כן ולא...

קודם כל, אם מרגילים משתמשים להתקין תוכנות אך ורק מתוך מנהל החבילות שלהם, הבעייה מצטמצמת.

שנית, כדי לתקוף את כל משתמשי הקצה, התוקף יצטרך:
1) לשלוח כמה סוגי מכתבי התחזות, לפי הפצות.
2) לארוז את הקוד הזדוני בכמה פורמטים שונים: RPM, DEB וכו'.

די הרבה עבודה, וקל מאוד לפספס (לשלוח הודעה שמיועדת למשתמש אובונטו למשתמש רד האט), כך שמהבחינה הזו, להטרוגניות של סביבות לינוקס יש יתרון.

ותאמיני שמייל מחופש טוב טוב לרדהאט האמיתית יכול יופי לגרום נזק, מתוך 1000 משתמשים נניח, לא יפלו בפח 20 ?
ואם ה"קוד" הזדוני חכם, הרי שלא יקרה כלום בחודש הראשון נניח, ורק אח"כ יתחיל לעבוד היצור מהעולם החיצון, ואז מה יקרה ??? הרי הבנאדם שהתקין את התוכנה מלפני חודש כבר שכח מזמן מה הוא שתה אתמול!

בקיצור זה המתכון הבטוח לדפוק כל איש שיושב מול מחשב ואין לו נסיון יותר מידי.

נו? הנדסה חברתית (social engineering) זה אחד הדברים שהכי קשה להגן בפניהם, והגנה מפני הנדסה חברתית באמצעים טכנולוגיים לא מאוד יעילה. זה לא חדש.

השאלה היא כפולה:
* כמה קל להשתמש בהנדסה חברתית על משתמשים של מערכת מסויימת?
* כמה מוגנת המערכת כברירת מחדל מסיטואציות של הרצת קוד זדוני, ללא הנדסה חברתית?

אף אחד לא טוען שלינוקס מושלמת, במיוחד כשזה מגיע להנדסה חברתית (וסה"כ, phishing כמעט תמיד מבוסס הנדסה חברתית). הטענה היא שיותר קשה לנצל לרעה את לינוקס, בגלל המבנה שלה.

והפתרון הטוב ביותר להנדסה חברתית, על כל מערכת, היא השכלת המשתמשים. וכאן בדיוק יש לנו הזדמנות פז ללמד את העוברים ללינוקס לא רק את השימוש בלינוקס עצמה, אלא גם כמה כללי זהב שיצמצמו אפשרויות הנדסה חברתית.

אולי על משתמשי פדורה זה יעבוד, אבל רד האט ה"אמיתית" היא מערכת שמנה שמיועדת בעיקר לעסקים, ובניגוד לסוזה, הם יותר מתעסקים בענייני שרתים ופחות בענייני דסקטופ.

המשתמשים שאין להם מושג חוץ מקליק הם גם אותם משתמשים שלא ממש ישלמו לרד האט את הבוחטות אלא יורידו מנדרייק או פדורה.

אני משתמש לינוקס שעובד אם לינוקס[הפצה] גרפי, אתה לא?
מה שקורה כאן, שיש אנשים שמנסים להרוס, בכל מקום למעט גן עדן תיראה כאלה, היו כאלה שיפלו והיו כאלה שלא.
הפראיירים לא מתים, הם רק מיתחלפים.

טיפשות מגיעה לכל מקום, אין מנוס

לא טפשות, אלא יותר נאיביות/בורות.

לכן חשוב כ"כ ללמד משתמשים חדשים כללי זהירות בעבודה על מחשב, כגון לא לתת את הסיסמא לאף אחד ולא משנה מי מבקש אותה(ולא, הבנק לא ישלח דואר שמבקש את הפרטים), להשתמש תמיד במנהל החבילות להורדת והתקנת תוכנות (רצוי עם אפשרות ווידוא החתימה מופעלת), לגבות את המידע האישי בצורה סדירה וכו'.

לטעמי, אחד מסוגי האחריות שלנו בתור משתמשים וותיקים שמדריכים משתמשים חדשים, הוא להסביר גם על האפקטים הללו של עבודה מול המחשב. כך יהיה אפשר לצמצם מאוד את הפגיעות של המשתמשים.

אין אדם או חברה שחסינים בפני קבוצה של פורצים או מזיקים - זו צריכה להיות הנחת המוצא.
צודקת חרות שיש ל Red Hat מנגנונים כדי להגן בפני מקרים שכאלו וקשה להאמין שמשתמשים שמכירים את המערכת נפלו בפח. יותר מכך Red Hat מחייבים (!!!) את המשתמשים שלהם ברישום ל RHN על מנת שהרישיון יהיה בר תוקף בדיוק מהסיבות הללו ועל מנת שיעבדו עם מערכת העידכונים.

ביחד עם זאת צריך להבין שגם אם ניקח את המשתמש הכי מתוחכם שיש עדיין אפשר בעזרת "הנדסה חברתית" לגרום לו לעשות טעויות - אין מישהו שחסין בפני זה.
כמו שמישהו אמר לפני "תנו מנוף מספיק ארוך ומקום לעמוד בו ואזיז את כדור הארץ" על אותו משקל אפשר לומר "תנו לי מספיק תקציב או מספיק שרתים ומספיק זמן - ואין מי שלא ייפול בכך" - הכל שאלה של השקעה.
יכול להיות שמשתמש מתוחכם לא יאמין למכתב שכזה וירצה לבדוק האם ה"חתימה" של RH היא אמיתית, הוא הרי ייגש לאתר אינטרנט שלהם כדי לבדוק .. לא ?
אז עם מספיק זמן וכסף אפשר להעמיד אתר ראי לאתר שלהם ולהחליף מפתחות (מצריך כמובן גם מניפולציה של ה DNS ) .. בכל מקרה אין כמובן גבול לדמיון וככל שיעבור הזמן הנסיונות הללו יהיו יותר ויותר מתוחכמים - לנו לא נותר אלא להשתמש בכמה שיותר מנגנוני עיכוב, עקיבה, ואימות כדי להמשיך ולעבוד עם מידע אמין.

דורון אופק