🕯️ שבת שלום , וחג שמח לכולם
שנשמע רק בשורות טובות 🙏

יש בפוסט הזה הודעה סודית. היא מול העיניים שלכם, ואתם לא רואים אותה.

ב-Unicode יש תווים בלי שום צורה. קוראים להם Zero-Width, ברוחב אפס. המחשב סופר אותם, מעתיק אותם ושולח אותם הלאה, והעין לא רואה כלום.

תבחרו שניים מהם, אחד יהיה 0 והשני 1, ואפשר לכתוב בהם כל דבר. אפשר להחביא ככה משפט שלם בתוך משפט רגיל. כמו המשפט הזה.

נפגשים‍‍‌‍‌‍‍‍‍‌‍‌‍‌‍‌‍‍‌‍‌‍‍‍‍‌‌‍‌‌‌‍‍‍‌‍‌‍‍‍‍‌‌‍‍‌‌‍‍‍‌‍‌‍‍‍‍‌‌‍‌‌‌‌‌‌‍‌‌‌‌‌‍‍‌‍‌‍‍‍‍‌‌‍‌‌‌‌‍‍‌‍‌‍‍‍‍‌‍‌‍‌‍‌‌‌‍‌‌‌‌‌‍‍‌‍‌‍‍‍‍‌‌‍‌‍‌‌‍‍‌‍‌‍‍‍‍‌‌‍‌‌‍‍‍‍‌‍‌‍‍‍‍‌‌‍‍‌‌‍‍‍‌‍‌‍‍‍‍‌‍‌‌‌‌‍‍‍‌‍‌‍‍‍‍‌‍‌‌‍‍‍‌‌‍‌‌‌‌‌‍‍‌‍‌‍‍‍‍‌‌‍‌‌‌‌‍‍‌‍‌‍‍‍‍‌‌‍‌‍‌‍‍‍‌‍‌‍‍‍‍‌‌‍‍‍‍‍‌‌‍‌‌‌‌‌‍‍‌‍‌‍‍‍‍‌‍‌‌‍‍‍‍‍‌‍‌‍‍‍‍‌‌‍‍‌‌‍‌‌‍‌‌‌‌‌‍‍‍‍‌‌‌‌‍‌‌‍‍‍‍‍‍‌‌‍‌‍‌‌‍‌‌‍‌‌‌‍ מחר בשמונה ליד הקפה הרגיל?

וזה לא רק משחק. ככה מסמנים מסמכים פנימיים: כל עובד מקבל עותק שנראה זהה, עם רצף נסתר אחר. מישהו הדביק את הטקסט בפורום? יודעים בדיוק מאיפה הוא דלף.
ויש גרסה מסוכנת יותר: הוראות נסתרות בתוך טקסט שמדביקים ל-AI. אתם לא רואים אותן, המודל כן.

בניתי רנטגן לטקסט. הקובץ בהודעה הבאה. מדביקים טקסט והוא מראה כל תו נסתר, מפענח הודעות מוחבאות, ותופס גם אותיות מתחזות (а קירילית שנראית בדיוק כמו a) ותווים שהופכים קובץ exe ל"pdf". יש בו גם לשונית הפוכה: כותבים משפט תמים ומחביאים בו סוד.

האתגר:
1. העתיקו את הפוסט הזה, את כולו
2. הדביקו בכלי
3. מצאתם את מילת הקוד? כתבו אותה בתגובות

בונוס: תחביאו הודעה ותשלחו לחבר. נראה אם הוא שם לב 👀

הכלי רץ רק אצלכם, בלי אף בקשת רשת. למטרות לימוד והגנה.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

שאלתם בתגובות איך ההודעה הסודית עובדת, ואם אפשר להקליד את התווים האלה. אז הנה הפירוק המלא.

━━━━━━━━━━━━
1. למחשב אין אותיות
יש לו רק מספרים. האות "א" היא 1488, האות "A" היא 65. ה-Unicode היא טבלה ענקית של יותר מ-150 אלף תווים כאלה.

רובם אותיות וסימנים. חלק קטן בכלל לא מצויר על המסך. הם הוראות לתוכנה שמציירת את הטקסט.

2. התווים השקופים לא הומצאו בשביל האקרים
התו ZWJ (U+200D) מדביק תווים. ככה 👨 ו-💻 הופכים ל-👨‍💻. האימוג'י הזה הוא בעצם שלושה תווים, והאמצעי שקוף.
התו ZWNJ (U+200C) עושה את ההפך ומונע חיבור בין אותיות בפרסית.

הם חלק משפות אמיתיות ומאימוג'י, אז אפליקציות לא יכולות פשוט למחוק אותם. בגלל זה הטריק עובד.

3. ככה ההודעה נכנסת לטקסט
לוקחים את הסוד והופכים אותו לבייטים. כל בייט הוא 8 ביטים. כל 0 הופך ל-ZWNJ, וכל 1 הופך ל-ZWJ.
האות A היא 01000001, כלומר שמונה תווים שקופים.
אות עברית תופסת שני בייטים, אז 16 תווים. ההודעה מהפוסט הקודם הייתה 45 בייטים, ולכן 360 תווים בלתי נראים. בדיוק המספר שהכלי הראה לכם.

4. אפשר להקליד אותם?
כן, בלי שום כלי:
ב-Word: מקלידים 200D ולוחצים Alt+X
ב-Linux: לוחצים Ctrl+Shift+U, מקלידים 200d ולוחצים Enter
ב-Mac: מוסיפים את המקלדת Unicode Hex Input, מחזיקים Option ומקלידים 200D
בקוד: "\u200d", ובאתר: ‍

ב-200C מקבלים את ה-0. ככה, תו אחרי תו, אפשר לכתוב הודעה סודית ביד. בטלפון אין דרך נוחה, שם מעתיקים מהכלי.

5. למה זה מעניין מבחינת אבטחה
שני שמות משתמש יכולים להיראות זהים לגמרי, כש-admin אחד מסתיר תו שקוף בפנים. בקוד, שורה אחת מנקה הכול:
re.sub(r"[\u200b-\u200f\u2060\ufeff]", "", text)
רק שימו לב: היא גם מפרקת את 👨‍💻 לשני אימוג'י נפרדים.

━━━━━━━━━━━━
האתגר
גם בפוסט הזה מוחבאת הודעה. הפעם מפענחים בלי הכלי: בהודעה הבאה יש סקריפט Python קטן, בלי שום התקנה.
1. העתיקו את הפוסט
2. הריצו python zw.py reveal. הסקריפט קורא ישר מהלוח
3. כתבו בתגובות מה מצאתם

בונוס לסקרנים: python zw.py explain ש מראה צעד אחר צעד איך אות אחת הופכת לשקופה.

ועל איזה נושא בא לכם את הפירוק הבא? כתבו בתגובות.

למטרות לימוד והגנה.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

ויזה קונה חברה ישראלית ב-2.4 מיליארד דולר. מה היא יודעת לעשות? לזהות אתכם לפי איך שאתם מקלידים.

החברה היא BioCatch מתל אביב. הבנקים שעובדים איתה לא בודקים רק אם הסיסמה נכונה. הם בודקים איך הקלדתם אותה.

לכל אחד יש קצב משלו. כמה זמן האצבע נשארת על כל מקש, כמה זמן עובר בין מקש למקש. אצל אחד th יוצא ב-60 מילישניות, אצל אחר ב-200.

ביחד זו טביעת קצב. מישהו שגנב לכם את הסיסמה עדיין מקליד אותה כמו עצמו, והמערכת שמה לב.

בניתי כלי שעושה בדיוק את זה. הקובץ בהודעה הבאה. מקלידים 6 פעמים hack the planet, הוא לומד את הקצב שלכם ומנסה לתפוס מתחזים.

האתגר:
1. פתחו את הקובץ במחשב והירשמו
2. תנו למישהו בבית להקליד את אותו משפט
3. כתבו בתגובות כמה אחוז התאמה הוא קיבל

בונוס: הכלי מצייר לכם את טביעת הקצב. מי מצליח לחקות חבר ולעבור את הבדיקה? 👀

הכול רץ אצלכם, בלי רשת ובלי שמירה. למטרות לימוד והגנה.

תעבירו לחבר שבטוח שסיסמה חזקה זה כל מה שצריך. ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

הקלדת אימייל בטופס, התחרטת, סגרת. מאוחר מדי. האתר כבר קיבל אותו.

רובנו חושבים שכל עוד לא לחצנו "שלח", שום דבר לא יצא. אבל הדפדפן יורה אירוע על כל תו שאתם מקלידים, וכל סקריפט בדף יכול להאזין לו ולקרוא את הערך בזמן אמת. כולל סקריפטים של חברות פרסום ומעקב שהאתר הטמיע.

זה לא תיאוריה. מחקר Leaky Forms סרק 100 אלף אתרים מובילים ומצא שבכ-2,950 מהם האימייל נשלח לחברות מעקב עוד לפני הלחיצה על שלח. ב-52 אתרים דלפה גם הסיסמה.

בניתי הדגמה חיה. הקובץ בהודעה הבאה. מצד אחד טופס הרשמה רגיל, מצד שני בדיוק מה שהדף רואה ומתי "שולח" אותו. תקלידו אימייל ותראו אותו עף החוצה באמצע ההקלדה.

האתגר:
1. פתחו את הקובץ והתחילו למלא את הטופס (אל תשתמשו בסיסמה אמיתית)
2. עצרו רגע לפני הכפתור. תסתכלו ימינה. מה כבר "נשלח"?
3. כתבו בתגובות באיזה שלב האימייל שלכם דלף

בונוס: עברו לשדה הסיסמה וחזרו. מה קרה? 👀

שום דבר בדמו לא יוצא מהמחשב שלכם, הקונסולה מדמה את מה שהיה נשלח. בעולם האמיתי זה חוסם מעקב כמו uBlock Origin שעוצר את זה.

הכול רץ אצלכם, בלי רשת ובלי שמירה. למטרות לימוד והגנה.

תעבירו לחבר שבטוח ש"לא שלחתי כלום" אומר שהוא בטוח. ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

התמונה הזאת נראית רגילה לגמרי. בתוך הפיקסלים שלה מוחבאת הודעה, ואי אפשר לראות אותה.

כל פיקסל הוא שלושה מספרים: אדום, ירוק, כחול. תשנו את הספרה הכי קטנה בכל אחד, והצבע זז בצעד אחד מתוך 255. העין לא קולטת הבדל. אבל שם, בביט הקטן, אפשר לכתוב כל דבר. קוראים לזה סטֶגנוגרפיה: לא להצפין הודעה, אלא להסתיר שבכלל קיימת הודעה.

בניתי כלי שעושה בדיוק את זה. הקובץ בהודעה הבאה. בוחרים תמונה, כותבים סוד, ומקבלים תמונה שנראית זהה אבל נושאת את ההודעה. אפשר להוסיף מפתח, ואז בלי המפתח יוצא ג'יבריש.

האתגר:
1. פתחו את הכלי, החביאו מילת קוד בתמונה והורידו אותה
2. שלחו אותה למישהו כאן, והוא יחשוף אותה בלשונית "חשיפה"
3. כתבו בתגובות כמה פיקסלים השתנו. אצלי זה פחות מאחוז

מלכודת אחת וחשובה: שלחו את הקובץ במצב קובץ/Document, לא כתמונה. טלגרם דוחס תמונות ל-JPG, והדחיסה מוחקת את הביטים הנסתרים. בדיוק אותו לקח של "שלח כקובץ" מהפעם הקודמת, רק מהכיוון ההפוך: הפעם הדחיסה דווקא עובדת לרעתכם.

הכול רץ אצלכם, בלי רשת ובלי שמירה. הסתירו רק תוכן שלכם. למטרות לימוד והגנה.

מי מצליח להסתיר הודעה שחבר לא מוצא גם כשהוא יודע שהיא שם? ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

🤖 מתעניינים בבינה מלאכותית (AI)? זה בשבילכם!

רוצים להישאר מעודכנים בעולם ה-AI, להכיר כלים חדשים ולגלות מה חדש בתחום שמתפתח בקצב מטורף? 🚀

מוזמנים להצטרף לקהילת Tech Cyber AI Israel ולעקוב אחרי תכנים בנושא בינה מלאכותית וטכנולוגיה.

🔗 להצטרפות לקהילה:
https://t.me/tech_cyber_ai_israel

🔥 אל תישארו מאחור — העתיד כבר כאן!

הורדתי שני חוזים. באחד כתוב 100 ₪, בשני 100,000 ₪. מבחינת ווינדוס זה אותו קובץ בדיוק.

לכל קובץ יש טביעת אצבע דיגיטלית, hash. משנים פסיק אחד, וכל המספר משתנה. ככה בודקים שהורדה לא שונתה, וככה חותמים דיגיטלית על מסמכים. אבל ב-MD5 זה כבר לא עובד: אפשר לייצר שני קבצים שונים עם אותה טביעת אצבע בדיוק.

וזה לא תיאורטי. ב-2012 הנוזקה Flame זייפה ככה חתימה של מיקרוסופט והתחזתה לעדכון של Windows Update. ועכשיו Git מתכוננת להיפרד גם מ-SHA-1 ולעבור ל-SHA-256.

בניתי כלי, הקובץ בהודעה הבאה. יש בו את שני החוזים, תרגיל שבו בית משפט "מאשר" את החוזה המזויף, ובודק hash לכל קובץ שאתם מורידים.

האתגר (אל תאמינו לי, תבדקו):
1. הורידו מהכלי את שני החוזים
2. בסייר הקבצים, בתיקיית ההורדות, כתבו cmd בשורת הכתובת ולחצו Enter
3. הריצו:
certutil -hashfile contract_A.bin MD5
certutil -hashfile contract_B.bin MD5
4. ועכשיו אותו דבר עם SHA256 במקום MD5

כתבו בתגובות מה יצא לכם 👀
במק: md5 contract_A.bin · בלינוקס: md5sum contract_A.bin

הכלל: לבדיקת הורדות ולכל דבר שקשור באבטחה, רק SHA-256. MD5 ו-SHA-1 טובים היום רק למציאת קבצים כפולים.

הכול רץ אצלכם, בלי רשת ובלי שמירה. למטרות לימוד והגנה.

תעבירו למי שעדיין בודק הורדות עם MD5. ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

תוכנת גיבוי לגיטימית התקינה דלת אחורית למשתמשים שלה. לא פריצה לתוכנה, פשוט עדכון רגיל שהגיע מהשרת הרשמי.

ככה עבדה המתקפה על AOMEI Backupper החודש, לפי מה שחשפו Google ו-Mandiant: תוקפים שינו את קובצי העדכון בשרת של החברה למשך 5 עד 10 דקות בכל פעם. כל מי שהתוכנה שלו בדקה עדכון בדיוק אז, הוריד דלת אחורית. הסיבה שזה עבד: העדכונים לא היו חתומים דיגיטלית, אז לתוכנה לא הייתה דרך לדעת שהקובץ זויף.

החתימה הדיגיטלית היא בדיוק מה שהיה חוסם את זה. היא מוכיחה שני דברים: מי יצר את הקובץ, ושאף אחד לא נגע בו מאז. אם קובץ שונה אחרי החתימה, היא נשברת.

אז כתבתי סקריפט ל-PowerShell שעושה את זה על המחשב שלכם: עובר על כל מה שרץ אוטומטית בהדלקה, ובודק לכל תוכנה אם היא חתומה ומי חתם עליה. הוא מסמן באדום תוכנות לא חתומות, תוכנות ששונו אחרי החתימה, וכאלה שרצות מתיקיות זמניות. הקובץ בהודעה הבאה.

האתגר:
1. הורידו את הקובץ, לחצו עליו ימני ו-"הפעל עם PowerShell"
2. אם חוסם, פתחו PowerShell והריצו:
powershell -ExecutionPolicy Bypass -File .\startup-check.ps1
3. כתבו בתגובות כמה דברים רצים לכם בהדלקה, וכמה סומנו באדום 👀

הסקריפט רק קורא. הוא לא משנה כלום, לא מוחק כלום ולא שולח כלום לרשת. פתוח, תקראו לפני שמריצים.

שורה אחת שחשוב לזכור: חתימה תקינה היא לא אישור. התוקפים של AOMEI התקינו גם כלי שליטה מרחוק שהיה חתום כדין. החתימה עונה על "מי יצר ולא שינו", לא על "אפשר לסמוך".

מצאתם משהו שאתם לא מכירים? אל תמחקו, תחפשו את השם קודם. ועל מה בא לכם את הפוסט הבא?

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat