איך מעדכנים אבטחה ב־FreeBSD?

טיפול עדכוני האבטחה ב־FreeBSD

FreeBSD מטפל בעדכוני אבטחה באמצעות שני כלים נפרדים, משום ששרת FreeBSD מורכב משני חלקים נפרדים. מערכת הבסיס, כלומר הליבה ו־userland שסופקו עם המהדורה, מתעדכנת באמצעות freebsd-update. כל מה שהתקנתם מעליה הוא package, והוא מתעדכן באמצעות pkg. אם תפעילו כלי אחד ותדלגו על האחר, מחצית מהמכונה תישאר ללא תיקוני אבטחה, ושום רכיב במערכת לא יודיע לכם על כך.

SSD Nodes אינה מציעה תמונות של FreeBSD. התוכניות שלנו פועלות על Linux. הפוסט הזה מופיע כאן בכל זאת, משום שקהל הקוראים חופף לחלוטין: אותם אנשים שמפעילים את שרתי Ubuntu ו־Debian שלנו מפעילים גם FreeBSD על firewall או על המכונה היחידה שקיבלו בירושה. מודל העדכון המפוצל הוא החלק שמבלבל מנהל Linux, ולכן זהו החלק שכדאי לתעד. כל פקודה, תבנית advisory ותאריך תמיכה המופיעים להלן נבדקו מול דף האבטחה של FreeBSD ומול דפי המדריך של הפרויקט באוגוסט 2026.

הערה אחת לפני הפקודות. FreeBSD אינה מתקינה sudo במערכת הבסיס. לכל הפעולות כאן נדרשת גישת root. השתמשו ב־su -, או התקינו תחילה את sudo או את doas מהחבילות.

מערכת הבסיס והחבילות הן עולמות נפרדים

ב־Ubuntu, apt מנהל את המחשב כולו. הליבה, openssl, nginx וכלי העזר שלכם מגיעים כקובצי .deb מאותו כלי, ו־apt upgrade מעדכן את כולם יחד.

FreeBSD מחלקת זאת לשני חלקים. מערכת הבסיס נבנית כיחידה אחת ומקבלת מספר גרסה יחיד: 15.1-RELEASE-p3 הוא מספר יחיד שמכסה את הליבה, את ספריית C, את sshd ואת עותק OpenSSL שב־/usr/lib. אף אחד מהרכיבים האלה אינו מגיע מ־pkg. כל השאר נמצא תחת /usr/local, מגיע כחבילה בינארית שנבנתה מעץ ה־ports, ונושא מספר גרסה משלו.

לכן במחשב אחד יכולים להיות שני עותקים של OpenSSL: עותק הבסיס שב־/usr/lib, שמתוקן רק באמצעות freebsd-update, ועותק החבילה שב־/usr/local/lib, שמתוקן רק באמצעות pkg. התוכנית משתמשת בעותק שאליו היא קושרה, ותוכנות שהותקנו מחבילות מקושרות בדרך כלל לעותק החבילה. עדכון של אחד מהם אינו משפיע על האחר.

שלוש פקודות מראות מהו המצב במערכת:

freebsd-version -u
freebsd-version -k
uname -r

freebsd-version -u מדפיסה את רמת התיקונים של מרחב המשתמש המותקן. freebsd-version -k מדפיסה את רמת התיקונים של הליבה המותקנת, ו־freebsd-version(1) מסבירה במפורש מדוע אין מדובר באותו דבר כמו uname: "אם הותקנה ליבה חדשה אך המערכת עדיין לא הופעלה מחדש, freebsd-version תדפיס את הגרסה ואת רמת התיקונים של הליבה החדשה". uname -r מדפיסה את הליבה שפועלת כעת. קיימת גם freebsd-version -r, שמדפיסה את הליבה הפועלת אך "אינה מושפעת ממשתני סביבה". הדבר חשוב בתוך jail, שבו UNAME_r מוגדר לעיתים קרובות לערך אחר.

הודעות אבטחה והודעות תיקוני יציבות

צוות האבטחה של FreeBSD מפרסם שני סוגים של הודעות, ולכל סוג משמעות שונה.

הודעת אבטחה עוסקת בפגיעות אבטחה במערכת הבסיס. המזהה נראה כך: FreeBSD-SA-26:55.elf: האותיות SA, שתי ספרות השנה, מספר סידורי שמתקדם במהלך אותה שנה, ולאחר מכן הרכיב המושפע. FreeBSD-SA-26:52.if_wg ו־FreeBSD-SA-26:50.kqueue פורסמו שתיהן ב־2026-07-29. הרשימה המלאה נמצאת בדף הודעות האבטחה של FreeBSD.

הודעת תיקוני יציבות עוסקת בבעיה של תקינות או יציבות, המצדיקה הכללה בענף הפצה, אך אינה משפיעה על האבטחה. המבנה זהה, עם EN במקום SA: FreeBSD-EN-26:19.zfs, FreeBSD-EN-26:18.tzdata. עדכון של נתוני אזורי זמן הוא דוגמה קלאסית. אי אפשר לתקוף אתכם באמצעות נתוני אזורי זמן מיושנים, אך חותמות הזמן שלכם יהיו שגויות עד להתקנת התיקון. הודעות תיקוני היציבות מופיעות בדף הודעות תיקוני היציבות של FreeBSD.

שני הסוגים חתומים באמצעות מפתח ה־PGP של קצין האבטחה, ונשמרים בארכיון ב־security.FreeBSD.org. שני הסוגים מועברים למחשב שלכם באמצעות freebsd-update.

כאן נמצאת הנקודה שמפתיעה מנהלי Linux. אף אחד משני הסוגים אינו עוסק בחבילות. בדף האבטחה מצוין הדבר במפורש: בעיות ב־FreeBSD Ports Collection "מכוסות בנפרד במסמך FreeBSD VuXML". פרצת אבטחה מרוחקת בחבילת nginx לעולם לא תקבל מספר SA. אם הזנת הודעות האבטחה היא הדבר היחיד שאתם מנטרים, לעולם לא תשמעו עליה.

כיצד מקבלים הודעה על עדכון אבטחה של FreeBSD?

יש להצטרף לרשימה freebsd-security-notifications. הרשימה מנוהלת ונפח התעבורה בה נמוך, והיא מפיצה את הודעות האבטחה ואת הודעות השגיאות עצמן. ניתן להירשם בכתובת lists.freebsd.org.

גם freebsd-announce מנוהלת ומפיצה הודעות אבטחה לצד הכרזות על גרסאות חדשות, ולכן היא מתאימה אם ברצונכם לקבל הכול ברשימה אחת. freebsd-security היא רשימת הדיונים. כדאי לקרוא בה, אך היא אינה המקור לקבלת הודעה על כך שיש להתקין תיקון.

כל הרשימות האלה מפיצות חדשות על מערכת הבסיס בלבד. פגיעויות בחבילות לעולם אינן נשלחות בדואר. כדי למצוא אותן, יש להריץ פקודה.

pkg audit ומסד הנתונים שמאחוריו

VuXML, ‏Vulnerabilities and Exposures Markup Language, הוא מאגר הרישום של פרויקט FreeBSD לבעיות אבטחה ב־ports ובחבילות. כל רשומה מציינת את החבילה המושפעת, את טווחי הגרסאות הפגיעים, את מזהי ה־CVE ‏(common vulnerabilities and exposures) ותיאור קצר. ניתן לעיין בכל המאגר ב־אינדקס VuXML, לפי חבילה, לפי CVE או לפי תאריך.

pkg audit הוא הכלי שקורא אותו:

pkg audit -F

-F מוריד עותק עדכני של מסד הנתונים לפני הבדיקה. השתמשו בו בכל פעם. בלי -F, ההשוואה מתבצעת מול העותק שכבר נמצא במחשב, והוא עלול להיות מיושן בחודשים. לכן תוצאה נקייה אינה מוכיחה דבר. הפקודה משווה את הגרסה של כל חבילה מותקנת לכל רשומה ב־VuXML, מציגה כל התאמה עם מספרי ה־CVE שלה וקישור לדף VuXML, ולבסוף מציגה שורת סיכום שמציינת כמה בעיות נמצאו ובכמה חבילות מותקנות.

כדאי להכיר שני דגלים נוספים מתוך pkg-audit(8). pkg audit -r גם "מציג חבילות שתלויות בחבילות פגיעות ולכן עלולות להיות פגיעות אף הן". כך אפשר לגלות שלספרייה פגיעה יש משמעות, משום ששישה רכיבים מותקנים מקושרים אליה. pkg audit -R מציג את אותה תוצאה בפורמט JSON או בפורמט אחר המיועד לעיבוד על ידי מחשב. זהו הפורמט שמזינים לבדיקת ניטור.

החבילה pkg מתקינה סקריפט מחזורי ב־/usr/local/etc/periodic/security/410.pkg-audit. הוא מופעל כחלק מבדיקת האבטחה היומית ושולח את התוצאה בדואר אל root. ודאו שהוא מופעל, באמצעות שורה בתוך /etc/periodic.conf:

daily_status_security_pkgaudit_enable="YES"

הדואר היומי הזה הוא הדבר הקרוב ביותר ב־FreeBSD ל־הרגל של unattended-upgrades ב־Ubuntu, וההבדל הוא העיקר: unattended-upgrades מתקין את התיקון בזמן שאתם ישנים, ואילו pkg audit רק מודיע שנדרש תיקון. pkg audit מדווח. הוא אינו מתקין תיקונים. במערכת FreeBSD רגילה אין רכיב שמתקין עדכון אבטחה בלי שתפעילו אותו בעצמכם.

תיקון חבילה פגיעה

pkg update
pkg upgrade

במאגרי החבילות של FreeBSD אין pocket שמכיל עדכוני אבטחה בלבד. Ubuntu יכולה למשוך חבילות מ־noble-security בלבד ולהשאיר את כל שאר החבילות ללא שינוי. ב־FreeBSD אין מנגנון מקביל, ולכן תיקון של חבילה פגיעה פירושו התקנת הגרסה שהמאגר מציע כעת, וכן כל התלויות שהתעדכנו יחד איתה. יש לתכנן עדכון חבילות כשינוי מבוקר, ולא כמשימת רקע.

ה־branch של המאגר שבו אתם משתמשים קובע באיזו מהירות התיקון יגיע אליכם. ברירת המחדל היא ה־branch הרבעוני, ש־המדריך מתאר כ"חוויה צפויה ויציבה יותר", משום שהוא מקבל רק עדכונים שאינם מוסיפים תכונות. ה־branch העדכני כולל את הגרסה החדשה ביותר של כל רכיב. לכן, כאשר pkg audit -F מדווחת שחבילה פגיעה ו־pkg upgrade מדווח שאין מה לעדכן, התיקון עדיין לא הגיע ל־branch שלכם. זהו הגורם לבלבול.

כדי להעביר מכונה ל־branch העדכני, העתיקו את קובץ המאגר שמגיע עם המערכת וערכו את העותק:

mkdir -p /usr/local/etc/pkg/repos
cp /etc/pkg/FreeBSD.conf /usr/local/etc/pkg/repos/FreeBSD.conf

שנו את quarterly ל־latest בשורה url שבעותק, ולאחר מכן הריצו את pkg update -f כדי למשוך את הקטלוג החדש. העתיקו את הקובץ במקום להקליד את שם המאגר מהזיכרון: השם שמופיע בתוך /etc/pkg/FreeBSD.conf הוא השם שבו המערכת שלכם משתמשת בפועל, וקובץ תחת /usr/local/etc/pkg/repos עוקף רק מאגר שהשם שלו תואם לו בדיוק.

החלת תיקוני מערכת בסיסיים

freebsd-update fetch
freebsd-update install

fetch מוריד תיקונים עבור המהדורה הנוכחית ומציג את רשימת הקבצים שהוא ישנה. כאשר אין פעולות לביצוע, הוא מציג No updates needed to update system to 15.1-RELEASE-p3. ומסיים. כאשר יש פעולות לביצוע, הוא מסיים בהנחיה להפעיל את פקודת ההתקנה. שום דבר אינו מוחל עד שמפעילים את freebsd-update install, ולכן בטוח להפעיל את fetch בכל עת.

freebsd-update(8) מספק עדכונים בינאריים לגרסאות ALPHA, BETA, RC ו־RELEASE, אך לא לגרסאות PRERELEASE, STABLE או CURRENT. אם אתם עוקבים אחר stable/15, אתם בונים את המערכת מקוד המקור, ולכלי הזה אין מה לספק לכם.

הפכו את ההורדה לאוטומטית והשאירו את ההתקנה להפעלה ידנית. השורה במדריך עבור /etc/crontab:

@daily                                  root    freebsd-update cron

freebsd-update cron ממתין פרק זמן אקראי של 1 עד 3600 שניות, ולאחר מכן מוריד עדכונים בדיוק כפי שעושה fetch, ושולח הודעה אל root כאשר ממתין עדכון. ההמתנה האקראית נועדה למנוע מכל מחשבי FreeBSD באינטרנט לפנות לשרתי המראה של העדכונים באותה שנייה.

שני דברים בפלט מבלבלים משתמשים. src component not installed, skipped הוא מצב תקין בשרת שאין בו עץ קוד מקור, והוא אינו שגיאה. קבוצת הרכיבים נשלטת באמצעות שורת Components בקובץ /etc/freebsd-update.conf, והאפשרויות הן src, world ו־kernel.

אם ההתקנה נכשלת, freebsd-update rollback מסיר את העדכונים שהותקנו לאחרונה. במערכת עם root על גבי ZFS אפשר לבצע פעולה טובה יותר וליצור תחילה סביבת אתחול:

bectl create pre-patch
freebsd-update fetch install

אם המערכת לאחר החלת התיקונים אינה עולה, בחרו בסביבת האתחול הישנה מתפריט ה־loader וחזרתם לנקודת ההתחלה. מנגנון החזרה הזה הוא אחת הסיבות המעשיות להשתמש ב־ZFS כמערכת הקבצים של root, והוא כמעט שאינו צורך שטח דיסק עד ששתי הסביבות מתחילות להשתנות זו מזו.

האם גרסת FreeBSD שלי עדיין נתמכת?

כל גרסה נתמכת במשך תקופה קבועה. התקופה מפורסמת כטבלת ענפים בדף האבטחה. נכון לאוגוסט 2026, הטבלה מציגה:

• releng/15.1, כלומר 15.1-RELEASE, עד 31 במרץ 2027
• releng/15.0, כלומר 15.0-RELEASE, עד 30 בספטמבר 2026
• releng/14.4, כלומר 14.4-RELEASE, עד 31 בדצמבר 2026
• stable/15 עד 31 בדצמבר 2029
• stable/14 עד 30 בנובמבר 2028

גרסאות נקודתיות מקבלות תקופות תמיכה קצרות. 15.0-RELEASE תגיע לסוף תקופת התמיכה שלה בערך שבעה שבועות לאחר כתיבת פוסט זה, משום ש־15.1 שוחררה והפעילה את ספירת הזמן. הענפים היציבים נשארים זמינים במשך שנים, והם ענפי קוד מקור ש־freebsd-update אינו מספק.

בדקו את הגרסה שלכם באמצעות freebsd-version -u והשוו אותה לטבלה. freebsd-update מציגה גם היא אזהרה. כאשר מועד הסיום מתקרב, fetch מציגה:

WARNING: FreeBSD 15.0-RELEASE is approaching its End-of-Life date.
It is strongly recommended that you upgrade to a newer
release within the next 2 months.

לאחר שהמועד עובר, האזהרה הופכת ל־WARNING: FreeBSD 15.0-RELEASE HAS PASSED ITS END-OF-LIFE DATE. גרסה שאינה נתמכת ממשיכה לפעול. היא מפסיקה לקבל הודעות אבטחה, ולכן פגיעות הבאה במערכת הבסיס תהיה באחריותכם לצמיתות.

שדרוג לגרסה חדשה כולל freebsd-update -r 15.1-RELEASE upgrade, לאחר מכן freebsd-update install, אתחול, לאחר מכן freebsd-update install פעם נוספת, ואז pkg-static upgrade -f כדי להתקין מחדש כל חבילה מול הספריות החדשות, ולבסוף freebsd-update install. המדריך מציין שייתכן שיהיו רק שני שלבי התקנה במקום שלושה, בהתאם לשאלה אם מספרי הגרסאות של ספריות כלשהן השתנו. קבעו חלון תחזוקה וקראו את מדריך הגדרת שרת FreeBSD 15 לפני שתתחילו.

אתחול מחדש, או שמספיק להפעיל מחדש שירות?

FreeBSD מספק תשובה באמצעות השוואה אחת:

freebsd-version -k
uname -r

freebsd-version -k הוא ה־kernel שבדיסק. uname -r הוא ה־kernel שבזיכרון. מחרוזות שונות מצביעות על כך שהותקן kernel חדש, אך המערכת אינה פועלת באמצעותו. במקרה כזה יש לבצע אתחול מחדש. מחרוזות זהות מצביעות על כך שהתיקון לא נגע ב־kernel, ולכן אתחול מחדש לא יועיל.

בתיקון של userland, הפעילו מחדש כל שירות שמשתמש בקוד שתוקן. תיקון של OpenSSL הבסיסי ב־/usr/lib אינו משפיע על sshd שהופעל לפני שלושה שבועות ועדיין מיפה את הספרייה הישנה למרחב הכתובות שלו. הקובץ בדיסק חדש. התהליך שפועל אינו חדש.

service sshd restart

אותו כלל חל גם על חבילות. pkg upgrade מחליף את הקובץ הבינארי בדיסק, בעוד שהתהליך שפועל עדיין מחזיק את הקובץ הישן פתוח. לכן service nginx restart הוא השלב שהופך את התיקון לאפקטיבי.

למערכת הבסיס של FreeBSD אין מקבילה ל־needrestart של Debian. לכן שום דבר אינו מציג בפניכם הנחיה, ושום דבר אינו מנהל רשימה. עליכם לעקוב אחר השירותים המקשרים לספרייה שתוקנה, או לבצע אתחול מחדש לאחר כל תיקון שנוגע בספריות הבסיס. בשרת שהתצורה שלו מנוהלת במערכת בקרת גרסאות, אתחול מחדש הוא פעולה שגרתית, והוא זול בהרבה מהאמונה שהמערכת מתוקנת כאשר בפועל היא אינה מתוקנת.

תיקון מכונה שמפעילה jails

jail משתמש ב־kernel של ה־host, לכן advisory הנוגע ל־kernel הוא בעיה של ה־host, וכל jail במכונה יורש אותה. תקנו את ה־host והפעילו אותו מחדש, ובכך יושלם הטיפול בצד ה־kernel עבור כולם. ה־userland בתוך כל jail הוא התקנה נפרדת עם רמת תיקונים משלה, ו־freebsd-version -j <jail> מדווח עליה מתוך ה־host. גם החבילות בתוך jail נפרדות, ו־pkg -j <jail> audit -F בודק אותן ללא כניסה ל־jail. ההפרדה בין kernel משותף לבין userland נפרד היא אותו הבדל מבני שעומד בבסיס ההשוואה בין jails למכולות Docker.

התרגום ל־Ubuntu

לכל הרגל עבודה ב־FreeBSD יש מקבילה, ולכן אפשר ליישם את אותה שגרה בשני הכיוונים.

• תיקוני מערכת בסיסית: freebsd-update fetch ולאחר מכן freebsd-update install. ב־Ubuntu משתמשים ב־apt update && apt upgrade, שמטפל במערכת הבסיסית ובכל השאר בפעולה אחת.
• תוכנות של צד שלישי: pkg update && pkg upgrade ב־FreeBSD. ב־Ubuntu משתמשים שוב ב־apt.
• בדיקת פגיעויות ידועות: pkg audit -F ב־FreeBSD. ב־Ubuntu 24.04 הפקודה הקרובה ביותר היא pro security-status, שמציגה עדכוני אבטחה לחבילות מותקנות, כולל תוכן של Expanded Security Maintenance.
• התקנה אוטומטית: unattended-upgrades ב־Ubuntu מתקינה עבורכם עדכוני אבטחה. FreeBSD אינה מספקת מנגנון מקביל, ולכן freebsd-update cron מורידה ושולחת בדואר בזמן שאתם מתקינים ידנית.
• ערוץ הודעות אבטחה: freebsd-security-notifications כולל פריטי FreeBSD-SA ו־FreeBSD-EN. ubuntu-security-announce כולל Ubuntu Security Notices.
• מסד נתוני פגיעויות: VuXML עבור ports וחבילות של FreeBSD. עבור חבילות Ubuntu משתמשים ב־Ubuntu CVE tracker.
• בדיקת צורך באתחול: freebsd-version -k מול uname -r ב־FreeBSD. ב־Ubuntu בודקים אם /var/run/reboot-required קיים.
• חלון תמיכה: טבלת הענפים בדף האבטחה של FreeBSD. ב־Ubuntu משתמשים בלוח זמני השחרור וב־pro security-status.

השגרה הבסיסית זהה בשתי המערכות: נרשמים לערוץ ההודעות, מריצים את הביקורת לפי לוח זמנים, ואז מחליטים מה להתקין ומתי להפעיל מחדש. ב־FreeBSD פשוט צריך לציין במפורש גם את החלק השני, משום שהמערכת לא תבצע אותו עבורכם. ההשוואה הרחבה יותר בין Linux ל־FreeBSD כפלטפורמות שרת מסבירה אילו דברים נוספים משתנים כאשר מעבירים עומס עבודה ביניהן.

FAQ

האם freebsd-update מתקן גם את החבילות שלי?

לא. freebsd-update מטפל במערכת הבסיס בלבד, כלומר ב־kernel וב־userland שסופקו עם ה־release. תוכנות שהותקנו תחת /usr/local מגיעות מחבילות, והן מתוקנות באמצעות pkg upgrade. הריצו את pkg audit -F כדי למצוא אילו חבילות מותקנות כוללות פגיעויות מוכרות, משום שהודעות האבטחה של מערכת הבסיס אינן מציינות אותן, ורשימות התפוצה של האבטחה אינן מודיעות עליהן.

כיצד אוכל לדעת אם עדכון של FreeBSD מחייב אתחול?

השוו בין freebsd-version -k לבין uname -r. הפקודה הראשונה מציגה את ה־kernel שמותקן בדיסק, כולל kernel שנכתב זה עתה אך עדיין לא הופעל באתחול. הפקודה השנייה מציגה את ה־kernel שפועל כעת. מחרוזות שונות פירושן שנדרש אתחול. מחרוזות זהות פירושן שהתיקון חל על ה־userland בלבד, ולכן יש להפעיל מחדש את השירותים שהושפעו, לדוגמה service sshd restart, משום שתהליך שפועל ממשיך להשתמש בספרייה הישנה שממופה לזיכרון עד להפעלתו מחדש.

מה ההבדל בין Security Advisory לבין Errata Notice?

Security Advisory, כגון FreeBSD-SA-26:55.elf, מתקן פגיעות אבטחה במערכת הבסיס. Errata Notice, כגון FreeBSD-EN-26:18.tzdata, מתקן בעיית תקינות או יציבות שאין לה השפעה על האבטחה, למשל נתוני אזורי זמן שאינם מעודכנים. שניהם משתמשים בתבנית שנה, נקודתיים, מספר רציף ורכיב. שניהם חתומים בידי Security Officer ומועברים באמצעות freebsd-update, ואף אחד מהם אינו מכסה תוכנות שהותקנו מ־ports או מחבילות.

האם קיים ב־FreeBSD תחליף ל־unattended-upgrades?

לא במערכת הבסיס. freebsd-update cron מוריד תיקוני בסיס ממתינים ושולח דואר ל־root, אך אינו מתקין אותם לעולם. הסקריפט של periodic שמתקין pkg מפעיל את pkg audit מדי יום ושולח את התוצאה בדואר, והוא אינו משדרג דבר. התקנה ללא השגחה היא דבר שתצטרכו לבנות בעצמכם באמצעות cron job. מאחר ששדרוג חבילה ב־FreeBSD מתקין את הגרסה החדשה ביותר ולא backport שמוגבל לאבטחה, רוב מנהלי המערכת קוראים את הדואר ומתקינים ידנית.

כיצד אוכל לבדוק אם ה־release של FreeBSD שלי עדיין נתמך?

הריצו את freebsd-version -u כדי לקבל את גרסת ה־userland שלכם, ולאחר מכן השוו אותה לטבלת ה־branch הנתמכים בדף האבטחה של FreeBSD. ל־point releases יש חלונות תמיכה קצרים: נכון לאוגוסט 2026, 15.0-RELEASE מסתיים ב־30 בספטמבר 2026, ואילו 15.1-RELEASE נתמך עד 31 במרץ 2027. freebsd-update fetch מזהיר אתכם כאשר התאריך מתקרב, ולאחר שהתאריך חולף הוא מדפיס שורה המציינת שה־release HAS PASSED ITS END-OF-LIFE DATE. לאחר נקודה זו, הודעות אבטחה נוספות אינן חלות עליכם.