אחד מחברי הפורום העברי למק, Mac-It, העלה את השאלה: “למה אין וירוסים למק? לא ניתן לעשות אותם או הקהילה יחסית קטנה ואף אחד לא רוצה לעשות את זה?”

את התשובה ש-Odedia נתן לו, חשבתי שצריכים לדעת:

בקורסים על אבטחה שאני מעביר, מוקדש חלק ניכר מהזמן להבין את ההבדל בין 2 גישות:

Security by obscurity
Secrity by design

את הראשון מיקרוסופט מממשת.
את השני אפל (ושאר מערכות היוניקס) מממשת.

Security by obscurity אומר שהמערכת מממשת מנגנוני אבטחה על ידי "הסתרת" או "החבאת" מידע מהמשתמש. לדוגמא, לא נגלה לעולם איך כתבנו את הקרנל [הגרעין הבסיסי של מערכת ההפעלה], ואז נוכל לממש שם מה שבא לנו, בלי לחשוב הרבה על אבטחה, כי ממילא אף אחד לא יודע איך כתבנו את זה (הקוד "סגור").

הודות לגישה המדהימה הזו, הקרנל של Windows Vista נפרץ שבוע אחרי שגרסת הבטא הייתה זמינה לציבור.

הגישה של אפל אומרת: כולם יודעים בדיוק איך אנחנו מממשים אבטחה. אנחנו רוצים שאנשים יבינו איך אנחנו מממשים אבטחה. כל אחד יכול לקרוא מסמכים שמסבירים איך עשינו את זה. הסוד היחיד הוא אותו Private Key (במערכות WEB), או סיסמת משתמש Root/Administrator במערכת ההפעלה. ברגע שאתה מבין שכולם יודעים איך אתה מממש את האבטחה במערכת, הפיתוח נעשה בראש אחר לגמרי. הקרנל של המקינטוש הוא קוד פתוח. כל אחד רשאי להוריד אותו ולראות איך הוא ממומש. כמו כן, כל אחד רשאי לשנות אותו ולהציע את השינויים לאפל. גישת האבטחה היא יותר מעמיקה. האבטחה נעשית בזמן תכנון המערכת, ולא כפיתרון של טלאי פה וטלאי שם ברגע שמגלים את ה"סוד".

ההסבר ממשיך בכך שהיכול להיות וירוסים למק, אבל נגרמים בעיקר על ידי “טעות אנוש”:

אם המשתמש לא מבין הרבה, הוא יכול להוריד משהו מהאינטרנט,והדבר הזה בכלל אפליקציה.
המערכת תגיד למשתמש "הלו, שים לב, זה לא התמונה שחשבת, זה בכלל אפליקציה. בטוח שאתה רוצה להריץ את זה??"
המשתמש ההדיוט פשוט ילחץ "כן".
המערכת תודיע למשתמש "שמע, אני חושב שאולי יש כאן בעית אבטחה, אני מבקש את סיסמת המערכת כדי להריץ את האפליקציה הזאת."
המשתמש ההדיוט פשוט יכניס את הסיסמא ויקיש "OK".
ייתכן שהמערכת שוב תשאל את המשתמש שאלה כדי לוודא שהוא סגור על עצמו.
המשתמש שוב יגיד "אוקיי… DUHHHH….."
ואז האפליקציה יכולה לעשות הרבה נזק. לא המון – היא בעיקר תוכל לעשות נזק לתיקיית המשתמש, ובאופן נדיר גם לתיקיות מערכת.
בסופו של דבר, החוליה החלשה היא תמיד המשתמש.

ולסיכום:

בגלל שכולם [מפתחים, האקרים ומי שמחפש] יודעים את מנגנון האבטחה, מפתחי המערכת לא יכולים להסתמך על הרעיון שהאבטחה היא "סוד כמוס", ולכן הם יממשו מערכת יותר עמידה בפני פורצים. הרי אם כולם יודעים [איך] תכננתי את המערכת, המערכת צריכה להיות מספיק חכמה כדי להגן על המשתמש גם כשההאקר יודע איך הקרביים של המערכת עובדת. כמו כן – בגלל שכולם יודעים איך המערכת עובדת, כולם יכולים להתריע בפני פירצות אבטחה שונות. קהל בודקי התוכנה כבר לא מוגבל למאות הטסטרים של אפל, זה כבר מאות אלפי המפתחים ברחבי העולם.

השרשור בפורום Mac-It