מיקרוסופט מודה: החוקרים הישראלים צדקו - קיימת בעיית הצפנה בחלונות XP

דני ימין, מנכ"ל מיקרוסופט ישראל | צלם: עופר וקנין

החברה מבטיחה לשחרר תיקון לבעיה במסגרת XP SP3 וטוענת כי היא אינה קיימת בחלונות ויסטה

22.11.07 | 13:09  IDG
Security | Israeli Hi-Tech and Startups

חלונות XP, מערכת ההפעלה הפופולרית ביותר של מיקרוסופט, סובלת מאותה בעיית הצפנה אותה חשפו לאחרונה חוקרים ישראליים בחלונות 2000, כך דיווחו ביום שלישי גורמים רשמיים בחברה.

החוקרים, ד"ר בני פנקס מאוניברסיטת חיפה ותלמידי המחקר צבי גוטרמן ולאו דורנדורף מהאוניברסיטה העברית, הצליחו לשחזר את האלגוריתם שמחולל מספרים אקראיים (pseudo-random number generator או בקיצור PRNG) בחלונות 2000, ואז עשו בו שימוש על מנת לפצח את מנגנון ההצפנה של מערכת ההפעלה. לדברי פנקס ועמיתיו, האקרים יכולים לנצל את החולשה ב-PRNG על מנת לחזות מה יהיו מפתחות ההצפנה העתידיים של המערכת, וכן לגלות אילו מפתחות היא יצרה בעבר.

עד ליום שישי האחרון התחמקה מיקרוסופט מלענות לשאלות האם XP או ויסטה עלולות גם הן להיות חשופות לאותו סוג של מתקפה, ואמרה רק שהגרסאות המאוחרות יותר של חלונות מכילות מספר שינויים ושיפורים במחולל המספרים האקראיים. אתמול עם זאת, הסכימה החברה לענות על שאלות בנושא, ואישרה שחלונות XP אכן חשופה למתקפה המורכבת אותה חשפו מוקדם יותר החודש פנקס, גוטרמן ודורנדורף.

חלונות ויסטה, Server 2003 וכן Server 2008 (שלא שוחררה עדיין), עושות כולן שימוש במחולל מספרים אקראיים שונה, ולדברי מיקרוסופט הן ככל הנראה מחוסנות מפני מתקפות מסוג זה.

בנוסף מסרה מיקרוסופט שחבילת השירות השלישית לחלונות XP (SP3), העדכון המשמעותי האחרון למערכת ההפעלה הוותיקה, הצפוי במחצית הראשונה של 2008, כולל תיקונים הפותרים את בעיית מחולל המספרים האקראיים.

מיקרוסופט ופנקס ניהלו וויכוח בשאלה האם הבעיה מהווה נקודת תורפה באבטחת המערכת, כאשר מיקרוסופט טוענת שהבאג אינו עונה על הגדרה זו, ואילו פנקס מאמין שמדובר בבעיה חמורה, ולמרות שהיא מחייבת פעולות פריצה מקדימות וסטנדרטיות יותר, היא בהחלט איננה סיכון תיאורתי בלבד.

בהודעתה מיום שלישי, בה הודתה בקיומה של הבעיה ב-PRNG, המשיכה מיקרוסופט להמעיט בחשיבותה, וטענה שהסבירות למתקפה העושה בה שימוש היא נמוכה. "רק אם תוקף כבר חדר למחשב של קורבנו, רק אז ניתן לנסות וליישם מתקפה כזו על חלונות XP", מסרה דוברת החברה.

"זה נכון שעל מנת לנצל את הפגם ב-PRNG, האקר חייב להשיג תחילה הרשאות אדמיניסטרטור על המחשב, אולם זה משהו שמרבית ההאקרים יכולים לעשות בקלות בדרכים סטנדרטיות רבות", מציין פנקס.

כאמור, מיקרוסופט טענה בעבר שחלונות 2000 כלל אינה מכילה נקודת תורפה, זאת מכיוון שהמתקפה המוצעת על ידי פנקס לא יכולה להשיג שום דבר באופן עצמאי. מיקרוסופט ממשיכה להחזיק בעמדה זו גם לגבי XP. "מכיוון שיש צורך בהרשאות אדמיניסטרטור בכדי להוציא את המתקפה אל הפועל, ומכיוון שבהגדרה אדמיניסטרטורים יכולים לגשת לכל הקבצים והמשאבים של המערכת, לא מדובר פה על חשיפה בעייתית של מידע נוסף", מסרה דוברת החברה.

בכל מקרה, טוענת הדוברת, מערכות הפעלה חדשות יותר אינן עומדות בסיכון כלל. "חלונות ויסטה, חלונות Server 2008 וחלונות Server 2003 SP2 אינן חשופות כלל לסוג המתקפה אותה מתאר פנקס", מסרה.

פנקס משבח את החלטתה של מיקרוסופט לתקן את חלונות XP. "אנחנו שמחים לשמוע שמיקרוסופט מכירה בכך שהמתקפה אותה תיארנו היא אכן נושא רציני, וכי היא עומדת לתקן את הבעיה ב-XP SP3".

בעוד מיקרוסופט אומרת שתתקן את רכיב ה-PRNG בחלונות XP, היא עדיין ממלאת פיה מים בכל מה שקשור לתיקון הבעיה בחלונות 2000. מערכת ההפעלה המזדקנת, שעל פי סקר עדכני של חברת פורסטר עדיין מותקנת על 9% מהמחשבים בחברות אמריקניות ואירופאיות, נמצאת בשלבי התמיכה האחרונים שלה. בתקופה זו, שהיא כבר תקופת התמיכה המורחבת, מיקרוסופט התחייבה לספק בחינם אך ורק עדכוני אבטחה.

מכיוון שמיקרוסופט החליטה שבעיית ה-PRNG כלל אינה בעיית אבטחה, אין זה סביר שהחברה תספק עדכון תוכנה מתאים.