Arpokrat Security Team on Arpokrat

איתור מיקום תמידי: כך הטלפון עוקב אחריכם גם כשאתם בטוחים שמנעתם זאת

Sun, 02 Aug 2026 00:00:00 +0000

בשנת 2024 שני חוקרים מאוניברסיטת מרילנד תשאלו שוב ושוב את שירות מיקום ה-Wi-Fi של אפל, בלי שום הרשאה מיוחדת ובלי חומרה ייעודית, ובתוך שנה שחזרו את המיקום המדויק של יותר משני מיליארד נקודות גישה אלחוטיות ברחבי העולם. המאמר שלהם, Surveilling the Masses with Wi-Fi-Based Positioning Systems , מראה מה המפה הזו מאפשרת: לעקוב אחר ציוד שנכנס לאוקראינה ויוצא ממנה, לצפות בתנועת האוכלוסייה לאחר השרפות במאווי, לאתר אדם דרך הנתב הביתי שלו.

באף אחד מהמכשירים האלה לא הופעל GPS. המיקום הגיע ממקום אחר.

זהו הנקודה העיוורת הנפוצה ביותר בכל הנוגע לפרטיות בנייד: האמונה שקיים מתג מיקום, ושברגע שהוא כבוי הטלפון מפסיק לדעת היכן הוא נמצא. האמונה הזו שגויה בשבעה מישורים שונים.

מיקום אינו תכונה שהטלפון שלכם מפעיל. הוא תכונה של עצם היותו טלפון.

ה-GPS, או הערוץ הפחות בעייתי

המנגנון היחיד שכולם יודעים לנקוב בשמו הוא גם זה שאמור להדאיג אתכם הכי מעט.

GNSS, המונח הכולל שמאגד את ה-GPS האמריקאי, גלילאו, גלונאס ובאידו, פועל בהאזנה. הלוויינים משדרים ברציפות אותות עם חותמת זמן, המקלט קולט כמה מהם ומחשב את מיקומו מהפרשי זמני ההגעה. דיוק מקובל בשטח פתוח: שלושה עד חמישה מטרים, ולעיתים קרובות עשרות מטרים בעיר, שם החזיתות מחזירות את האותות.

הנקודה המכרעת היא שהחישוב הזה סביל. הטלפון אינו משדר דבר לעבר הלוויינים, ואף מפעיל לווייני אינו יודע על קיומכם. אילו היה מדובר ב-GNSS בלבד, כיבוי ה-GPS היה מספיק.

ובכל זאת יש ניואנס. כדי לזרז את החישוב הראשון, טלפונים משתמשים ב-A-GPS: הם מורידים משרת את נתוני מסלולי הלוויינים, באמצעות פרוטוקול SUPL . כדי לקבל את הנתונים הנכונים, הטלפון מוסר לאותו שרת את מזהה תא הרשת שאליו הוא מחובר. ה-GNSS הטהור אינו מסגיר אתכם, אבל המאיץ שהורכב עליו כן.

הרשת הסלולרית: מה שהמפעיל יודע מעצם המבנה

כדי ששיחה תוכל להגיע אליכם, הרשת חייבת לדעת באיזה אזור אתם נמצאים. זו אינה אפשרות שניתן להפעיל, אלא תנאי לעצם קיומו של השירות. הטלפון שלכם מדווח על עצמו ברציפות לאנטנה הקרובה ביותר, והרישום הזה מותיר עקבות אצל המפעיל. בלי שום אפליקציה מותקנת, בלי שום הרשאה שניתנה: כרטיס SIM פעיל מספיק.

הדיוק תלוי בשיטה:

מזהה תא בלבד: מ-200 מטר באזור עירוני צפוף ועד יותר מ-30 קילומטרים באזור כפרי, שם אנטנה אחת מכסה רדיוס רחב מאוד.
Cell ID מועשר, שמוסיף את מגזר האנטנה (רוב האתרים מחולקים לשלושה מגזרים של 120 מעלות) ואת עוצמת האות: מ-100 מטר עד כמה קילומטרים.
Timing advance, שמודד את זמן ההלוך ושוב בין הטלפון לאנטנה: בסדר גודל של 550 מטר ב-GSM, וכ-78 מטר ב-LTE.
ריבוי מדידות משלוש אנטנות ומעלה: 50 עד 300 מטר ב-LTE עירוני.

5G משנה את סדר הגודל משתי סיבות מצטברות. ראשית הצפיפות: תאי 5G מכסים רדיוסים קצרים בהרבה, ולכן עצם ההתחברות היא כבר מידע מדויק. שנית התקינה: החל מ-Release 16 משלב ה-3GPP אותות מיקום מובנים. היעדים המסחריים מכוונים לפחות מ-3 מטרים בתוך מבנים ולפחות מ-10 מטרים בחוץ עבור 80 % מהמכשירים, ו-Release 18 יורד עד רמת הסנטימטר בחלק מהשימושים התעשייתיים.

וכך התשתית שמחברת אתכם הופכת למערכת מיקום באיכות דומה ל-GPS, בלי שהפעלתם דבר. הנתונים האלה נשמרים לפי כללים לאומיים ונגישים לרשויות בהליכים משתנים. זה אותו ויכוח יסודי שנדון בהקשר של תחולת הדין על נתונים מאוחסנים : הגנה טכנית והגנה משפטית אינן חופפות.

ה-Wi-Fi: מפת עולם עשויה כתובות חומרה

כל נקודת גישה אלחוטית משדרת ברציפות מזהה חומרה ייחודי, ה-BSSID. המזהים האלה קבועים ויציבים גיאוגרפית: נתב ביתי נשאר שנים באותו מקום.

אפל, גוגל וכמה שחקנים מתמחים מתחזקים מאגרים שמשייכים לכל BSSID קואורדינטות, ואלה נבנים בידי הטלפונים של המשתמשים שלהם עצמם, שמדווחים את רשימת הנקודות הנראות יחד עם מיקום GNSS. לאחר מכן הפעולה מתהפכת: טלפון שרואה ארבע נקודות מוכרות כבר אינו זקוק ולו ללוויין אחד. באזור עירוני צפוף הדיוק מגיע בדרך כלל לכמה עשרות מטרים, ויורד מתחת לכך בתוך מבנים.

שתי תכונות מקשות על נטרול המנגנון הזה. ראשית, הטלפון סורק גם כאשר ה-Wi-Fi נראה מכובה: החל מאנדרואיד 4.3 המערכת שומרת על סריקה מחזורית שנועדה לשפר את איתור המיקום, ללא תלות במתג שבלוח ההגדרות המהיר. ההתנהגות הזו תלויה בהגדרה נפרדת, קבורה עמוק בשירותי המיקום, שכמעט אף משתמש מעולם לא פתח.

שנית, אפשר לתשאל את המאגר מבחוץ. זהו הפרצה שריי ולוין ניצלו: ממשקי המיקום מחזירים לא רק את המיקום המבוקש אלא גם את מיקומן של נקודות סמוכות, מה שמאפשר לקצור את המפה בלי להתקרב פיזית לאותם מקומות אף פעם.

בלוטות’ ו-BLE: מאותרים בידי הטלפונים של אחרים

Bluetooth Low Energy מוסיף שכבת קרבה, בטווח של כמה מטרים עד כמה עשרות מטרים, כלומר ברזולוציה עדינה בהרבה מזו של הרשת הסלולרית. שני שימושים מתקיימים זה לצד זה. משדרי איתור מסחריים, הפרוסים בחנויות, בשדות תעופה או בקניונים, משדרים מזהה שאפליקציות בטלפון מזהות, וכך מתגלה לפני איזה מדף עצרתם ולכמה זמן. ולצידם רשתות איתור שיתופיות, שה-Find My של אפל הוא המודל שלהן, ומאז אומץ גם בידי גוגל וסמסונג.

המנגנון השני הופך הנחה סמויה. הניתוח המכונן Who Can Find My Devices? , שפורסם בקובץ המאמרים של PETS 2021 בידי חוקרים מהאוניברסיטה הטכנית של דרמשטדט, שחזר את הפרוטוקול של אפל בהנדסה לאחור. מכשיר לא מקוון משדר אות BLE, כל מכשיר אפל בקרבת מקום קולט אותו, מצרף לו את מיקומו שלו ומעביר אותו מוצפן לשרתי אפל, בלי ידיעתו של המחזיק בו ובלי ידיעתו של המחזיק במכשיר המאותר.

התוצאה מבנית: מכשיר בלי כרטיס SIM, בלי Wi-Fi, בלי שום חיבור רשת נשאר בר-איתור, ובלבד שאדם זר יחלוף בקרבתו עם טלפון בכיס. הבידוד שלכם כבר אינו תלוי בהגדרות שלכם, אלא בהגדרות של העוברים ושבים.

חיישני התמד: לאתר בלי הרשאת מיקום

טלפון מכיל מד תאוצה, ג’ירוסקופ, מגנטומטר ולעיתים קרובות גם ברומטר. החיישנים האלה משתייכים לקטגוריית הרשאות נפרדת מזו של המיקום: אפליקציה יכולה לקרוא אותם בלי שביקשה מעולם לדעת היכן אתם.

חוקרים מפרינסטון הוכיחו זאת באמצעות PinMe . האפליקציה שלהם יוצאת מכתובת ה-IP ומאזור הזמן לקבלת מיקום גס, ואז קוראת את החיישנים: מד התאוצה מספק את פרופיל ההאצה והבלימה, הג’ירוסקופ את רצף הפניות, המגנטומטר את הכיוון, והברומטר את שינויי הגובה. רשת נוירונים מזהה את אמצעי התחבורה, הליכה, רכב, רכבת או מטוס, והמסלול מוצמד לנתונים ציבוריים של מיפוי, טופוגרפיה ומזג אוויר. התוצאה: מסלול בדיוק דומה ל-GPS, בלי הרשאת מיקום. לשיטה יש מגבלות, שהמחברים מתעדים, שכן היא נכשלת באזורים ללא כבישים ומידרדרת בתוכניות רשת אחידות, שבהן מסלולים רבים מייצרים אותה חתימה. היא נותרת ההוכחה לכך שהרשאה שנדחתה אינה דלת סגורה.

הברומטר מוסיף גם את הממד שה-GNSS מתקשה איתו, הממד האנכי. הדרישות האמריקאיות לשיחות חירום מחייבות דיוק ברמת הקומה של פלוס מינוס 3 מטרים ב-80 % מהשיחות מתוך מבנים. לדעת באיזו קומה נמצא אדם הוא דבר שונה במהותו מלדעת באיזה מקבץ בניינים הוא נמצא.

שוק הנתונים: הערוץ הבנאלי מכולם

המנגנונים הקודמים מתארים כיצד מחושב מיקום. נותר לדעת לאן הוא הולך, ושם מוכרע עיקר הסיכון היומיומי.

אלפי אפליקציות משלבות ערכות פיתוח פרסומיות (SDK), רכיבי תוכנה של צד שלישי שמפתח מוסיף כדי להפיק הכנסה מעבודתו או למדוד את קהלו. הרכיבים האלה יורשים את הרשאות האפליקציה המארחת: אפליקציית מזג אוויר שזקוקה למיקומכם מסיבה לגיטימית מעבירה אותו לגורמים ששמם מעולם לא נקרא בעיניכם. לכך מתווספים זרמי מכרזי הפרסום, שבהם המיקום המשוער שלכם מופץ לעשרות קונים פוטנציאליים בכל הצגה של באנר, כולל לאלה שאינם קונים דבר ומסתפקים בהאזנה.

חומר הגלם הזה מזין תעשייה שלמה. ארגון Electronic Frontier Foundation תיעד את המקרה של Fog Data Science , שטענה למיליארדי נקודות נתונים על יותר מ-250 מיליון מכשירים, שנמכרו למשטרות מקומיות בארצות הברית. בריאן קרבס תיאר את Locate X , מוצר שמאפשר לשרטט מצולע על מפה ולצפות בהיסטוריית המכשירים שנכנסו לאזור ויצאו ממנו.

הערוץ הזה אינו דורש שום הישג טכני, אלא רק שמישהו יסכים לשלם. המחיר צנוע.

מלכודות IMSI: איתור פעיל

המנגנונים שנסקרו עד כה מנצלים תפקוד תקין. קיים גם איתור פעיל, שמבצע צד שלישי המתערב ברשת.

מלכודת IMSI, או סימולטור תא, היא ציוד שמתחזה לאנטנה לגיטימית. טלפונים בטווח מתחברים אליה, וחושפים בכך את מזהה המנוי שלהם ואת נוכחותם בתחום מצומצם.

ה-5G היה אמור לסגור את הדלת הזו, בהחליפו את המזהה הקבוע הגלוי במזהה מוצפן, ה-SUCI. הסגירה חלקית. העבודות שהוצגו תחת הכותרת 5G SUCI-catchers: still catching them all? מתעדות התקפות קישור שמאפשרות לקשור מחדש הפעלות חרף ההצפנה. ובעיקר, ההגנה קורסת כליל אם התוקף מאלץ את המכשיר לרדת לדור קודם, ובמיוחד ל-2G, שהאימות בו חד-כיווני. טלפון 5G נותר פגיע להתקפה שתוכננה עבור רשת משנות התשעים, משום שהוא עדיין מסכים לרדת אליה.

אמצעי הנגד ויעילותם האמיתית

כל אחד מהאמצעים שלהלן עושה משהו. אף אחד מהם אינו עושה הכול, והפער בין מה שהם עושים ובין מה שמייחסים להם הוא שמייצר את ההחלטות הגרועות.

מצב טיסה

מצב טיסה מנתק את השידור של המודם הסלולרי, של ה-Wi-Fi ושל הבלוטות’. זו השפעה אמיתית, וזו התוצאה הטובה ביותר תמורת מאמץ כה קטן.

מה שהוא אינו עושה: הוא אינו עוצר את חיישני ההתמד, אינו מוחק מיקומים ששמורים כבר במטמון ושייצאו עם החיבור מחדש, ובמרבית המכשירים הוא מאפשר להפעיל מחדש את ה-Wi-Fi או את הבלוטות’ בנפרד בלי לצאת ממנו. ולבסוף, זהו מצב תוכנתי ולא ניתוק חשמל: אמינותו תלויה בשלמות המערכת שאוכפת אותו.

פרט שממעיטים בערכו: ההתנתקות מהרשת וההתחברות מחדש אליה הן כשלעצמן אירועים עם חותמת זמן אצל המפעיל. טלפון שנעלם ב-21:00 בתא אחד ומופיע מחדש ב-23:00 בתא אחר ייצר מידע, לא שתיקה.

אקראיות של כתובת MAC

מערכות ניידות משדרות היום כתובות MAC אקראיות בעת סריקות, כדי למנוע מעקב ממקום למקום. הכוונה טובה, התוצאה חלקית. העבודות המכוננות, ובהן Why MAC Address Randomization is not Enough , מראות שתוכן מסגרות הגילוי מספיק פעמים רבות כדי לזהות מחדש את המכשיר: מספר רכיבי המידע, ערכיהם וסדרם יוצרים טביעת אצבע. לכך נוספים מספרי הרצף, שהם עולים ולכן ניתנים לשרשור, והחתימה הזמנית הייחודית לכל דגם. מחקרים מסוימים מדווחים על מעקב נכון אחר מחצית המכשירים במשך עשרים דקות לפחות.

ולבסוף מגבלה עקרונית: האקראיות נוגעת רק לשלב הגילוי. ברגע שאתם מתחברים לרשת, הכתובת שבשימוש יציבה עבור אותה רשת, מעצם התכנון, כדי שהחיבור יעבוד. בית הקפה שאליו אתם הולכים כל בוקר מזהה אתכם.

לכבות באמת את הסריקות

זו ההגדרה המשתלמת ביותר וגם המוזנחת ביותר. באנדרואיד, חיפוש Wi-Fi וחיפוש בלוטות’ הם שתי אפשרויות נפרדות, הממוקמות בשירותי המיקום, ובלתי תלויות במתגים של הלוח המהיר. כל עוד הן פעילות, כיבוי ה-Wi-Fi מהלוח אינו מספיק: הסריקה נמשכת.

כיבוין מסלק שכבת איסוף שלמה, בלי מחיר אחר מלבד חישוב מיקום ראשון איטי מעט יותר. עבור רוב הקוראים, זה היחס הטוב ביותר בין המאמץ שהושקע לתוצאה שהושגה.

הרשאות אפליקציות

שלילת הרשאת המיקום מאפליקציות שברור שאינן זקוקות לה נותרת מועילה, והמערכות העדכניות מציעות שלוש דרגות: אישור חד-פעמי, אישור המוגבל לשימוש פעיל, ומיקום מקורב, שמעביר רק אזור בסדר גודל של קילומטר.

לעומת זאת, זה אינו מגן מפני ערכות SDK שמתארחות באפליקציה שיש לה סיבה לגיטימית לגשת למיקומכם, ולא מפני חיישני ההתמד, ולא מפני שכבות הרשת, שאינן עוברות דרך שום הרשאה.

ממה ה-VPN אינו מגן

נקודה שראוי להבהיר, משום שהאמונה ההפוכה נפוצה מאוד: VPN אינו מסתיר את מיקומכם. הוא מסתיר את כתובת ה-IP הציבורית שלכם, ולכן מטעה את איתור המיקום לפי IP, שהוא ממילא המנגנון הגס ביותר ברשימה.

VPN אינו נוגע לא במקלט ה-GNSS, לא בסריקת ה-Wi-Fi, לא בבלוטות’ ולא בחיישנים. הוא אינו משנה דבר במה שהמפעיל שלכם יודע, שכן המנהרה המוצפנת עוברת דרך האנטנות שלו וההתחברות לתא נשארת גלויה לו. הוא אינו מונע מאפליקציה בעלת הרשאת מיקום לשדר קואורדינטות מדויקות בתוך המנהרה. ה-VPN מגן על התוכן ועל היעד של התקשורת שלכם ברשת שאינה אמינה, וזה כבר הרבה. המיקום אינו בתחום אחריותו.

המגבלות הפיזיות

נרתיק פאראדיי עובד במובן המילולי: הוא חוסם שידור וקליטה. גם הוצאת הסוללה, במקומות שבהם הדבר עדיין אפשרי. מכשיר ייעודי, או פשוט להשאיר את הטלפון במקום אחר, נותר האמצעי החסין ביותר.

לפתרונות האלה יש חיסרון משותף שיש להביט בו בפנים: הם מייצרים חריגה. טלפון ששותק שעתיים בכל יום שלישי בערב אומר משהו. מול יריב שמנתח דפוסים במקום מיקומים רגעיים, ההיעדרות עצמה היא נתון.

שלושה יריבים, שלוש אסטרטגיות

זו ההבחנה החשובה ביותר במאמר הזה, וזו שקוראים עליה הכי פחות.

מול מפרסם או סוחר נתונים, אפשר לנצח בקרב. משמעת בהרשאות, כיבוי הסריקות, מערכת בלי שירותי מיקום קנייניים, איפוס מזהה הפרסום: כל אלה יחד מפחיתים מאוד את הנפח הנאסף. היריב הזה מחפש נפח בזול, לא את המקרה הפרטי שלכם.

מול המפעיל שלכם, שום תצורה אינה מספיקה. איתור סלולרי הוא תנאי לשירות. המשתנים האמיתיים היחידים הם משפטיים, כלומר מה שהחוק מתיר לשמור ולהעביר, וחומריים: איזה מכשיר, איזה כרטיס SIM, על שם מי, ומופעל היכן.

מול יריב מדינתי ממוקד, ההיגיון משתנה שוב, שכן הוא משלב גישה חוקית לנתוני המפעיל, איתור פעיל באמצעות סימולטור תא, דרישות מהפלטפורמות ובמידת הצורך גם פריצה למכשיר עצמו. אמצעי נגד תוכנתיים מצמצמים את המשטח, אבל המטרה הריאלית אינה היעלמות: היא לדעת בדיוק מה נותר חשוף.

הגישה של ArpokratOS

ArpokratOS משיב לנוף הזה בבחירה שנגזרת מההבחנה שלעיל: מה שצריך לנטרל מנוטרל ברמת המערכת, לא בתפריט.

בכל הנוגע ל-GNSS, מנהל ההתקן החומרתי מוסר. המכשיר מתנהג כאילו השבב אינו קיים, הן עבור האפליקציות והן עבור המערכת עצמה. ההבדל ממתג בהגדרות אינו קוסמטי. מתג הוא מדיניות: אוכפת אותו שכבה שרכיב בעל הרשאות מספיקות יכול לעקוף, שעדכון יכול להפעיל מחדש, ושמערכת שנפרצה יכולה להתעלם ממנה. הסרת נתיב הקוד מבטלת את השאלה, שכן כבר אין מה להפעיל.

הבלוטות’ מטופל ברמת ה-Core, באותו היגיון. בלוטות’ שכובה בהגדרות משאיר בפועל במכשירים רבים את מחסנית התוכנה חיה, כדי להזין שירותי קרבה ורשתות איתור שיתופיות. כשהוא נעדר ברמת המערכת, הוא אינו יכול לתקשר עם משדר בחנות, אינו יכול להשתתף ברשת מסוג Find My, ואינו יכול לשמש משטח תקיפה ללא אינטראקציה.

צריך לומר בבירור מה זה אינו עושה. ArpokratOS אינו הופך טלפון לבלתי ניתן לגילוי. כל עוד כרטיס SIM פעיל, המפעיל יודע לאיזה תא אתם מחוברים, ושום מערכת הפעלה אינה משנה זאת, גם לא כשכל התעבורה מנותבת דרך Tor. הניתוב מגן על התוכן ועל היעד, לא על הגאומטריה של הרדיו. מי שמבטיח חוסר נראות מוכר סיפור.

מה שארכיטקטורה כזו מספקת צנוע יותר: סילוק שכבות היישום והקרבה, שדרכן עובר הרוב המכריע של האיסוף בפועל, ומודל איומים מפורש לגבי מה שנותר. זהו אותו היגיון שהוחל על בחירת מערכת שולחנית, שפורט אצלנו בהשוואת מערכות ההפעלה : השאלה המועילה אינה אם כלי מגן, אלא ממה הוא מגן ובאיזה מחיר.

סיכום

המאמר הזה אינו מספק שיטה להיעלם. השיטה הזו אינה קיימת, והטקסטים שמתיימרים לטעון אחרת מייצרים בעיקר ביטחון כוזב, מסוכן יותר מהיעדר הגנה משום שהוא גורם לאנשים ליטול סיכונים.

המטרה הייתה להחליף שאלה בינארית, האם אפשר לאתר אותי או לא, בשאלה מועילה: על ידי מי, באיזה דיוק, במחיר איזה מאמץ מצידם, והאם זה משנה לי. התשובה שונה עבור עיתונאי שמגן על מקור, עבור מנהל שנוסע לתחום שיפוט רגיש, עבור עורך דין שפגישותיו חושפות אסטרטגיה, או עבור אדם פרטי שמתעצבן על כך שמפרסם מכיר את הרגליו.

מה שראוי לתשומת לב אינו דווקא ביצועיו של כל אחד מהמנגנונים האלה בנפרד, אלא העובדה שהם חופפים זה לזה. מיקום בדיוק של חמישים מטר אינו מעניין במיוחד. מיקום בדיוק של חמישים מטר, בכל רבע שעה, במשך שנתיים, משרטט מגורים, מקום עבודה, אמונה דתית, מצב בריאותי, רומן, מקור עיתונאי. נתון המיקום הוא המטא-נתון שהופך את כל השאר לקריאים, ומשום כך הוא שווה כסף רב.

מקורות

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

איזה מערכת הפעלה לאבטחה ופרטיות? Windows, macOS, Linux, Tails, Whonix ו-Qubes OS בהשוואה

Mon, 22 Jun 2026 00:00:00 +0000

בחירת מערכת הפעלה אינה רק עניין של העדפת ממשק משתמש או תאימות תוכנה. היא גם, ויותר ויותר, החלטה של אבטחה ופרטיות. כל מערכת הפעלה אוספת נתונים בצורה שונה, חושפת משטחי תקיפה שונים, ומעניקה לגמרי רמות שונות של שליטה למשתמש. השוואה זו מנתחת את המערכות העיקריות בשוק אך ורק מזווית זו — מהנפוצות ביותר ועד המתמחות ביותר.

הקריטריון המרכזי: מי שולט במערכת שלכם?

לפני שנכנסים לפרטי כל מערכת הפעלה, עיקרון מבני: אבטחתה של מערכת הפעלה תלויה ביסודה במי מחזיק בקוד שלה ובאילו החלטות ארכיטקטוניות נלקחו בשלב התכנון. מערכת הפעלה קניינית בקוד סגור (Windows, macOS) מאצילה אמון זה לחברה המפתחת. מערכת הפעלה בקוד פתוח מאצילה את האמון לקהילה שמבצעת ביקורת על הקוד. מערכת הפעלה שתוכננה לאבטחה מדורגת (Qubes OS) יוצאת מהנחה שאף רכיב במערכת אינו ראוי לאמון מלא.

Windows 11

איסוף נתונים וטלמטריה

Windows 11 היא מערכת ההפעלה לשולחן העבודה הנפוצה ביותר בעולם, וגם אחת מאלו שאוספות הכי הרבה נתונים כברירת מחדל. Microsoft מחלקת את הטלמטריה שלה לשתי קטגוריות רשמיות:

נתונים נדרשים (לא ניתנים לביטול בגרסאות Home ו-Pro): תצורת חומרה, מזהי מכשיר, דוחות שגיאות ויציבות, נתוני עדכוני תוכנה ומנהלי התקנים. נתונים אלו מועברים ל-Microsoft ללא קשר להעדפות המשתמש.

נתונים אופציונליים: דפוסי שימוש, אינטראקציות עם יישומים, נתוני התאמה אישית. ניתנים לביטול בהגדרות, אך מופעלים מחדש אוטומטית בעדכונים עיקריים מסוימים.

Windows 11 24H2 הציג מספר שכבות איסוף חדשות הקשורות לבינה מלאכותית:

Windows Recall: צילום מסך כל חמש שניות ליצירת ציר זמן שניתן לחיפוש של כל מה שעשיתם במחשב. ניתן לביטול, אך מופעל כברירת מחדל ומקושר לזכויות גישה שניתן להרחיבן על ידי יישומים אחרים
Copilot: כל בקשה מועברת לשרתי Microsoft, כולל צילומי מסך, טקסט שנבחר והקשר של היישומים הפתוחים
Defender Cloud Protection: שולח גיבובי קבצים חשודים ונתונים התנהגותיים לענן Microsoft לניתוח

המסקנה שתועדה על ידי מקורות טכניים עצמאיים רבים היא חד-משמעית: אי אפשר לבטל לחלוטין את הטלמטריה של Windows 11 בגרסאות Home ו-Pro. הדרך היחידה לכך היא שימוש בגרסת Enterprise או Education, יישום מדיניות קבוצתית ספציפית, או שימוש בכלי צד שלישי כגון O&O ShutUp10++ או WPD, עם הסיכונים לאי-יציבות שעלולים לנבוע מכך.

משטח תקיפה ואבטחה

Windows 11 הוא יעד עצום הרוב המכריע של התוכנות הזדוניות, תוכנות כופר והניצולים הזמינים בעולם, ביחס לנתח השוק שלו. Microsoft הציגה מנגנוני אבטחה משמעותיים (TPM 2.0 חובה, Secure Boot, VBS, Credential Guard), אך אלה פועלים במודל מונוליתי: פריצה לגרעין המערכת או לשירות מערכת בעל הרשאות משפיעה על כל הסביבה כולה.

פסיקת אבטחה/פרטיות: המערכת החשופה ביותר בהשוואה, טלמטריה שלא ניתן לבטל כולה, מודל אמון שמאוצל לחלוטין ל-Microsoft ולסמכות השיפוט האמריקאית.

macOS

איסוף נתונים וטלמטריה

Apple בנתה חלק מתדמיתה השיווקית סביב הפרטיות. המציאות הטכנית מורכבת יותר.

macOS אוספת הרבה פחות נתונים מ-Windows כברירת מחדל, אך האיסוף עדיין קיים ובחלקו אינו ניתן לביטול:

Gatekeeper ואימות OCSP: בכל פתיחת יישום, macOS מבצעת בדיקה מקוונת מול שרתי Apple לאישור שהיישום לא בוטל. בקשה זו מעבירה מידע על היישום שנפתח וכתובת ה-IP של המכשיר. אין הגדרה מובנית שמאפשרת לבטל בדיקות אלו מבלי לשבור את שרשרת האבטחה
אנליטיקת macOS: איסוף נתוני שימוש במערכת, ניתן לביטול בהגדרות מערכת > פרטיות > ניתוח
טלמטריית יישומי Apple: Maps, Siri, App Store ושאר יישומי Apple המובנים שומרים כל אחד על איסוף עצמאי שלו, עם מזהים מתחלפים, ללא קשר להגדרת אנליטיקת המערכת

לעומק רב יותר, מומחי אבטחה ממליצים על שימוש בחומת אש יישומית (Little Snitch או LuLu, בקוד פתוח וחינמית) לניטור וחסימת חיבורים יוצאים יישום לפי יישום.

משטח תקיפה ואבטחה

macOS נהנית ממספר מנגנוני אבטחה חזקים: System Integrity Protection (SIP) שמגן על קבצי מערכת בגישת קריאה בלבד, Kernel Integrity Protection ברמת חומרה בשבבי Apple Silicon, ארגז חול ליישומי App Store, ו-Secure Enclave במכשירים חדשים. הקשר עם Apple ID הוא וקטור האיסוף העיקרי של נתונים אישיים.

פסיקת אבטחה/פרטיות: טוב יותר מ-Windows בטלמטריית ברירת המחדל, אך עדיין כפוף לבדיקות OCSP שלא ניתן לבטל, לסמכות השיפוט האמריקאית ולמודל הסגור של Apple. קשה לביקורת עצמאית.

Linux (הפצות כלליות)

Linux אינה מערכת הפעלה יחידה אלא גרעין שעליו בנויות הפצות שונות מאוד. מבחינת אבטחה ופרטיות, הן חולקות בסיס משותף אך נבדלות במספר היבטים.

Ubuntu היא ההפצה הפופולרית ביותר למתחילים. ב-2012 היא עוררה מחלוקת בשליחת חיפושים מקומיים לשרתי Amazon, התנהגות שהוסרה מאז. Ubuntu שומרת על איסוף נתוני שימוש משלה (whoopsie, ubuntu-report), הניתן לביטול, ומשלבת היטב את מאגרי ה-Snap הנשלטים על ידי Canonical Ltd.

Debian היא הבסיס שעליו נבנתה Ubuntu, ללא השכבות שהוסיפה Canonical. מנוהלת על ידי פרויקט קהילתי ללא מטרות רווח, עם מחויבות קפדנית לתוכנה חופשית, היא אינה אוספת טלמטריה כלשהי כברירת מחדל. מדיניות העדכונים השמרנית שלה עדיפה בדרך כלל מבחינת משטח תקיפה.

Fedora, בחסות Red Hat (חברת בת של IBM), מודרנית מבחינה טכנית עם מחזור עדכונים מהיר. ללא טלמטריה כברירת מחדל, אך הקשר עם Red Hat/IBM מציג תלות תאגידית ראויה לציון.

Linux Mint, נגזרת מ-Ubuntu, מיועדת למשתמשים הבאים מ-Windows. היא הסירה את הרכיבים השנויים במחלוקת של Ubuntu (Snap נעדר כברירת מחדל) ואינה מציגה טלמטריה משלה.

Arch Linux מיועדת למשתמשים מתקדמים בפילוסופיה מינימליסטית: המשתמש מתקין רק את מה שהוא צריך. ללא טלמטריה, עדכונים שוטפים (rolling release), חופש מלא להתאמה אישית.

מה שמביאה Linux ביסודה

קוד מקור פתוח וניתן לביקורת: כל חוקר אבטחה יכול לבדוק את קוד הגרעין והרכיבים הראשיים
היעדר טלמטריה כפויה: אף הפצה מרכזית אינה כופה איסוף נתונים שלא ניתן לביטול
מודל הרשאות קפדני יותר כברירת מחדל: שימוש בחשבון root נפרד מהפעולות היומיומיות
משטח תקיפה מצומצם: Linux ממוקדת פחות על ידי תוכנות זדוניות המוניות

פסיקת אבטחה/פרטיות: עדיפה בהרבה על Windows ו-macOS בכל הנוגע לאיסוף נתונים. אף הפצה כללית אינה מגנה מפני פריצה ליישום שמתפשטת לכל המערכת.

Tails OS

פילוסופיה: אמנזיה כהגנה

Tails, ראשי תיבות של The Amnesic Incognito Live System, היא מערכת הפעלה מבוססת Debian שהתמזגה עם Tor Project ב-2024. הפילוסופיה שלה שונה באופן קיצוני מכל שאר מערכות ההפעלה: במקום לנסות לאבטח סביבה מתמשכת, היא מוחקת כל התמדה כברירת מחדל. Tails קיימת רק לאורך משך הפעלה אחת.

ארכיטקטורה טכנית

Tails פועלת לחלוטין מכונן USB (לפחות 8 GB) ורצה כולה בזיכרון RAM. כשמכבים אותה, לא נשאר כל עקב על המחשב המארח: לא קבצים זמניים, לא היסטוריה, לא אישורים, לא עקבות פורנזיות בדיסק הקשיח של המחשב בשימוש. לא משנה אם המחשב פרוץ ברמת התוכנה: Tails לעולם אינה כותבת על הדיסק שלו.

Tor כברירת מחדל וללא יוצא מן הכלל

כל תעבורת הרשת של Tails מנותבת באופן שיטתי דרך רשת Tor. אם יישום מנסה ליצור חיבור ישיר עוקף Tor, Tails חוסמת אותו. לא ניתן להשתמש ב-Tails לגלישה ללא Tor, אפילו בטעות.

אחסון מתמשך מוצפן (אופציונלי)

כברירת מחדל, Tails שוכחת הכל עם כל כיבוי. למשתמשים הזקוקים לשמור נתונים מסוימים בין הפעלות, Tails מציעה Persistent Storage: אמצעי אחסון מוצפן (LUKS) שנוצר בכונן ה-USB עצמו, מוגן על ידי ביטוי סיסמה. המשתמש בוחר בדיוק מה מאוחסן שם: קבצים מסוימים, תצורות יישומים, מפתחות PGP וכדומה. אחסון מתמשך זה אינו משנה את אופייה האמנזי של Tails ביחס למחשב המארח — הוא משפיע רק על מה שנשמר בכונן ה-USB בין שתי הפעלות.

כלים מותקנים מראש

Tails מגיעה עם מגוון כלים מוגדרים מראש: Tor Browser, לקוח דואר אלקטרוני מוצפן, כלי הצפנת קבצים (Kleopatra/GnuPG), לקוחות הודעות מאובטחות, ו-LibreOffice לעבודת משרד. אין צורך להתקין תוכנה נוספת לשימוש שוטף ברמת אבטחה גבוהה.

הערה טכנית 2026: Tails 7.7 הוסיפה התראה לאישורי Secure Boot מיושנים, שכן מפתחות Microsoft משנת 2011 מתחילים לפוג ביוני 2026. משתמשים שה-firmware UEFI שלהם אינו מעודכן עלולים שלא להצליח להפעיל את Tails על מחשבים מסוימים.

מה Tails מגנה עליו ומה לא

איום	הגנת Tails
בדיקה פורנזית של הדיסק המארח לאחר תפיסה	מלאה: הדיסק המארח לעולם אינו נגעת
מעקב רשת (IP, אתרים שבוקרו)	חזקה דרך Tor, אך תלויה בחוסנה של Tor
תוכנה זדונית מתמשכת על המחשב המארח	עוקפת: Tails אינה משתמשת במערכת המותקנת
תוכנה זדונית ב-BIOS/UEFI (firmware פגום)	אפסית: Tails אינה מסוגלת להגן מפני ה-firmware של המחשב בשימוש
טעות אנוש (התחברות לחשבון אישי)	אפסית: אם מתחברים ל-Gmail תחת Tails, הסשן מאבד את אנונימיותו
פריצה לתוכנה במהלך ההפעלה	מוגבלת להפעלה הנוכחית, נמחקת עם הכיבוי

מגבלות כנות

Tails אינה מתאימה לשימוש יומיומי: היעדר ההתמדה מחייב הגדרה מחדש של הסביבה עם כל הפעלה
תוכנה זדונית מסוג BIOS או firmware (כגון שתל ברמת UEFI) עלולה לפגוע בהפעלת Tails, מכיוון ש-Tails אינה שולטת בשכבת ה-firmware של המחשב עליו היא פועלת
התחברות לחשבון אישי (דואר אלקטרוני, רשת חברתית) מבטלת את אנונימיות ההפעלה, ללא קשר ל-Tor

למי מתאים?

עיתונאים העובדים עם מקורות דרך SecureDrop, פעילים תחת מעקב במשטרים מדכאים, כל מי שזקוק להפעלה חד-פעמית ברמת רגישות גבוהה על חומרה שאינה בשליטתם. שימש את Glenn Greenwald ו-Laura Poitras לעיבוד מסמכי Snowden, מומלץ על ידי EFF, Freedom of the Press Foundation ו-Tor Project.

פסיקה: כלי ראשון במעלה להפעלות חד-פעמיות ברמת רגישות גבוהה. לא מערכת הפעלה יומיומית ראשית.

Whonix

פילוסופיה: אנונימיות מבנית דרך בידוד רשת

Whonix עונה על שאלה שונה מ-Tails: במקום למחוק כל עקב לאחר ההפעלה, היא מבטיחה שתוכנה זדונית הפועלת בסביבת העבודה לא תוכל מבחינה מבנית לדעת את כתובת ה-IP האמיתית של המשתמש, גם אם יש לה הרשאות root על המחשב הווירטואלי העבודתי.

Whonix מבוססת Debian (דרך KickSecure, גרסה מוקשחת של Debian שפותחה על ידי אותה צוות) ופועלת בתוך hyperviseur מסוג Type 2 (VirtualBox, KVM) על כל מערכת הפעלה מארחת, או באופן ילידי ב-Qubes OS כ-Type 1.

הארכיטקטורה של שתי VMs

העיקרון המרכזי של Whonix הוא הפרדה קפדנית בין שכבת הרשת לשכבת היישומים, מיושמת דרך שתי מכונות וירטואליות נפרדות:

Whonix-Gateway היא ה-VM הראשונה. היא מריצה את דמון Tor ומשמשת אך ורק כשער רשת. היא ה-VM היחידה שיש לה גישה לאינטרנט. היא אינה מכילה כל יישום משתמש. תפקידה היחיד הוא ליירט את כל תעבורת הרשת הנכנסת והיוצאת ולאלץ אותה לעבור דרך Tor.

Whonix-Workstation היא ה-VM השנייה. זוהי סביבת העבודה: דפדפן, הודעות, עיבוד קבצים, פיתוח. היא מחוברת לאינטרנט רק דרך הרשת הווירטואלית הפנימית שמצביעה ל-Whonix-Gateway. אין לה גישה ישירה לאינטרנט, ואין לה כל יכולת חיבור שתעקוף את ה-Gateway.

הנה מה שקורה בעת בקשת רשת מה-Workstation:

היישום שולח בקשת רשת
ה-Workstation מעבירה אותה דרך ממשק הרשת הפנימי שלה לעבר ה-Gateway
ה-Gateway יוצרת את הבקשה ומנתבת אותה מחדש דרך Tor (שלושה ממסרים עוקבים)
התשובה חוזרת באותו נתיב בכיוון הפוך
ה-Workstation מקבלת את התשובה מבלי שידעה אי פעם את כתובת ה-IP האמיתית של היציאה

הערבות הבסיסית: גם אם תוכנה זדונית פורצת ל-Workstation עם הרשאות root, היא אינה יכולה לדעת את כתובת ה-IP האמיתית של המשתמש, מכיוון שה-Workstation עצמה לעולם אינה ניגשת אליה. ה-Workstation רואה רק את כתובת ה-IP הפנימית של ה-Gateway.

מנגנוני אבטחה נוספים

בידוד זרמים (Stream isolation): Whonix משתמשת במעגלי Tor נפרדים עבור יישומים שונים (הדפדפן אינו משתמש באותו מעגל כמו לקוח הדואר האלקטרוני וכו’), מה שמונע מתאם תעבורה בין פעילויות שונות.

אקראיות שעון ההפעלה (Boot clock randomization): שעון המערכת של ה-Workstation מוטה מעט באקראי עם כל הפעלה כדי למנוע התקפות תזמון המבוססות על שעת המערכת המדויקת.

sdwdate: Whonix משתמשת בדמון סנכרון זמן משלה (sdwdate) שמאחזר את השעה דרך Tor משרתי onion, במקום NTP קלאסי שעלול לדלף את כתובת ה-IP.

AppArmor: פרופילי AppArmor מקשיחים את ארגז החול של יישומים קריטיים כגון Tor Browser ברמת המערכת.

VMs חד-פעמיות: Whonix תומכת ב-Workstations חד-פעמיות (Whonix-Workstation DispVM ב-Qubes-Whonix) למשימות חד-פעמיות ללא התמדה, בדומה לגישת Tails אך בסביבה שיש לה התמדה אחרת.

שלושת מצבי הפרסום

Whonix על VirtualBox או KVM (Type 2): המצב הנגיש ביותר. שתי ה-VMs פועלות על מערכת הפעלה מארחת קיימת (Windows, Linux, macOS). נוח, אך מציג שכבת אמון נוספת במערכת ההפעלה המארחת: אם המארח נפרץ, הגנת Whonix עלולה להיעקף.

Qubes-Whonix (Type 1, מומלץ): Whonix משולבת באופן ילידי ב-Qubes OS כתבניות (templates). ה-Gateway הופכת ל-ProxyVM (sys-whonix) וה-Workstation ל-AppQube (anon-whonix). זוהי התצורה החזקה ביותר שכן הבידוד מסתמך על hyperviseur Xen bare-metal ולא על hyperviseur Type 2 הפועל על מערכת הפעלה מארחת שעלולה להיות פגיעה. זוהי הקומבינציה המומלצת על ידי שני הפרויקטים.

בידוד פיזי (מצב מתקדם): ה-Gateway וה-Workstation פועלות על שתי מכונות פיזיות נפרדות, מחוברות בכבל Ethernet. ל-Workstation אין כרטיס רשת מלבד זה המחובר ל-Gateway. מצב זה מצמצם דרסטית את בסיס האמון אך מצריך שתי מכונות ייעודיות.

מה Whonix מגנה עליו ומה לא

איום	הגנת Whonix
דליפת כתובת IP מה-Workstation	בלתי אפשרי מבחינה מבנית לפי הארכיטקטורה
דליפות DNS	בלתי אפשרי: כל ה-DNS עובר דרך Tor דרך ה-Gateway

Data Act מול CLOUD Act: מי שולט באמת בנתונים שלך בענן?

Fri, 19 Jun 2026 00:00:00 +0000

במשך שנים, העולם פעל על פי הנחה פשוטה: לנתונים יש מיקום פיזי. אם הם אוחסנו בשרת בדבלין, הם היו כפופים לחוק האירי והאירופי. הנחה זו קרסה בשנת 2018, כאשר ארצות הברית אימצה את ה-CLOUD Act — חוק המעניק לרשויות האמריקאיות גישה לנתונים הנשלטים על ידי חברות אמריקאיות, ללא קשר למיקומם הפיזי בעולם. מספר שנים לאחר מכן, בריסל השיבה עם מנגנון ההגנה שלה: ה-Data Act, החל כעת במלואו, המנסה להגביל את הגישה החוץ-טריטוריאלית של רשויות ממדינות שלישיות לנתונים המוחזקים באיחוד האירופי.

הנה מה שקובעים שני הטקסטים בפועל, היכן הם מתנגשים, ומדוע ההגנה האמינה היחידה מול סכסוך זה נותרת חוסר האפשרות הטכנית לגישה.

ה-CLOUD Act האמריקאי: גישה המבוססת על שליטה, לא על מיקום

ה-CLOUD Act (Clarifying Lawful Overseas Use of Data Act), שאומץ במרץ 2018, תיקן את החוק האמריקאי בהוספת סעיף 18 U.S. Code § 2713. טקסט זה מחייב כל ספק שירות תקשורת אלקטרונית או עיבוד מחשוב מרחוק לשמר, לאבטח או לחשוף את תוכן התקשורת או כל רשומה הקשורה אליה, כאשר נתונים אלה נמצאים ברשותו, בהחזקתו או בשליטתו — ללא קשר לשאלה אם נתונים אלה מצויים בתחומי ארצות הברית או מחוצה לה.

בדיוק סעיף אחרון זה משנה את הכול. הקריטריון שנבחר אינו עוד המיקום הפיזי של השרת, אלא השליטה שמפעילה החברה האם על החברות הבנות שלה. חברה אמריקאית המפעילה מרכזי נתונים באירופה נותרת אפוא כפופה לדרישות אמריקאיות, אפילו לנתונים המאוחסנים כולם על אדמה אירופית.

ה-Data Act האירופי: מחסום משפטי לגישה חוץ-טריטוריאלית

תקנה (EU) 2023/2854, המכונה Data Act, נכנסה לתוקף ב-11 בינואר 2024 וחלה במלואה מאז 12 בספטמבר 2025, כאשר הוראות מסוימות הוחלות בהדרגה עד 2026 ו-2027. סעיף 32 שלה מסדיר ישירות את שאלת הגישה הממשלתית הבינלאומית לנתונים.

הטקסט קובע כלל ברור: כל החלטה או פסק דין של בית משפט או רשות מינהלית של מדינה שלישית הדורשים מספק שירותי עיבוד נתונים להעביר או לאפשר גישה לנתונים לא-אישיים המוחזקים באיחוד האירופי יוכרו ויהיו אכיפים רק אם הם מבוססים על הסכם בינלאומי, כגון אמנת סיוע משפטי הדדי (MLA), שבתוקף בין המדינה המבקשת לאיחוד, או בין המדינה המבקשת לבין המדינה החברה הנוגעת בדבר.

בהיעדר הסכם כזה, סעיף 32 קובע מסלול שני, אך מוסדר בהחלטיות: ההחלטה הזרה ניתנת לביצוע רק אם מערכת המשפט של המדינה השלישית דורשת שהבקשה תהיה מנומקת, מידתית ומפורטת דיה — למשל, על ידי קביעת קשר ברור לאנשים ספציפיים או לעבירות ספציפיות — ואם ניתן להגיש את ההתנגדות המנומקת של הנמען לביקורת של בית משפט מוסמך באותה מדינה שלישית.

התנגשות משפטית ישירה

הבעיה היא מיידית: ה-CLOUD Act דורש חשיפה המבוססת על השליטה שמפעילה החברה האם, ללא תנאי מידתיות דומה לזה הנדרש על פי החוק האירופי. ה-Data Act, לעומת זאת, מתנה את ההכרה בבקשה כזו בקיומו של הסכם בינלאומי או בערבויות דיוניות מדויקות. חברה אמריקאית הפועלת באירופה, שנדרשת על ידי רשות אמריקאית להעביר נתונים המאוחסנים באיחוד, מוצאת עצמה לכן תקועה בין שתי חובות משפטיות סותרות: לציית לצו האמריקאי תוך הפרת חוק האיחוד, או לכבד את ה-Data Act תוך חשיפה לתוצאות של סירוב בארצות הברית.

מתח זה אינו תיאורטי. הוא כבר תועד על ידי בית הדין לצדק של האיחוד האירופי (CJUE) בשתי החלטות מכריעות, Schrems I (2015) ו-Schrems II (2020). בפסק דין Schrems II, קבע ה-CJUE כי המעקב האמריקאי המתבצע מכוח סעיף 702 של ה-FISA (Foreign Intelligence Surveillance Act) וExecutive Order 12333 אינו עומד בערבויות המינימליות הנדרשות על פי חוק האיחוד מכוח עיקרון המידתיות, ולכן אינו יכול להיחשב כמוגבל למה שנחוץ בהחלט. בית הדין ציין גם את היעדר דרך ערעור שיפוטית אפקטיבית לגבי הגורמים הנוגעים מהאיחוד, בניגוד לסעיף 47 של אמנת הזכויות הבסיסיות. פסיקה זו ביטלה את מסגרת Privacy Shield, שארגנה עד אז את העברות הנתונים בין האיחוד האירופי לארצות הברית.

הסיכון המבני: Harvest Now, Decrypt Later

מעבר לסכסוך השיפוטי, איום מסוכן יותר נחת על נתונים המאוחסנים בתשתיות הכפופות לחוק האמריקאי: האסטרטגיה המכונה Harvest Now, Decrypt Later (HNDL). העיקרון הוא שגורם מודיעיני או גורם מדינתי עוין מיירט ואוחסן כיום נתונים מוצפנים, בציפייה לכוח חישוב קוונטי מספיק כדי לפענח אותם בעתיד.

אסטרטגיה זו הופכת כל תלות ממושכת בתשתית ענן אמריקאית לחוב אבטחה דחוי: מה שסודי היום עשוי להפוך לקריא בעוד עשר או חמש עשרה שנים, ללא שום פעולה נוספת הנדרשת מצד התוקף — רק זמן וסבלנות.

מדוע רק חוסר האפשרות הטכנית מהווה ערובה אמיתית

הניתוח המשפטי מתכנס לכדי מסקנה המשותפת לרבים ממומחי הציות: יהיה המסגרת המשפטית של ה-Data Act מוצקה ככל שתהיה, היא נותרת טקסט שיחסי כוח גיאופוליטיים ולחצים דיפלומטיים יכולים לעקוף, לעכב או לפרש מחדש. ההגנה היחידה שאינה תלויה בשום משא ומתן עתידי היא חוסר האפשרות הטכנית לביצוע.

ארכיטקטורת zero knowledge, שבה הספק אינו מחזיק לא ברשות ולא בהחזקה של מפתחות הפענוח, הופכת צו שיפוטי לחסר תוקף מעשי. לא ניתן להיות מחויב למסור את מה שמעולם לא מוחזק.

זוהי הלוגיקה המבנה את מערכות אקוסיסטם כגון Arpokrat:

נטרול שיפוטי: התשתית מאוחסנת בשווייץ, תחת משטר חוק הגנת הנתונים הפדרלי (LPD/FADP), מחוץ לתחום ההחלה הישיר של החוץ-טריטוריאליות של ה-CLOUD Act
היעדר החזקה: ארכיטקטורת zero knowledge שוללת מהספק כל יכולת למסור מפתחות או תכנים שאינם בידיו מעולם
צמצום הטביעה הזהותית: על ידי ביטול חובת ההרשמה עם מספר טלפון או כתובת דואר אלקטרוני — מזהים שמעקב המבוסס על סעיף 702 של ה-FISA יכול לעקוב אחריהם בקלות — המשתמש חדל להיות מנוי ניתן לזיהוי ומהפך למפתח קריפטוגרפי אנונימי

שרשרת השמירה אינה עוצרת בהצפנת ההודעות

נקודה המוערכת בחסר לעתים קרובות בניתוחי ציות: אין די בהצפנת תוכן תקשורת אם מערכת ההפעלה הבסיסית — בין אם מדובר ב-Android או ב-iOS — ממשיכה ללכוד מטא-נתונים או טלמטריה ברמת הגרעין, לכיוון שרתים הכפופים לשיפוט האמריקאי. הגנת הסוד דורשת סגירה מוחלטת של שרשרת השמירה, מהתוכן ועד לתשתית החומרה עצמה.

מסיבה זו, הריבונות הדיגיטלית כרוכה גם בהרהור על מערכת ההפעלה בה נעשה שימוש, לא רק על אפליקציות המסרים. מערכות מנוקות מ-Google, שבהן מודולים כמו Bluetooth או מיקום גיאוגרפי GNSS ניתנים לביטול ישירות ברמת הגרעין, מבטלות וקטורי תקיפה פיזיים שאף הצפנה ברמת האפליקציה אינה יכולה לפצות עליהם.

הקריפטוגרפיה הפוסט-קוונטית, אופק שכבר בפתח

לאור האיום שמייצגת אסטרטגיית HNDL, אימוץ תקני קריפטוגרפיה פוסט-קוונטית (PQC) הופך לצורך עבור כל מי שמבקש להבטיח את סודיות נתונים רגישים לטווח הארוך — בין אם מדובר בסודות עסקיים, בהתכתבויות מקצועיות או בנתוני בריאות. הצפנה הנחשבת כיום חסינה לפי תקנים קלאסיים אינה מבטיחה שתעמוד ביכולות החישוב הקוונטי הצפויות בחמש עשרה השנים הקרובות.

הסכסוך בין ה-Data Act ל-CLOUD Act ממחיש מציאות רחבה יותר: ריבונות דיגיטלית אינה יכולה עוד להיבנות על טקסטים משפטיים בלבד, יהיו מוצקים ככל שיהיו. היא דורשת סגירה של שרשרת השמירה בכל רמה — מפרוטוקול ההצפנה ועד לשיפוט האחסון, דרך מערכת ההפעלה עצמה. גישה שכבתית זו, במקום הסתמכות על מסגרת רגולטורית אחת בלבד, היא המגדירה כיום ריבונות דיגיטלית אמיתית מתוך תכנון.

מונרו וזי-קאש אסורים באירופה החל מ-2027: מה משנה ה-AMLR

Thu, 18 Jun 2026 00:00:00 +0000

מונרו וזי-קאש אסורים באירופה — זה כבר רשמי. החל מיולי 2027, האיחוד האירופי סוגר את הגישה המוסדית למטבעות קריפטו בעלי פרטיות מוגברת, באמצעות תקנון חדש למניעת הלבנת הון הנקרא AMLR. הנה מה שהטקסט קובע בפועל, תפקיד הרשות האירופית החדשה AMLA האחראית לאכיפתו, ומה המשמעות האמיתית עבור כל מי שמחזיק מטבעות פרטיות.

AMLR ו-AMLA: שני מסמכים שונים, לא לבלבל ביניהם

לפני שנכנס לפרטים, יש לעשות הבהרה — שתי ראשי התיבות הללו מציינות שני דברים נפרדים, שלעיתים קרובות מתבלבלים בעיתונות המקצועית:

ה-AMLR (Anti-Money Laundering Regulation) הוא הטקסט החוקי עצמו: תקנון (EU) 2024/1624, המגדיר את הכללים — חשבונות אנונימיים אסורים, סף אימות, טיפול במטבעות פרטיות. זהו ה"מה".
ה-AMLA (Anti-Money Laundering Authority) היא הרשות הפיקוחית האירופית החדשה, שנוצרה על ידי תקנון נפרד אך שאומץ באותו יום — תקנון (EU) 2024/1620. תפקידה הוא לפקח ישירות על יישום ה-AMLR, ובפרט אצל ספקי שירותי הקריפטו-נכסים (CASP) הגדולים ביותר הפועלים במספר מדינות חברות. זהו ה"מי מפקח".

בקיצור: ה-AMLR קובע את הכללים, ה-AMLA מוודאת שהם נאכפים. שני המסמכים יחד מהווים חבילה חקיקתית אחת של האיחוד האירופי נגד הלבנת הון ומימון טרור.

מה קובע תקנון ה-AMLR בדיוק

תקנון (EU) 2024/1624 אומץ על ידי הפרלמנט האירופי והמועצה ב-31 במאי 2024, ולאחר מכן פורסם בעיתון הרשמי של האיחוד האירופי ב-19 ביוני 2024. פרק VIII (סעיפים 79-80) שלו, הנושא את הכותרת “אמצעים להפחתת סיכונים הקשורים בכלים אנונימיים”, ובפרט סעיף 79 שלו (“חשבונות אנונימיים, מניות למוכ"ז ואגרות חוב להמרה למוכ"ז”), קובע כי מוסדות אשראי, מוסדות פיננסיים וספקי שירותי קריפטו-נכסים (CASP) אסורים מעתה לנהל חשבונות אנונימיים או להציע מוצרים המאפשרים אנונימיזציה של עסקאות.

הטקסט מכוון במפורש לשתי קטגוריות נפרדות אך קשורות:

חשבונות אנונימיים — בין אם בנקאיים, לתשלום, או קריפטו. הכלל מיישר את מגזר הקריפטו עם ההגבלות שכבר קיימות לחשבונות בנק אנונימיים, חשבונות ניירות ערך למוכ"ז וכספות אנונימיות.
“מטבעות קריפטו בעלי אופי מאנונם” (anonymity-enhancing coins) — המונח הכללי שבו משתמש התקנון לציון נכסים המשתמשים בטכניקות קריפטוגרפיות מתקדמות שהופכות את זרימת הכספים לבלתי ניתנת למעקב. הבהרה חשובה: הטקסט החוקי אינו מציין אף טוקן בשמו. זוהי הפרשנות הנפוצה בקרב משרדי ציות ובתעשייה — ובפרט ב-AML Handbook של היוזמה האירופית לקריפטו (EUCI) — המזהה את מונרו (XMR), זי-קאש (ZEC) ודאש (DASH) ככאלה הנכנסים לקטגוריה זו. זוהי קריאה עקבית עם הגדרת התקנון, אך מדובר בפרשנות מגזרית — לא ברשימה נומינטיבית הרשומה בחוק.

התקנון הוא חלק מכלל רחב יותר, לצד MiCA (Markets in Crypto-Assets), שכבר בתוקף מאז 2024-2025 וכבר הביא פלטפורמות רבות (קראקן כבר באוקטובר 2024, ואחריה עשרות אחרות) להסיר את מונרו משוקיהן האירופיים מתוך ציפייה.

התאריך לזכור: יולי 2027

ל-AMLR יש תאריך כניסה לתוקף מחייב. רוב המקורות המקצועיים מתכנסים על 10 ביולי 2027 כמועד יישום מלא. מתאריך זה ואילך, פלטפורמות מסחר ושירותי משמורת קריפטו-נכסים (custodial) לא יוכלו עוד לטפל לא בחשבונות אנונימיים ולא במטבעות פרטיות.

עד למועד זה, התקנון מטיל כבר עכשיו חובות מוגברות:

אימות זהות חובה עבור כל עסקת קריפטו חד-פעמית העולה על 1,000 אירו — סף הרבה נמוך יותר מהנהוג כיום בפלטפורמות רבות
בקרות מוגברות על ארנקים בניהול עצמי (self-custody): כאשר משתמש מעביר כספים בין פלטפורמה מוסדרת לארנק אישי, ה-CASP יידרש לאסוף מידע על מקור ויעד הכספים, ולכל הפחות לאמת את זהות בעל הארנק החיצוני
ביטול תשלומים במזומן אנונימיים מעל 3,000 אירו, באותו היגיון של הרחבת בקרות הזהות לכלל המכשירים הפיננסיים האנונימיים

מדוע בריסל אוסרת מונרו וזי-קאש בפלטפורמות המוסדרות

ב-AML Handbook שלה, EUCI מסכמת את ההיגיון שעומד מאחורי הטקסט: אנונימיות בקריפטו-נכסים מציגה סיכונים משמעותיים לניצול לרעה למטרות פליליות, על ידי מניעת יכולת המעקב אחר עסקאות וסיבוך זיהוי פעילויות חשודות.

זהו בדיוק אותו היגיון שהביא כבר את יפן, קוריאה הדרומית, ולאחרונה את הפיליפינים לאסור מטבעות פרטיות מפלטפורמותיהן המוסדרות — יישור קו הדרגתי של מדינות מפותחות עם תקני FATF (GAFI). על ידי עיגון איסור זה בתקנון החל ישירות על כל 27 מדינות החברות, האיחוד האירופי נותן למגמה זו משקל משפטי ואפקט גרירה (“Brussels Effect”) גבוה משמעותית מזה של החלטות לאומיות מבודדות.

מה לא אסור — הניואנס החשוב

ניתוחים משפטיים מספר מתכנסים על נקודה מרכזית: ה-AMLR אינו מפליל החזקה אישית של מטבעות פרטיות, ולא העברות עמית-לעמית מחוץ לפלטפורמות המוסדרות. ארנקים בניהול עצמי אינם אסורים כשלעצמם — הם כפופים לבקרות מוגברות אך ורק כאשר הם מתממשקים עם פלטפורמה הכפופה לרגולציה.

מה שה-AMLR סוגר הם נקודות הגישה המוסדיות: רכישה, מכירה, הפקדה ומשיכה של מטבעות פרטיות דרך CASP מוסדר בתוך האיחוד האירופי. החזקה פרטית ובורסות מבוזרות נותרות, בשלב זה, מחוץ לתחום האיסור הישיר — תבנית זהה לזו שנצפתה כבר בפיליפינים.

מה המשמעות המעשית עבור מחזיקי XMR ו-ZEC

אם אתם מחזיקים כיום מטבעות פרטיות בפלטפורמת מסחר מוסדרת באיחוד האירופי:

עד יולי 2027, פלטפורמות אלו יצטרכו להסיר את התמיכה בנכסים אלו או להפסיק לקבל הפקדות חדשות הנוגעות אליהם
העברות לארנקים אישיים מאותן פלטפורמות יהיו כפופות לאימותי זהות מוגברים, אפילו לפני המועד הסופי
כל עסקת קריפטו מעל 1,000 אירו, בין אם מדובר במטבע פרטיות ובין אם לא, תחייב זיהוי מלא

מבקרי הטקסט, אפילו בתוך תעשיית הקריפטו עצמה, מצביעים על סיכון מבני: על ידי סגירת המעגלים המוסדרים מבלי לאסור טכנית את הנכסים עצמם, התקנון דוחף מכנית את מחזיקי מטבעות הפרטיות לשווקים פחות שקופים ולפלטפורמות לא מוסדרות — ההפך הגמור מיעד המעקבות שהצהירה בריסל.

להתארגן לפני מועד 2027

עם אופק קבוע ל-2027, המעבר אינו מיידי — אך הוא כבר בעיצומו. הפלטפורמות כבר מתאימות את היצע שלהן בציפייה לציות, וחלון הזמן להחלפה או גיבוש פוזיציות במטבעות פרטיות מבלי להסתמך על תשתיות הכפופות לסמכות שיפוט זו מצטמצם מדי חודש.

Arpokrat Swap מאפשר להחליף מונרו, זי-קאש וכלל מטבעות הקריפטו בעלי הפרטיות המוגברת ללא הרשמה, ללא איסוף נתוני זהות וללא תלות ב-CASP מוסדר הכפוף ל-AMLR. הפלטפורמה נגישה ב-clearnet וגם דרך כתובת ה-.onion שלנו, מה שמבטיח שיכולתכם להחליף נכסים אלו אינה תלויה באף סמכות שיפוט שעלולה לסגור את נקודות הגישה שלה מהיום למחר.

ה-AMLR מאשר מסלול שכמעט אין עליו עוד ספק: שוקי קריפטו מוסדרים ופרטיות פיננסית הופכים, סמכות שיפוט אחר סמכות שיפוט, לבלתי תואמים מבנית. השאלה אינה עוד אם מגמה זו תתרחב לכלל הכלכלות המפותחות, אלא כמה זמן יישאר, לאחר 2027, להחליף נכסים פרטיים מחוץ למעגלים שלא יהיה להם עוד הרשות לגעת בהם.

בלוקצ׳יינים אנונימיים: כיצד מונרו, זי-קאש ומטבעות הפרטיות מגנים באמת על העסקאות שלכם

Wed, 17 Jun 2026 00:00:00 +0000

ביטקוין מעולם לא היה אנונימי. זהו אחד מהאי-הבנות המתמשכות — והמסוכנות — ביותר ביקום הקריפטו. כל עסקת ביטקוין מתועדת, פומבית, וקבועה לנצח בפנקס חשבונות שכל אחד יכול לעיין בו. עם הכלים הנכונים לניתוח on-chain, מעקב אחר ההיסטוריה המלאה של כתובת, קישורה לפלטפורמת המרה ולאחר מכן לזהות אמיתית, הפך לפעילות מקצועית לכל דבר.

הבלוקצ׳יינים המכונים “אנונימיים” — או ביתר דיוק מטבעות פרטיות (privacy coins) — נולדו מתוך מסקנה פשוטה: השקיפות המוחלטת של פנקס חשבונות ציבורי אינה מתיישבת עם פרטיות פיננסית. הנה כיצד הם פועלים בפועל, מה הם מגנים עליו, והיכן נמצאות מגבלותיהם.

מדוע ביטקוין ואת׳ריום אינם פרטיים

על ביטקוין, את׳ריום, ועל כמעט כל הבלוקצ׳יינים הקלאסיים, כל עסקה חושפת לציבור שלוש פיסות מידע: כתובת השולח, כתובת הנמען, והסכום שהועבר. שקיפות זו מאפשרת אשכול כתובות, הערכת נכסים, מעקב אחר תשלומים, ולבסוף זיהוי ברגע שכתובת אחת בלבד מקושרת לזהות אמיתית — לדוגמה דרך פלטפורמת המרה הכפופה לדרישות KYC.

מדובר בפסאודואנונימיות, לא באנונימיות. כתובת אינה מציגה את שמכם, אך ברגע שהיא מקושרת אליכם פעם אחת, כל היסטוריית העסקאות שלכם הופכת לקריאה רטרואקטיבית.

מונרו: פרטיות כברירת מחדל, לא כאפשרות

מונרו (XMR) נחשבת למטבע הפרטיות החזק ביותר הקיים כיום — לא משום שהיא מציעה כלי פרטיות אופציונליים, אלא משום שהפרטיות בה היא חובה ואוטומטית לכל עסקה, ללא יוצא מן הכלל.

חתימות הטבעת

המנגנון המרכזי של מונרו הוא חתימת הטבעת (ring signature). כאשר עסקה נשלחת, היא מקובצת עם פיתיונות (decoys) — פלטים ישנים מהבלוקצ׳יין — ליצירת טבעת. צופה מבחוץ רואה קבוצה של חותמים אפשריים, אך אינו יכול לקבוע מי ביצע בפועל את העסקה.

ניתן לדמיין את העיקרון כחתימה על מסמך בחדר מלא באנשים נוספים: כולם חותמים, כל אחד יכול לאמת שאחד הנוכחים אכן חתם, אך אף אחד אינו יכול לדעת מי. גודל הטבעת הנוכחי מקבץ את העסקה האמיתית עם 15 פיתיונות, ומהווה קבוצה של 16 חותמים אפשריים.

מאז אוקטובר 2020, מונרו משתמשת בסכמת CLSAG (Compact Linkable Spontaneous Anonymous Group signatures), שצמצמה את גודל העסקאות הממוצע בכ-25% תוך שמירה על אותן ערבויות פרטיות.

כתובות סמויות

כאשר מישהו שולח אליכם מונרו, השולח אינו מעביר את הכספים ישירות לכתובתכם הציבורית. הוא מייצר כתובת סמויה חד-פעמית, הנגזרת ממפתח הציבורי שלכם. כתובת זמנית זו היא שמופיעה בבלוקצ׳יין — לא שלכם. גם אם תפרסמו את כתובת מונרו שלכם בפומבי, אף אחד לא יוכל לסרוק את הבלוקצ׳יין כדי לאתר את העסקאות הנכנסות שלכם: כל תשלום יוצר כתובת ייחודית שרק הארנק שלכם יכול לזהות, באמצעות מפתח הצפייה הפרטי שלכם.

RingCT: הסתרת הסכומים

Ring Confidential Transactions (RingCT) מסתירות את סכום ההעברות. הרשת חייבת לאמת שהכניסות שוות ליציאות — כדי להבטיח שלא נוצר מטבע באופן מלאכותי — אך היא עושה זאת באמצעות התחייבויות קריפטוגרפיות ולא במספרים גלויים. הכנסת Bulletproofs צמצמה משמעותית את גודל ההוכחות ואת העמלות הנלוות, מה שהפך את הסכומים הסודיים לישימים לשימוש יומיומי.

Dandelion++: הגנה ברמת הרשת

מנגנון רביעי, Dandelion++, פועל מחוץ לפרוטוקול on-chain: הוא מונע זיהוי של כתובת ה-IP שהפיצה לראשונה עסקה ברשת. זוהי הגנה משלימה — היא אינה מחליפה את שלוש הקודמות, אך סוגרת דלת שחתימות הטבעת, הכתובות הסמויות וה-RingCT משאירות פתוחה: המעקב ברמת שכבת הרשת.

כל אחד מהמנגנונים הללו סוגר פרצת מעקב שונה. הסרת אחד בלבד תאפשר קטגוריה של ניתוח שהאחרים אינם מכסים — האינטראקציה המשותפת שלהם היא שהופכת את מונרו לקשה כל כך למעקב.

זי-קאש: פרטיות באמצעות הוכחת אפס ידע

זי-קאש (ZEC) מבוסס על גישה שונה: zk-SNARKs (zero-knowledge succinct non-interactive arguments of knowledge), משפחה של הוכחות קריפטוגרפיות המאפשרת לאמת שעסקה עומדת בכל כללי ההסכמה מבלי לחשוף פרט אחד על תוכנה.

מערכת עם שני מאגרים

זי-קאש פועל עם שני סוגי כתובות קיימים במקביל: כתובות שקופות (t-addr), שמתנהגות בדיוק כמו ביטקוין עם היסטוריה ציבורית, וכתובות מוגנות (z-addr), המסתירות שולח, נמען וסכום באמצעות zk-SNARKs. עסקה יכולה להיות שקופה לחלוטין, מוגנת לחלוטין, או מעורבת (מעבר בין המאגרים, חשיפה חלקית).

עיצוב אופציונלי זה היה במשך זמן רב נקודת החולשה של זי-קאש: אם רוב המשתמשים נשארים במאגר השקוף, קבוצת האנונימיות של המאגר המוגן נשארת קטנה, מה שמקל על ניתוח סטטיסטי. אך המצב השתפר משמעותית: בתחילת 2026, כ-30% מה-ZEC במחזור נמצאים במאגרים המוגנים, לעומת 8% בלבד ב-2024. ארנקים מודרניים רבים עוברים כעת כברירת מחדל לעסקאות מוגנות, מה שמרחיב מכנית את קבוצת האנונימיות הזמינה לכל המשתמשים.

Halo 2 וסוף ה"הגדרה המהימנה"

הגרסאות הראשונות של zk-SNARKs בזי-קאש דרשו טקס הגדרת אמון (“trusted setup”) — תהליך עדין שבו פגיעה במשתתף אחד יכולה הייתה לאפשר זיוף מטבעות מוגנים ללא הגבלה. המאגר Orchard, שהוצג עם Halo 2, מבטל לחלוטין את התלות הזו באמצעות הרכבת הוכחות רקורסיבית שאינה דורשת הגדרת אמון כלשהי.

חשיפה סלקטיבית

מאפיין ייחודי של זי-קאש: חשיפה סלקטיבית. משתמש יכול לבחור לשתף פרטי עסקה מוגנת עם רואה חשבון, חברה או רגולטור, מבלי לחשוף את כל פעילותו הפיננסית לציבור. גמישות זו יוצרת פשרה בין פרטיות לציות לרגולציה שמעט מטבעות קריפטו מציעים — טיעון שזי-קאש מעלה בפני רגולטורים, עם הצלחה מסחרית ממשית אך השלכות רגולטוריות הנותרות, כפי שנראה, שונות מאוד בין שיפוטים שונים.

מגבלות ונקודות לתשומת לב

אף בלוקצ׳יין פרטיות אינו חסין לחלוטין, וחשוב להבין היכן נמצאות המגבלות האמיתיות:

ניתוח תזמון וסכומים עדיין אפשרי בתרחישים מסוימים, גם עם סכומים מוסתרים, אם מטאדאטה אחרת (חותמת זמן, גודל עסקה) יוצרת מתאמים ניתנים לניצול
שימוש חוזר בכתובות או ערבוב כספים עם היסטוריה שקופה עלול להחזיר דליפות מידע, בעיקר בזי-קאש שבו המאגר השקוף עדיין משמש בעיקר לזרימות נכנסות/יוצאות
האיום הקוונטי לטווח ארוך: ה-zk-SNARKs הנוכחיים ופרימיטיביים קריפטוגרפיים מסוימים עלולים להיות פגיעים למחשבים קוונטיים עוצמתיים מספיק. זי-קאש עובד על מעבר פוסט-קוונטי, עם ארנקים “שניתן לשחזרם קוונטית” המתוכננים ל-2026 ואבטחה פוסט-קוונטית מלאה המיועדת ל-2027
צמתים מרוחקים: התחברות לצומת של צד שלישי (במקום לצומת המקומי שלכם) עלולה לחשוף מטאדאטה על היתרה שלכם וכתובת ה-IP שלכם, ללא תלות בהגנות הקריפטוגרפיות של הפרוטוקול

מדוע בלוקצ׳יינים אלה הפכו למטרת רגולציה עולמית

התוצאה הישירה של חוסן טכני זה היא שמטבעות הפרטיות נשמטים כיום באופן שיטתי מפלטפורמות מוסדרות במספר גדל והולך של שיפוטים — אירופה, יפן, קוריאה הדרומית, ולאחרונה שווקים אסיאתיים מרכזיים נוספים. ההנמקה המצוינת היא כמעט תמיד זהה: יישור קו עם תקני FATF (GAFI) בנושא מאבק בהלבנת הון.

לחץ רגולטורי זה כמעט ולא נוגע להחזקה פרטנית או העברות עמית-לעמית — הוא מכוון ספציפית לשערי גישה מוסדיים (בורסות, custodians מוסדרים). זהו בדיוק החלל שפלטפורמות non-custodial ללא איסוף נתונים כמו Arpokrat באות למלא.

החלפת מטבעות פרטיות מבלי לפגוע בסיבת קיומם

החלפת מונרו או זי-קאש בפלטפורמה הדורשת KYC מלא, שומרת לוגים של IP ועוקבת אחר היסטוריית ההחלפות שלכם שווה ערך לביטול חלק משמעותי מההגנה שבלוקצ׳יינים אלה מציעים מלכתחילה. הפרטיות on-chain שווה בדיוק כמה ששווה פרטיות התשתית המקיפה אותה.

Arpokrat Swap מאפשר להחליף XMR, ZEC וכל מטבעות הקריפטו העיקריים עם פרטיות מוגברת ללא איסוף עוגיות, ללא לוגים של IP, וללא הרשמה. הפלטפורמה נגישה הן ב-clearnet והן דרך כתובת ה-.onion שלנו, להגנה מקצה לקצה — מהפרוטוקול ועד לתשתית ההחלפה.

עצה מעשית: כדי לנתק את הקישור on-chain בין שני נכסים ניתנים למעקב, מעבר ביניים דרך מונרו (לדוגמה BTC → XMR → ETH) נשאר אחת השיטות החזקות ביותר הזמינות כיום.

פרטיות פיננסית אינה פיצ׳ר אופציונלי בעולם הקריפטו — זו הייתה אחת מהבטחותיו המכוננות, לפני שהשקיפות של הבלוקצ׳יינים הנפוצים ביותר השתיקה אותה למעשה. מונרו וזי-קאש, כל אחד בדרכו שלו, עומדים בהבטחה זו ברמת הפרוטוקול. שאר השרשרת — היכן אתם מחליפים, כיצד אתם מאחסנים, איזו תשתית אתם משתמשים — נותרת באחריותכם המלאה.

הפיליפינים אוסרים על Monero ו-Zcash בפלטפורמות המוסדרות: איתות למגמה עולמית

Wed, 17 Jun 2026 00:00:00 +0000

הבנק המרכזי של הפיליפינים הנחית מכה קשה על מטבעות הקריפטו בעלי הפרטיות המוגברת. תחת מעטה של עמידה בסטנדרטים בינלאומיים למאבק בהלבנת הון, ההחלטה ממחישה דינמיקה רגולטורית החורגת הרבה מעבר למדינה זו בלבד — ואשר צריכה להדליק נורה אדומה עבור כל מי שמחזיק או משתמש בנכסים כגון Monero או Zcash.

מה אומר המזכר

Bangko Sentral ng Pilipinas (BSP), הבנק המרכזי של המדינה, אישר את מזכר M-2026-023, שנחתם על ידי סגנית המנהל Lyn Javier. הטקסט מורה לכל ספקי שירותי הנכסים הווירטואליים (VASP) בעלי רישיון להפסיק לרשום ולתמוך ב"נכסים וירטואליים בעלי אופי מאנונם". המזכר אינו מציין שמות של טוקנים ספציפיים, אך הקטגוריה הנדונה מכסה ללא ספק את Monero, Zcash ו-Dash — מטבעות הקריפטו שנועדו להפוך את מעקב העסקאות לקשה או בלתי אפשרי.

הצעד נכנס לתוקף מיידית, ללא תקופת מעבר. מעבר להסרה פשוטה של נכסים אלה מהפלטפורמות, VASP-ים נדרשים כעת להעריך כל טוקן הרשום אצלם לפי שישה עמודי ציות: אמינות המנפיק, בגרות השוק, מקרי שימוש, שקיפות ואבטחה, נזילות ורזרבות, ועמידה בדרישות החוק. כמו כן, עליהם להגדיר סף פנימי שיפעיל אוטומטית הסרת נכס מהרישום כאשר הוא אינו עומד עוד בקריטריונים אלה.

מה זה משנה בפועל

המזכר אינו מפלל החזקה פרטית של Monero או Zcash, ולא העברות עמית-לעמית שמתבצעות מחוץ לפלטפורמות המוסדרות. מה שנעלם הוא הגישה המוסדית: הכניסות והיציאות המוסדרות (רכישה, מכירה, הפקדה, משיכה בפלטפורמה בעלת רישיון) לא יוכלו עוד לטפל בנכסים אלה.

בפועל, אם החזקתם privacy coins בפלטפורמה פיליפינית הכפופה לרישיון BSP — ביניהן Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank או UnionBank — עליכם להעביר אותם לארנק אישי או להמירם לפני שהפלטפורמה תיאלץ להסירם.

עם יותר מ-16 מיליון משתמשי קריפטו במדינה, ההשפעה תורגש בהיקף נרחב בשוק המקומי, גם אם ההשפעה על שער ה-XMR או ה-ZEC העולמי צפויה להישאר מוגבלת — הפיליפינים מהווים רק חלק שולי מהנזילות הגלובלית של נכסים אלה.

ההתיישרות עם FATF, ההצדקה האוניברסלית

ה-BSP מצדיק את החלטתו בהתיישרות מפורשת עם סטנדרטים של FATF (GAFI), הגוף הבינלאומי המגדיר את כללי המאבק בהלבנת הון ומימון טרור. שמירה על יחסים תקינים עם FATF אינה אופציונלית עבור רוב הבנקים המרכזיים — דירוג גרוע עלול לפגוע בגישה של מדינה שלמה לערוצים הפיננסיים הבינלאומיים.

זו בדיוק אותה הצדקה שכבר הובילה את האיחוד האירופי, יפן ודרום קוריאה להדיר בהדרגה privacy coins מהפלטפורמות המוסדרות שלהם במהלך השנים האחרונות. ההחלטה הפיליפינית אינה, אפוא, מקרה מבודד: זוהי אישור לסטנדרט דה-פקטו שמתרחב — אם תחום שיפוט רוצה להפעיל שוק קריפטו מוכר בינלאומית, אין עוד מקום בו לנכסים בעלי פרטיות מוגברת.

מתח שאיש אינו פותר באמת

מעניין לציין שאפילו גורמים התומכים בהחלטה מכירים בלגיטימיות של השימוש שהיא מבקשת להגביל. אחראי הקריפטו של GCash, אחת מחברות הפינטק הגדולות במדינה, הכיר במפורש כי Monero ו-Zcash “קיימים מסיבות לגיטימיות” וכי הפרטיות מהווה “ערך מייסד של הקריפטו: היכולת לבצע עסקאות ללא מעקב”. ובכל זאת הוא תמך בצעד, בהערכה שהפיליפינים — מדינה בעלת תלות גבוהה בזרמי הכסף (remittances) — אינם יכולים למצב את עצמם כתשתית פיננסית אמינה תוך שהם מרשים מחזור חופשי של נכסים מאנונמים.

המתח הזה אינו נפתר, הוא פשוט מוכרע לטובת הפרשנות הרגולטורית: נפחי הרמיטנס והאמינות הבינלאומית מכריעים יותר מהטיעון בדבר פרטיות לגיטימית, בכל פעם שהאיזון מוצב על הכף.

ההמשך הלוגי: המעבר לאחסון עצמי

הדפוס החוזר על עצמו מתחום שיפוט אחד למשנהו ניתן כעת לקריאה ברורה. הדפוס כמעט תמיד זהה: הפרטיות הפיננסית נותרת חוקית ברמה האינדיבידואלית, אך הופכת בהדרגה לבלתי ניתנת למימוש דרך הערוצים המוסדיים. אחסון עצמי (self-custody) אינו מטורגט עדיין — אך כל תחום שיפוט חדש שעוקב אחר מודל זה מצמצם עוד קצת את המרחב שבו נכסים אלה יכולים לנוע ללא נעילה רגולטורית.

פירטנו לעומק את האופן הטכני שבו עובדות בלוקצ’יינים אלה ואת הסיבות שבגינן הפכו למטרה מועדפת של רגולטורים במדריך המלא שלנו על בלוקצ’יינים אנונימיים — ring signatures, zk-SNARKs, והמגבלות הממשיות של טכנולוגיות אלה.

להחליף מחוץ לערוצים שנסגרים

ככל שפלטפורמות מוסדרות נסוגות בזו אחר זו משוק ה-privacy coins, תפקידן של תשתיות non-custodial שאינן אוספות נתונים הופך מרכזי עבור כל מי שרוצה להמשיך להשתמש בנכסים אלה מבלי להסתמך על VASP הכפוף לתחום שיפוט שעלול לשנות את מדיניותו מהיום למחר.

Arpokrat Swap מאפשר להחליף Monero, Zcash ואת כלל מטבעות הקריפטו בעלי הפרטיות המוגברת ללא הרשמה, ללא איסוף לוגי IP וללא עוגיות — בין אם אתם ניגשים לפלטפורמה דרך clearnet או דרך כתובת ה-.onion שלנו. אף תחום שיפוט אינו יכול להסיר את מה שלא אספנו מעולם.

ההחלטה הפיליפינית הזו כנראה אינה האחרונה מסוגה השנה. השאלה אינה עוד האם מדינות נוספות תלכנה באותו נתיב — ההיסטוריה האחרונה מצביעה על כך שכן — אלא כמה זמן נותר לפני שהגישה המוסדית ל-privacy coins תהפוך לחריג ולא לנורמה.

Arpokrat Swap: החליפו קריפטו מבלי להשאיר עקבות

Tue, 16 Jun 2026 00:00:00 +0000

אנו מאמינים שפעולת החלפת ערך לא צריכה להשאיר עקבות. היום אנו מממשים אמונה זו עם השקת Arpokrat Swap : פלטפורמת החלפת מטבעות קריפטו שנבנתה מהיסוד עם דגש על פרטיות מוחלטת.

תשתית שאינה מכירה אתכם

הרוב המכריע של פלטפורמות ההחלפה, אפילו אלו המתיימרות להיות “פרטיות”, אוספות נתונים כברירת מחדל: כתובת IP, עוגיות סשן, טביעת אצבע של הדפדפן (fingerprinting), יומני עסקאות. מטא-נתונים אלה, שלרוב מוערכים בחסר, יוצרים פרופיל התנהגותי הניתן לניצול — על ידי צדדים שלישיים, רגולטורים, או גורמים זדוניים במקרה של דליפה.

Arpokrat Swap בנויה על עיקרון הפוך: איננו יכולים לזהות אתכם מכיוון שאיננו מנסים לעשות זאת.

ללא עוגיות — לא סשן, לא מעקב, לא אנליטיקה
ללא תיעוד IP — כתובת הרשת שלכם אינה נשמרת ואינה מועברת
ללא הרשמה — אין חשבון, אין כתובת דוא"ל, אין KYC
ללא fingerprinting — ללא JavaScript של צד שלישי, ללא סקריפטים לאיסוף נתונים

נגיש דרך Tor

עבור משתמשים המעוניינים בשכבת הגנה נוספת ברמת הרשת, Arpokrat Swap זמינה במלואה דרך כתובת ה-.onion שלנו:

arpokrat4asurnhw7v3s6rinjqgcwo2fx54fq7zlacawc2xuq7wppsad.onion

נגישה מדפדפן Tor או דרך Orbot, הממשק זהה מבחינה פונקציונלית לגרסת הרשת הרגילה — ללא פשרות על הפונקציונליות, ללא פגיעה בחוויית המשתמש.

מטבעות קריפטו לפרטיות — בראש סדר העדיפויות

Arpokrat Swap תומכת ביותר מ-350 נכסים דיגיטליים על פני כל רשתות הבלוקצ’יין המרכזיות. אנו מייחסים תשומת לב מיוחדת למטבעות קריפטו עם פרטיות מוגברת, המהווים את ליבת הפילוסופיה שלנו:

Monero (XMR) — עסקאות אטומות כברירת מחדל, הסטנדרט הייחוסי לפרטיות on-chain
Zcash (ZEC) — תשלומים מוגנים באמצעות פרוטוקול zk-SNARKs
Bitcoin (BTC) — על הרשתות הראשיות ו-Lightning
Ethereum (ETH) — וכן כל טוקני ה-ERC-20
Litecoin (LTC), Dogecoin (DOGE), Cardano (ADA), Solana (SOL)
Avalanche (AVAX), Polkadot (DOT), Chainlink (LINK), Uniswap (UNI)
Tether (USDT) ו-USD Coin (USDC) על Ethereum, Tron, BSC ו-Polygon
XRP, Stellar (XLM), Cosmos (ATOM), Algorand (ALGO)
Toncoin (TON), Near (NEAR), Aptos (APT), Sui (SUI)
Shiba Inu (SHIB), Pepe (PEPE) וטוקני הממקוין המובילים
Dai (DAI), FRAX וסטייבלקוינים מבוזרים
ומאות טוקנים ו-cross-chain pairs נוספים

עצת OPSEC: להחלפות הכוללות נכסים ניתנים למעקב, אנו ממליצים להשתמש ב-Monero כמתווך — לדוגמה BTC → XMR → ETH במקום החלפה ישירה BTC → ETH. פעולה זו מנתקת את הקשר on-chain בין שתי הכתובות.

xStocks: מניות מטוקנות, ניתנות להחלפה ללא ברוקר

Arpokrat Swap משלבת גם xStocks — מניות וקרנות ETF אמריקאיות מטוקנות, המגובות ביחס 1:1 לנכס הבסיסי המוחזק על ידי נאמן מפוקח. כל טוקן מייצג בדיוק חלק אחד בחברה המקבילה, עם סליקה מיידית on-chain וזמינות 24/7, ללא שעות מסחר בבורסה.

מבין ה-xStocks הזמינים:

טכנולוגיה AAPLx Apple · MSFTx Microsoft · NVDAx NVIDIA · GOOGLx Alphabet · METAx Meta · AMZNx Amazon · TSLAx Tesla · AMDx AMD · ADBEx Adobe · ACNx Accenture · APPx Applovin · AMATx Applied Materials · APLDx Applied Digital

פיננסים וסמוכים לקריפטו COINx Coinbase · HOODx Robinhood · MSTRx MicroStrategy · CRCLx Circle · AMBRx Amber

בריאות ופארמה MRKx Merck · AZNx AstraZeneca · ABTx Abbott · ABBVx AbbVie

צריכה ושונות MCDx McDonald’s · NFLXx Netflix · GMEx GameStop

ETF ומדדים SPYx S&P 500 · QQQx Nasdaq-100 · GLDx זהב · PALLx פלדיום · PPLTx פלטינה

ועוד רבים — הרשימה המלאה כוללת יותר מ-131 נכסים (100 מניות, 27 ETF ו-4 נכסים מיוחדים), זמינה ישירות על הפלטפורמה.

xStocks אינם מעניקים זכויות הצבעה או דיבידנד ישיר. דיבידנדים מושקעים מחדש אוטומטית ביתרת הטוקנים. חלות הגבלות גיאוגרפיות — אינם זמינים לתושבי ארצות הברית, קנדה, הממלכה המאוחדת ואוסטרליה.

אגרגטור מסלולים, לא ספק יחיד

Arpokrat Swap אינה פלטפורמת החלפה עצמאית: היא אגרגטור. כאשר אתם יוזמים החלפה, אנו מבצעים בו-זמנית שאילתות מול מספר ספקי שותפים ומציגים לכם את האפשרויות הטובות ביותר לפי שני קריטריונים שקופים:

1. העמלות הנמוכות ביותר השיעור המוצג כולל כבר את כל העמלות — עמלות רשת ועמלת הספק. אינכם משלמים דבר נוסף עבור שימוש באגרגטור שלנו: העמלה שלנו נגבית ישירות מעמלת הספק, ללא השפעה על השיעור שלכם.

2. דירוג ה-KYC של הספק כל מסלול משויך לדירוג פרטיות שאנו קובעים על ידי קריאת תנאי השימוש ומדיניות הפרטיות של כל שותף, פנייה ישירה אליהם בנוגע לנוהגיהם, ולקיחת ההיסטוריה שלהם בחשבון:

דירוג	משמעות
✅ A	לעולם אינו מבקש אימות זהות
🟡 B	מבקש KYC לעיתים נדירות מאוד, מחזיר כספים במקרה של סירוב
🟠 C	מבקש KYC לעיתים נדירות, החזר כספים תוך מספר ימים
🔴 D	עשוי לבקש KYC ועלול לחסום כספים

אנו ממליצים להעדיף מסלולים בדירוג A או B, במיוחד עבור נפחים גדולים או החלפות הכוללות מטבעות קריפטו עם פרטיות מוגברת.

מדוע זה משנה

רוב האגרגטורים מפנים אתכם לשיעור הטוב ביותר מבלי ליידע אתכם על הסיכונים הקשורים לפרטיות של הספק הבסיסי. החלפה עשויה להציג שיעור מצוין תוך שהיא מיישמת מדיניות KYC אגרסיבית שתחסום את העסקה שלכם בדיעבד ותעכב את כספיכם.

Arpokrat Swap היא הפלטפורמה היחידה שבה העלות וסיכון ה-KYC מוצגים יחד, ומאפשרים לכם לקבל החלטה מושכלת במקום להמר בעיוורון.

גישה ל-Arpokrat Swap ←

Arpokrat Swap היא שירות non-custodial. לעולם אין לנו גישה לכספיכם. ההחלפות מתבצעות ישירות בין הארנק שלכם לבין ספק השותף הנבחר.

סוף הפרטיות? דלתות אחוריות (Backdoors), חוק הבטיחות המקוונת והתגובה של אקוסיסטמים ריבוניים

Wed, 10 Jun 2026 00:00:00 +0000

לונדון הפכה למוקד של קרב עולמי על עתיד הפרטיות הדיגיטלית. עם אימוץ חוק הבטיחות המקוונת 2023 (OSA) וההצעות האחרונות לתיקון חוק סמכויות החקירה (IPA) — המכונה על ידי מבקריו “מגילת המרגלים” —, ממשלת בריטניה טוענת לזכות לכפות חובות מעקב בלב ליבה של התקשורת הפרטית. נקודת השבירה היא הסמכות המוענקת לרגולטור OFCOM לדרוש מפלטפורמות לפרוס “טכנולוגיה מוסמכת” לאיתור תכנים של ניצול והתעללות מינית בילדים (CSEA) או טרור, לרבות בתוך תקשורת מוצפנת מקצה לקצה .

עבור פלטפורמות דיגיטליות גדולות, המסר של וסטמינסטר הוא חד משמעי: או שהן מאפשרות גישה ממשלתית לתשתיות שלהן, או שהן צפויות לקנסות של עד 10% מהכנסותיהן העולמיות. התגובה הייתה מיידית: שירותים כמו Signal ו-WhatsApp איימו בפומבי לסגת מהשוק הבריטי, וסירבו להתפשר על אבטחת המשתמשים שלהם כדי לספק תחום שיפוט יחיד. קשה לחלוק על הטיעון הטכני: אין מפתח מאסטר השמור אך ורק לשחקנים לגיטימיים. דלת פתוחה לאכיפת החוק היא, מעצם התכנון, דלת פתוחה לפושעי סייבר ושירותי ביון זרים.

המודל העסקי של פלטפורמות גדולות: מכשול מבני ל-Zero-Knowledge

ההתנגדות של פלטפורמות גדולות לאימוץ הצפנת Zero-Knowledge אינה מוסברת על ידי חוסר יכולת טכנית, אלא על ידי חוסר התאמה כלכלי מהותי. חברות כמו Alphabet ו-Meta מסתמכות על מודלים של מונטיזציה המבוססים על איסוף שיטתי של נתונים התנהגותיים. מודל זה, אגב, מוכר במשתמע על ידי חוק השווקים הדיגיטליים (DMA) של האיחוד האירופי, המסווג “שומרי סף” (gatekeepers) אלה כישויות שמעמדן הדומיננטי ניזון בדיוק על ידי צבירת נתונים בקנה מידה חסר תקדים. עבור שחקנים אלה, אימוץ ארכיטקטורת Zero-Knowledge יהיה שווה ערך למניעת הזיהוי הרציף של המשתמשים ממערכות הפרסום שלהם, המהווה את הדלק שלהן. לכן לא מדובר בבחירה טכנית, אלא בפשרה בין פרטיות המשתמשים לבין הכדאיות של המודל העסקי שלהם.

הסיכון האסטרטגי: איום ה-“Harvest Now, Decrypt Later”

מעבר לדיון על פרטיות, היחלשות ההצפנה מעלה סוגיה של ביטחון לאומי בהיקף שונה לחלוטין. האסטרטגיה המכונה Harvest Now, Decrypt Later (HNDL) כרוכה בכך שיריבים מדינתיים מיירטים ומאחסנים היום כמויות עצומות של תקשורת מוצפנת, בציפייה ליכולות פענוח קוונטי עתידיות. על ידי החלשת תקני ההצפנה הנוכחיים, המסגרת החקיקתית הבריטית מקלה באופן אובייקטיבי על סוג זה של פעולות נגד תקשורת ממשלתית, דיפלומטית או תעשייתית.

דווקא בהקשר זה של גירעון אמון אקוסיסטמים כמו זה של Arpokrat רוכשים רלוונטיות תפעולית. על ידי פעולה תחת משטר חוק הגנת הנתונים הפדרלי השוויצרי (FADP), עם ארכיטקטורה שאינה אוספת מזהים אזרחיים, Arpokrat מציעה ניתוק טכני מתשתיות הכפופות לתחום השיפוט הבריטי — מה שמבטיח שהמערכת נשארת חירשת לצווים שנקבעו על ידי ה-OSA.

התנגשות הנורמות: OSA ו-IPA נגד החוק האירופי

הניתוח המשפטי של סמכויות המדינה הבריטיות החדשות חושף התנגשות ישירה עם יסודות החוק האירופי בנוגע להגנה על נתונים וסודיות התקשורת.

OSA נגד איסור המעקב הכללי

סעיף 121 של ה-OSA מציג את האפשרות עבור OFCOM להוציא צווים המאלצים פלטפורמות ליישם סריקה בצד הלקוח (client-side scanning). צעד זה מנוגד חזיתית לעיקרון, הנגזר מהחוק האירופי ונכלל בפסיקת ה-CJEU (בית הדין לצדק של האיחוד האירופי), האוסר על חובות מעקב כלליות. על ידי כפיית “פגיעות על פי תכנון” (vulnerability by design), היא גם מציבה חברות במצב של מלכוד כפול: על ידי החלשת האבטחה שלהן כדי לציית למנדט מדינתי, הן נכשלות בחובתן להבטיח רמת אבטחה המתאימה לעיבוד, כפי שמעוגן בסעיף 32 של ה-GDPR.

דירקטיבת ה-ePrivacy וסודיות התקשורת

סריקת הודעות פרטיות עומדת בסתירה ישירה לסעיף 5, פסקה 1, של דירקטיבה 2002/58/EC (ePrivacy), המחייבת את המדינות החברות להבטיח את סודיות התקשורת האלקטרונית ואוסרת על כל צורה של יירוט או מעקב ללא הסכמה מפורשת של המשתמשים הנוגעים בדבר.

Technical Capability Notices וחסימת עדכוני אבטחה

תחת משטר ה-IPA 2016, ממשלת בריטניה מתכוונת כעת להשתמש ב-Technical Capability Notices (TCN) כדי להתנגד לעדכוני אבטחה לפני פריסתם. מנגנון זה יוצר קונפליקט בלתי פתיר עם החובה, שנקבעה על ידי סעיף 32 של ה-GDPR, להבטיח את האבטחה הרציפה של מערכות העיבוד — חובה הדורשת בדיוק את היכולת להחיל טלאים (patches) ללא עיכוב או התערבות חיצונית.

סיכוני תאימות עבור חברות הפועלות באירופה

תיקוני ה-IPA נועדו לאלץ חברות להודיע לממשלת בריטניה על כל שינוי טכני המשפיע על האבטחה, לפני יישומו, ובכך להעניק לה זכות וטו על פיתוח מוצרים. התערבות זו יוצרת חוסר ביטחון משפטי ניכר עבור ספקים הפועלים בשוק האירופי: תאימותה של בריטניה לחוק האירופי — השברירית ממילא — עלולה לעמוד בסימן שאלה אם בריטניה לא תבטיח עוד הגנה שוות ערך במהותה לזו של ה-GDPR. לפיכך, העברות נתונים לבריטניה תחת מסגרת חדשה זו צפויות לחשוף חברות לסנקציות תחת ה-GDPR.

הגנה באמצעות חוסר אפשרות טכנית: עקרון ה-Zero-Knowledge כמגן משפטי

הפסיקה הבינלאומית, שגובשה על ידי פסקי הדין Schrems I ו-Schrems II של ה-CJEU, ביססה עיקרון מכריע: ההגנה החזקה היחידה מפני מעקב בלתי מידתי היא חוסר האפשרות הטכנית לגשת אליו. ארכיטקטורות Zero-Knowledge מיישמות עיקרון זה בשלוש שכבות של הגנה:

היעדר משמורת: מכיוון שהפלטפורמה אינה מחזיקה במפתחות הפענוח, כל צו לסריקת הודעות אינו ניתן לביצוע מבחינה טכנית;
ריבונות מערכת ההפעלה: השליטה ב-ArpokratOS מבטלת טלמטריה המזינה איסוף מודיעין ברמת המכשיר;
עיגון תחום השיפוט השוויצרי: על ידי אירוח התשתית שלה בשוויץ, Arpokrat פועלת תחת משטר חוקי הדורש בקשות לעזרה משפטית הדדית אינדיבידואליות ומנומקות, מה שמנטרל את הביצוע האוטומטי של סריקות ההמונים שצופה ה-OSA.

סיכום

הוראות ה-OSA והתיקונים של ה-IPA אינם רק איום על פרטיותם של אנשים: הם מהווים פגיעה בוודאות המשפטית עבור כל הנתונים האירופיים העוברים דרך תשתיות הכפופות לתחום השיפוט הבריטי. על ידי מתן לגיטימציה להחלשת ההצפנה בשם ביטחון הציבור, לונדון חושפת באופן פרדוקסלי את בנות בריתה ושותפותיה למסחר לסיכונים של ריגול תעשייתי ומדינתי שארכיטקטורות Zero-Knowledge נועדו בדיוק למנוע.

שלמותה של התקשורת המקצועית והמוסדית דורשת כעת מענה מבני: הגירה לעבר אקוסיסטמים מבוזרים המבטיחים ריבונות דיגיטלית, מרמת הקוד ועד לעיגון תחום השיפוט.

סיסמה ואנטרופיה: המדע מאחורי האבטחה שלך

Wed, 03 Jun 2026 00:00:00 +0000

« הסיסמה שלך חייבת להכיל 8 תווים, אות גדולה, אות קטנה, ספרה ותו מיוחד. »

כולנו מכירים את הכלל הזה. ועדיין, באבטחת סייבר, זה מה שאנו מכנים “תיאטרון אבטחה”. סיסמה כמו P@ssw0rd1! מכבדת את כל הכללים הללו, אך תיפרץ כהרף עין על ידי כל תוכנת פריצה מודרנית.

אבטחה אמיתית אינה מבוססת על כללים חזותיים שרירותיים, אלא על מציאות מתמטית בלתי מתפשרת: אנטרופיה.

אנטרופיה לפי קלוד שאנון

כדי להבין את חוזקה של סיסמה, יש לפנות לקלוד שאנון, אבי תורת המידע. האנטרופיה מודדת את מידת חוסר הוודאות או חוסר יכולת הניבוי של המידע.

כשהיא מיושמת על סיסמאות, האנטרופיה מחושבת בביטים (bits). ככל שמספר הביטים גבוה יותר, כך הסיסמה פחות ניתנת לחיזוי עבור מחשב. הנוסחה הפשוטה לאנטרופיה (E) של סיסמה שנוצרה באקראי היא:

E = L × log2(R)

L הוא אורך הסיסמה.
R הוא גודל המאגר (26 לאותיות קטנות, 62 עם אותיות גדולות וספרות, 94 עם סמלים).

הגדלת גודל המאגר (הוספת סמלים) מעלה את האנטרופיה, אך הגדלת האורך (הוספת תווים) מעלה אותה בצורה דרסטית בהרבה. עם זאת, האורך מנצח את המורכבות רק בתנאי אחד: שהסיסמה נוצרת באופן אקראי לחלוטין.

כוח גס (Brute Force) מול התקפת מילון

אם אתה משתמש במילים או במבנים צפויים, הכלל של אורך טהור קורס.

תוכנות פריצה לא מנסות את כל צירופי האותיות אחד אחד (לזה קוראים כוח גס). הן משתמשות במסדי נתונים עצומים המכילים מיליארדי מילים קיימות, ביטויים נפוצים ודליפות נתונים מהעבר. זוהי התקפת מילון.

אם הסיסמה שלך ארוכה, אך מורכבת ממילות מילון או מהחלפות צפויות, האנטרופיה האמיתית שלה נמוכה באופן דרמטי מהאנטרופיה המתמטית התיאורטית שלה.

להלן זמני הפריצה המשוערים מול אשכול של כרטיסים גרפיים מודרניים (GPU), תוך הדגשה מודגשת של המסלול המהיר ביותר שנמצא על ידי ניצול חולשות מבניות:

סיסמה	אנטרופיה תיאורטית	מול כוח גס	מול מילון
`password123`	~15 ביט	כמה שעות	מיידי
`S3cr3t!99`	~40 ביט	כמה שנים	כמה שעות / ימים (דרך מוטציות)
`correct horse battery staple`	~130 ביט	מיליארדי שנים	כמה שעות / ימים
`gL7!pQ9z#vX2`	~78 ביט	~3,000 שנים	כישלון (חזרה לכוח גס)

האשליה של Leetspeak וכללי מוטציה

קחו לדוגמה את S3cr3t!99. מבחינה חזותית, היא נראית מורכבת וחסונה. ובכל זאת, זו פשוט מילת המילון “secret”, שבה ה-’e’ הוחלפו ב-‘3’, ואליה התווספה סיומת נפוצה מאוד (!99). לזה קוראים leetspeak.

מול התקפת מילון, סיסמה זו תחזיק מעמד רק כמה שעות, או אפילו דקות. תוכנות פריצה מודרניות (כמו Hashcat) לא מסתפקות בבדיקת רשימות מילים סטטיות; הן מפעילות באופן אוטומטי כללי מוטציה. הן ייקחו כל מילה במילון שלהן, יבדקו את כל צירופי ה-leetspeak האפשריים, יהפכו אותיות גדולות ויוסיפו שנים או סמלים. Leetspeak מספק תחושת ביטחון מזויפת.

טריק הזזת המקלדת (Keyboard Shift)

כדי לסבך ביטוי שקל לזכור, חלקם משתמשים בטריק של הזזת פריסת המקלדת. לדוגמה, אתה משנן ביטוי כמו my-cat. אך ברגע ההקלדה, אתה מניח את האצבעות על מקלדת QWERTY פיזית בזמן שמערכת ההפעלה שלך מוגדרת ל-AZERTY (צרפתית).

המילה במחשבה: my-cat
התוצאה שהוקלדה: ,y)cqt (המקש ’m’ הופך ל-’,’; ה-’-’ הופך ל-’)’; ה-‘a’ הופך ל-‘q’).

האם זה רעיון טוב ב-OPSEC? לא, שיטה זו אינה מספקת אם משתמשים בה לבד. בדיוק כמו עם leetspeak, תוכנות פריצה מתקדמות משלבות כללי מוטציה של חומרה הבודקים באופן אוטומטי הזזות מקלדת בינלאומיות (QWERTY, AZERTY, QWERTZ, Dvorak). ב-OPSEC, זו אבטחה באמצעות אלמוניות: זה מעכב תוקף חובב, אך לא יעצור התקפה ממוקדת ומצוידת.

עם זאת, אם טכניקה זו משולבת עם סיסמה שכבר חזקה בבסיסה (כמו משפט סיסמה ארוך מאוד שקל לזכור), היא מגדילה שוב משמעותית את האנטרופיה על ידי החדרת תווים מיוחדים לא צפויים בתוך מבנה שהוא כבר חזק.

בניית הסיסמה האידיאלית (~250 ביט)

אם לרשימות מילים, leetspeak וטריקים של הקלדה יש גבולות, כיצד אנו בונים את סיסמת המאסטר המושלמת? כדי להשיג אבטחה אופטימלית ולעמוד בפני כלי מחשוב מהדור הבא, המטרה הנוכחית היא לכוון לכ-250 ביט של אנטרופיה.

ישנן שתי דרכים להשיג זאת בהתאם לצרכים שלך:

1. האפשרות האקראית הטהורה (אידיאלי עבור מנהל סיסמאות)

מחרוזת תווים שנוצרה באופן אקראי לחלוטין, מה שהופך אותה לקשה ביותר לניחוש עבור מכונה: k9$Yz2!pL#8vQx5@mN7*jW4&hC1%bF3^tR9(dZ6 39 תווים אקראיים המשתמשים בכל מאגר הסמלים.

2. אפשרות משפט הסיסמה ההיברידי (אידיאלי עבור סיסמת מאסטר שקל לזכור)

רצף של מילות מילון שנוצרו באקראי, משולבות בקפדנות עם ספרות וסמלים: Sovereign_Crypto_99_Privacy_Zero_Knowledge_Secure_2026_Key_Lock_Cloud_Act_Grover שיטה זו מאפשרת לאדם לשנן מבנה מבחינה חזותית או שרירית, תוך שמירה על מחסום מתמטי ענק.

האיום הקוונטי: האלגוריתם של גרובר

למה לכוון ל-250 ביט כשה-128 ביט כבר חוסמים את מחשבי העל של היום? התשובה נעוצה בהופעתו של המחשוב הקוונטי.

בקריפטוגרפיה, האלגוריתם של גרובר (Grover) מאפשר למחשב קוונטי לחפש במסד נתונים לא ממוין הרבה יותר מהר מאשר מחשב קלאסי. באופן קונקרטי, גרובר חותך בחצי את רמת האבטחה האפקטיבית של מפתח סימטרי או סיסמה.

מול מחשב קוונטי המפעיל את האלגוריתם של גרובר, סיסמה עם אנטרופיה של 128 ביט תציע רק התנגדות שוות ערך ל-64 ביט (מה שהופך לניתן לפריצה).

כתוצאה מכך, כדי לשמור על אבטחה אמיתית של 128 ביט בעולם פוסט-קוונטי, יש צורך להכפיל את האנטרופיה ההתחלתית. זהו אחד מעמודי התווך של תפיסת Harvest Now, Decrypt Later (HNDL) : תוקפים מדינתיים שואבים נתונים מוצפנים היום כדי לשבור אותם מחר. כיוון ל-250 ביט אנטרופיה הוא התקן המינימלי להגנה על מפתחות המאסטר שלך לטווח ארוך.

מחולל הסיסמאות של Arpokrat: בדוק בעצמך

אל תשאיר את אבטחת הגישה שלך ליד המקרה. פיתחנו כלי פנימי המאפשר לך ליצור סיסמאות חזקות מבחינה קריפטוגרפית (כולל פוסט-קוונטיות), ובעיקר להעריך את האנטרופיה האמיתית של הסיסמאות שלך.

👉 Arpokrat Password Generator

בדוק את הסיסמאות הנוכחיות שלך כדי לראות אם הן יעמדו בכוח המחשוב המודרני. הכלי עובד 100% מקומית בדפדפן שלך, שום נתונים אינם מסתובבים ברשת.

החוליה החלשה הסופית: מיחזור וניהול גישה

אנטרופיה מתמטית אינה מגנה מפני טעות אנוש. סיסמה של 250 ביט היא חסרת תועלת אם משתמשים בה שוב במספר אתרים (התקפה הנקראת Credential Stuffing) או אם אינה מוגנת על ידי גורם אימות שני (2FA).

כלל הזהב של היגיינה דיגיטלית הוא שתצטרך לזכור רק סיסמה אחת: סיסמת המאסטר שלך בת 250 הביט (בצורה של משפט סיסמה היברידי). כל הגישות האחרות שלך (בנק, רשתות חברתיות, שרתים) חייבות להשתמש בסיסמאות ייחודיות של 250 ביט של אנטרופיה טהורה (מחרוזות התווים האקראיות) שנוצרו במיוחד עבורן.

כדי לאחסן ולנהל נפח זה של מפתחות שאי אפשר לזכור בראש, השימוש במנהל סיסמאות Zero-Knowledge הוא הכרחי. אחד התקנים הנוכחיים הטובים ביותר הוא Proton Pass . הוא מבוסס בשוויץ, בקוד פתוח ומוצפן מקצה לקצה, ומבטיח שאפילו המהנדסים שלו לא יוכלו לקרוא את תוכן הכספת שלך. זהו בן הלוויה האידיאלי לאחסון המפתחות החזקים במיוחד שנוצרו על ידי Arpokrat, ולנעול את כל חייך הדיגיטליים מאחורי מחסום מתמטי אמיתי.

Utiq: ה-'Super-Cookie' החדש של חברות התקשורת המאיים על הפרטיות שלך

Mon, 01 Jun 2026 00:00:00 +0000

סופם המתוכנן של קובצי העוגיות (cookies) של צד שלישי בדפדפני האינטרנט עורר מרוץ חימוש אמיתי בתעשיית הפרסום הממוקד. בעוד שגוגל מנסה לכפות סטנדרטים משלה (כמו ה-Privacy Sandbox), שחקן לא צפוי נוסף החליט לתפוס נתח מהעוגה: ספק שירותי האינטרנט שלך (ISP).

כך נולד Utiq (שנודע בעבר כפרויקט TrustPid), מיזם משותף שהוקם על ידי ענקיות התקשורת האירופיות. Utiq, הנמכרת לציבור הרחב כפתרון “שקוף ומכבד”, היא למעשה מה שמומחי אבטחת סייבר חוששים ממנו יותר מכל: “supercookie” הפועל ברמת הרשת.

מה זה Utiq ואיך זה עובד?

באופן מסורתי, מעקב פרסומי (עוגיות) מנוהל על ידי דפדפן האינטרנט שלך (Chrome , Firefox , Safari ). יכולת לחסום אותו באמצעות תוספים (כמו uBlock Origin ) או דפדפן המכוון לפרטיות (כמו Brave ).

Utiq מעבירה את הבעיה צעד אחד אחורה: לרמת חיבור הרשת שלך.

כך נסגרת המלכודת:

יירוט רשת: כאשר אתה גולש באינטרנט דרך החיבור הסלולרי שלך (4G/5G) או תיבת הסיבים שלך, Utiq משתמשת בכתובת ה-IP שלך ובנתוני מנוי התקשורת שלך כדי לזהות אותך.
ההסכמה (הבחירה השקרית): עם ההגעה לאתר שותף, חלון קופץ (popup) מבקש ממך לאשר את Utiq. עקב העייפות הקשורה לבאנרים של עוגיות (Consent Fatigue), מיליוני משתמשים לוחצים על “אשר” מבלי לקרוא.
ה-“Network Signal”: לאחר מתן ההסכמה, Utiq יוצרת קשר ישירות עם מפעיל התקשורת שלך. זה האחרון יוצר אסימון זיהוי ייחודי תחת שם בדוי (אות הרשת) שאותו הוא מעביר למפרסמים.

כעת ניתן לעקוב אחריך מאתר לאתר, לא על ידי קובץ המאוחסן במחשב שלך, אלא על ידי התשתית עצמה המספקת לך את האינטרנט.

למה Utiq הוא סיוט לפרטיות (OPSEC)

היוזמה מעלה בעיות חמורות לריבונות הדיגיטלית ולסודיות הנתונים שלך:

מעקב במקור: בניגוד לעוגיות קלאסיות, אינך יכול פשוט “לנקות את ההיסטוריה שלך” או “לרוקן את המטמון” כדי להיפטר מ-Utiq. אסימון הזיהוי נוצר על ידי ספק האינטרנט שלך.
ריכוז פרופילים: מפעילי התקשורת כבר יודעים את שמך, כתובתך הפיזית, פרטי הבנק שלך ומיקומך בזמן אמת. על ידי קישור היסטוריית הגלישה שלך באינטרנט דרך Utiq לכך, הם יוצרים פרופיל התנהגותי ברמת דיוק מבהילה.
הפגם בפסאודונימיזציה (שימוש בשם בדוי): Utiq מגנה על עצמה על ידי אי שיתוף שמך בטקסט גלוי, וטוענת שהיא משתמשת באסימונים “מוצפנים”. עם זאת, בעולם אבטחת הסייבר, הוכח שניתן להפוך פסאודונימיזציה. הצלבת אסימונים אלה עם מאגרי מידע אחרים מאפשרת לזהות מחדש אנשים בקלות.

אילו מפעילים משתמשים ב-Utiq?

Utiq הוקמה על ידי ברית של ארבעת המפעילים האירופיים הגדולים ביותר. אם אתה לקוח של אחד מהם (או אחת מחברות הבת הזולות שלהם), החיבור שלך פוטנציאלית כבר “תואם” למעקב זה.

הנה המייסדים וקישורים למדיניות הפרטיות שלהם:

Orange (צרפת, ספרד, פולין וכו')
Vodafone (גרמניה, ספרד, בריטانيا וכו')
Telefónica / O2 / Movistar (ספרד, גרמניה וכו')
Deutsche Telekom (גרמניה, מרכז אירופה)

הטיפ של OPSEC: למרות ש-Utiq מציעה פורטל ניהול הסכמות מרוכז (consenthub.utiq.com ) לביטול הגישה, ההגנה הטובה ביותר נשארת טכנולוגית.

גישת ה-Zero-Trust להתמודדות עם Utiq

הפילוסופיה של ריבונות דיגיטלית, המונעת על ידי אקוסיסטמות כמו Arpokrat, מסתמכת על עיקרון פשוט: לעולם אל תסמוך על תשתית הרשת.

כדי לנטרל טכנית מערכות כמו Utiq, הפתרון הוא להסתיר את התעבורה שלך מספק שירותי האינטרנט שלך:

שימוש ב-VPN ריבוני: על ידי הצפנת התעבורה שלך ברגע שהיא עוזבת את המכשיר שלך, ספק האינטרנט שלך רואה רק זרם נתונים בלתי קריא המופנה לשרת VPN. הוא אינו יכול עוד להזריק או לקרוא אסימוני Utiq.
רשת ה-Tor (Orbot ): ניתוב בצל מונע כל זיהוי מקצה לקצה.
הצפנת DNS (DoH/DoT): מונע מהמפעיל שלך לדעת אילו אתרים אתה מבקש לבקר.

לסיכום, Utiq היא ההוכחה לכך שספקי אינטרנט אינם מסתפקים עוד בהיותם רק “צינורות”; הם רוצים להפוך למתווכי נתונים (data brokers). יותר מתמיד, הצפנת התעבורה שלך היא כבר לא אופציית אבטחה, אלא הכרח מוחלט כדי לשמר את השתיקה הדיגיטלית שלך.

השתיקה הצועקת: מהו Warrant Canary ומדוע היעלמותו צריכה להדאיג אותך?

Mon, 01 Jun 2026 00:00:00 +0000

בעומק מכרות הפחם של המאה ה-19, כורים נשאו עימם כנריות בכלובים. ציפורים קטנות אלו, שהיו רגישות במיוחד לגזים רעילים כמו פחמן חד חמצני, מתו הרבה לפני שהכורים הבחינו בסכנה. הם שימשו כמערכת התרעה מוקדמת אילמת אך יעילה ביותר.

בעולם הדיגיטלי המודרני שלנו, הציפור הזו חזרה לחיים בצורה של “Warrant Canary”.

מהו Warrant Canary?

זוהי הצהרה פומבית, המפורסמת ומתעדכנת באופן קבוע על ידי ספק שירות (אפליקציית הודעות, VPN, אחסון), המאשרת כי עד לאותו תאריך מדויק, הוא לא קיבל שום בקשה חוקית חשאית המאלצת אותו להתפשר על נתוני המשתמשים שלו — כגון National Security Letter (NSL) אמריקאי או צו שהוצא על ידי בית משפט FISA.

העדינות — והחומרה — של הכנרית טמונה במה שקורה כשהיא נעלמת.

אם שירות שהציג בכל חודש את ההצהרה “לא קיבלנו צווים חשאיים” מפסיק לפתע לעדכן אותה, המשתמש המושכל מסיק את המובן מאליו: הכנרית מתה.

החברה הפכה למטרה של צעד מעקב המלווה בצו איסור פרסום (gag order), האוסר עליה מבחינה חוקית לחשוף את קיומה של בקשה זו. מכיוון שהם לא יכולים לומר שהם נפרצו, הם פשוט מפסיקים לומר שהם בטוחים.

עידן המעקב הבלתי נראה ועקיפת השתיקה

בתקופה שבה חקיקה חוץ-טריטוריאלית כמו ה-CLOUD Act ו-FISA (חוק מעקב מודיעין חוץ) מאפשרת לממשלת ארה"ב לגשת לנתונים המתארחים על ידי חברות מבלי ליידע את היעדים לעולם, Warrant Canary מהווה אחד המנגנונים הבודדים לעקוף את השתיקה הכפויה הזו.

עם חוק ה-CLOUD, המחסום הגיאוגרפי אינו קיים עוד: אם נתונים נמצאים תחת “שליטה” של חברה אמריקאית, ממשלת ארצות הברית טוענת לזכות לגשת אליהם, גם אם השרתים הללו נמצאים פיזית באירופה. הכנרית הופכת אז לאות האזהרה האחרון לפני שהריבונות הדיגיטלית של המשתמש מוקרבת בשקט.

זו הסיבה ששחקנים מרכזיים בתחום ה-Privacy אימצו כלי זה כסטנדרט של שקיפות:

Proton : שירות הדוא"ל וההודעות השוויצרי מפרסם דוח שקיפות הכולל Warrant Canary קפדני.
Riseup : קולקטיב התקשורת המאובטחת לפעילים שומר על אחת הכנריות המפורסמות והמנוטרות ביותר ברשת.
Arpokrat : האקוסיסטם שלנו מתחזק Warrant Canary פומבי, המעודכן קריפטוגרפית, כדי להבטיח שקיפות מוחלטת לקהילה שלנו.

הניתוח המשפטי: הזכות לא לשקר

עצם קיומה של הכנרית נשען על אחד מעמודי התווך המרתקים ביותר של המשפט החוקתי: דוקטרינת ה-compelled speech (דיבור כפוי) והתנגשותה עם החיסיון המשפטי.

הבסיס המשפטי נשען על עיקרון פשוט: אם למדינה יש את הכוח לכפות עליך שתיקה (באמצעות צו איסור פרסום), אין לה את הכוח החוקתי לאלץ אותך לשקר.

לפי התיקון הראשון לחוקת ארצות הברית (ועקרונות דומים באירופה), הממשלה אינה יכולה לאלץ חברה לפרסם הצהרה שקרית מבחינה עובדתית. לפיכך, כאשר חברה מסירה את הכנרית שלה, היא אינה מפרה את צו השתיקה — מכיוון שהיא אינה מודיעה במפורש שקיבלה צו. היא פשוט מממשת את זכותה הבסיסית להפסיק לצאת בהצהרה שאינה נכונה עוד.

ההתנגשות עם החוק האירופי

הרלוונטיות של הכנרית מחוזקת כיום על ידי סעיף 32 של חוק הנתונים (תקנת האיחוד האירופי 2023/2854). הוראה זו מחייבת ספקים ליישם אמצעים טכניים ומשפטיים כדי למנוע גישה לנתונים על ידי רשויות של מדינות שלישיות כאשר הדבר סותר את החוק האירופי. מותה של כנרית מסמן מיד התנגשות חוקים זו: הספק כנראה נאלץ לעקוף ערבויות אירופיות כדי לספק צו זר.

הגישה של Arpokrat: ריבונות כברירת מחדל

באקוסיסטם של Arpokrat, הפועל תחת סמכות השיפוט של חוק הגנת הנתונים השוויצרי (FADP - RS 235.1), הכנרית מקבלת מימד חזק עוד יותר. זה חלק מגישה הוליסטית לריבונות דיגיטלית: Zero-Knowledge (אפס ידיעה).

הארכיטקטורה מתוכננת כך שהחברה יוצרת חוסר אפשרות טכנית ומתמטית לציית לצו. המדינה או סוכנות ביון יכולים להוציא את כל הצווים שהם רוצים, התשובה תישאר זהה: אין מפתחות פרטיים, אין זהויות (Zero-ID), ואין מטא-דאטה מרוכז שניתן למסור.

בהקשר זה, הכנרית אינה רק אזהרה מפני פריצה; זו ההוכחה הפומבית הרציפה לכך שהתשתית נותרה בלתי ניתנת לחדירה טכנית ונאמנה לעקרונותיה.

סיכום

בסופו של דבר, Warrant Canary הוא חלק מהגמישות המשפטית המשלימה את הגמישות הקריפטוגרפית הדרושה כדי להתמודד עם אופק האיומים המודרניים (כמו מחשוב פוסט-קוונטי). בתשתית שבה נתונים הם ריבוניים מעיצובם, הכנרית אינה רק ציפור פשוטה במכרה: היא השומר השקט של המבצר הדיגיטלי שלך.

פצצת הזמן: אסוף עכשיו, פענח מאוחר יותר והצורך באפס ידיעה

Tue, 26 May 2026 00:00:00 +0000

התלות של ממשלות אירופה בתשתית ענן אמריקאית מציבה יותר מסתם בעיית יירוט מיידית. האיום ההרסני ביותר לעשורים הבאים הוא אסטרטגיית HNDL: “אסוף עכשיו, פענח מאוחר יותר” .

זו לא חדירה חזיתית, אלא גניבה שקטה. סוכנויות מודיעין מיירטות ומאחסנות היום כמויות עצומות של נתונים מוצפנים, פשוט כי עלות האחסון הפכה לאפסית.

הם ממתינים לרגע שבו קפיצות טכנולוגיות יהפכו את מפתחות ההצפנה הנוכחיים למיושנים. סוד מדינה שמוגן ב-2026 עלול להפוך לספר פתוח בעוד חמש עשרה שנים.

אחריות רטרואקטיבית וסיכון טמפורלי

מודל ה-HNDL מציג מושג חדש: נזק משפטי מושהה. עם האיסוף המאסיבי של נתונים לפענוח עתידי, סודיות הופכת למשתנה תלוי זמן.

מודל ה-HNDL מגדיר שסודיות נכשלת בהכרח כאשר תוחלת החיים הנדרשת של הסוד עולה על אופק הפענוח של היריב.

אם מדינה אינה מבטיחה ריבונות מוחלטת של תשתית החומרה שלה, היא למעשה מוותרת על הסודיות לטווח ארוך של אזרחיה.

היירוט של היום הוא הפריצה של מחר. הפיכת התלות בענן לחוב של ביטחון לאומי היא הימור שאי אפשר להחזיר.

האנטיתזה של Arpokrat: חוסר אפשרות משפטית באמצעות קוד

בתגובה לפגיעות זו, התעשייה יוצרת אקולוגיות ריבונות דיגיטלית רדיקליות . מודל Arpokrat פועל ברשת מבוזרת, המוגנת על ידי חוק הגנת הנתונים השוויצרי המחמיר (FADP) .

ההיגיון המרכזי הוא פרטיות על ידי תכנון. על ידי הסרת הצורך במספר טלפון, המשתמש הופך למפתח קריפטוגרפי פשוט.

מבחינה חוקית, אם הארכיטקטורה מבוססת על אפס ידיעה (Zero-Knowledge) , החברה ניצבת בפני חוסר אפשרות טכנית לציית לצווים זרים.

זהו אמצעי הגנה מתמטי ומשפטי בלתי ניתן לעצירה: מה שאין ברשותך אי אפשר לחשוף.

מעבר להצפנה: פיחות ערך נתוני המטרה

התשובה האמיתית ב-אפליקציית Arpokrat אינה להמר על מתמטיקה נצחית, אלא להפחית את ערך הנתונים עצמם.

ללא מטא-דאטה מרכזי לקשר הודעה לאדם פיזי, התוכן המוצפן מאבד את ערכו האסטרטגי כי לא ניתן לייחס אותו.

עם זאת, התוכנה לבדה אינה יכולה לעשות דבר אם החומרה בוגדת בה.

ביטחון במאה ה-21 דורש את עצמאות המכונה. פריסת מערכת הפעלה ריבונית ללא גוגל הפכה לדרישת הישרדות מוחלטת לכל מי שמטפל בסודות מדינה.

אשליית הריבונות: פרשת Olvid ומלכודת חוק ה-CLOUD

Thu, 21 May 2026 00:00:00 +0000

ההכרזה הדהדה כ’קריאת עצמאות’ אמיתית במסדרונות פריז: ראש הממשלה הורתה לממשלה לנטוש את WhatsApp ו-Signal לטובת Olvid, אפליקציית הודעות שהוצגה כ’מקומית’. המטרה המוצהרת הייתה ברורה: להגן על סודות מדינה מידן הארוכה של סוכנויות מודיעין זרות.

אולם, אירוניה מרה התבררה במהרה: לבה של Olvid - תשתית השרתים שלה - פועם בתוך Amazon Web Services (AWS), ענקית אמריקאית.

עבור הציבור הרחב, זו נראית כסוגיית אחסון טכנית פשוטה. אבל עבור ארכיטקטים של אבטחת סייבר ריבונית ואלו העוקבים אחר הגיאופוליטיקה של הנתונים, מדובר בפגיעות פוליטית מהמעלה הראשונה.

חוץ-טריטוריאליות וסכסוך ריבונויות

בהסתמכותה על התשתית של אמזון, Olvid נכנסת אוטומטית למסלול של חוק ה-CLOUD האמריקאי.

הניתוח המשפטי של מקרה זה חושף תרחיש של חוסר ביטחון תחומי שעצם אימוצה של ‘אפליקציה’ לאומית אינו פותר כלל. נקודת המפנה טמונה במושג ‘שליטה’ לעומת ‘מיקום’.

חוק ה-CLOUD שינה באופן רדיקלי את הפרדיגמה המשפטית בקובעו כי המיקום הפיזי של השרת אינו משנה. חובת שיתוף הפעולה של ספק השירות (כאן, AWS) נובעת אך ורק מהזיקה השיפוטית שלו לארצות הברית. כך, וושינגטון יכולה לדרוש נתונים מחברות תחת תחום שיפוטה, גם כאשר נתונים אלו מאוחסנים פיזית על אדמת אירופה.

מבחינה חוקית, זה יוצר עימות חזיתי עם התקנה הכללית להגנה על נתונים (GDPR). בית הדין לצדק של האיחוד האירופי (באמצעות פסקי הדין המפורסמים שרמס I ו-II ) כבר קבע שחוקי המעקב האמריקאיים אינם מציעים רמת הגנה שוות ערך לזו של אירופה.

ריבונות דיגיטלית אינה תכונה של תוכנה, אלא מאפיין של שלמות שרשרת המשמורת.

רוח הרפאים של FISA וההבטחה הכוזבת של ההצפנה

גרוע מכך, תלות זו בתשתית אמריקאית מציבה נתונים אלה בצל חוק מעקב המודיעין הזר (FISA) , המאשר מעקב אלקטרוני למטרות ‘מודיעין זר’ המכוון ליעדים מחוץ לארה"ב.

מול איומים אלו, Olvid טוענת שההצפנה מקצה לקצה שלה מהווה מגן מספק. מנקודת המבט של הנדסת פרטיות, הגנה זו חלקית באופן מסוכן.

הדחייה האחרונה של ‘דלתות אחוריות’ על ידי האסיפה הלאומית הצרפתית מראה התנגדות חקיקתית לפגיעות על ידי תכנון. ועדיין, גם אם תוכן ההודעה מוצפן, התשתית הריכוזית של AWS חושפת מטא-דאטה. לדעת מי מדבר עם מי, מתי, באיזו תדירות ומאיפה זה לרוב בעל ערך רב יותר עבור מודיעין זר מאשר תוכן ההודעה עצמו.

ההצפנה מגנה על הטקסט, אך השרת הריכוזי בוגד ברשת אנשי הקשר.

הסכנה האמיתית עוד לפנינו

כל עוד התשתית האירופית תהיה תלויה בישויות הכפופות לחוקים חוץ-טריטוריאליים, הביטחון המשפטי של התקשורת שלנו יישאר זמני ואשלייתי גרידא.

ביטחון לאומי במאה ה-21 דורש הרבה יותר מכוונות חקיקה טובות או מגני תוכנה שטחיים: הוא דורש עצמאות תשתית וחומרה מוחלטת . מכיוון שבעוד שיירוט המטא-דאטה והחבילות המוצפנות נראה בלתי מזיק היום, הוא למעשה מזין את האיום ההרסני ביותר של העשור הבא: אסטרטגיית “אסוף עכשיו, פענח מאוחר יותר”.

סוד מדינה שיורט היום אינו אלא פצצת זמן מתמטית.

(קראו את המשך הניתוח שלנו בחלק 2: פצצת הזמן והצורך באפס ידיעה )