במהלך אירוע של איגוד התעשיינים הלאומי בניו יורק בשנת 1961, אמר נשיא ארה"ב לשעבר ג'ון פ. קנדי כי "עלינו להשתמש בזמן ככלי, לא כמצע". חמישים שנה מאוחר יותר, והאקר אחד הוכיח בדיוק איך לעשות את זה: על ידי פריצת זמן.
אז מה זה בכלל זמן?
מה השעה? לא קל לענות בתשובה מוחלטת על השאלה הזו. פשוט לכו וחפשו הגדרה, ותבינו למה אני מתכוון. עם זאת, מנקודת המבט הטכנולוגית הרחבה יותר, הזמן תלוי באופן שבו אנו מודדים אותו: זה מה שהמדידות הללו אומרות לנו. אז מה אם המדידות הללו, אפילו אלה ממקורות השעונים האטומיים המדויקים ביותר ברחבי כדור הארץ, ניתנות למניפולציה?
ברוכים הבאים לעולם שבו ניתן לפרוץ לזמן ולעולמו של אדם לורי, האקר החומרה המוביל עם צוות הפריצה הוותיק IBM X-Force Red. כדאי לזכור בשלב זה שהאקינג אינו נחשב פשע, והסיפור הזה משמש היטב להמחשת העובדה.
הפצת הזמן, מניפולציה של זמן
בהקדמה למצגת המרכזית שלו ב-Black Hat Europe (כנס אבטחת מידע) לורי מסביר כי מה שהוא מדבר עליו הוא כיצד מובטחת חלוקת הקונצנזוס של מה שאנו מחשיבים כזמן הנוכחי. כלומר, הזמן כפי שנמדד על ידי אותם שעונים אטומיים ומופץ ברחבי האינטרנט. "האם יום 0 שמשטה את הזמן הוא עדיין יום 0 או שהוא נעלם בפרדוקס משלו?" לורי הרהר.
זה נשמע מצחיק אבל יש צד קודר לכל זה: כל דבר, החל מעסקאות פיננסיות ובלוקצ'יין ועד לניווט, תחבורה ופרוטוקולי התקשורת שבהם אנו משתמשים מדי יום מסתמכים על אות הזמן המבוזר הזה שמסונכרן כראוי. דו"ח אחד שאליו התייחס לורי במצגת שלו קבע שאם פעם אחת הסנכרון ייכשל, זה ישפיע על הכלכלה בהיקף של יותר ממיליארד דולר ביום.
לורי הסביר בבלוג Security Intelligence של IBM כיצד חלונות זמן מוטים יגרמו לשידורים להיתקל זה בזה ולשבש את המערכת. "הזמן הוא במרכז הפעילויות הכי חשובות שלנו", אמר, "ולכן חשבתי שיהיה מעניין לראות כיצד האקר יכול לתמרן את הזמן".
כך פורץ האקר לזמן
מכיוון שיש להפיץ את המדידה המדויקת של הזמן מהשעונים האטומיים השונים למערכות המשתמשות בה כדי לתפקד כהלכה, לורי הסתכל על ערוצי השידור המשמשים להפצת הזמן. אלה כוללים את פרוטוקול זמן הרשת (NTP), אותות GPS ותדר רדיו. המערכת שמקבלת את השידורים הללו מסנכרנת את הזמן באמצעותם, ואם אחד מהם מופיע לא מסונכרן, היא מסתמכת על הקונצנזוס של האחרים. זה המקום שבו הדברים נעשים מעניינים, ולמען האמת, מדאיגים. אותות הזמן האלה הם מה שלורי מכנה "אמצעי שידור חד-כיווני" שאינו מאומת. אז מה אם האקר היה מזייף אותם?.
באמצעות שימוש במכשיר איתות זמן שבנה בעצמו, וקצת מזכיר את איוריו של הית' רובינסון, הכולל מחשב לוח מסוג Raspberry Pi, אנטנת זיהוי תדר רדיו (RFID) וכמה תוכנות קוד פתוח, לורי הצליח לעשות בדיוק את זה. על ידי ביטול אות סנכרון השעון בתדר נמוך, הוא הצליח לאפס את הזמן לכל שעה שרצה.
זו הייתה פריצה של אותות זמן באמצעות שיטה אחת בלבד של שידור בתדר רדיו. עם זאת, הוא דיבר גם על השבריריות של GPS בהקשר זה. הנקודה הכללית היא שפרוטוקולי הזמן עליהם אנו מסתמכים הם מיושנים ולא מאובטחים. דברים צריכים להשתנות. תקן Request For Comments (RFC) בשם Network Time Security (NTS) המוסיף אבטחה קריפטוגרפית לתהליך בצד הלקוח פורסם לפני שנה. החדשות הפחות טובות הן שבדרך כלל לוקח הרבה זמן עד שה-RFC מוסכמים ומתקבלים כסטנדרט אינטרנט.
טיפול בבעיית הפריצה לזמן
צריך לקוות שהעניינים והסוגיות סביב הזמן יקודמו וישתנו בעקבות המצגת של לורי, ושהדחיפות של הנושא תשפיע ותדחף לטיפול מהיר בבעיית הפריצה לזמן. אבל אני מניח שנצטרך לחכות ולראות. דבר אחד בטוח, האקרים אתיים כמו לורי הם אלה שמניעים את המודעות לנושא הזה קדימה, עכשיו זה רק צריך שאדוני הזמן בחברת האינטרנט יקשרו את כל הקצוות הרופפים.
