20 באפריל 2016. גיבוי שלא היה אמור לחזור לחיים
איפשהו במחלקת הסייבר של ה-CIA, קובץ גיבוי ישן עמד לבטל חודשים שלמים של זהירות.
ג’ושוע שולטה היה מנהל מערכת ברשת הפנימית של ה-CIA לפיתוח כלי סייבר, DevLAN. חודשים לפני התאריך הזה, הסוכנות שללה ממנו הרשאות מנהל, בעקבות חיכוך עם עמיתים בצוות שלו. ב-20 באפריל 2016, כך לפי התביעה, הוא שחזר קובץ גיבוי ישן שהחזיר בשקט את ההרשאות שהסוכנות חשבה שנטלה ממנו, ובאותו חלון זמן, לטענת התביעה, העתיק את ארכיון כלי הפריצה של ה-CIA. אחר כך, לטענת התביעה, הוא עבר על יומני הפעילות בתחנת העבודה שלו ומחק את הרשומות שהיו מראות מה עשה.
אף אחד לא שם לב. לא במשך שנה שלמה.
הארכיון הזה עלה לאוויר כעבור שנה. במרץ 2017 התחילה ויקיליקס לפרסם אותו תחת השם “Vault 7”, מה שמשרד המשפטים האמריקאי כינה מאוחר יותר ההדלפה הגדולה בתולדות ה-CIA, ואחת ההדלפות הגדולות ביותר של מידע מסווג בתולדות ארה”ב.
שולטה הכחיש, בתוקף. ההגנה שלו טענה שדווקא הרשומה הפורנזית משחקת לטובתו: אף התקן חיצוני לא נרשם כמחובר לתחנת העבודה הרלוונטית, וכ-200 אנשים נוספים היו בעלי גישה לאותן מערכות DevLAN. המשפט הראשון, בתחילת 2020, הסתיים בביטול דיון חלקי: חבר המושבעים הרשיע אותו בביזיון בית משפט ובשקר ל-FBI, אך לא הגיע להכרעה בסעיפי הריגול והפריצה המרכזיים. התביעה הפדרלית העמידה אותו למשפט חוזר, וביולי 2022 הרשיע אותו חבר המושבעים בכל הסעיפים שנותרו. בפברואר 2024 גזר עליו שופט פדרלי במנהטן 40 שנות מאסר (העונש הארוך ביותר עד כה על הדלפה בלתי-מורשית של מידע ביטחוני, מחוץ למסגרת של ריגול קלאסי למען מדינה זרה), בגזר דין שכלל גם הרשעה נפרדת ולא-קשורה בעבירות חומרי תקיפה מינית של קטינים.
שני המשפטים הפרידו ביניהם שנתיים, ושאלה אחת עמדה בבסיס שניהם: האם השובל הדיגיטלי באמת ממקם אותו בזירת הגניבה?
הארטיפקט: לא ההדלפה, היומן
ארכיון Vault 7 הוא הכותרת. הוא לא הארטיפקט שמומחה תוכנה עובד ממנו בפועל.
תורידו את הכותרת הצידה, וזה מה שנשאר על השולחן: יומן הביקורת של DevLAN. הרשומה של מי החזיק הרשאות מנהל ומתי, הגיבוי ששוחזר והחזיר לרגע את ההרשאות שנשללו משולטה, יומני הפעילות בתחנת העבודה מחלון ההדלפה, ובאותה מידה חשובה, הפער ביומן הזה, במקום שבו לטענת התביעה נמחקו רשומות בדיעבד.
רשומה חסרה ביומן היא לא ניטרלית. היא יכולה להעיד שמישהו טישטש עקבות. היא יכולה גם להעיד שמערכת הרישום נכשלה, התחלפה במחזוריות רגילה, או שמעולם לא הוגדרה לתעד את הפעולה הזו מלכתחילה. איזה הסבר שורד תלוי לגמרי באיך היומן נבנה, נשמר, ושוחזר אחר כך, לא באיזה עורך דין נשמע משכנע יותר בסיכום.
למה מהנדס כללי מפספס את זה
עורך דין יכול לקרוא תקציר אירוע ולחזור על “הוא שחזר גיבוי ומחק לוגים”. מהנדס כללי יכול להסביר, במונחים כלליים, איך הרשאות יוניקס ושחזורי גיבוי עובדים. אף אחת מהתשובות האלה לא נותנת לחבר המושבעים את מה שהוא באמת צריך.
כי הנה מה שהוא באמת צריך לשקול: מה הרזולוציה הזמנית של חותמת הזמן ביומן, האם היא ממקמת את השחזור לדקה מסוימת, או רק אי-שם בחלון של כמה שעות? האם ה”מחיקה” היא מחיקה אמיתית, או פער שאפשר להסביר במחזוריות רישום, במגבלות שמירה, או במערכת שהייתה, כפי שטענה ההגנה, נגישה לכ-200 אנשים? אם הרשאות המנהל חזרו לרגע, האם היומן מראה מי היה מחובר בחלון הזה, או רק שההרשאה הזו התקיימה?
מומחה תוכנה שממונה על ידי בית משפט מתחיל בהגדרת השאלה הטכנית בצמצום: לא “האם שולטה אשם”, אלא “האם היומן הספציפי הזה, בהינתן המבנה והמגבלות הידועות שלו, ממקם פעולה מסוימת בחשבון מסוים בזמן מסוים”. אחר כך החומרים: קובץ הגיבוי, רשומות בקרת הגישה, יומני תחנת העבודה, ומדיניות השמירה והמחזוריות של מערכת הרישום הזו. אחר כך שיטה שניתנת לשחזור: איך כל ארטיפקט חולץ, מה הדיוק האמיתי שלו, ואיך הוא נבדק מול השאר במקום להיקרא בבידוד. ורק אז מסקנה, כזו שאומרת בפירוש מה היומן יכול לתמוך בו ומה הוא לא יכול.
זה מה ששורד חקירה נגדית. מומחה שאומר “היומן מראה את זה, והנה בדיוק מה שהוא לא מראה” נשמע אמין. מומחה שקורא מסקנת כותרת לתוך פער בקובץ לוג לא נשמע אמין, וחוקר נגדי טוב ימצא את הסדק.
למה זה חשוב לעורכי דין ול-GC-ים ישראלים
חברות טק ישראליות מתנהלות על בקרות גישה פנימיות, גיבויי מנהל, ויומני פעילות: צוותי DevOps, קונסולות ענן, מערכות ניהול קוד, שיתופי רשת פנימיים. לכל אחת מהמערכות האלה יש יומן עם מגבלות אמיתיות: חלונות שמירה, מדיניות מחזוריות, פערים שבהם מעולם לא נרשם דבר. חברות כמעט אף פעם לא חושבות על מה היומן הזה יכול להוכיח, עד שאירוע פנים-ארגוני, עובד עוזב, או חקירת הדלפה שמים אותו מול בית משפט.
לעורכי דין, הלקח מ-Vault 7 (למרות הכותרות) הוא לקח של משמעת ראייתית: לפני שמישהו מעיד מה יומן גישה “מראה”, צריך מישהו בלתי-תלוי שיבדוק מה היומן באמת מתעד, באיזו רזולוציה, ואיפה הוא עלול להטעות. ליועצים המשפטיים בחברות, אותה שאלה עולה מוקדם יותר: דעו מה המערכות שלכם מתעדות, ומה לא, לפני שאירוע מכריח אתכם לגלות את זה מול שופט.
לסיכום
Vault 7 ימשיך להיות מצוטט כתיק ריגול. אבל מתחת לכותרת, זה תמיד היה תיק על השאלה האם גיבוי ששוחזר ומערכת יומני תחנת עבודה יכולים למקם אדם ספציפי אחד בפעולה ספציפית אחת, ברזולוציה שבית משפט יכול לסמוך עליה. זו שאלה שדורשת יותר ממהנדס כללי שקורא דוח שרת: היא עבודה של מומחה תוכנה ברמת בית משפט, שמגדיר את השאלה הטכנית בצמצום, מונה את החומרים, מיישם שיטה שניתנת לשחזור, ואומר בפירוש איפה הראיה נעצרת.
האמור לעיל הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. פרטי התיק מבוססים על המקורות המצוטטים.