התחברות של שוטר תורן, טובה של 5,000 דולר, ופסק דין אחד שכתב מחדש פשע פדרלי
תארו לעצמכם לרגע את תא הניידת, בעיירה קאמינג שבג’ורג’יה. נייתן ואן-בורן היה סמל משטרה שם: תג, ניידת, והרשאה תקנית למאגר הפלילי של המדינה, GCIC, המחובר לרשת הפדרלית של ה-FBI, NCIC. ההרשאה הזאת לא הייתה שום דבר יוצא דופן. חיפוש לוחית רישוי במאגר הזה לא היה פריצה. זו הייתה עבודה שגרתית: תיקים, עצירות תנועה, בדיוק בשביל זה יש לו תג.
ואז מכר שלו ניפנף לו מול הפנים ב-5,000 דולר, תמורת חיפוש לוחית אחת ספציפית. הוא רצה לדעת אם אישה שהוא הכיר היא שוטרת סמויה. ואן-בורן אמר כן, התיישב מול הטרמינל שלו, התחבר עם ההרשאה שהוא משתמש בה כל יום, והקליד את הלוחית, הפעם מסיבה אחרת לגמרי.
(שום דבר על המסך לא הבחין בין החיפוש הזה לכל חיפוש אחר שהוא היה מורשה לבצע.)
וכאן הסיפור הופך לשאלה משפטית שראוי לאבד עליה שינה. ואן-בורן לא הואשם בפריצה למאגר שאין לו שום עסק איתו. הוא הואשם בהפרת הבטחה לגבי הסיבה שבגללה נגע במאגר שתמיד הותר לו להיכנס אליו. הוא הורשע לפי סעיף “חריגה מהרשאת גישה” בחוק הפדרלי האמריקאי למניעת הונאות מחשב (CFAA), ונגזרו עליו 18 חודשי מאסר, על בסיס התיאוריה שלפיה עצם השימוש במערכת מורשית למטרה לא-מורשית הוא פשע פדרלי.
השאלה שבית המשפט העליון באמת נדרש להכריע בה
ואן-בורן מעולם לא התווכח על העובדות. הוא התווכח על שאלת הארכיטקטורה שמתחת לכל זה: האם ה-CFAA מעניש כניסה למקום שאסור להיכנס אליו, או שימוש בסיבה אסורה במקום שתמיד הותר להיכנס אליו?
מתברר שגם ערכאות הערעור הפדרליות לא הצליחו להסכים ביניהן. חלקן (ערכאות הערעור במחוזות הראשון, החמישי, השביעי והאחד-עשר) קראו את “חריגה מהרשאת גישה” בקריאה רחבה שכוללת גם שימוש לרעה בגישה שיש לך באופן חוקי: הפרת מדיניות שימוש במחשב של מעסיק, או תנאי שימוש של אתר, הפכו לפי הקריאה הזאת לפשע פדרלי. (לפי הקריאה הזאת, גם מי שבודק תוצאות כדורגל ברשת המשרד בזמן העבודה הופך להיות עבריין פדרלי, וספק אם זו הייתה הכוונה כשניסחו את הסעיף.) אחרות (ערכאות הערעור במחוזות השני, הרביעי והתשיעי) שרטטו את הגבול רק סביב חסימה טכנית: קבצים, תיקיות, או מקטעי מאגר שמחוץ להרשאות שלך.
תורידו את הניסוח המשפטי הצידה, ומה שנשאר היא קודם כול שאלה של תכנון מערכות. כדי לענות עליה צריך להבין מה בדיוק מגבילה בקרת גישה מבוססת-תפקיד (role-based access control), ומה בדיוק לוכד יומן ביקורת (audit log).
הארטיפקט: גישה שהמערכת התירה, ותכלית שרק ספר הנהלים הגביל
הראיה שעמדה במרכז התיק לא הייתה פריצה, לא דליפה, ולא סיסמה גנובה. היא הייתה ההרשאה של ואן-בורן עצמו, על הטרמינל שלו, שאחזרה רשומה של לוחית אחת ספציפית, רשומה שלא ניתן להבחין בינה לבין כל חיפוש מורשה אחר, מבחינת המערכת עצמה.
הגישה הטכנית של GCIC לא שאלה “למה” ברגע השאילתה; היא העניקה לוואן-בורן את פונקציית חיפוש הלוחיות כי התפקיד שלו זיכה אותו בה. ההגבלה על התכלית ישבה שכבה אחת מעל, בהכשרה של המחלקה שלו, שאסרה במפורש כל “שימוש אישי” במאגר. שום דבר בהתחברות עצמה לא סימן את החיפוש של ואן-בורן כשונה מחיפוש לגיטימי. וזו בין הסיבות לכך שהתיק נפתח רק כי המכר הקליט בסתר את השיחה ודיווח עליה, מה שהוביל למבצע הסוואה של ה-FBI, ולא כי המאגר עצמו תפס משהו.
הפער הזה, בין מה שמערכת בקרת גישה מתירה מבחינה טכנית לבין מה שהתביעה רוצה שהפרת הבטחה תוכיח, הוא בדיוק המקום שבו מומחה תוכנה מרוויח את מקומו באולם בית המשפט. עורך-דין כללי, או מפתח בלי ניסיון בהעדת מומחה, קורא את הרשומה ורואה “משתמש מורשה, מערכת מורשית, שאילתה מוצלחת”, ועוצר שם. מומחה שמונה על ידי בית המשפט שואל שאלה קשה יותר: האם הארכיטקטורה של המערכת הזאת בכלל מגדירה “תכלית” כפרמטר גישה, או שהתביעה מייבאת הבחנה שהתוכנה עצמה מעולם לא עשתה?
מה קבע בית המשפט, ולמה השער הטכני ניצח
ב-3 ביוני 2021 ביטל בית המשפט העליון של ארצות הברית את הרשעתו של ואן-בורן ברוב של 6 מול 3, ואימץ קריאה שהשופטת בארט כינתה בפסק הדין “שער פתוח או שער סגור” (gates-up-or-down): סעיף “חריגה מהרשאת גישה” ב-CFAA חל על כניסה לקבצים, תיקיות, או מאגרים שאסורים עליך, לא על שימוש לרעה במידע שתמיד הותר לך להגיע אליו. אם לוואן-בורן הייתה גישה לפונקציית חיפוש הלוחיות בכלל, החוק לא התעניין בשאלה למה השתמש בה.
שימו לב על מה הפסיקה לא הסתמכה. לא על יושרו של ואן-בורן. לא על המניע שלו. לא על ה-5,000 דולר. היא הסתמכה על מה שמערכת בקרת הגישה התירה מבחינה טכנית, כי זה בדיוק מה שנוסח החוק מבקש מבית המשפט למדוד. (המצפון של ואן-בורן, במילים אחרות, היה חסר רלוונטיות משפטית: מה שקבע היה מה שהתוכנה “חושבת”, ולתוכנה, כידוע, אין דעות.)
למה זה מחייב חוות דעת מומחה בתיקי גישה למחשב
כל חברה ישראלית שמפעילה בקרת גישה מבוססת-תפקיד (קונסולת ניהול של חברת פינטק, מאגר מטופלים של חברת בריאות-דיגיטלית, מערכת HR עם שדות שנגישים רק למנהלים) נמצאת מרחק אירוע שימוש-לרעה פנימי אחד מאותה שאלה בדיוק שבית משפט אמריקאי נדרש להכריע בה: האם מדובר בהפרת גבול טכני, או בהפרת מדיניות שהמערכת מעולם לא אכפה בפועל?
את ההבחנה הזאת לא תמצאו בקריאה פשוטה של מדיניות שימוש במחשב. היא נראית רק בתוך המערכת עצמה: מה שכבת בקרת הגישה בפועל מגבילה, מה יומן הביקורת בפועל לוכד, והאם מי מהם בכלל מקודד “תכלית”. זו לא שאלה שעורך-דין, או מפתח כללי, יכולים לענות עליה מתוך הדפסה של לוג. צריך מישהו שיודע לקרוא את הארכיטקטורה ולומר, על הפרוטוקול, מה המערכת מבחינה ומה לא, ולהגן על הקריאה הזאת בחקירה נגדית.
הצד שמביא חוות דעת מומחה פורנזיקה מוקדם, ולא אחרי שהראיה כבר הוגשה, הוא הצד שמחזיק מעמד.
האמור לעיל הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. פרטי התיק מבוססים על המקורות המצוטטים.