Yerush

הבעיה

לכתוב צוואה בישראל פירושו משרד עורך דין, שכר טרחה פתוח ומסמך בשפה שרוב האנשים לא מסוגלים לקרוא. אותו דבר נכון לצו ירושה אחרי פטירה, לייפוי כוח מתמשך ולהנחיות רפואיות מקדימות. אלה ארבעת הרגעים שבהם משפחה הכי צריכה תהליך רגוע וברור, ודווקא בהם הסיכוי לכך הכי נמוך.

רוב המקרים האלה פשוטים. מיעוט מהם באמת צריך עורך דין. אף אחד לא אומר לכם לאיזו קבוצה אתם שייכים לפני ששילמתם.

מה בניתי

ירוש הוא ארבעה אשפים מודרכים על בסיס קוד אחד: צוואות, צווי ירושה, ייפוי כוח מתמשך והנחיות רפואיות מקדימות. עברית היא ברירת המחדל ואנגלית מוגשת לצידה. כל אחד מהם מתחיל בבדיקת התאמה קצרה שרצה לפני התשלום, כך שמי שהמקרה שלו מסובך מקבל הפניה לעורך דין במקום שימכרו לו טופס.

החלק שדרש זהירות

זה מוצר שמחזיק פרטים משפחתיים של אנשים, מספרי זהות ופירוט של העיזבון שלהם. כמעט כל המאמץ ההנדסי הלך לטיפול במידע הזה, ורובו מתבטא באפליקציה שמסרבת לרוץ, לא באיזה פתרון מתוחכם.

• נתוני התיק מוצפנים ב-AES-256-GCM לפני שהם נשמרים. בסביבת פיתוח, בלי מפתח, המעטפות לא מוצפנות. בפרודקשן האפליקציה מסרבת בכלל להתחיל לכתוב נתוני תיק בלי מפתח, במקום לשמור בשקט טקסט גלוי.
• פרודקשן מסרב לאחסון בזיכרון. מפה ברמת התהליך מאבדת כל תיק כשהשירות יורד לאפס, ונותנת לכל מופע תמונה אחרת של הנתונים. בפיתוח מותר להשתמש בה, פרודקשן לא יעלה עליה.
• קבצים שמועלים נשמרים ב-Cloud Storage, מוצפנים עוד לפני שהבייטים יוצאים מהתהליך, ופרודקשן לא יעלה בלי bucket. החלופה בפיתוח היא אחסון בזיכרון עם תקרה, שהיה מרוקן את ה-heap של שירות אמיתי אחרי כמה עשרות קבצים.
• לכל יכולת AI יש מתג כיבוי משלה, וברירת המחדל של הספק היא mock שממציא תשובות מקומית, בלי קריאה חיצונית ובלי מפתח. דגל נפרד גורם לאפליקציה לסרב לחזור ל-mock הזה, כך שפרודקשן לעולם לא יגיש בשקט טקסט משפטי מומצא.
• לצוות ולאדמין יש סודות נפרדים. הטוקן של האדמין הוא היחיד שמורשה להריץ מחיקת נתונים לפי מדיניות השמירה. אם מגדירים אותו זהה לטוקן של הצוות, הרשאות האדמין מושבתות לגמרי ונרשמת שגיאה. זו הגנה מכוונת מפני הסלמת הרשאות, לא באג.

ההגדרה שאין לה ברירת מחדל בטוחה

הגבלת הקצב נשענת על כתובת ה-IP של המבקר, אבל השרתים של Google מוסיפים כמה כתובות לכל בקשה. את הכתובת האמינה צריך לספור מימין, והמיקום שלה תלוי בכמה שרתים יושבים לפני האפליקציה.

אם המספר נמוך מדי, המפתח חוזר להיות בשליטת התוקף: כל מי שקורא לשירות יכול לסובב את ה-header ולעקוף כל הגבלה. אם הוא גבוה מדי, כל הקוראים מתכווצים לכתובת IP משותפת אחת של התשתית, ותוקף אחד מכלה את המכסה של כולם. אף אחד מהכשלים האלה לא זורק שגיאה.

אין ערך שנכון בכל מקום, ולכן האפליקציה רושמת ללוג את אורך השרשרת שהיא רואה בפועל, פעם אחת לכל תהליך, וה-README אומר לבדוק את השורה הזו מול תעבורה אמיתית אחרי הפריסה הראשונה לכל סביבה חדשה ולכוון את המספר בהתאם.