האתגר של מערך הסייבר: ההצפנה של מערכת Windows נשברה

חולשה במערכת WIN10 שברה את ההצפנה ומערכת WIN7 מפסיקה לקבל עדכוני אבטחה. שתי התופעות בצמידות זמנים מעמידות אתגר רציני למערך הסייבר

האתגר של מערך הסייבר: ההצפנה של מערכת Windows נשברה

יגאל אונא, ראש מערך הסייבר הלאומי. צילום: רונן טופלברג

חולשה שחשפה מיקרוסופט בימים האחרונים (CVE-2020-0601) בספריית ההצפנה CryptoAPI שברה את הצפנת הSSL של כל מוצרי מיקרוסופט. ביניהם WIN10, אופיס ואפילו את זו של דפדפן כרום. המשמעות היא שתוקף יכול להפוך כל תעודת הצפנה ללגיטימית בעיני מיקרוסופט. "הפגיעות משפיעה על Windows 10 ו- Windows Server 2016/2019 ועל יישומים המסתמכים על Windows לצורך פונקציונליות אמון", כותבים בNSA.

החברה אמנם פרסמה תיקון לכשל בספרייה, אולם עדכון כזה אינו פשוט בסביבה ארגונית וממשלתית. מדובר ברשתות מחשב גדולות שעדכון שלהן יכול לקחת ימים או שבועות. היות והחולשה כבר נוצלה מאז הפרסום, וגם לא ניתן לדעת כמה זמן הפירצה הזו הייתה קיימת, יש למערך שני אתגרים - ראשון, לדאוג שכל הארגונים במשק מעדכנים את המערכת, כולל תשתיות קריטיות. שני, לבחון איך יודעים אם תוקף מדינתי לא השתמש בחולשה בתקופה האחרונה להתקין נוזקות על מחשבים או שרתים במרחב הישראלי. אתגרים לא פשוטים.

בנוסף, מיקרוסופט הודיעה גם על סיום תמיכה במערכת WIN7. המשמעות היא מליוני מחשבים בישראל, חלקם הגדול בתשתיות קריטיות ומערכות לגאסי שלא יקבלו עדכוני אבטחה ממיקרוסופט בעתיד. במיקרוסופט ממליצים לעדכן לWIN10, אבל גם כאן, מדובר בפרויקטים שעתידים לקחת זמן רב, אם בכלל. הארגונים שעדיין משתמשים במערכת WIN7 עושים זאת כי אין להם דרך פשוטה לשדרג. למעשה, ארגונים אלו צריכים להסתמך על כלי הגנה למערכת WIN שיחפו על העדר העדכונים של מיקרוסופט. 

האם ארגונים אלו לא ידעו שתקופת התמיכה בWIN7 עתידה להסתיים בינואר 2020? הם ידעו. ולא שדרגו. דרך אגב, חלקם הגדול נמצא במגזר האנרגיה והתשתיות הקריטיות. במערך הסייבר עדיין לא סיפקו נתונים כמה מערכות WIN7 ו-WIN10 פעילות בישראל. אם יספקו, הם יפורסמו כאן.

אולי יעניין אותך גם