ניוזלטר "באות" - פברואר 2020
קהילת נשים מנוסות במחקר ופיתוח במדעי המחשב
חוקרות אבטחת מידע
בניוזלטר זה ראיינו חוקרות אבטחת מידע חברות הקהילה - טניה גרשנוב מסיימוטיב, סתיו פרלה מהטכניון, יעל דייהס מאקמאי, אופיר הרפז מגרדיקור. הנה ציטוטים נבחרים:
״ממש ממש עשה לי אושר לחשוב איך האלגוריתם שאני תיכננתי ובניתי מגן על כל כך הרבה אנשים. אני חושבת על מקרים בהם אנחנו מגינים על בתי חולים או דברים כאלה, הרגשה כזאת שתרמתי משהו לאנושות.״
״במקום בו שירתתי בזמן הלימודים הצעתי לבצע איזה רעיון שהיה לי בנוגע למציאת תקיפות סייבר באמצעות machine learning, והיה לי מנהל שהאמין בי מספיק לתת לי צ'אנס.״
״לתכנן התקפה המבוססת על טכניקה שפיתחתי ולמצוא באמצעותה מפתח ששימש להצפנה היא החלק הכי מספק בעבודה שלי. בנוסף אני נהנית מאוד לשתף פעולה עם חוקרים אחרים, ללמוד צורות מחשבה ולשאוב רעיונות.״
Tanya Gershnov, Security Researcher @ CYMOTIVE Technologies
אני חוקרת אבטחת מידע ומובילה פרויקטים בתחום האוטומוטיב.
אני חוקרת אפליקציות, רכיבים בתוך הרכב, ארכיטקטורות של תהליכים בין הרכב לשרת backend.
כשאני מול אתגר אני מגדירה מה המטרות שאני רוצה להשיג, ובודקת אם מישהו כבר עשה את זה, בצוות ובאינטרנט.
למשל, חקרתי רכיב בתוך הרכב, בלי ידע מוקדם על המערכת, שלא ידעתי איפה נמצא חיבור ה- debug הספציפי שיאפשר לי גישה לתוכנה של הרכיב. החיבורים הנפוצים הם jtag ו-uart. מדדתי מתח בחיבורים האפשריים כדי לצמצם אפשרויות.
לאחר מכן השתמשתי בכלי חומרתי הנקרא jtagulator, שנועד לאיתור חיבורי debug. הוא תומך במספר מסויים של חיבורים, והיו לי משמעותית יותר, ז"א יותר פרמוטציות == יותר זמן לבדיקה. ביצעתי ידנית חיפוש בינארי על גבי החיבורים האפשריים ל-jtagulator. בכל קומבינציה הכלי מדווח האם נמצא חיבור מתאים.
בפרויקט הנוכחי היומיום כולל לעשות hardware research - להבין מה יש ברכיב, ואיך אפשר להתחבר ולהשפיע עליו, לעשות reverse engineering לתוכנה שלו - firmware, לחקור ערוצי תקיפה מתוך הרכב, ולעשות fuzzing לחלקים המושפעים מה- input.
איך הגעת לעשות את זה?
תמיד הגניב אותי החיבור בין התוכנה למציאות, לעולם הפיזי.
למדתי בתיכון שפת תכנות אסמבלי, וקראתי בזמני הפנוי עיתון האקרים רוסי, והעולם הזה נראה לי מאוד מרתק - לגרום למערכת לעשות משהו שהמתכנתים לא חשבו עליו. בצבא עשיתי תפקיד טכנולוגי, ואחרי זה חקרתי מסדי נתונים ואיך האקרים יכולים לנצל בעיה תוכנתית כדי לגנוב מידע רגיש כמו כרטיסי אשראי. עשיתי reverse engineering לתוכנות של מסדי נתונים כדי להבין איך הן עובדות ואיפה יכולות להיות בעיות, למדתי SQL הארכיטקטורה פנימית שלהם.
טסתי ביוזמתי לכנס syscan כי שמעתי שזה כנס מגניב, ותגי השם של הכנס כללו מחשב וחידות סייבר וכמובן פרסים לפותרים. היה צריך לגרום לנורה על התג להידלק - ניסיתי לפתור את זה תוכנתית ללא הצלחה. ואז ראיתי שמישהו פירק את הקפיץ מהעט שלו, השתמש בקפיץ כדי לסגור מעגל חשמלי עם הנורה והנורה נדלקה. Mind - blown. לתפקיד הנוכחי הגעתי אחרי שהייתי בכנס הזה.
מה האתגרים בעבודה שלך?
עולם הרכב עובר הרבה שינויים בתקופה האחרונה,
ולהיות חלק מהתהליך הזה ולהשפיע בהיבטי אבטחת מידע מספק אתגרים שונים וחדשים.
חשוב לי להדגיש שהאתגר הוא לא רק מחקר, ולא רק טכנולוגי.
לפעמים זה לוודא שהלקוחות מיישמים את הפתרונות, לפעמים זה לעזור לבנות משהו מתוך הבנה עמוקה של הנושא. המחקר יכול להיות מאתגר כאשר חוקרים משהו כ- black box, ז"א אין שום מידע על המערכת ואיך היא בנויה, וצריך להראות תוצאות.
ספרי על החלקים המהנים בעבודה שלך?
למצוא פתרונות יצירתיים, לשחק עם טכנולוגיות שונות, להשיג shell על המכשיר.
למדתי איך לעשות side channel attack ו-fault injection במהלך אחד הפרויקטים, זה היה מאוד כיף.
מישהי שרוצה לעשות הסבה מפיתוח או שזה יהיה התפקיד הראשון שלה אחרי תואר, מה היא צריכה לעשות?
להיות סקרנית, לעשות פרויקט מחקר עצמאי, בין אם זה תוכנה או חומרה.
להשתתף בתחרויות כמו CTF, לעשות challenges (תרגילים בתחום), אם מה שיותר מעניין זה מובייל אז יש תרגיל על אפליקציית טלגרם של חברת quarkslab, אם מה שמעניין זה embedded - יש rhme ctf.
אבל בעיקר להיות סקרנית :)
Stav Perle, Ph.D. Student, Cryptanalysis @ Computer Science Department, Technion
אני דוקטורנטית בפקולטה למדעי המחשב בטכניון. תחום המחקר שלי נקרא קריפטאנליזה, תחום העוסק בחקר וניתוח צפנים.
צופן הוא פונקציה המקבלת כקלט הודעה ומפתח ומחזירה כפלט הודעה מוצפנת. הפונקציה עצמה ידועה, ומה שסודי בתהליך הוא המפתח המשמש להצפנה. לכן, בהינתן ההודעה וההודעה המוצפנת – באמצעות הצפנת ההודעה תחת כל המפתחות האפשריים, ניתן לזהות את המפתח הסודי. שיטה זו למציאת המפתח נקראת חיפוש ממצה. מטרת הקריפטאנליסט הינה לתכנן אלגוריתם התקפה באמצעותו ניתן למצוא את המפתח ששימש להצפנה בסיבוכיות זמן קטנה מזו של חיפוש ממצה. במחקר שלי אני חוקרת את המבנה של צפנים ומפתחת שיטות כלליות על בסיסן ניתן לתכנן התקפות כנגד מגוון רחב של צפנים. המטרה העיקרית של המחקר הינה לזהות חולשות ולהציף פערים על מנת שהצפנים העתידיים שיתוכננו יהיו טובים ובטוחים יותר. מלבד המחקר שלי, אני עובדת על פרויקטים בשיתוף פעולה עם חוקרים נוספים במוסדות שונים. אני משתתפת בכנסים וסדנאות בארץ ובעולם, חלקם בתחום המחקר שלי וחלקם בתחומי מחקר אחרים, בניסיון לראות כיצד קריפטאנליזה יכולה להשתלב ולתרום להם. בנוסף, אני מתרגלת קורסים בתחום של קריפטולוגיה וקריפטאנליזה בטכניון ובאוניברסיטת חיפה.
איך הגעת לעשות את זה?
את התואר הראשון למדתי בפקולטה למתמטיקה במסלול מתמטיקה ומדעי המחשב. כשבחרתי מה ללמוד, חלק מהשיקולים שהובילו אותי לבחור בתואר במתמטיקה היו הבנה עמוקה של היסודות וארגז כלי המחקר שהתואר מקנה. ההחלטה להמשיך לתואר מתקדם הייתה טבעית עבורי, הרגשתי שיש לי עוד הרבה מה ללמוד והתלהבתי מהרעיון של להוביל מחקר עצמאי. אחד החסרונות של המסלול היו שלא למדתי במסגרת התואר הראשון קורסים מתקדמים במדעי המחשב, ולכן לא נחשפתי לתחומי מחקר רבים. בפרט, התחום של קריפטולוגיה, תחום שמאז ומעולם משך אותי, היה זר עבורי.
למרות החשש ללכת על תחום זר לחלוטין, לאחר שיחה עם מי שהיום הוא המנחה שלי, השתכנעתי שבתחום הזה אני רוצה להשקיע את השנים הקרובות והחלטתי ללכת עם תחושת הבטן.
מה האתגרים בעבודה?
תהליך פיתוח של צופן הוא תהליך ארוך שיכול לקחת גם שנים. בנוסף, מאות מומחים בוחנים את הצפנים לפני (וגם אחרי) הפרסום שלהם, כדי לוודא שהם באמת בטוחים. למצוא חולשה בפונקציה יחסית פשוטה (מאות בודדות של שורות קוד) שטובי המומחים כבר בחנו היא אתגר. בניגוד להרבה תחומי מחקר אחרים במדעי המחשב, בקריפטאנליזה אין שאלה שמנסים לענות עליה או בעיה שמנסים לפתור בצורה אופטימלית. מהות המחקר היא למצוא חולשות, והאתגר הוא לדעת איפה ומה לחפש.
מה החלקים הכיפיים?
כיוון שהמחקר עוסק בחיפוש חולשות, החלק הכיפי הוא למצוא. במחקר שלי אני לא מתמקדת בצופן ספציפי ומנסה לתכנן את ההתקפה הכי טובה כנגדו, אלא מתמקדת בשיטות כלליות שניתן ליישם כנגד מגוון רחב של צפנים. לתכנן התקפה המבוססת על טכניקה שפיתחתי ולמצוא באמצעותה מפתח ששימש להצפנה היא החלק הכי מספק בעבודה שלי. בנוסף אני נהנית מאוד לשתף פעולה עם חוקרים אחרים, ללמוד צורות מחשבה ולשאוב רעיונות. אני אוהבת להיחשף לתחומים חדשים וללמוד כיצד שימוש בטוח בצפנים משפיע עליהם. למשל, בקיץ האחרון נשלחתי מטעם מערך הסייבר הלאומי במשרד ראש הממשלה לסמינר בנושא ביומטריה, כאשר עיקר העניין שלי היה ללמוד מה הם פערי האבטחה הקיימים היום ביישומים ביומטריים, וכיצד ניתן להבטיח שאנשי העולם עושים שימוש בביומטריה בטוחה.
Yael Daihes, Data Science Team Lead @ Akamai Technologies
מה את עושה בתפקיד שלך?
התפקיד שלי הוא ראש צוות דאטא סיינס סייבר בAkamai. אני עושה מחקר שקשור לסייבר אבל על גבי המון המון דאטא ולכן השיטות הן קשורות לדאטא ו- machine learning.
היום יום שלי בדרך כלל מתחיל בשיחות עם העובדות שלי על הסטטוס של המחקרים שלהן, וסיעור מוחין משותף איך כדאי להמשיך את המחקר הלאה. כל אחת מהן אחראית על משימת מחקר משלה ואני עוזרת לחשוב מה אפשר לעשות הלאה ולמסגר את המשימות לכדי דברים שניתן לסיים בזמן מסוים, והכי חשוב, למשהו שמגיע לרמת תוצר (לפרודקט, ולכדי מאמר).
כל המחקרים שלנו תמיד קשורים ללבנות אלגוריתמים חדשים ושיטות חדשות לזהות תקיפות סייבר בתעבורת רשת. כיוצא בזה, ברגע שאלגוריתם מגיע לשלב מחקרי בו יש תוצאות יש גם עבודה שמזכירה threat intelligence כדי לבדוק האם מה שמצאנו אכן מהווה תעבורה שקשורה לוירוסים או משהו זדוני. עקב השילוב בין סייבר ודאטא סיינס אנחנו משתייכות (הצוות שלי ואני) לקהילות מחקריות הן סייבריות והן דאטא סיינסיות. לדוגמא, יש קהילת מחקר סייבר ענפה ומגניבה בתוך החברה שלי בה אנחנו נפגשים אחת לשבועיים לדון בהרבה מחקרים שונים ומגוונים. יש גם קהילת מחקר אקדמית בחברה שלי שבה אנו סוקרים מחקרים אחד של השני. לשמחתי הרבה הקהילות האלה ממש מונגשות לנו. מעבר לזה, אני אישית חברה בבאות וב- leading cyber ladies, והולכת לפעמים למפגשי DC9723 או מיטאפים בנושא.
איך הגעת לעשות את זה?
למזלי הרב נכנסתי לעולם הסייבר בצבא ובמערכת הביטחון, שם הייתי כמעט 8 שנים. הכרתי עולם מעניין ומרתק שגרם לי להמשיך ללמוד. כשלמדתי לתואר ראשון גיליתי את התחום שנקרא machine learning והתאהבתי. במקום בו שירתתי בזמן הלימודים הצעתי לבצע איזה רעיון שהיה לי בנוגע למציאת תקיפות סייבר באמצעות machine learning, והיה לי מנהל שהאמין בי מספיק לתת לי צ'אנס. מאז אני עושה את השילוב בין השניים כבר 4 שנים בערך.
מה האתגרים בעבודה?
האתגר עבורי הוא ביצוע מחקר שהוא ממש science. אנו הרבה פעמים מנסות לפתור בעיות לא פתורות או שלא חשבו שניתן לפתור אותן באמצעות machine learning, ועוד עלינו למסגר את המחקר בתור בעיה עסקית בצורה כזו שזה גם חשוב לארגון. להצליח לכתוב אלגוריתם שמזהה תקיפה שגם חשובה לארגון זה שילוב קשה וזה האתגר העיקרי בשבילי. מעבר לכך, לעיתים המחקרים שלי מביאים אותי לאיזורים בתחום הסייבר אותם אני פחות מכירה, כמו לדוגמא reverse engineering. בנוסף, האתגר המתמיד של להמשיך ללמוד דברים חדשים, לאחרונה יצא לי ללמוד פרוטוקול תעבורה מסוים שלא הכרתי לצורך המחקר כמו שגם יוצא לי ללמוד שיטות חדשות בmachine learning.
מה החלקים המהנים בעבודה?
ואוו, מלא חלקים. קודם כל, אני מתה על הצוות שלי. כיף לי לעבוד איתן ולחקור איתן. שנית, כשמחקר מצליח ומוצא דברים מגניבים! אלגוריתם שפיתחתי מצא בוטנט (רשת מחשבים מודבקים) שהיה כמעט ולא מוכר עד אז, במסות! ולא רק זה, אלא שאנחנו ככה גם ממש מגינים על הלקוחות שלנו. ממש ממש עשה לי אושר לחשוב איך האלגוריתם שאני תיכננתי ובניתי מגן על כל כך הרבה אנשים. אני חושבת על מקרים בהם אנחנו מגינים על בתי חולים או דברים כאלה, הרגשה כזאת שתרמתי משהו לאנושות.
מישהי שרוצה לעשות הסבה מפיתוח או שזה יהיה התפקיד הראשון שלה אחרי תואר, מה היא צריכה לעשות?
אני חושבת שהשילוב של סייבר ודאטא סיינס הוא ממש כלי מדהים להיכנס לתחום. נדיר שמגיעים אנשים עם רקע גם בסייבר וגם בדאטא סיינס ולכן אני מאמינה שמקומות כאלה בדרך כלל מתפשרים על אחד מהשניים. על כן, הייתי מציעה למישהי שרוצה להיכנס בדיוק למשרה כמו שאני מתארת, לבוא עם רקע בדאטא סיינס, אנלטיקה וסטטיסטיקה וידע ברשתות תקשורת, ומקום העבודה ישלים את החסר בידע הסייברי. לעומת זאת, אם מישהי מעוניינת להתחיל במחקר סייבר ללא דאטא סיינס הייתי מציעה שלושה מסלולים:
הראשון, כדי להתחיל בreverse engineering הייתי מתחילה בלעשות CTFים (capture the flag) בעצמי באינטרנט כדי לצבור ניסיון ומגישה מועמדות למשרות כאלו, הייתי מונה את ה- CTFים שעשיתי בקו"ח ומבקשת שיעשו לי מבחן בית כדי לתת לי הזדמנות.
השני, כדי להתחיל בפיתוח שקשור לסייבר הייתי מחפשת משרה התחלתית במשרד הביטחון של פיתוח low level ב- C או ב- CPP ומבקשת ספציפית כיוון סייברי.
שלישית, אם ניתוח תקיפות ותעבורת רשת מעניינת אותך הייתי מחזקת הידע שלי ברשתות תקשורת, מתחילה לקרוא בלוגים שמתארים תקיפות סייבר אחרונות ומגישה למשרה התחלתית של אנליסטית סייבר.
מה היית מייעצת לעצמך בתור חוקרת סייבר מתחילה?
ראשית, זה הכל סתם באז! בסופו של יום זה ללמוד שפות תכנות, או להבין ממש תעבורת רשת, או להבין ממש מבנה של תוכנות ופרוטוקולים, אבל זה תחומים שהם ממש ממש קרובים למדעי המחשב וממש לא שמור רק לקהילת היוצאי צבא. תוך זמן קצת אפשר לסגור את הפער ברקע כדי להצליח להסתדר ברמה סבבה לגמרי, לבד. זה בעיניי בדיוק כמו להיכנס בתור מתכנתת או חוקרת לתחומים שדורשים השלמה ברקע כמו ידע פיננסי, בריאות, וכו׳. שנית, הייתי אומרת לעצמי שהדרך היחידה שכל המקומות האלה יפסיקו להיות רק של גברים זה אם אני אעזור לנשים להבין בדיוק את הנקודה הראשונה שלי :).
Ophir Harpaz, Security Researcher @ Guardicore
מה את עושה בתפקיד שלך?
הטייטל שלי הוא Security Researcher, ואני עובדת בחברת Guardicore שהיא חברת סקיוריטי בתחום ה-Cloud & Data Center. היום-יום שלי כולל פרוייקטי מחקר מגוונים - החל ממחקר malware שכולל reverse engineering, ועד ביצוע data analysis על תקיפות באופן רוחבי. אחוז ניכר מהזמן שלי מוקדש לפיתוח של כלי מחקר, שבדרך כלל משמשים אך ורק אותי אבל בהחלט חוסכים זמן-מחקר יקר. הפרוייקט הנוכחי שלי כולל מיפוי של כל הדאטה של גארדיקור על תקיפות של data centers - אנחנו רואים מאות תקיפות ביום ואני מנסה להבין מאיפה מגיעות התקיפות האלה, לאיזה קמפיין הן משוייכות, האם הן עוברות אבולוציות כלשהן עם הזמן, מהן טכניקות התקיפה והאם הן מתקדמות, וכו'. התפקיד כולל בתוכו גם קשר עם עולם המחקר - בין אם בהשתתפות בכנסים, הרצאות על פרוייקטי המחקר שלנו, מיטאפים וכיו"ב. אני לא משתייכת לאף "קהילת מחקר" אבל כן משתדלת להיות חברה בקבוצות ווצאפ וסלאק רלוונטיות, וכשיש צורך אני מדברת עם אנשים שיכולים לעזור לי לפתור בעיות.
איך הגעת לעשות את זה?
סיפור משעשע - התמיינתי לתפקיד פיתוח, המראיין שאל אותי "איפה את רואה את עצמך בטווח הרחוק?", עניתי "במחקר" והוא מיד הפנה אותי לראש צוות מחקר שראיין אותי עוד באותו היום. חשוב לציין שכן הגעתי עם ידע בסיסי ב-JavaScript ו-HTML, מה שעזר לי לצלוח את הראיון (שאז עסק בתקיפות web). אין ספק שהיה לי הרבה מזל עם השתלשלות האירועים הזאת, אבל אני מאמינה שגם בלי מזל ועם מספיק עבודה והשקעה אפשר להיכנס לתפקידי מחקר גם בלי רקע של שנים.
מה האתגרים בעבודה שלך?
מחקר סקיוריטי הוא מאוד ענף - חוקרת טובה בעיניי היא כזאת שיש לה ידע טוב בהרבה תחומים - רשתות, מערכות הפעלה, רוורסינג, Malware, פיתוח ואפילו Cybercrime (כלומר מי הם התוקפים היום, איך הם משיגים את המטרות שלהם, איך נראית התשתית הטכנולוגית של קבוצות תקיפה וכו'). אז בעיניי, האתגרים הם אינסופיים - כל יום תצוץ בעיה שלא פתרתי עדיין, שאלה שאני לא יודעת את התשובה עליה וכו'. עוד אתגר הוא שלפעמים לוקח הרבה זמן עד שרואים תוצאות, כלומר עד שמבינים באופן מספק מה עושה קובץ בינארי, איך ועם אילו מחשבים הוא מתקשר - לוקח זמן להגיע לתמונה הגדולה וזה יכול לתסכל, או לחילופין לדרבן :)
ספרי על החלקים המהנים בעבודה שלך?
אני אוהבת לראות פרוייקטים גדולים קורמים עור וגידים. לפני כמה חודשים היה לי חלום, שאצליח להבין את כל המתקפות שאנחנו רואים בגארדיקור - כמה יש מכל סוג, כמה סוגים יש, מהם הסממנים של כל אחת מהמתקפות. את פרוייקט ה"תיוג" הזה לקח כמה חודשים לתכנן ולפתוח, אבל בסופו של דבר השגתי בדיוק מה שרציתי - פיד (feed) של תקיפות, ספירה יומית שלהן ויכולת לתייג אותן לימים הבאים. פרוייקט כזה הוא פשוטו כמשמעו התגשמות של חלום שהיה לי, וזה היה סיפוק גדול להבין שהרצון שלי התממש. יש גם הצלחות יותר "קטנות" כמו להצליח לראות מחרוזות בתוך קובץ malware מעורבל (obfuscated) - אלה דברים שעושים לי שמח בלב ונותנים לי מוטיבציה להמשיך לחקור.
למי שרוצה להיכנס לעולם של מחקר סקיוריטי, הייתי ממליצה לנסות לחשוב על תחום שמעניין אותך במיוחד (רשתות, reversing, ווב) ולחפש חומרי לימוד רלוונטיים באינטרנט (אשמח לעזור למתעניינות). אחר כך אפשר לנסות לפתור אתגרי CTF, או לחשוב על פרוייקט צד מחקרי שיעזור בראיונות עבודה.
