מודל איומים טוב מחבר סיכון מסוים לצעד שאפשר לבדוק את תוצאותיו, ולא לרשימת התכונות הארוכה ביותר.
מודל איומים לאפליקציית מסרים פירושו להגדיר איזה מידע חשוב לכם, מי עשוי לקבל אליו גישה ואילו צעדים מתאימים לסיכונים ולנסיבות שלכם. האיומים על משפחה, על עיתונאי או על עובד המשתמש בטלפון ארגוני אינם בהכרח זהים. המדריך הזה מציע מסגרת פשוטה לכתיבת תוכנית אישית, ולא דירוג מוחלט של אפליקציות מסרים.
עיקרי הדברים
- מודל איומים הוא שלושה או ארבעה משפטים, לא מוצר. כתבו על מה אתם רוצים להגן, מפני מי וכמה מאמץ אתם מוכנים להשקיע; בלי המשפטים האלה, בחירת אפליקציית מסרים היא רק איסוף רשימות של תכונות.
- לשיחה שלכם יש ארבע חוליות: המכשיר שלכם, הרשת, שרת המסרים והמכשיר של הצד השני. ארבע השכבות האלה הן נקודת פתיחה; בדקו בנפרד גם גיבויים, חשבונות ושירותים מחוברים.
- הצפנה מקצה לקצה מגינה על התוכן מפני גורמי ביניים; אבטחת המכשירים, המפתחות, הגיבויים והתנהגות הנמען עדיין חשובים.
- העריכו את האיום בהתאם לנסיבות שלכם: גישה פיזית, תצוגה מקדימה של התראות, דיוג, גיבויים ומכשירים מחוברים הם דוגמאות לבדיקה, לא דירוג סטטיסטי של סיכונים.
- מטא־נתונים נפרדים מטקסט ההודעות. המידע על מי שוחח עם מי ומתי נשאר גם כשהטקסט מוצפן במלואו, ויש לקבל לגביו החלטה נפרדת.
מהו מודל איומים, ולמה הוא חשוב בבחירת אפליקציית מסרים?
מודל איומים הוא תיאור קצר של ״על מה אתם רוצים להגן, מפני מי ובאיזה מאמץ״. כל עוד שלושת המרכיבים האלה אינם ברורים, השוואה בין אפליקציות מסרים רק מאריכה את רשימת התכונות, בלי לעזור לכם להבין איזו מהן שימושית עבורכם.
הארגון Electronic Frontier Foundation (EFF) מדגיש זאת במדריך Security Planning (Threat Modeling): ניסיון להתגונן מפני כל איום אפשרי בכל רגע מוביל לתסכול, משום שאבטחה היא תהליך ולא רכישה. לצוותים טכניים, פרויקט מידול האיומים של OWASP מציע מסגרת דומה, וספריית מודלי האיומים במדריך למפתחים של OWASP כוללת דוגמאות מוכנות רבות שאפשר להיעזר בהן.
הערה מעשית: מודל איומים אינו מסמך קבוע. החלפת עבודה, נסיעת עבודה או צירוף אדם לקבוצה המשפחתית עשויים לשנות אותו לחלוטין. בכל פעם שזה קורה, כתבו מחדש את אותם ארבעה משפטים.
מי קורא את ההודעות שלי? חלקו את השרשרת לארבע חוליות
התשובה הקצרה: כל הודעה עוברת בארבע חוליות — המכשיר שלכם, הרשת, שרת המסרים והמכשיר של הנמען — וגם עותקים או חשבונות מחוברים יכולים ליצור נתיבי גישה. לכן השאלה הנכונה אינה ״איזו אפליקציית מסרים בטוחה יותר?״ אלא ״איזו חוליה חלשה יותר במצב שלי?״.
החוליה הראשונה: המכשיר שלכם
כל מה שמופיע על מסך הטלפון שלכם כבר פוענח. אם הטלפון אינו נעול, אם תצוגה מקדימה של התראות מופעלת במסך הנעילה או אם מישהו יודע את הקוד בן ארבע הספרות שלכם, הצפנת ההודעה בדרך אינה מונעת קריאה של תוכן נגיש באותו מכשיר.
החוליה השנייה: הרשת
גורם הצופה ברשת עשוי לראות את יעד החיבור, את זמני התעבורה ואת נפחה; שירות DNS אינו רואה בהכרח את כל המסלול או את כל חבילות הנתונים של ההודעות. בהצפנה מקצה לקצה, מה שנראה הוא נתונים מוצפנים ולא טקסט; עם זאת, עצם חילופי ההודעות ונפחם בדרך כלל אינם מוסתרים.
החוליה השלישית: שרת המסרים
השרת הוא נקודת הסנכרון בין המכשירים. בהצפנה מקצה לקצה הוא אינו קורא את הטקסט, אבל עדיין רואה מטא־נתוני ניתוב ויכול לשמור אותם. כאן בדיוק מתברר ההבדל בין ״מוצפן״ ל״פרטי״.
החוליה הרביעית: המכשיר של הצד השני
החוליה האחרונה אינה בשליטתכם. הנמען יכול לצלם את המסך, להעביר את ההודעה הלאה, או להשתמש בטלפון שנדבק בנוזקה. הצפנה מקצה לקצה מצמצמת את הסוגיה בחוליה הזאת ל״אמון בנמען״, ולא מעבר לכך.
לסיכום: הצפנה מקצה לקצה מצמצמת את מעגל הגישה לתוכן, אבל המכשירים, ניהול המפתחות והנמענים המורשים עדיין חלק ממודל האיומים.
אילו איומים כדאי לבדוק בנסיבות שלכם?
טלפון לא נעול, גישה לחשבון, תצוגה מקדימה של התראות וגיבויים הם דוגמאות שכדאי לבדוק. עבור מי שנמצא על הכוונת של תוקפים מקצועיים, גם נוזקות מתקדמות או לחץ פיזי עשויים להיות חשובים; אל תמעיטו בסיכון בלי להכיר את הנסיבות.
גיבוי הוא נתיב גישה נפרד. אם אפליקציית המסרים שומרת גיבוי בענן והגיבוי אינו מוצפן מקצה לקצה, ההצפנה בטלפון פועלת רק עד גבול הענן; כלומר, נעלתם את הדלת הנכונה אבל השארתם את המפתח לידה. המדריך לגיבוי בטוח של שיחות מוצפנות מסייע לבחון את הנתיב הזה.
האיום השני הוא אנשים בקרבתכם: עמית לעבודה, שותף לדירה או מי ששואל את הטלפון ״רק לרגע״. האיום השלישי הוא חשבון הכניסה; אם נכנסים באמצעות דוא״ל וחשבון הדוא״ל מוגן בצורה חלשה, כל השרשרת נפתחת דרך החוליה החלשה ביותר. הצפנה חזקה יותר אינה פותרת אף אחת מהבעיות האלה.
הגנה על שיחות מפני האקרים: אילו תקיפות מתרחשות בפועל?
התשובה הקצרה: תקיפות נפוצות על שיחות אינן שבירה של המתמטיקה שמאחורי ההצפנה; הן דיוג, נוזקות, גניבת קוד כניסה ותקיפת המכשיר עצמו. בפועל, התוקף מחפש את המפתח במקום לשבור את המנעול.
לכן התנהלות בעת הכניסה לחשבון חשובה לא פחות מאורך המפתח. Livara משתמשת ב־SRP לאימות — הוכחת ידיעת הסיסמה באפס ידיעה: המכשיר שלכם מוכיח שהוא יודע את הסיסמה בלי לשלוח את הסיסמה עצמה ברשת. התוצאה המעשית היא שתיעוד תעבורת הכניסה אינו חושף את הסיסמה. יש לציין במפורש גם את המגבלה: SRP אינו מונע עמוד מזויף שהמשתמש מקליד בו בעצמו את הסיסמה; שם הסוגיה כבר אינה מתמטית אלא קשורה לתשומת הלב של המשתמש.
משטח התקיפה השני הוא האפליקציה עצמה. קובץ APK ששונה בזדון יכול לעקוף את מנגנוני ההצפנה של האפליקציה. Livara מפרסמת סכום ביקורת SHA-256 לכל גרסה, כדי שתוכלו להשוות את הקובץ שהורדתם לערך ייחוס ממקור מהימן; מעבדת ההוכחות מבצעת את הבדיקה בדפדפן. אם ברצונכם לדעת מה צריך לשאול על כל אפליקציית מסרים אחרת, רשימת השאלות לפני בחירת אפליקציית מסרים מאובטחת היא נקודת פתיחה טובה.
מה הצפנה מקצה לקצה מכסה, ומה לא?
התשובה הקצרה: הצפנה מקצה לקצה מגינה על תוכן ההודעה מהמכשיר שלכם ועד מכשיר הנמען, כך שהשרת רואה רק נתונים מוצפנים. אבל משם התכונה אי אפשר להסיק מסקנות לגבי כל המטא־נתונים, הגיבויים, צילומי המסך או הערוצים הציבוריים; כל אחד מהם דורש בקרות נפרדות.
כשבוחנים מוצר מסוים, קראו את טבלת הכיסוי של התכונות במקום להסיק מסקנות משם האלגוריתם. עמוד האבטחה של Livara ומודל האיומים שלה מסבירים על שיחות, ערוצים, שיחות קוליות, מטא־נתונים ושחזור. אלה טענות שהיצרן פרסם, והן אינן תחליף לבדיקה עצמאית. בדקו במיוחד ובנפרד את מצב הקלטת השיחות ואת ההבדל בין שחזור זהות לשחזור היסטוריית השיחות.
מה המטא־נתונים חושפים גם כשהטקסט מוצפן?
התשובה הקצרה: מטא־נתונים מגלים מי דיבר עם מי, מתי ובאיזה נפח נתונים — והצפנת הטקסט אינה מעלימה את המידע הזה.
ב־Livara נשמרים מטא־נתוני הניתוב הרגילים (שולח, יעד וזמן מסירה) לצורך סנכרון רציף בין המכשירים. זו מגבלה מפורשת, לא פרט שאפשר להתעלם ממנו. גם בלי לקרוא את הטקסט, תרשים ״מי עם מי״ עשוי להיות רגיש: רופא ומטופל, עורך דין ולקוח או שני צדדים למשא ומתן עסקי. הסבר מפורט יותר מופיע במאמר מה חושפים מטא־נתונים של הודעות.
אם מודל האיומים שלכם כולל ״מישהו שרואה את דפוס התקשורת שלי״, שום אפליקציית מסרים עם הצפנה מקצה לקצה אינה נותנת לבדה מענה לחלק הזה; צריך לחשוב גם עם מי אתם מדברים ומאיפה.
כתבו את מודל האיומים שלכם בחמש דקות
התשובה הקצרה: ענו על ארבע שאלות — ממי אני חושש, מה הוא רוצה, מה היכולות שלו ומה יקרה אם ההודעה תיחשף — ורק אז בחרו את הצעד היעיל בעל העלות הנמוכה ביותר, ולא להפך.
- מי גורם האיום? ציינו במפורש: עמית לעבודה, בן או בת זוג לשעבר, גנב, חברה, מדינה.
- על מה כדאי להגן? טקסט השיחה, קבצים או עצם דפוס התקשורת.
- מה היכולות של אותו גורם? גישה פיזית לטלפון? גישה לחשבון? משאבים נרחבים?
- מה יקרה אם המידע ייחשף? פגיעה במוניטין, בעבודה, בביטחון הפיזי או רק מבוכה.
- לפי התשובות האלה, בחרו את הצעד היעיל בעל העלות הנמוכה ביותר.
אם האיום הוא גורם הצופה באותה רשת Wi-Fi, חשובים חיבור TLS תקף והצפנה מקצה לקצה עם אימות זהות; כשמדובר בגישה פיזית, לנעילת המכשיר יש עדיפות אחרת. המדריך כיצד לאמת שיחה בעזרת מספרי אבטחה מראה איך עושים זאת. ואם ברצונכם לדעת מי רואה מה באפליקציית מסרים מסוימת, מודל האיומים שפרסמה Livara מסביר זאת בלי סיסמאות שיווקיות.
דוגמה קצרה למודל איומים
״קובצי העבודה בטלפון שלי רגישים. הסיכון העיקרי כרגע הוא גישה של עמית לטלפון הפתוח ולעותקים שנשמרו בגלריה. השבוע אקצר את משך הזמן עד לנעילה אוטומטית, אגביל את התצוגה המקדימה של התראות ואבדוק את תיקיות הגיבוי. אחר כך אבחן את התוצאה בעזרת קובץ ניסוי.״
זו רק דוגמה; אם אדם שמנסה לשלוט בכם יכול לגשת למכשיר שלכם, שינוי פתאומי בהגדרות עלול למשוך את תשומת לבו. השתמשו במכשיר בטוח ובעזרה של אדם מהימן לצורך התכנון, והעמידו את הביטחון הפיזי שלכם בראש סדר העדיפויות.
שאלות נפוצות
איך מגדירים ״מודל איומים״ במשפט אחד?
המשמעות היא להבהיר על מה אתם רוצים להגן, מפני מי ובאיזה מאמץ. המשפט הזה קובע איזו תכונת אבטחה מצדיקה את העלות ואיזו רק מוסיפה מורכבות.
אם יש לי הצפנה מקצה לקצה, האם עדיין צריך לחשוש מהאקרים?
כן, אבל לא בהכרח כפי שאתם חושבים: במקום לשבור את המנעול, התוקף פונה למכשיר, לדיוג ולקוד הכניסה. לכן השאלות הנכונות הן: האם הטלפון שלי נעול, האם הגיבוי בענן מוצפן והאם חשבון הדוא״ל שלי מוגן?
האם גם ערוצים ציבוריים מוצפנים מקצה לקצה?
לא; ערוץ הוא מרחב הפצה ציבורי שניתן לקרוא בו את התוכן, כדי לאפשר בדיקת דיווחים והסרת תוכן פוגעני. לפי התיעוד של Livara, שיחות ישירות וקבוצות פרטיות תואמות שמצב E2EE בהן פעיל מוצפנות מקצה לקצה; קבוצה ישנה שאינה תואמת עשויה להישאר מחוץ ל־E2EE, תוך הצגה גלויה של המצב הזה. בדקו את המצב של השיחה המסוימת. השליטה בחברות בקבוצה נשארת גם היא בידי השרת.
איך אדע שגרסת Android שהתקנתי לא שונתה?
השוו את ערך הגיבוב של קובץ ה־APK שהורדתם לסכום הביקורת של אותה גרסה ממקור מהימן; מעבדת ההוכחות נועדה לבדוק את הקובץ בדפדפן. התאמה בין ערכי הגיבוב מעידה רק על זהות לערך הייחוס; אם תוקף החליף גם את הקובץ וגם את ערך הייחוס, ההתאמה אינה מספיקה. APK ששונה בזדון יכול לעקוף את ההצפנה, ולכן בדיקת שלמות האפליקציה חשובה לא פחות מההצפנה עצמה.
