגון סיסמאות או SessionIDs, כאן ניצול של החולשה מאפשר הרצת קוד על המכונה בלי יותר מדי עניינים, אירוע לא נעים לכל הדעות. חשוב מאוד שנדע לסמוך על הטכנולוגיות שלנו אך חשוב לא פחות לדעת להיות עירניים ולא ליפול לשאננות.

 

ובנימה אופטימית זו - נאחל לכל קוראינו: שתיהיה שנה בטוחה ומעניינת :)