"המאגר הביומטרי כבר נמצא בשרתי חברות פרטיות"
כך טוענים מתנגדי המאגר בדו"ח מיוחד שפורסם הבוקר. על אף הגדרת חוק המאגר, לפיה אסור להוציא את פרטיו מחוץ למערכות רשות המאגר, נמצאים עותקים שלו אצל בינת ובזק בינלאומי. בנוסף, ריבוי זיוף זהויות - הסיבה בגינה בכלל נולד פרויקט המאגר - הוא נדיר בהרבה משהוצג בעבר
המאגר הביומטרי מגובה באתר פרטי חיצוני, בניגוד לחוק שמחייב שנתוניו ישמרו רק במתקני הרשות הביומטרית - כך טוענים מתנגדי המאגר הביומטרי בדו"ח מקיף שמפורסם היום (א') וסוקר בהרחבה את פעילותו של המאגר לאורך שתי שנות הפיילוט.
בנוסף, תוקף הדו"ח את העילה העיקרית להקמת המאגר - מניעת זיוף זהויות, ומביא נתונים שלפיהם מדובר בבעיה שולית שמסתכמת בכמה עשרות מקרים בשנה, וכן מבקר חריפות את דו"ח הרשות לניהול המאגר הביומטרי שפסק שהמאגר חיוני לישראל.
ברשות לניהול המאגר הביומטרי דחו את ממצאי הדו”ח בצורה גורפת. “כל גורם יכול לכתוב דו"חות והצעות כאוות נפשו. אולם שיטה זו של הסתמכות על חלקי נתונים וחצאי אמיתות אינה מקצועית וחוטאת לאמת", נמסר ל"כלכליסט".
את הדו"ח יזמה התנועה לזכויות דיגיטליות, שמובילה בשנים ההאחרונות את ההתנגדות למאגר הביומטרי. את חיבורו הובילו פרופ' אלי ביהם, ממדעני המחשבים המובילים בישראל ולשעבר דיקן הפקולטה למדעי המחשב בטכניון, ופרופ' קרין נהון מבית הספר למידע של אוניברסיטת וושינגטון. לאורך עשרות עמודי הדו"ח מעלים המחברים שאלות קשות לגבי הבטים שונים של פעילות המאגר הביומטרי וכן תוקפים את מסקנות הרשות לניהול המאגר שלפיהן הקמתו המאגר חיונית למדינת ישראל.
עמדת רישום לפיילוט המאגר הביומטרי צילום: עמית שעל
אחד מאמצעי האבטחה המרכזיים של המאגר הביומטרי אמור להיות ניתוקו המוחלט מכל רשת חיצונית (Airgap), מהלך שאמור למנוע מהאקרים כל אפשרות לתקוף אותו מרחוק. ואולם, הדו"ח של המתנגדים מעלה חשש שהמאגר מגובה באתר פרטי מרוחק, שרמת האבטחה בו אינה ברורה. לפי הדו"ח, בדצמבר 2013 רכשה הרשות הביומטרית שירותי אירוח באתר גיבוי מחברת בינת תמורת 220 אלף שקל, ושנה לאחר מכן רכשה שירותים דומים מבזק בינלאומי תמורת יותר מחצי מיליון שקל.
"הסכומים הגבוהים שהרשות הביומטרית שילמה... מעידים על כך שהגיבוי הוא של נפחי מידע משמעותיים", נכתב בדו"ח. "לא סביר כי תשלום כה גבוה נעשה לשם גיבוי מערכת המסמכים המשרדית של הרשות. לכן, נראה כי הרשות הביומטרית משלמת לחברה חיצונית כדי לשמור את המידע הסודי. זאת, בניגוד גמור לחוק הביומטרי, הקובע כי רק עובדי המדינה ועובדי הרשות הביומטרית רשאים לטפל במידע הביומטרי. ועתה נראה כי חברה חיצונית מטפלת במידע האסור בחשיפה. אפילו אם גיבוי המידע נעשה באופן מוצפן ומאובטח, המדובר בפרצת אבטחה ענקית”.
המידע הביומטרי נמצא כבר בשרתי חברות פרטיות צילום: shutterstock
בנוסף, מחברי הדו"ח גם מטילים ספק בעובדה שהמאגר עצמו פועל ברשת מנותקת. "מאגר מידע כה גדול, דורש העברת מידע רבה אליו וממנו", הוא מסבירים. "הדרך שבה תוכנן המאגר, ככלי שמולו נערכת ההשוואה (ולא מול התעודה) יצר מצב שבו כל הזמן יהיה צורך להזרים מידע אליו וממנו. באוגוסט 2014, הרשות הביומטרית רכשה מערכת לביצוע בידול בין רשתות מחברת ווטרפול סקיוריטי סולושינס בע"מ. כלי בידול רשתות מאפשר תנועה מבוקרת בין רשתות, המוגבלת ע"י כלי תוכנה. אולם, החיבור הפיזי בין הרשתות נותר פעיל. כלומר, אם פורץ מצליח למצוא באג תוכנה, או במקרה של סיוע מבפנים, אפשר לפגוע ביעילות כלי הבידול ולהוציא באופן זה מידע החוצה”.
בתחילת מאי דיווח "כלכליסט" על כשלים ועיכובים במכרזים להקמת מערכת השוואה ביומטרית (רכיב חיוני במאגר, שבלעדיו לא ניתן להשוות בין הנתונים ששמורים בו): המכרז הראשון בוטל בגלל התנהלות רשלנית של המדינה, שפיצתה את הזוכה ביותר ממיליון שקל, ולמכרז השני ניגשה רק חברה אחת, שלא עמדה בתנאי הסף של המכרז הראשון, אשר בסופו של דבר זכתה בו.
רוצים את האצבע שלכם צילום: shutterstock
כעת חושף הדו"ח נתונים שווי ההצעות הזוכות בשני המכרזים. בעוד שההצעה הזוכה במכרז הראשון עמדה על כ-2.6 מיליון דולר וההצעה שהגיעה למקום השני על כ-3.1 מיליון דולר, במכרז השני עמדה ההצעה הזוכה והיחידה, לאותה מערכת בדיוק על כ-6.5 מיליון דולר. "היעדר תהליך התמחור, גרם למדינה לשלם מחיר גבוה פי שתיים מהמחיר שהייתה משלמת במכרז הראשון", נטען בדו"ח.
מאות אלפי תעודות מזויפות? אין חיה כזאת
תומכי המאגר הביומטרי תמיד הציגו את בעיית זיוף תעודות הזהות וגניבת הזהויות כעילה העיקרית להקמתו. במהלך הדיונים על הקמת המאגר טען ח"כ מאיר שטרית, שהיה הגורם המוביל להקמתו, שבמהלך כהונתו כשר פנים קיבל נתונים מהמשטרה שלפיהם חיים בישראל 350 אלף איש עם תעודות זהות מזויפות. נתון זה היה גורם מרכזי בדיונים ובהחלטות על הקמת המאגר.
מאיר שטרית צילום: עטא עוויסאת
ואולם, בדו"ח מובאות אמירות מפי מבקר המדינה, מזכיר הממשלה והמשנה ליועץ המשפטי לממשלה, מהתקופה שלפני הקמת המאגר, שלפיהן לא קיימים נתונים על היקף עבירות זיוף והתחזות. בדו"ח המסכם של הרשות לניהול המאגר הביומטרי, שפורסם במרץ, הנתון היחיד בהקשר זה הוא שמתוך 600 אלף תעודות זהות חדשות שמונפקות מדי שנה, 160 אלף מונפקות בעקבות דיווח על אבדן או גניבה כאשר רבים מהמדווחים על אבדן או גניבה מופיעים במרשם הפלילי של המשטרה. עובדה זה מצביעה, לדברי הרשות, על קשר מובהק בין דיווח על אובדן או גניבת תעודת זהות לפעילות פלילית, ואולם לא נמסרים נתונים מעבר לכך.
מבקר המדינה, יוסף שפירא צילום: אלכס קולומויסקי
נתוני אמת מופיעים, מנגד, בדו"ח תקופתי של רשות האוכלוסין וההגירה. לפי דו"ח זה, ב-2014 גילתה משטרת ישראל 22 עבירות זיוף והתחזות, ובלשכות רשות האוכלוסין או נציגויות ישראל התגלו 48 מקרי זיוף או התחזות נוספים - 70 מקרים בסך הכול.
"מתוך 70 המקרים שהתגלו, כולם, ללא יוצא מן הכלל, היו נמנעים ע"י שימוש בתעודות ביומטריות, ללא כל צורך במאגר ביומטרי", נכתב בדו"ח של מתנגדי המאגר. "למעשה ניתן למנוע מעל ל-95% מעבירות הזיוף וההתחזות ע"י תעודות חכמות, גם ללא שימוש במידע ביומטרי”. כן מציינים בדו"ח שהרשות הביוטרית עצמה לא דיווחה ב-2014 על מקרי הרכשה כפולה (ניסיון להנפיק תעודת זהות במרמה כשבמאגר כבר מצויים פרטים ביומטרים על אותה זהות), ורק על מקרה אחד של הונאה בהרכשה ראשונית (ניסיון להנפיק תעודת זהות במרמה כאשר במאגר אין כל פרטים על אותה זהות).
"המאגר הביומטרי הוצג כהכרח, תחת הנחת עבודה כי בארץ חיים מאות אלפי אנשים עם תעודות זהות מזויפות", נכתב בדו"ח. בפועל, התגלו כ-70 מקרי זיוף של תיעוד לאומי והתחזויות בשנה... גם אם נכפיל ונשלש את נתוני האמת, ההנחה שבבסיס עבודת המטה, לפיה נדרש מאגר ביומטרי לשם טיפול במאות אלפי זיופים, הוכחה כשגויה. משהנחות היסוד נשללו, אין עוד תוקף למסקנות עבודת המטה בדבר הצורך במאגר ביומטרי. מצער להיווכח כי הרשות הביומטרית לא נותנת לעובדות לקלקל לה את הנחות הבסיס לפיהן היא פועלת. לנתונים אלו אין זכר בדו"חותיה. היא מסרבת להתייחס לנתוני המשטרה, ועתה היא מבקשת להצדיק את קיום המאגר הביומטרי לצורך מטרות משנה שאינן בבסיס החוק הביומטרי”.
סוגיה בעייתית נוספת, שמקלה על זייפנים, היא העובדה שהחוק מאפשר שימוש בתעודה חכמה גם אם השבב המוצפן שעל גביה אינו תקין. “כל ההגנות הקריפטוגרפיות, שמונעות את זיוף התעודה, דורשות תקשורת נתונים עם השבב. ללא תקשורת, לא ניתן לאמת את שהתעודה מקורית, אבל, מצד שני, גם לא ניתן להוכיח שהתעודה מזויפת. לכן, כדי לזייף תעודה ביומטרית מקולקלת, די לזייפן לזייף את המעטפת (החלק הוויזואלי) של התעודה הביומטרית - משימה קשה אך אפשרית, ולהרוס את השבב שבתעודה. כך, הזייפן משיג תעודה הנחזית לתעודה תקפה אך תקולה, ולא ניתן לגלות את הזיוף", נכתב בדו"ח.
התעודה החכמה בידי גדעון סער, שר הפנים לשעבר צילום: עמית שעל
הממשלה מתעלמת מהאלטרנטיבות
בחלק אחר בדו"ח תוקפים המחברים את האופן שבו נבדקו חלופות אפשריות לפעילות המאגר, ובין היתר מציינים מגוון חלופות אפשריות שלא נבדקו. אלו כוללות חלופה שמכונה "תשאול מוגבר" ושכוללת רכיבים כמו: קביעת שאלת אימות ייחודית בהרכשה הראשונה (למשל שם של חבר ילדות); בקשה מהאזרח בעת ההרכשה הראשונה למסור שמות עדים שיוכלו לאמת את זהותו במקרה של גניבה או אבדן; אפשרות לקבל מידע מרשויות או גורמים כמו חברות אשראי שישמש לאימות; דרישה להצגת מסמכים תיעוד קיימים; או אימות הזהות באמצעות קרובי משפחה שיגיעו כלם יחד להנפקה ויזהו זה את זה.
חלופה נוספת שמציעים מחברי הדו"ח היא סיוע במאגר המשטרתי. "הרשות הביומטרית מסבירה כי מי שצפוי לנסות להוציא תיעוד במרמה, הם גורמי פשיעה וחשודים הרשומים גם כך במרשם המשטרתי", נכתב. “אם יועבר העתק המאגר הביומטרי המשטרתי של העבריינים והחשודים לרשות הביומטרית, היא תוכל לבצע השוואה של הנתונים הביומטריים של מבקש התיעוד אל מול העתק המאגר המשטרתי. באופן זה, לא נפגעת פרטיותם של מי שלא נמצא במרשם המשטרתי, ועדיין, ניסיונות התחזות של גורמים עברייניים יתגלה”.
צילום: shutterstock
עוד חלופה שלא נבדקה היא השיטה הבלגית, שם כל אזרח מקבל עם לידתו תעודה חכמה, שמוחלפת בגילים 6, 12 ו-18. "כל החלפה של תעודה דורשת הצגת התעודה הקודמת. לכן, כדי ליצור זהות פיקטיבית בהרכשה, המתחזה צריך שיתוף פעולה של ההורים ושל הרופא שרושם את הלידות... התחזות כזאת אינה אפשרית. כאשר תעודה בלגית הולכת לאיבוד, מי שאיבד את התעודה צריך ללכת לדווח למשטרה, ולהיחקר על ידי שני שוטרים. אדם שיש לו מסמכי זיהוי אחרים, יעבור את התחקור המשטרתי בקלות. אם אין לו מסמכים מספקים להציג, הוא יידרש לעבור הליך תשאול מתיש, עד שיוכיח את זהותו לחוקרים. התעודה עצמה משמשת גם ככרטיס אלקטרוני להזדהות מול שירותי הממשל השונים. לכן, אם התעודה בוטלה עקב התחזות האזרח יגלה זאת באופן כמעט מיידי”.
עד כמה מדויק ניתוח הצלחת פיילוט המאגר?
כשפורסם הדו"ח המסכם של הרשות לניהול המאגר הביומטרי ניתח "כלכליסט" את החלק שעוסק במאגר ובחלופות שכן נבדקו, והעניק להן ציונים לפי מדדים שונים. המאגר הביומטרי במתכונתו הנוכחית קיבל את הציון המשוקלל הגבוה ביותר, ואולם "כלכליסט" ביקר את המשקל שניתן למדדים השונים והעריך ששיטת חישוב אחרת הייתה מציגה תוצאות שונות.
מחברי הדו"ח הנוכחי עשו בדיוק זאת, והוסיפו לכך גם חלופות שלא הוצגו בדו"ח של הרשות. במקרים שונים שינו המחברים את שיטת החישוב לכל מדד, בטענה זו לא תאמה את הצו שמגדיר את פעילות המאגר. כך, למשל, בנוגע שבוחן את יכולת החלופות השונות לזהות התחזויות כותבים מחברי הדו"ח: "מדד זה מוגדר בצו 'מספר הפעמים שבהן התקיים חשד להרכשה כפולה או להתחזות בזהות אחרת', דהיינו איתור התחזויות מכל הסוגים, לא רק התחזויות מסוג הרכשה כפולה בלבד. הרשות הביומטרית, בניגוד גמור לצו המבחן בחנה את היכולות של חלופות המאגר לאתר הרכשות כפולות בלבד, והתעלמה מהיכולות של חלופות התשאול להתמודד עם התחזויות בהרכשה הראשונית. לכן, המדד חושב מחדש, תוך מתן ניקוד שווה ליכולת לאתר התחזות בהרכשה ראשונית וליכולת לאתר התחזות בהרכשה חוזרת או הרכשה כפולה. לחלופות המאגר אין כל יכולת לזהות התחזות בהרכשה הראשונית”.
בטיעונים דומים ואחרים מתקנים מתנגדי המאגר את הניקוד שהעניקה הרשות למדדים השונים, כאשר הם מציינים שבמקרים מסוימים לא ברור למה בחרה הרשות לתת לחלופה כלשהי ציון זה או אחר. בסופו של דבר הם מציגים טבלת דירוג אחרת. את הציון הגבוה ביותר לפי החישוב של מתנגדי המאגר קיבלה חלופה שמשלבת בין תשאול מוגבל, בירור מול מאגר משטרתי והשיטה הבלגית (תשאול משולב), ולאחריה בסדר יותר השיטה הבלגית, השימוש במאגר משטרתי וחלופת תשאול. המאגר במתכונתו הנוכחית הגיע למקום השישי מתוך 13 (גבוה מכל חלופה אחרת שעושה שימוש במאגר כללי), אם כי ההפרש בינו לבין המקום הראשון עומד על כ-5.5 נקודות בלבד (66 מתוך 70 לעומת 60.53).
בהמשך, מחברי הדו"ח גם משנים את המשקל שניתן למדדים השונים - מעלים בין השאר את משקלם של מדד איתור התחזויות מדד הגנה על הפרטיות – ומוסיפים מדד חדש, “פגיעה באיזון הדמוקרטי". בחישוב זה קיבלה השיטה הבלגית את הציון הגבוה ביותר (72.9 מתוך 75), ולאחריה חלופת התשאול בהתאם לצו המאגר, חלופת התשאול המוגבר שמציעים המתנגדים, חלופת התשאול שנהוגה כיום, החלופת שמשלבת בין תשאול לשימוש במאגר המשטרה והשיטה הבלגית, והחלופה שמסתמכת על מאגר המשטרה בלבד. המאגר הביומטרי במתכונתו הנוכחית הגיע למקום העשירי בלבד עם ציון של 51.43.
תגובת הרשות לניהול המאגר הביומטרי
"פעילות הרשות בשנתיים האחרונות במסגרת תקופת המבחן בוצעה בליווי ובכפוף לפיקוח ובקרה הדוקים של מספר גופים רשמיים. לאחרונה העבירו גופים אלו אשר מעורבים ובקיאים בכל הנעשה בתקופת המבחן, דו"חות מסכמים. כלל הגופים העבירו המלצה חד משמעית בדבר העובדה שהוכח הצורך במאגר ביומטרי וכי הוכחה נחיצותו וכמו כן, כי תקופת המבחן הסתיימה בהצלחה ומולאו כל החובות כנדרש. בין הגופים ניתן למנות את המטה ללוחמה בטרור במשרד ראש הממשלה, גורמי הביטחון הרלוונטיים, הממונה על היישומים הביומטריים במשרד ראש הממשלה (שיגיש דו"ח בימים הקרובים), רשות האוכלוסין וההגירה, משטרת ישראל, והוועדה המייעצת אשר מונתה לצורך פיקוח על התנהלות תקופת המבחן.
פעילויות הרשות בנושא רכש ומכרזים מבוצעות בהובלת ועדת המכרזים של משרד הפנים, בה חברים היועץ המשפטי וחשב המשרד. מכרזים מעל סכומים מסוימים עוברים לאישור הוועדות הרלוונטיות במשרד האוצר, כפי שבוצע במכרז לרכש מערכת ההשוואות הביומטריות אשר התנהל בצורה סדורה והסתיים בהצלחה.
"הרשות הגישה לפני כחודשיים דו"ח מסכם לשר הפנים, לראש הממשלה ולכנסת. המבדקים ובחינת ביצועי המערכות בוצעו בהובלת מומחי מרכז המחקר ברפא״ל ובהובלת מומחי ביומטריה, בחינת הנעשה בעולם בוצעה על ידי גורמים מקצועיים המעורבים בפרויקטים בחו״ל ומצויים בתחום זה שנים רבות, ומבדקים נוספים בוצעו על ידי גורמים מקצועיים נוספים. הדו"ח מפרט את הפעולות וכן את המסקנות בדבר הצורך במאגר. מסקנות אליהן הגיעו כלל הגורמים המעורבים.
מן הראוי היה כי 'המתנגדים' יקראו בעיון את הדו"ח, יבינו כי בוצעה עבודה מקצועית, מקיפה ומהימנה ביותר, ובמידה ויחפצו בכך יעלו שאלות מקצועיות וענייניות. מפניית כתב 'כלכליסט' לרשות ביום ה' האחרון בבקשת תגובה, תוך ציון מספר נקודות אותן מעלים המתנגדים, אנו מבינים שלא כך נעשה. נכתב דו"ח כלשהו על ידי 'המתנגדים' אשר לא הועבר לעיון הרשות. אם וכאשר נקבל את הדו"ח עצמו נוכל, במידת הצורך, להגיב לתוכנו. באופן עקרוני אנו מוצאים לנכון להבהיר כי כל גורם יכול לכתוב דו"חות והצעות כאוות נפשו. אולם שיטה זו של הסתמכות על חלקי נתונים וחצאי אמיתות אינה מקצועית וחוטאת לאמת. על אף הצעותינו לאותם 'מתנגדים' להיפגש ולקבל תשובות לנושאים המטרידים אותם לא זכינו לתאום פגישה כזו מעולם.
נכון ליום זה למעלה מ-700,000 איש הנפיקו תיעוד חכם והצטרפו למאגר באופן וולונטרי. המספר הגבוה של המצטרפים, אשר עלה בעשרות מונים על הציפיות הראשוניות, איפשר לבדוק באופן מקצועי את כל הטענות והנושאים אשר הועלו ע"י מתנגדי המאגר בטרם הקמתו. תוצאת כלל המבדקים והמלצת כלל הגורמים הרשמיים המעורבים מוכיחה כי הוכחה נחיצות המאגר הביומטרי והצורך בו וכן כי המאגר הוקם בצורה מאובטחת, מקצועית וטובה מאוד, אשר מאפשרת מענה מאוזן ומיטבי לדרישות החוק"
