אירוע למעריצי הסדרה "מר רובוט" / צילום: shutterstock, שאטרסטוק
ב-2015, שני האקרים הצליחו לפרוץ לרכב טסלה מודל S, לפתוח ולסגור דלתות, לשנות נתונים בלוח המכוונים ולכבות את הרכב לחלוטין - הכול באמצעות שליטה מרחוק. הפריצה, שהפכה לאחת הפריצות האייקוניות של השנים האחרונות, מבוססת על ניצול של ארבע חולשות שונות, אשר יחד הן אפשרו להאקרים לחדור למערכות המידע של הרכב. מאחורי הפריצה המפורסמת עומדים ההאקרים קווין מהאפי ומארק רוג'רס.
"אנשים מסתכלים על הפריצה לטסלה, ואומרים 'זה מדהים! איך עשיתם את זה?' - אבל זה לא שפשוט הגענו עם אייפון ונהגנו ברכב. היו שנתיים של עבודה קשה, של מציאת החולשות ועבודה עם חברת טסלה על תיקונן - ולבסוף היינו צריכים 'להרים' הדגמה כדי שנוכל להראות את הפריצה. זו עבודה מתישה שכוללת הרבה כישלונות", אומר רוג'רס בראיון טלפוני ל"גלובס". רוג'רס צפוי להגיע לביקור בישראל, במסגרתו ישתתף בשבוע הסייבר של המרכז למחקר סייבר באוניברסיטת ת"א, בשיתוף מערך הסייבר הלאומי.
רוג'רס הוא האקר בריטי ממוצא יהודי, יווני ואיטלקי, שמתגורר בסן פרנסיסקו. הוא משמש כסגן נשיא אסטרטגיות אבטחת סייבר בתאגיד Okta, נמנה עם מארגני DEF CON, כנס ההאקרים הגדול בעולם, וגם עובד כיועץ טכנולוגי לסדרה "מר רובוט".
את דרכו כהאקר החל רוג'רס בגיל 15, כשפרץ לרשת המחשבים של בית הספר שלו באמצעות תוכנת סיסמה, וכך לדבריו "הסתבך בצרות". "באותה תקופה, 'האקינג' היה תחביב מוזר של כמה ילדים מוזרים. במושג האקינג החלו להשתמש ב-MIT בשנות ה-70, וההגדרה שלו הייתה להשתלט על מערכת קיימת ולשנות אותה כך שתעשה את מה שאתה רוצה, מבלי לפגוע במערכת ובמה שהיא אמורה לעשות במקור.
"שיחקתי עם מחשבים במשך שנים, וזה לעולם לא היה המקצוע שלי - זה היה תחביב. בתחום שלי, חייבים לעבור דרך המון כישלונות כדי להגיע להצלחה, ואם אין לך תשוקה לזה - הכישלונות והעבודה עם דאטה משעמם לאורך חודשים ירתיעו אותך. בגלל זה אנחנו רואים הרבה אנשים שיוצאים מאוניברסיטאות והם מאוד מנוסים בכתיבת קוד ושימוש באפליקציות למציאת חולשות, אבל אם הם יצטרכו למצוא חולשה באופן ידני - הם יתקשו מאוד.
"תחשבי על האקינג כעל תרגיל של פתירת בעיות - את מסתכלת על מערכת, רואה איך היא מוגנת, ואז מנסה למצוא דרך לעקוף את זה. זה הופך לתחרות של מי יותר טוב - את או האדם שעיצב את ההגנות של המערכת. היו פעמים שביליתי חודשים בעבודה על פריצה כדי לגרום לה לעבוד, וכשזה עובד יש תחושה מאוד חזקה של הצלחה. זה מתעצם אם גם משתמשים בחולשה הזו ומצליחים להיכנס לתוך המערכת, וזו זריקת אדרנלין של ממש. הטריק הכי גדול שגוף כמו בית ספר או אוניברסיטה צריך למצוא הוא לא רק איך לגרום לאנשים להיות מאומנים היטב - אלא גם איך להצית את התשוקה הזו", אומר רוג'רס.
"כל טכנולוגיה שפיתחו בני אדם יכולה להיפרץ"
רוג'רס אמנם מרבה לדבר על חשיבותם של כישלונות, אולם לאורך הקריירה שלו הוא ראה הצלחות לא מעטות: מלבד הפריצה לטסלה, הוא פרץ גם לזיהוי טביעת האצבע של מכשירי חברת אפל, וגם למשקפיים החכמות של גוגל. בימים אלה הוא מחפש פרצה ליכולות זיהוי הפנים של אפל. "אפל עשתה עבודה טובה, אבל לדעתי כל טכנולוגיה שנבנתה על ידי בני אדם יכולה גם להיפרץ על ידי בני אדם. עם הזמן, ככל שנקודת המבט והידע שלנו משתנים יש גם הזדמנויות חדשות לפרוץ לדברים", הוא אומר.
מה האתגר הכי גדול במציאת חולשות?
"כמעט כל החולשות המקוריות הן מאוד קשות למציאה, כי מעצם ההגדרה מנסים ללכת למקום שאף אחד לא הלך אליו קודם לכן. בנוסף, אתה מנסה לגרום למשהו לעשות דבר שהוא לא עוצב לעשות, אז זה תמיד יהיה קשה והסיכויים תמיד יהיו נגדך. טסלה היא אולי הדוגמה הטובה ביותר - עבדנו על זה שנתיים, ובשלב מסוים מצאנו כבר שמונה חולשות שונות, אבל לא הצלחנו לחשוב איך לנצל אותן כדי לפרוץ למערכת. רק אחרי כמה חודשים של הפסקה שבהם ניקיתי את הראש, הייתה לי סוג של התגלות לגבי איך נוכל לעשות זאת. זו הייתה דרך מאוד ארוכה ובשלב מסוים חשבנו שלא נוכל להצליח, אבל עם התמדה ומזל הצלחנו לבסוף".
באיזה אופן השתנה התחום מאז שהתחלת לבצע האקינג בשנות ה-80 ועד היום?
"אבטחת סייבר היא משחק בלתי נגמר. תמיד יהיו התקפות חדשות להגן מפניהן ותמיד יהיו מערכות חדשות להגן עליהן. תמיד יהיו דברים חדשים ודברים שלא חשבנו עליהם. לאחרונה התחלנו לראות פגמים בשבבים, מהאופן שבו הסיליקון מעוצב ועד להבנה כי שינוי במטען האלקטרומגנטי בתא זיכרון יכול לשנות את המטען האלקטרומגנטי בתוך השבב - ולאורך זמן יכול ליצור שינוי בדאטה שנמצא במקום אחר באותו השבב. הפרצה הייתה קיימת יותר משנה לפני שאנשים הבינו איך הם יכולים להשתמש בזה כדי לעקוף דברים כמו סיסמאות.
"ככל שדברים הופכים ליותר בטוחים - גם הפריצות יהפכו ליותר מורכבות. בשנות ה-90 היית צריך רק חולשה אחת כדי לקבל גישה מלאה לכל המערכת. היום, במערכות מודרניות כמו שיש באייפון, צריך שתיים או שלוש חולשות כדי להצליח לפרוץ: הראשונה כדי להיכנס פנימה, דרך איזושהי אפליקציה; השנייה כדי לפרוץ מתוך הסביבה המאובטחת שבה רצה האפליקציה; והשלישית כדי לקבל גישה מלאה למכשיר".
אתה מזהה שינויים שחלו גם אצל ההאקרים עצמם?
"כן, ההאקרים המקוריים היו בקטע של לחקור מערכות ולהשיג גישה אליהן כדי ללמוד על טכנולוגיה. לא היה תמריץ כלכלי באותו הזמן. אני למשל נכנסתי לזה כי אבא שלי קנה לי מחשב. לאורך השנים, זה עבר מתחביב של קומץ אנשים סקרנים והפך לתעשייה. בשנות ה-80 רוב החברות לא הרגישו שהן זקוקות לאבטחה, ואמצעי האבטחה היו שם משתמש וסיסמה במקרה הטוב - כי לא היו הרבה איומים. ככל שהאינטרנט התפתח ויותר כסף עבר לעולם המקוון, התוצאה הייתה עלייה בפשעים ובתקריות.
"זה הוביל ממשלות לקבוע רגולציה שמחייבת חברות להקים מערכי אבטחה, וגרם לכך שחברה שנותרת בלי אבטחה נהיית חשופה גם לנזק כלכלי וגם לאחריות פלילית. כך נהייתה תעשייה - וכשהגיע הכסף - נכנסו הרבה אנשים לתחום בשביל אינטרסים וכסף. זה שינה הרבה דברים, ובעיקר את המחקר בתחום. אחד החסרונות של זה הוא שהתעשייה היום לא מסתכלת על מה שמעניין וכיפי, אלא על מה שרווחי".
"הציבור החל להתעייף מלשמוע על פריצות"
התדמית הרווחת של האקרים היא של אנשים בודדים, אאוטסיידרים ואנרכיסטים, ורוג'רס מחזק את התפיסה הזאת. "באופן מסורתי, קהילת ההאקרים מורכבת מאנשים עם אישיות מסוימת: אנשים מאוד מופנמים, עד שהם נכנסים לרשת - כי שם אנחנו מביעים את עצמנו. לנו כהאקרים יש צדדים שאנחנו לא מדברים עליהם הרבה, אבל רוב ההאקרים הם אנשים אובססיביים ובעלי נטייה להתמכרות, שלא מסתדרים במצבים חברתיים - וזה לא נעים להודות בזה. אין לנו תחביבים אלא אובססיות, וכשאנחנו מתעניינים במשהו אנחנו מגזימים. כשהתחלתי להתעניין באקווריומים היה לי אחד, ותוך כמה שבועות היו לי שמונה.
"אנחנו נוטים לחרדה חברתית, אנחנו אינטליגנטים וגם מורדים, והחלק הזה הוא חשוב - כי להיות מורד זה מה שמוביל אותנו לאתגר את הסטטוס קוו ואת איך שדברים נעשים בדרך כלל. היכולת שלי לאתגר חוקים נותנת לי את היכולת להסתכל על מערכי אבטחה ולדעת איך לעקוף אותם. אותה היכולת היא מה שמוביל האקרים לרצות להיות אקטיבסטים נגד חוסר צדק. זה לא מפתיע שה'האקטיביזם' (האקרים אקטיביסטים, י"י) נולד בשנות ה-90 - כשההאקרים היו בשיאם.
"בשנות ה-90, אם הצלחת לפרוץ לאתר של חברה גדולה, היה מובטח לך עמוד ראשי בעיתונים ושהמסר שלך יופץ בעולם. היום הציבור החל להתעייף מלשמוע על פריצות. אם הפריצה שלך לא תהיה מאוד משמעותית לא תקבל כמעט סיקור, וזה הופך את זה למאוד קשה עבור האקטיביסטים לקבל את תשומת הלב שהם רוצים".
רוג'רס הוביל בעצמו קבוצה של האקטיביסטים, שפרצו בשנות ה-90 למחשבים של ממשלת בריטניה והחדירו מסרים פוליטיים לעמוד הבית של אתר מפלגת הלייבור. הקבוצה נקראה Agents of Hostile Powers (סוכני הכוחות העוינים), כבדיחה על חשבון ראש היחידה החדשה לפשעים ממוחשבים במשטרת בריטניה. בנאום כניסתו לתפקיד הוא קבע שכל ההאקרים הם ילדים שטופי מוח, שפועלים כסוכנים של כוחות עוינים. כשהסיפור הזה עלה בשיחתנו, רוג'רס מיהר להביע הסתייגות: "כמו ילדים אחרים שמתעסקים עם טכנולוגיה, עשיתי כמה דברים שלא היו הכי חכמים", הוא אומר.
נשמע שהרצון למרוד הוא חלק בלתי נפרד מלהיות האקר. אתה מתחרט על הדברים שעשית בתקופה הזו?
"אותו הרצון למרוד מקבל צורות אחרות, ומשתנה ככל שאנחנו מתבגרים. אני לא מתחרט על מה שעשינו, אבל היום אני יודע שרק דרך מעקב אחר כללי האתיקה יכולתי להתקדם ולהגיע ולמקום שבו אני נמצא היום. אני רוצה לזהות ילדים אחרים שיש להם את אותם הכישורים שהיו לי, ולקחת אותם לכיוון הנכון לפני שהם ייכנסו לצרות. כילד, הדחף לחקור דברים ולכופף את הכללים הוא חזק. זה מה שאנחנו עושים כבני אדם - חוקרים את סביבתנו - ועבור האקרים הסביבה הזו היא האינטרנט".
מהו הדבר הטוב ביותר שיצא לך מההתנסות הזו?
"זה דבר שחשבתי עליו הרבה. כמו הרבה קבוצות באותה התקופה, עבדנו על הקמת מסגרת העבודה בה יכולה להתבצע חשיפה הוגנת של חולשות. באותה התקופה לא הייתה תרבות כזאת, ולא היו פרסים כספיים עבור חשיפות הוגנות. כשהיינו מודיעים לחברות על החולשות שלהן, הן היו מגיבות לרוב בצורה עוינת ואיימו בהליכים משפטיים.
"החשיפה ההוגנת הראשונה הייתה רק בשנות ה-2000 המוקדמות, עם באג שהתגלה בחברת מיקרוסופט, והתוצאה היא שהיום חוקרים יכולים להסגיר חולשות כמעט לכל חברה. אני אהיה הראשון לומר שיש הרבה מקום לשיפור. אנחנו עדיין נאבקים עם תגובות אגרסיביות של החברות, שמרגישות שאיום בנקיטת צעדים משפטיים באמצעות עורכי דין היא הדרך היחידה שהן יכולות להגן על עצמן. אם נוכל להגיע לנקודה שהחברות באמת שמחות לשמוע על חולשות - זה יהיה מעולה".
"ייצוג שקרי בטלוויזיה יוצר מצג שווא בציבור"
בין הפרויקטים הרבים שרוג'רס מעורב בהם, הוא משמש כאמור כיועץ טכנולוגי לסדרה מר רובוט. הסדרה עוקבת אחרי אליוט אלדרסון, מהנדס אבטחת מידע בחברת סייבר אמריקאית ביום והאקר בלילה. אלדרסון סובל מחרדה חברתית, דיכאון קליני ופרנויה, והוא נוהג לפרוץ לחשבונות ולמכשירים של האנשים הסובבים אותו כדי להשגיח עליהם מפני סכנה. הוא מגויס על ידי האקר מסתורי בשם מר רובוט על מנת להצטרף לקולקטיב האקרים אנרכיסטי, ויחד הם פועלים נגד הקפיטליזם, הבנקים ותאגידי הענק. רוג'רס סיפר כי לדעתו "יש משהו בדמות הזו שמאוד לא נוח לצפות בה, והרבה מחבריי ההאקרים אמרו את אותו הדבר".
איזו פריצה הכי אהבת בסדרה?
"אני אוהב את כולן כמובן, אבל אני מניח שלמדתי הכי הרבה מהפריצה לטלפון של סוכן FBI עם אנטנת Femtocell (מודם סלולרי קטן לשימוש ביתי, י"י) בסוף העונה השנייה. בניתי את האנטנה בבית ומאוד נהניתי לשחק איתה. עד היום אני משתמש בה כדי לבדוק חולשות אבטחה על מכשירי IoT (ה"אינטרנט של הדברים") המחוברים לרשתות סלולר, כמו למשל מכוניות".
הפריצה הזו קיבלה שבחים רבים על כמה שהיא הייתה מציאותית.
"בתור האקר, כשאני רואה 'פייק האקינג' בטלוויזיה זה ממש משגע אותי. כולם מציגים מסך שנראה כמו מטריקס אבל במציאות אתה לא מקליד כמה דברים ופורץ לבנק. כדי ליהנות מסרט או סדרה - אתה חייב להצליח להאמין לה - וכל פעם שאני רואה כזה זיוף זה הורס את האשליה. כהאקרים שגאים במה שאנחנו עושים, תמיד כעסנו על הייצוג השקרי הזה. בנוסף, אני חושב שזה גם מסוכן ליצור מצג שווא בציבור, כי האנשים שצופים בסדרות האלה צריכים להיות מסוגלים לזהות האקינג ולהסתכל על זה בצורה אובייקטיבית. ארגונים משקיעים איפה שהם חושבים שההשקעה נדרשת, וההחלטות נעשות על ידי אנשים - שהם אותם אנשים שצופים בסדרות הללו.
"אני חושב שהיום הציבור יותר מיודע גם כי המדיה מכסה את זה יותר, וגם כי יש הרבה יותר פריצות. לא עובר חודש בו חברה גדולה לא נפרצת. ההיכרות הזו עם עולם ההאקינג היא גם חיובית וגם שלילית: היא טובה כי אנשים מבינים יותר ושואלים יותר שאלות, אבל היא רעה כי הם מקבלים תשובות מאוד קצרות".
רוג'רס אף פועל לטובת חינוך הציבור בנושאי סייבר, והוא עובד עם בתי ספר בסן פרנסיסקו על כינון תוכנית לימודים לבתי הספר היסודיים, אשר במסגרתה יילמדו כללי בטיחות ברשת ותכנות. "אם הייתי יכול לנופף בשרביט קסם, הייתי אומר שכל אדם צריך לעזוב את בית הספר עם השכלה שתספק לו את הכלים לזהות התקפות בסיסיות - כמו מיילים זדוניים ורשתות Wi-Fi מזויפות. הציבור חייב להיות מעורב, כי אנחנו לא יכולים לסמוך על הממשלה כדי למצוא תשובה לבעיות האבטחה. זו אחת הסיבות שאנחנו, אנשי האבטחה וההאקרים, לוקחים חלק במאמץ", הוא אומר.