פרט קטן בתמונה של סגן נשיא ארה"ב הדליק נורות אדומות אצל מומחי סייבר

מה שנראה בתחילה כמו עוד תמונה שגרתית מפגישה מדינית רבת משתתפים, הפך בתוך שעות לנושא שמסקרן חוקרי אבטחת מידע, חובבי טכנולוגיה וגולשים ברשתות החברתיות. בתמונה שפורסמה ב-X על ידי ראש ממשלת קטאר, השייח' מוחמד בן עבד א-רחמן א-ת'אני, נראים סגן נשיא ארצות הברית ג'יי די ואנס, ג'ארד קושנר וראש ממשלת קטאר כשהם מביטים יחד במסך מחשב נייד במהלך שיחות שנערכו בשווייץ.

אלא שהעניין לא היה בפגישה עצמה, אלא בפרט קטן שנחשף כאשר גולשים הגדילו את התמונה. בצדו של המחשב הנייד שבו השתמש ואנס נראה כרטיס פלסטיק המחובר לקורא כרטיסים ייעודי.

הכרטיס זוהה במהירות כ-CAC - ראשי תיבות של Common Access Card. מדובר בכרטיס חכם המשמש אנשי צבא, ביטחון ועובדי מערכת ההגנה האמריקאית לצורך הזדהות וגישה לרשתות ולמערכות מחשוב מאובטחות. בניגוד לכרטיס עובד רגיל, כרטיס כזה נועד לשמש שכבת אבטחה נוספת ומאפשר גישה למידע ולמערכות הדורשות הרשאות מיוחדות.

אבל הכרטיס עצמו הוא רק חלק מהסיפור. לפי טענות שעלו ברשת, הכרטיס שמופיע בתמונה אינו שייך לוואנס עצמו. על גבי הכרטיס ניתן להבחין לכאורה בתמונת זיהוי של אישה אחרת, מה שהוביל לדיון ער סביב השאלה למי הוא שייך ומדוע הוא נמצא בשימוש.

אלא שמבחינת אנשי אבטחת מידע, השאלה המעניינת יותר היא בכלל לא זהות בעלת הכרטיס. מבחינתם, עצם העובדה שכרטיס CAC מחובר למחשב מרמזת שהמכשיר נמצא בשימוש שדורש הזדהות מול מערכות מאובטחות. במילים אחרות, בדרך כלל לא משתמשים בכרטיס כזה כדי לפתוח דפדפן, להציג מסמך רגיל או לצפות בסרטונים ברשת.

וכאן בדיוק מתחילה אי-הנוחות. בזמן שהכרטיס מחובר למחשב, לא רק שאדם אחר מביט מעבר לכתפו של המשתמש, אלא גם ראש ממשלת קטאר עומד בסמוך למסך וצופה במתרחש. כמובן שאין שום דרך לדעת מה בדיוק הוצג על הצג באותו רגע, ואין ראיה לכך שנחשף מידע מסווג או רגיש. ייתכן בהחלט שמדובר בפעילות שגרתית לחלוטין. אבל מבחינת מומחי סייבר, זו בדיוק הנקודה: אם מדובר במידע לא רגיש, מדוע בכלל נדרש כרטיס CAC? ואם הכרטיס משמש לצורך גישה למערכת מאובטחת, האם נכון לבצע זאת כאשר אנשים נוספים - ובהם מנהיג זר - יכולים לצפות במסך?

הדיון סביב התמונה קיבל ממד נוסף בשל העובדה שמדובר בממשל שכבר ספג בעבר ביקורת על התנהלותו בתחום התקשורת המאובטחת. לכן, עבור רבים בקהילת אבטחת המידע, התמונה אינה בהכרח עדות למחדל או לדליפת מידע, אלא תזכורת לכך שגם בעולם שבו מושקעים מיליארדים בהגנה על מערכות מחשב, לפעמים דווקא ההתנהגות האנושית והקפדה על נהלים הן אלו שמושכות את תשומת הלב.