دسته: مقاله

خیلی زیاد از من می پرسن که چطوری توی لینوکس یا توی پایتون باید برنامه ای نوشت که گویی (پنجره و دگمه و کلیک و ..) داشته باشه. جواب در دنیای آزاد تقریبا همیشه همینه: هر طوری که دوست دارین (: در واقع راه های زیادی هست برای تولید یک برنامه با رابط گرافیکی و انتخاب با شماست. یکی از این انتخاب ها فریم ورک Qt است که کیوت تلفظ می شه. مزایای کیوت که باعث می شه من در صورت لزوم سراغش برم اینها است:

• در تمام سیستم عامل های مرسوم کار میکنه
• با اکثر زبان های مرسوم می شه درستش کرد
• قشنگه و کارا
• سر راست است و راحت
• منابع منظم و زیادی داره و خوب هم آپدیت می شه

البته شکی نیست که اگر شما گزینه های دیگه (مثلا تی کی اینتر) رو ترجیح می دین می تونین برین سراغ اونها و خبر خوب اینه که کلیت ماجرا هم تقریبا ثابت خواهد بود.

توی این سه تا ویدئو، من که اصولا نه رابط گرافیکی می نویسم نه دوست ندارم نه کیوت بلدم نه حتی بهترین شیوه های استفاده ازش رو می دونم، یک رابط گرافیکی (گویی) به یک برنامه بامزه که برای استفاده شخصی در کامند لاین نوشته بودم اضافه می‌کنم. اصل برنامه رو تو این ویدئوها نمی نویسیم ولی اگر ویدئوهای قبلی منو دنبال کرده باشین، چیز عجیبی نیست. این برنامه می ره و توی دیجیکالا لاگین می کنه و درمیاره که من تا حالا چقدر پول توی دیجیکالا چیز خریده ام! عدد من اعجاب آوره ولی خب به اینم مربوطه که گاهی اطرافیان هم خریدهاشون رو می دن من بکنم (:

ویدئو در سه قسمت کوتاه ضبط شده ولی خیلی چیزها ناگفته مونده. مهمترین مبحث که باید بریم سراغش (شاید در ویدئوی چهارم)، مالتی ترد کردن سیستم است ولی راستش یه چیز جالب به ذهنم رسید که بعضی کارها رو نکردم: سورس رو بذارم روی گیت هاب که اگر کسی خواست چیزی بهش اضافه کنه و پول ریکوئست بفرسته (: در ایشوها نوشته ام که چه تغییراتی می تونین بدین و یک هشتگ «باگ_اولی» هم معرفی کردم که انتظار می ره باگ های بسیار آسون باشه برای کسانی که می خوان اولین باگشون رو اصلاح کنن. رپوزیتوری خواندن و پروسس تاریخچه دیجی کالا به شکل اپ دسکتاپ با کیوت و پاینون اینجاست. کسی چه می دونه.. شاید یه زمانی دست و پای باحالتری درآورد و مثلا نمودار داشت و تاریخه و …

• قسمت یک از سه: یوتوب و آپارات
• قسمت دو از سه: یوتوب و آپارات
• قسمت سه از سه: یوتوب و آپارات

و دو نکته آخر:

1. این رو گذاشته ام در درک برنامه نویسی. دلیلش اینه که می تونین نگاه کنین ببینین مفهوم کلی نوشتن یک برنامه در محیط گرافیکی چیه. لازم نیست کل جزییات قابل درک باشن
2. یادم رفته بود ویدئوی اول رو ادیت کنم و اطلاعاتی مثل شماره ملی و تلفنم توش بود. یکی از دوستان تذکر داد و ادیت کردم و دوباره آپلود.

وقتی دو سه سال قبل قیمت بیت کوین شروع به رشد کرد، یکهو سر و صدای بلاک چین هم زیاد شد و همه با هیجان ازش حرف می زدن. یکسری دنبال خرید بیت کوین و انواع رمزارزهای دیگه بودن و یکسری هم دنبال حل مشکلات جهان از طریق بلاک چین. البته بلاک چین که توی فارسی بهش زنجیره بلوکی می گیم واقعا هم ایده بدی نیست: یک دیتابیس غیرمتمرکز که انتظار می ره همه بتونن سلامتش رو چک کنن و از دیتاش مطمئن باشن. اما سوال اصلی اینه که واقعا ما کجا به یک دیتابیس غیرمتمرکز نیاز داریم؟ فعلا تنها جواب واقعا خوبی که داده شده، رمزارزها بودن و موارد معدودی ایده که اکثرا در مقیاس خیلی بزرگ عملیاتی نشدن.

این هیجان به دنیای سیاست هم رسید و یکی از نمودهای اصلیش در سطح سیاست گذارها *برگزاری انتخابات مبتنی بر بلاک چین** بود. مزیت اینکار چیه؟ اگر انتخابات روی بلاک چین اتفاق بیافته، دیگه یک سیستم متمرکز رای‌ها را شمارش و اعلام نمی کنه بلکه همه به تمام رای‌های داده شده دسترسی دارن و نتیجه هم برای همه قابل قبوله. بخصوص در کشوری فرضی که مردم معتقدن به زور اسلحه و چماق و حبس خانگی و … نتایج رو می شه عوض کرد، بودن بلاک چین به همه ثابت می کنه که نتیجه همونی بوده که اعلام شده چون هر «همه به نتایج دسترسی دارن». معلومه که این از نظر طرفداران دموکراسی خیلی هم هیجان انگیزه. منم مثل خیلی‌ها بلاک چین رو دوست دارم و ازش نمی‌ترسم که هیچ، دوستش هم دارم و در حد معقولی می فهممش و متاسفانه باید بگم که بلاک چین به هیچ وجه گزینه خوبی در انتخابات سیاسی یا حتی اجتماعی نیست. در واقع هر جا که قرار باشه رای مخفی باشه، اینکه چه کسی رای داده و چه کسی رای نداده مخفی باشه و اینکه چه کسی به چه کسی رای بده در اختیار خودش باشه، بلاک چین کارا نیست و معلومه که این می شه تقریبا همه انتخابات مرسوم دنیا.

مطمئنا من صلاحیت نظر دهی نهایی در این باره رو ندارم ولی باید بگم که این نظر، نظر بسیاری از متخصصین همین حوزه هم هست. از آکادمی ملی علوم تا [اساتید مهم رمزنگاری (۱ و ۲) و رمزنگار ارشد مایکروسافت و غیره و غیره معتقد هستن نه فقط بلاک چین گزینه خوبی برای رای‌گیری نیست که حتی رای گیری الکترونیک هم هنوز راه زیادی تا عملیاتی شدن داره؛ البته در کشوری که قرار باشه توش به رای مردم احترام گذاشته بشه. بذارین به شکل فشرده، مشکلات رو در دو بخش بگم. بخش اول مشکلات خود بلاک چین است و بخش دوم، مشکلات عمومی الکترونیک کردن رای گیری های مهم.

مشکلات خود بلاک چین

نیاز به شناسایی مرکزی افراد

اگر قرار باشه ما در یک زنجیره بلوکی رای بدیم، باید اول یک چیزی شبیه کد رای دهی دریافت کنیم که تقریبا معادل کیف پول های بیت کوین خواهد بود. در واقع شما باید از طرف یک مرکزی شناسایی بشین و به شما یک کد ویژه بدن که بعدا بتونین باهاش رای بدین. این اتفاق کل بحث «ناشناسی» و از اون بالاتر «بدون مرکز بودن» رو زیر سوال می‌بره. در دنیای بیت کوین، هر کس می تونه یک یا چند کیف پول بسازه ولی اگر قرار باشه رای دهی داشته باشیم باید دقیقا به هر آدم واجد شرایط یک آی دی داده بشه که بشه باهاش رای داد و خب اگر قراره یک مرکز کل اطلاعات «این آدم اجازه داره رای بده» رو بده، رای ها رو هم خودش بشمره دیگه چون دقیقا همین مرکز می تونه ۸ میلیون «این آدم می تونه رای بده» دیگه هم تولید کنه که شهروندی پشتش نیست و در دوره رای گیری باهاش رای بده.

پروسه دادن کلیدها، امن نگه داشتن اونها و ریوک کردن اونها

در مرحله قبل گفتم که یک مرکز مشخص باید تک تک آدم ها رو احراز هویت کنه و بعد از شناسایی بهشون یک کد بده. همون مرکز باید بررسی کنه کی ۱۸ سالش شده و بهش کد بده، بعد ببینه کی توی چه انتخاباتی می تونه رای بده و بهش کد اون انتخابات رو بده یا دسترسی فلان کد به فلان رای دهی رو باز کنه و وقتی کسی فوت کرد باید بتونن کدش رو حذف کنن که دیگه نتونه رای بده. بررسی، دادن و گرفتن این‌ها خودش یک ساز و کار بزرگ می شه که نیازمند سازمان تمام وقت مستقل خودشه و در آخر هم دقیقا نمی شه مطمئن بود دقیقا همه افراد واجد شرایط – و نه هیچ کس دیگه – در هر انتخابات حق رای دارن و من و شما هم نمی‌تونیم بدونیم تک تک رای دهنده ها واقعی هستن یا نه چون اگر قرار باشه ما بدونیم پشت هر کد چه کسی است، رای هر کسی رو هم تا ابد خواهیم دونست.

اجبار در رای

در دنیایی که رای دهی با بلاک چین انجام می‌شه، یک نفر می تونه بالا سر شما بایسته و نگاه کنه چطوری رای می دین و از شما بخواد که حتما به فلانی رای بدین. ایده رای گیری بلاک چین اینه که هر کس از خونه اش یا محل کارش رای بده و مدیر می تونه اعلام کنه که همه باید روز دوشنبه ساعت ۱۰ بشینن و به اونی که می گه رای بدن در غیراینصورت اخراج می شن. دلیلی که حتی اگر با همراه به صندوق رای می رین، موقع نوشتن رای می رین توی یک غرفه و تنهایی رای رو می نویسین و تا می کنین و می ندازین تو صندوق جلوگیری از این مساله است. در رای گیری دیجیتال جلوگیری از این ماجرا بسیار سختتره. بعضی مقاله‌ها دارن سعی می کنن راه‌هایی برای مقابله با این مساله پیدا کنن ولی جواب‌هاشون اونقدر پیچیده است که متخصصین به سختی می تونن مقاله رو دنبال کنن، چه برسه به اینکه عملیاتی در سطح کشور انجام بشن. اگر علاقمند هستین دنبال coercion free blockchain سرچ کنید.

خرید رای

الان اگر شما بخواین رای بخرین باید با یک گونی سیب زمینی برین به حوزه فلان و بگین هر کس اسم فلانی رو در صندوق بندازه، یک سیب زمینی جایزه می گیره و بعد امیدوار باشین که آدم ها به شما دروغ نگن و توی غرفه اسم مورد نظر شما رو بنویسن. یا باید شناسنامه ها رو جمع کنین و بعد با یکسری آدم دیگه برین باهاشون رای بدین و بعد شناسنامه ها رو برگردونین. در مکانیزم دیجیتال یا بلاک چین این دردسرها وجود نداره به سادگی می تونین برین در یک منطقه و بگین «نفری یک گونی سیب زمینی می دم ولی اون کد رای گیری تون رو بدین به من» و روز رای گیری چند صد هزار کد داشته باشین که می تونه توی این انتخابات یا تا ابد رای بده (: بامزه تر وقتی است که این کد بتونه تا آخر عمر اون آدم برای شما رای بده.

تاریخچه واضح هر رای

و البته در تمام طول تاریخ هم نه فقط مرکزی که کدها رو می ده و می گیره که هر کسی که کد شما رو داره می تونه چک کنه دقیقا در کدوم انتخابات به چه کسی رای دادین. اینکار الان از روی مهر شناسنامه در حد «فلانی در فلان انتخابات رای داده یا نه» عملی است ولی در سیستم بلاک چین یا حتی هر رای گیری دیجیتال، کسی که اون کد شما رو داره می تونه چک کنه که شما به چه کسانی رای دادین یا حتی بالاتر از اون، موقع استخدام، درخواست وام یا حتی خرید بلیت هواپیما کامپیوتر خودش یک عدد ۱ تا ۱۰ کنار عکس شما نشون بده که بر اساس رای های شما در جاهای مختلف بگه چقدر التزام عملی به انتخاب اول داشتین و چقدر با شیطنت سعی کردین به انتخاب دوم رای بدین (: اگر براتون عجیبه، این دقیقا اتفاقی است که در چین داره می افته.

حملات مستقیم به بلاک چین

بلاک چین شدیدا در مقابله حملات متنوعی ضربه پذیره. مثلا در حمله اکثریت، اگر شما قدرت پردازشی قوی ای رو داشته باشین یا حتی اجاره کنین می تونین نتایج رو به نفع خودتون تغییر بدین. این مکانیزم باعث شده بعضی ها بگن اصولا بلاک چین با ولت های آزاد در دنیای بزرگ و جدی مورد شک باشه. یعنی اگر روزی یک غول تصمیم بگیره بیت کوین رو از بین ببره، به راحتی می تونه اینکار رو بکنه. حالا کافیه یک نیم غول تصمیم بگیره ۵۱٪ توان پردازشی ای که در انتخابات فلان جا برگزار شده رو اختصاص بده تا کل انتخابات رو به نفع خودش عوض کنه، و اینکار رو بکنه (: فهرست نسبتا کاملی از حمله ها علیه زنجیره بلوکی رو اینجا ببینین.

مشکلات جانبی

تا اینجا مشکل عمومی سیستم بلاک چین رو دیدیم، ولی کلیت رای گیری دیجیتال هم در دنیا شدیدا با شک و تردید نگاه می شه و هنوز اکثر کشورها خودشون رو آماده اون نمی دونن. مهمترین سند هم مربوط به گزارش آمریکا در این مورد است که در نهایت تصمیم گرفتن فعلا رای گیری‌هاشون رو دیجیتال نکنن. اینها چند مشکل عمومی رای گیری غیرکاغذی هستن:

ابزارهای رای دهی

در دنیای دیجیتال به هرحال باید از یک ابزار دیجیتال رای بدین. این ابزار ممکنه اپلیکیشن روی یک گوشی باشه یا یک غرفه دیجیتال که می رین و دگمه ای رو توش فشار می دین یا یک سایت. امن کردن این ابزارها راحت نیست بخصوص وقتی سرنوشت کشور بهشون وابسته باشه. یک بدافزار می تونه در اولین لحظات رای دهی از طرف شما رای بده یا یک حمله دیجیتال میتونه نتایج اون ابزار رای شماری دیجیتال رو تغییر بده یا غیرمعتبر کنه. متخصصین امنیت زیادی روی این مساله کار کردن و ضعف های اونها رو نشون دادن.

عدم دسترسی / درک کافی

این روزها دولت در همه جا سعی می کنه با «الکترونیک کردن» کلی از کارهای خودش رو سبک کنه ولی مساله ای که فراموش می شه اینه که چقدر آدم از این بازی های الکترونیک بیرون می مونن. اگر رای گیری دیجیتال بشه احتمال داره گروهی که اسمارت فون ندارن یا با کامپیوترها راحت نیستن اشتیاق کمتری به رای دادن پیدا کنن. در واقع هر چقدر همه چیز رو تکنولوژیک تر کنیم (مثلا ثبت نام کنکور رو) احتمال بیشتری ساختیم که دهک‌های پایین جامعه از اون بازی بیرون گذاشته بشن. به بعدی هم نگاه کنین…

نفوذگرهای سایبری

حرفه‌ای‌ها، هکر به کسی می گن که از ابزارش خلاقانه استفاده می کنه ولی رسانه ها دوست دارن به نفوذگرها و خرابکارها بگن هکر. این آدم ها این روزها شخصی یا با حمایت انواع دولت ها و سازمان ها حسابی فعالن و اگر کشوری واقعا رای گیری اش رو دیجیتال کنه، اینها خطر بزرگی براش حساب می شن. از کل مکانیزم رای گیری تا سیستم های آماری یا سیستم های ذخیره سازی و .. ممکنه دچار مشکل بشن یا اصولا چیزی مثل قطعی عمومی اینترنت یا دی داس روی سیستم رای دهی در دوره رای گیری می تونه صدمه بزرگی به مفهوم دموکراسی در یک کشور بزنه، چه در واقع و چه در ذهن رای دهنده‌ها.

مفهوم دموکراسی وابسته به فهم ساز و کار دموکراتیک است

دموکراسی برای ما شده اینکه «تا الان ۴۰۰ تا رای گیری داشتیم پس خیلی دموکرات هستیم». در حالی که بخش‌های بسیار مهمی از دموکراسی اصولا فراموش شده (مثلا حقوق اقلیت). یکی از این فراموش شده‌ها فهم ساز و کار دموکراتیک است. اگر پروسه‌های انتخاباتی شفاف نباشه، اگر مردم نتونن دقیقا درک کنن که چی شد که فلانی انتخاب شد، اگر آدم‌ها نفهمن که قانون چطوری تصویب می شه، اگر ما ندونیم که برای اعتراض به فلان چیز چه روش دموکراتیکی هست، اگر روشی دیده نشه که بشه چیزی که نمی خوایم تغییر کنه و .. دموکراسی در حال ضعیف‌تر شدن است. یکی از دلایلی که کشورها هنوز سیستم کلاسیک و حتی عجیب برای امروز رفتن تو غرفه و نوشتن اسم رو کاغذ رو حفظ کردن اینه که می خوان این روند در ذهن همه آدم ها قابل درک و شفاف باشه. واقعا حس کنن دارن حزبی رو انتخاب می کنن و بعد اینقدر رای آورد و انتخاب شد یا نشد. درسته که در آینده احتمالا رای گیری دیجیتال مرسوم خواهد شد ولی فعلا از ذهن مردم دور است و نظر خیلی از دولت‌ها این بوده که بهتره برای امنیت رای گیری و استمرار تصور ذهنی مردم از دموکراسی شون فعلا سراغ رای گیری دیجیتال نرن.

جمع بندی

بلاک چین هیجان انگیزه ولی ابزار خوبی برای رای گیری هایی که قراره توش شروطی مثل
– مخفی بودن رای
– اطمینان از هویت رای دهنده ها مستقل از اینکه به کی رای دادن
حفظ بشه مناسب نیست. کشورهای کوچیک‌ با سطح امکانات و سواد تکنولوژیک بالا دارن در حوزه‌های مختلفی رای دهی دیجیتال رو تست می کنن ولی هیچ کشوری در جهان هنوز برای رای گیری سراغ بلاک چین نرفته. درسته که زنجیره بلوکی مد روز است/بود و هیجان انگیز و بفروش ولی حتی اگر در دهه آینده رای گیری الکترونیکی همه گیر بشه، تکنولوژی بر اساس دیتابیس مرکزی خواهد بود و بلاک چین گزینه مناسبی برای اینگونه رای گیری ها نیست.

آپدیت: فرصت شرکت در این قرعه کشی تموم شد. نتایج قرعه کشی در سایت پارسکدرز

این روزها اسکرام یکی از شیوه‌های رایج تیم‌های تولید محصول نرم افزاریه و یکی از درگیرهای ما اینه که محصولی که تولید می کنیم هم با اسکرام سازگار باشه یا بهتر بگم شکل طراحی اش مناسب با شکل پیاده سازی اش باشه و ظاهرا کتاب «مدیریت محصول چابک با اسکرام» در همین مورده. منم هنوز این کتاب رو نخوندم ولی حدس می زنم در این مورد است که مدیریت محصول اجایل چطوری باید باشه. مدیر محصولی شغلی است که تو ایران خیلی مرسوم نیست و آدم های حرفه ای زیادی هم براش نداریم و در نتیجه به نظرم اومد که این کتاب و معرفی اش مفیده. حالا اگر به خودم هم یکی جایزه دادن و خوندم در مورد محتوای کتاب دقیقتر حرف می زنم. اگر شما هم با کلیت اسکرام آشنا هستین یا در سیتمی کار می کنین که اسکرامی است یا مدیر محصول هستین یا می خواین بشین، این کتاب احتمالا به دردتون می‌خوره.

و خبر خوب؟ تیم پارسکدرز تصمیم گرفته ۵۰ جلد از این کتاب رو به رایگان بین مخاطب‌های جادی.نت نوزیع کنه (: اگر شما هم می خواین توی این قرعه کشی شرکت کنین کافیه بعد از فالو کردن من و گفتن به دویست تا از دوستاتون و تگ کردن و ریتوییت و چاپ و نصب در میدون شهر و. … این فرم آنلاین رو پر کنین و خب معلومه که بخش فالو و تگ و اینها شوخی بود (:

سعی می کنم هفته آینده یکشنبه قرعه کشی رو انجام بدم و برنده های خوش شانس ما از بین دنبال کننده‌های وبلاگ، توییتر، اینستاگرام و جاهای دیگه مشخص بشن (:

تقریبا همه از اسمس‌های تبلیغاتی می‌نالیم. دقیقا هم مثل بقیه چیزهای کشور، دقیقا کسانی که مسوولیت اصلی بر عهده‌شون هست و می تونن در این مورد کاری بکنن هم به جای عمل، تبدیل شدن به سردسته ناراضی ها و هی می گن اینطوری که هست، خوب نیست و سوال باقیه که آیا مردم باید در این مورد کاری بکنن؟ (: در اتفاقی مرتبط امروز وزیر مخابرات از مردم پرسیده بود برای حل مشکل اسپم اسمسی باید چکار کرد، خیلی از راه حل هاش هم مربوط می شد به گرون کردن چیزها (:

واقعیت اینه که «پرسیدن از مردم» فیگور خوبیه ولی اصولا مفهوم دولت اینه که ما یک گروه رو چون کاری رو بلدن انتخاب می کنیم تا دیگه خودمون درگیر مدیریت کشور نباشیم و به کارهای دیگه برسیم. اونها هم بخشی از بودجه رو می گیرن و کارها رو می کنن. ما هم اگر ناراضی بودیم، دیگه به حزبشون رای نمی‌دیم. ولی خب اینجا کشور بدون حزب است و هر بار به یک آدم رای می دیم بدون اینکه بدونیم مثلا نظرش در مورد سیاست خارجی چیه یا سیاست وزارت کشاورزی اش در مورد تقسیم آب چگونه خواهد بود. در مورد اسپم اسمسی هم ماجرا همینه. وزیر باید راه حل رو از کارشناس ها بگیره و بعد بودجه مناسب رو بده تا مشکلات حل بشن. البته در این مورد با توجه به سابقه وزارت اطلاعاتش، منطقا بهتر از من می دونه که در ایران تمام اسمس‌ها از سرورهایی فرستاده و رد می‌شن که محتواشون رو به دلایل مختلف بررسی می‌کنه و هر لحظه‌ای هم که نیاز هست، می شه کل اسمس‌های فرستاده شده توسط هر شماره‌ای یا دریافت شده توسط هر شماره‌ای رو چک کرد و حالا که ما این سیستم شنود و نظارت یکطرفه رو داریم، می تونیم حداقل ازش در جای مثبت دیگه‌ای هم استفاده کنیم: جلوگیری از اسپم اسمسی.

اسپم یعنی پیامی که به گروه بزرگی از مردم فرستاده می‌شه، بدون اینکه اونو درخواست کرده باشن. در دنیای اسمس، تمام این اسمس‌های اسپم باید از شماره‌هایی ارسال بشن که شرکت‌های مخابراتی (مثل ایرانسل و همراه اول) اون‌ها رو واگذار کردن. این شماره‌ها دو گروه می‌شن: سرشماره‌های ویژه اسمس و سیم‌کارت‌های معمولی.

سرشماره‌ها که هزار و یک مدل تشخیص هویت و غیره دارن و عملا اگر سرویس دهنده نخواد، نمی‌تونن اسمس تبلیغاتی بفرستن چون به راحتی قابل پیگیری هستن و می‌شه به اون شرکت یا فرد هیچ سرویس دیگه‌ای نداد و جریمه‌اش هم کرد.

اما در مورد شماره‌هایی که افراد دارن و برای اسپم‌ فرستادن استفاده می‌شه، یک راه حل ساده در کشور ما هست: کافیه محتوای هر اسمس در کنار شماره فرستنده هش بشه ازش یک کلید دیتابیس ساخته بشه. حالا کافیه یک دیتابیس تعداد دیده شدن هر کلید در مثلا ۱ ساعت گذشته رو نگه داره و اگر از یک عددی (مثلا ۱۰۰) تجاوز کرد، اون شماره دیگه نتونه اون متن رو بفرسته. اینطوری هیچ کس نمی‌تونه در یک ساعت متن مشابهی رو به بیشتر از ۱۰۰ نفر بفرسته. این عدد شاید نیاز به بالا و پایین شدن داشته باشه ولی مطمئنا می‌شه به چیزی رسید که برای هر فرد عادی کافی باشه و برای هر کس که می‌خواد با گوشی معمولیش اسپم بفرسته، ناکارا.

برای تکمیل این سیستم، کافیه مکانیزمی برای شکایت هم تعبیه بشه. اگر من اسپمی دریافت کردم باید بتونم به راحتی به مخابرات گزارش بدم که فلان روز اسمسی با فلان متن رو گرفتم و به نظرم اسپم بوده. حالا کافیه مخابرات یک درخواست به شرکت‌های مخابراتی بفرسته و با بررسی محتوا، تعداد کل پیام و تعداد گیرنده، معلوم می‌شه که اسپم بوده یا نه و اگر اسپم بوده، از طریق قوه قضاییه اقدام می‌شه. جریمه می‌تونه سلب حق داشتن بیش از یک سیم کارت تا مدتی مشخص و جریمه باشه. برای جدی‌تر کردن بحث، جریمه می‌تونه متناسب با تعداد اسپم فرستاده شده باشه.

آیا از این هم بهتر می‌شه؟‌ بله. همین که بیش از چند نفر از یک شماره مشخص اعلام اسپم کردن، به شکل اتوماتیک امکان ارسال اسمس توسط اون شماره تراتل می‌شه تا مساله بررسی بشه. اینجوری حتی جلوی اسمس‌هایی که یکی دو کلمه‌اش برای افراد مختلف عوض می‌شه هم گرفته خواهد شد و جریمه ارسال چنین اسمسی که تلاشی است برای فرار از موتورهای تشخیص اسپم، می تونه سنگین‌تر از اسپم‌های کلاسیک باشه.

معلومه که یه طرح مهندسی واقعی نیازمند شناخت دقیین سیستم بسیار ساده، در هر کشوری می‌تونه جلوی اسپم اسمسی رو بگیره چه برسه به کشور ما که هر سیم کارت مثل یک ابزار امنیتی، هم به هویت افراد متصله هم به انواع سیستم‌های نظارتی – البته اگر شرکت های سرویس دهنده حاضر بشن از سود کلانی که خودشون از اسمس‌های تبلیغاتی می‌برن بگذرن.

مرتبط

• در ۱۴ دقیقه ببینین شبکه موبایل چطوری کار میکنه

یک سوال ساده و جواب های غلط غولوط زبان های برنامه نویسی
9999999999999999.0 – 9999999999999998.0https://t.co/eaDAsKa46v

— jadi (@jadi) January 6, 2019

دیروز توییت کردم که در اکثر زبان های برنامه نویسی این محاسبه جوابش اینه:

9999999999999999.0 - 9999999999999998.0 = 2

عجیبه؟ بله. غیر منطقی است؟ اصلا. توی این ویدئو در مورد مساله اعداد اعشاری در کامپیوتر توضیح می دم و با هم می بینیم که چرا بعضی وقت ها محاسباتمون عجیب غریب از آب در میان.

انرژی بخشه اگر مخاطب های خوب کانال آپارات و یوتوب رو عضو بشن و ویدئوها رو دنبال کنن.

مفهوم هکر مفهومی عام‌تر از نفوذ و امنیت است. هکر کسیه که از ابزارش استفاده غیرمرسوم و هوشمندانه می کنه و موفق به چیزهایی می شه که از نظر دیگران نشدنی بوده. اما خیلی از رسانه‌ها، مفهوم هکر رو به عنوان صرفا متخصص امنیت کامپیوتر جا انداختن و هفته‌ای نیست که من توش یک ایمیل نگرفته باشم که بگه «جادی! چطوری متخصص امنیت بشم؟». مشکل کار هم اینجاست که خیلی وقت‌ها سوال کننده درک دقیقی از این شغل نداره و فقط به خاطر اسم بامزه و ظاهر هیجان انگیزش می خواد به شاخه امنیت بیاد. توی این نوشته که تقریبا جمع بندی و ترجمه آزادی از این مطلب است سعی کردم یکجا، جوابی رو آماده کنم.

اولین قدم در تبدیل شدن به یک متخصص خوب امنیت، اینه که به یک متخصص معمولی امنیت تبدیل بشین. خیلی خوبه اگر از اول دنبال تبدیل شدن به بهترین هستین اما در نهایت بهتره حواستون باشه که برای رسیدن به هر جایی باید قدم به قدم پیش رفت و حوصله داشت. بخصوص در دنیای امنیت که بهترین ها، معمولا پیشینه گسترده‌ای دارن و در حوزه‌های مختلف دانش دارن. خیلی از متخصصین امنیت و هکرهای خوب، با کارهایی مثل برنامه‌نویسی، سیستم‌عامل، شبکه، طراح و موارد مشابه شروع کردن و بعد از چرخیدن در حوزه‌های مختلف، سراغ امنیت رفتن.

تبدیل شدن به متخصص امنیت مثل اینه که بگین می‌خواین به یک نویسنده خوب تبدیل بشین. نویسنده‌های خوب فقط با کلاس‌های نویسندگی به وجود نمیان بلکه معمولا آدم‌هایی هستن که دنیا رو زندگی کردن، کتاب خوندن، سفر رفتن، فیلم دیدن، فلسفه می‌دونن، به زندگی فکر کردن و بعد نویسندگی رو هم با تمرین یا دوره یاد گرفتن. به همین شکل اگر در این لظحه شما مهارت بخصوصی در رشته‌هایی مثل شبکه، سیستم عامل، سخت افزار، رمزنگاری، برنامه نویسی سطح پایین، برنامه نویسی سطح بالا، درک ار پروتکل‌های ارتباطی، پایگاه‌های داده و موارد مشابه ندارین، پیشنهاد بهتر از این راه رو برو تا متخصص امنیت بشی اینه که در این حوزه‌ها شروع به کار کن و توشون پیشرفت کن.

مرحله بعدی اینه که با دونستن یا فعال بودن در یکی یا چند تا از این حوزه‌ها، مسائل امنیتی مرتبط رو توشون دنبال کنین. مثلا اگر سیستم عامل بلدین، با دنبال کردن باگ‌ها یا خوندن، ببینین مشکلات امنیتی چه چیزهایی می تونن باشن و کجاها می‌شه پیداشون کرد. اگر در برنامه نویسی سطح پایین هستین اصلاح‌هایی مثل اورفلو رو دنبال کنین یا اگر برنامه‌نویس سطح بالا هستین با مفاهیمی مثل اینجکشن آشنا بشین. همین مساله در شبکه و پروتکل و غیره هم ثابته. بسیاری از پروتکل‌ها مشکلاتی دارن که کاملا شناخته شده است و می‌تونین دنبالشون کنین یا حتی سراغ سخت افزار برین و ببینین بقیه چیکار کردن و تکرارشون کنین تا کم کم راهتون رو پیدا کنین. بسیاری از هکرهای بزرگ تاریخ با همین شیوه پیش رفتن و هر کدوم هم حوزه تخصصی خودشون رو داشتن. در اکثرا موارد کسی با ایده «برم بهترین متخصص امنیت بشم» شروع نکرده بلکه از حوزه‌های دیگه سراغ مساله اومده.

یکی از مشکلات فعلی دنیای امنیت همینه که افرادی که تخصصی در حوزه‌های دیگه ندارن و فقط درس امنیت می خونن، به سیستم‌ها اضافه می‌شن و بیشتر از اونی که کار مفید بکنن، دردسرهای اداری برای بقیه بخش‌ها درست می‌کنن – البته اونهم الزاما بد نیست ولی معمولا فرستادن چند بخشنامه و سختگیری در مورد پروتکل ها و اصرار به شکل خاصی از وی پی ان و قرارداد خرید وف و آپدیت کردن فایروال ها و … کاری نیست که وقتی یکی با هیجان می گه «می خوام متخصص امنیت بشم» دنبالش باشه.

اما با داشتن بحث قبلی در ذهن، بذارین نگاهی هم بندازیم به انواع شغل‌هایی که یکه متخصص امنیت می تونه داشته باشه و ببینیم راه رسیدن به هر کدومش چه چیزیه:

• تست کننده امنیت اپلیکیشن‌های وب:‌ یاد بگیرین برنامه بنویسین تا توی این بحث از آدم‌هایی که فقط بلدن اپلیکیشن تست کنن فاصله بگیرین. درک از سیستم‌عامل و دیتابیس بهتون کمک خواهد کرد و همینطور دونستن چیزهایی مثل پی اچ پی، جاوااسکریپت، پایتون و جاوا. اگر بتونین شیوه کار چیزی رو درک کنین، شکستنش راحتتر خواهد بود. بعد از اون دنبال OWASP بگردین و مسیر رو پیدا خواهید کرد.
• متخصص امنیت شبکه:‌ بهتره برای خودتون یک لابراتوار درست کنین که اجزای متفاوتی داشته باشه. مثلا استک لمپ (لینوکس، آپاچی، مای اسکوئل، پی اچ پی) همیشه شروع خوب و مرسومی است و بعد بررسی کنین که هر جزء از این استک چطوری امن می‌شه. درک اولیه‌تون که کامل شد می‌تونین برین سراغ PTES (استاندارد اجرای پن تست) و شیوه‌هایی که هکرها به شبکه‌ها حمله می‌کنن رو یادبگیرین و مطمئنا راحت کشف خواهید کرد که علیه هر متد باید چه کاری انجام بشه.
• Compliance and Auditing: برای اینکار باید در مورد تکنولوژی‌های پایه‌ای و بیزنس مدل‌ها آگاهی کسب کنین. افرادی که در این سمت هستن، بیزنس و امنیت را درک می کنن و مطمئن می‌شون که کارکرد بیزنس بدون صدمه زدن به توان خلاقیت و سرعت، امن می‌شه. خوبه در مورد کسب و کارها بخوانید و با مدیرعامل‌ها و طراحان کسب و کار حرف بزنید و درک واقعی از جهان داشته باشین. در مورد شرکت‌های بزرگ تحقیق کنین و به مواردی که در Center for Internet Security به آن‌ها اشاره شده نگاه کنین. همچنین قواعدی مثل HIPAA، PCI-DDS، DISA STIG و ایزو ۲۷۰۰۱ و SOC2 رو بخوانید و فراموش نکنین که قراره سازمان بدون صدمه زدن به قابلیت‌ها و کارکردهاش‌، امن می‌شه.
• رمزنگاری/تحلیل رمز: اگر می‌خواهید در این حوزه کار کنید خوبه در زمینه‌های ریاضی و رمزنگاری، تحصیلات آکادمیک داشته باشین و منابع علمی را دنبال کنین. یک رمزنگار ممکنه تو دانشگاه تدریس کنه یا روی الگوریتم ها کار کنه ولی کمتر شرکتی معمولی هست که یک رمزنگار استخدام کنه.
• مشاور امنیت: کسی که به عنوان مشاور امنیت کار می‌کند، لازم است دانشی گسترده و درک خوبی از محیط‌های کاری و ساز و کار شرکت‌ها داشته باشه. برای این شغل نیاز دارین دانشی به روز از تکنولوژی‌های مورد استفاده شرکت ها و استانداردهای مورد استفاده آن‌ها داشته باشین و با Best Practiceها آشنا بشین. همچنین باید در مورد قوانین محدود کننده و نیازمندی‌های بالا دستی هم آگاه باشین تا بتونین بهترین مشاوره رو به مشتریانتون بدین. اینجا انتظار می ره شما با افق دید بسیار گسترده‌ و آگاهتون، نقاط مورد نیاز برای تقویت امنیت شرکت‌ها و در عین حال حفظ کارایی اونها و سازگاری‌‌شون با قوانین رو پیشنهاد بدین.
• محقق آسیب‌پذیری‌ها:‌ این شغل به طور خاص نیاز داره که شما حداقل توی یک حوزه بسیار باسواد و با تجربه باشین و حداقل یک زبون برنامه نویسی، فریم ورک یا سیستم عامل رو به خوبی بدونین. بعد با این دانش روی بخش کوچیکی از یک محصول یا شرکت تمرکز می‌کنین و سعی می‌کنین مشکلاتش رو پیدا کنین. مثلا ممکنه شما در سی یا اسمبلی بهترین باشین و با سواد و دانش کامل روی یک شکل از پروتکل، بیاین و روی شیوه کار یک کتابخونه ارتباطی تمرکز کنین و اشکالاتش رو کشف کنین.
• متخصص امنیت نرم‌افزار: معمولا مهندسان و معماران با تجربه نرم‌افزار بعد از مدتی به متخصصان امنیت هم تبدیل می‌شوند. باید حداقل در یک استک نرم افزاری متخصص باشید و بعد دانش امنیتی خود را برای امن‌تر کردن یک برنامه در آن استک متمرکز کنید. شاید هم وظیفه شما در این شغل، بهتر شدن امنیت کل یک سازمان یا پاسخ دادن به نیازهای امنیتی بقیه کارمندان و برنامه نویسان باشد.

اما واقعا چطور باید به در یکی از این حوزه‌ها به بهترین تبدیل شویم؟ اول بهتر است انتخاب کنید که چه چیزی را در کدام حوزه دوست دارید و هرچقدر که می‌توانید در آن حوزه چیز یاد بگیرید. مثلا به جای اینکه به شکل کلی سراغ یادگیری «تست نفوذ» بروید، بهتر است در چیزی مثل جنگو متخصص شوید و مشکلات امنیتی آن را بشناسید. بهتر است به جای سواد عمومی، دارای سواد تخصصی شوید. چند سال تمرکز روی یک چیز، می‌تواند شما رو به یکی از بهترین‌های آن چیز تبدیل کند. البته دوره هایی هم هست که سعی می کنن بخش هایی از کل این ماجرا رو جمع کنن و با سرفصل های رسمی ارائه بدن و مدرک معتبری هم دارن. مثلا دوره CEH مشهورترینشونه که وزارت دفاع آمریکا و سازمان امنیت ملی و غیره معتبر می دوننش. من تلاش کردم این دوره رو درس بدم که نتیجه اش توی مکتبخونه هست و اگر هم قیمتش براتون گرونه، می تونین جاهای دیگه رایگان پیداش کنین (: یه روش دیگه هم اینه که سرفصلهاش رو پیدا کنین، اونهایی که دوست دارین رو انتخاب کنین و عمیق در موردش بخونین، یادتون باشه که عمیق خوندن همیشه بهتر از وسیع فیلم دیدن است (:

اما چقدر طول می کشه؟ هیچ کس نمی‌تواند به شما بگوید چه مدت زمان برای متخصص شدن لازم است. آدم ها، توانایی‌های آن‌ها، علاقمندی‌هایشان و استعدادشان فرق می‌کند. اگر واقعا می‌خواهید یکی از بهترین‌ها باشید باید حوصله کنید و از مسیر لذت ببرید و دنبال میان‌بر نگردید. اگر حوصله ندارید می‌توانید اصولا به یک آدم غیرفنی ولی با ظاهر هیجان انگیز تبدیل شوید. چند کلمه قلمبه سلمبه، یاد گرفتن استفاده از چند برنامه (مثلا مرور ابزارهای کالی لینوکس) و حتی داشتن چند لینک در دارک نت و ارتباط با هکرها و خریدن اطلاعات از آن‌ها، روشی دیگر برای ادای یک هکر را در‌آوردن است که شاید برای یک بیزنس من، خیلی هم سر راست تر باشد ولی برای کسی که به مسائل فنی عشق می‌ورزد و قدرت واقعی را می‌خواهد، نچسب‌ترین چیز است.

اگر واقعا می‌خواهید متخصص امنیت شوید، حوصله کنید و یاد بگیرید و خواهید دید که نه فقط قدم به قدم شاهد پیشرفت خودتان خواهید بود که حتی از مسیر هم حسابی لذت خواهید برد. اما یادتان باشد همیشه مسائل قانونی را رعایت کنید و فراموش نکنید که بهترین متخصصین امنیت، باید سابقه تمیز و قابل ارائه ای داشته باشند.

اگر شما هم چیزی دارین که به نظرتون خوبه به مطلب اضافه بشه، خوشحال می شم در کامنت ها بگین تا بعدا به اصل مطلب اضافه کنم.

مرتبط:
– چگونه هکر شویم، ترجمه فارسی از یک هکر واقعی یعنی اریک ریموند