הסמארטפונים מקלים עלינו בביצוע פעולות מהפשוטות ועד המסובכות יותר של חיינו ביום-יום במגוון רב של דרכים. יחד עם הקלות שבשימוש בסמארטפונים והחשיפה דרכם לשפע רב של מידע, מגיעה גם החשיפה לגורמים המנסים לנצל את החולשות בצד האבטחה בסמארטפונים.
המכשירים הניידים מוצגים כמאובטחים למדי כאשר חנויות האפליקציות כמו גם מערכות ההפעלה עצמן מנוהלות ע”י החברות הגדולות במשק, ביניהן אפל, גוגל ומיקרוסופט. תחושת ביטחון זו עשויה לגרום למשתמשים לשכוח מנהלי הזהירות הבסיסיים בזמן השימוש בסמארטפונים, ועל סמך זאת ינסו גורמים מסויימים לנסות ולדלות מידע רגיש מהטלפונים של עובדי ארגונים כמו גם מאלו של אנשים פרטיים.
הבעיה מתחילה עם המשתמשים
בכנס הסטארטאפים Geektime Convention שהתרחש בתחילת השבוע בת”א, עלה לבמה יאיר עמית, מייסד חברת Skycure, המספקת לארגונים שירותי אבטחה מפני פריצה לטלפונים חכמים, והדגים בפשטות איך הוא מבצע השתלטות על מכשיר סמארטפון. ההדגמה נעשתה על מכשיר האייפון, אחד המכשירים הבטוחים ביותר לשימוש כיום, אולם כל חורי האבטחה עליהם כבר דיווחנו בעבר מחווירים לצד הבאג הגדול ביותר במכשיר – המשתמשים.
למרות שלא כולן מפגינות את אותה רמת קפדנות, אפל, כמו גם גוגל ואחרות שברשותן חנויות מקוונות, דואגות למשתמשיהן ובודקות את האפליקציות המגיעות לחנות לפני הורדה. בדיקות אלה מאפשרות לנו המשתמשים להוריד אפליקציות למכשירים שלנו מבלי לחשוש לצד האבטחה, אולם אפליקציות מסויימות יכולות לקבל פריווילגיות רבות יותר מאחרות ע”י התקנת פרופילי משתמש על-גבי המכשיר. אין שום דבר רע בהתקנת פרופילי משתמש וחלקכם ודאי שם לב לפרופילים שכאלה מותקנים ע”י ספקיות הסלולר וחברות גדולות ומוכרות אחרות.
הבעיה מתחילה כאשר גורמים זדוניים הם אלו אשר מבקשים מהמשתמשים להתקין פרופיל משתמש. משתמש ממוצע שירצה לצפות בסדרה, סרט או משחק כדורגל בשידור ישיר על-ידי הזרמת וידאו בסמארטפון, לא ימהר לחשוב ויתקין פרופיל שכזה, דרכו יוכלו הגורמים הזדוניים לדלות מידע רב ואף להשתלט על מכשירו הנייד.
שלב ההדגמה
במהלך פסטיבל החדשנות DLD ת”א פגשתי את עדי שהרבני, מנכ”ל ומייסדה השני של חברת Skycure, להדגמה קצרה של יכולותיה של החברה בכל הנוגע להגנה על מכשירי סמארטפון. כחלק מההדגמה נידבתי את מכשיר האייפון שלי, עליו התקין שהרבני פרופיל משתמש זדוני. מאותו רגע שהותקן הפרופיל, המכשיר כבר לא היה ברשותי. באמצעות מחשב נייד או אפילו סמארטפון אחר, יכול היה התוקף להפעיל אפליקציות במכשיר, לצפות בכל הקלדה, בתיבת המייל ואף לקבל גישה מלאה לכל חשבון מייל, פייסבוק וחשבונות נוספים המוגדרים על המכשיר האישי.
הדגמה זו המחישה רק סוג התקפה אחד מיני רבים והיא אחת מהנפוצות והפשוטות יותר הקיימות כיום לשם התקפת מכשירים ניידים. מאחר ותקיפה זו מתרחשת על-ידי איסוף נתונים בצד התוקף, אין לאפל, גוגל או כל חברה אחרת אפשרות להגן על המשתמשים מאחר וזו אינה יודעת שהמידע המוצפן היוצא מהמכשיר נפתח לצפיה ושימוש בצד התוקף.
Skycure to the rescue
היום (ה’) השיקה Skycure את הפתרון שלה לארגונים, באמצעותו היא יכולה לספק הגנה על מכשירי האייפון והאייפד מפני מתקפות. ההגנה תתבצע על-ידי ניטור פעילות הרשת במכשיר הנייד, זיהוי פעילות חשודה וניתוב מחדש לשם מניעת זליגת המידע החוצה מהארגון. הפתרון של Skycure מאפשר מעקב שוטף אחר פעילות חשודה מבלי לשנות את הדרך בה משתמשים במכשירים הניידים.
פתרון החברה מציע פעולה אקטיבית כנגד מתקפות באמצעות מנגנון מלכודת הדבש (Active Honeypot). כאשר תזהה Skycure מתקפה על המכשיר, יופעל המנגנון וינסה לפתות את התוקף לתקוף את האפליקציה של Skycure ודרך כך למנוע גישה למידע של המשתמש.
כלי נוסף בו משתמשת Skycure לצורך זיהוי טוב יותר של מתקפות הוא חוכמת ההמונים. מנכ”ל ומייסד Skycure, עדי שהרבני, הסביר בזמן ראיון לגאדג’טי כי כל מתקפה מספקת מידע המשמש את החברה למניעה של מתקפות דומות בעתיד. אם לדוגמא משתמש אדם ברשת אלחוטית ציבורית ו-Skycure זיהתה מתקפה מזן חדש על אותו אדם, הרי שהמידע על המתקפה יוכל לעזור לאדם הבא שיבקש את שירותיה של Skycure, טרם יותקף גם הוא.
אחת מזליגות המידע הגדולות שהצליח צוות Skycure לזהות הייתה זו של הרשת החברתית העסקית LinkedIN. ב-Skycure חשפו כי LinkedIN אספה מידע על משתמשים באפליקציה שלה דרך לוח השנה מבלי ידיעתם. המידע כלל את כלל פרטי הפגישה, שמות המשתתפים וכתובות המייל שלהם וכל מידע אחר שניתן היה למשוך מאפליקציית לוח השנה על-גבי מכשירי האייפון. מידע זה, עשה דרכו הישר לשרתיה של LinkedIN.
Skycure הוקמה בשנת 2012 על-ידי עדי שהרבני ויאיר עמית, שניהם בעלי נסיון עשיר בתחום האבטחה המלווים זה את זה עוד מאז ימי הצבא. טרם הקימו את Skycure עבדו השניים יחד בחברת Watchfire וב-IBM שם ניהלו את צוות ה-IT בתחום מחקר אבטחה. כיום מונה Skycure צוות של 10 עובדים, להם רקע עשיר מעבודה בתחום האבטחה בחברות כמו גוגל, צ’ק פוינט ואיביי. החברה גייסה עד כה 3 מיליון דולר מקרן ההון סיכון פיטנגו.
