אז מה שלומכם? אנחנו מקווים שלמרות המצב - הכל אצלכם בסדר גמור, שיש לכם חשמל ושהרכב שלכם לא מוצף מים...

 

אף פעם לא הצלחתי להבין את הדחף של התעשייה להצמיד לכל מיני מוצרים כתובות IP, כאילו, בטח שאני מבין את הפוטנציאל שבדבר, הרי כל אחד יכול לדמיין את הסיטואציה הבאה:

 

אתה יושב על הספה, ופתאום מכה בך הרעב לחביתת גזר. כדרך-אגב אתה פותח בסמארטפון את אפליקציית הניהול של הבית החכם, גולש לפורטל המרכזי, משם לעמוד המטבח וממנו למקרר, שומע את עצמך אומר "מצרכים לחביתת גזר" ולאחר כשתי שניות מקבל הודעה שגיאה שאומרת "לא נמצא גזר, האם ברצונך להזמין גזר או לחפש מתכוני חביתה אחרים, שאנשים שאוהבים חביתת גזר סימנו עליהם Like".

 

בלי לחשוב פעמיים, אתה לוחץ על "הזמן גזר - הפרופיל הרגיל", וכעבור כ-2 דקות אתה מקבל SMS ממרכז הפצה איזורי שמודה לך על השימוש בשירותיו ושמח לבשר לך ש-Quadcopter עושה דרכו אליך ברגעים אלו ממנו ממש, ובעוד 7 דקות המשלוח יגיע אל נקודת ה-GPS שסופקה על-ידי האפליקציה. ובנוסף שולח לך URL שמאפשר לך לראות בזמן אמת את הנ"צ של הגזר שלך מתעופף ברחבי העיר.

 

לאחר 7 דקות, אתה מקבל SMS שמבקש ממך לבדוק את התקן הנחיתה שהתקנת לפני חודש ונגיש מהחלון במטבח, אתה ניגש לשם ואכן רואים חבילת גזרים מונחת ו-Quadcopter עושה דרכו חזרה למחסני החברה. 

 

אתה מוציא גזר אחד מהשקית ושם אותו בפורס גזר (שבמיידי דואג לשלוח לך מייל על כך שהאחריות על אחת הסכינים שלו פגה בעוד כשבועיים), חיישן ה-RFID שמותקן במקרר שלך מזהה את תג ה-RFID שטבוע בחבילה ומעדכן את ה-DB שהתווספה חבילת גזרים למאגר. במקביל אתה מקבל דו"ח יומי שמעדכן אותך כי החלב יגמר ככל הנראה אחרי הקפה של מחר (לפי היסטוריית השימוש שלך בחלב), הברוקולי מלפני חודשיים עדיין במקרר ושני חברים שלך בדיוק עדכנו את גרסאת ה-FreezeOS של המקרר שלהם לגרסא האחרונה וממליצים לך גם.

 

הגרסה האחרונה כוללת תיקון של 4 חולשות, ש2- מהן הוגדרו כ"קריטיות". אחת מהן אף נמצאה In-The-Wild באחת מגרסאות ה-ZigBotnet וממה שראית הרצת הקוד התאפשרה לאחר הכנסת מחרוזת מספיק ארוכה בערך ה-RFID של המוצר שנכנס למקרר, והשניה איפשרה הרצת קוד בשל מימוש לקוי של מנגנון משיכת העדכונים מהרשת החברתית הדיפולטיבית שהגיע עם המקרר (וואלה, מזל שהחלפת...).

אעצור כאן, אך אני מאמין שהבנתם את הכיוון.

 

למרות כל הפוטנציאל שבדבר, לי קשה מאוד לשמוע סיפור כזה ולא לחשוב על כל הסכנות שבדרך, עולות לי מחשבות כמו: "רגע, מה הפרוטוקול שה-Quadcopter משתמש בו על מנת להזדהות אל מול התקן הנחיתה?", "איך אני יכול להיות בטוח שאף אחד לא החליף לי את המצרכים בדרך?", "האם מישהו פרץ למחסני המזון ושינה את שקיות המצרכים כך שמזהה ה-RFID שלהם יגרום להרצת קוד על המקרר שלי?", "האם ה-NSA יודעים מה אני אוכל לארוחת בוקר?", או "למה לעזאזל האפליקציה של שמנהלת את הבית החכם צריכה כל כך הרבה הרשאות?", ובכלל - "איך אני יכול לסמוך על כל ה-Setup הזה כשאני יודע שכל הצ'יפים פותחו בסין?!"...

 

הפירצה הקטנה ביותר במערכת מאפשרת לכל אחד להריץ קוד על המקרר שלי, משם לקפוץ ל-Streamer (כי ברור שהם מחוברים - אני מעוניין לגשת לעמוד המצרכים ישירות מהטלוויזיה) וממנה להגיע ישירות למחשב האישי שלי.

ברור לי שיהיה ניתן לממש את הכל בצורה מאובטחת, אבל כפי שההיסטוריה מלמדת אותנו - אם ניתן לממש משהו בצורה נכונה ומאובטחת או בצורה גרועה ורשלנית - התעשייה בחרה באופציה השניה. בין שמדובר בפרוטוקולי תקשורת מרכזיים ביותר בתעשייה שאנ'לא-יודע-מי-לעזאזל-אישר-מבחינת-אבטחת-מידע (ARP ?WEP  ?DNS ?FTP ?SMTP ?CANbus?) ובין שמדובר בפרוטוקולים שעוד איכשהו אפשר לדבר עליהם מבחינת אבטחה אבל החברות בתעשייה בחרו לממש אותם בצורה זוועתית, ברוב המקרים, התוצר שהלקוח קיבל - היה לוקה בכל הקשור באבטחה.

 

כנראה שאני אהיה בין האחרונים שלמקרר או לטוסטר שלהם תיהיה כתובת IP, אבל ברור לי שרוב לקוחות התעשייה יאמצו את הטכנולוגיות האלה (ואז גם יחכו שעות בתור למענה הקולי של הוט, כשהם ימצאו את עצמם נעולים מחוץ למקרר שלהם בגלל ששרתי ה-DNS של הספקית קרסו לאחר מתקפה של אנונימוס...).

 

עולם כזה יהיה מדהים מזווית ראיה של האקר, אך מחריד מזווית הראיה של המשתמש הביתי.

 

וכמובן, לפני שניגש לסיבה בגינה הביטים האלה נמצאים על המחשב שלכם, ברצוננו להודות לכל מי שהשקיע ונתן מזמנו האישי ובזכותו הגיליון פורסם, תודה רבה לניר עופר (hyprnir), תודה רבה לעדן אלון, תודה רבה לעידו קנר ותודה רבה לים מסיקה!

  קריאה מהנה!

ניר אדר ואפיק קסטיאל.