برچسب: امنیت

گاهی پیش می یاد که می بینیم یکسری پست غیرعادی که ما ننوشتیم (معمولا هم تبلیغاتی) از طرف ما توی توییتر یا فیسبوک یا غیره پست می شن. کاملا درسته. کاملا ممکنه که چیزی که من ننوشتم روی فید من بیاد اما دلیلش اینه که قبلا به یکی دیگه اجازه دادم از طرف من چیز پست کنه. مثلا توی توییتر ممکنه من اجازه داده باشم که یک برنامه، سایت، اپلیکیشن یا هر چی به شناسه من دسترسی داشته باشه. اینکار بخصوص وقتی اتفاق می افته که من بدون اینکه پیام ها رو بخونم یا بفهمم، روی همه چیز اوکی می کنم تا به چیزی که دوست دارم برسم.

مثلا برام هیجان داره که یک عکس اتفاقی بهم نشون داده بشه که زیرش نوشته باشه «عکس بچه تو این شکلی است» یا «دوست پسر آینده ات این شکلی است» یا «به فلان دلیل خواهی مرد» و دیگه نگاه نمی کنم که اون برنامه «بامزه» می تونه از طرف من برای دوستام پیام بفرسته، عکس های من رو کپی کنه برای یک نفر دیگه و فلان و فلان.

همیشه خوبه ما نگاهی بندازیم به برنامه هایی که احتمالا بدون اینکه متوجه بشیم بهشون دسترسی پست کردن توی جاهای مختلف دادیم و حذفشون کنیم. مثلا توی توییتر باید اول بریم در بخش تنظیمات:

و اونجا از سمت چپ بریم در بخش Applicationsها و فهرست رو بررسی کنیم:

اینها برنامه هایی هستن که از طرف من اجازه پیدا کردن به اکانت توییتر من دسترسی داشته باشن. هر کدوم رو که نشناسم یا حتی بشناسم ولی حس کنم که نیازی نیست از طرف من توییت کنه (مثلا فیسبوک و در نتیجه هر چیزی که اونجا دسترسی داره) رو با فشار دادن revoke access حذف می کنم و حالا دیگه چیزهای بی ربط حق ندارن روی توییتر من چیزی پست کنن (:

سایت درسنامه رو از خیلی وقت پیش می شناختم و توی اخبار هم زیاد می دیدمش ولی هیچ وقت چیزی اش رو تست نکرده بودم تا عنوان جذاب «امنیت در وبلاگنویسی» که به نظرم به اندازه کافی برای تست کردن سیستمشون جذاب بود. به سادگی با فرستادن یک ایمیل عضو شدم و بنا به یک برنامه زمانی مشخص برام درس ها رو ایمیل می کرد، می خوندم، تست هاش رو می زدم و اگر قبول می شدم می رفتم درس بعدی و در نهایت هم به مدرک قبولی داد.

به نظرم هم ایده اش عالیه و هم اجراش عالی. شما به سادگی با یک ایمیل در یکی از کلاس های گسترده اش ثبت نام می کنین و بعد توی یک برنامه زمانی که از نظر من خیلی جذاب و خوب بود درس ها و حتی تست ها رو به شکل ایمیل دریافت می کنین و کلاس به کلاس پیش می رین تا یک مدرک قشنگ بگیرین.

من دوره های مختلفش رو نگذروندم ولی دوره تستی که گذروندم بسیار با کیفیت و خوب بود. شدیدا پیشنهادش می کنم به هر کس که دوست داره در حوزه های جدید چیز یاد بگیره و خیلی خوشحالم که قرص و محکم و شاد داره کار می کنه.

یک توصیه جدی ام هم اینه که دوستان دوره جدید تک شو حتما نگاهش کنن. توی این برنامه بعد از اینکه چند دقیقه توضیح می ده که چطوری باید سایت درست کرد و تشریح می کنه که فایلی که در صفحه می بینین رو باید با یک برنامه ادیت متن مثلا ورد آفیس ادیت کنین، می گه از تمپلیت های رایگان استفاده نکنین چون حاوی ویروس هستن (: .

اگر مطلب اخیر من در نارنجی در مورد هکرها و کلاه هاشون رو خونده باشین می دونین که ما اقسام و انواع هکر داریم. اصولا که هکر معنی ای بسیار فراتر از کامپیوتر داره ولی در بحث امنیت کامپیوتر هم اطلاق «هکر» فقط به کسی که پسورد می دزده و به سرورها نفوذ می کنه اشتباه اما به هرحال.. خیلی ها هستن که دوست دارن «هکر» بشن و به سرورهای بقیه نفوذ کنن و من اینجا هستم که این رو به شما آموزش بدم. شاید براتون جالب باشه ولی کل این آموزش یک خطه:

خسته نباشین مطلب تموم شد (:

البته اگر بازم سوال دارین در خدمتتون هستم.

مشکل امنیتی رو از کجا پیدا کنیم؟

اول بگم که مشکلات امنیتی رو توی کتاب ها ننوشتن و توی کلاس ها هم درس نمی دن. اگر واقعا هدفتون نفوذ به یک سرور است باید باهوش تر / با تجربه تر از این باشین که فکر کنین واقعا یک راهی برای نفوذ به سرورها هست که قبلا استفاده شده و توی یک کتاب هم نوشتنش و بعد هیچ کس هم به نویسنده اون برنامه نگفته و حالا یکی تو کلاسی توی ایران از شما پول می گیره که اونو به شما یاد بده یا مثلا یک نفر دیگه اونو توی یک کتاب نوشته (و شاید یکی دیگه اون کتاب رو ترجمه کرده)‌ و شما شانس آوردین که قبل از صاحب سرور/برنامه این کتاب رو خوندین و می تونین از طریقش به جایی نفوذ کنین.

شما یا باید به اندازه کافی حرفه ای / باهوش / پر تلاش باشین تا خودتون مشکلی رو کشف کنین که قبلا هیچ کس کشف نکرده و در نتیجه حل هم نشده و از طریقش می شه به یک سرور نفوذ کرد. در صورتی که واقعا چنین کشفی کردین پیشنهادم اینه که اونو به شکل یک مقاله معتبر توی یک کنفرانس معتبر ارائه بدین و تا آخر عمر به عنوان یک متخصص امنیت و هکر معتبر شناخته بشین و نه یک نفر که گوشه خونه اش نشسته دلش خوشه که به یک سرور نفوذ کرده یا یک نفر که گوشه زندان داره عمرش رو تلف می کنه.

یک راه میانه هم هست: مشکلات قدیمی که حالا حل شدن رو یاد بگیرین و دنبال سایت هایی بگردین که مدیر سیستم های تنبلی دارن که این مشکلات رو حل نکردن یا برنامه نویس های بی سواد، سمبل کن و تنبلی که اون مشکلات رو توی برنامه هاشون تکرار کردن و بعد اگر به چنین مواردی برخوردین اون سایت رو هک کنین. با اینکار تبدیل می شین به یک بچه اسکریپتی که کارش استفاده از نتیجه کار بقیه است و اجرای برنامه های «هک» (: اوه.. در این موارد معمولا خودتون قربانی کسی هستین که برنامه هک کننده ای که شما باهاش سایت های آپدیت نشده و قدیمی رو «هک» می کنید رو نوشته.

توش پول هست؟

نه. توی نفوذ به سرور پول چندانی نیست. حتی شغل «متخصص امنیت / تست نفوذ / ….» هم پول خیلی زیادی نداره در مقابل زحمت و بازار سختش. قصه هایی مثل اینکه فلان شهر همه از دزدی کارت اعتباری پولدار شدن و فلانی کارش نفوذ به سرور و فروش اطلاعات است و فلان فروم مخفی که توش اکانت بانک مردم معامله می شه رو جدی نگیرین. چنین اطلاعاتی لو می رن و فروش هم می رن اما سود نهایی بسیار کمه چون مقدار پول در جهان ثابته و انواع و اقسام سیستم ها هستن برای پیگیری چنین موضوعاتی. اگر کسی پول زیادی به دست بیاره معنی اش اینه که کسی پول زیادی از دست داده (یا کسان زیادی هر کدوم پول کمی از دست دادن) و سیستم های کامپیوتری دائما مشغول بررسی این موارد هستن و تشخیصشون می دن و از روی لاگ ها به راحتی قابل ردیابی است.

چجوری گوگل / یاهو / … رو هک کنم؟

اینکار در عمل غیر ممکنه. این سیستم ها بسیار پیشرفته هستن با کلی کارمند برای مقابله با هک شدن. کاری که می تونین بکنین اینه که یک صفحه شبیه صفحه گوگل درست کنین و برای دوستاتون لینکش رو بفرستین تا توشون لاگین کنه و شما پسوردش رو بدزدین. یا اینکه ازشون بخواین رو کامپیوتر شما لاگین کنن و پسوردشون رو ذخیره کنین و اینجور کارهای غیرشرافتمندانه اما اگر بحث کار فنی است، روی اینجور سایت ها حساب باز نکنین (:

پس من چیکار کنم؟

قدم به قدم جلو برین و چیز یاد بگیرین. آدم معتبری بشین و کارهای خوب بکنین. ادعای «من هکرم» برای دوستانی که از این چیزها سر در نمی یارن ممکنه شما رو باحال جلوه بده ولی در طولانی مدت دچار پدیده ای می شین که من بهش می گم «از خود جلو افتادن». همون مشکل کلاسیکی که توش شما تظاهر می کنین به کردن کارهایی که از سطح خودتون بالاتره و این باعث می شه هیچ وقت جرات نکنین یکبار دیگه از پایه شروع کنین و پیش برین. مجبورین دائما بگین «اینو بلدم» و این خطرناک ترین چیز برای چیز یاد گرفتن است. از کاری که می کنین لذت ببرین و قدم به قدم توش پیش برین (: بقیه رو هم کپی نکنین چون به اندازه کافی «بقیه» داریم (:

بسیار مرتبط: مقاله چگونه هکر شویم یک هکر واقعی (اریک ریموند) رو بخونین

اگر سوال دیگه ای هست که جا افتاده تو کامنت ها بگین که جواب بدم (:

دیشب برنامه شصت دقیقه بی بی سی فارسی به سراغ آقای خسرو زارع پر سر و صدا رفت و چند دقیقه ای باهاش حرف زد. اینکه به سرعت طرف رو پیدا کردن و آوردن برنامه به عنوان یک کار خبری خوب بوده ولی از بی بی سی انتظاری خیلی بیشتر می‌رفت.

آقای زارع با افتخار توی برنامه نشست و صحبت کرد بدون اینکه از سابقه کارش حرفی زده بشه یا بعدش یک کارشناس امنیت نظر بده در مورد حرف هاش. بذارین قبل از بررسی کار بی بی سی خود جریان رو مرور کنیم:

• آقای زارع این اطلاعات رو از طریق پست مدیریتی در شرکت اجرا کننده پروژه به دست آورده نه به عنوان یک آدم فنی مستقل. خودش هم چند بار توضیح می ده که کسانی به این اطلاعات دسترسی داشتن که پیمانکاران همون شرکت بودن. اینکار خیانت در امانت است. درسته که باید جلوش گرفته می شد ولی کار ایشون اصلا به این معنی نیست که یک آدم غیرمورد اعتماد هم می تونست به همین اطلاعات دسترسی داشته باشه. پس این الزاما یک حفره امنیتی نیست بلکه مشکل امنیتی پروسه های مبتنی بر اعتماد به افراد دخیل در سیستم است.
• آقای زارع توی وبلاگش می گه که با این اطلاعات به سراغ مسوولین بانک ها رفته و درخواست کرده که به ازای هر پسورد که بهشون بده بهش پول بدن. اونها گفتن که اینکار رو قبول ندارن ولی حاضرن در مقابل نشون دادن محل نشت اطلاعات هزینه کنن. معامله صورت نگرفته و آقای زارع چاره رو در این دیده که از کشور خارج بشه و اطلاعات رو منتشر کنه. آیا اگر بهش پول می دادن الان با همون دسترسی که داشت بر اساس نیاز مالی هر روزش یکسری پسورد می داد و پولشون رو می گرفت و زندگی ادامه پیدا می کرد؟
• چیزی که من از صحبت ها و شنیده ها درک کردم این بود که پسوردها از از یک بانک اطلاعاتی که افراد مختلفی بهش دسترسی دارن درز می کنه. قبول نکردن پیشنهاد نفوذ اخلاقی به بانک و نشون دادن محل نشت پسوردها و در مقابل درخواست پول در مقابل پسوردهای کارت ها این حدس رو تقویت می کنه. به هرحال این حدس ممکنه درست نباشه ولی اگر درست باشه معنی اش اینه که شرکت مورد نظر کاملا مبتنی بر اعتماد به افراد و مشاوران کار می کنه. این کاملا اشتباهه ولی کسانی که به این بانک اطلاعاتی دسترسی دارن و اطلاعاتش رو کپی می کنن هم کارشون شدیدا غیراخلاقی است، بخصوص اگر شروع کنن به خاطر داشتنش درخواست پول بدن
• آقای زارع می گه پسورد رو بین ده رقم دیگه مخفی کرده و در پسورد قابل استفاده نیست. این کاملا اشتباهه. پایینتر در این مورد حرف می زنم. به نظر من اینکار شدیدا تجاوز است به حریم خصوصی افراد.
• ایشون بعد از اینکه با مدیر شرکت به مشکل برخورده و نتونسته از بانک ها هم به خاطر هر پسوردی که داره پول بگیره به خارج رفته و پسوردها رو لو داد و مدعی شده که باید مجامع جهانی ازش حمایت کنن یا مردم بهش کمک مالی کنن؟!! حمایت از کی؟ کسی که پسوردهایی که بهشون دسترسی داشته رو یکضرب منتشر کرده روی وب ؟ اینکار در قانون ایران و هر جایی از دنیا که قانونی مربوط به حفاظت اطلاعات، حریم خصوصی، نفوذ به اطلاعات غیر مجاز، انتشار اطلاعات محرمانه و … داشته باشه جرمه و جرم سنگینی هم هست. نظر شخصی ام اینه که هر قاضی ای حکم خواهد داد که این آدم رو به ایران پس بدن. از این جریان ناراحت می شم چون می دونم تو ایران عادلانه باهاش رفتار نمی شه.
• حرکت بی بی سی در بعد از مصاحبه با آقای زارع بسیار ضعیف بود. کسی که به وضوح مجرم است نباید بیاد توی تلویزیوین یک خبرگزاری و یکطرفه حرف بزنه و بعدش هم یک نفر در این مورد صحبت کنه که چقدر مهم است که پسوردها رو عوض کنیم هر چند وقت یکبار و توصیه های عمومی امنیتی بکنه – این توصیه ها بسیار لازمن و خوب بود همراه این خبر می بودن ولی به شرطی که یک منتقد یا متخصص هم در بعد از توضیحات یکطرفه و گمراه کننده آقای زارع، صحبت می کرد. من از رسانه و قواعد آوردن آدم ها توش سر در نمی یارم ولی به سادگی می فهمم که اگر به خاطر ابعاد خبر و نزدیکی اش به تک تک ما ایرانی ها این آدم لازم بود بیاد تو تلویزیون، بعدش باید یک متخصص امنیت یا یک نفر که حقوق سایبری بدونه میومد و صحبت می کرد و نظرات مخالف رو هم می گفت. الان جوری عمل شده انگار یک نفر آدم دلسوز مشکلی رو پیدا کرده و در داخل کشوری کسی بهش گوش نداده و حالا رفته بیرون داره سعی می کنه فسادی رو افشا کنه. این آدم دلسوز نیست. پایینتر حرف می زنم.
• آقای زارع خودش مسوول این برنامه بوده! اگر هم مشکلی هست مستقیم باید به خودش برگرده! این رو چرا کسی نمی گه؟ درسته که توی شرکت مدعی مشکلات متنوع و عدم همکاری و فساد و غیره است ولی مثل اینه که من کلیدساز باشم و بعد که کل کلیدهای شهر رو نصب کردم بگم «این قفل ها به یک روشی که من می دونم قابل باز شدن هست دوستان» و ادعا کنم که همه باید با من مهربون باشن و بهم باج بدن تا نرم از خونه شون دزدی و در ضمن رییس قبلی من هم خیلی آدم بدیه

اما گفته بودم یکی دو تا از نکات رو کاملتر توضیح می دم… اول اینکه آیا این آدم حریم خصوصی افراد رو نقض کرده و‌آیا این اطلاعات منتشر شده قابل استفاده و دوم صحبت در مورد خیرخواه بودن این آدم.

حریم خصوصی آدم ها توسط این آدم نقض شده

پسوردها قابل پیدا کردن هستن. این «متخصص آی تی» باید قبل از انجام چنین کار بزرگی به این فکر می کرد که داره یک پسورد چهار رقمی رو بدون فاصله انداختن بین عددهاش «لای» یک عدد ده رقمی «مخفی» می کنه. یعنی چی؟ یعنی مثلا اگر پسورد من باشه 1111 اون به شکلی مخفی نوشته 5555511115555. درسته که الان من و شما راحت می بینیمش ولی اگر کسی ندونه چی؟ خب اگر کسی پسورد دقیق رو ندونه به راحتی می دونه که پسورد من هست 5555 یا 5551 یا 5511 یا 5111 یا 1111 یا 1115 یا 1155 یا … و ده حالت بیشتر نداره! یعنی احتمال درست بودن اولین حدس ۱۰٪ است و چون طرف سه تا حدس می تونه بزنه احتمال درست بودن یکی از حدس ها (با ضریب اشتباهی کوچیک) ۳۰٪ است. به عبارت دیگه یک دزد می تونه با خوندن اطلاعات یک کارت بانکی سالم، تغییر بخش شماره حساب خونده شده به یکی از کارت های منتشر شده توسط این فرد و نوشتن اطلاعات روی کارت جدید شانس این رو داشته باشه که در سی درصد مواقع از اون کارت پول برداره. دقت کنین که دزد روی شما تمرکز نکرده که حتما از کارت شما پول برداره بلکه کارت های مختلف رو امتحان می کنه و طبق محاسبات بالا از نظر آماری می تونه از یک سوم این کارت ها (سی درصدشون) یعنی تقریبا از یک میلیون کارت پول برداره.

این محاسبه فقط جنبه آماری داره. مطمئنا جلوی اینکار همین الان گرفته شده. شماره کارت من بین این کارت ها نبود ولی اگر هم بود امکان عوض کردن پسورد رو الان نداشتم و به هیچ وجه هم نگرانش نبودم چون می دونستم در عمل اتفاقی نمی افته. این بحث فقط به این سمته که این روش «مخفی کردن رمز چهار رقمی در یک عدد چهارده رقمی» بسیار بچه گونه است. قول هم می دم اگر این بخش رو یک متخصص آمار بازنویسی کنه فقط با داشتن چند پارامتر کوچیک مثل احتمال استفاده بیشتر از یک رقم خاص در پسورد (پسورد شما توش شش یا دو داره؟ (; )) می تونست احتمال حدس درست عدد پسورد در یک عدد چهارده رقمی رو بالاتر هم ببره.

در ضمن ! بحث فقط بانک نیست. آدم ها معمولا پسوردهای ثابت دارن. الان شماره گاوصندوق اتاق هتل من با شماره کارت بانکی ام یکیه و این آدم ممکن بود شماره گاوصندوق بانک من رو هم منتشر کرده باشه. همینطور رمز ورودم به داخل ساختمون شرکت رو. این آدم بدون شک حریم خصوصی آدم های زیادی رو نقض کرده. من کماکان برای کارش خطر اقتصادی فیزیکی قایل نیستم (سلب امنیت روانی و ایجاد استرس و احساس عدم امنیت و غیره به کنار.. منظورم اینه که حس نمی کنم الان ممکنه کسی که قبلا اینکار رو نمی کرده از حساب کسی پول برداره با این اطلاعات) ولی معتقدم این آدم با اینکار حریم خصوصی انسان ها رو نقض کرده

این آٔدم خیرخواه نیست – هکر هم نیست

هکر برای ما واژه مهمیه. رسانه ها به کسی می گن هکر که وارد سیستم های مردم بشه ولی ما به کسی می گیم هکر که دنیا و چیزهای توش رو عمیق تر از بقیه ببینه – مثل ماتریکس. این آدم هکر نیست و چیزی هم این وسط هک نشد. این آدم مسوول نوشتن یک نرم افزار بوده و الان می گه که اون نرم افزار مشکل امنیتی داره و من پسوردهای شما رو کپی کردم بردم پیش بانک ها و گفتم به ازای هر دونه اش باید بهم پول بدن و اونها گفتن نه و حالا من رفتم خارج و اینها رو منتشر کردم.

اینکار برای من شبیه انتقام گیریه و بدون شک جرم. درخواست هایی مثل «درخواست از سازمان های جهانی و حقوق بشر برای حفاظت از من» یا حتی درخواست مسخره تر از مردم برای کمک مالی فقط و فقط معنی همون توهمی رو می دم که وقتی کسی یک قاضی رو ترور کرد فکر کرد بعدش باید بره خارج خودش رو به سفارت آمریکا معرفی کنه تا اونها بهش پناهندگی سیاسی بدن. قتل جرمه و مجرم به کشوری که توش جرم انجام داده تحویل می شه. اینکار هم جرمه و هیچ ربطی به حقوق بشر نداره. به اون سناریو فکر کنین که بانک ها به اون پیشنهاد آقای زارع مبنی بر اینکه در مقابل هر پسوردی که نشون بده بهش پول بدن عمل می کردن تا بدونین چقدر خیرخواهی توی اینکار هست.

از طرفی حتی اگر ایشون می خواست اینکار اشتباه رو بکنه می تونست بسیار با احتیاط تر و اخلاقی تر و کم ضربه زننده تر ثابت کنه که این اطلاعات رو داره. مثلا می تونست به جای اون روش بچگونه مخفی کردن یک عدد چهار رقمی لای ده رقم اضافی که ۳۰٪ احتمال حدس درست رو به هر کسی می ده (که روی سه میلیون شماره می شه حدس درست پسورد یک میلیون کارت) اینکار رو بکنه که هر کارت رو فقط با دو رقم اول پسوردش منتشر کنه. اینطوری دارنده کارت و مسوول بانک مطمئن می شدن که طرف پسورد رو داره (چون مثلا می دونه کارت من به شماره X پسوردش با 84 شروع می شه) و احتمال حدس صمیم توسط یک هکر رو هم ده برابر کمتر می کرد (در حد سه درصد بعد از سه تلاش). در عین حال این آدم اگر نیازمند توجه بود می تونست هر جمعه، مثلا صد هزار کارت رو منتشر کنه (با گفتن تنها دو رقم اول پین کد) و اینجوری هر هفته کلی آدم رو بکشه به وبسایتش و هر لحظه که توجه کافی بهش شد و به نتیجه دلخواهش (مثلا رفتن آبروی فلان شرکت یا اومدن مسوولین به میز مذاکره یا حمایت سازمان های حقوق بشری ازش یا هر چی) رسید کار رو متوقف کنه.

پس این آدم از نظر من به هیچ وجه خیرخواه نیست. بنا به گفته های خودش بعد از اینکه با شرکتش به مشکل برخورده ، اول سعی کرده از شرکت صاحبکارش که دسترسی به این اطلاعات رو از اون طریق داشته و بعد بانک ها که می تونستن متضرر بشن پول بگیره و وقتی پول ندادن با نقض حریم خصوصی دارنده سه میلیون کارت و افشای اطلاعات محرمانه سعی کرده ضربه محکمی بزنه.

جمع بندی

این رو نوشتم که بگم کار بی بی سی به نظرم حرفه ای نبود. باید از دیدگاه مقابل هم کسی می بود برای حرف زدن و باید به گذشته و پروسه رسیدن این جریان به اینجا هم توجه می کردن. به نظر من این آدم آدمی می یاد که به خاطر شغلش به اطلاعات مهمی دسترسی داشته – که دیگران هم داشتن و اون از این ناراحت بوده – و در لحظه ای فکر کرده می تونه پولدار بشه ولی بانک فقط قبول کرده در مقال نشون دادن دقیق محل مشکل پول بده و نه به ازای هر پسورد هر کارت و این معامله سر نگرفته. بعد این آدم سعی کرده ضربه ای کاری بزنه و به اشتباه ترین وجه ممکن حریم خصصوی یکسری آدم رو نقض کرده بدون اینکه واقعا بهش نیازی باشه. دیشب هم بی بی سی به خاطر خبر بزرگ و هیجان مصاحبه مستقیم با کسی که همه ایران دارن بهش نگاه می کنن به سراغش رفته بدون اینکه دقت کنه باید نظر مقابل و انگیزه طرف رو هم در این جریان لحاظ کنه. درسته که زارع توی برنامه کراوات زده بود و سنش بالا بود و سعی کرد از کسی اسم نبره و خودش رو خیرخواه مردم نشون بده ولی با استدلال های بالا این حداقل برای من شدیدا مورد شکه و خیلی خوب بود اگر بی بی سی بعدش به جای صحبت در مورد اینکه پوز چیه و چقدر عوض کردن پسورد کارت مهمه به سراغ این می رفت که یک نفر این جریان رو نقد کنه تا اعتبار خبری حرفه ای اش برای من حفظ بشه.

البته چلنج در مورد نقض حریم شخصی حین مصاحبه نسبتا خوب بود و بعدش هم گفته شد که تلاش کردن با اون شرکت تماس بگیرن که جواب نگرفتن. مشخصه. اون شرکت فعلا گیجه و تحت فشار. احتمالا کاملا مقصره در این جریان ولی این دلیل کافی نیست برای صحبت های یکطرفه و حق به جانب یک مجرم احتمالی توی بی بی سی.

این دو تا نکته رو هم نگم ممکنه خفه بشم:

• بی بی سی تنها رسانه ای است که من اگر بخوام اخبار فارسی رو دنبال کنم می خونم. اینها رو نوشتم که بهتر بشه. کلا قابل قیاس با بقیه رسانه های فارسی نیست ولی باید شدیدا مواظب باشه که نیافته توی تله VoA شدن . بی بی سی مین استریم مدیا است و مال و غیره و غیره ولی بین چیزهایی که من بهش دسترسی دارم اولویت اول رو داره برای گرفتن اخبار منطبق بر واقعیت.
• این اطلاعات روی سرورهای گوگل و بلاگ اسپات فرانسه منتشر شدن. احتمالا یک تذکر پلیس بین الملل می تونه این اطلاعات رو از این سایت حذف کنه و پروسه های قضایی مختلفی رو به جریان بندازه ولی ظاهرا ما واقعا آماده مقابله با تهدیدات سایبری نیستیم و جنگ سایبری رو کلا با دیفیس کردن سایت ها و کامنت گذاشتن تو وب اشتباه گرفتیم. احتمالا تو خیلی کشورها اینکه یک روز خودپردازها تعطیل بشن ضربه عظیمیه چه برسه به اینهمه ماجرای مرتبط با این اتفاق.

واقعا نمی دونم چند نفر ممکنه تا اینجا رو بخونن (((: به هرحال اگر تا اینجا رو خوندین یک مدال tl;dr بهتون تقدیم می شه با احترام

نگین من ضد مایکروسافت هستم ها (: من ازش تعریف هم کردم. خودش هی سوتی پشت سر هم می ده (: جدیدترینش هم این که هفته قبل هکرها با ماسک ناشناس تونستن به یک فروشگاه آنلاینش نفوذ کنن و این عکس رو بذارن سردرش:

تا اینجا چیزی خیلی عجیب نیست. دیفیس (Deface) کردن یک سایت اصلا کار عجیبی نیست اما جریان از جایی حساس شد که مشخص شد هکرها به بانک اطلاعاتی پسوردهای کاربران سایت هم دسترسی پیدا کنن: یک مجموعه پسورد متنی رمزگذاری نشده!

هدف اصلی هکرها مشخص نیست. روی صفحه نوشتن که «سیستم ناامن، غسل تعمید داده خواد شد» و فروشگاه چند روزی تعطیل شده. فایل منتشر شده از پسوردها این شکلی است:

هک شدن یک سایت اصلا غیرطبیعی نیست و پیش می یاد ولی این خیلی غیرطبیعی است که یک فروشگاه آنلاین – اونم متعلق به یک شرکت عظیم به اسم مایکروسافت – اطلاعات کاربرانش رو توی یک فایل متنی به شکل متنی و سر راست و قابل دسترس از طریق وب سروری هک شده، نگهداری کنه.

منبع

با کمک پلیس بین المللی، بیست و پنج نفر به اتهام همکاری با گروه هکرهای ناشناس در اسپانیا و سه کشور آمریکای جنوبی دستگیر شده‌اند. اتهام این آدم ها دیفیس کردن سایت‌های دولتی و شرکت‌ها اعلام شده. به نقل از رویترز:

پلیس اسپانیا همچنین یکی از چهار مظنون دستگیر شده در شهرهای مادرید و مالاگا متهم کرده است به افشار اطلاعات شخصی افسران پلیس و محافظانی که از خانواده سلطنتی اسپانیا و نخست وزیر حفاظت می‌کنند.

دستگیری‌های دیگر در آرژانتین، شیلی و کلمبیا بوده‌اند که در کل از پانزده شهر، بیست و یک نفر دستگیر و تقریبا ۲۵۰ ابزار دیجیتال ضبط شده است.

و خب همزمان هم صفحه صفحه پلیس بین المللی، پایینه:

هکرهای انانیموس یا ناشناس یک مفهوم عمومیه که این روزها برای مجموعه ای از عملیات استفاده می شه. در اصل یک جور امضای جمعی است که زیر یک شکل از عقیده و عمل گذاشته می شه. این هکرها اکثرا دارن از DDOS برای پایین آوردن سایت های مهم استفاده می کنن و در مواردی هم اطلاعات بسیار عظیم یا حساسی رو به رایگان با همه به اشتراک می ذارن. اولی واقعا نیاز به سطح سواد فنی بالا نداره و دومی احتمالا فقط یک امضای مشابه است پشت یک عقیده عمومی یعنی الزاما همون هایی که دی.داس می کنن، نفوذ و افشا هم نمی کنن ولی چون تیپ ایده‌هاشون شبیه است، با هم از یک امضا استفاده می کنن.

دوستی ایمیل کناری رو به همین شکل عکس دریافت کرده و برای من فوروارد کرده و پرسیده که به نظرش این جریان فیک (fake یا تقلبی) است و نظر من چیه.

نظر من که معلومه… می دونم که نظر شما هم معلومه ولی می خوام یک راهنمایی کوچیک بکنم که بتونین راحت همه اینها رو تشخیص بدین.

ذهن توانایی قوی ای داره توی دروغ گفتن به خودش و گول زدن خودش. اما یک روش هست که جلوی اینکار رو می گیره: تکرار شفاف فاکت ها. فاکت چیزی است که بهش اطمینان داریم… حینی که ذهن داره می گه شاید واقعا شما ۸۰۰۰۰۰ پوند برنده شده باشین و زندگیتون عوض شده باشه و غیره یک لحظه توقف کنین و واقعیت هایی که ازشون اطمینان دارین رو تکرار کنین. اینکار معمولا می تونه جلوی هر گول خوردنی رو بگیره. من این واقعیت ها رو می بینم:

من یک ایمیل دریافت کردم از یک فرستنده ناشناس که توش یک عکس اتچ شده که دوبار عکس لوگوی گوگل توش هست و توش نوشته که من به مناسبت پونزدهمین سال گوگل به شکل اتفاقی انتخاب شدم تا ۸۰۰ هزار پوند بگیرم و برای اینکار فقط کافیه که مشخصات فردی خودم رو برای فرستنده ایمیل که درست هم نمی دونم کی است ارسال کنم. راستی! من قبل از این عکس که به عنوان ایمیل برام فرستاده شده نه چیزی از پونزده سالگی گوگل و دادن چند میلیون پوند جایزه به اون دلیل شنیده بودم و نه توی هیچ مسابقه ای شرکت کرده بودم.

جواب من به دوستم یک خط بیشتر نبود و اونم با خنده مطمئن شد که تشخیص خودش درست بوده و این تقلبی است:

به اصل اول مقابله با دروغ های اینترنتی رجوع کن: محاله کسی در مسابقه ای که شرکت نکرده، برنده بشه.

اسمش رو هم بذارین اصل اول جادی (: درسته که این مسابقه نیست ولی گوگل اگر می خواست چند میلیون پوند جایزه بده، مطمئن باشین با سر و صدای خیلی بیشتری اینکار رو می کرد و اینجوری نبود که شما هیچ چیز نشنیده باشین و یکهو یک عکس براتون ایمیل بشه که با دو بار تکرار لوگوی گوگل (که البته یک علامت قفل هم بهش اضافه شده یعنی خیلی امنه!) یواشکی بگه شما برنده شدین و حالا باید مشخصات فردی و مشخصات حساب بانکی خودتون رو برای اونها بفرستین.

اما چرا؟

اگر ده سال پیش بود، بهتون می گفتن که سریع مشخصات بانک و پسورد اینترنتی اونو براشون بفرستین تا پول رو به حسابتون بریزن. الان همه می دونن که نباید پسورد اینترنتی بانک یا مشخصات کارت اعتباری رو به کسی بدن پس در قدم اول کسی از شما اینو نمی خواد تا مغزتون بتونه شما رو گول بزنه. وقتی مغز گولتون زد و یکسری مشخصات نیمه بی ضرر مثل آدرس و اسم و حساب بانکی و اینها رو بهشون دادین، می گن «اوه! ما اومدیم پول رو بریزیم ولی بانک گفت این حساب مشکوکه و باید پسوردش رو هم بدین، پس ممکنه پسورد اینترنتی تون رو هم لطف کنین؟» یا شاید هم اگر طمع کمتری داشته باشن بگن «اوه! ما اومدیم پول رو بریزیم ولی طبق مقررات گفتن که هزینه انتقال هشتصد هزار پوند انگلیس به حساب شما تقریبا چهار هزار دلار مالیات می خوره. ما این رو پیش بینی نکرده بودیم و براش بودجه نداریم پس خوشحال می شم اگر لطف کنین و این چهار هزار دلار رو به حساب ما بریزین تا ما سریعا یک ساعت بعدش هشتصد هزار تا رو منتقل کنیم. اگر امروز نتونین اینکار رو بکنین شاید فردا گوگل کلا با انتقال مخالف کنه».

و اگر فکر می کنین همین که چهار هزار تا رو ریختین اینها غیب می شن اشتباه می کنین! بعد از ریختن چهار هزار تا یکی دو روز ازشون خبری نمی شه و بعد می گن «اوه! حساب منتقل شده اما بلاک است چون شما برای انتقال از حساب دیگه ای استفاده کردین و اون چهار هزار تا هم بلاک شده. لطف کنین هشت هزار تای دیگه از همین حسابی که دریافت کننده پول است منتقل کنین تا ما بتونیم همه پول که الان در حساب شما است ولی بلاک شده رو آزاد کنیم»

و اگر فکر می کنین بعد از این هشت هزار تای دوم اینها غیب می شن بازهم اشتباه می کنین… این ماجرا تا لحظه که شما به امید برگردوندن پول اولیه و بعد به امید حداقل برگشت پول دوم و غیره و غیره در حال واریز پول هستین ادامه خواهد داشت… پس از همین اول، اصل اول جادی در کلاهبرداری‌های اینترنتی رو فراموش نکنین: محاله کسی در مسابقه ای که شرکت نکرده، برنده بشه.