דרישה חדשה בממשל האמריקאי מציפה חולשת אבטחה ופרטיות רחבת היקף ברשתות הממשלתיות: מאות אתרים רשמיים של ממשלת ארצות הברית משדרים באופן גלוי את זהות הכתובת שאליה פונים האזרחים, ובכך נחשפים למעקב מצד ספקיות אינטרנט, גורמים המבצעים ציתות ברשתות אלחוטיות או גורמים עוינים ברשת.
החשיפה ב-350 אתרי ממשל מדגישה את הביקוש הגובר לפתרונות אבטחת מידע וסייבר מתקדמים לחשיפות בתקשורת רשת. הסנאטור רון ויידן פנה במכתב לממלא מקום מנהל הרשות לאבטחת סייבר ותשתיות (CISA), ניק אנדרסן, ולסגן מנהל מערכות המידע הפדרלי, תומאס פלאג.
ויידן דרש לחייב את כל גופי הממשל הפדרלי להפעיל טכנולוגיית הצפנה בשם Encrypted Client Hello (ECH), ולהתנות חוזים ממשלתיים עתידיים בתמיכה בה. ויידן הגיש רשימה של 350 כתובות רשת פדרליות הפגיעות לחשיפה זו, וביקש לקבל מענה בלתי מסווג ותוכנית פעולה עד ל-20 בנובמבר 2026.
הפרצה בפרוטוקול: HTTPS לבדו כבר לא מספיק
המקור לבעיה נעוץ באופיו של פרוטוקול HTTPS הסטנדרטי. כיום, כמעט כל אתר ממשלתי מצפין את תוכן הדפים שבהם צופים המשתמשים ואת הטפסים שהם ממלאים. עם זאת, בעת כינון ההתקשרות המאובטחת, הדפדפן מעביר את שם המארח (hostname) בשדה גלוי בשם ציון שם השרת (Server Name Indication - SNI) - עוד לפני שההצפנה נכנסת לתוקף.
פירוש הדבר הוא שגורם המנטר את התקשורת ברשת מסוגל לדעת שהמשתמש גלש לכתובת ספציפית, אף שאינו יכול לקרוא את התוכן שהועבר. טכנולוגיית ECH נועדה לסגור את הפער הזה על ידי הצפנת שלב "לחיצת היד" (handshake) של ההתקשרות. היא פועלת בצורה מיטבית כאשר היא מיושמת מאחורי רשת חלוקת תוכן (CDN) גדולה, שבה אלפי אתרים חולקים שם חיצוני משותף. כך, מנטר חיצוני יכול לדעת שהמשתמש פנה לשרת ה-CDN, אך לא לאיזה אתר ספציפי.
מתלונות על זכויות אזרח ועד שגרירויות במדינות עוינות
ברשימה שהגיש הסנאטור נכללות כתובות המארחות אתרים רגישים של הרשות המבצעת. בין הכתובות החשופות למעקב:
פורטל הדיווחים של ה-FBI (tips.fbi.gov) - מופעל על גבי תשתיות Cloudflare, התומכות ב-ECH, אך הסוכנות לא הפעילה את התכונה בהגדרות המערכת.
קו החירום למניעת התאבדויות של משוחררי צבא ארה"ב (veteranscrisisline.net) - מופעל על גבי שירותי הענן של אמזון (AWS), אשר אינם תומכים כיום ב-ECH.
מתוך 350 הכתובות ברשימה: 191 כתובות (54.6%) שייכות לדרג הדיפלומטי, ובהן 174 אתרי שגרירויות, 3 קונסוליות ו-14 משלחות לארגונים בינלאומיים כמו נאט"ו והאו"ם. 53 כתובות הן תת-דומיינים של מוסדות חינוך ילידיים (BIE). 12 כתובות משמשות בסביבות בדיקה ואימון ממשלתיות. 94 כתובות רגישות נוספות, ובהן הקו החם לתלונות של משרד הביטחון המולדתי (DHS), פורטל הדיווח על פגיעה בזכויות אזרח של משרד המשפטים, אתר הגשת מועמדות לעבודה בקהילת המודיעין, טופס דיווח של רשות ההגירה (USCIS), אתר לאיתור עצורים של ICE, ואתרי מידע בריאותי רגישים.
כפי שציין ויידן במכתבו, עבור דומיינים פדרליים שמשתמשים בספקית CDN התומכת ב-ECH, כדוגמת Cloudflare, הפעלת ההגנה דורשת עדכון הגדרות בלבד.
האתגרים ביישום: ספקיות הענן והחסימות ברוסיה
למרות היתרונות של ECH, יישומו המלא מעמיד אתגרי תפעול ומדיניות מורכבים:
פער בין ספקיות הענן: בעוד שבחברת Cloudflare התכונה מופעלת כברירת מחדל בחשבונות חינמיים אך דורשת הפעלה יזומה בחשבונות בתשלום, ספקיות כמו AWS עדיין אינן תומכות בה. דרישה להתנות חוזים פדרליים בתמיכה ב-ECH עשויה להפעיל לחץ מסחרי על אמזון ומתחרותיה, אך בטווח הקצר היא עשויה לצמצם את אפשרויות הרכש הממשלתיות.
מגבלות טכניות: טכנולוגיית ECH לבדה אינה מעניקה אנונימיות מוחלטת. אם המשתמש מבצע שאילתת מערכת שמות מתחם (DNS) בלתי מוצפנת, או לפי כתובת ה-IP של השרת, הכתובת עדיין עלולה להיחשף. מסיבה זו, ECH פועל ביעילות מרבית רק בשילוב עם שירותי DNS מוצפנים.
חסימות במדינות עוינות: יישום ECH באתרים דיפלומטיים נתקל במכשולים גיאופוליטיים. רוסיה החלה לחסום את טכנולוגיית ECH של Cloudflare בנובמבר 2024, לאחר שרגולטור התקשורת המקומי (Roskomnadzor) קבע כי שימוש בה מהווה הפרה של החוק. כתוצאה מכך, הפעלת ECH באתר השגרירות האמריקאית במוסקבה (ru.usembassy.gov) עלולה לגרום לכך שהאתר יהיה חסום לחלוטין עבור גולשים מתוך רוסיה.
הדפדפנים המובילים תומכים ב-ECH מאז אוקטובר 2023, ומערכת ההפעלה Android 17 הוסיפה באוגוסט 2026 תמיכה בטכנולוגיה ברמת המערכת. כעת נותר לראות אם סוכנויות CISA ו-OMB יציגו תוכנית פעולה עד לתאריך היעד שהציב הסנאטור ב-20 בנובמבר 2026.
למה זה חשוב לך
גם בישראל רבים מהשירותים הממשלתיים והבנקאיים מסתמכים על אותו תשתית הצפנה בסיסית, כך שחולשת ה-SNI הגלוי עלולה לחשוף גם גולשים ישראלים לזיהוי האתרים שבהם הם גולשים, גם אם תוכן הגלישה עצמו מוצפן. כאשר מדובר באתרים רגישים כמו שירותי בריאות, פניות לרשויות אכיפת חוק או פורטלים לדיווח על פגיעות זכויות - עצם הידיעה שגולש ביקר בהם עלולה לחשוף מידע אישי רגיש. אימוץ טכנולוגיות כמו ECH בעולם, כולל בישראל, עשוי בעתיד לשפר משמעותית את הפרטיות הדיגיטלית של משתמשי אינטרנט מן השורה. מי שרוצה להגן על עצמו כבר היום יכול לבדוק אם הדפדפן והרשת שבהם הוא משתמש תומכים ב-ECH ובשירותי DNS מוצפנים.
קראו גם: כמענה למחסור בפועלים: רובוטים אוטונומיים ייכנסו לאתרי השיפוצים בישראל · סדק נוסף במונופול אפל: אוסטרליה מחייבת פתיחת ה-iPhone למתחרים
