הוועדה המיוחדת לענייני מחקר ופיתוח מדעי וטכנולוגי, כנסת 15, פרוטוקול מספר 66, 2001-08-12 10:00

מיכאל איתן: אני פותח את הישיבה.

מיכאל איתן: אני מודה לכל האורחים והמשתתפים שלנו על הנכונות להגיע לישיבה.

מיכאל איתן: אני שם לב לכך שיש לנו הרכב נכבד מאד של משתתפים.

מיכאל איתן: לפני שניגש לנושא עצמו, אני רוצה להציג בפניכם נושא אחר לגמרי, שלא קשור לסדר היום.

מיכאל איתן: כל האנשים שנמצאים כאן, מחוברים לנושא האינטרנט וטכנולוגיית המידע, ולכן רציתי להביא לידיעת

מיכאל איתן: כם שבשבוע האחרון לעבודת הכנסת אושר חוק הבזק.

מיכאל איתן: זה תיקון לחוק הבזק, אבל זה תיקון מקיף מאד, שכלל סעיפים רבים ושונים, שמסדירים את נושא התקשורת, מעדכנים אותו ומאפשרים התפתחויות חדשות לתחרות ולטכנולוגיות חדשות יותר.

מיכאל איתן: בטיוטה של הצעת-החוק היה גם סעיף שאני ביקשתי להכניס, שדיבר על כך שאחוז מסוים מהתמלוגים שהמדינה תקבל, יוקדש לצמצום הפערים הדיגיטליים.

מיכאל איתן: האוצר מאד התנגד להכללת הסעיף הזה בחוק, והתנהל משא ומתן, שבסיומו אני הסכמתי לוותר, אבל בתמורה קיבלתי התחייבות חתומה משר האוצר - על דעתו של ראש-הממשלה, וגם בסיכום עם הדרג המקצועי של ראשי אגף התקציבים באוצר - שהממשלה תקצה 400,000,000 שקל לנושא צמצום הפער הדיגיטלי, במסגרת תכנית של הקמת 100 מרכזים קהילתיים בשכונות ובעיירות פיתוח.

מיכאל איתן: לכל מרכז כזה יוקצה סכום של 4,000,000 שקל לפעילות של שלוש שנים.

מיכאל איתן: הכוונה היא לנסות להפוך את המרכזים האלה למוקדי הטמעה של הטכנולוגיה.

מיכאל איתן: אני עומד להיפגש עם שר האוצר בימים הקרובים, כדי להתחיל להזיז את העניין קדימה.

מיכאל איתן: מדוע אני מזכיר את העניין הזה כאן?

מיכאל איתן: מאד מעסיק אותי העניין של התכנים.

מיכאל איתן: יש לנו קשר עם משרד החינוך.

מיכאל איתן: המרכזים האלה יפעלו גם בשעות הבוקר לטובת אוכלוסיית התלמידים של האזור, של השכונה, או של הקהילה.

מיכאל איתן: במרכזים האלה ילמדו, או ינסו להשלים את מה שהתלמידים בבתי-הספר היו צריכים ללמוד בקורסים בסיסיים.

מיכאל איתן: משעות הצהרים ועד השעות המאוחרות של הערב המרכזים אמורים להיות פתוחים לקהילה.

מיכאל איתן: הם אמורים להיות פתוחים לקהילה בנושאים שונים, החל מנושאים של הכשרה מקצועית, וכלה נושאים שקשורים במתן שירותים לאזרח.

מיכאל איתן: הכוונה היא שהמרכזים האלה יהיו גם מרכזי שיווק לפעילויות, לשירותים, למחשבים - ויסייעו גם בתמיכה טכנית לתושבים - ואפילו מעבר לכך בנושאים רבים ומגוונים.

מיכאל איתן: הכוונה היא שהמרכזים האלה יהפכו להיות לא רק מקום שיש בו 40 מחשבים והוא נותן שירות לאותם 40 מחשבים, אלא שייתן גם שירות לכל אותם בעלי מחשבים שנמצאים באזור על-ידי מערכת שתהיה מחוברת ברשת למרכזים ארציים, והיא תוכל לספק תכניות שונות של תמיכה מרכזית.

מיכאל איתן: אפשר לתת כדוגמה סיוע לתלמידים בבחינות בגרות.

מיכאל איתן: אם אנחנו רוצים לאפשר לתלמידים בשכונות האלה לקבל איזשהו סיוע בלי יכולת לתת להם שיעורים פרטיים, אם יהיה לנו מרכז ארצי לעזרה שיופעל על-ידי מדריכים בכל מרכז ומרכז, נוכל לפתח מערכות כאלה.

מיכאל איתן: לכל מרכז יהיה צוות ובו ארבעה אנשים ומנהל אדמיניסטרטיבי, כלומר: שני מדריכים בשתי משמרות.

מיכאל איתן: הם יאפשרו לאנשים לקבל את השירותים ולהיות מתווכים בין הרשת לבין המגע הפיסי.

מיכאל איתן: אין הכוונה שאנשים יצטרכו לקבל שירותים ולקבל תכניות רק דרך הרשת, אלא תהיה להם אפשרות להיעזר גם בגורם אנושי, שיהיה קרוב מאד לבתים שלהם.

מיכאל איתן: אם יש ביניכם גורמים שיש להם עניין לעזור, לשווק, או להשתתף בכך, אני אשמח מאד.

מיכאל איתן: אנחנו נקיים יום עיון, על מנת שנוכל להרחיב את התכניות שלנו ולשמוע הערות.

מיכאל איתן: זה פרויקט בקנה מידה גדול מאד, אפילו בהיקפים בינלאומיים.

מיכאל איתן: יהיה שיתוף פעולה גם עם גורמים בינלאומיים, על-מנת לעשות הערכה לפרויקט, ולבדוק איך הוא עומד ביחס למקומות אחרים בעולם.

מיכאל איתן: תודה רבה על ההקשבה, וסליחה על הזמן שגזלתי.

מיכאל איתן: עכשיו נעבור לנושא שעומד על סדר היום.

מיכאל איתן: בגדול, אני קראתי את התקנות, אבל לפני שאנחנו נכנסים לדיון בתקנות עצמן - ובטח נשמע כאן הערות – אני רוצה לומר: התקנות הן בעצם אמצעי על מנת לממש את החוק.

מיכאל איתן: בלי התקנות אין כמעט חוק.

מיכאל איתן: רוב הפעילויות שהחוק מאפשר, לא יכולות להתבצע ללא התקנות.

מיכאל איתן: התקנות מתחלקות לשני סוגים.

מיכאל איתן: קבוצה אחת ביקשנו בחוק, שהוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי תאשר, ואת זה אני אומר לחבר-הכנסת אליעזר כהן שנמצא אתנו כאן והוא חבר הוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי.

מיכאל איתן: החוק הזה חוקק בכנסת, והוא יוזמה של משרד המשפטים, אבל בכנסת הוא חוקק על-ידי ועדה שהורכבה מוועדת החוקה, חוק ומשפט והוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי.

מיכאל איתן: תוך כדי מהלך החוק, אלמנטים מקצועיים יותר שקשורים לתקנות, העברנו לאישור הוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי, ואלמנטים שדורשים גם תקנות, צריכים להיות מאושרים על-ידי ועדת החוקה, חוק ומשפט.

מיכאל איתן: התוצאה היא שגם אם אנחנו מאשרים את התקנות, עדיין לא עשינו דבר עד שלא אושרו גם התקנות של ועדת החוקה, חוק ומשפט, ועד שהחוק ייכנס לתוקף.

מיכאל איתן: אני מקדים בהערה הזאת, משום שאני קראתי את התקנות.

מיכאל איתן: הן מאד מסובכות ומאד טכניות.

מיכאל איתן: אני לא מצאתי את ידיי ואת רגליי בתוך המינוחים.

מיכאל איתן: אני משבח את שר המשפטים שקודם פרסם את התקנות באתר.

מיכאל איתן: חשבתי שאולי נצטרך להשאיר אותן לעוד איזושהי תקופה כבקרה, כי ממילא אנחנו לא מרוויחים כלום אם אנחנו מאשרים אותן היום.

מיכאל איתן: יכול להיות שיהיו הערות, ויכול להיות שיש גורמים שירצו להתייחס לדברים והם אינם כאן.

ליהי פלדמן: מכיוון שהתקנות פורסמו באתר, התקבלו הרבה הערות.

מיכאל איתן: אני מדבר קודם על סדר היום שלנו, על לוחות הזמנים שלנו ועל ההיערכות שלנו לחוק.

מיכאל איתן: איפה אנחנו עומדים כרגע?

טנה שפניץ: כמו שאמרתי, ועדת הכספים אישרה את התקציב שלנו לנושא הזה רק בסוף יולי.

טנה שפניץ: זה כמובן מועד יחסית מאוחר ומאד מלחיץ.

טנה שפניץ: זה לא אומר שלא התחלנו הרבה קודם, ואני חושבת שליהי פלדמן את מיטב זמנה – ובעיקר לילותיה – הקדישה ללימוד הנושא כדי לשים אותו על הנייר כפי שהוא.

טנה שפניץ: לכן, לעניות דעתי, כדאי לאשר מה שאפשר.

טנה שפניץ: החוק נכנס לתוקף ב-4 באוקטובר.

טנה שפניץ: אנחנו בתקופת חופשות ובתקופת חגים, ויהיו עוד הרבה תוספות.

טנה שפניץ: אנחנו נהיה מוכנים לשנות את מה שצריך גם עד אז, אבל היה רצוי שלפחות נצא מפה "כמה שיותר סגורים על הדברים", לאור העובדה שבאמת ליהי היתה בקשר עם רוב האנשים, שהעירו הערות באופן שוטף.

טנה שפניץ: הדברים נעשו בשיתוף פעולה רב.

טנה שפניץ: קיימנו ועדה, שהשתתפו בה פרופסור שמיר, ושני פרופסורים מהטכניון, שנחשבים למומחים בתחום הזה.

טנה שפניץ: כמו-כן, השתתפו נציגי משרדי הממשלה ודורון שקמוני, שמאז ומתמיד "מחזיק לנו את היד" בנושא הזה.

טנה שפניץ: מייק סטון שיושב כאן הוא מומחה שהאוצר סייע לנו להעסיק אותו, בגלל שלא היה לנו תקציב.

טנה שפניץ: הוא הועסק על-ידי הממשלה, והוא הגיש לנו מסמך טכני מאד גדול.

טנה שפניץ: הושקעה עבודה מקצועית רבה מאד.

טנה שפניץ: גם אותי מפחידים כל המספרים והאותיות, אבל כנראה שאין ברירה, כי העבודה נעשתה על דעת המומחים.

טנה שפניץ: פרופסור שמיר באמת ליווה אותנו בהתנדבות ועזר לנו באופן שוטף.

טנה שפניץ: אנחנו עוד מפרטים את התקנות.

טנה שפניץ: אם אין לפחות תקנות מוגדרות, קשה גם לקבוע את ההנחיות לרשם, דווקא בדברים הטכניים.

טנה שפניץ: לכן, מה שאפשר לסגור – נסגור, ואם צריך לתקן – נתקן, אין שום בעיה.

אליעזר כהן: אני הייתי רוצה לשאול, עד כמה הריצו את הנושא הזה.

אליעזר כהן: האם ניסו את זה?

אליעזר כהן: האם הריצו את זה ונעשה איזשהו תרגיל בחומר, או שהכל עדיין בשלב התיאורטי?

מיכאל איתן: ראשית, אני רוצה לומר לך חבר-הכנסת כהן, שמגיע לך צל"ש.

מיכאל איתן: אנחנו מחוקקים את החוק הזה כבר תקופה ארוכה.

מיכאל איתן: הוא התחיל בחקיקת חוק, ועכשיו אנחנו נמצאים כבר בשלב התקנות.

מיכאל איתן: הכנסת הקימה ועדה, שהיתה מורכבת משמונה חברים, ואני עמדתי בראשה.

מיכאל איתן: מלבדי אף אחד לא הגיע לאף ישיבה של הוועדה, והתקיימו הרבה ישיבות, והן היו ארוכות.

מיכאל איתן: זאת פעם ראשונה מאז שהתחלנו, שיש עוד חבר-כנסת מלבדי, וזה אתה, ומגיע לך על כך ראשית יישר כוח.

אליעזר כהן: תן לי רק את השורות התחתונות.

מיכאל איתן: אבל אני בהחלט אבקש ממישהו שיתנדב לענות לך.

מיכאל איתן: אני יכול לנדב לך מהידע שלי, שאנחנו לא ממציאים את הגלגל.

מיכאל איתן: חוק שמכיר בחתימה אלקטרונית חוקק בעשרות מדינות ברחבי העולם, בטח בכל המדינות המתקדמות, או במרביתן.

מיכאל איתן: הטכנולוגיות שהן מאבטחות והטכנולוגיות שמאפשרות את ביצוע הפעולה הזאת, לא נותנות לך ביטחון מוחלט, כמו שגם כשאתה מסתמך על חתימה ידנית, אתה אף פעם לא יודע האם היא לא זויפה.

מיכאל איתן: הן נותנות לך לא פחות ביטחון מאשר חתימה ידנית.

מיכאל איתן: הרבה שאלות שקשורות בנושא של האבטחה הן שאלות טכנולוגיות, לפי הטכנולוגיה שקיימת היום.

מיכאל איתן: אחת הבעיות שהתמודדנו איתה היא באמת לקבוע בתקנות – שיותר קל לשנותן מדי פעם בפעם, ולא בחוק, כי בחוק קבענו רמה כללית – את הסטנדרטים של האבטחה, כי הם משתנים, ומה שהיום מאובטח, יכול להיות בעוד שנה כבר פסה.

מיכאל איתן: לכן, זה ישתנה מדי פעם בפעם בתקנות ולא בחוק עצמו.

מיכאל איתן: אם מישהו רוצה להשלים את הדברים לטובת חבר-הכנסת אליעזר כהן, בבקשה.

ליהי פלדמן: כמו שנאמר, האבטחה היא בשני מישורים.

ליהי פלדמן: המישור המשפטי של מערך איזונים בין חובות של המשתמש בחתימה וחובות של המסתמך על החתימה, נידון מפורשות בחוק.

ליהי פלדמן: התנהל דיון במשך הרבה מאד שעות, ואני לא אחזור עליו כאן.

ליהי פלדמן: זה השלב שכבר עברנו.

אליעזר כהן: זה סוג של לוחמה אלקטרונית.

מיכאל איתן: אני רוצה להוסיף, שפרופסור עדי שמיר, שהופיע פה בשלב החקיקה, ושני הפרופסורים שחברו אליו, הם אחד הצוותים הטובים בעולם בתחום הזה.

מיכאל איתן: אני לא אומר שהם הכי טובים, אבל אחד הטובים בעולם.

מיכאל איתן: לכן, אנחנו יכולים לסמוך על כך שמה שעומד מאחורי זה זאת לא ביקורת של דברים מעשיים, אבל ברמה התיאורטית הדברים כבר נבחנים על-ידי מוחות גדולים מאד.

חיים רביה: אני מבקש לומר שיש חשיבות גדולה לכך שהתקנות תאושרנה כבר היום, מפני שנדרשת ודאות לגורמים שפועלים בתחום הזה, הן למי שהולכים ומתגבשים כגורמים מאשרים, הן לחברות שמפתחות טכנולוגיה, והן למשתמשים.

חיים רביה: אני עצמי רוצה להשתמש בטכנולוגיה של חתימה אלקטרונית, ואני מבקש לדעת מה הם הקריטריונים, כדי שחתימתי אכן תיחשב כחתימה מאובטחת, כהגדרתה בחוק.

חיים רביה: ראיתי מנגנונים כאלה בחקיקה אמריקאית.

חיים רביה: כאשר הנושאים היו לא מובנים מאליהם, נאמר שאחת ל-X זמן, יגיש הגורם המטפל בחוק דו"ח לקונגרס בעניינים הללו.

חיים רביה: כך גם כאן.

חיים רביה: נדמה לי שבוודאי לאחר השנה הראשונה, צריך יהיה להפיק לקחים מן התקנות, שמא הן קבעו מחסומים טכנולוגיים נוקשים מדי, שאינם מאפשרים את השימוש הרחב בחתימה האלקטרונית, ואולי להפך, קבעו מחסומים נמוכים מדי.

מיכאל איתן: אני אענה לך על כך.

מיכאל איתן: עם כל הכבוד למשרד המשפטים ולשיתוף הפעולה שאין לי מילה אחת רעה להגיד עליו, הכנסת עם כל הכבוד, היא רשות אחרת ואסור לה להתבטל בפני משרד המשפטים.

מיכאל איתן: היא לא יכולה להפוך לחותמת גומי.

מיכאל איתן: לי אין כלים, כמו שיש למשרד המשפטים – למרות התקציבים הדלים - לאסוף אנשים ולממן אותם.

מיכאל איתן: אני צריך להתמודד עכשיו לבד עם דבר שהכינו לי והביאו לי.

מיכאל איתן: אני לא רציתי להיכנס למה שאתה רמזת עליו.

מיכאל איתן: אני לא רוצה למצוא את עצמי במצב, שמישהו יגיד לי: משרד המשפטים בתום לב אסף כמה מומחים, אבל מסתבר שכל המומחים האלה, גם באופן הטבעי לגמרי, קשורים בטכנולוגיות מסוימות, והם עשו לעצמם נישות פרטיות טובות לעצמם, ואתה ישבת וכמו אידיוט נתת לזה אישור, מי צריך אותך בכלל?

מיכאל איתן: יש עיקרון שיש רשות מבצעת ויש רשות מחוקקת, והחקיקה מתבצעת כאן ולא שם, ואנחנו לא חותמת גומי.

מיכאל איתן: אני עכשיו שואל את עצמי, מה אני כן יכול לעצמי.

מיכאל איתן: אני אומר שאם יבוא אליי אדם כזה ויאמר דברים אלה, אני אומר לו: אני קיבלתי מהם את התקנות, הרבה לא ידעתי, פרסמתי אותן באתר של הכנסת לכמה שבועות, לא שמעתי הערות, ולכן אישרתי אותן.

מיכאל איתן: לפחות אפשר לעקוב אחרי העניין.

מיכאל איתן: אני לא יכול בישיבה אחת לקבל דבר שאני לא מבין בו ולאשרו.

מיכאל איתן: לגבי התחולה, ממילא החוק עוד לא תקף.

מיכאל איתן: אני אניח את זה, אפרסם את זה באתר, וזה "ישכב" שם שבועיים-שלושה שבועות.

מיכאל איתן: למה הבעיה קיימת במיוחד לגבי התקנות?

מיכאל איתן: כי בניגוד לחוק ולעבודה של חקיקה, אין לי שום סמכות לשנות תקנות.

מיכאל איתן: ברגע שאישרתי אותן, הכדור ברח ממני ואני כבר לא יכול לשחק במגרש הזה.

מיכאל איתן: היוזמה לתקנות באה מהרשות המבצעת, ואני רק מאשר אותן.

מיכאל איתן: ברגע שאישרתי אותן, גמרתי את העניין.

מיכאל איתן: אני לא יכול לתקן אותן, אלא בתהליך של חקיקה, שהוא תהליך מורכב.

מיכאל איתן: אני מבקש שהתקנות האלה תהיינה תקפות לשנה, ובתום שנה הן תובאנה לאישור פעם נוספת.

מיכאל איתן: זאת נשמעת לי דרישה סבירה.

מיכאל איתן: אנחנו נפרסם אותן, וכך ננקוט בשני הצעדים גם יחד.

מיכאל איתן: נשאיר אותן מספר ימים באתר הכנסת בנוסח שיסוכם כאן.

מיכאל איתן: במקביל, עד ספטמבר אנחנו נאשר גם את התקנות בוועדת החוקה, חוק ומשפט.

מיכאל איתן: אז נזמן עוד ישיבה של הוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי, ואז כבר נאשר את התקנות האלה, ולא נפסיד דבר.

מיכאל איתן: לא יהיה אסון אם זה ייקח עוד כמה שבועות.

מיכאל איתן: אני לא חושב שזה יהיה הגורם שיעכב.

חיים רביה: לא התכוונתי לומר שהתקנות תהיינה תקפות לשנה בלבד, אלא שיהיה בהן מנגנון של REVIEW אחת לשנה.

מירב ישראלי: בדרך כלל המנגנון הנהוג - בארץ לפחות - כבקרה של הכנסת על הרשות המבצעת הוא באמת קביעה של תוקף מוגבל של התקנות, כשהרשות המבצעת מביאה את התקנות לאישור.

אליעזר כהן: זה מוכרח לקבל אלמנט של הרצה.

טנה שפניץ: אין לי בעיה שאחרי שנה נביא דיווח, ואפשר יהיה לתקן מה שצריך, אבל אני לא חושבת שזה טוב שגופים שמשקיעים סכומים מאד גדולים, יודעים מראש שהתקנות תקפות לשנה, ואז הכל מתחיל מחדש.

טנה שפניץ: זה נראה לי קצת בעייתי.

טנה שפניץ: עם זאת, אין לי שום בעיה אם אחרי שנה רוצים לתקן משהו, כי משרד המשפטים, לדוגמה, הקל מדי במשהו, אבל צריך להיות איזשהו ביטחון על מה בגדול "רצים" הגופים.

חיים רביה: לזו בדיוק היתה כוונתי.

טנה שפניץ: אבל נשמע את הגורמים, האם זה גורם להם לבעיה.

אלי טלמור: הטכנולוגיה שלנו היא טכנולוגיה חדשנית.

אלי טלמור: הנוסח של התקנות כמו שהוא מופיע היום, מאפשר ליישר את הטכנולוגיות החדשות במסלול מסוים, אבל לכל הטכנולוגיות כיום יש תקנים, לדוגמה, ולכן אנחנו מבקשים להרחיב את האפשרות לאשר טכנולוגיות חדשות.

מיכאל איתן: כשנגיע לסעיפים הרלוונטיים, אתה תעיר לנו את ההערה הזאת, ואנחנו נעדכן אותם.

מיכאל איתן: עכשיו אני מבקש לשמוע רק הערות לגבי הדילמה שמצד אחד כולנו בתחושה שאנחנו עומדים לצאת עם תקנות לשירות שאיש עוד לא הפעיל אותו, שאנחנו לא יודעים איך יתבצע ולא יודעים האם התקנות תהיינה מתאימות, והכי גרוע, האם לא תגרומנה לאיזה שהם עיוותים בשוק החופשי לטובת טכנולוגיות כאלה או אחרות, ומצד שני אנחנו גם רוצים לתת הרגשת יציבות, כלומר: לא להוציא מכאן תקנות שאנשים לא יוכלו להסתמך עליהן, כי הם חוששים שתוך פרק זמן הן ישתנו וכל מה שיעשו יירד לטמיון.

טנה שפניץ: זה נוגד את הכללים של כל העולם שבו אנחנו חיים, אבל אני רוצה לשמוע את הגורמים שנמצאים כאן, כי אני לא שמה את עצמי במקומם.

מיכאל איתן: מצד שני, אמרתי בהתחלה שגם יש הטעיות ודברים שהם לא בסדר, שבטח נפלו בשגגה, אבל אפשר לתקן אותם, זאת אומרת: אני לא מניח שהם לא יתוקנו.

מיכאל איתן: חיים, אתה דיברת בעצמך על איזה שהם מנגנונים של תיקונים תוך כדי.

חיים רביה: אני חושב שזה רעיון טוב, אם התקנות יישבו עוד X זמן לצורך קבלת תגובות, אבל השאלה היא האם שניים-שלושה גורמים שמתארגנים כגורמים מאשרים, יכולים להרשות לעצמם - -

מיכאל איתן: כבר עברתי על השאלה הזאת, וזה כך יהיה.

מיכאל איתן: עכשיו השאלה היא לגבי החלק השני שדיברתי עליו, האם אנחנו מקבלים את התקנות האלה עם איזושהי הערה, שבתום שנה הן יובאו לאישור מחודש של הוועדה לענייני מחקר ופיתוח מדעי טכנולוגי, או שאנחנו לא מכניסים את הסעיף הזה.

מיכאל איתן: יש תקדימים לסעיפים כאלה.

מירב ישראלי: בוודאי.

ליהי פלדמן: דו"ח שנתי.

מיכאל איתן: איזה דוגמאות יש לתקנות שתוקפן מוגבל?

מירב ישראלי: בוועדת החינוך והתרבות אישרנו עכשיו תקנות של הלעטת אווזים.

מירב ישראלי: יש טכנולוגיות של פיטום, שהיום מקובלות בעולם, אבל יש איזו ועדה אירופית שבודקת את הנושא, כי יש טענה שדרך הפיטום היא מאד אכזרית.

מירב ישראלי: ועדת החינוך והתרבות דנה בעניין הזה, ובסופו של דבר, הפשרה באמת היתה שהן יאושרו לשלוש שנים בלבד, ובתקופה הזאת יבדקו את הטכנולוגיות החדשות של פיטום האווזים - ואם בכלל, כי אולי בכלל הולכים לכיוון של הפסקת פיטום האווזים בעולם.

חיים רביה: אבל המשל לא דומה לנמשל מבחינה אחת.

חיים רביה: אני מניח שהטכנולוגיות של הלעטת אווזים לא מתפתחות בקו מקביל, אלא יש הקפאה אחת לכמה שנים, להבדיל מטכנולוגיות של הצפנה וחתימה אלקטרונית שהן בפיתוח מתמיד ומהיר מאד.

מירב ישראלי: על אחת כמה וכמה.

חיים רביה: נדמה לי שמנגנון שיאמר שאחת לשנה, רשם הגורמים המאשרים יגיש לוועדה דו"ח בדבר יישום החוק והתקנות, לרבות המלצות לעדכון טכנולוגי בתקנות ככל שנדרש, מנגנון כזה הוא מנגנון נכון.

מיכאל איתן: זאת תהיה הפשרה שלנו.

אבי נגר: אני מנכ"ל חברת "סקיורינט", שמתעתדת להיות אחד הגורמים המאשרים, ביום שאפשר יהיה להגיש את הבקשה.

אבי נגר: אני חושב שמנגנון שיאפשר לנו לא לאבד את ההשקעה אחרי פרק זמן, אלא לדעת שאנחנו רק מבצעים אדפטציות שמתחייבות מרמת הטכנולוגיה, זה בהחלט כיוון נכון מבחינתנו.

חנה אזולאי: אני מייצגת את חברת "קומדע", שגם אמורה להיות גורם מאשר.

חנה אזולאי: יש הבדל בין עדכון טכנולוגיות, כמו שאמר חיים רביה מקודם, לבין העובדה שצריך לאשר את התקנות כל שנה, כי בסך הכל יש טכנולוגיות מוכרות ויש תקנים בינלאומיים שאפשר לעמוד בהם.

מיכאל איתן: הסיכום כרגע לגבי שתי הסוגיות שהעליתי הוא כדלהלן: אל"ף – אנחנו נניח באתר האינטרנט של הכנסת את הנוסח של התקנות, כפי שנאשר אותן היום, ואת האישור הפורמלי נביא בישיבה הבאה; בי"ת – יתווסף לתקנות הסדר, שעל פיו כל שנה רשם הגורמים המאשרים יגיש דו"ח עם המלצות לעדכונים טכנולוגיים.

ליהי פלדמן: צריך לבדוק למי צריך להגיש.

מיכאל איתן: לוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי.

מירב ישראלי: האמת היא שגם בתקנות יש מנגנון לאישור טכנולוגיות חדשות.

חיים רביה: לא, אלה עדכונים בתקנות.

מיכאל איתן: לא משנה, אבל הרשם עושה את זה אצלו, זה משהו אחר.

מיכאל איתן: הוא יכול לאשר את הטכנולוגיות בלי לבוא הנה.

מיכאל איתן: בשום פנים ואופן אני לא רוצה לאלץ אותו לבוא הנה כדי לאשר טכנולוגיות, אלא לבוא הנה פעם בשנה, ואז יכול להיות שישאלו אותו שאלות, לדוגמה: למה הוא אישר את זה ולא את זה.

מיכאל איתן: אני רוצה שיהיה על זה פיקוח ושמישהו יצטרך לבוא לכאן ולהסביר למה הוא אישר את זה ולא את זה, אם יש מצב כזה.

יוסף חי אנג'ל: האם ניתן לקבוע בתקנות משך זמן לגבי העדכונים האלה לאישור הרשם?

יוסף חי אנג'ל: כיוון שהטכנולוגיות משתנות בקצב מהיר, יכול להיווצר מצב שעדכון הטכנולוגיות, או אישור הרשם לצורך הנושא, לוקח הרבה מאד זמן, ובעצם חברות מסוימות תלויות אז במשך הזמן, עד שמתקבל אישור לטכנולוגיות, כי כמו שאמרת, מחר הן יכולות להיות פסה.

יוסף חי אנג'ל: האם ניתן לשים איזושהי הגבלת זמן על העניין הזה?

מיכאל איתן: בדרך כלל כל פעולה בחוק צריכה להיעשות בזמן סביר.

מיכאל איתן: אני לא יכול לקבוע כעת כאן בחוק איזושהי מכסת זמן לבדיקות ולאישורים, כשאתה בעצמך אומר שאנחנו לא יודעים אפילו איזה טכנולוגיות יוגשו וכמה זמן יידרש.

מיכאל איתן: אני מניח שהרשם לא יהיה עמוס בעבודה רבה מדי, על מנת שיוכל לבצע את תפקידו כהלכה.

מיכאל איתן: אם יהיו קשיים בעבודת הרשם, כמו שיש קשיים בעבודתה של כל יחידה ממשלתית אחרת, השוק יעשה את שלו: תבואנה קובלנות לחברי-הכנסת, חברי-הכנסת יגישו שאילתות לשרים, והשרים ינזפו בו.

מיכאל איתן: אנחנו ניגש עכשיו לקריאת התקנות.

אהוד גלב: לפני שנכנסים לפרטים, קודם כל אני מצטרף למתלבטים ולברכות המומחים וכו', אבל אני רוצה להעיר שתי הערות.

אהוד גלב: לפי הערכתי, כל המערכת תלויה ביחסים קבועים: ישנו חותם, ישנו אירוע, לא חשוב מה האירוע, ואנחנו מחפשים איזשהו פתרון.

אהוד גלב: במקרה שלנו, אנחנו עוסקים בחותמים אקראיים ובאירועים אקראיים.

מיכאל איתן: מה זה חותם אקראי ומה זה אירוע אקראי?

אהוד גלב: למשל, יש לנו שורה ארוכה של חותמים, כמו: מפקח בגבול, שצריך לחתום על משאית שמגיעה.

אהוד גלב: אני לא יודע מתי הוא יחתום, האם יחתום וכו', כלומר: אני לא יכול להיות במצב שאני מעמיד מטעם משרד החקלאות 200 פקחים עם 200 חותמים שיחתמו כל יום.

מיכאל איתן: אני לא מבין את הבעיה.

אבי נגר: יש פה עניין של חותמת אישית וחתימה מוסדית, ואתה צריך להבדיל ביניהן.

אהוד גלב: אני שמעתי כאן שמדובר על חתימה אישית ועל חתימה מוסדית.

אהוד גלב: אין לי בעיה שמישהו שיושב במשרד שהוא משרד החקלאות, נכנס למערכת הזאת כמו כל מוסד או כל גורם מאשר אחר.

מיכאל איתן: אתם לא תהיו גורם מאשר.

אהוד גלב: סליחה, גורם חותם.

מיכאל איתן: אתם תוכלו להיות גורם חותם.

מיכאל איתן: הפקיד שלך שיקבל אמצעי להפקת חתימות – יחתום, וכשחתימתו תגיע אליך, היא תהיה חתימה תקפה כמו שהיא תהיה תקפה על נייר.

אהוד גלב: וזה ייעשה בשדה?

מיכאל איתן: זה יכול להיעשות בכל מקום.

מיכאל איתן: יהיה לו מעין מחשב עם סלולר, והוא ינפיק את התעודה על המחשב וילחץ על ה-ENTER, וזה יגיע אליך.

אהוד גלב: זאת נקודה אחת.

אהוד גלב: בתקנות שהופיעו באינטרנט, רשום שהשפה תהיה שפה עברית.

אהוד גלב: חלק גדול מהאנשים שלנו, במקרים רבים צריכים להיות קשורים או למערכת דוברת ערבית, או אנגלית, או שפה אחרת.

מיכאל איתן: כשנגיע לשפה, נדבר על זה.

ליהי פלדמן: כתוב גם בשפה העברית.

חזי כאלו: רציתי לשאול שאלה, הנוגעת לחלק של תקנות ועדת החוקה, חוק ומשפט וישימות החוק מול תקנות וחוקים קיימים.

חזי כאלו: במגזר הבריאות יש לנו שתי בעיות עם יישום החוק הזה.

חזי כאלו: צריך להחליט מה קורה עם התקנות הקיימות: אחת – תקנת הרוקחים, שמחייבת ניפוק תרופה מול מרשם פיסי ולא אלקטרוני, והשנייה – ניהול הרשומה הרפואית על-פי תקנות בריאות העם, שגם היא מחייבת ניהול פיסי של הרשומה.

חזי כאלו: איך יעמוד כל הנושא הזה מול החקיקה והתקנות הקיימות?

חזי כאלו: איך מסדירים את העניין?

ליהי פלדמן: הדיון הזה לא שייך לכאן, אלא לוועדת החוקה, חוק ומשפט.

ליהי פלדמן: אומר בקצרה, שקודם כל בחוק יש סעיף שמירת דינים, ולכן במקומות שבהם יש תנאים נוספים מעבר לחתימה עצמה, כמו: דברים פיסיים, החוקים האחרים יגברו ספציפית.

ליהי פלדמן: מלבד זאת, החוק מאפשר להחריג רשימה של פעולות, ואכן הועברה לוועדת החוקה, חוק ומשפט רשימה של חריגים מכל משרד.

חזי כאלו: וזה יופיע בתקנות של ועדת החוקה, חוק ומשפט?

ליהי פלדמן: מכוח החוק, זה יופיע בתקנות, שמצריכות אישור ועדה.

טנה שפניץ: כל פעם מתעורר מישהו אחר במשרד הבריאות עם בעיות.

טנה שפניץ: אנחנו פונים למשרדים השכם והערב ומבקשים מהנציגים להיערך ולתת לנו רשימת חריגים, אבל אנחנו לא מקבלים שום תגובה.

מיכאל איתן: אבל הוא לא ממשרד הבריאות, הוא דווקא בצד שמעוניין להשתמש בחתימה אלקטרונית.

חזי כאלו: אני נתקע עם שני החוקים האלה.

טנה שפניץ: אתם העליתם את זה בפעם הקודמת.

מיכאל איתן: אבל יש כאן איזושהי עובדה שכן הייתי רוצה לחדד.

מיכאל איתן: אם היום קופת חולים באמת רוצה להשתמש בחתימה אלקטרונית על מנת להעביר מרשמים - וזאת פעולה מאד חשובה – אני מבין מהדברים שלך, שהיא תשלח את המרשם עם החתימה האלקטרונית, אבל יהיה צורך גם לחתום פיסית.

ליהי פלדמן: אני לא מכירה את ההוראה הספציפית.

ליהי פלדמן: צריך לבדוק את ההוראה הספציפית.

טנה שפניץ: שהם יחליטו מה הם צריכים.

מיכאל איתן: לא, הם לא יכולים.

מיכאל איתן: לפי הפרשנות המשפטית של חזי כאלו, שהוא לא משפטן, אבל יכול להיות שהוא התייעץ עם משפטנים, רוקח יכול לתת תרופה, רק אם הוא מקבל פתק שפיסית נחתם בחתימה בכתב יד של הרופא.

מיכאל איתן: אם מחר בבוקר הרופא ישלח את החתימה לפציינט שלו, כי הרופא נמצא כעת בארצות-הברית, ומדובר באותם כדורים שהרופא קבע שהפציינט צריך לקחת, והפציינט כבר חיסל את מלאי הכדורים שהיה לו - כשהוא יבוא לבית-המרקחת, הרוקח ישאל אותו איפה המרשם, והוא יגיד לרוקח: הרופא שלי נמצא בחוץ-לארץ.

מיכאל איתן: הרוקח יאמר לו שהוא לא יכול לתת לו את הכדורים, והוא יגיד לו: אין בעיה, והוא יוציא שוב את אותו לפטופ של משרד החקלאות, יתקשר וישלח לו בחזרה תעודה חתומה בחתימה דיגיטלית, שהוא מאשר לתת לו את הכדורים.

מיכאל איתן: הוא ייתן את התעודה לרוקח, והרוקח יאמר לו: מצטער, אני חייב על-פי החוק לקבל חתימה חתומה פיסית בלבד, שהרופא ישלח בדואר.

טנה שפניץ: אבל אלה בעיות מהותיות.

מיכאל איתן: מה זה מהותיות?

מיכאל איתן: בשביל מה אנחנו מחוקקים את החוק?

טנה שפניץ: אנחנו לא באים פה לסדר במערכת מאד רגישה וחשובה את הדרך שבה היא תפעל.

טנה שפניץ: המשרד צריך להחליט, האם התעודה החתומה בחתימה דיגיטלית מחוץ-לארץ מספיקה או לא מבחינת האמינות הבריאותית.

טנה שפניץ: אני נותנת לו את האפשרות.

מיכאל איתן: את יודעת מה אנחנו עושים בשם הביטחון.

מיכאל איתן: אנחנו עושים המון דברים חשובים לביטחון המדינה, ואחר-כך מרחיבים.

מיכאל איתן: עבור הבריאות עושים אותו דבר, וגם עבור העלייה והחקלאות וכו'.

מיכאל איתן: התפקיד שלנו זה לנסות קצת ללחוץ עליהם, עם התקדמות הדברים, כדי להכניס דברים יותר חדשניים ואולי קצת להשתחרר ממה שהיה, עם שלייקס שלפעמים לא נותנים לך לזוז.

מיכאל איתן: בא גוף שהוא הגוף הגדול ביותר במדינה, שנותן את השירות הזה לאזרחים ואומר שהוא כן מעוניין להתקדם עם הנושא.

מיכאל איתן: האם אנחנו קיימים רק בכך שאנחנו אומרים שתהיה אפשרות כזאת, אבל בפועל יהיה דבר אחר?

מיכאל איתן: אני לא שמעתי שמישהו אמר שיש סכנה.

ליהי פלדמן: הטיעון הוא לא במישור הזה.

ליהי פלדמן: אנחנו קודם כל מדברים על הוראות חוק מסוימות.

ליהי פלדמן: את הוראת החוק הזאת אני לא בדקתי לגופה, ולכן אני לא יכולה לדבר ספציפית.

מיכאל איתן: בועז דולב, אתה הכתובת לעניין הזה.

מיכאל איתן: אחת הבעיות הכי כבדות היום של כל הטכנולוגיה הזאת היא העניין של התכנים.

מיכאל איתן: אני מעריך את עצמי כאדם שעוקב אחר העניין, ובעניין הזה אני מרגיש את עצמי כמומחה.

מיכאל איתן: כל העניין הגיע לרמה של חידושים, ועכשיו הוא עומד, כי מחכים לשירותים שיהיה כדאי ואפשרי להשתמש בהם.

מיכאל איתן: הדברים האלה יעשו את המהפכה.

מיכאל איתן: אחרת, אנחנו נישאר מאחור.

מיכאל איתן: השירות לאזרח זה חלק מאד מאד חשוב של תכנים, שאם הטכנולוגיה תאפשר אותו, הוא יתקיים.

מיכאל איתן: למה אנחנו צריכים את כל החוק הזה, אם בסוף חלק גדול מהפעילויות לא יוכל להתבצע, כי ימשיכו להגיד: טוב, אתם יכולים לעשות את זה גם באינטרנט, אבל תביאו גם את הפתק החתום?

מיכאל איתן: אז לא עשינו דבר.

בועז דולב: אנחנו הקמנו ועדה, שנקראת ועדת תמ"ר – תשתית מפתח ציבורי בממשלה.

בועז דולב: היא כוללת נציגים מרוב משרדי הממשלה.

בועז דולב: יצרנו קשר עם נציגי הרשויות המקומיות ועם הגזברים של הרשויות המקומיות.

בועז דולב: אנחנו יוצרים קשר עם הבנקים הגדולים, ואנחנו גם ניצור קשר עם קופות החולים ומערכת הבריאות, הכל כדי ליישם את החוק כמו שצריך וברצינות.

אליעזר כהן: היא נותנת לו את השירות, ושהוא יחליט.

מיכאל איתן: לא, קופת-חולים רוצה להשתמש בחתימה האלקטרונית, אבל אם החוק אומר שצריך חתימה פיסית, יש בעיה.

טנה שפניץ: ואם קופת חולים תאמר לי: אני דרך חתימה אלקטרונית לא אנהל את הסדרי הבריאות, כי זה מסוכן, ואני לא אקח על אחריותי להורות על מתן מרשמים בחתימה אלקטרונית?

טנה שפניץ: צריך להחליט על הדברים "בפנים".

מיכאל איתן: חזי כאלו, התשובה שלי תהיה שונה מהתשובה של טנה שפניץ, עם כל הכבוד.

מיכאל איתן: אני כן מוכן לקחת על אחריותי לומר למשרד הבריאות, שלמרות הסיבות הבריאותיות-ביטחוניות של הבריאות, תתאפשר חתימה אלקטרונית.

מיכאל איתן: אם זה לא יתאפשר כך, זה יתאפשר בחקיקה, ונעשה את זה במסגרת של חקיקה ונשנה את החוק, אם צריך, אבל אני לא חושב שצריך להגיע למצב הזה.

מיכאל איתן: בועז דולב, בתוקף תפקידך כאדם שמרכז את כל פעילות האינטרנט של משרדי הממשלה, אתה צריך להיות בקשר עם נציגי קופת חולים, ואם תעלה בעיה, תגיד להם שאתה תזמן את נציג משרד הבריאות ותשמע את הבעיות.

בועז דולב: אמרתי שנעשה את זה.

מיכאל איתן: אני אומר שבטח יש כאלה בעיות בהרבה משרדים.

בועז דולב: כמי שמכיר את הביורוקרטיה הממשלתית, אתה בטח יודע שאנחנו דוחפים כל הזמן קדימה.

מיכאל איתן: בסדר, אני גם מוכן לעזור.

מיכאל איתן: אתה רואה שאני מוכן גם לעזור, אבל אני חושב שה-LEVEL הראשון של ההידברות צריך להיות דרכך עם משרדי הממשלה, ספקים, לקוחות וכל מיני גורמים שצריכים לעבור דרככם.

יורם הכהן: תקנו אותי אם אני טועה, אבל החוק עבר איזשהו תהליך, שאם יש חתימה וחיקוק, ונדרשת החתימה ומתקיימת החתימה האלקטרונית, אזי החתימה היא תקפה.

יורם הכהן: הבעיה שלנו היא לא הבעיה עם החתימה.

יורם הכהן: הדוגמה שהועלתה פה היא דוגמה שיש הוראות נוספות בחיקוק, וזה לא יעזור מה שנאמר פה, כי החוק עצמו לא טיפל בעניין הזה.

יורם הכהן: הוא לא טיפל, למשל, בסוגיית המסמך בכתב, שהיא גם שאלה.

יורם הכהן: צריך לעשות מעבר של כל משרדי הממשלה על כל הוראות החוק שלהם, ולבדוק מצב האם יש איזושהי סתירה, או משהו שמונע את איסור חוק חתימה אלקטרונית, ועליהם לעשות את השינויים הנדרשים.

יורם הכהן: לכאורה, זה לא למסגרת הדיון הזה, זאת אומרת: החוק קבע את מה שהוא קבע.

יורם הכהן: אם נדרשת חתימה, ויש לנו חתימה אלקטרונית שלובה באישור של גורם מאשר, אזי היא מתקיימת, זאת אומרת: משרד ממשלתי לא יכול לעשות משהו כנגד התהליך הזה, אלא להכניס אותו לרשימת החריגים.

מיכאל איתן: על זה בדיוק מדובר.

מיכאל איתן: הרי אנחנו יושבים פה למען עניין מסוים בסופו של דבר, לא לכתוב מילים, אלא על מנת שבני אדם יוכלו להשתמש בשירות הזה.

מיכאל איתן: כל מה שאתה אומר נכון, אבל זה בדיוק מה שאני רוצה לשנות.

מיכאל איתן: אני יכול לומר לכולם ללכת הביתה, ומה יקרה?

מיכאל איתן: יהיה שירות שקופת-חולים רוצה לקדם ולהפוך אותו לשירות דיגיטלי, והוא לא יתקיים, כי ייכלל בהחרגות שיביא משרד המשפטים, כי מישהו ממשרד הבריאות יגיד שצריך להשאיר את העניין כמו שהוא, שבמבט ראשוני נראה לי ללא סיבה סבירה, אבל יכול להיות שישכנעו אותי אחרת.

מיכאל איתן: אף אחד לא בדק את זה.

מיכאל איתן: זה ייכלל ברשימת החריגים, ומלבד זאת, אולי כתוב על-פי החוק שצריך חתימה כתובה בכל מקרה, והמצב לא ישתנה, כך שאפילו אם ירצו לשנות את הדברים, לא יוכלו.

מיכאל איתן: אז צריך לשנות את החוק, צריך למנוע מזה להיכלל ברשימת החריגים, ואז תהיה פעולה שתיתן עוד אלפי חתימות כאלה בשנה.

מיכאל איתן: סך-הכל תהיינה אלפי פעילויות שבהן יצטרכו לדון, אפילו אחת לאחת.

מיכאל איתן: לכן אמרתי ששווה לי להקדיש את הזמן לזה.

מיכאל איתן: זה לא קשור טכנית לתקנות.

מיכאל איתן: התקנות לכשעצמן הן לא כלום, אם הן לא יפתחו את השוק ואת האפשרויות.

יורם הכהן: טנה שפניץ, האם רשימת החריגים מובאת לאישור של איזושהי ועדה?

מיכאל איתן: ועדת החוקה, חוק ומשפט.

ליהי פלדמן: ומפורסמת באתר.

חיים רביה: בתחום ההערות הכלליות, שנוגעות כבר לגופן של התקנות, מכיוון שהתקנות מתייחסות לתקנים, אני מסתכל לדוגמה על תקן v3 509X, ואני מניח ש-v3 זה VERSION 3.

חיים רביה: מכיוון שדרכם של התקנים להשתנות ולהתפתח, צריך איזושהי הוראה כללית שתאמר שבכל מקום שנקרא כאן תקן, תקן אחר שקבע אותו מוסד בנוסף, או במקום אותו תקן, יכול גם הוא להספיק, מפני שאחרת תקן 509X, כשיהיה v5 או v4, התקנות כבר לא תהלומנה אותו.

ליאור יותם: לזה חשבתי שאתה התכוונת כשאתה אמרת שמקיימים דיון כל שנה.

חיים רביה: לא, זאת הוראה כללית שאין צורך לדון בה בכלל.

ליאור יותם: אולי אפשר להוסיף בזמן שגם מעדכנים תקנים.

ליהי פלדמן: אין עם זה בעיה, אבל לא אוטומטית.

חיים רביה: אפשר לראות את זה ב-RFC, לדוגמה, בהגדרת מסמך נהלים, בהגדרת COMMON CRITERIA, ובתקן v3 509X.

עופר ישי: כל ההגדרות של התקנים מחייבות איזושהי רביזיה, כי לתקן יש שם ומהדורה, וצריך לכתוב את זה ברחל בתך הקטנה.

עופר ישי: זה עדיין לא נעשה בצורה סופית, ואפשר לתקן את זה בתקופה שהתקן יעמוד ויחכה, ואנחנו נשמח להגדיר מה הן המטרות, איך בדיוק קוראים לתקן ומי הוציא אותו.

עופר ישי: לגבי הבעיה שהועלתה, אפשר לציין שהתקן במהדורתו העדכנית, ובמידה שיוצא תקן, הוא אוטומטית – אגב, גם לפי אותו גוף – מחליף את התקנים הקודמים, ואז באופן אוטומטי, אם יצא תקן גרסה 4 כזאת או אחרת, הוא יכול להחליף אותה.

ליאור יותם: במילים האלה אתה יכול למוטט מערכות שלמות, שמתבססות על תקן מסוים.

עופר ישי: אני מדבר באופן כללי.

מיכאל איתן: חיים רביה, לא הבנתי את דבריך.

מיכאל איתן: אני אגיד מה הבנתי, ותקן אותי אם אני טועה.

מיכאל איתן: יש תקנים מסוימים, נגיד גרסאות מתקדמות שמחליפות גרסאות ישנות יותר, ואתה מודאג מה יקרה עם הגרסה הישנה, כאשר מאושרת גרסה חדשה.

חיים רביה: לא, אני מסתכל לדוגמה על תקנה 14(ב), שאומרת ש"תעודה אלקטרונית תהיה בהתאם לתקן v3 509X.

חיים רביה: " כשם שתקנות טכנולוגיות אחרות קובעות מינימום, לדוגמה 9(א)(1) ו-(2) טכנולוגיית elliptic curve DSA על בסיס מפתח באורך 160 ביט לפחות, תעודה אלקטרונית תהיה בהתאם לתקן v3 509X, או כל תקן מתקדם יותר אחר, שפרסם ה-IETF.

חיים רביה: אני שומע הסתייגויות מהאנשים הטכנולוגיים.

מיכאל איתן: נגיע לזה.

חיים רביה: חשבתי על הוראה כללית.

מיכאל איתן: כשנגיע לזה, נדבר על הוראה כללית.

את התקנות: תקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת בקשות), התשס"א-2001 "בתוקף סמכותי לפי סעיפים 19(א)(1) ו-24(א)(9) ו-(10) לחוק חתימה אלקטרונית.

את התקנות: ..

את התקנות: ובאישור הוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי של הכנסת, אני מתקין תקנות אלה:

פרק א': הגדרות 1.

פרק א': בתקנות אלה – "מבקש" – כמשמעותו בסעיף 18(א) לחוק", שזה מבקש תעודה אלקטרונית; "מסמך נהלים" – הוראות נוהל שלפיהן פועל הגורם המאשר, הערוכות על פי התקן הבינלאומי 2527 RFC של ה-IETF, צוות המשימה להנדסת האינטרנט, ואשר הוגשו לאישור הרשם".

חיים רביה: זאת דוגמה לשאלה שלי.

חיים רביה: מה קורה אם מחר יוצא RFC חדש, שדורש מסמך נהלים מסוג חדש?

חיים רביה: האם עדיין הגורמים המאשרים הישראליים, חייבים להגיש את מסמך הנהלים ולגבש אותו לפי התקן הישן?

חיים רביה: לכך התכוונתי בהערה הקודמת.

אבי נגר: אבל צריך להיזהר שאם יוצא RFC חדש, הישן בתוקף.

אבי נגר: אולי צריך להוסיף את המילה "לפחות".

רוני גרוס: יש פה גם בעיה של יידוע של האנשים.

מיכאל איתן: אני לא מבין, האם לרשם אין סמכות מדי פעם בפעם לגבור על הכוח של התקנה?

טנה שפניץ: גם אלה שנמצאים במערכת צריכים להגיד את עמדתם.

טנה שפניץ: אני מניחה שהגרסה של מישהו שהגיש ועמד בגרסה 3, לא תתבטל גם אם הוא לא מעדכן לפי גרסה 4.

טנה שפניץ: האם אנחנו רוצים לדרוש כל פעם, שכל אחד מאלה יצטרך לעדכן את עצמו?

טנה שפניץ: לא, אם מישהו באיזושהי נקודת זמן עמד בתנאים, ונגיד שהיה פיתוח נוסף, האם אני צריכה עכשיו להגיד לו: אתה כבר לא עומד בתנאים, כי יצאה גרסה 4?

מיכאל איתן: כן, בהחלט.

טנה שפניץ: או מישהו חדש שעושה לעצמו פרסומת, שיש לו גרסה 4.

מיכאל איתן: ההגיון אומר אל"ף שהתקנות הן גמישות, בגלל התפתחויות טכנולוגיות, ובי"ת שהגורם המאשר הוא "היד שלנו על הדופק".

מיכאל איתן: בקונספט שלנו, רשם הגורמים המאשרים הוא שווה ערך לתקנות במידה רבה, וצריך לתת לו את חופש הפעולה, אחרת אנחנו לא עושים דבר.

טנה שפניץ: רק צריך לחשוב, האם זה צריך לפעול אחורה.

טנה שפניץ: נגיד שמישהו עכשיו עובד לפי גרסה 3 והוא עבד מאה אחוז - -

מיכאל איתן: אבל זה מוכרח לפעול אחורה.

טנה שפניץ: נניח שעכשיו אין לו כסף לעדכן את הגרסה.

מיכאל איתן: אין לו כסף, אבל פרצו את הטכנולוגיה הקודמת ואת התקנים, והיום היא לא שווה.

טנה שפניץ: אולי נשמע את המומחים.

מיכאל איתן: כל הזמן חינכתם אותי שיש התפתחויות טכנולוגיות מהירות, שלא נקבע אותן בחוק, ונאפשר גמישות על מנת שאם יקרה משהו לא אקטואלי, אפשר יהיה לעצור אותו ברגע מסוים, ולהגיד שיש רמת חדירות כזאת, שאנחנו לא יכולים לאפשר אותה.

מיכאל איתן: מה נעשה?

מיכאל איתן: נשנה את התקנות, או נאפשר לרשם לפעול מייד וניתן לו סמכות לומר שבמקרה מסוים, זכותו להגיד שאפשר לעבוד עד גרסה מסוימת, ואי אפשר לעבוד אחורה.

מיכאל איתן: זה נראה לי יותר הגיוני.

דורון שקמוני: חלק מהתקנים שמוזכרים כאן, ובעצם שני התקנים שנגענו בהם כרגע, גם ה-2527 וגם ה-v3, הם לא תקנים מסוג של טכנולוגיה שבזמן קרוב תיפרץ ויצטרכו לשכלל אותם וכו'.

דורון שקמוני: אלה תקנים של פורמטים.

דורון שקמוני: אלה תקנים שהם בעצם תקנים נוהליים.

מיכאל איתן: ההצעה היא שיקול דעת לרשם הגורמים המאשרים.

דורון שקמוני: 3v 509X וגם 2527 בעצם מגדירים את מבנה מסמך הנהלים, שהוא המסמך שעל-פיו מתנהל הגורם המאשר.

דורון שקמוני: ברגע שנתחיל לעדכן את שני הדברים האלה באופן חצי אוטומטי או אוטומטי, יכול להיווצר מצב של אי תאימות לאחור, וזה דבר שיכול להקשות על פעילות המערכת במקום להקל עליה.

מיכאל איתן: איפה יש עדכון תקופתי?

דורון שקמוני: אותו עדכון שהזכרנו בתחילה, של דיווח לוועדה ועדכון תקופתי של התקנות.

מיכאל איתן: כן, אבל זה לא קיים.

טנה שפניץ: חבר-הכנסת איתן מציע שלרשם יהיה שיקול דעת.

מיכאל איתן: דורון, נניח לרגע אחד שאתה תהיה רשם הגורמים המאשרים.

מיכאל איתן: אני שואל אותך, האם אתה חושב שברגע יהיה כתוב כאן שיש לך סמכות לקבוע שגרסה מסוימת היא כבר לא קבילה, זה יטיל עליך איזה עומס?

דורון שקמוני: סמכות – בוודאי שלא.

דורון שקמוני: הידרשות אוטומטית - -

מיכאל איתן: לא אמרתי הידרשות אוטומטית.

דורון שקמוני: התייחסתי להתעדכנות אוטומטית.

דורון שקמוני: שיקול דעת זה מצוין.

מיכאל איתן: שאלתי רק האם זה יקשה, אם נאמר שלרשם יש סמכות.

מיכאל איתן: הוא לא חייב להפעיל אותה.

דורון שקמוני: ההנחה היא שהרשם יעשה את זה בהתייעצות.

מיכאל איתן: אני חושב שרק במקרים חריגים.

מיכאל איתן: מה תהיה עכשיו ההצעה?

ליהי פלדמן: "על פי התקן הבינלאומי 2527 RFC של ה-IETF, או תקן שיחליף אותו באישור הרשם".

מיכאל איתן: לא תקן שיחליף אותו.

מיכאל איתן: נאמר שרק הרשם יחליט, כי אם נאמר "תקן שיחליף" מישהו אחר יחליף, וזה יהיה אוטומטית.

ליהי פלדמן: לא, שהרשם אישר.

ליהי פלדמן: אני לא רוצה לפתוח מחדש את כל הדיון כל פעם לגבי איזה מסמך – האם יש היום מסמך X, או יש משהו שיחליף אותו, כי הוא יותר טוב, הוא יותר מודרני ויותר חדש.

ליהי פלדמן: אם הרשם אישר אותו ופרסם שהיום זה הנוהל החדש, זה יחול מאותו יום והלאה.

חיים רביה: "או כל תקן אחר שאישר הרשם, שיבוא במקומו".

טנה שפניץ: אפשר לכתוב סעיף כללי, שייתן לרשם את הסמכות הזאת.

מיכאל איתן: הביטוי "או כל תקן" כאילו הולך לכיוון האוטומטי.

מיכאל איתן: האמירה צריכה להתפרש כאילו זה בסדר, אלא אם כן הרשם מצא לנכון פתאום משהו אחר.

טנה שפניץ: אז ננסח סעיף כללי, שמסמיך את הרשם לתקנים האלה, והוא רשאי גם לשנות ולעדכן אותם במידת הצורך.

מאיר וולצוביץ: האם אתם סוגרים את האפשרות שהרשם יאשר שני תקנים לדוגמה?

מיכאל איתן: יכול להיות שיהיו שניים גם.

מאיר וולצוביץ: כי זה לא היה ברור.

מיכאל איתן: לכן אני מבקש שתקן אחד לא יהיה על חשבון השני, ולא במקרה שיש תקן חדש שצריך לפעול.

מיכאל איתן: הוא יפעל רק במקרים שבהם התקן הישן הפך לבעייתי.

מיכאל איתן: הכוונה היא שבמקרים חריגים הוא יפעל, זאת אומרת: שלא יצטרך לחכות עד לשינוי התקנות.

מאיר וולצוביץ: הוא יכול לפעול בשני כיוונים: מצד אחד, אם יש תקן שהתברר שיש בו איזו פרצה או משהו לא תקין, הוא יפסול אותו, ומצד שני, אם הוא יודע שיש חידוש באיזה תקן, הוא גם יכול לפעול מיוזמתו ולהגיד: מי שרוצה, יכול להשתמש בו.

מיכאל איתן: זה ברור.

עופר ישי: זה לא כל-כך ברור.

עופר ישי: אני חושב שהתקנים האלה זה דבר שצריך להתייחס אליו בצורה מאד קפדנית.

עופר ישי: אני חושב שצריך להחליט שמחליטים שזה התקן.

עופר ישי: אני חוזר ואומר שעדיין צריך לחדד את התקנים, את המהדורות שלהם ומי שהוציא אותם, כי לא כל מסמך שמופץ בהכרח ערוך על פי תקן בינלאומי.

מיכאל איתן: כתוב כאן: "על פי התקן", ואתה רוצה שיורידו את המילה "הבינלאומי".

עופר ישי: אני חושב שזה מסמך.

מיכאל איתן: זה לא מפריע, אפשר למחוק את המילה, אבל מה זה ה-IETF?

מיכאל איתן: מה זה הארגון הזה?

ליהי פלדמן: זה גוף בינלאומי.

מיכאל איתן: מי זה הגוף הזה?

מייק סטון: INTERNET ENGINEERING TASK FORCE.

מיכאל איתן: מי ה-BOARD של הגוף הזה?

מייק סטון: אנחנו מדברים על RFC, שהם תקנים דה-פקטו, לא תקנים דה-יורה, וזה ההבדל.

מייק סטון: אלה תקנים שאין להם סמכות של תקנים של ISO או ITU היום.

מייק סטון: 509X, למשל, זה תקן דה-יורה בינלאומי.

מייק סטון: ה-RFC הם REQUEST FOR COMMENTS, כך שהסטטוס של התקנים האלה הוא פחות פורמלי.

מיכאל איתן: אז נמחק את המילה "בינלאומי"?

מייק סטון: אני לא יודע, יש גם תקנים בינלאומיים שהם תקנים דה-פקטו.

מיכאל איתן: אבל מה זה משנה?

מייק סטון: זה לא משנה.

מיכאל איתן: זה לא משנה.

מיכאל איתן: מה זה משנה אם זה בינלאומי או לא בינלאומי?

מיכאל איתן: מבחינת התקנה, זה מה שמחייב.

חיים רביה: כשהרשם קובע תקן אחר במקום חריג, שהוא סבור שהתקן הישן הפך בעייתי, ראוי שייתן פרק זמן הולם להיערך לשינוי.

מיכאל איתן: עוד לא הכנסנו את זה.

מיכאל איתן: נכניס את זה באיזשהו מקום בסעיף הכללי, ואז נתייחס לזה.

עופר ישי: לגבי גרסה 3 או גרסה 2, בהחלט יכול להיות שמכניסים איזשהו פורמט - נגיד חדש - של תעודה, ואז יש מצב שבו אתה חי עם יותר מגרסה אחת.

עופר ישי: ברגע שנוצר מצב כזה, מצד אחד הרשם צריך להחליט מתי הוא מכניס לתוקף – אם בכלל – את הגרסה החדשה, ועד מתי הוא מוכן להשאיר בתוקף את הגרסה הישנה.

מיכאל איתן: למה?

עופר ישי: קח כדוגמה כל מערכת הפעלה, או כל תוכנה.

עופר ישי: אף אחד לא יכול לתחזק את הדברים האלה לאורך זמן.

מיכאל איתן: מה זה ענייני?

מיכאל איתן: למה אני צריך להתערב בזה?

עופר ישי: לדעתי, זה ענייננו, כי יש לנו גם נושא של תאימות פה.

מיכאל איתן: אין לי תאימות.

מיכאל איתן: אני לא בעד תאימות.

מיכאל איתן: אני בעד סטנדרט של ביטחון.

מיכאל איתן: אם יש סטנדרט של ביטחון ואני דואג לו, את כל השאר השוק יקבע.

מיכאל איתן: למה אני צריך להכתיב את הדברים?

מיכאל איתן: אם גרסה 3 היא סבירה ויש גרסה 4 שרוצים עבורה יותר כסף, כי יש בה עוד איזושהי תוספת, אבל גרסה 3 בעיני הרשם היא סבירה, תהיה גרסה 3 וגרסה 4.

עופר ישי: אמרתי שהוא צריך לתת את הדעת גם על הוצאת גרסאות ועל שדרוג המערכת.

מיכאל איתן: כתבנו כאן שאנחנו ניתן לרשם את האפשרות, לפי שיקול דעתו, להתערב כאשר אחת הגרסאות הופכת להיות בעייתית מבחינת סטנדרט האבטחה הציבורי של כל המוסד הזה ששמו חתימה אלקטרונית, אבל מעבר לזה הרשם לא יתערב.

מיכאל איתן: אם יהיו גרסאות חדשות, הוא ייתן להן אפשרות להיות גרסאות קיימות וישתמשו בהן.

מיכאל איתן: אם הוא יראה שיש מצב שגרסה מסוימת הופכת להיות בעייתית, הוא יוציא אותה.

מיכאל איתן: אנחנו משאירים גמישות לשיקול דעתו של הרשם.

עופר ישי: הנושא של התאימות זה נושא עקרוני מאד, שצריך לדון בו, אולי לא בשלב הזה של הסעיפים, אבל אני חושב שהתקנות האלה לא מבטיחות לנו תאימות של עבודה של מספר גופים אחד לפני השני.

מיכאל איתן: אני מוכן לשמוע את הדברים.

עופר ישי: לפי דעתי, ברמה הלאומית בסופו של דבר זה יפגע בנו כבומרנג, אם לא תהיה כאן תאימות.

מיכאל איתן: נדמה לי שעל זה היינו צריכים לקיים דיון עוד בשלב החוק, כי זה דבר הרבה יותר עקרוני, אבל הקונספט של שר המשפטים היה - ואני בהחלט תמכתי בו - שאנחנו ניתן לשוק לעשות את שלו.

מיכאל איתן: יש גורמים שונים בשוק, ועל כן תהיה תחרות.

מיכאל איתן: אנחנו נקבע סטנדרט מסוים, ומי שיעמוד בו, יוכל אחר-כך להוסיף, להוריד, לאו דווקא שתהיה תאימות.

עופר ישי: במדינות אחרות נושא התאימות הופך להיות נושא מאד מאד קריטי, כשאתה בא ליישם את זה ברמה הלאומית.

עופר ישי: אני אומר שאתה לא חייב לדון בזה כרגע, אבל זה נושא שחייבים לדון בו.

מיכאל איתן: לפי הדברים של מייק סטון, אני דווקא רואה שיש תאימות שנוצרת באורח טבעי על-פי עקרון היד הנעלמת.

מיכאל איתן: הנה אנחנו פתאום רואים איזה תקן, שאף אחד בעצם לא קבע אותו פורמלית, אבל כולם מרגישים שצריך "ללכת" עליו, גם בלי חקיקה.

מיכאל איתן: למה אנחנו צריכים להתערב?

אבי נגר: מייק סטון הזכיר את הנושא של דה-פקטו סטנדרט וסטנדרט, ובסטנדרט בדרך-כלל יש תאימות אחורה.

אבי נגר: בדה-פקטו סטנדרט נוצר הרבה פעמים מצב של כוחות שוק.

אבי נגר: דה-פקטו סטנדרט נוצר על-ידי גוף כזה או אחר, שיש לו חזקה מספיק גדולה על נתח שוק, כי לא בטוח שיש שם תמיכה אחורה - לפעמים היא ברמת אינטרס כלכלי - ובגלל זה אנחנו כן צריכים לשים לב לנושא של תקנים ולא דה-פקטו.

אבי נגר: אז כן נפתור את הבעיה של תאימות החוק.

מיכאל איתן: זה מזכיר לי את הוויכוח הגדול, שהיה לי עם חלק מהנוכחים כאן בנושא הסטנדרט של - -

אבי נגר: אנחנו לא מייצרים תקן.

מיכאל איתן: אנחנו קובעים תקן עוד יותר טוב, ומקשים על הסטנדרט דה-פקטו.

אבי נגר: אנחנו לא באים להמציא את הגלגל.

אבי נגר: אנחנו נסמכים על תקן שמכוני תקינה בדקו אותו, חוקקו אותו והוא כבר מיושם ביישומים כאלה או אחרים בעולם.

אבי נגר: לפיו אנחנו חושבים שצריך לעבוד, ולא לפי איזה כוח שוק שבא ואומר: אני מיקרוסופט, ואני יודע לעשות את זה טוב יותר מכולם, אבל אני לא מחיל על עצמי את כל הסעיפים כאן ברמת אבטחה.

מיכאל איתן: לא לקחנו כאן תקנים, וקבענו אותם כבסיס ליציאה לדרך.

מיכאל איתן: אם מחר בבוקר יבוא גוף אחר שיוציא גרסה של חתימה אלקטרונית שעובדת עם תקן שונה במידה מסוימת, שהוא גם יהיה מקובל, האם אפשר יהיה להפעיל אותה או לא?

אבי נגר: אם הוא תקן מקובל, כן.

אבי נגר: זה בדיוק העניין.

מיכאל איתן: מי יבדוק את זה?

מיכאל איתן: הרשם.

יוסף חי אנג'ל: אם אתה לא מגביל אותו בתקנות בתקנים ספציפיים, יבוא גוף אחר שיש לו טכנולוגיה שמותאמת לתקן אחר.

יוסף חי אנג'ל: האם לרשם יש סמכות להחיל אותו, מכיוון שהוא לא עומד באף אחד מהתקנים שמופיעים בתקנות?

קריאה: יש רשימה של גופים - -

מיכאל איתן: אנחנו נתקדם.

מיכאל איתן: זה מופיע באחד הסעיפים בהמשך.

אני ממשיכה לקרוא: "מערכת" – מערכת החומרה והתוכנה של הגורם המאשר;

אני ממשיכה לקרוא: מאובטחת, המוכרים על ידי גופי תקינה בין-לאומיים;

אני ממשיכה לקרוא: לאבטחת מידע במערכות מחשב;

מיכאל איתן: בהגדרת RSA, DSA ו-Elliptic Curve DSA, כתוב "המוכרים על ידי גופי תקינה בין-לאומיים".

מיכאל איתן: למה צריך תוספת זאת?

מיכאל איתן: האם זה חלק מהפרסום שלהם?

מיכאל איתן: למה צריך להוסיף מילים אלה?

ליהי פלדמן: כדי שאני לא אבוא ואגיד: לי יש משהו שאני המצאתי, וקוראים לו RSA.

ליהי פלדמן: מדובר על RSA כמו שהוא מוכר היום בעולם.

עופר ישי: יש תקנים של ISO לחתימה דיגיטלית, ויש גם תקנים - -

מיכאל איתן: אבל צריכים להחליט על זה עכשיו.

ליהי פלדמן: אנחנו הלכנו פה על המודל ועל החקיקה הפדרלית בארצות-הברית.

ליהי פלדמן: ה-FIPS הסבירו בדיוק איזה מהתקנים הכירו בשלושה תקנים שמאפשרים חתימה אלקטרונית מאובטחת, ואלה הם השלושה.

ליהי פלדמן: אמרנו שאם להם זה מספיק טוב, גם לנו זה מספיק טוב.

מייק סטון: קודם כל אני מסכים עם כל מה שהסברת.

מייק סטון: ה-FIPS זה ה- FEDERAL INFORMATION PROCESS AND STANDARD בארצות-הברית.

מייק סטון: FIPS תקן 2-140 קובע אלגוריתמים לצורך הצפנות ואלגוריתמים לצורך חתימה דיגיטלית.

מייק סטון: קובעים שהאלגוריתמים המקובלים הם ה-RSA, שזה סוג הצפנה וגם תומך בחתימה דיגיטלית, DSA שזה DIGITAL SIGNATURE ALGORITHM, Elliptic Curve DSA שהוא איזשהו וריאנט של ה-DIGITAL SIGNATURE ALGORITHM, ובנוסף SHS ועוד כמה תקנים.

מייק סטון: 140-FIPS זה מכלול.

עופר ישי: יש תקן ISO גם ל-ECC, והתקן הזה עדיין לא אושר.

עופר ישי: יש לי פה רשימה.

עופר ישי: לפי התכניות שלהם, הם צריכים לאשר את זה רק בסוף השנה הזאת, אם הם יעמדו בזה.

עופר ישי: לכן אני אומר תקנים בינלאומיים מאושרים, ולא תקנים בינלאומיים שהם עצמם עוד לא מאושרים.

עופר ישי: אנחנו בסך הכל צריכים לאבטח את המערכת הזאת, ותקנים שהם לא מאושרים יכולים לפעמים להידחות לשנתיים.

ליהי פלדמן: השאלה היא על ידי מי הם מאושרים.

עופר ישי: זה עדיין לא מאושר.

עופר ישי: יש לנו גם הסתייגות של גורמים מסוימים, שרוצים לערער על זה ולבדוק את זה לפני שקובעים את זה.

עופר ישי: אנחנו מבקשים לשים כוכבית, או להגיד שיש הסתייגות, כי נכון לרגע זה אנחנו מסתייגים מהאלגוריתמים.

גיא פיגל: אבל זה בהכרח דווקא לאלגוריתם הזה – מי שרוצה, יעבוד על-פי DSA, ומי שרוצה, יעבוד על-פי RSA.

עופר ישי: אנחנו מדברים על האלגוריתם הזה.

עופר ישי: יש לנו בעיה להגיד שאנחנו שמים עליו את היד, ומבקשים לדון בזה שוב.

מייק סטון: חבל שעדי שמיר לא נמצא פה, כי הוא זה שבעצם הציע להוסיף את זה.

מייק סטון: אנחנו בעצם בהתחלה הצענו תמיכה ב-RSA וב-DSA בלבד, וכדי להגן על ההחלטה, אנחנו צריכים מישהו שמסוגל לתת איזשהו ניתוח מתמטי, כי אחת התכונות של Elliptic Curve DSA היא שהוא יכול להסתדר עם פחות ביטים במפתח – 160 ביטים, וזה נותן הגנה שווה להגנה של RSA ו-2,048 ביטים, לפי פרופסור שמיר.

חיים רביה: אני לא חושב שצריך לערער על ההמלצה המקצועית של פרופסור שמיר, שממליץ על אלגוריתמים.

עופר ישי: עם כל הכבוד, יש הסתייגות של גורם מקצועי.

חיים רביה: אני חושב שמותר לוועדה, או לאנשים המקצועיים, לבטל את דעתם מפני דעתו של שמיר, ששמו הולך לפניו.

חיים רביה: לא צריך כל דבר לפתוח ל-1,001 דיונים.

בועז דולב: חיים רביה, מה שמעניין אותך אתה פותח, ומה שמעניין אותנו, אנחנו פותחים, נכון?

חיים רביה: לא, זה עניין טכנולוגי.

מיכאל איתן: עם כל הכבוד לכולנו, בואו ניתן אפשרות להתווכח.

מיכאל איתן: כל אחד יכול להשמיע את דעתו.

מיכאל איתן: אפשר להתווכח גם עם עמדתו של פרופסור עדי שמיר.

מיכאל איתן: יכול להיות שהתקן הזה מצוין, אבל הוא מציג כאן שאלה אחרת, ואומר: אם התקן הוא כל-כך מצוין, מדוע יש עליו עוררין בזירה הבינלאומית?

מיכאל איתן: ואם יש עליו עוררין, יכול להיות שהם מסתמכים על איזה פרופסור אחר, שגם מבין משהו.

מיכאל איתן: אני כבר ראיתי פרופסורים מתווכחים.

חיים רביה: אני לא קריפטולוג – ויתקנו אותי כאן הקריפטולוגים – אבל אני הבנתי שאין דבר שאין עליו עוררין.

ליאור יותם: בגלל שזה המצב, אולי כן עדיף לדבוק באיזשהו אלגוריתם שכן קיים היום בשוק ועובד כמה שנים, ושכבר יש לנו מאחוריו גב.

ליאור יותם: נאמר פה ש-Elliptic Curve DSA הוא אלגוריתם שאין לו עדיין גב ועדיין יש עליו ויכוחים, אז אולי באמת עדיף לא להכניס אותו, וכמו שאמרתי קודם, זה משהו שייכנס בעוד שנה, כשיתקיימו הדיונים הבאים.

ליאור יותם: בינתיים, נשאיר את זה בצד.

עופר ישי: מעבר לזה, אני מוכן לדון בזה עם אותם פרופסורים ועם אותו גורם שאנחנו מביעים את דעתו בשמנו.

מיכאל איתן: מייק סטון, האם בארצות-הברית זה מוכר?

מייק סטון: עוד לא.

מיכאל איתן: אז אנחנו גם נמתין.

מייק סטון: האם התכוונת שזה לא קיים בארצות-הברית או לא קיים ב-FIPS-140 ?

מיכאל איתן: אני מבין שה-FIPS זה הגורם המאשר האמריקאי, כמו: מכון התקנים שלנו.

מיכאל איתן: יש לנו רשם של הגורמים המאשרים, ואם אני מבקש להיות גורם מאשר, ואומר שאני עובד על-פי הטכנולוגיה הזאת - נניח לרגע שיש חוק דומה בארצות-הברית - הוא יאמר: אני מצטער מאד, אבל זה עדיין לא אושר על-ידי גופי התקינה הלאומיים שלנו, ולכן אני לא יכול לאשר לך להשתמש בטכנולוגיה הזאת.

מיכאל איתן: מה מכל המרכיבים של המשפט שלי הוא לא נכון?

מיכאל איתן: האם בארצות-הברית יש רשם של גורמים מאשרים?

מייק סטון: כן, POLICY AUTHORITY.

מיכאל איתן: אם אני רוצה להיות גורם מאשר בארצות-הברית, ואני אומר שאני רוצה לעבוד בטכנולוגיה הזאת, האם יתנו לי אישור?

מייק סטון: תצטרך קודם כל להוכיח מתמטית, שהאלגוריתם שלך נותן לפחות הגנה שווה.

מיכאל איתן: אני אשאל את הדברים אחרת.

מיכאל איתן: אם הטכנולוגיה שלי עובדת על-פי התקנים שמופיעים ב-FIPS, האם אוטומטית אני אקבל אישור?

מיכאל איתן: מה ההבדל אם אני עכשיו אבוא לארצות-הברית ואגיש בקשה להיות גורם מאשר, ואחרי שיבקשו ממני את כל הטכנולוגיות, אומר שכל הטכנולוגיות עובדות על-פי התקינה של ה-FIPS, לבין כך שאומר שאני רוצה לעבוד על-פי Elliptic Curve DSA?

מיכאל איתן: מה יקרה בדיון בשתי הבקשות האלה?

מיכאל איתן: האם יאשרו אותן?

מיכאל איתן: האם יהיה הבדל בגישה של רשם הגורמים המאשרים שם לשתי הבקשות?

מייק סטון: על-פי ההתרשמות שלי, כשבארצות-הברית מסמיכים את ה-CERTIFICATE AUTHORITY, הדרישה לעמידה ב-140-FIPS היא דרישה לכל מסתמך פדרלי.

מייק סטון: זאת דרישה נוספת, וזאת לא דרישה פורמלית מכל אחד בארצות-הברית.

מייק סטון: CERTIFICATE AUTHORITY, למשל, בארצות-הברית – אין ממנו דרישה להיות צמוד ל-FIPS-140-, אבל כל יישום של CERTIFICATE AUTHORITY בתוך הממשל הפדרלי כן נדרש להיות צמוד ל-141FIPS-.

ליהי פלדמן: בעניין הזה אין הבחנה בין שלושת האלגוריתמים, בין ה-RSA ל-DSA ל-EC DSA.

ליהי פלדמן: בתוך ה-DIGITAL SIGNATURE STANDARD של ה-FIPS, הוא מכיר בשלושתם במידה זהה.

חיים רביה: אם האמריקאים מכירים בשלושתם, למה לנו לצמצם את זה?

חיים רביה: ממילא החליפה שלנו היא נורא צרה.

עופר ישי: עכשיו זה שלב שיש ערעור על זה.

עופר ישי: תקן ISO לא פורסם עדיין.

עופר ישי: לא כל דבר שהאמריקאים עושים, אוטומטית אנחנו חייבים לעשות.

ליהי פלדמן: השאלה היא האם מכון התקנים הפדרלי האמריקאי לא מספק אותך.

עופר ישי: ב-91 יש כבר תקן בסיסי, וזה עודכן ב-96, 97 ו-98.

עופר ישי: הוא אושר על-ידי ה-ISO.

עופר ישי: התקנים של ה-ECC מתוכננים להיות מאושרים, כלומר: תכנית העבודה היא לאשר אותם בנובמבר 2001.

עופר ישי: ברגע שזה יהיה מאושר, אפשר לדון בהם, אבל עכשיו התקן לא אושר, ואנחנו צריכים יותר להקפיד על הדברים האלה.

עופר ישי: לא כל דבר שטוב לאמריקאים, אוטומטית אפשר ליישם כאן.

עופר ישי: אין לנו אותה תרבות ולא אותה איכות.

חיים רביה: מכיוון שנדמה לי שהתוצאה עלולה להיות, שחתימה אלקטרונית מאובטחת תתקיים רק בשני אלגוריתמים מבין השפע שיש בתחום הזה, גם שלושה זה מעט, ושניים זה עוד מעט ביותר, אני מציע לא לבטל את זה כלאחר יד, אלא במידה שיש לך הרהור חוזר בנושא הזה, תיוועץ בפרופסור שמיר.

עופר ישי: זה מה שהצענו, לדון בכך שוב.

עופר ישי: כרגע אנחנו מתנגדים לזה, אבל אנחנו מוכנים לדון בזה, אפילו לפני שמאשרים את התקנות בחודש הקרוב, ולראות אולי נשכנע אותו.

מיכאל איתן: מקובל עליי.

אני ממשיכה לקרוא: "Common Criteria EAL" – מדרג של רמות אבטחת מידע, אשר אומץ על ידי ארגון

אני ממשיכה לקרוא: "ת"י" – תקן ישראלי כמשמעותו בחוק התקנים, התשי"ג-1953;

אני ממשיכה לקרוא: "תקן v3 509X" – סדרת תקנים בינלאומיים של ה-IETF, צוות המשימה להנדסת

עופר ישי: הניסוח כאן של תקן 509X VERSION 3 הוא לא מדויק, ומלבד זה, יש תקני ISO שמקבילים בדיוק ל-509X.

עופר ישי: אנחנו נעביר אחר-כך את המספר של תקנים של ISO שתומכים בדיוק באותם תקנים, לא של ה-IETF, אלא של ה-ITU-T, ארגון תקשורת שעובד יחד עם ה-ISO, וביחד הם מתאמים פרסום אותם תקנים למעשה, אבל תחת שמות נפרדים.

עופר ישי: עדיף לנו ללכת על תקן ISO, שהוא פתרון מקביל בדיוק לתקנים של ITU.

מיכאל איתן: מה הן ראשי התיבות של ITU?

ליהי פלדמן: INTERNATIONAL TELECOMMUNICATION.

עופר ישי: תקן ISO זה 9594.

מיכאל איתן: האם יש מישהו שחולק על הדעה הזאת?

דורון שקמוני: אני לא בדיוק חולק על הדעה, אבל אני חושב שצריך לעשות סדר בדברים.

דורון שקמוני: אכן ה-509X במקור – גם ה-NOTATION של X509 – נוצר ב-ITU, אבל נכון לעכשיו העבודה של פיתוח התקינה נעשית ב-IETF.

דורון שקמוני: ISO וגם ITU אחר-כך לוקחים את מה שנוצר, נותנים לזה מספרים, וכמובן מאשררים את זה בוועדות.

דורון שקמוני: זה לוקח את הזמן שזה לוקח, ובסופו של דבר ניתן מספר של ה-ISO, וגם ה-ITU בדיעבד מקבל זאת לתוך הזרועות הרחבות שלו.

דורון שקמוני: בסך-הכל, זה לא מדויק לומר שההידרשות לתקני IETF היא לא נכונה, מכיוון שה-IETF הוא זה שבעצם מבצע את הפיתוח ואת האשרור של כל החלקים של v3 509X.

עופר ישי: הבדל אחד הוא שה-ISO הוא ארגון שיש לו איזה נוהל מסוים, והוא גם עושה בדיקות ועובר להליך מסוים.

עופר ישי: אני חושב שבהחלט אפשר לחיות גם עם חלק מהתקנים של ה-X, אבל קודם כל מה שמוביל אלה התקנים של ה-ISO, כי זה תקן בינלאומי, ואחת הבעיות הכי קשות פה היא הנושא של תקנים.

ליהי פלדמן: אבל אין הבדל מהותי בין התקנים.

עופר ישי: יש הבדל מהותי גם בתהליך ובכך שזה תקן בינלאומי.

מיכאל איתן: אבל אני מבין שכאן העניין הוא של איזשהו תהליך של אשרור, שברוב המקרים הוא תהליך שלא מכניס שינויים מהותיים, אלא נותן הסכמה לדברים שנעשו.

מיכאל איתן: מצד שני, צריך לשלם מחיר של זמן.

עופר ישי: כרגע בדברים הבסיסיים, יש לנו כבר דברים על הנייר.

עופר ישי: זמן זה גם בדיקות.

ליהי פלדמן: מלבד ה-EC DSA.

עופר ישי: אני חושב שפה צריך לדבוק בתקנים של ISO.

עופר ישי: כל הנושא של ההתפתחות הוא בסדר, אבל תקן שעליו מסתמכים הוא תקן שאושר בפורום בינלאומי עם כל מה שכרוך בזה, אפילו שזה לוקח קצת יותר זמן.

מירב ישראלי: התקן שאתה מדבר עליו כבר אושר?

עופר ישי: יש סדרה של תקנים שאושרה כבר.

מיכאל איתן: אני אגיד מה סיכמנו כאן בגדול לגבי העתיד.

מיכאל איתן: המסר לרשם יהיה כזה שהוא יוכל להסתמך על תקנים, גם אם עדיין הם יהיו בשלב של אישור של ה-IETF ועדיין לא הגיעו לאישור מוגמר של ה-ISO, אבל אם ה-ISO יחליף את ה-IETF, הוא יצטרך להסתמך כבר על ה-ISO.

אני ממשיכה לקרוא: "פרק ב': מערכות חומרה ותוכנה מהימנות

אני ממשיכה לקרוא: לחוק התקנים – שזאת מעבדה מאושרת – התשי"ג-1953, קודם לתחילת פעילותו

אני ממשיכה לקרוא: זה במשך כל זמן פעילותו.

אני ממשיכה לקרוא: בטלות ועדכונן, יקיימו בכל עת רמת זמינות גבוהה.

אני ממשיכה לקרוא: "


שמואל קלפנר: מה זאת רמת זמינות גבוהה?

מירב ישראלי: בחוק יש רמת זמינות סבירה לגבי דברים מסוימים.

מירב ישראלי: כאן נקבע שלגבי בדיקת מאגרי תעודות בטלות ועדכונן תהיה רמת זמינות גבוהה יותר מאשר הסבירה.


שמואל קלפנר: למה לא להגדיר את זה יותר בפירוט?

מיכאל איתן: איך תגדיר?

טנה שפניץ: הרשם יקבע לעצמו את ההנחיות שלו.

טנה שפניץ: זה סוג הדברים שיצריך גמישות מסוימת, ואין טעם שאחרי כל אחוז נגיד שעכשיו אי אפשר לאשר, כי צריך ללכת לוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי ולשנות את זה.


שמואל קלפנר: אז אולי צריך להוסיף ולהגיד "כפי שיקבע הרשם"?

טנה שפניץ: הרשם צריך לקבוע שיש רמת זמינות גבוהה, ואז הוא צריך לגבש לעצמו את הדעה לגבי כל דבר שמופיע.

מיכאל איתן: אבל יכול להיות שצריך לקבוע על-פי אמות מידה שיקבע הרשם.

טנה שפניץ: אבל הכל הוא להנחת דעתו של הרשם.

טנה שפניץ: כל דבר כזה צריך להיות להנחת דעתו של הרשם, שינחה את עצמו על-פי מה שמקובל, והדברים האלה יפורסמו.

מיכאל איתן: אני מכריז על חמש דקות הפסקה.

אני ממשיכה לקרוא: "אמצעי 4.

אני ממשיכה לקרוא: גורם מאשר ישתמש באמצעי חתימה המקיים לפחות את כל אלה -

אני ממשיכה לקרוא: הגורם לפחות, או בטכנולוגיית Elliptic curve DSA באורך 160 ביט לפחות;

אני ממשיכה לקרוא: 140-FIPS רמה 2;

אני ממשיכה לקרוא: גיבוי זה יישמר בנפרד;

אני ממשיכה לקרוא: חדירה, שיבוש או שימוש לרעה.

אני ממשיכה לקרוא: "

דורון שקמוני: לגבי (1), אני חושב שהביטוי בעברית הוא סיבית במקום ביט.

מירב ישראלי: "איסור החזקת 5.

מירב ישראלי: מערכת החומרה והתוכנה של הגורם המאשר לא תאפשר החזקה באמצעי

מירב ישראלי: חתימה כאמור.

מירב ישראלי: "

חנה אזולאי: פעמים רבות הגורם המאשר מחזיק אמצעי חתימה של המבקש לצורך המבקש עצמו, זאת אומרת: לצורך שחזור, או מכל מיני סיבות אחרות שהן גם לטובת המבקש, ולכן כמו בהרבה חוקים אחרים שבהם נותנים לאזרח את האפשרות לאשר או לא לאשר ולתת לו את שיקול הדעת בעצמו, אפשר להוסיף בסוף הסעיף "אלא אם כן אישר זאת המבקש בחתימתו".

ליהי פלדמן: ההתנגדות לדבר הזה היא עקרונית.

ליהי פלדמן: גם אם המבקש יחתום ויסכים שהגורם המאשר יחזיק עבורו ולטובתו את המפתח, יש פה פתח לשימוש לרעה, שאנחנו רוצים למנוע אותו.

ליהי פלדמן: אנחנו רוצים ליצור איזושהי הפרדה, כך שלא אותו גוף שמחזיק את רשימת התעודות הבטלות יחזיק את אמצעי החתימה של הגורם המבקש.

חנה אזולאי: והאם זה בסדר אם גורם אחר מטעמו יחזיק את זה?

ליהי פלדמן: השאלה היא מה זה מטעמו.

חנה אזולאי: מבחינה פרקטית, היום בעולם גורמים מאשרים כן מחזיקים אמצעי חתימה.

ליהי פלדמן: התקנים היום בעולם דווקא לא מאשרים זאת, למשל: התקנים האירופאים.

יורם הכהן: לנו דווקא אין התנגדות למגבלה הזאת, אבל הנוסח שנוסח פה שונה מהנוסח של יום חמישי.

יורם הכהן: גורם מאשר יכול בהיבטים מסוימים של הפעילות שלו לפעול לצורך העניין כגורם מאשר רשום, ובהיבטים אחרים של הפעילות שלו, לפעול כגורם מאשר של אותם שירותים לגופים שמשתמשים למטרות פנימיות, לא במסגרת החוק.

ליהי פלדמן: אבל זה לא הגורם המאשר.

יורם הכהן: את דורשת ממני לצורך העניין לרכוש, לכאורה, שתי מערכות חומרה ותוכנה.

יורם הכהן: הדרישה בנוסח המקורי היתה שהוא לא יעשה את זה, והיא יותר נכונה מבחינת המגבלה המשפטית.

יורם הכהן: פה את קובעת מגבלה טכנית, שהתוכנה לא תהיה מסוגלת לעשות את זה.

יורם הכהן: זאת בעיה אחת.

מירב ישראלי: זאת היתה בעיה של סמכות של הוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי.

מירב ישראלי: הנוסח כפי שהוא היה במקור לא היה בסמכות הוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי, אלא זה היה ניהול גורם מאשר, שהיה צריך להעביר את זה לוועדת החוקה, חוק ומשפט.

מירב ישראלי: אני שאלתי למה זה מופיע פה, ואמרו לי שזה מופיע פה כי זה שייך למערכות תוכנה וחומרה מהימנות.

מירב ישראלי: אם חוזרים לנוסח הישן, זה צריך לעבור לתקנות של ועדת החוקה, חוק ומשפט.

מיכאל איתן: אנחנו נקשה על החיים?

ליהי פלדמן: אנחנו מתייחסים לפעילות שלו כגורם מאשר, וגורם מאשר פה הוא רק גורם מאשר שרשום לפי החוק.

ליהי פלדמן: המערכת של אותו גורם מאשר, כגורם מאשר צריכה לענות על ההוראות האלה.

יורם הכהן: לא רק שהיא יכולה להיות אותה מערכת טכנולוגית, אלא זו תהיה אותה מערכת טכנולוגית, ולכן הדרישה שמערכת החומרה והתוכנה תהיה כזאת היא דרישה מאד מאד בעייתית.

יורם הכהן: אתם מטילים עלינו עומס.

יורם הכהן: תגבילי אותי בעשיית הפעולה, אבל אל תגבילי אותי בשאלה הטכנולוגית, מה המערכת שלי יכולה לעשות או לא יכולה לעשות.

רוני גרוס: נניח שהמבקש עצמו אומר: אני אחזיק את אמצעי החתימה אצלי.

רוני גרוס: הוא מתכוון להגיד שאולי זה לא יהיה אצל הגורם המאשר, אבל אולי אם הוא בעצמו רוצה להחזיק את זה אצלו, ומערכת התוכנה מאפשרת את זה, יש פה התייחסות לכך שמערכת התוכנה לא תאפשר זאת, גם לא על הירח.

רוני גרוס: יש פה קיצוניות מסוימת.

מיכאל איתן: חוץ מזה, מה אומר הביטוי "לא תאפשר החזקה באמצעי חתימה"?

מיכאל איתן: החזקה היא לא מאפשרת, אבל היא יכולה לאפשר גישה.

מיכאל איתן: מה אומר הביטוי "החזקה באמצעי חתימה"?

ליהי פלדמן: אם התשובה היא שזה בלתי אפשרי מבחינת טכנית להוסיף רכיב שימנע את ההחזקה הזאת, אני לא יכולה להתווכח איתה, כי זאת תשובה מקצועית.

זאב שטח: יש מנגנון שנקרא KEY ESCROW, והוא מאפשר להיות ESCROW של המבקש.

זאב שטח: נניח המבקש אומר שהוא לא רוצה ESCROW- בסדר, אבל אם הוא כן רוצה, והוא אומר שהוא מוכן שזה יהיה בצד שלישי, לא אצלי, לא אצלך, אלא בצד שלישי, הסעיף הזה מונע את מה שאמרת קודם, ליהי פלדמן, כשנתת תשובה לחנה אזולאי.

ליהי פלדמן: זה לא של הגורם המאשר.

זאב שטח: אבל זאת כן מערכת החומרה והתוכנה של הגורם המאשר.

זאב שטח: התשובה שנתת לחנה אזולאי היא שזה יהיה אצל צד שלישי, זאת אומרת: שזה לא יהיה אצלך ולא אצלו, אלא בצד שלישי, אבל זה כן חלק ממערכת התוכנה האינטגרלית – וכאן זה מתקשר למה שיורם הכהן אמר – של מערכת התוכנה.

זאב שטח: תגיד לי איפה אתה רוצה שנשים את זה, ושם נשים את זה.

מיכאל איתן: השאלה היא האם מדובר על עניין של החזקה, או על עניין של גישה.

ליהי פלדמן: מה זה משנה?

מיכאל איתן: אבל את רוצה למנוע גישה, לא החזקה.

רוני גרוס: גם החזקה.

מיכאל איתן: אבל גישה זה מושג יותר רחב מהחזקה.

חיים רביה: אם אין החזקה, אין גישה.

מיכאל איתן: למה?

מיכאל איתן: מישהו אחר מחזיק, ויש לך גישה לשם.

חיים רביה: אבל לא אצל הגורם המאשר.

חיים רביה: אם הגורם המאשר לא מחזיק, ממילא אין למה לגשת.

מיכאל איתן: למה?

יורם הכהן: המגבלה צריכה להיות משפטית, לא טכנולוגית.

מיכאל איתן: נכון, הבעיה היא משפטית.

מיכאל איתן: אני מסתכל מהצד המשפטי.

מיכאל איתן: אני יכול להיות בעל החזקה שמחזיק בזה, ותוך כדי שאני מחזיק בזה, למישהו אחר יש גם גישה לזה.

מיכאל איתן: אני רוצה למנוע את הגישה ולא את ההחזקה.

מיכאל איתן: ברור שאני רוצה למנוע את ההחזקה, אבל יותר מזה אני רוצה למנוע את הגישה.

מיכאל איתן: מה שמעניין אותי בעיקר זאת הגישה, לא ההחזקה.

חיים רביה: זה נכון, אבל נדמה לי שיש הוראות אחרות לגבי הגישה.

מיכאל איתן: נניח לרגע אחד שאני אומר שזה יוחזק על-ידי פעילות של גורם אחר, אבל לגורם המאשר תהיה גישה לשם, וזה יהיה רק עניין טכני, מה עשינו?

מיכאל איתן: לא עשינו דבר.

מיכאל איתן: הוא מחזיק את זה במחשב שלו, ואני רק עושה LINK למחשב שלו מתי שאני רוצה.

מיכאל איתן: מה שמעניין אותך זאת הגישה, ולא בהכרח ההחזקה.

מייק סטון: אני חושב שיש פה שני היבטים.

מייק סטון: קודם כל, אני חושב שאני מסכים לגבי הכוונה, אבל יש היבט פרוצדורלי ויש היבט טכני.

מייק סטון: מבחינה טכנית, אני לא מכיר את הטכנולוגיה שמסוגלת למנוע מהגורם המאשר להחזיק את החתימה של הלקוח.

מייק סטון: אנחנו רוצים למנוע זאת פרוצדורלית, ולכן אני מסכים עם הניסוח הראשון שנעשה ביום חמישי, שמונע משפטית מהגורם המאשר להחזיק את החתימה של הגורם המבקש, אבל לא הייתי מכניס ניסוח שאומר שמערכת החומרה והתוכנה - -

מיכאל איתן: נחזור לניסוח של יום חמישי.

יורם הכהן: הערה נוספת לעניין הזה היא לגבי חוסר אפשרות יצירת אמצעי חתימה.

יורם הכהן: אני חושב שהנוסח לא מספיק ברור.

יורם הכהן: אני חושב שהכוונה שלכם היא חוסר היכולת לשחזר בדיעבד את המפתח הפרטי.

ליהי פלדמן: שחזור או יצירה.

יורם הכהן: יצירה.

יורם הכהן: רוב הגורמים המאשרים בעולם יוצרים עבור המבקשים את צוות המפתחות, בין אם במסגרת רשות הרישום, ובין אם באיזשהו תהליך מרחוק.

יורם הכהן: "להוציא את זה החוצה" אומר שאתם מוציאים את עיקר העבודה, ולרוב המבקשים לא יהיו אמצעים כדי לייצר לעצמם אמצעי חתימה שעונים על דרישות החוק.

יורם הכהן: הם בדרך כלל יבואו למה שנקרא RAO, פונקצית רישום, ויבקשו שינפיקו להם.

יורם הכהן: אתם רוצים למנוע את העובדה שאני אחר-כך בדיעבד לא אוכל לשחזר את המפתח הזה.

יורם הכהן: שוב, זאת הגבלה משפטית.

יורם הכהן: לקבוע את זה במגבלה טכנולוגית, זה דבר בעייתי.

טנה שפניץ: האם לדעתך צריך למחוק את המילה "יצירה"?

מיכאל איתן: איך נוסח הסעיף הקודם?

יורם הכהן: גם בסעיף הקודם היתה בעיה.

יורם הכהן: זו היתה אותה בעיה.

יורם הכהן: נוסחו של הסעיף הקודם היה: גורם מאשר לא יקבל לידיו ולא יחזיק באמצעי חתימה ובכל מידע המאפשר שחזור או יצירה של אמצעי חתימה עבור או במקום המבקש.

יורם הכהן: צריך להוריד את המילה "יצירה", מכיוון ששחזור מכסה את העניין, ואם זה לא מכסה את האקט של היצירה מחדש, תחשבו על איזשהו ניסוח, כמו "יצירה מחדש".

מיכאל איתן: שחזור זה יצירה מחדש, זה ברור.

טנה שפניץ: ומה אתה אומר לגבי החזקה וגישה?

טנה שפניץ: חבר-הכנסת איתן אומר שצריכה להיות גישה.

יורם הכהן: המגבלה צריכה להיות משפטית על פעולת הגורם המאשר.

מיכאל איתן: מה אסור לו לעשות?

מיכאל איתן: אסור לו להחזיק אמצעי חתימה או אסור לו להגיע למידע?

יורם הכהן: אסור לו להחזיק.

חיים רביה: וכשאמצעי החתימה מוחזק בידי צד שלישי, האם מותר לו לגשת אליו?

חיים רביה: נדמה לי שזאת שאלתך.

עופר ישי: באשר לכל נושא התקנות לגבי האזרחים, אני מסכים עם הגישה הזאת - וגם הגישה האירופית אומרת זאת - לא להחזיק אמצעי חתימה ולא לתת אפשרות כזאת.

עופר ישי: רציתי לשאול שאלה.

עופר ישי: יכולים להיות ארגון, חברה פרטית, או אולי מוסד ממשלתי, שאולי כן ירצו לשמור איזה שהם אמצעים, כי אולי עובד עוזב את החברה.

עופר ישי: השאלה היא איך הדברים נעשים ביחד?

עופר ישי: האם לא כדאי לפחות להגיד שאם הדברים האלה קיימים, הם יהיו נפרדים לחלוטין?

ליאור יותם: אני יכול לענות על השאלות מבחינה טכנית.

ליאור יותם: במציאות יש מה שנקרא DUAL KEY PAIR.

ליאור יותם: זה צמד צמדי מפתחות, זאת אומרת: בעולם המציאותי אין לכל אינדיבידואל מפתח פרטי ומפתח ציבורי, אלא יש גם מפתח פרטי ומפתח ציבורי אחד וצמד נוסף.

ליאור יותם: צמד אחד משמש לחתימה, והצמד השני משמש להצפנה.

ליאור יותם: אנחנו את ה-KEY ESCROW מבצעים על הצמד שמשמש להצפנה, וזה באמת פנימי ולא קשור לחוק, כי זה משהו טכנולוגי, ולכן אנחנו עוזבים את זה, ושומרים לזה גיבוי.

ליאור יותם: רצוי לא לבצע גיבוי לצמד שמשמש לחתימה, שזה הצמד החותם שכן אמור לעמוד בחוק.

ליאור יותם: לכן אנחנו מבחינת החוק יכולים לתת פתרון גם לנושא של עובד שעוזב את החברה, ואני מעוניין לפענח את הקבצים שלו.

ליאור יותם: זה פתרון טכנולוגי גרידא.

ליאור יותם: לגבי הנושא השני, לדעתי צריך להשאיר בחוק את העובדה, שאסור ליצור גיבוי למפתח פרטי שמשמש לחתימה.

דורון שקמוני: הוזכר פה הנושא של ESCROW, והנושא הזה הוא חשוב, אבל הוא צריך להיות מופרד היטב מהנושא של גורם מאשר.

דורון שקמוני: אין ספק שגוף ממשלתי או גוף אחר, יכול להחליט שהוא רוצה להחזיק איזשהו REPOSITORY של מפתחות מסיבה זאת אחרת.

דורון שקמוני: יש לזה משמעויות משפטיות.

דורון שקמוני: כל גוף שעושה את זה, או כל פרט שעושה את זה, צריך לקחת על עצמו את ניתוח המשמעות המשפטית שנגזרת מזה.

דורון שקמוני: זה בוודאי לא יכול להיות אצל הגורם המאשר שפועל כגורם מאשר, מכיוון שזה יוצר אצלו ניגוד עניינים.

דורון שקמוני: אני רוצה להתייחס למשהו שכמעט בהינף יד הוסר מכאן, וזה שחזור או יצירה.

דורון שקמוני: השחזור או היצירה הושוו אחד לשני.

דורון שקמוני: אם אני לא טועה – ויתקנו אותי אנשי משרד המשפטים – למשמעות של יצירה יש עוד רובד אחד.

דורון שקמוני: גורם מאשר, מבחינה תיאורטית וטכנית לפחות, מסוגל – אחרי שאני פניתי אליו, יצרתי אצלו את האישור וכו' והלכתי - ליצור אמצעי חתימה נוסף שכאילו פועל בשמי, ואז בעצם קיימת בעולם חתימה נוספת שמכילה את כל הפרטים שלי.

דורון שקמוני: היא איננה אצלי, והיא איננה ברשותי.

דורון שקמוני: אני חושב שצריך למנוע את זה בסעיף 5, אולי על-ידי ניסוח קצת אחר.

מיכאל איתן: למה זה לא נקרא שחזור?

דורון שקמוני: זה לא שחזור, זאת יצירה של אמצעי חתימה אחר.

דורון שקמוני: זה איננו אותו אמצעי חתימה.

דורון שקמוני: שחזור זאת בעיה אחת, והיא באמת בעיה אמיתית, אבל יש לו גם אפשרות ליצור אמצעי חתימה אחר, שאיננו זהה לקודם.

טנה שפניץ: שכפול זה בסדר?

דורון שקמוני: זה לא שכפול, זאת יצירה של אמצעי חתימה חדש.

חיים רביה: למה זאת לא עבירה פלילית?

מיכאל איתן: מה ההבדל בין זה לבין יצירה, אם מישהו בכלל לא ביקש?

דורון שקמוני: להבנתי, זה צריך להיכנס, לפחות כדי ליצור את הסייג.

דורון שקמוני: אפשר לסייג את זה על-ידי כך שהגורם המאשר לא ייצור אמצעי חתימה, או לא ימסור אמצעי חתימה שלא לידי מבקש במעמד הבקשה, או בהקשר לבקשה, מכיוון שההידרשות לזיוף, או ההידרשות לעבירה פלילית שנעשית, היא לא ממש מדויקת אם אני מבין נכון, מכיוון שבהחלט יכול להיות שמי שיבצע את העבירה בסופו של דבר יהיה צד שלישי.

דורון שקמוני: הגורם המאשר גרם פה בעצם רק לפתיחת פתח לביצוע העבירה.

דורון שקמוני: בוודאי שצריך לסייג את זה בצורה כזאת, שייצור של תעודה אלקטרונית יתבצע רק במסגרת הבקשה.

ליהי פלדמן: אבל החוק אומר שגורם מאשר רשאי להנפיק לאדם מסוים תעודה אלקטרונית, לפי בקשתו.

דורון שקמוני: האם זה אומר אותו דבר?

טנה שפניץ: תלוי מי קורא.

דורון שקמוני: יכול להיות שצריך לחזק את זה קצת.

יורם הכהן: הערה שלישית.

יורם הכהן: לגבי הניסוח "בכל מידע", אנחנו חושבים שצריך להיות כתוב "בכל המידע".

מיכאל איתן: נכון, חלק מהמידע הוא אפשרי.

יורם הכהן: יש מנגנון של KEY ESCROW, או לא KEY ESCROW, אלא מצב שבו אתה מפרק את המפתח לשני חלקים או יותר, והגורם המאשר מחזיק חלק מהמפתח, שלא מאפשר לו בשום פנים ואופן לייצר את המפתח מחדש, אבל גם מי שרוצה לשחזר אותו – נניח מהצד של המבקש – לא יוכל לשחזר בלי עזרת הגורם המאשר.

מיכאל איתן: יש סיבה יותר פשוטה מהסיבה שאתה מעלה, לדעתי.

מיכאל איתן: אמצעי מידע שקשור באמצעי חתימה של המבקש הוא מידע רחב מאד, וכאן המילים "בכל מידע" שיש שם הן הגזמה.

ליהי פלדמן: היא מאפשרת שחזור המפתח עצמו?

ליהי פלדמן: אנחנו צריכים לחלק את המספרים.

מיכאל איתן: לכן צריך לכתוב "בכל המידע שמאפשר", ולא "בקטע מהמידע".

מיכאל איתן: לפי הניסוח הזה, אם איזשהו קטע מהמידע ברשותו, הוא כבר עבר עבירה, ולא זה מה שאנחנו רוצים.

מיכאל איתן: אנחנו רק רוצים שלא תהיה בידו הקומבינציה של כל המידע; אפילו אם יש שם חלק שלא מאפשר את שחזור המידע, אבל הוא חלק מתוך המידע.

יורם הכהן: ליהי פלדמן, אני אמרתי במפורש שאני חושב שאין פה בעיה מבחינת כוונת החוק, אם אנחנו נשמור אצלנו חלק שמאפשר שחזור.

יורם הכהן: החלק הנוסף שנדרש זה תנאי הכרחי, אבל לא מספיק, זאת אומרת: אני מחזיק אצלי חלק מהמידע, והמבקש לצורך העניין, או שירות אחר, שהמבקש מסתמך עליו, מחזיק - -

ליהי פלדמן: איפה החלק השני של המידע?

ליהי פלדמן: מי שולט בחלק השני של המידע?

חיים רביה: המילים "לא יחזיק בכל מידע" מאפשרות לגורם המאשר לשחזר את אמצעי החתימה, ללא שיתוף פעולה של המבקש.

מיכאל איתן: חבל על הזמן, תמצאו דרך לעשות זאת.

מיכאל איתן: אני לא מבין את הפרטים הטכניים, אבל בגדול לא יכול להיות מצב שיסגרו את כל המידע.

ליהי פלדמן: לצורך העניין, אנחנו מדברים עכשיו על רצף של מספרים.

ליהי פלדמן: השאלה היא האם הוא יכול לגזור ולהחזיק אצלו חלק, ולשים במקום אחר.

מיכאל איתן: כן, יכול להיות.

מיכאל איתן: אם הוא לא יכול לעשות שחזור, אלא זה דורש את שיתוף הפעולה של הלקוח, וזה יקל עליהם אחר-כך לעשות עסקאות, תאפשרו להם את זה.

טנה שפניץ: אומרים לו: החצי השני זה עוד 72 ספרות, תביא לנו אותו, והוא יביא אותו.

מיכאל איתן: אז הוא יביא, מה קרה?

מיכאל איתן: אם יש משהו שמקל על כל הפעילות וגם על היכולת לפענח את זה אחר-כך, מצד אחד אני מקל על מי שיש לו כוונה פלילית, אבל מצד שני אני מקל על 95% מהפעילות השוטפת והרגילה.

ליאור יותם: אני יכול לחזק את דעתך, אתה לא מקל עליו בפריצה, כי בטכנולוגיה שמחלקת מפתח פרטי לשניים – ואני לא אכנס עכשיו בדיוק למה שהיא עושה – אי אפשר להגיע מהחצי למפתח הגדול, וזה אפילו לא מקל עליי בקצת את הפריצה.

ליאור יותם: שיטת הפריצה של המפתחות האסימטריים נקראת BRUTE FORCE ATTACK.

ליאור יותם: אני לא יכול להשתמש בחצי שיש לי, על-מנת להקל על עצמי ב-BRUTE FORCE ATTACK.

ליאור יותם: ניחוש הקומבינציות ייערך אותו זמן, בין אם יש לי חצי ובין אם אין לי חצי.

ליאור יותם: לכן, זה אפילו לא מקל על אותו פורץ, שבא עם כוונה פלילית.

מיכאל איתן: במה זה מקל עליכם?

זאב שטח: זה לא מקל עלינו.

זאב שטח: אני חושב שלכל אורך התקנות, אנחנו עוד ניתקל בשאלה מי הוא הלקוח.

זאב שטח: המושג מי הוא הלקוח, לפי דעתי, יעלה פה לכל אורך הדיון, משום שהמחוקק אולי חושב שהלקוח זאת אותה גברת שיושבת בבית ויש לה חתימה, וזה נכון מבחינה תפיסתית, אבל הלקוח הוא גם אותו ארגון שחילק לאותה גברת את המפתח, והוא לקוח של הגורם המאשר.

זאב שטח: יש לקוח ויש לקוח.

יורם הכהן: אם לבנק הזה יש עובדים, והעובדים האלה חותמים בשם הבנק, הלקוח זה הבנק.

זאב שטח: זה מאד מקל על הארגון - נאמר על הבנק - שנותן ללקוחותיו לעשות את השחזור, ומונע מצב שאי אפשר להשתמש במפתח כתוצאה מאיזושהי תקלה.

זאב שטח: ברור שלגורם המאשר לא צריכה להיות אפשרות כזאת – וזאת כוונת המחוקק – בלי שהלקוח, נאמר הבנק, ביקש לשחזר אותו.

זאב שטח: נשאלת השאלה, אם הלקוח של הבנק אומר שאיבד את המפתח, האם לא צריכה להיות אפשרות – כשהוא חותם על הטפסים – לשחזר אותו ולעזור לו.

זאב שטח: אני חושב שכן.

טנה שפניץ: שיעשה לו חדש, זה טוב לשניכם.

זאב שטח: אני לא מחפש כרגע מה טוב בשבילנו או לא, אלא חושב על הדרך שבה העסק הזה צריך לעבוד.

טנה שפניץ: מה שהצלחתי להבין זה שהמפתח הפרטי זה הדבר "הכי הכי", והוא צריך לשמור עליו.

טנה שפניץ: לכן, ברגע שיש לך צמד, אתה יכול לעשות הכל.

טנה שפניץ: עכשיו אתה אומר לי: לגבי הכל את צודקת, אבל חצי זה כן בסדר.

טנה שפניץ: מה עוזר לך חצי, מלבד מאשר שחזור השלם שהוא כל-כך פרובלמטי?

אבי נגר: זה עוזר לזהות חד-ערכית את הלקוח, שבעזרתו יהיה אפשר לשחזר את אותו מפתח פרטי.

מיכאל איתן: איך תשחזרו ללקוח את המפתח הפרטי?

יורם הכהן: הלקוח ישחזר, אבל אם לנו יש חצי ולו יש חצי, אנחנו יודעים בוודאות שהחצי הוא שלו, ואז ניתן לו לשחזר.

טנה שפניץ: אבל אז זה גם אצלך.

זאב שטח: אני אתן דוגמה.

טנה שפניץ: יורם הכהן, אחרי שנאחד את שני החצאים האלה בשעה טובה, זה גם נמצא אצל הגורם המאשר.

זאב שטח: לא, זה לא נמצא אצל הגורם המאשר בכל מקרה.

אבי נגר: זאת בדיוק הסיבה שאנחנו מקלים על הלקוח, כי חצי נמצא אצלו וחצי נמצא אצלנו, ורק כשהוא יביא את החצי שלו, הוא יוכל למעשה לשחזר אצלו.

מיכאל איתן: ואצלכם זה לא ישוחזר?

זאב שטח: לא, בשום אופן לא.

יוסף חי אנג'ל: אבל למה לא לייצר מפתח חדש?

יוסף חי אנג'ל: למה צריך להתעסק בשחזור בכלל?

יוסף חי אנג'ל: למה בכלל לקחת את החצי?

יוסף חי אנג'ל: אם מישהו איבד מפתח או קרה משהו, תן לו מפתח חדש.

טנה שפניץ: זה קדימה, השאלה אחורה.

מייק סטון: ESCROW יודע להגן על הצפנה, ואם אני אאבד את המפתח שלי, אני לא אאבד גישה לקבצים שלי, אבל אנחנו מדברים על חתימה דיגיטלית, שזה דבר אחר, שימוש אחר ויישום אחר.

מייק סטון: אם אני אאבד את המפתח הפרטי שלי, אני אבקש חדש, ומה שכבר חתמתי אתמול תקף.

מיכאל איתן: אז ירדנו מזה.

אני ממשיכה לקרוא: "אבטחת 6.

אני ממשיכה לקרוא: (א) מרכיבי מערכת המחשב של הגורם המאשר המשמשים לזיהוי המבקש,

אני ממשיכה לקרוא: המערכת אבטחה לפי common criteria EAL4 או לפי תקן מקובל אחר, המבטיח רמת

אני ממשיכה לקרוא: התקשורת (ב) אמצעי התקשורת המשמשים לפעילות הגורם המאשר, יעמדו בדרישות

גיא פיגל: לגבי EAL4, זה מאד בעייתי במערכות שפועלות היום.

מיכאל איתן: לכן כתוב "או לפי תקן מקובל אחר".

גיא פיגל: EAL4 זה פשוט גבוה מדי.

גיא פיגל: אין עדיין מספיק מערכות שעומדות בזה, ואם היום רוצים ליישם מערכת הפעלה EAL4?

זאב שטח: יש FILE ROLLING שעומדים ב-EAL4.

גיא פיגל: עזוב FILE ROLLING.

גיא פיגל: על מה אתה רוצה להתקין עכשיו את ה-CA שלך?

דוד גוטמן: MT2000 עומד ב-EAL4 למשל.

גיא פיגל: בקונפיגורציה מאד מאד ספציפית.

גיא פיגל: אני חושב ש-EAL3 זה משהו שהוא הרבה יותר COMMON וקיים היום, ואפשר פשוט להתחיל ממנו, כי אם רוצים לעודד את השוק, למה להתחיל מזה?

זאב שטח: אבל אתה מוריד את הרמה בצורה משמעותית.

גיא פיגל: אני מדבר על ה-CA עצמו.

מיכאל איתן: מייק סטון, מה אתה אומר?

מייק סטון: קודם כל, ה-EAL מתייחס ל-EVALUATION LEVEL, זאת אומרת:

מייק סטון: אנחנו מדברים על רמת הבדיקות, למשל: EAL1 זאת בדיקה פונקציונלית, EAL2 זאת בדיקה שהיא מבנית יותר.

מייק סטון: אנחנו מדברים על רמת הביטחון שיש לנו בתהליך של EVALUATION, שבדקנו ואפיינו נכון את המערכת.

מייק סטון: הייתי אומר ש-EAL פשוט שואל כמה ביטחון אנחנו רוצים לקבל מהבדיקה, ושבדקנו את הכל.

מייק סטון: אנחנו יכולים לקבוע עד EAL7, שזאת בדיקה פורמלית שה-EVALUATOR יושב עם המפתחים של הספק ועושה CODE REVIEW ובודק הכל.

מייק סטון: אני חושב שאנחנו יכולים להיות ב-EAL7 ועדיין ליישם רק SECURITY LEVEL1, כך שהייתי מציע בתור נוסח להגדיר, שאנחנו צריכים להיות צמודים, למשל: ל-PROTECTION PROFILE של ה-CIMC -CERTIFICATE ISSUING MANUFACTURING - ולהגדיר שלמשל עבור המבקש או המסתמך, הוא חייב LEVEL1 בשביל התוכנה שלו.

טנה שפניץ: אבל מה צריך להיות כתוב לדעתך בסעיף 6?

ליהי פלדמן: לגבי אמצעי החתימה, דרשנו בסעיף 4 FIPS רמה 2.

טנה שפניץ: בסעיף 6 ה-common criteria צריך להיות EAL4, או שאפשר להסתפק ב-3?

מייק סטון: יש מה שנקרא PROTECTION PROFILE.

מייק סטון: יש מושג שאומר שבכל האופציות, ה-common criteria מגדיר את האיומים, את המדיניות ואת המטרות.

מייק סטון: יש מטריצה, שאומרת לאיזה איומים יש אמצעים שנותנים הגנה מלאה.

ליהי פלדמן: אז מה צריך להוסיף?

מייק סטון: בסופו של דבר, אני מציע להיצמד ל-CMIC PROTECTION PROFILE, שהוא נגזר מה-common criteria LEVEL3, בתור מינימום.

טנה שפניץ: במקום ה-EAL, או בנוסף?

מייק סטון: זה תפוחים ותפוזים.

טנה שפניץ: אמרת שיש מטריצה של שלושה.

מייק סטון: אפשר להגיד שצריכים להיצמד ל- CMIC PROTECTION PROFILE LEVEL3 עבור הגורם המאשר.

מייק סטון: אני מדבר על ה-SECURITY LEVEL.

מייק סטון: רמת הבדיקה יכולה להיות EAL3 או EAL4.

מייק סטון: הנקודה היא שכל עלייה בדרגה זה עוד זמן והוצאות לבדיקה.

זאב שטח: יש פה כמה דברים שצריך לדעת.

זאב שטח: ה-EAL4 בודק קומפוננטות, ואומר: יש לך דרגה כזאת או דרגה אחרת.

זאב שטח: מייק סטון אמר שאפשר להגדיר SECURITY LEVEL לארגון ולהחליט שאתה רוצה SECURITY LEVEL מסוימת, ובמסגרת הזאת להכניס EAL כזה ו-EAL אחר.

זאב שטח: לפי הניסוח כאן, אסור להכניס לגורם המאשר התקן, ציוד חומרה או תוכנה, שהוא פחות מ-EAL4, זאת אומרת: זה נוסח די חד משמעי.

טנה שפניץ: זה לא אותו דבר.

זאב שטח: בדיוק, זה פרופיל.

טנה שפניץ: לפי הבנתי, הם מסבירים שה-common criteria זאת רמה כללית, ושלוש קומפוננטות, שאתה יכול ללכת בכל אחת על רמה אחרת.

טנה שפניץ: לכן הם רוצים להיצמד למשהו שנותן גמישות.

טנה שפניץ: אני מבינה שזה במקום זה.

מיכאל איתן: זה לא במקום.

זאב שטח: לדוגמה, יש FILE ROLLING שעומדים ב-EAL4 ויש כאלה שלא עומדים ב-EAL4.

זאב שטח: המשמעות פה היא שאי אפשר יהיה להכניס FILE ROLL שלא עומד ב-EAL4, לדוגמה: לקומפוננט, או מערכת הפעלה שכן עובדת או לא עובדת.

זאב שטח: זאת המשמעות של מה שכתוב פה.

חיים רביה: מייק סטון, אולי תאמר לנו איך התקנה צריכה להיות מנוסחת לפי הבנתך?

יורם הכהן: אני רוצה שתדעו שה-FILE ROLLING לא קשור לעניין הזה.

זאב שטח: לגורם המאשר יש גם FILE ROLL.

יורם הכהן: כן, אבל זה לא בתוך הסעיף הזה.

מייק סטון: קודם כל צריכים להגדיר מה הם בכלל מרכיבים חיוניים, כי זה דבר שהוא קצת מעורפל.

מייק סטון: אולי יש יתרון מבחינה משפטית לערפול, אבל הכוונה צריכה להיות השירותים והמרכיבים שהם על המסלול הקריטי בין הגורם המבקש, או הגורם המשתמש, או המסתמך, והשירות של הגורם המאשר.

מייק סטון: דברים צדדיים, כמו: מערכת החיוב, או ה-BILLING של הגורם המאשר לא רלוונטיים לדיון כאן בוועדה.

מייק סטון: אז אנחנו צריכים להשתמש ב-PROTECTION PROFILE שיש היום.

ליהי פלדמן: האם יש רשימת מוצרים מאושרת, או שכמו ב-EAL וכמו ב-FIPS, יש לנו איזו נקודת מוצא?

מייק סטון: יש רשימה של ה-VALIDATION ויש רשימה של המוצרים.

מיכאל איתן: האם תדעו לנסח את הדברים שהוא אמר?

טנה שפניץ: אין בעיה, אני כותבת 10 אותיות, והכל מסודר.

מיכאל איתן: אבל זה לא קשור ל-EAL4.

מיכאל איתן: רמת אבטחה 3 - -

מייק סטון: ה-common criteria מאפשר SECURITY LEVEL 1, 2, 3 ו-4, זאת אומרת: הוא מכיר גם כן דברים שאולי אנחנו לא היינו רוצים לקבל.

מייק סטון: אנחנו מכירים את הדרישות של ה"שרץ" שלנו.

מיכאל איתן: מה שהוא אומר זה שאם נלך שם לרמת אבטחה 3, הם לא יתנגדו שנרד כאן ל-EAL3 גם כן.

מיכאל איתן: כך נסכם את הדברים.

מייק סטון: אני יכול להגיד מה יש.

מייק סטון: יש PROTECTION PROFILES עבור FILE ROLLS , עבור שימוש ב-SMART CARDS ובסיסמאות חד-פעמיות, עבור מערכת הפעלה, עבור CRYPTOGRAPHIC MERGE FILES ועבור CERTIFICATE AUTHORITY.

מיכאל איתן: זה יהיה מסורבל להכניס את זה לכאן.

מייק סטון: היופי של ה-common criteria זה שהוא גם כן מגדיר את התהליך של יצירת ה-PROTECTION PROFILE, כך שאם אנחנו מחליטים שאנחנו כן רוצים לסגור את זה הרמטית, בארץ יש לנו כלים להחליט - זה פשוט עניין של מטריצה – ולהגיד: על כל האיומים הנרשמים ועל כל המטרות וכל ה-ASSUMPTIONS, אנחנו יכולים לקבוע את ה-PROFILE שמקובל עלינו ועל כל מרכיב שאנחנו נרצה.

מייק סטון: יש תשתית ל-common criteria כן להחליט על PROTECTION PROFILE שלנו.

טנה שפניץ: אנחנו אמרנו שלא נעשה את זה בתקנות, כי מדובר בהרבה מאד פרטים.

עופר ישי: מי הוא בעצם הגורם שיוכל לתת לרשם את ה-O.K שזה אכן עומד בכל הקריטריונים?

עופר ישי: האם משאירים את זה פתוח?

טנה שפניץ: הרשם.

עופר ישי: אבל השאלה היא האם יש גם איזה גורם מוסדי.

מיכאל איתן: אין לנו רשם, ואתה רוצה גורם מוסדי?

מיכאל איתן: !

אני ממשיכה לקרוא: "אבטחה 7.

אני ממשיכה לקרוא: גורם מאשר יבטיח כי פעילותו מתבצעת במקום מוגן, המונע חדירה וכניסה

חיים רביה: פעילותו של גורם מאשר משתרעת על כל מיני דברים, החל בזיהוי המבקש וכלה בהנפקת התעודה.

חיים רביה: אני לא מניח שהזיהוי צריך להתבצע במקום מוגן.

חיים רביה: נדמה לי שהניסוח המדויק יותר זה: גורם מאשר יבטיח כי מרכיבי המערכת, המשמשים לביצוע הפעולות החיוניות, מוצבים במקום מוגן.

מיכאל איתן: כאן רשמו "להנחת דעתו של הרשם", וזה משאיר לו שיקול דעת כללי גם בלי ההערה שלך, אבל זה אפשרי.

אני ממשיכה לקרוא: בקרת גישה 8.

אני ממשיכה לקרוא: (א) גורם מאשר יבטיח כי ביצוע הפעולות החיוניות לא יהא בשליטתו של אדם

אני ממשיכה לקרוא: תפקידים (ב) גורם משר יבטיח את מידור הגישה לחלקי מערכת המחשב הדרושים לפעילותו

אני ממשיכה לקרוא: החלקים החיוניים.

אני ממשיכה לקרוא: (ג) גורם מאשר ינהיג אמצעי זיהוי שיבטיחו זיהוי ותיעוד גישתו של כל אדם למערכת.

אני ממשיכה לקרוא: (ד) הרשם רשאי לפטור גורם מאשר מהחובות לפי תקנות משנה (א) ו-(ב), מטעמים שיירשמו, ורשאי הוא לקבוע במקומן חובות חלופיות.

אני ממשיכה לקרוא: "

חיים רביה: המילה "מערכת" מוגדרת בתקנה 1 כך: "מערכת החומרה והתוכנה של הגורם המאשר".

חיים רביה: נדמה לי שזאת הגדרה רחבה מדי.

חיים רביה: צריך להיות כתוב: "מערכת החומרה והתוכנה, המשמשת לפעילותו של הגורם המאשר" - -

עופר ישי: לדעתי, אין התייחסות לכל נושא אבטחת האיכות אצל הגורם המאשר.

עופר ישי: לפי דעתי, זה נושא עקרוני.

עופר ישי: יש שם הרבה מאד נהלים שהוא צריך לעמוד בהם ולעבוד לפיהם.

ליהי פלדמן: זה לא בתקנות האלה.

ליהי פלדמן: הנושא של נהלי עבודה של הגורם המאשר הוא לא בסמכות הוועדה לענייני מחקר ופיתוח מדעי וטכנולוגי, אלא בסמכות ועדת החוקה, חוק ומשפט.

"פרק ג': חזקה לעניין 9.

"פרק ג': חתימה אלקטרונית המקיימת אחד מאלה, חזקה שהיא חתימה אלקטרונית חתימה מאובטחת".

"פרק ג': אלקטרונית מאובטחת לגבי אמצעי אימות חתימה, הכנסנו תיקון, כדי לדייק יותר.

ליהי פלדמן: "(1) לגבי אמצעי לאימות חתימה שמחזיק בידיו המבקש ואמצעי החתימה אותו הוא מזהה, מתקיימות לפחות הדרישות כמפורט להלן".

מירב ישראלי: מדובר לא רק על אמצעי לאימות חתימה, אלא גם על אמצעי החתימה.

מירב ישראלי: סעיף (ב) מתייחס לאמצעי החתימה.

מירב ישראלי: הניסוח כפי שהוא עכשיו מדויק יותר, ומתייחס לשני המרכיבים.

מירב ישראלי: טכנולוגיית RSA או DSA על בסיס מפתח באורך 1024 ביט לפחות;

מירב ישראלי: (ב) להפעלת אמצעי החתימה, או לגישה אליו, נדרש שימוש באמצעים פיסיים או קריפטולוגיים ייחודיים, העומדים לפחות ברמת אבטחה של תקן 2-140 FIPS רמה 1, או של תקן common criteria EAL2;

מירב ישראלי: (ד) לעניין פסקאות משנה (ב) ו-(ג), רשאי הגורם המאשר להסתפק בהצהרה מטעם המבקש.

חיים רביה: צריך להעביר את תקנת משנה (ד) בנוסח הזה לתקנה 14, כי היא לא במקומה.

חיים רביה: תקנה (ד), האומרת: "לעניין פסקאות משנה (ב) ו-(ג), רשאי הגורם המאשר להסתפק בהצהרה מטעם המבקש", מקומה בתקנה 14 לתקנות.

מירב ישראלי: נכון, צריך להגיד שקודם בחתימה אלקטרונית הנושא של ה"מאובטחת" היה לכאורה בתוך ההנפקה של התעודה האלקטרונית.

מירב ישראלי: הפרדנו את זה לאיזו חתימה אלקטרונית חזקה שהיא מאובטחת, ואחר-כך את ההוראות הפרוצדורליות לגבי הנפקת תעודה.

מירב ישראלי: אני חושבת שבאמת יש מן הצדק בהערה הזאת.

עופר ישי: למה צריך בעצם שני מסלולים?

עופר ישי: למה לא להגדיר מסלול עם התקנים, ואם רוצים לעשות שינוי, לעשות שינוי?

עופר ישי: למה להגדיר מסלול, שלכאורה כל אחד יכול להביא את מי שהוא חושב?

עופר ישי: זה בעייתי, כי זה כאילו אנחנו לא מאמינים בתקנים ויוצרים איזה ערוץ נוסף, שהוא פתח להורדת הרמה.

מירב ישראלי: אני הבנתי שזה היה בגלל הנושא של הטכנולוגיות שרצות קדימה ומהר.

עופר ישי: אם יש שינוי בטכנולוגיה, אפשר לבוא לרשם, אבל להכניס את זה מראש?

חיים רביה: זה בדיוק מה שעושים, באים לרשם.

עופר ישי: יבואו – יבואו, אבל להכניס את זה מראש?

מירב ישראלי: הרשם מפרסם את זה גם.

יורם הכהן: לא ממש ברורה לנו הדרישה ב-(ד) של הצהרת המבקש.

יורם הכהן: משרד המשפטים עד היום מאד ניסה להגביל את פעילותו של הגורם המאשר, וההצהרה הזאת היא פתח מאד מאד גדול להעברת האחריות אל המבקש עצמו.

יורם הכהן: לנו אין בעיה עם זה, רק שזה יהיה ברור שזאת המשמעות של התהליך, ובכך שמבקש מצהיר שהוא שם את אמצעי החתימה שלו על איזושהי מדיה תואמת, אתם מסירים ממני את האחריות.

יורם הכהן: אם מבחינת

יורם הכהן: כם זה בסדר – יופי, אבל שזה יהיה ברור, כי אני מפחד מפירוש הפוך אחר-כך.

ליהי פלדמן: הגישה היתה שאנחנו כאן בעצם דורשים ממך לבדוק את אמצעי החתימה שלו.

ליהי פלדמן: אתה לא בא ולא בודק לא איפה אמצעי החתימה, לא איך הוא מוגן ולא איך הוא נשמר, ולכן אנחנו מבקשים שללקוח תהיה איזושהי מודעות למה שהוא עושה.

חיים רביה: ליהי, אם אימא שלי תיתן את ההצהרה שאמצעי החתימה שלה עומד ב-FIPS-142...

חיים רביה: לכן אולי צריך לדייק בניסוח של תקנה (ד), כך שהגורם המאשר יסתפק בהצהרה מטעם המבקש, שלפיה המבקש מחזיק באמצעי חתימה המוכר לרשם, ועונה על דרישות תקנות משנה (ב) ו-(ג), או משהו כזה, שלא לחלוטין יוריד את האחריות.

חיים רביה: נדמה לי שלכך התכוונת, נכון?

יורם הכהן: כן.

מיכאל איתן: אני לא חושב שזה תיקון נכון.

מיכאל איתן: הגורם המאשר מנהל דיאלוג, לצורך העניין הזה, כי זה לא בא אוטומטית.

מיכאל איתן: איך זה יתבצע בפועל?

חיים רביה: לפי האופן שבו זה מנוסח כעת, די בכך שאני אצהיר שאמצעי החתימה שלי עומד ברמת תקן אבטחה FIPS-142, כדי שהרשם יגיד: בסדר.

חיים רביה: אני מזכיר את הצורך בתקנה הזאת, שתחילתו בסעיף 4 לחוק, שאומר שחזקה על חתימה מאושרת, שהיא גם חתימה מאובטחת.

חיים רביה: ברגע שאתה מסתפק בהצהרת המשתמש ההדיוט, שאומר לו עכשיו: סמוך עליי, זה בסדר, זה עומד ברמת התקן שאינו מוכר לי ומעולם לא חלמתי להכירו, ואתה בעצם מרוקן מכל משמעות את החזקה הזאת שבחוק.

מיכאל איתן: למה?

מיכאל איתן: אני לא מבין.

חיים רביה: מפני שהחזקה הזאת מסתמכת בסופו של דבר על הצהרתו של משתמש הדיוט, שאומר "זה בסדר".

מיכאל איתן: למה?

מיכאל איתן: הוא שואל אותו: איך זה עובד?

מיכאל איתן: איזה אמצעים יש לך?

מיכאל איתן: וכשהוא מקבל ממנו תשובה, הוא אומר לו.

חיים רביה: זה רק עניין של דיוק בניסוח.

חיים רביה: מה ההצהרה המבוקשת?

חיים רביה: ההצהרה המבוקשת צריכה להיות כזאת שאומרת: אני משתמש בטכנולוגיה, שאתה הגורם המאשר מכיר ויודע שהיא עומדת בדרישות תקנות (ב) ו-(ג).

מירב ישראלי: השאלה שלי היא האם אפשר לגבות את זה במשהו, שלא סתם יהיה איזה תצהיר שיהיה כתוב בו: יש לי טכנולוגיה שעומדת בזה ובזה.

מירב ישראלי: איך הלקוח יודע שזה FIPS כזה וכזה?

רוני גרוס: אולי יצרן התוכנה יספק את האישור.

מירב ישראלי: נכון, משהו כזה, שיגובה באיזשהו מסמך, שלפיו הגורם המאשר יוכל לדעת באיזו טכנולוגיה מדובר.

חיים רביה: זאת ההצהרה שמבוקשת.

מירב ישראלי: לא, ההצהרה היא רק שיהיה טופס, עליו כתוב: אני מצהיר שאני משתמש בטכנולוגיה X.

מירב ישראלי: זה מה שכתוב כאן.

חיים רביה: לא, כתוב אפילו פחות מזה: אני מצהיר שאני משתמש בטכנולוגיה שעומדת ברמה - -

ליהי פלדמן: זאת לא הכוונה של מה שכתוב כאן.

טנה שפניץ: אנחנו רוצים לכתוב שיהיה ברור שהוא מביא איזשהו מידע באיזו טכנולוגיה הוא השתמש.

חיים רביה: ושהטכנולוגיה מוכרת לגורם המאשר.

טנה שפניץ: לא, הוא לא צריך להגיד שהיא מוכרת.

טנה שפניץ: אימא שלך ואני צריכות לתת את הטכנולוגיה, והוא הגורם המאשר – עליו הנטל.

מיכאל איתן: חיים רביה התכוון בדיוק למה שאת אומרת.

טנה שפניץ: זה גם המקסימום שהלקוח יכול לעשות.

מיכאל איתן: יש לי מחשב כזה, יש לי תוכנה כזאת, והוא יענה על שאלון, והגורם המאשר ינפק לו את זה, וברגע שהוא מילא את השאלון במוצגים הבסיסיים ביותר, הגורם המאשר צריך לדעת שזה ברמה הזאת.

מירב ישראלי: האמת היא שבהרבה מקרים יש נוסח של הצהרה.

חיים רביה: ההערה אומרת שההצהרה צריכה לומר שאני מחזיק אמצעי חתימה, שהוכרז עליו לפי 10(ג).

טנה שפניץ: הלקוח לא ידע את זה.

מירב ישראלי: 10(ג) זאת חלופה אחת.

מירב ישראלי: סעיף 10 זאת החלופה השנייה לסעיף 9, שזה אישור הרשם:

מירב ישראלי: חתימה טכנולוגיה מסוימת עומדת בדרישות שנקבעו בתקנה 9(1); פניה כאמור

מירב ישראלי: מאובטחת לתקן מקובל, אם ישנה, וחוות דעת של מומחה אבטחת מידע בדבר

מירב ישראלי: לו כדי לבחון האם מדובר בטכנולוגיה העומדת בדרישות תקנה 9(1)

מירב ישראלי: (ב) כל מי שמעונין בכך, רשאי לפנות בכתב לרשם לשם קביעה כי טכנולוגיה

מירב ישראלי: מאובטחת, על אף שאינה מקיימת את הוראות תקנה 9(1); פניה כאמור

מירב ישראלי: (ג) אישר הרשם, לפי תקנות משנה (א) או (ב), כי חזקה שחתימה אלקטרונית

מירב ישראלי: אמרנו שבמקום "דבר האישור" צריך לכתוב - הטכנולוגיה שמדובר בה

מירב ישראלי: את אישורו, באתר אינטרנט המשמש לכך.

מירב ישראלי: "

עופר ישי: אני עדיין אומר שאין לנו בקרה פה על הרשם.

עופר ישי: זה מעין כביש שעוקף את המסלול הראשי.

מיכאל איתן: אבל אנחנו בעד.

מייק סטון: חסר איזשהו סעיף, או תת סעיף ב-9, כי מקובל אצל CERTIFICATE AUTHORITY, או המדיניות לגבי הגורם המאשר בחוץ-לארץ, שהגורם המאשר חייב לוודא שיש לו מפתח פרטי.

מייק סטון: יכול להיות שמישהו יבקש CERTIFICATE בלי שיש לו מפתח פרטי.

מיכאל איתן: איך הוא יכול לוודא?

מיכאל איתן: למה אדם ירצה את התעודה בלי מפתח?

מיכאל איתן: מה הוא יעשה עם זה?

מייק סטון: קודם כל אענה לשאלה הראשונה.

מייק סטון: הגורם המאשר יכול לשלוח איזשהו מסר לפי המפתח הציבורי של אותו אדם.

מיכאל איתן: אנחנו מטילים עוד ועוד חובות, למה זה טוב?

ליהי פלדמן: כל הקריפטולוגים טוענים את זה.

מייק סטון: הוא יכול לזהות שיש לו מפתח פרטי, אם הוא חותם משהו - -

מירב ישראלי: איך אפשר לכתוב מסר כזה?

עופר ישי: זה לא מספיק מוגדר כרגע.

עופר ישי: אי אפשר להחליט כרגע, אלא להעביר את זה לדיון נוסף.

דורון שקמוני: אני חושב שהנקודה שהועלתה היא נקודה חשובה, וכדאי להכליל אותה בפנים.

דורון שקמוני: ברגע שמחברים את הנתון הזה, שהאמצעי באמת נמצא ברשותו עם אותה חתימה שהוא נותן, שגם בעתיד הוא ישמור עליו, יוצרים רצף של וידוא שאמצעי החתימה אכן נמצא אך ורק ברשותו של המבקש, מכיוון שאם ביצוע של דבר כזה מאפשר יצירה של מניפולציות, כך שאדם יגיע, יקבל איזשהו CERTIFICATE על מפתח כלשהו שאיננו נמצא ברשותו, ומישהו יוכל מאותו רגע ללבוש את זהותו, זה דבר שלא צריך להיות, והעלות להכניס אותו – עלות מבחינת המשקל על הגורמים המאשרים - -

מיכאל איתן: לא הבנתי איך מישהו יתלבש על זה.

דורון שקמוני: מבחינה טכנית, יכולה להיווצר מניפולציה שתיצור זוג מפתחות, כאשר אתה מקבל מפתח ציבורי, שנוצר באותו רגע, ואני שומר את הפרטי בעזרת איזושהי מניפולציה.

דורון שקמוני: אני אומר לך: כך הוא התהליך, קח את ה-TOKEN הזה, לך לגורם המאשר הזה או האחר, וקבל אישור על זהותך.

דורון שקמוני: אתה מקבל את הדבר הזה, ולפי סעיף 11 שעוד לא הגענו אליו, אתה תקבל אישור על זהותך.

מיכאל איתן: למה אני לא יכול לעשות את זה בזהות כזאת, כשהוא אתי ביחד שולח מהמשרד שלי?

דורון שקמוני: אם אתה משתף פעולה עם זה, אתה יכול לעשות את זה - -

מיכאל איתן: אבל ממילא דרוש שיתוף פעולה.

מיכאל איתן: הוא יכול ללכת לגורם המאשר, והוא הולך מתוך ידיעה שהוא הולך לעבוד עליו ולרמות אותו.

דורון שקמוני: זה ניתן לביצוע גם באמצעות מניפולציה עליך, לא רק באמצעות שיתוף פעולה שלך.

יוסף חי אנג'ל: אבל פה את המניפולציה יכול לעשות הגורם המאשר.

יוסף חי אנג'ל: תיאר פה מקודם זאב שטח מצב, שיש לך בנק עם לקוחות.

יוסף חי אנג'ל: תאר לך שעובד הבנק דואג שאני כלקוח אקבל סרטיפיקט, אבל הוא מטעמים אנוכיים מטעה אותי, ולוקח את המפתח הפרטי שלי, ודואג שלי יהיה רק המפתח הציבורי.

יוסף חי אנג'ל: יש פה עוד גורם בדרך בין הלקוח הסופי ל-CA.

ליהי פלדמן: אבל זה אסור לו.

יוסף חי אנג'ל: אסור לו לעשות את זה, אבל הפתח הזה קיים באיזשהו מקום.

דורון שקמוני: לא חייב להיות לו מגע עם המפתח הפרטי, אבל זה נושא אחר.

טנה שפניץ: דורון שקמוני, אתה רוצה שהוא בעצם יוודא שברשותו מפתח פרטי, ועוד נראה באיזו דרך הוא יעשה את זה.

דורון שקמוני: הדרך היא נורא פשוטה.

טנה שפניץ: אני מתכוונת שלא צריכים לכתוב אותה.

טנה שפניץ: אנחנו נפרסם את זה לתגובות.

זאב שטח: מבחינה טכנית אין בעיה לבצע את זה, אבל מבחינה פרוצדורלית תהליך הווידוא הזה עלול לסרבל קצת את הדברים.

זאב שטח: כמובן שאין בעיה לבצע את מה שדורון שקמוני ביקש, אבל יכול להיות שזה עלול להכביד על כל העניין.

זאב שטח: זה גם עלול לא לפתור את הבעיה.

זאב שטח: תאר לך שהוא שולח מסר, וזה באמת מצפין ובאמת מפענח, ואחר-כך הוא עושה את מה שנאמר פה.

דורון שקמוני: זה מעביר את האחריות, מכיוון שהוא יבצע חתימה לפי סעיף 9(ד).

זאב שטח: לא, האדמיניסטרטור שלח, פענחתי את זה, וכעבור דקה הוא השתמש בזה לצרכיו.

דורון שקמוני: אז הוא לא קיים את סעיף 9(ד).

זאב שטח: מי לא קיים?

דורון שקמוני: המבקש, אבל אתה פעלת כדי לוודא.

זאב שטח: אני פעלתי כדי לוודא, אבל מה שאתה חושש ממנו, בכל זאת בוצע.

זאב שטח: עוד לא פתרת את הבעיה.

טנה שפניץ: ננסח משהו, ונעמיד אותו לדיון.

אני ממשיכה לקרוא: "פרק ד': בדיקת בקשות להנפקת תעודה אלקטרונית

כמפורט להלן: (ב) גורם מאשר, או נציגו או שליחו שאישר הרשם ובתנאים שקבע לכך

כמפורט להלן: את מורשה החתימה מטעם התאגיד.

כמפורט להלן: ביחיד שהוא תושב ישראל – על פי תעודת זהות, ובלבד שאם תעודת הזהות אינה כוללת תמונה מעודכנת או ברורה של המבקש, יציג המבקש גם דרכון ישראלי תקף;

כמפורט להלן: בתאגיד הרשום בישראל – על פי תעודת הרישום, אישור של עורך

כמפורט להלן: המוסמך בתאגיד בדבר מורשה החתימה מטעם התאגיד;

כמפורט להלן: אישור של עורך דין על קיומו של התאגיד, שמו ומספרו הרשום,

כמפורט להלן: התאגיד;

כמפורט להלן: נוכח, על פי מסמך, כי מורשה החתימה מורשה לפעול בשם המוסד

כמפורט להלן: רשויות מקומיות, וכן רשויות, תאגידים או מוסדות אחרים

כמפורט להלן: לעניין פסקאות (3) עד (5) – יזהה הגורם המאשר את מורשה

כמפורט להלן: זה נוסח על בסיס של צו שעבר לא מזמן, צו איסור הלבנת הון (חובות זיהוי, דיווח וניהול רישומים של תאגידים בנקאיים), בניגוד לצו הלבנת הון, ששם נדרש זיהוי כפול.

כמפורט להלן: אמנם הזיהוי פה הוא פנים אל פנים, אבל רק לפי תעודה אחת או שתיים, כשבצו הלבנת הון יש זיהוי יותר אקטיבי.

כמפורט להלן: לגבי יחיד שהוא תושב חוץ יש זיהוי כפול על-פי שתי תעודות, לא רק אם התעודה לא ברורה, אלא בכלל, זאת אומרת:

כמפורט להלן: לכל מי שהוא תושב חוץ יש זיהוי על-פי שתי תעודות.

כמפורט להלן: רציתי להעיר שהיה בצו הזה זיהוי יותר אקטיבי.

עופר ישי: אני מביא דברים גם בשם נציג משרד הפנים.

עופר ישי: אני חושב שהנקודה הזאת היא מאד מאד חשובה, כי זה הקטע שבו או שאתה פוגש את האדם הנכון, או את האדם שגנב את התיעוד.

עופר ישי: אם לא בודקים את תעודת הזהות מול מאגר מידע עדכני, יכולים לגנוב אותה ולבוא עם תעודת זהות של מישהו אחר.

מיכאל איתן: איך תדע?

עופר ישי: כמו הבדיקה שנעשית בבנקים, הבדיקה נעשית ב-ON-LINE מול מאגר מרשם האוכלוסין, ובודקים שתעודת הזהות שהאדם מחזיק היא אכן התעודה התקפה שמשרד הפנים הנפיק.

עופר ישי: כך עובדים היום בבנקים.

מיכאל איתן: איך אתה יודע את זה?

מיכאל איתן: מישהו לקח את תעודת הזהות שלי והעתיק אותה, לדוגמה.

רוני גרוס: אתה מבקש תעודה חדשה, ותאריך ההנפקה שלך כבר שונה.

חזי כאלו: בהנחה שהיה דיווח.

זאב שטח: הסעיף לפי דעתי מנוסח בסדר.

יורם הכהן: יש לי שתי הערות: האחת – אולי היא לא נשמעת רלוונטית בימים אלה – לא ברור לנו מה הוא מעמד הפלסטינים לצורך העניין.

מיכאל איתן: איזה?

מיכאל איתן: אלה שגרים במדינת-ישראל?

יורם הכהן: אין בעיה לגבי אלה שגרים במדינת-ישראל ויש להם תעודת זהות ישראלית.

מיכאל איתן: זאת לא שאלה ספציפית לעניין הזה.

מיכאל איתן: אני אפילו לא מתיימר להשיב לך.

יורם הכהן: למה זאת לא שאלה ספציפית לעניין הזה, אם יש בנק שפועל בשטחי הרשות הפלסטינית?

מיכאל איתן: לתושבי יהודה ושומרון הערבים לא נקבע מעמד מיוחד.

מיכאל איתן: אני לא רוצה להעסיק את מוחי כעת ולחשוב על העניין הזה בכלל.

מיכאל איתן: כפי שהחוק מתייחס אליהם, כך יתייחסו אליהם גם בעתיד.

גדי גילון: הדרישה כפי שהועלתה פה היא בעייתית מאד, כי היום אין לנו גישה למאגרי מידע.

מיכאל איתן: לכן אני לא מוכן לקבל את זה.

מיכאל איתן: קודם כל שלמשרד הפנים תהיה נגישות ופתיחות, אבל אני מוכן לשמוע דעות אחרות.

אסתר נאמן: אני גם בעד גישה לרשם האוכלוסין, כמו שהבנקים עושים, וזאת מהסיבה שאם פעם נרצה להשתמש בתשתית הזאת של החוק הזה גם כדי לפתוח חשבונות ללקוחות שלא יגיעו לבנק, אלא יאמרו שזה מספיק בטוח שהם נרשמו וזוהו אצל גורם מאשר כזה, זה יאפשר להשתמש בחוק גם בעוד דברים.

מיכאל איתן: קודם כל אני שמח מאד שאתם חושבים קדימה, ורוצים להקל על הלקוחות לפתוח חשבונות על סמך חתימה.

מיכאל איתן: אבל כשתגיעו למסקנה הזאת, אתם תדרשו מהלקוחות שלכם שיהיה זיהוי נוסף, ומשרד הפנים ייתן לכם את השירות והכל יהיה מאה אחוז.

מיכאל איתן: למה אני בגלל זה היום צריך להיות תלוי במאגר של משרד הפנים?

מיכאל איתן: לפני כמה ימים שמעתי ברדיו שאדם היה צריך לחדש דרכון.

מיכאל איתן: בגלל שמשרד הפנים כל-כך עמוס, הוא היה צריך ללכת בשעה 2:00 בלילה למשרד הפנים כדי "לתפוס מקום בתור", וכשהוא בא בשעה 2:00 בלילה נתנו לו מספר מסוים, ולמחרת בשעה 11:00 או בשעה 12:00 בבוקר כשסגרו, הוא לא הספיק להגיע עד שעה 12:00, ולכן היה צריך לבוא בלילה אחר-כך בשעה 22:00.

טנה שפניץ: זה לא נכון.

מיכאל איתן: אז עכשיו אני גם אוסיף להם לעומס ואתן להם לטפל בזה?

אסתר נאמן: זה לא שייך.

עופר ישי: הביקורת של השירות היא נכונה בעיקרון, אבל דווקא בגלל זה אנחנו הולכים למשל למהלך, שאפשר יהיה להגיש טפסים באמצעות חתימה אלקטרונית, אז קצת כבוד לעניין.

מיכאל איתן: אני רוצה.

עופר ישי: בואו לא נערבב דבר בדבר.

עופר ישי: פה מדובר על נושא הזיהוי.

עופר ישי: מה שכתוב פה בתקנות היום, מאפשר זיופים קלים לחלוטין, וזאת לא המטרה שלנו.

עופר ישי: כל הבנקים וכל בתי-החולים היום מחוברים ב-ON-LINE לרשם האוכלוסין, ועושים את כל הטרנסקציה בלי שום בעיה.

עופר ישי: אני חושב שבלי הדבר הזה, אנחנו פשוט פותחים פה פתח לכך שעם כל המערכת היפה ועם כל החתימות האלקטרוניות פשוט יזייפו זיהוי, ואז מה עשינו?

עופר ישי: לא עשינו דבר.

טנה שפניץ: אבל איך זה עובד?

גדי גילון: הבעיה המרכזית היא בגישה.

גדי גילון: צריכה להיות הפניה חוקית לכך שנוכל לפנות למאגר.

גדי גילון: נכון להיום בתי-חולים יכולים לפנות, וקופות-חולים לא יכולות לפנות.

גדי גילון: יש הגבלות לגבי גישה למאגר.

מיכאל איתן: חייבות להיות הגבלות בגישה למאגר.

עופר ישי: דווקא בגלל זה, ברגע שהתקנות יאפשרו את זה, אפשר יהיה לתת את השירות.

עופר ישי: אם התקנות לא מאפשרות את זה, משרד הפנים לא יכול לתת את השירות הזה.

טנה שפניץ: זה לא בהכרח לרעת הגורמים המאשרים.

מיכאל איתן: אם הוא רוצה שזה יהיה באישור משרד הפנים, משרד הפנים יהיה חייב לתת את השירות.

זאב שטח: משרד ממשלתי לא ישים מסוף של השירות הממשלתי אצל גורם פרטי.

עופר ישי: לא צריך מסוף, אתה עובד ב-API.

עופר ישי: זה עובד היום בכל הבנקים.

זאב שטח: לפי דעתי זה גורם לסרבול.

אסתר נאמן: זה עובד בצורה מאד מאד פשוטה.

אסתר נאמן: זה מגיב תוך מספר שניות מצומצם, מקבלים את כל הפרטים שמותר לנו לקבל, כולל תאריך ההנפקה, ומוודאים פיסית לגבי התעודה שעומדת מולנו.

מיכאל איתן: לאיזה מאגר אתם מחוברים?

אסתר נאמן: למאגר מרשם האוכלוסין באמצעות החברה שמאפשרת את זה, שהיום נדמה לי קוראים לה "קומפק".

מיכאל איתן: האם אתם מחוברים למאגר המקורי, או למאגר ראי?

עופר ישי: המקורי, עם כל מיני אמצעי אבטחה, המוודאים כניסה רק למי שיכול להיכנס.

אסתר נאמן: אבל יש גישה למספר פרטים מאד מצומצם.

מיכאל איתן: זה לא משנה, מה שמאפשרים.

קריאה: מה שמאפשר את הבדיקה של אותנטיות התעודה?

אסתר נאמן: בדיוק, הרעיון הוא לוודא שמי שעומד לפנינו הוא אינו זייפן.

מיכאל איתן: האם הם יכולים להוריד גם את התמונה?

מיכאל איתן: אני שואל האם יש תמונות ממוחשבות, ומתי יהיו.

עופר ישי: בעיקרון, יש לנו תכנית שאנחנו עובדים עליה לקבל תמונות קודם כל ממשרד התחבורה, ושהמאגר שקיים היום של רשיונות נהיגה קודם כל יהיה זמין.

עופר ישי: מבחינה משפטית, אני לא יודע כרגע לענות על השאלה, האם אפשר יהיה לתת את התצלום הזה לגורם כזה או אחר, כי זה מחייב אישור.

מיכאל איתן: השאלה היא מתי אפשר יהיה לעשות את זה מבחינה טכנולוגית, והאם זה בכלל "בראש שלכם".

עופר ישי: זה מתוקצב כבר לשנה זאת, זאת אומרת: אנחנו עובדים על הפרטים כבר השנה.

מיכאל איתן: כי אני הוצאתי רשיון נהיגה בינלאומי.

מיכאל איתן: זאת היתה חוויה נחמדה לבוא ולראות שהתמונה יוצאת מהמאגר והכל הולך פיקס.

מיכאל איתן: זה יכול להיות אותו דבר גם לגבי תעודות, ואם כך זה יהיה עם תעודת זהות, זה יהיה מצוין.

עופר ישי: אנחנו למשל חושבים על שירות כזה.

מיכאל איתן: לא צריך להביא יותר תמונות ולא צריך להצטלם, כי מוציאים את התמונה במקום.

עופר ישי: זה לא פותר את בעיית הצילום, כי לא לכולם יש רשיונות נהיגה.

חיים רביה: אני מבין שהמערכות האלה ש"מדברות" עם מרשם האוכלוסין, מותקנות בבנקים.

עופר ישי: כשאתה בא לקבלת קהל בבתי-החולים, אתה גם כן מחובר.

חיים רביה: אם אנחנו לדוגמה רוצים שנוטריונים יזהו אנשים, עד כמה המערכות האלה מתאימות לשימוש גם אצל גורמים פרטיים קטנים?

עופר ישי: יש עבודה שנעשית מול לשכת עורכי-הדין וכל מיני גורמים שמייצגים אותם, ואפשר יהיה לקבל פרטים גם במשרד עורך-הדין שצריך לעשות את הבדיקה.

חיים רביה: זאת אומרת שכרגע זה בלתי אפשרי.

עופר ישי: אני יודע שהם ביקשו אישור, ובודקים את ההיבטים של אבטחת המידע, והאם זה אפשרי או לא.

עופר ישי: יש תהליכים די מתקדמים של בקשת אישור.

עופר ישי: במקום שאתה כעורך-דין תצטרך ללכת או לשלוח את הפקידה עם הטפסים, תוכל לעשות את זה במשרד.

חיים רביה: אני לא סתם שואל את השאלה הזאת, אלא מפני שנוטריונים הם לדוגמה RA CLASSIC – REGISTRATION AUTHORITY CLASSIC – ואם אי אפשר להתקין את המערכות האלה אצל גורמים פרטיים כדוגמתם, אלא צריך בנק לשם כך, כי אז אתה מאד מגביל את התפוצה - -

מיכאל איתן: אבל אנחנו מדברים על גורם מאשר, נכון?

חיים רביה: אבל גורם מאשר יכול לפעול באמצעות מי מטעמו, וגם הרישא של תקנה 11(ב) אומרת את זה: "גורם מאשר, או נציגו או שליחו".

מיכאל איתן: לכן אמרתי מצד אחד שהם רוצים שיהיה זיהוי ושיבואו גם אליהם, ואנחנו לא חייבים להטיל חובה לתת גישה בתנאים שירצו למי שבעצם עמד בכל הקריטריונים.

גדי גילון: אני יכול להגיד לך שהביורוקרטיה היום הורגת אותנו.

גדי גילון: היום מריצים אותנו מגורם לגורם כדי לקבל אישורים.

בועז דולב: משרד הפנים לא בא היום בתור ביורוקרט שרוצה שהמערכות שלו יחוברו, אלא פשוט כדי לוודא שהמשמעות של חתימה והנפקה של תעודה - -

מיכאל איתן: אנחנו מכירים את ההסברים.

מיכאל איתן: אנחנו יודעים שהכל זה בשם הביטחון ונגד הזייפנים.

מיכאל איתן: אף פעם זה חס וחלילה לא בשביל עוצמה משרדית.

מיכאל איתן: ..

מיכאל איתן: אבל אני מוכן לקבל את זה.

מיכאל איתן: דרך אגב, אני מוכן ללכת לקראת, אבל עכשיו יבואו אנשים שירצו לפעול, ולא תהיה להם גישה, ורק בגלל זה אתה מוציא אותם מהביזנס.

מיכאל איתן: זה לא הוגן.

זאב שטח: ואז חברת "קומפק" לא תיתן לו את הגישה.

מיכאל איתן: היא לא קובעת דבר, היא קבלנית.

עופר ישי: המשרד עובד לפי התקנות.

עופר ישי: במקום שכתוב לו לספק מידע, הוא חייב לספק מידע.

עופר ישי: יש כמה גופים שהוא חייב לספק להם מידע.

עופר ישי: אם המחוקק יחליט שבמקרים מסוימים הוא חייב לספק מידע, אין פה בכלל שאלה.

עופר ישי: הבעיה היום שיש תחומים אפורים.

מיכאל איתן: אני בעד עסקת החבילה, יהיה זיהוי כפול, והמשרד יהיה חייב לתת את הגישה למי שיעמוד בכל הקריטריונים.

חיים רביה: באמצעים זמינים ובמחיר סביר.

רוני גרוס: צריך לבדוק האם זה לא מעכב את הביצוע, ועד כמה זה יעכב את הביצוע.

חיים רביה: ושלא ידרשו דרישות בדיון כזה, שגורמים פרטיים לא יכולים לעמוד בהן.

זאב שטח: מיקי איתן, אם אתה נותן את האישור הכפול הזה בשם הווידוא של ה-99.999%, אתה למעשה מכניס בדלת האחורית – בלי שהתכוונו לזה – את המעורבות הממשלתית.

זאב שטח: ירצה, משרד הפנים ייתן אישור; לא ירצה, משרד הפנים לא ייתן אישור.

מיכאל איתן: אני עושה דבר הפוך לגמרי.

מיכאל איתן: אני פותח את משרד הפנים לעוד סוג פעילות.

זאב שטח: אתה לא יכול לחייב את משרד הפנים.

מיכאל איתן: אתה מחייב אותו פה בתקנות.

זאב שטח: ואם הוא לא מוכן ולא ערוך לזה עדיין?

זאב שטח: אתה כאילו מחייב את הגורמים המאשרים, אבל משרד הפנים עוד לא ערוך לתת את השירות הזה.

חיים רביה: זה אומר גם לפתוח את מרשם האוכלוסין של ישראל לכל אדם שגורם מאשר מינה.

חיים רביה: אני בטוח שהגורמים המאשרים ימנו מבין 100 99 ראויים, ורק אחד בלתי ראוי – "יתפלק" במקרה.

מיכאל איתן: עם כל הכבוד חיים רביה, מה זאת אומרת "לפתוח"?

מיכאל איתן: הוא לא פותח דבר.

מיכאל איתן: הוא יוצר סטנדרטים מספיק בטוחים, על-מנת שהאנשים שייכנסו לא יגרמו לו נזקים.

מיכאל איתן: הוא צריך לעשות את זה לראשון שנכנס, לאלה שיבואו אחריו זה יהיה בסדר.

מיכאל איתן: אנחנו צריכים להתחיל לחשוב על זה במושגים שהמרשמים יהיו פתוחים.

זאב שטח: השאלה היא האם הם פתוחים.

עופר ישי: הם פתוחים למי שמותר.

עופר ישי: לא נפתח את זה למי שאנחנו לא בטוחים בו למשל.

חיים רביה: נדמה לי שיוצרים כאן סף מאד גבוה, שאני לא בטוח שבדיון הזה לובנו מלוא השלכותיו.

חיים רביה: אני לא יודע מה המחיר של זה לדוגמה, מה העלות הכלכלית ומה התועלת השולית.

חיים רביה: אינני יודע כמה התחזויות זה מנע מול הבנקים.

חיים רביה: אולי זה מנע התחזות אחת מבין 10,000 בקשות?

חיים רביה: יכול להיות שאין בזה תועלת.

זאב שטח: יבוא אחר-כך משרד הפנים ויגיד: המערכות שלי הן מאד מאד חשובות או חסויות, ועל-מנת שתתחבר למערכות שלי, אני מוכן לתת לך את האפשרות להתחבר, כפי שחבר-הכנסת מיקי איתן תקנן וכו'.

זאב שטח: הוא אומר לי: אפשר להתחבר באמצעות APPLICATION INTERFACE – API – ומציג את זה בצורה כזאת, כאילו הדברים הם פשוטים וצ'יק-צ'ק מתחברים, אבל זה לא כל-כך פשוט וזה ייצור הרבה מאד סרבול.

עופר ישי: לא אמרתי צ'יק-צ'ק, זה לא יהיה צ'יק-צ'ק.

עופר ישי: הבנקים עומדים בזה יפה מאד.

מיכאל איתן: הסיכום הוא כדלקמן: המגמה היא ללכת לקראת הדרישה לזיהוי כפול, בתנאי שמשרד הפנים יוכל אכן לעמוד במתן השירות הזה בתנאים סבירים ובעלויות סבירות גם לגורמים מאשרים ומי שפועל מטעמם בהיקפים יותר קטנים.

מיכאל איתן: אני אומר בצורה הברורה ביותר, שלי בראש יש תועלת שולית אחרת שאני רוצה לקבל.

מיכאל איתן: בטיחות זה דבר מאד חשוב, וככל שהמאגרים האלה יהיו פתוחים ליותר אנשים, אנשים יתרגלו לעבוד ממשרדים בשירותים שונים.

מיכאל איתן: חיים רביה בטח רוצה שזה יהיה פתוח גם לטבו ולעוד כל מיני מקומות.

מיכאל איתן: למצב כזה צריך להגיע, שזה יהפוך לשגרה יום יומית, ושדברים כאלה יהיו פתוחים.

מיכאל איתן: ככל שדברים כאלה יעברו יותר, זה יהיה יותר בריא, אבל אם זה מוקדם מדי...

עופר ישי: זה לא מוקדם מדי.

מיכאל איתן: אז חכה, נקבל דיווח בישיבה הבאה ונראה.

טנה שפניץ: אני רוצה לומר למר שטח, שזה גם במידה מסוימת לטובת הגורמים המאשרים.

טנה שפניץ: זה ימנע את כל הוויכוחים אחר-כך האם כן זיהיתי נכון או לא.

טנה שפניץ: זה נותן גם לכם איזה ממד שמוריד מכם אחריות מסוימת לעניין הזיהוי.

זאב שטח: אני מסכים עם מה שאת אומרת.

זאב שטח: אם כמו שמיקי איתן אומר, זה פשוט וזה קיים ואפשר לתת את זה, מצוין.

זאב שטח: אם בשם זה יבואו עכשיו ויגידו: אנחנו לא נותנים לך עד שלא תעשה כך וכך וכך, זה כמו שהמיליונר בנה מעבר לתמזה וביקש מראש-ממשלת בריטניה הבטחה שרכבת תחתית תעבור מתחת לתמזה.

זאב שטח: בסוף הממשלה לא בנתה רכבת תחתית ולא היה פרויקט, והוא פשט את הרגל.

מירב ישראלי: יש לנו זיהוי כפול בכפוף לבדיקה בעניין של מרשם האוכלוסין, ולגבי תושב חוץ כבר הכנסנו את הזיהוי הכפול לפי שתי תעודות.

מירב ישראלי: צריך להכניס הגדרה של תושב ותושב חוץ בהגדרות.

מיכאל איתן: עזבי את זה.

עופר ישי: רציתי להעיר לגבי הנושא של זרים ותיירים שנמצאים בארץ.

עופר ישי: יש היום גורמים שבודקים, למשל: האם הדרכון שלהם נגנב, והם אינם מדווחים על כך, זאת אומרת: אפשר לבדוק גם אנשים זרים.

עופר ישי: יש לנו גם פירוט של כל מי שנכנס לארץ.

חיים רביה: אגב, לגבי שאלתך, מירב ישראלי, צריך להתייחס אליה - לפחות שהרשם יקבע נהלי זיהוי, אבל איך באמת מזהים לדוגמה שותפות שאינה רשומה, פירמה של עורכי-דין, אם לדבר בשמו של מי שאני כאן?

חיים רביה: איך מזהים ועד בית?

חיים רביה: אלה שאלות טובות.

חיים רביה: אני מניח שאי אפשר לעשות רשימה של כל הגופים הללו, אבל הרשם אולי צריך לקבוע נהלים סבירים.

טנה שפניץ: יהיה לו נציג.

חיים רביה: כן, אבל התעודה יוצאת אל הפירמה.

אני ממשיכה לקרוא: "שמירת 12.

אני ממשיכה לקרוא: גורם מאשר יקבל לידיו וישמור ברשותו או ברשות נציגו או שליחו כאמור

אני ממשיכה לקרוא: תקנה 11, למשך 7 שנים לפחות מיום שפג תוקפה של התעודה

אני ממשיכה לקרוא: את המסמכים למשך 7 שנים מיום שפג תוקפה של התעודה האחרונה

אני ממשיכה לקרוא: קודם נקבעה תקופה של 25 שנה, אבל היא נראה לנו ארוכה מדי.

יורם הכהן: אני רוצה להתייחס למונח "העתק צילומי".

יורם הכהן: יש בעיה לא פשוטה עם המונח הזה, מכיוון שבחקיקה הישראלית, נכון להיום, העתק צילומי זה משהו שנשמר במדיה של מיקרופילם ומיקרופיש, ואני חושב שלא זאת כוונת המחוקק.

יורם הכהן: בהחלט צריכה להיות אפשרות לשמור העתקים כאלה במדיה דיגיטלית, ולפי ההגדרה הזאת לפחות זה לא נכנס פנימה.

מיכאל איתן: מה זאת אומרת מדיה דיגיטלית?

יורם הכהן: מערכת IMAGING.

מיכאל איתן: IMAGING זה צילומים, לא?

יורם הכהן: לא לפי ההגדרה של פקודת הראיות ולא לפי תקנות העדות (העתקים צילומיים), שזה המקור המשפטי.

יוסף חי אנג'ל: אותה תמונה שלך במשרד התחבורה.

מיכאל איתן: היא לא העתק צילומי?

יוסף חי אנג'ל: לא.

מיכאל איתן: איך זה יכול להיות?

גדי גילון: בדיוק אותה בעיה יש לנו.

יורם הכהן: אני הייתי יושב-ראש הוועדה של משרד המשפטים, שהמליצה על שינוי תקנות העדות (העתקים צילומיים).

יורם הכהן: הדו"ח נכתב ב-1996, ועד היום התקנות לא תוקנו.

מיכאל איתן: זה לא בסדר.

יורם הכהן: אז אולי זאת ההזדמנות בחקיקה הישראלית כן להשתמש במערכת - -

טנה שפניץ: אז תן לנו הצעה בתור אקס יושב-ראש ועדה.

טנה שפניץ: תכתוב לנו.

יורם הכהן: אני התייחסתי לעניין הזה.

מיכאל איתן: באמת תעשו סדר.

יורם הכהן: אגב, אפשר לדרוש חתימה דיגיטלית של הגורם המאשר, אבל דרשתם על התצהיר הזה חתימה דיגיטלית של הגורם המאשר.

אבי נגר: עלה מקודם הנושא של וידוא התצהיר של הלקוח בעזרת חתימתו הדיגיטלית על המסמך.

אבי נגר: אני אומר שאם כבר אנחנו מגיעים לנושא של חתימתו הדיגיטלית על המסמך, אולי גם התיעוד יכול להישאר במדיה הדיגיטלית עם אותה חתימה, ואז אין צורך באותן ערמות קלסרים.

אבי נגר: אני מדבר על התיעוד אחר-כך.

דורון שקמוני: אבל אתה מסתמך על חתימה אלקטרונית שנוצרה כתוצאה מהתעודה האלקטרונית, שאתה כרגע בתהליך אישורה.

אבי נגר: החתימה היא על המפתח הפרטי.

יורם הכהן: חתמת על טופס נייר, סרקו אותו, ועכשיו אתה חותם על זה חתימה דיגיטלית, ואז יש לך "שלייקס" אם אתה רוצה.

גדי גילון: הנושא הופך להיות ביורוקרטי בעיקר עבור ארגונים גדולים, שהם מרובי סניפים או מרובי שלוחות, כי השיטה לניהול עכשיו הופכת משהו שהוא אנטי ביורוקרטי לביורוקרטי מוחלט.

גדי גילון: הכוונה היא לשחרר תעודות במקום הכי קרוב ללקוח, ועכשיו אנחנו נגיע למצב שבו כל הביורוקרטיה חוזרת חזרה למרכז.

גדי גילון: כל הטפסים צריכים להישמר באיזה מקום שבע שנים, צריך לנהל ארכיון שלם, וזה לחלוטין בלתי אפשרי, אלא אם כן הוא דיגיטלי, ואלא אם כן החתימה הראשונה של אותו אדם שמקבל את המסמכים היא חתימתו הדיגיטלית הראשונה - -

טנה שפניץ: אבל מה אתה עושה עם הדבר שצריך לחתום עליו?

טנה שפניץ: דבר פרטנית ולא כללית.

גדי גילון: או על-ידי סריקה – אבל יש לנו בעיה משפטית לגבי סריקה, כי אין לזה כיסוי משפטי נכון להיום – או שבמועד החתימה תהיה חתימה דיגיטלית, או כל רישום שהוא.

טנה שפניץ: על הסריקה?

גדי גילון: כן.

גדי גילון: סביר להניח שיהיו מסמכים נוספים על המסמכים שהחוק דורש, כי אנחנו גוף נותן שירותים, ונחתים את הלקוחות שלנו על עוד מסמכים שנוגעים לעניין הבקשות שלהם, ולכן אני מציע שכל מה שכרוך במתן השירות הדיגיטלי יהיה אולי הדבר הראשון באותו תחום בלתי מוסבר עד היום, כיוון שכל הסריקה וכל המסמכים האלה לא מוכרים היום לצורכי דיני הראיות.

טנה שפניץ: למשל בהסכמה מדעת, מה תעזור לך חתימה אלקטרונית?

טנה שפניץ: כל הרעיון הוא שהרופא יושב עם האדם, מסביר לו את הסיכונים ומסביר לו את הבעיות, ואז הוא מחתים אותו.

גדי גילון: אבל אם כל השירות שלי הוא אלקטרוני, ועכשיו אני צריך להחתים אדם על טופס ידני, מעבר לשירות הדיגיטלי אני צריך להחזיק אוסף שלם של מסמכים ידניים.

גדי גילון: זה בדיוק מה שדיברנו עליו במשרד הבריאות.

גדי גילון: יש לנו חוק בריאות העם, שקובע שצריך להחזיק X שנים את הכל.

גדי גילון: אם אני עושה מיקרופיש - אין בעיה, מיקרופילים – הכל בסדר, אבל אם אנחנו צוברים את המסמכים הדיגיטליים על-ידי מערכות ממוחשבות, זה לא נחשב לצורכי דיני ראיות.

גדי גילון: זאת בדיוק אותה סוגייה.

יורם הכהן: זאת לא בדיוק אותה סוגייה.

יורם הכהן: אני ביקשתי להוסיף את ההערה הזאת, מכיוון שאתה ממילא נדרש פה לשמור לעצמך העתק של מסמך הזיהוי, לצורך העניין: תעודת הזהות.

יורם הכהן: מה שאנחנו צריכים לפתור ולוודא זה שבמקום לצלם אותה ולשמור אותה כמסמך נייר, תהיה אפשרות לסרוק אותה על המקום ולשמור.

גדי גילון: זאת בדיוק ההצעה.

טנה שפניץ: אבל ליהי פלדמן אומרת שבדו"ח שלכם יש הרבה תנאים שמצטרפים לזה, נכון?

ליהי פלדמן: מה התנאים של המערכת?

ליהי פלדמן: מה אנחנו יכולים להכיר ולא יכולים להכיר?

יורם הכהן: במקרה, המלצות הוועדה לוקחות רק את הקטע של ההמרה ממסמך נייר למסמך אלקטרוני ומטפלות בו.

יורם הכהן: זאת לא בעיה לגורם מאשר לעמוד בזה.

ליהי פלדמן: הבעיה היא מבחינת החקיקה, לא מבחינת הדרישה הטכנית.

יורם הכהן: אני חושב שלא צריכה להיות בעיה להכניס בתקנות את העובדה שיהיה שימוש במערכת IMAGING.

יורם הכהן: זאת חקיקה ספציפית, ואני חושב שכולנו מסכימים, שלא צריכה להיות מניעה שזה יהיה השימוש; אחרת זה ממש לא הגיוני, שכן אנחנו רוצים לעבוד בסביבה דיגיטלית.

מיכאל איתן: זה לא הגיוני, אבל השאלה היא האם זה הגיוני שזה יהיה בתקנות.

יורם הכהן: כרגע, הפועל היוצא של הנוסח בתקנות זה שהגורם המאשר יצטרך לשמור את אותם הררי מסמכים שגדי מדבר עליהם.

מיכאל איתן: עזוב את זה, אנחנו רוצים לתקן את זה.

מיכאל איתן: השאלה היא האם אנחנו מתקנים, או שאנחנו עושים את עצמנו מתקנים.

מיכאל איתן: אם נכתוב בתקנות, שהחוק לא מכיר במסמך הזה כראיה, מה עשינו?

מיכאל איתן: אז יהיה כתוב שהוא עבד לפי התקנות, אבל ביום שהוא יצטרך לעשות בזה שימוש אמיתי, לא יהיה דבר, אז בואו נשחרר אותו מהכל.

חיים רביה: יש התפתחויות חדשות בפסיקה.

חיים רביה: לפני פחות מחודש ניתן פסק-דין שדיבר על הראיה הטובה ביותר, ואמר שעוברים מכללים נוקשים לכללים שבוחנים את מהימנות המערכת להפקת המסמכים.

מיכאל איתן: קשה להסתמך על זה.

חיים רביה: פסק-דין של בית-המשפט העליון, הרי אתם משפטנים.

חיים רביה: ברור שתוך כמה שנים הדבר הזה, כנראה, יסתדר.

חיים רביה: יכול להיות שזה ייקח כמה חודשים, כמה שנים, אבל הולכים לכיוון הזה.

חיים רביה: השאלה כרגע היא האם אנחנו, שעוסקים בתקנה, יכולים לכתוב דבר שאנחנו יודעים שאין לו ערך משפטי.

יורם הכהן: למה אין לו ערך משפטי?

מיכאל איתן: יש לו ערך משפטי מבחינת החובה שאנחנו מטילים על הגורם המאשר לשמור את המסמכים במדיה דיגיטלית, אבל אנחנו לא שומרים אותם בשביל אספנות גרידא, אלא כדי שאם יהיה איזה ויכוח משפטי, הם יוכלו להיות מוצגים בבית-המשפט.

מיכאל איתן: אם החוק לא מכיר בהם, בשביל מה לשמור אותם?

מיכאל איתן: אז עדיף להגיד שלא צריך לשמור אותם.

מיכאל איתן: מה אנחנו מחזיקים?

מיכאל איתן: אנחנו מחזיקים אוויר מבחינה משפטית.

יורם הכהן: אני לא חושב שבחקיקה ספציפית יש בעיה שלעניין של סוגי מסמכים מסוימים ייתנו קבילות למערכת ארכיבאות אלקטרונית.

טנה שפניץ: אבל לא בתקנות.

יורם הכהן: התקנות שדובר בהן הן שינוי של תקנות העדות במקרים שעניינם כל המסמכים שמוגשים לבתי-משפט.

יורם הכהן: ברגע שאתה מדבר על חקיקה ספציפית, אפשר לתת אישור בחקיקה ספציפית.

מיכאל איתן: אנחנו לא בחקיקה, אלא בתקנה.

יורם הכהן: גם פה אנחנו מדברים על תקנות העדות של העתקים צילומיים.

מירב ישראלי: צריך לבדוק את זה מול החקיקה הראשית.

מיכאל איתן: אני מוכן לקחת את הסיכון ולהכניס את זה בתקנות.

מיכאל איתן: אם יבואו הגורמים לבית-משפט בסופו של דבר, והמצב המשפטי לא השתנה בינתיים, והגורם המאשר פעל על-פי התקנות, מה יעשה בית-המשפט?

מיכאל איתן: האם הוא יגיד שהוא לא מכיר במסמך ושאין לו שום ערך ראייתי?

חיים רביה: בפסיקה הישראלית, החל משנת 1981 של תקנות העדות העתקים צילומיים, לא היה על הכפילות של המסמך - -

מיכאל איתן: יכול להיות שעד שיתחיל המשפט הראשון, יהיה גם בחוק פתרון.

טנה שפניץ: תן לנו לבדוק את הדברים, כדי שלא ייווצרו בעיות.

מיכאל איתן: אתם תבצעו בדיקה, ואני ברמת העיקרון מוכן לקחת את הסיכון.

מיכאל איתן: אני ידעתי שהחוק הזה יתפרס על כל-כך הרבה דברים.

חיים רביה: אני רוצה לומר משהו לגבי התקופה של שבע שנים.

חיים רביה: אני יכול לחשוב על לפחות הקשר אחד, שבו שמירה למשך שבע שנים היא קצרה מדי, וזה במקום שאושרה זהותו של שופט, בגלל העובדה שאם שופט חתם בחתימה דיגיטלית, פסק הדין לא מתיישן למעשה לעולם, ואם הוא מתיישן, זה רק אחרי 25 שנים, כך שייתכן תיאורטית שאחרי 20 שנה תידרש למסמכים שזיהו את השופט, ואם הם נשמרו רק שבע שנים, אתה בבעיה.

חיים רביה: זאת רק דוגמה אחת, שחשבתי עליה כעת.

מיכאל איתן: השאלה היא האם אנחנו צריכים לקבוע כלל אחד, או שאפשר לקבוע איזשהו מדרג.

מירב ישראלי: אנחנו התחלנו ב-25 שנה, אבל השאלה האם זה לא מוגזם.

חיים רביה: 25 שנה זה מוגזם.

אבי נגר: אני הייתי משאיר לרשם אפשרות לקבוע 25 שנה במקרים ספציפיים.

מיכאל איתן: אנחנו חוזרים ל-25 שנה.

עדי קידנר: בתנאי שזה יהיה דיגיטלי.

יורם הכהן: אני רוצה רק להבהיר לנציגי משרד המשפטים, שהדרישה של 25 שנה משפיעה גם עליו.

טנה שפניץ: אנחנו מתכוונים להתקיים.

יורם הכהן: אתם מתקיימים, אבל מה לגבי מערכות המחשבים שלכם?

יורם הכהן: אם אינני טועה, במקרה שגורם מאשר מפסיק לפעול, הרשם הוא זה שמטפל בהמשך דרכו, ואז זה אומר שמשרד המשפטים יצטרך לאפשר את זה.

יורם הכהן: 25 שנה במונחי טכנולוגיה זה נצח.

טנה שפניץ: אבל שמעת מה שנאמר כרגע.

יורם הכהן: אתם הוצאתם החוצה את חוק הירושה בדיוק מהסיבה הזאת.

חיים רביה: יש איזו מיסקונספציה לגבי דיגיטציה.

חיים רביה: חושבים שאם משהו דיגיטלי, הוא נשמר לנצח, וזה ממש לא כך.

חיים רביה: אם הוא דיגיטלי, הסיכוי שתקרא אותו בעוד 20 שנה קטן יותר מאשר אם היה נכתב על נייר.

חיים רביה: לכן לא הייתי מרחיק לכת וקובע 25 שנה לגבי הכל, אלא רצוי לקבוע איזשהו מדרג, או לאפשר לגורם כלשהו שיקול דעת.

טנה שפניץ: אתה לא יודע למה הוא משתמש בחתימה, ואם פעם הוא חותם על עסקת מקרקעין ופעם הוא קונה ספר באמזון.

עדי קידנר: אין מסמכים דיגיטליים של 20 שנה.

מיכאל איתן: רשמנו לפנינו את ההערות.

מיכאל איתן: דרך אגב, כל העניין של השמירה הוא גם עניין של הוצאה כספית, וזה בעצם העניין כאן.

מיכאל איתן: השאלה היא האם לא יכול להיות מצב שבו אנחנו יוצרים במחירים שונים תעודות שנשמרות שבע שנים כמינימום ותעודות שנשמרות 25 שנה, ואדם יצטרך להחליט במה הוא בוחר.

מיכאל איתן: אם הוא רוצה רק לקנות ספרים ודברים פשוטים והוא לא עושה עסקאות אחרות, הוא יגיד: אני אשלם את התעריף הזול יותר, והוא יודע שהתעודות ישמשו אותו לתקופה כזאת.

מיכאל איתן: אם הוא עומד לעשות עסקאות יותר מורכבות, הוא ישלם מחיר יותר גבוה, והוא יממן את האחסנה.

רוני גרוס: עוד 25 שנה אמצעי האחסון יהיו כל-כך זולים, שזה לא יהיה משמעותי.

דורון שקמוני: יש פה קצת ערבוב בין אורך תקופת חיי התעודה לבין תקופת שמירת המסמכים ששימשו להפקת התעודה, ואלה שני דברים שונים.

דורון שקמוני: התעודה – תוקפה יכול להיות לשנה אחת, ובדרך-כלל מקובל לשנה, שנתיים ולא הרבה יותר מזה, מכיוון שאחרת נוצרות בעיות של זיהוי והמשכיות של הגוף שעליו חותמים.

מיכאל איתן: נכון, אבל זה אותו דבר.

מיכאל איתן: גם כשאתה מנפיק תעודות, אתה יכול להנפיק תעודות שמקבילות בסכומי העסקאות.

דורון שקמוני: אגב, תעודה ארוכה יותר איננה תעודה חזקה יותר, היא תעודה חלשה יותר.

מיכאל איתן: ברגע שאני מבקש בקשה מהגורם המאשר, אני צריך לקבוע כמה זמן הוא יחזיק את המסמכים שאני נותן.

מיכאל איתן: השאלה היא האם אין כאן עניין עסקי.

מיכאל איתן: אני לא מבין בזה.

טנה שפניץ: קופת-חולים, לדוגמה, צריכה להחזיק מסמכים, אז מה זה שייך לכך שהוא מבקש?

מיכאל איתן: אני הגורם המבקש הגשתי בקשה, נכון?

מיכאל איתן: הגורם המאשר צריך לשמור את המסמכים.

מיכאל איתן: דורון שקמוני אומר: העסקה תתבצע בעוד X שנים.

דורון שקמוני: לא העסקה, אלא ההסתמכות עליה, הדיון המשפטי.

מיכאל איתן: לא, העסקה הזאת תתבצע עכשיו, אבל בעוד כמה שנים אנחנו נרצה לבדוק אחורה האם אני הייתי זה שחתם.


שמואל קלפנר: יכול להיות מצב שאתה כבר מזמן לא לקוח של הגורם המאשר.

מיכאל איתן: הוא אומר שהמינימום להחזקה זה שבע שנים - -

מירב ישראלי: השאלה היא האם זה אינטרס של המבקש בהכרח.

עדי קידנר: דיברנו על זה בזמנו, כשדיברנו על החוק.

עדי קידנר: אמרנו שלמסמך עצמו אין שום נפקות משפטית מבחינה זו, אם הוא נחתם ואם זה מסמך מקורי או לא, אלא יש התייחסות רק לחתימה.

מיכאל איתן: אנחנו לא מדברים על החתימה.

עדי קידנר: לא, דיברנו על זה בהקשר אחר.

עדי קידנר: בזמנו דיברנו על כך שכשחותמים על מסמך, למעשה הווריפיקציה היא לגבי החתימה ולא תוכן המסמך, ולכן אמרו שיקומו חברות – ובארצות-הברית זה כבר קיים – שמקימות כספות וירטואליות.

עדי קידנר: אתה יכול להפקיד מסמך בחברה כזאת שהיא נייטרלית, אם יש מחלוקת משפטית לגבי תוכן המסמך.

ליהי פלדמן: זאת לא המחלוקת.

עדי קידנר: לכן אני אומר שבאותם מקרים – כמו זיהוי החותם - שבהם נרצה את המסמכים, אדם שמוציא תעודה, יכול לבקש שהמסמכים שלו יישמרו במקום כזה.

מיכאל איתן: זה ייעשה ממילא.

עדי קידנר: אבל הם יישמרו עד שבע שנים.

מיכאל איתן: ומה יקרה אם הוא יבקש שהם יישמרו לתקופה ארוכה יותר?

חיים רביה: בסופו של דבר, זה הגיוני לקבוע שבע שנים.

חיים רביה: צריכה להיות אפשרות למערכת המשפט, לדוגמה, לבקש שמירת מסמכים לתקופה ארוכה יותר, והיא תשלם יותר עבור התעודה, אבל בסופו של דבר, שבע שנים זה הגיוני, כי זאת תקופת ההתיישנות.

חזי כאלו: כדאי להשאיר זאת.

חיים רביה: גורמים מאשרים לעתיד, מה אם ייאמר 10 שנים, שזה נגיד שבע שנים תקופת ההתיישנות שלוש שנים, X זמן עד שתגיע המחלוקת בהקשר הזה לבירור, ויתברר הצורך בתעודות האלה וכו'?

עדי קידנר: ממילא בעוד חמש שנים ישנו את התקנות.

עדי קידנר: ..

חיים רביה: 10 שנים במקום שבע שנים.

מיכאל איתן: נסכם את הנקודה הזאת.

מיכאל איתן: אתם תבואו עם המלצה, כפי שתחליטו.

מירב ישראלי: אז מה לרשום בינתיים?

מירב ישראלי: 15 שנה?

מאיר וולצוביץ: צריך לזכור שזה לא 15 שנה, כי אם התעודה היא לחמש שנים, אנחנו מדברים כבר על 20 שנה.

אני ממשיכה לקרוא: "בקשה לחידוש 13.

אני ממשיכה לקרוא: בהנפקת תעודה אלקטרונית חדשה, על סמך תעודה אלקטרונית שטרם פג

אני ממשיכה לקרוא: בתקנה 11, ובלבד שהרשם אישר הליכים כאלה.

אני ממשיכה לקרוא: "

חיים רביה: התקנה הזאת חשובה מאד למטריה מסוימת, והיא תעודות שמאשרות את הזהות של החותם פר כל עסקה.

חיים רביה: בהבדל מתעודה אלקטרונית שמונפקת אחת לשנה, יש גורמים שנותנים אישור פר כל טרנסקציה.

ליהי פלדמן: אבל אתה מחליף את הזיהוי.

ליהי פלדמן: את אותו זיהוי שהדגשנו וקראנו עליו בסעיף 11, בפעמים הבאות נזהה אחרת, והטכנולוגיה הזאת שאנחנו לא יודעים מה היא, היא תהיה תחליף לטכנולוגיה האחרת.

ליהי פלדמן: אני יודעת מה זאת תעודה שזיהיתי על-פיה, ועם זה אני יכולה לרוץ שנה.

ליהי פלדמן: אני חושבת שצריך לעשות התאמה דווקא לסעיף, ולא שהסעיף יתאים את עצמו לטכנולוגיה שאנחנו לא יודעים מה היא.

חיים רביה: אני מציע לומר: "בהנפקת תעודה אלקטרונית חדשה, על סמך תעודה אלקטרונית אחרת, יכול גורם מאשר...ובלבד שהרשם אישר".

מירב ישראלי: אולי אתה רוצה לקבוע פרק זמן?

חיים רביה: לא, אני מציע לומר: "בהנפקת תעודה אלקטרונית חדשה, על סמך תעודה אלקטרונית קודמת, יכול גורם מאשר לנקוט בהליכי זיהוי...ובלבד שהרשם אישר".

מירב ישראלי: אבל כמה ישנה התעודה האלקטרונית הקודמת?

חיים רביה: הרשם יחליט, וזה בדיוק העניין.

מירב ישראלי: השאלה היא האם באישור פר עסקה יש תעודה אלקטרונית כללית כזאת.

חיים רביה: אני לא יודע ואני לא בטוח.

דורון שקמוני: מה שאני הבנתי מהסעיף הזה – ואני חושב שזאת הקריאה המקובלת בעולם לגבי סעיף כזה – זה משהו אחר לגמרי.

דורון שקמוני: הוא לא אומר שנוכל להשתמש באמצעי טכנולוגי יותר מתקדם לזיהוי האדם.

דורון שקמוני: לפי מה שמקובל, כאשר יש לך תעודה שהיא תקפה, וכל מה שאתה רוצה זה להאריך את תוקפה, אמצעי הזיהוי שנדרש הוא חריף פחות, כלומר: צריכים רק לוודא שאתה לא מת, אבל יכולים להאריך תוקף באופן כמעט אוטומטי, כמו: הליך של הנפקת רשיון נהיגה שהוא די אוטומטי.

דורון שקמוני: אפשר לקבוע שההליכים הם שונים, קלים יותר.

מיכאל איתן: מקובל.

מיכאל איתן: אולי צריך לכתוב סעיף נוסף, ולהתייחס גם לשאלה שמעלה חיים רביה.

דורון שקמוני: זאת כבר חזרה לסעיף 11.

חיים רביה: לא, זה בדיוק מה שאי אפשר לעשות בטכנולוגיות כאלה.

חיים רביה: אי אפשר לדרוש שבכל פעם, בכל חתימה וחתימה, אנשים יבואו פיסית ויזדהו.

חיים רביה: אלה תעודות שמונפקות ON-LINE ומזהות אותך פר טרנסקציה.

דורון שקמוני: ברגע שלא קרה שום פגם לתעודה במהלך חייה, תוכל במאמץ הרבה יותר קטן של זיהוי להאריך את תוקפה.

דורון שקמוני: זה אותו דבר.

טנה שפניץ: דורון, אני מבינה שחיים רביה אומר:

טנה שפניץ: אם אתה בא אליי כעבור שלוש שנים, ואני יודע שכבר היית פעם קליינט שלי - -

מיכאל איתן: את זה אומר דורון שקמוני.

טנה שפניץ: - - פעם היית קליינט שלי וזיהיתי אותך, ועכשיו אחרי שלוש שנים אתה בא אליי, ואין לך תעודה בתוקף.

קריאה: הכל מתחיל מחדש.

טנה שפניץ: חיים רביה, זה מה שאתה מתכוון אליו.

מיכאל איתן: לא, חיים מתכוון למשהו אחר.

מיכאל איתן: יש חוזה כולל ויש חוזה פר עסקה, נכון?

מיכאל איתן: יש עסקאות שבהן מבצעי העסקה נותנים תעודה פר עסקה.

מיכאל איתן: בגלל שהוא לא יכול לבוא כל פעם למשרד, עוד פעם לזהות את עצמו, עוד פעם לחזור וכו', הוא יבוא לרשם ויגיד לו: יש לי עסק שמוציא כל יום תעודות חדשות ל-10 קליינטים, והם רוצים תעודה נפרדת ועצמאית עבור כל עסקה.

מיכאל איתן: הוא יאמר לרשם: אני רוצה להוציא תעודה נפרדת, אבל אני מבקש שתקל עליי בכך שלא אצטרך כל פעם להתחיל את כל הפרוצדורה מחדש.

חיים רביה: אפשר שכותרת הסעיף תהיה "הנפקת תעודה חדשה", ובמקום "על סמך תעודה אלקטרונית שטרם פג תוקפה", ייאמר "על סמך תעודה אלקטרונית קודמת".

חיים רביה: אני מדגיש שממילא הרשם צריך לאשר את ההליכים הללו.

מיכאל איתן: אז הם לא מסכימים לזה.

מיכאל איתן: הם לא מסכימים שזה יהיה מקרה כולל, ושזאת תהיה הנורמה.

מיכאל איתן: אתה צריך ללכת הפוך, ולנסות לחשוב על איזשהו ניסוח, שאומר שבמקרים שיש מאפיין כזה וכזה ופועלות חברות בפרקי זמן קצרים וכו', הרשם יהיה רשאי לאשר חריגים.

מיכאל איתן: אם תחשוב על רעיון כזה, אולי הם יסכימו.

טנה שפניץ: אתה רוצה לומר שלא פג תוקפו של הזיהוי, ולא שפג תוקפה של התעודה.

טנה שפניץ: זה לא קשור.

חיים רביה: אביא את "סנטריקום" כדוגמה.

חיים רביה: אני אינני מייצג אותה, אבל ראיתי את הטכנולוגיה שלה, והיא טכנולוגיה מעניינת.

חיים רביה: אני לא יכול לבדוק אותה מקצועית, אלא רק כהדיוט.

חיים רביה: זאת טכנולוגיה שמזהה אותך כל פעם על סמך הקול שלך, ולכן היא מוציא CERTIFICATE PER TRANSACTION.

חיים רביה: חיים רביה חתם בתאריך זה וזה על ההסכם הזה והזה.

מיכאל איתן: זה היתרון היחסי שלהם לעומת כל הטכנולוגיות האחרות.

חיים רביה: זה יתרון אדיר.

מיכאל איתן: אתם צריכים לתת להם לחיות.

חיים רביה: ואם אתה כל פעם תדרוש מהם להנפיק סרטיפיקט פר זיהוי פיסי, גמרת את הטכנולוגיה עם כל היתרונות היפים שלה, כולל את הוודאות הגדולה, שמישהו אישר למסתמך שחיים רביה חתם על המסמך המסוים הזה.

ליהי פלדמן: הבסיס המינימלי שאנחנו היום יודעים "לאכול" אותו, צריך להתקיים.

ליהי פלדמן: אם יוסיפו את האלמנט הזה, זאת תוספת, ותוספת ברוכה.

ליהי פלדמן: אין לי בעיה עם התוספת הזאת.

מיכאל איתן: אנחנו לא משנים את הבסיס המינימלי.

ליהי פלדמן: אני חושבת שאנחנו פותחים אותו לפתח שהוא גדול מדי בשלב הזה.

טנה שפניץ: אבל הוא יכול להוציא תעודת מסגרת, ועל-פי התעודה הזאת אתה תאשר כל חתימה וחתימה.

טנה שפניץ: למה אתה לא יכול לעבוד בתוך התעודה הזאת?

טנה שפניץ: כן, אבל זה לא מונע את זה.

מיכאל איתן: אני רוצה עוד פעם לחדד את העניין.

מיכאל איתן: השאלה היא האם אנחנו יכולים ליצור מצב שהמבקש יבוא פיסית ויזדהה פעם אחת.

מיכאל איתן: אלא מה, הוא יבוא פעם אחת כמו שהוא בא לכל חברה אחרת,

מיכאל איתן: מזדהה ומקבל את האישור להנפיק תעודות.

מיכאל איתן: המילה תעודה כאן מתייחסת לתעודה שבאה באופן סדרתי על סמך אותו זיהוי, והיא תהיה תקפה לשנה.

דורון שקמוני: ראשית, אני חושב שאסור להכניס את זה.

דורון שקמוני: השורה התחתונה של האמירה הזאת – כאשר מנתחים אותה טכנולוגית – היא מתן חותמת דה-יורה לכל טכנולוגיה שהיא, שטוענת שהיא מסוגלת לקיים את הקשר בין הזיהוי הראשוני לזיהוי שנעשה כל פעם מחדש.

מיכאל איתן: לא, אתה טועה, בתנאי שהרשם אישר את זה.

מיכאל איתן: לא הטכנולוגיה טוענת שהיא מסוגלת לקיים את הקשר, אלא הרשם אישר שזה נכון.

דורון שקמוני: אבל הרשם צריך לצורך זה להסכים שנשמר פה רצף בין נקודת הזיהוי לבין כל תהליך שבא אחר-כך, וזה דורש ניתוח טכנולוגי וקבלת חותמת ולידיות טכנולוגית רחבה מאד.

דורון שקמוני: לגבי אותו ויכוח שהיה בתחילת הדיון לגבי Elliptic Curve DSA, אם הוא כן ולידי או לא ולידי – כשפה מדובר על משהו שקיבל המון גושפנקות מהרבה מקומות – פה מבלי משים נכנסנו לטכנולוגיות, שיכול להיות שהן היפהפיות ביותר בעולם, אבל כל מה שאני אומר זה שהן עדיין לא קיבלו את הגושפנקה של הקהילה הטכנולוגית.

מיכאל איתן: דורון, אבל אנחנו לא נותנים להם שום הקלה בעצם.

מיכאל איתן: אתה בא ואומר שהזיהוי תקף להוצאת תעודות למשך שנה, ואחרי שנה יהיה הרשם רשאי נגיד לחדש את התעודות, ולפי סעיף 13 הוא יוכל לעשות את זה באמצעים קצת יותר קלים.

דורון שקמוני: אבל הבעיה היא מה קורה במהלך אותה שנה.

מיכאל איתן: נכון, במהלך אותה שנה הגורם שמנפיק את התעודות ואותו מבקש שמייצר את מה שהוא מייצר, מה הוא עשה?

מיכאל איתן: הוא עשה פעולות שוטפות, וכאן אנחנו באים ואומרים לו: לא, אתה תעשה את אותן פעולות שוטפות, הזיהוי שלך יישאר אותו זיהוי, אלא מה?

מיכאל איתן: נקרא לזה תעודה חדשה במקום פעולה, זה הכל.

מיכאל איתן: כאן זאת פעולה, וכאן זאת תעודה חדשה.

דורון שקמוני: ההבדל בין השניים הוא הבדל מכריע ועצום.

דורון שקמוני: במהלך אותה שנה שנדרשת אליה כרגע, אתה אומר בעצם במובלע שיכולת הזיהוי מפעם לפעם, כל פעם מחדש, אכן יש לה תקפות שמקובלת על המחוקק.

מיכאל איתן: בתנאי שהרשם אישר אותה.

דורון שקמוני: זאת אמירה חריפה ביותר.

מיכאל איתן: אבל גם ככה אתה אומר שיש זיהוי.

מיכאל איתן: לגבי התעודה הרגילה אתה אומר: מי שמופיע זה אותו אדם, ואתה יוצר קשר.

יוסף חי אנג'ל: בהנפקת תעודה כזאת או אחרת של PKI, בסופו של דבר המשתמש שומר את המפתח הפרטי, ובמקרה הטוב הוא שומר PASSWORD על איזשהו כרטיס חכם.

יוסף חי אנג'ל: אנחנו מניחים שהוא הפעיל את המפתח הפרטי שלו על-ידי שימוש בכרטיס החכם או ה-PASSWORD שלו.

יוסף חי אנג'ל: באות טכנולוגיות ביומטריות – לא חשוב אם הן על מבוססות על קול או טביעת אצבע - -

מיכאל איתן: או בדיקת רשתית.

יוסף חי אנג'ל: - - ועושות אותנטיקציה ON-LINE כל פעם מחדש הרבה יותר טובה מ-PASSWORD.

יוסף חי אנג'ל: אני יכול להוסיף את זה גם ON TOP OF THE PASSWORD.

מיכאל איתן: הוויכוח כרגע ביני לבין דורון שקמוני הוא על השאלה, האם לסמוך על שיקול דעתו של הרשם.

מיכאל איתן: לדעתי, הרשם לא יאפשר זאת, כל עוד מה שמבקש דורון לא מתקיים.

מיכאל איתן: ממילא עד שלא יהיו לזה הכרה, תקנים ואמות מידה – הרי הוא גם לא עד כדי כך איש טכנולוגיה – הוא לא יאשר, אבל בהנחה שיהיו והוא יוכל לאשר, אני חושב שאולי כן יש מקום לפתוח לו פתח לעניין הזה, אתה יודע מה?

מיכאל איתן: לא בגלל שזה עניין מעשי גדול, אלא זאת רק קריצה, אמירה ופתיחת פתח שאנחנו כן רוצים, מצפים ומקווים שהדבר הזה יום אחד יגיע.

מייק סטון: אני שמעתי שאחד מאנשי "סנטריקום" אמר שהנוסח אומר שאם עוד לא פג תוקפה של התעודה, כמובן מותר להנפיק תעודה חדשה בלי לעבור את כל הזיהוי מחדש.

מייק סטון: אם אנחנו מדברים על מצב שתעודה של מבקש, פג תוקפה בין טרנסקציה לטרנסקציה - -

מיכאל איתן: אני לא הבנתי כך את הדברים.

מיכאל איתן: אני הבנתי שברגע שהוא מנפיק תעודה חדשה, כל עסקה זאת תעודה חדשה, ובכל עסקה הוא יצטרך לעשות תהליך זיהוי.

מייק סטון: הנקודה היא שמשהו קורה לסטטוס ולמעמד של התעודה ברגע שפג תוקפה.

מיכאל איתן: לא פג תוקפה.

מיכאל איתן: הוא עשה את כל מה שעושים האחרים.

מיכאל איתן: כל עסקה הוא קורא לזה תעודה חדשה.

רוני גרוס: זאת לא הארכת תוקף של תעודה על סמך תעודה שלא פג תוקפה, אלא זאת תעודה חדשה מסוג אחר לגמרי, שהזיהוי מסתמך על תעודה קיימת שלא פג תוקפה, וזה ההבדל.

מייק סטון: במסגרת ה-PKI, יש כמה המלצות ליישומים חדשים, ואחד מהם הוא ATTRIBUTE AUTHORITY, וה-ATTRIBUTE AUTHORITY בדיוק פותר את העניין.

מייק סטון: תפקידו של ה-CERTIFICATE AUTHORITY זה להנפיק תעודה שקשורה ותפורה לזהות של האדם.

מייק סטון: יש ATTRIBUTE שיכול להיות גם רלוונטי לטרנסקציה, והנפקת ה-ATTRIBUTE וה-ATTRIBUTE AUTHORITY יכולה להיות גם על בסיס קול, כי לא סביר להניח שבין טרנסקציה לטרנסקציה הזהות של האדם משתנה.

מייק סטון: אולי אנחנו פשוט צריכים לחשוב במונחים אחרים, במקום להעמיס את כל הבעייתיות הזאת על ההגדרות של CERTIFICATE AUTHORITY.

יוסף חי אנג'ל: אם גורם מאשר רוצה מחר להשתמש בטכנולוגיה ביומטרית כלשהי, מכיוון שהוא חושב שתהליך האותנטיקציה שלי הוא יותר טוב, הוא מוסיף עוד נדבך.

יוסף חי אנג'ל: למה למנוע ממנו את האפשרות הזאת בחוק?

מירב ישראלי: ליהי, תקראי בבקשה את הנוסח המתוקן של סעיף 14.

ליהי פלדמן: "גורם מאשר ינפיק תעודה אלקטרונית למבקש רק לאחר שבדק כי האמצעי לאימות חתימה שמחזיק בידיו המבקש ואמצעי החתימה אותו הוא מזהה מקיימים את הוראות תקנה 9 לעניין החתימה האלקטרונית אותה הוא מזהה.

ליהי פלדמן: "

מירב ישראלי: פה נכניס את מה שחיים רביה העיר קודם לגבי ההוראה של סעיף 9(1)(ד) לעניין ההצהרה.

גדי גילון: יש לה תחליף של ה-ISO.

מירב ישראלי: לפי ההגדרה.

מירב ישראלי: פרטים 15.

מירב ישראלי: (א) היה המבקש יחיד אשר זוהה שלא לפי תעודת זהות, תכלול התעודה

מירב ישראלי: אלקטרונית

מירב ישראלי: "(ב) היה המבקש תאגיד, תכלול התעודה האלקטרונית שתונפק לו את שם התאגיד

מירב ישראלי: היה תאגיד שאינו רשום בישראל – גם את מקום הרישום;

מירב ישראלי: המוסד, וכן את שמו או תוארו של מורשה החתימה עצמו מטעם המבקש.

מירב ישראלי: "

איריס לבנון: האם ייקבע פורמט קבוע לשדות הנוספים האלה – איך הם בדיוק יופיעו?

איריס לבנון: באיזה גודל הם יהיו?

ליהי פלדמן: 509X - -

איריס לבנון: אבל 509X מדבר על כך שיש שדות שאפשר יהיה לשים בהם מה שרוצים.

איריס לבנון: כדי שאפשר יהיה לעשות שימוש בשדות האלה, צריך לפרט בצורה קבועה איפה תופיע תעודת זהות וכו'.

עופר ישי: היא צודקת במאה אחוז.

מירב ישראלי: וצריך יהיה לקבוע את זה פה בתקנה?

איריס לבנון: כן.

יורם הכהן: לא ברור לי האם סעיף 15(א) אומר שבמקרה של זיהוי על-פי תעודת זהות בשדה המדובר, תוכנס תעודת הזהות.

מירב ישראלי: זה לפי החוק.

יורם הכהן: אני רוצה להפנות את תשומת הלב לבעיה של הגנת הפרטיות.

יורם הכהן: אנחנו מסמנים בכל תעודה שהתעודה תקפה.

ליהי פלדמן: זאת לא בעיה.

זאב שטח: איפה אותן תקנות של REVOCATION LIST שהיו בגרסה הקודמת?

ליהי פלדמן: בוועדת החוקה, חוק ומשפט.

זאב שטח: ואיפה כל הנושא של TIME STAMPING?

זאב שטח: יש שאלה האם לא כדאי להכניס אותו.

ליהי פלדמן: זה נושא שנידון בוועדה מפורשות.

זאב שטח: נכון, בזמנו החלטנו לא להכניס את העניין של הזמן, אבל עכשיו כשאנחנו נכנסים יותר לפרטים הטכנולוגיים, כל הנושא של ה-TIME STAMPING הוא דבר די בסיסי.

מיכאל איתן: כשנגיע לוועדת החוקה, חוק ומשפט נחשוב על זה שוב.

מיכאל איתן: בינתיים, אין שום סיבה להתחיל לקיים על זה דיון, לאחר שקיימנו דיון במשך שעות ארוכות בנושא.

מיכאל איתן: נראה אם יהיה טעם לפתוח מחדש את הנושא.

זאב שטח: אז ה-REVOCATION LIST בכל אופן יידון בוועדת החוקה, חוק ומשפט.

מיכאל איתן: רבותיי, שוב אני רוצה להודות לכם.

מיכאל איתן: הנוסח יוצג באתר של משרד המשפטים ובאתר הכנסת.