צימוד הוא השלב שבו מוניטור תינוקות מחליט לאיזה מכשיר לתת אמון. השלב הזה חשוב יותר מכפי שמסך ההגדרה מרמז בדרך כלל. קוד קצר מקל על ההתחלה, אבל הוא לא מחליף החלפת מפתחות או אישור בשני המכשירים.
תהליך האבטחה
כך אמור להיראות צימוד מאובטח
יצירת נקודת מפגש
קוד קצר או קישור מביאים תחילה את שני המכשירים לאותו מקום.
החלפת חומר קריפטוגרפי אמיתי ליצירת מפתחות
אחר כך המכשירים צריכים לבצע החלפה קריפטוגרפית; הקוד הגלוי אינו מספיק.
השוואה בין מה ששני הצדדים רואים
שני הצדדים צריכים להיות מסוגלים לוודא שהם רואים את אותו מפגש ואת אותו מכשיר בצד השני.
רק אז נותנים אמון במפגש
רק אז החיבור מוגן מפני צימוד שגוי וברור לעין, באופן שהורים יכולים להבין.
למה קוד קצר עלול לתת להורים תחושת ביטחון שגויה
לקודים קצרים יש מקום: הם מהירים להקלדה, קלים להקראה, ומתאימים לחיי המשפחה הרגילים. הבעיה מתחילה כשהקוד נתפס כמנגנון האבטחה כולו. לעיתים קרובות הוא רק נקודת מפגש. בלי החלפת מפתחות או השוואה בין שני המכשירים, יותר מדי אמון נשאר מוסתר במסך ההגדרה.
במוניטור תינוקות זו אינה שאלה מופשטת בקריפטוגרפיה. המטרה היא לוודא שמכשיר לא נכון לא יצומד בטעות, שתהליך צימוד אחר לא ישתרבב בלי שיבחינו בכך ושההורים יוכלו לראות איך נראה צימוד תקין. אבטחה טובה מאפשרת לבדוק את הרגע הזה.
דפוס חלש
מזינים קוד קצר אחד, וזהו — בלי אישור נוסף. נוח לשימוש, אבל קשה לבדוק אותו מנקודת המבט של ההורים.
דפוס טוב יותר
הקוד משמש תחילה כנקודת מפגש, ואז מתבצעות החלפת מפתחות אמיתית ואימות גלוי בשני המכשירים.
דפוס חזק
זהות מכשיר ברורה, השוואה באמצעות מספר אבטחה או בסגנון SAS, ותלות מועטה בנתוני חשבון הנשמרים לאורך זמן.
איך נראה צימוד טוב מבחינת הורה
צימוד טוב מציג יותר מ״מחובר״. הוא הופך את התהליך לגלוי: השוואת אבטחה, אישור בשני המכשירים וטקסט ברור שמסביר למה צריך מספר, קוד או אישור. כך אבטחה טכנית הופכת לשימושית בחיי היומיום.
ככל שהלוגיקה של הצימוד פחות גלויה, כך ההורים צריכים לבדוק מקרוב יותר. הגדרה חלקה מאוד יכולה להרגיש נוחה, אבל היא משאירה מעט מקום לבדוק את הרגע הקריטי. מוצרים עם גישה מרחוק וחיבור לאינטרנט צריכים להסביר במיוחד היטב איך הם מונעים צימוד שגוי.
סימנים לכך שהצימוד עשוי להיות חלש מדי
ייתכן שפשוט חסר שלב אבטחה חשוב.
המוצר אינו מציג את זהות המכשיר בצורה ברורה מספיק.
קשה לוודא שהצימוד הוא אכן הצימוד שהתכוונו אליו.
צימוד ופרטיות הולכים יחד
צימוד מאובטח מגן מפני מכשיר שגוי בצד השני וגם מסייע לצמצם את איסוף הנתונים. אם אפליקציה מאבטחת היטב מפגשים ואת המכשיר השני, היא זקוקה לפחות חשבונות קבועים, כתובות אימייל או מערכות כבדות לניהול משתמשים. מערכות שבנויות היטב יכולות לעיתים לפעול עם פחות מידע אישי.
בדיוק משום כך עמודי ארכיטקטורה מועילים. הם מראים אם הספק מתייחס לצימוד כאל בעיית אבטחה אמיתית, או רק כאל שלב בהגדרה הראשונית שחייב להתנהל ללא חיכוך בכל מחיר.
שאלות שכדאי לשאול על צימוד
- האם הקוד הגלוי נועד רק לנוחות, או שהוא עושה את כל עבודת האבטחה?
- האם שני המכשירים מאשרים את אותו מפגש בצורה גלויה?
- האם הורים יכולים להבין איך המוצר מונע צימוד עם מכשיר שגוי?
- האם המערכת זקוקה לנתוני חשבון ארוכי טווח רק כדי לצמד שני מכשירים?
- אחרי הצימוד, האם עדיין ברור לאיזה מכשיר שייך המפגש?
שאלות נפוצות
האם קוד צימוד קצר מאובטח בפני עצמו?
הקוד הקצר אמור רק לעזור לשני מכשירים למצוא זה את זה. לאחר מכן על המכשירים ליצור את המפתחות הקריפטוגרפיים האמיתיים בלי לשלוח אותם לשרת.
למה שני המכשירים מציגים מספר אימות?
מספרי אימות תואמים עוזרים לחשוף התערבות שלא זוהתה במהלך החלפת המפתחות. אם המספרים שונים, עצרו והתחילו מחדש את תהליך הצימוד.
האם צריך לצמד שוב לאחר התקנה מחדש?
זה תלוי בשאלה אם מפתח המכשיר המאובטח נשמר. לאחר התקנה מחדש או החלפת מכשיר, צימוד חדש הוא בדרך כלל הגישה הבטוחה והברורה ביותר.
מקורות וקריאה נוספת
- האבטחה והארכיטקטורה של Babyphone Timmy · Babyphone Timmy
- אימות אנונימי באמצעות Firebase · תיעוד Firebase
- תחילת העבודה עם WebRTC · WebRTC
- WebRTC API · MDN Web Docs
- OWASP לאינטרנט של הדברים · קרן OWASP
- מכשירים חכמים: שימוש בטוח בהם בבית · המרכז הלאומי לאבטחת סייבר (בריטניה)
- *פרטיות לא כלולה – מדריך קנייה למוצרים מחוברים · קרן Mozilla
- דרישות מדיניות למשפחות · עזרה של Google Play