רגע לפני יציאתו לדרך של פיילוט המאגר הביומטרי, הבוקר (ב'), נראה כי תיתכן דחייה נוספת במיזם השאפתני והשנוי במחלוקת של ממשלת ישראל.
אמש דלף מסמך שיצא ממשרד המשפטים, ובו מפרט מומחה אבטחה טענות קשות באשר לרמת האבטחה של מחשבי המאגר, האמור לפי התכנון להכיל פרטים מזהים אודות כלל אזרחי המדינה בתוך מעט יותר משנתיים.
מחשבי פרויקט המאגר הביומטרי אפילו לא מצוידים באנטי וירוס
במסמך, הדן בפרויקט ממיל"א (מנפיק ממשלתי לתעודות אימות), מנותחות תוצאות בדיקת אבטחה שביצעו רמו"ט (הרשות למשפט, טכנולוגיה ומידע) וחברת אבטחת המידע קומסק, למערכת האחראית על אבטחת תעודות הזהות החכמות.
בין המסקנות המפורטות במסמך ניתן למנות את העובדה שמחשבי הפרויקט אינם מצוידים בתוכנות אנטי וירוס, למרות שלפני פחות משנתיים עלתה חשיבותן של תוכנות כאלה לתודעה בעקבות פרשת DigiNotar, בה נפרצו מחשביה של חברה שסיפקה אישורי אבטחה לגופים באינטרנט וזויפו אישורים שלה, לאחר שלא איבטחה את מחשביה בתוכנות מסוג זה.
בנוסף, עולה מהמסמך כי במערכת המחשבים של פרויקט ממיל"א לא מותקנת מערכת שתפקידה לנטר פעולות המתבצעות במערכת ולדווח על חריגות, דוגמת עובדים המנצלים את מעמדם כדי לגשת לנתונים.
במסמך מודגש כי לא מתקבל על הדעת שמערכת ממיל"א, האחראית על החתימות הדיגיטליות לתעודות הזהות החכמות, תאובטח פחות ממערכת פתוחה החשופה לרשת האינטרנט, מאחר וכיום גם מערכות סגורות, שאינן חשופות לכאורה לעולם החיצון, מותקפות ללא הפסקה, בין היתר ע"י עובדים המעבירים מידע בכוונה תחילה על מנת לנצלו, אך גם ע"י עובדים הנופלים קרבן למתקפות המעניקות לגורמים חיצוניים גישה לרשת הפנימית.
ליקויים נוספים שחושף המסמך הם העברת בקשות בקבצים לא מאובטחים על גבי רשת לא מאובטחת, שניתן לפרוץ אליה בקלות, כמו גם החוסר בנוהל לעדכון המערכת באופן שוטף. כותב המסמך אף מציין שוב ושוב כי העובדה שמערכת ממיל"א אמורה להיות סגורה לא מהווה סיבה לכך שנראה שהגורמים הרלוונטיים לא דאגו כלל לאבטח אותה. הוא מוסיף כי כאילו לא די במסקנות העגומות של הבדיקה, התשובה הראשונית שקיבל מרמו"ט לא הבטיחה כלל לתקן את הליקויים לפני העלייה לאוויר. במלים אחרות: אפילו אחרי שיודעו בדבר הליקויים, המשיכו ברשות לעבור על תחילת הפיילוט כאילו שמדובר בבעיות שתיקונן לאחר מעשה יספיק.
המסקנות הפוכות ממה שהובטח
המסקנות שעולות מהמסמך הפוכות לחלוטין להבטחות שניתנו ע"י תומכי המאגר הביומטרי, ברשות יו"ר ועדת המדע והטכנולוגיה תחתיו החלה העבודה על המאגר, מאיר שטרית. בזמנו, צוטט שטרית כאומר ש"אם מאגרים במדינה מוגנים ברמה של 10, המאגר הזה יהיה מוגן ברמה 11".
עו"ד יהונתן קלינגר, ממובילי המאבק הציבורי והמשפטי נגד המאגר הביומטרי, מביע שביעות רצון מעצם הבדיקה: "טוב עשתה הרשות למשפט וטכנולוגיה שניהלה מערכת עצמאית של בדיקות וחקרה לעומק". עם זאת, לאור המסקנות הוא מוסיף: "הבדיקה שבוצעה מראה כי רמת האבטחה של מערך ההנפקה, שאמור לנהל את הזהויות הווירטואליות, לטפל בתשלומי מסים באינטרנט, ואולי גם לטפל בבחירות אלקטרוניות לכנסת, נגוע ופגום.
"רק כך הציבור יכול לגלות כי כבר עתה הניסוי הביומטרי לא רק שלא יהיה מאובטח ולא עומד בהוראות החוק, אלא יהיה סכנה לפרטיות האזרחים. אנו ממשיכים לקרוא לאזרחי המדינה לא להשתתף בניסוי וקוראים לשר הפנים, גדעון סער, לוותר על הניסוי המסוכן בבני אדם".
*תגובת משרד המשפטים: "מדובר במסמך שעוסק בהיבטי אבטחת מידע של רכיב האימות האלקטרוני (PKI), הקשור לפרויקט תעודת הזהות החכמה. המסמך נכתב במסגרת חובת ההיוועצות של רשות האוכלוסין עם גורמי רמו"ט לגבי היבטים אלה, בהתאם לשגרת העבודה אשר נועדה לוודא את איכות התהליך. המערכת החדשה טרם הופעלה, והליקויים שעליהם מצביעה רמו"ט במסגרת הפיקוח שלה אמורים להיות נידונים בימים אלה מול הגורמים הרלוונטיים, כחלק מדיון מקצועי על תפיסת אבטחת המידע במערכת זו. יש לציין כי הדיון נמצא בראשיתו והמסמכים כוללים מידע ראשוני וגולמי.
"המערכת החדשה, שתופעל בינתיים כפיילוט, תיבחן לאורך כל תקופת הפיילוט על פי הסטנדרטים המחמירים ביותר מבחינת אבטחת מידע.
"המסמך, שנשלח בדואר האלקטרוני, שוגר בשל טעות אנוש לתפוצה רחבה יותר לעומת תפוצתו המקורית. מנכ"ל משרד המשרד המשפטים, ד"ר גיא רוטקופף, הטיל על קב"ט המשרד לבדוק את האירוע ולהעביר אליו את מסקנותיו".
*תגובת רשות האוכלוסין וההגירה: "רמו"ט הנה אחד הגורמים עמם מחויבת רשות האוכלוסין וההגירה להיוועץ בנושא ועם זאת, אבטחת המערכת נעשית תוך התייעצות עם מומחים נוספים בתחום אבטחת המידע. התייחסות רמו"ט במסמך האמור אינה נוגעת לנתונים הביומטריים המצויים על התעודה הביומטרית ובוודאי שאינה נוגעת למאגר הביומטרי, כי אם לנתוני אימות אלקטרוניים שנועדו לקבלת שירותים מקוונים של ממשל זמין".