برچسب: امنیت

قبلا هم توی رادیو گیک در این مورد حرف زدیم که راه انداختن سرویس با سعی و خطا معمولا اصلی ترین دلیل ایجاد مشکلات امنیتی است. وقتی ما نمی دونیم داریم چیکار می کنیم هی سیستم رو بازتر و بازتر می کنیم تا بالاخره اتفاق مورد نظر بیافته و بعد دیگه نمی دونیم حالا کجا رو باید ببندیم.

این اتفاقا مثل اینه که شما تلاش کرده باشین مجوز ورود یک فرد خاص رو به خونه تون بدین. چون دقیقا نمی دونین کدوم کلیدها رو باید براش بسازین، پنجره رو باز میذارین و بهش می گین بیاد تو. اون تست می کنه و نمی تونه. بعد در پارکینگ رو باز می کنین و بهش می گین بیاد تو، نمی تونه. بعد کلا قفل در رو می کنین و بهش می گین بیاد تو، اون نمی تونه چون پلاک خونه رو درست بهش نگفتین. بعد از اینکه چند بار دیگه سعی می کنین و اجزای دیگه خونه رو خراب می کنین، بالاخره می فهمین که مشکل اشتباه بودن پلاک بوده و این رو که هماهنگ می کنین اون با موفقیت می یاد تو و شما هم می گین «ایول.. پس درست شد!». و همه خونه بازه.

این اتفاق توی دنیای کامپیوتر هم بسیار مرسومه. وب سرور ما کار نمی کنه در نتیجه همه چیز ۷۷۷ می کنیم (قابل نوشتن و خوندن و اجرا توسط همه). بعد که بازم کار نمی کنه دسترسی ها رو عوض می کنیم و بعد یکهو یادمون می افته selinux باید خاموش بشه و اون رو خاموش می کنیم و درست می‌شه.

در شکل دیگه ای از این ایجاد مشکل که قبلا بسیار مرسوم بود و به تازگی بازم دائما دیده می شه، مدیر سیستم نیاز داره در مورد چیزی اطلاعات امنیتی دقیق داشته باشه ولی چون حوصله نداره این اطلاعات رو جمع کنه، به شکل تجربی برنامه ای رو نصب می کنه و همین که راه افتاد فکر می کنه مساله تموم شده. این مساله به راحتی می تونه شما رو با سیستم های کاملا دسترسی پذیر از کل جهان تنها بذاره. قبلا به مونگو دی بی نسخه های قبلتر اشاره کردم که اینستال دیفالتش بسیار ناامنه. حالا همین مساله به شدت با HDFS اتفاق افتاده.

در یک بررسی جدید نشون داده شده که حداقل ۴۴۸۷ مورد نصب دیفالت هدوپ قابل دسترسی در اینترنت وجود داره که بیشتر از ۵۰۰۰ ترابایت دیتا روشون ذخیره شده. از این تعداد ۱۹۰۰ تا در آمریکا و۱۴۲۶ تا در چین هستن. کشورهای بعدی آلمان و کره با ۱۲۹ و ۱۱۵ نصب قراردارن.

کل ماجرا تکراری است بر اینکه اگر نمی دونین دارین چیکار می کنین، اول یاد بگیرین یا از یک متخصص کمک بگیرین. نصب دیفالت گاهی می تونه بسیار خطرناک باشه و سعی و خطا کردن برای رسیدن به نتیجه مورد نظر، تقریبا همیشه همراه با تضعیف ایمنی سیستم است.

سینا پرسیده:

مگر همه جا نمیگن ایمیل هایی که طرف رو نمیشناسین رو حتی باز هم نکنین چون ممکنه بد افزار یا هرچیز دیگه داخل اون باشه. پس چرا شما و دیگران این نکته رو رعایت نمیکنین.

این چیزی بود که از قدیم هم مطرح بود و هنوزم هست. بعضی ها می گن اگر می خواین امن بمونین نباید هیچ ایمیل ناشناسی رو باز کنین. ولی چرا؟ چه اتفاقی ممکنه با باز کردن یک ایمیل بیافته؟ راستش رو بخواین در دنیای امروز تقریبا هیچ چیز.

این ماجرا و توصیه بر می گرده به دو نکته:

1. به زمان های قدیم که خیلی ها برای خوندن ایمیلهاشون از ابزارهایی مثل آوت لوک استفاده می کردن که باگ های امنیتی جدی داشت. این تیپ باگ ها به فرستنده های نامه اجازه می دن کدهای مخربی بفرستن که به محض باز شدن ممکن بود کارهای نافرم بکنن
2. مشکل دوم این بود – و هست – که ممکنه ایمیل لینکی به سایتی نامناسب داشته باشه، فایل پیوستی داشته باشه و شما رو به شکلی گول بزنه که دانلودش کنین و اجراش کنین یا مثلا توش اینقدر قانع کننده نوشته باشه «شما برنده صد میلیون دلار شدین، برامون هزار دلار بفرستین تا پولتون رو حواله کنیم» که شما واقعا گول بخورین.

نکته اول در این دنیا کاملا حل شده. اگر از یک ایمیل خون آپدیت مثل تاندربرد استفاده کنین یا حتی امن تر از اون به سراغ کلاینت های تحت وب مثل جیمیل برین، مورد یک کاملا حل شده است. مورد دو هم تا حدی حل شده چون جیمیل اینها رو چک می کنه و حتی خیلی وقت ها محتواها رو هم کش می کنه تا از سرور اصلی لود نشه و گوگل دقیقا بدونه چه اتفاقی در جریانه.

در نتیجه در دنیای فعلی، بازکردن ایمیل خطرناک نیست. البته باز کردن یک ایمیل دو تا کار نامناسب می تونه بکنه:

1. به فرستنده به شکلی خبر بده که ایمیل باز شده. البته گوگل جلوی بخشی از اینها رو می گیره و براش پلاگین هایی هم هست ولی در کل ممکنه فرستنده ایمیل بتونه بفهمه شما ایمیل رو باز کردین
2. محتوای ایمیل ممکنه باعث بشه شما گول بخورین و یک فایل رو دانلود و اجرا کنین، دستور مخربی روی کامپیوترتون بزنین، حساب بانکی تون رو برای کسی بفرستین، به سایتی برین که خیلی شبیه یاهو است و پسوردتون رو وارد کنین و …

و خب برای اولی باید پلاگین های متنوعی که برای عدم شنود هست رو نصب کنین و برای دومی از عقل سلیم در رفتارهاتون استفاده کنین که عملا فقط نیازمند کمی تفکر انتقادی و هیجان زده نشدن و عقلانی رفتار کردن است.

در حالی که همه دنیا با کلی انتخابات شلوغه، کنگره آمریکا شاهد یک اتفاق جالبه: صدور مجوز استفاده از سیگنال به عنوان مسنجر امن اعضای سنا. سیگنال یک اپلیکیشن آی او اس و اندروید است که توسط اوپن ویسپر سیستمز منتشر شده و رمزنگاری سر تا ته رو تضمین می کنه – شبیه چیزی که تلگرام در سکرت چت مدعی است ولی با اعتمادی بیشتر. این ماجرا ادامه حرکت اعضای کمپین اوباما و ترامپ به سمت مسنجر امن سیگنال است که بعد از اخبار مربوط به هک های روسیه اتفاق افتاد.

وقتی می گیم مسنجری سر تا ته امن است یعنی یک پیام در گوشی من رمز می شه و به گوشی شما می رسه و باز می شه. این باز و بسته شدن فقط توسط کلیدهایی ممکنه که فقط روی گوشی من و شما ذخیره شدن. در نتیجه حتی مسوول سیستم هم نمی تونه پیام های ما رو چک کنه. تلگرام هم مدعی چنین چیزی در چت سکرت است ولی چون پروتکل باز استفاده نشده، مساله قابل بررسی توسط افراد مستقل نیست.

اینم جالبه که اعضای سنا الزاما از گوشی های امن استفاده نمی کنن. اونها گوشی های معمولی دارن و مکالمات غیرمحرمانه خودشون رو درست مثل من و شما روی مسنجرهاشون انجام می دن. این مکالمات درسته که «محرمانه» نیستن ولی مطمئنا مهم هستن. در چنین شرایطی مطمئنا حرکت به سمت یک مسنجر کاملا امن یکی از پایه های امنیت ملی آمریکا است؛ بخصوص بعد از اخبار هک مربوط به کمپین ها و نفوذ هکرهای به جاهایی حساسی مثل شورای روابط بین الملل که به گفته نیویورک تایمز «می تونه آینده سیاست آمریکا رو شکل بده».

و خبر جذاب برای ما؟ این مسنجر امن که مشاوران امنیت سنا بهش رسیدن و برای استفاده بین اعضای سنا تایید شده، سیگنال است. سیگنال از پروتکلی شناخته شده استفاده می کنه و سورس کلاینت و سرورهاش همه آزاد و باز هستن و روی گیت هاب. یک جواب خوب به هر کسی که به خاطر ندونستن اصول علمی امنیت، مدعی می شه برنامه اوپن سورس امن نیست. جذابت دوم اینه که دقیقا در دوره ای این توصیه شده که خیلی از سازمان ها دارن می رن به سمت اصرار به استفاده از درهای عقبی و این تصور غلط داره بین سیاست مدارهایی که از امنیت اطلاعات چندانی ندارن جا می افته که اگر یک کلید همگانی درست کنیم که بشه باهاش همه درها رو باز کرد، همه امن تر هستن. این کاملا اشتباهه و امنیت تا حد زیادی یک چیز صفر و یک است. اگر سیستمی رو ذاتا ناامن طراحی کنیم تا مثلا پلیس ها بتونن توش وارد بشن، صد در صد دزدها هم توش وارد خواهند شد.

سنای آمریکا تصمیم جالبی گرفته و لازمه دنیای نرم افزار آزاد و امنیت دیجیتال متوجه باشه که چه قدم بزرگی به سمتش برداشته شده. همچنین این مساله جالبه که زیرساخت های عمومی و مرسوم چطوری میتونن برای بالاترین سطح استفاده از نظر امنیت سایبری استفاده بشن – اونهم با تکیه بر ابزارهایی که در اختیار همگان هستن.

تو جادی.نت خبرهای زرد کم داریم! ولی خب گاهی خبرهای زرد به ما مربوط می‌شن. عنوان این خبر در واقع باید باشه «شوهر دیو سیرتی که همسرش را کشت / به همراه عکس» ولی خب چون من ازش عکس نداشتم و ماجرای قتل هم خیلی مهم نبود، روی موضوع اصلی مرتبط به خودمون مانور دادیم: اطلاعات دستبند ضبط کننده حرکات یا همون فیت‌بیت.

ماجرا اینه که آقایی به پلیس زنگ زده، گفته یک دزد وار خونه شده، اونو به صندلی بسته و همسرش رو با گلوله کشته. اما این آقا تونسته در لحظه حساس خودش رو آزاد کنه، قاتل رو فراری بده و به پلیس زنگ بزنه. پلیس آقای دابات رو در حالی پیدا می کنه که یک دست و یک پاش به یک صندلی تاشو بسته شده بود و همسرش با گلوله به قتل رسیده بود. اما الان آقای دابات به اتهام قتل همسرش در حال دادگاهی شدن است.

شواهد تقریبا به طول کامل علیه دابات هستن: سگ پلیس اثری از بوی آدمی غریبه توی خونه پیدا نکرده، تفنگی که ازش شلیک شده دو ماه قبل توسط خود ایشون خریده شده و برای ما از همه جالبتر، اطلاعات فیت‌بیت بسته شده به مچ مقتول که نشون می ده مقتول یکساعت بعد از زمانی که شوهر مدعی شده دزد شلیک کرده، در حال راه رفتن بوده.

این جمع آوری دائمی اطلاعات چیزی شبیه به یک شمشیر دو لبه است. از یکطرف به ما اجازه می ده در مواردی که لازم داریم بهش رجوع کنیم و از اونطرف باید بدونیم مرزش کجا باید متوقف بشه تا یکسری آدم مدعی نباشن حق دارن همه اطلاعات یکسری دیگه رو به بهانه امنیت، سلامت، رفاه و … خودشون جمع کنن. در واقع این جمع آوری لازمه در پروسه ای دموراتیک،‌ مورد توافق و شفاف انجام بشه و پروسه ای از بالا به پایین نباشه.

مرتبط: اگر هنوز در هیجان بیگ دیتا هستین،‌ باید بگیم که در همین لحظه قشنگ، یادگیری ماشینی در گوگل ترندز به بیگ دیتا رسیده (:

مدتی قبل خبری عجیب داشتیم. توش گروه هکری شدو بروکرز که پشت ماجرای سرقت ابزارهای آژانس امنیت ملی آمریکا بود اعلام کرده بود که اگر برابر ۷میلیون دلار به شکل بیت کوین بهشون داده بشه، این ابزارها رو می فروشن و گفته می شه حداکثر ۹۰۰۰ دلار بهشون رسید. حالا اونها ظاهرا از ماجرا بسیار شاکی هستن در پستی طولانی و جذاب رو مدیوم، پسورد فایلی که حاوی این ابزارهای جاسوسی بوده رو منتشر کردن. اونها می گن دلیل انتشار این ابزارها برای عموم، عدم رضایت اونها از عملکرد ترامپ و بخصوص بمباران سوریه است. پسورد طولانی و عجیب به آدم ها اجازه داده فایل رو باز کنن و به داخلش نگاه کنن.

محققین امنیت می گن بیشتر ابزارهای موجود مربوط به لینوکس و گاهی در حد ۱۹۹۰ قدیمی هستن. حتی یک نفر در مورد یکی از اکسپلویت ها می گه که احتمالا «خاص منظوره ترین اکسپلویتی است که تا حالا دیده ام، لینوکس روی ماشین های دی ای سی آلفا. احتمالا ده تا هدف در کل جهان». از اونطرف نظر اسنودن به اینه که این کاتالوگ منتشر شده فقط بخش کوچیکی از ماجرا است و به ما سرنخ هایی میده که کل ماجرا چطور باید باشه.

این اطلاعات در ادامه انتشار اکسپلویت های ویندوزی توی ژانویه است. بعد از اون ماجرا اف بی آی یک کانترکتور به اسم هارولد مارتین رو دستگیر کرد. به نظر می رسه هارولد در طول دو دهه کارش توی ان اس ای و دفتر مدیر اطلاعات ملی، بیشتر از ۵۰ ترابایت اطلاعات حساس خارج کرده باشه. اون اصلی ترین متهم ماجرای این انتشار هم هست.

منبع اصلی

آوا سوال بانمکی پرسیده:

‌من میخوام پسورد 123456 رو برای اکانت جیمیلم بزارم ولی گوگل به دلیل امنیتی اجازه نمیده و میگه برای منافع خود من مضر هست . ولی من واقعا دلم میخواد پسورد 123456 بزارم. تو با گوگل موافقی که نمیزاره من پسورد 123456 بزارم یا با من موافقی که من حق آزادی پسورد دارم ؟!

دیدگاه بانمکی است. البته اگر فضا رو پیچیده نکنیم داریم می پرسیم «آیا گوگل که یک سرویس ساخته حق داره به من بگه شکل خاصی ازش استفاده کنم؟». جواب بدون شک «بله» است. این همون مغلطه ای است که اتفاقا دوستان مخاف آزادی بیان هی سراغش می رن و می گن «اگر آزادی بیان هست چرا فلان جا حرف منو پخش نکرد؟». خب آزادی بیان یعنی شما حق دارین آزادی بیان داشته باشین، وبلاگ بزنین، تلویزیون داشته باشین و به شکل کلی تر عقیده ای داشته باشین و اون رو تبلیغ کنین .. ولی معنی اش این نیست که می تونین هر چیزی رو در رسانه هر کس دیگه منتشر کنین؛ اونطوری بود که خب همه می خواستن در سر مقاله فلان روزنامه مطلب بنویسن یا تو سی ان ان سخنرانی داشته باشن (:

در اینجا هم ما با یک شرکت طرفیم که یک سرویس ساخته و هر کس بخواد ازش استفاده کنه در محدوده ای معقول باید پذیرای قوانین اون سرویس باشه. شاید من بگم «توی تودوئر فقط از ساعت ۱۰ صبح تا ۱۰ شب می شه کار اضافه کرد». آیا حقی از شما ضایع شده؟ اگر این رو بپذیرین و بیاین تو نه. می تونین از سرویس دیگه استفاده کنین یا مال خودتون رو بنویسین. وقتی حقی از شما ضایع می شه که من بگم «تنها تودولیست مجاز من هستم و قانون اینه و هر کس هم اعتراض کنه دستگیر می شه» (:

پس در این مورد بحثی نداریم. اما بحث جالبتر و پیچیده تر می شه اگر سوال رو تعمیم بدیم به اینکه «آیا یک نفر می تونه به خاطر منافع خودم، منو مجبور به کاری بکنه؟» اینجا باید به جواب های توافقی برسیم با محدوده های خاکستری. مثلا ما الان می پذیریم که والدین یا ولی قانونی حق داره در مورد بچه تحت سرپرستی اش یکسری تصمیم ها رو بگیره. حالا این مرز بچه و بزرگ رو می ذاریم ۱۸ سال.

ولی چطور می شه که مثلا همه ما می پذیریم که کمربند خودرو رو ببندیم؟‌ چطور پلیس ما رو مجبور می کنه؟ این اگر بر اساس تصمیم دموکراتیک جمعی جامعه باشه قابل قبوله. یعنی کلیت جامعه به این نتیجه برسن که اینکار به نفع اکثریت است پس افراد مستقل باید ازش پیروی کنن. کماکان اون اقلیت اجازه دارن علیه این قانون تبلیغ کنن و سعی کنن قانون رو تغییر بدن. این هم تا جایی درسته که این رای اکثریت به شیوه دموکراتیک اتخاذ شده باشه (یعنی با مشارکت نظرات مختلف و حق نظرات مختلف در تبلیغ و تلاش برای تغییر نتیجه) و نافی حقوق پایه ای اقلیت نباشه. مثلا آریایی ها نمی تونن قانون بذارن که یهودی ها باید بمیرن یا ایرانی ها نمی تونن قانون بذارن که مهاجرین افغان اجازه ورود به بیمارستان ندارن.

جواب نهایی؟ بله گوگل حق داره بگه در شرکت من و رو سرویس های من اینطوری رفتار کنین‌ ولی اینکه بگیم فلان پسورد غیرامن است پس هر کس استفاده کرد مجرم است، فعلا غیرقانونیه. البته ممکنه روزی به همین شکل که بستن کمربند ایمنی یا داشتن بیمه شخص ثالث اجباری است، اونم اجباری بشه؛‌ هرچند که اگر در چنان جامعه ای باشیم و کسی بتونه کشف کنه که پسورد فعلی شما ۱۲۳۴۵۶ است، اول باید اون سرویس رو به خاطر امن نبودن، تعطیل کنن.

توضیح خاص: یه اشتباه شد.. یک دوستی بهم یه نظر تو چت داد. من هیچ وقت چت های اینطوری رو جواب نمی دم چون جاشون تو کامنت است ولی خب از روشون رد می شم. در این مورد خاص اشتباهی دستم خورد به اسپم و نه پرسید و نه هیچچی و طرف رو اسپم کرد (: اگر اینجا رو می خونی شرمنده ((:

یک خانم شصت ساله رو تصور کنین که با چند میلیون پول نقد می خواد بره سفر. کیف دستی و چمدونش رو می ذاره روی نقاله ایکس ری و خودش رد می شه… اونطرف ایکس ری کیفد دستیش نیست، با چند میلیون پول توش. چک پول‌ها توی یک پاکت هستن، در یک زیپ از جیب کناری کیف. کاملا دور از دسترس.

حینی که خانم داره به مامور دستگاه اشعه ایکس اعتراض می کنه که کیف دستیش نیست و از مامور ایکس رای می شنوه که غیرممکنه اینجا چیزی گم بشه. در همین حین ماور ازش می پرسه «چمدون شما کدوم بود؟» و بعد از مشخص شدن چمدون می گه مشکوک است و باید دوباره روی ایکس رای گذاشته بشه، توسط خود خانم. خود خانم حین اعتراض به نبودن کیف دستی و اینکه چرا باید کیف رو دوباره رد کنه، با چمدونش به پشت دستگاه ایکس رای بر میگرده و چمدون رو می ذاره روی نوار نقاله و دوباره بر می گرده مساله کیف رو پیگیری کنه که مامور، کیف رو بسته ولی دست خورده و کثیف رو زمین نشون می ده و می گه «این نیست کیف شما؟‌ از کنار نوار افتاده بود پایین ندیدینش».

سوار هواپیما می شن، پرواز می کنن، فرود می یان و وقتی می خوان به تاکسی پول بدن معلوم می‌شه که پاکت پول ها هم نیست.