یکشنبه‌ها با امنیت دیجیتال (۷)

امروز یک روز خاص برای اینترنت است و خوشبختانه هفتمین شماره یکشنبه‌ها با امنیت دیجیتال مصداف با این روز شده است؛ روز آزادی اینترنت یا Internet Freedom Day که برای مقابله با طرح قانون توقف سرقت آنلاین یا همان SOPA در سال ۲۰۱۲ نامگذاری شد و هر سال این روز توسط سازمان‌ها و شرکت‌های مختلف مورد توجه قرار می‌گیرد.

علاوه بر این توجه شما را به مطلبی که روز جمعه در مورد برتری تلگرام نسبت به وایبر نوشته‌ام جلب می‌کنم و خوشحال خواهم شد که آن را به دوستان و آشنایان خود نیز معرفی کنید.

با این مقدمه بد نیست به سراغ هفتمین شماره یکشنبه‌ها با امنیت دیجیتال بروم که بسیار پربار است 🙂


– هک شدن حساب‌های توییتر و یوتیوب مرکز فرماندهی ارتش آمریکا: در هفته گذشته حساب‌های توییتر و یوتیوب مرکز فرماندهی ارتش آمریکا (CENTCOM) که بر روی فعالیت ارتش آمریکا در کشورهای عراق و سوریه نظارت می‌کند، توسط هکرهای حامی داعش با نام CyberCaliphate هک شد.

تصویری از حساب توییتر هک شده مرکز فرماندهی ارتش آمریکا توسط هکرهای حامی داعش
تصویری از حساب توییتر هک شده مرکز فرماندهی ارتش آمریکا توسط هکرهای حامی داعش

در مدت زمانی که این حساب‌ها در کنترل هکرهای حامی داعش قرار داشت، یک سری اطلاعات از کارکنان این مرکز و همچنین پیام‌های اخطار به سربازهای ارتش آمریکا بر روی حساب توییتر و یوتیوب CENTCOM منتشر شد. البته این نکته را باید بگویم که اطلاعات منتشر شده توسط این هکر محرمانه نبوده است.

هر چند که در مورد روش نفوذ به این دو حساب مرکز فرماندهی ارتش آمریکا اطلاعات خاصی منتشر نشده است، اما حدس‌های مختلفی در این زمینه زده می‌شود مانند آنکه یکی از افرادی که دسترسی به این حساب‌ها داشته است، قربانی حمله فیشینگ شده است. علاوه بر این، براساس آنچه گاردین منتشر کرده است، به احتمال زیاد فرد پشت این حمله سایبری یک بریتانیایی است که هم اکنون در سوریه است و به داعش پیوسته است. نام این فرد جونید حسین است و در سال ۲۰۱۲ میلادی به جرم دسترسی به حساب‌های خصوصی تونی بلر، نخست وزیر سابق بریتانیا، دستگیر و به زندان محکوم شده است.

شاید گفتن این نکته هم جالب باشد که در واکنش به این حمله سایبری، گروه انانیموس بیانیه‌ای را بر روی اینترنت منتشر کرد و از آغاز حملات سایبری بر علیه داعش خبر داد. اطلاعات بیشتر…

– گوگل امنیت بیش از ۹۰۰ میلیون دستگاه اندروید را به خطر انداخت: اگر دستگاه اندورید شما از نسخه ۴.۳ یا پایین‌تر اندورید (Jelly Bean یا پایین‌تر) استفاده می‌کند، باید بدانید که به دلیل وجود یک حفره امنیتی در WebView، امکان حمله به دستگاه شما و دزدیدن اطلاعات‌تان وجود دارد! چرا؟

به این دلیل که گوگل دیگر هیچ وصله امنیتی برای WebView برای اندروید نسخه ۴.۳ و پایین‌تر نمی‌دهد هر چند که اگر فردی یا سازمان مستقلی این کار را کند، به عرضه آن کمک می‌کند. حفره امنیتی موجود در WebView توسط تاد بردسلی (Tod Beardsley)، مهندس در شرکت Rapid7 کشف شده است و مدتی قبل توسط وی به گوگل گزارش شده بود که گوگل در پاسخ وی از عدم عرضه وصله امنیتی برای WebView در اندروید ۴.۳ و پایین خبر داده است!

اگر نمی‌دانید WebView چیست باید بگویم که این امکان به شما این اجازه را می‌دهد که صفحه‌های وب را بدون نیاز به باز کردن یک مرورگر مجزا مشاهده کنید. به عنوان مثال اگر از فیدلی استفاده می‌کنید و از داخل آن می‌خواهید مطلب یک وبلاگ یا وب‌سایت را مشاهده کنید، شما از امکان WebView استفاده می‌کنید. حال آنکه اگر فردی این حفره امنیتی را شناسایی کند، با ایجاد یک صفحه حاوی بدافزار به راحتی می‌تواند میلیون دستگاه اندورید را قربانی خود کند. اطلاعات بیشتر…

– آغاز عملیات #OpCharlieHebdo گروه انانیموس بر علیه اسلامگریان تندرو: گروه انانیموس که یکی از معروف‌ترین گروه‌های هکر در دنیاست در واکنش به حمله تروریستی بر علیه دفتر مجله هفته‌نامه شارلی ابدو از آغاز #OpCharlieHebdo بر علیه حساب‌های و وب‌سایت‌های اسلامگریان تندرو خبر داد. براساس بیانیه‌ای که گروه انانیموس منتشر کرده است، این عملیات شامل تمام گروه‌های تندرو اسلامگرا مانند داعش و القاعده می‌شود. شما می‌توانید لیست حساب‌ها و وب‌سایت‌هایی که در این عملیات هک شدند را در اینجا و اینجا مشاهده کنید. البته این را هم باید بگویم که هکرهای اسلامگرا نیز در پاسخ به این عملیات، تعدادی از وب‌سایت‌های فرانسوی را هک و اصطلاحا Deface کرده‌انداطلاعات بیشتر…

– پایان پشتیبانی مایکروسافت از ویندوز ۷ در سال ۲۰۲۰ میلادی: براساس آنچه وب‌سایت مایکروسافت اعلام کرده است، مدت زمان پشتیبانی از ویندوز ۷ تنها ۵ سال دیگر خواهد بود و در روز ۲۴ دی ۱۳۹۸، مایکروسافت پشتیبانی خود از ویندوز ۷ را به صورت کامل به پایان می‌رساند. دقت کنید که اگر شما از ویندوز ۷ استفاده می‌کنید، حتما سرویس پک ۱ را بر روی آن نصب کنید در غیر این صورت از روز ۲۰ فروردین ۱۳۹۲ هیچ پشتیبانی‌ای از مایکروسافت دریافت نکرده‌اید! اطلاعات بیشتر…

زمان پایان پشتیبانی مایکروسافت از ویندوز ۷

– توضیح جان مک‌آفی در مورد هک شدن سرورهای سونی: در ۳ شماره از ۷ شماره یکشنبه‌ها با امنیت دیجیتال در مورد داستان هک شدن سونی صحبت کرده‌ام (شماره ۳، ۴ و ۶). چند روز پیش ویدیوی را دیدم که در آن جان مک‌آفی، بنیانگذار شرکت مک‌آفی که در زمینه تولید آنتی‌ویروس فعالیت می‌کند، در مورد روش احتمالی مورد استفاده هکر‌ها برای هک کردن سرورهای سونی صحبت کرده که دیدن این ویدیو خالی از لطف نیست. اهمیت این ویدیو در این است که شما خواهید فهمید که برای هک کردن یک وب‌سایت یا حساب به روش‌های خارق‌العاده و پیچیده‌ای نیاز ندارید و با فیشینگ و مهندسی اجتماعی به راحتی می‌توانید حساب‌های مختلف را هک کنید! اطلاعات بیشتر…

– حل حفره امنیتی اینستاگرام در مورد حساب‌های خصوصی: داشتن حساب خصوصی بر روی اینستاگرام در میان کاربران آن و به خصوص ایرانی‌ها بسیار محبوب است اما نکته‌ای که بسیار از این کاربران از آن خبر نداشتند این نکته بود که اگر زمانی یکی از دوستان‌شان لینک مستقیم عکسی که بر روی حساب اینستاگرام خود منتشر کرده‌اند را به صورت عمومی منتشر می‌کرد، تمام افراد حتی آنها که با وی دوست نبودند نیز می‌توانستند آن را ببیند.

خبر خوش این است که اینستاگرام پس از مدت‌ها این مشکل امنیتی را حل کرده است و از این پس اگر شما لینک مستقیم مربوط به عکس‌تان را به صورت عمومی منتشر کنید، تنها افرادی که با شما دوست هستند امکان دیدن آن را دارند 🙂 اطلاعات بیشتر…

نوشتن دیدگاه

چرا تلگرام را باید به وایبر ترجیح بدهم؟

در مطلب «راه حل مقابله با شنود دولت‌های جهان چیست؟»، امیر پوریا نظر زیر را نوشته و در آن سوالی در مورد امنیت تلگرام پرسیده است:

یه سوالی که همیشه برای من مطرحه اینه که تلگرام تا چه حد امنیت داره؟

من وایبر رو یه آشغال‌افزار می‌دونم ولی خب وقتی می‌خوام کسی رو قانع کنم که از تلگرام استفاده کنه، جز این‌که بهش بگم تلگرام پیام‌ها رو رمزنگاری می‌کنه چیز دیگه‌ای در چنته ندارم.

چرا هیچ‌کس یه آزمایش دقیق و با جزییات برای مقایسه‌ی این پیام‌رسان‌ها انجام نمیده که ما هم بتونیم با استناد به اون عامه‌ی مردم رو قانع کنیم از تلگرام استفاده کنند.

با خواندن این نظر و اهمیت سوالی که در آن مطرح شده است، دیدم بد نیست که به جای پاسخ دادن به آن به صورت یک نظر، آن را در یک پست وبلاگی منتشر کنم و برای درک بهتر سوال مطرح شده، تصمیم گرفتم که از آخر نظرش شروع کنم و سپس به سوال اصلی که در ابتدای نظرش نوشته است برسم 🙂

«…چرا هیچ‌کس یه آزمایش دقیق و با جزییات برای مقایسه‌ی این پیام‌رسان‌ها انجام نمیده که ما هم بتونیم با استناد به اون عامه‌ی مردم رو قانع کنیم از تلگرام استفاده کنند.»

خوشبختانه در این مورد افراد زیاد و مختلفی در سرتاسر جهان کارهای زیادی انجام داده‌اند که معروف‌ترین و بهترین آن پروژه Secure Messaging Scorecard یا کارت امتیاز امنیت پیام‌رسان‌ها است که توسط بنیاد مرزهای الکترونیکی یا Electronic Frontier Foundation ایجاد و توسط اصل ۱۹ به فارسی ترجمه شده است.

در این پروژه شما می‌توانید امنیت پیام‌رسان‌های مختلف را از ۷ جنبه مشاهده کنید و براساس آن تصمیم بگیرید که که از چه پیام‌رسانی استفاده کنید.

«…من وایبر رو یه آشغال‌افزار می‌دونم ولی خب وقتی می‌خوام کسی رو قانع کنم که از تلگرام استفاده کنه، جز این‌که بهش بگم تلگرام پیام‌ها رو رمزنگاری می‌کنه چیز دیگه‌ای در چنته ندارم…»

واقعیتش را بخواهی در مورد اینکه وایبر «آشغال‌افزار» است یا نه نمی‌توانم نظری بدهم زیرا امنیت در ابزارها یک جنبه ماجرا است و جنبه دیگر آن فراگیر بودن، استفاده راحت، در دسترس بودن، ساده بودن و… است، هر چند که من همواره استفاده از تلگرام را به وایبر ترجیح می‌دهم و استفاده از آن را به دیگران نیز توصیه می‌کنم.

«یه سوالی که همیشه برای من مطرحه اینه که تلگرام تا چه حد امنیت داره؟…»

خب، حالا بگذار که پاسخ سوالی مهم که مطرح کرده‌ای را بدهم و بگویم چرا تلگرام از وایبر امن‌تر است و امکان رمزنگاری ارتباطات تنها ویژگی آن نیست. برای توضیح بیشتر بد نیست نگاهی به جدول مربوط به کارت امتیاز امنیت پیام‌رسان‌ها بیاندازیم:

امنیت تلگرام در مقابل وایبر

همانگونه که مشاهده می‌کنی، تلگرام به ۵ دلیل و وایبر تنها به ۲ دلیل امن است، دلایلی که وقتی هر کدام از آنها را می‌خوانی، متوجه اهمیت آنها می‌شوی.

  • آیا ارتباطات شما در زمان عبور رمزنگاری شده است؟ وایبر و تلگرام تمامی اطلاعات شما در زمان عبور را رمزنگاری می‌کنند و در این زمینه تفاوتی بین این دو پیام‌رسان وجود ندارد.
  • آیا ارتباط شما با کلیدی رمزنگاری شده است که سرویس دهنده به آن دسترسی ندارد؟ این سوال یکی از تفاوت‌های کلیدی بین تلگرام و وایبر است زیرا تلگرام دارای این ویژگی است در حالی که وایبر چنین ویژگی‌ای ندارد. این یعنی آنکه که صاحبان تلگرام اگر هم بخواهند، امکان مشاهده مکالمات شما را ندارند و تنها شما و فرد گیرنده امکان دیدن مکالمات را دارید. حال آنکه در وایبر اگر صاحبان آن بخواهند، به راحتی می‌توانند مکالمات رمزنگاری شده شما با یک فرد خاص را شنود و مشاهده کنند.
  • آیا شما به صورت مستقل امکان شناسایی و احراز هویت طرف مقابل‌تان را دارید؟ این مورد نیز تفاوت دیگر تلگرام و وایبر است. در تلگرام شما این امکان را دارید که به صورت مستقل (از طریق اثر انگشت دیجیتالی یا پروتکل تایید هویتی مانند Socialist Millionaire) هویت فرد مقابل را تایید کنید در حالی که چنین امکانی در وایبر وجود ندارد و یک فرد می‌تواند خودش را جای فرد دیگری جا بزند.
  • آیا کد برنامه برای بررسی‌های مستقل باز است؟ این مورد نیز یکی از تفاوت‌های کلیدی میان تلگرام و وایبر است به گونه‌ای که تمامی کدهای مربوط به تلگرام به صورت مستقل در دسترس عموم است تا آن را از نظر امنیت مورد بررسی قرار بدهند و از وجود هرگونه در پشتی (Backdoor) و… آگاه شوند. حال آنکه چنین امکانی به هیچ عنوان برای وایبر وجود ندارد و ممکن است ده‌ها حفره امنیتی داشته باشد که توسط افراد خرابکار مورد سو استفاده قرار بگیرد.
  • آیا طراحی برنامه رمزنگاری به خوبی مستند شده است؟ این مورد نیز از تفاوت‌های دیگر میان تلگرام و وایبر است. تلگرام دارای توضیحات مستند خوبی در مورد ساختار رمزنگاری‌اش است به گونه‌ای افراد متخصص در زمینه امنیت دیجیتال با مشاهده آن از چگونگی تولید و نگهداری کلیدهای رمزنگاری بین کاربران و… مطلع می‌شوند.

با توجه به همه نکات بالا،‌ نکته‌ای که نباید فراموش کنی آن است که تلگرام نسبت به پیام‌رسان‌های دیگری مانند Silent Text و Silent Phone و… امن نیست.

در کل هم پیشنهاد می‌کنم که هر زمانی که خواستی از ابزاری استفاده کنی، بد نیست به پروژه Securing Messaging Scorecard سر بزنی. دقت کن که نسخه فارسی آن که توسط اصل ۱۹ ترجمه شده است به روز نیست اما اپلیکیشن‌های پرطرفدار در ایران را پوشش داده است.

نوشتن دیدگاه

یکشنبه‌ها با امنیت دیجیتال (۶)

در طول هفته گذشته آنقدرها وقت نکردم که در مورد اخبار مهم در دنیای امنیت دیجیتال بخوانم و به همین دلیل شماره این هفته نسبت به هفته‌ها دیگر کوتاه‌تر خواهد است هر چند که از اهمیت خبرهایی که در مورد آنها حرف زده‌ام کم نشده است 🙂

با این مقدمه بسیار کوتاه بگذارید به ششمین شماره یکشنبه‌ها با امنیت دیجیتال بروم.


– انتشار اپلیکیشن جعلی مربوط به فیلم The Interview: اگر شماره‌های ۳ و ۴ یکشنبه‌ها با امنیت دیجیتال را خوانده باشید، به طور قطع با ماجرای هک شدن سرورهای شرکت Sony Entertainment Pictures توسط هکرهایی که ادعا می‌شوند از کره شمالی هستند آشنایید. هکی که علت آن ساخت فیلم The Interview و به مسخره کردن دیکتاتور کره شمالی حدس زده می‌شود.

حال آنکه در روزهای آخر سال ۲۰۱۴، اپلیکشین جعلی‌ای با عنوان The Interview توسط هکر یا گروهی از هکرها، کاربران گوشی‌های اندروید در کره جنوبی را مورد هدف قرار داد به گونه‌ای که این اپلیکیشن ادعا می‌کرد با نصبش، امکان تماشای رایگان فیلم The Interview را خواهند داشت در حالی که که واقعیت چیز دیگری بود و این اپلیکیشن اطلاعات بانکی کاربران قربانی خود را می‌دزدید.

تصویری از اپلیکیشن جعلی The Interview
تصویری از اپلیکیشن جعلی The Interview

خبر خوب در مورد این اپلیکیشن جعلی آن است که این اپلیکیشن به دلیل آنکه بر روی سرورهای آمازون قرار داشت، با گزارش به آمازون به صورت کامل از بین رفت.

نکته آموزشی این خبر برای من و شما آن است که در نصب اپلیکیشن‌های مختلف دقت کنیم و به هیچ عنوان از وب‌سایت‌هایی که مورد اطمینان نیستند برای نصب اپلیکیشن استفاده نکنید. به عنوان مثال بهتر است که اپلیکیشن‌های دستگاه اندروید خود را از گوگل پلی یا کافه بازار دانلود و نصب کنید. اطلاعات بیشتر…

– کشف حفره امنیتی روز صفر (Zero-day) در ویندوز ۸.۱ توسط گوگل: در تابستان سال گذشته میلادی گوگل پروژه‌ای جدید با نام Project Zero را راه‌اندازی کرد که هدفش شناسایی حفره‌های امنیتی نرم‌افزارها و سرویس‌های مختلف است. براساس آنچه گوگل اعلام کرده است، با شناسایی یک حفره امنیتی روز صفر، گوگل ۹۰ روز به شرکت یا فردی که باید این حفره امنیتی را رفع کند فرصت می‌دهد تا آن را رفع کند و پس از ۹۰ روز این حفره را به صورت عمومی اعلام می‌کند.

یکی از این حفره‌های امنیتی را گوگل در تابستان سال گذشته میلادی در سیستم عامل ویندوز ۸.۱ پیدا کرده بود که به کمک آن یک بدافزار به راحتی لایه‌های امنیتی ویندوز را دور می‌زد و خودش را بر روی ویندوز ۸.۱ نصب می‌کند. خوشبحتانه مایکروسافت قبل از آنکه این حفره امنیتی روز صفر به صورت عمومی منتشر شود، آن را رفع کرد و برای همین جای ترسی برای شمایی که ویندوز ۸.۱ دارید وجود ندارد :)‌ اطلاعات بیشتر…

– اسیر پیام‌های جعلی فیس‌بوک نشوید: در هفته گذشته پیامی مانند تصویر زیر در فیس‌بوک منتشر شد که در آن ادعا می‌شد که از این پس فیس‌بوک می‌تواند از کلیه‌های عکس‌ها و اطلاعات کاربران بدون اجازه آنها استفاده کند! پیامی که از اساس اشتباه و شایعه بود.

تصویری از پیام جعلی منتشر شده در فیس‌بوک

اهمیت این خبر در آن است که من و شما به عنوان کاربران شبکه‌های اجتماعی مختلف باید همواره قبل از انتشار یک خبر از درستی آن مطمئن شویم و هر خبری را که مشاهده کردیم، بدون بررسی بازنشر نکنیم. فراموش نکنید که درست است که من و شما یک خبرگزاری یا روزنامه‌نگار نیستیم، اما باید نسبت به اخباری و مطالبی که با دوستان و آشنایان خودمان به اشتراک می‌گذاریم حساس و از درستی آنها اطمینان داشته باشیم.

نوشتن دیدگاه

راه حل مقابله با شنود دولت‌های جهان چیست؟

در آخرین روزهای سال ۲۰۱۴ هفته‌نامه اشپیگل آلمان گزارش بسیار مهمی از داستان شنود سازمان امنیت ملی آمریکا (NSA) و ستاد ارتباطات دولت انگلیس (GCHQ) منتشر کرد که دارای نکات بسیار مهمی بود. نکاتی که برای خودم بسیار جذاب و آموزنده بود و به همین دلیل تصمیم گرفتم بخش‌های مهم این گزارش نسبتا طولانی را در یک مطلب وبلاگ منتشر کنم. البته در همین جا باید به این نکته اشاره کنم که اگر به داستان امنیت در دنیای دیجیتال علاقه دارید،‌ خواندن کامل این گزارش را شدیدا پیشنهاد می‌کنم.

با این مقدمه بگذارید به سراغ عنوان این پست بروم و سپس به بخش‌هایی از شنود افراد و سازمان‌های مختلف در ایران توسط سازمان‌های اطلاعاتی غربی بپردازم.

چگونه شنود اینترنتی را غیرممکن کنیم؟
واقعیتش را بخواهید قبل از آنکه این گزارش اشپیگل را بخوانم، تا حدود بسیار زیادی از مقابله با شنود اینترنتی توسط دولت‌های دنیا (به خصوص آمریکا و بریتانیا) ناامید شده بودم اما زمانی که این گزارش مفصل را خواندم امیدواری‌ام به مقابله با شنود دولت‌های جهان و به خصوص غربی بیش از پیش شد 🙂

با توجه به آنچه که اشپیگل منتشر کرده است، به طور کلی رمزنگاری اطلاعات و ارتباطات بهترین از راه حل‌های مقابله با شنود سازمان‌های اطلاعاتی جهان است به گونه‌ای که ان‌اس‌ای مشکلات زیادی برای شنود کاربرانی داشته است که از تُر (Tor) و سرویس‌های ایمیلی مانند Zoho استفاده می‌کرده‌اند.

علاوه بر این TrueCrypt که نرم‌افزار مورد علاقه من برای رمزنگاری اطلاعات است نیز یکی از کابوس‌های ان‌اس‌ای بوده است به گونه‌ای که امکان شکستن رمزنگاری ایجاد شده توسط این نرم‌افزار وجود نداشته و ندارد. البته اگر اخبار مربوط به TrueCrypt را دنبال کنید، احتمالا این سوال برای شما پیش می‌آید که چطور وب‌سایت TrueCrypt از ناامن بودن این نرم‌افزار حرف می‌زند در حالی که من و خیلی‌های دیگر آن را پیشنهاد می‌کنیم؟

در پاسخ به این سوال باید بگویم که به دلیل آنکه TrueCrypt به صورت متن باز عرضه شده است، تمام کدهای آن توسط متخصصین امنیت دیجیتال مورد بررسی قرار گرفته است و تاکنون هیچ در پشتی (Backdoor) در آن پیدا نشده است. برای همین من همچنان TrueCrypt را بهترین ابزار برای رمزنگاری اطلاعات می‌دانم و همچنان از آن استفاده می‌کنم.

در نهایت هم ان‌اس‌ای مشکل شدیدی برای شنود ارتباطاتی دارد که بر روی ZRTP صورت می‌گیرد. اپلیکیشن‌ها و نرم‌افزارهای مختلفی از این روش رمزنگاری استفاده می‌کنند از جمله نرم‌افزار Jitsi که شما به کمک آن می‌توانید چت صوتی و تصویری با دوستان خود در فیس‌بوک و گوگل برقرار کنید. یا اپلیکیشن Signal برای آیفون که کلیه مکالمات صورت گرفته از طریق آن به صورت رمزنگاری شده خواهد بود.

با توجه به آنچه در بالا نوشته‌ام، اگر بخواهم لیستی از نرم‌افزارهایی که امکان شنود در آنها همچنان وجود ندارد را اینجا بنویسم باید این موارد را نام ببرم:

  • مرورگر تُر (Tor): مرورگری امن که کلیه ارتباطات شما را رمزنگاری می‌کند و امکان شناسایی شما از طریق آن وجود ندارد. دانلود کنید…
  •  TrueCrypt: نرم‌افزاری که به شما امکان رمزنگاری اطلاعات‌تان به راحت‌ترین روش ممکن می‌دهد. استفاده از این نرم‌افزار برای رمزنگاری عکس‌های خصوصی و پرونده‌ها مهم و حیاتی‌تان را شدیدا پیشنهاد می‌کنم. دانلود کنید…
  • Jitsi: نرم‌افزاری که شما به کمک آن می‌توانید ده‌ها حساب جیمیل و فیس‌بوک خود را در آن اضافه کنید و بدون نگرانی از شنود و رصد با دوستان خود گفتگوی صوتی و تصویری داشته باشید. دانلود کنید…
  • اپلیکیشن‌هایی مانند Signal یا Telegram: این اپلیکیشن‌ها به دلیل استفاده از سیستم رمزنگاری ZRTP امکان شنود را از بین می‌برد و شما به راحتی می‌توانید با دوستان خود گفتگو کنید. Signal را دانلود کنید… Telegram را دانلود کنید…

چه سازمان‌های و ارگان‌های ایرانی توسط ان‌اس‌ای شنود شده‌اند؟
علاوه بر نکات بالا، گزارش اشپیگل به شنود از دولت‌ها و سازمان‌های مختلف توسط ان‌اس‌ای می‌پردازد که در چندین مورد نام شرکت‌ها و سازمان‌های ایرانی به میان آمده است. به عنوان مثال سازمان ان‌اس‌ای موفق شده است دسترسی به ترافیک وی‌پی‌ان‌هایی که توسط شرکت هواپیمای ملی ایران (هما) و همچنین هکرهای سپاه پاسداران ایران مورد استفاده قرار می‌گرفته است را بدست بیاورد و کلیه فعالیت‌های آنها را زیر نظر بگیرد.

هک شدن وی‌پی‌ان‌های شرکت هواپیمای ملی ایران (هما)
هک شدن وی‌پی‌ان‌های شرکت هواپیمای ملی ایران (هما)
هک شدن وی‌پی‌ان‌های مورد استفاده هکرهای سپاه پاسداران
هک شدن وی‌پی‌ان‌های مورد استفاده هکرهای سپاه پاسداران

در پایان این مطلب بد نیست به این نکته نیز اشاره کنم که به شخصه از تُر، TrueCrypt و Jitsi به صورت روزانه استفاده می‌کنم و این دست توصیه‌هایم تنها در حد حرف نیست 🙂

راستی! اگر می‌خواهید در مورد TrueCrypt و Jitsi بیشتر بدانید، باید بگویم که در دانشنامه امنیت دیجیتال که در ۱ فروردین ۱۳۹۴ به صورت رسمی منتشر خواهد شد، آموزش کامل آن را خواهید خواند. اگر علاقه دارید که به این دانشنامه زودتر دسترسی پیدا کنید، فرم داخل این مطلب را پر کنید.

نوشتن دیدگاه

یکشنبه‌ها با امنیت دیجیتال (۵)

پنجمین شماره یکشنبه‌ها با امنیت دیجیتال قرار بود که دو هفته پیش منتشر شود اما به دلیل سرماخوردگی و همچنین تعطیلات آخر سال میلادی،‌ این شماره به اولین یکشنبه سال ۲۰۱۵ منتقل شد که امروز است 🙂

در این شماره سعی کرده‌ام که اخبار سه هفته گذشته را در کوتاه‌ترین حالت ممکن پوشش دهم و در میان این اخبار نکات آموزشی مختلفی را نیز بیان کنم.

با این مقدمه بگذارید به سراغ اولین شماره یکشنبه‌ها با امنیت دیجیتال در سال ۲۰۱۵ بروم.


– شبکه اجتماعی فیس‌نما هک شد: شبکه اجتماعی فیس‌نما که می‌توان آن را کپی ایرانی فیس‌بوک دانست (البته در حد بسیار ابتدایی) توسط هکر یا گروهی از هکرها هک شد. من در این خبرنامه و یک مطلب جدا قصد داشتم در مورد این داستان مطلبی بنویسم که جادی زودتر از من در این مطلب به خوبی در مورد ابعاد مختلف این هک صحبت کرده است که خواندن آن را شدیدا توصیه می‌کنم. اطلاعات بیشتر…

فیس‌نما
صفحه اول فیس‌نما قبل از هک شدن

– امکان بارگذاری کدهای ناامن در جیمیل از بین رفت: من همواره یکی از افرادی بوده‌ام که استفاده از جیمیل را به دیگر سرویس‌های رایگان ایمیل ترجیح داده‌ام و به دیگران نیز توصیه کرده‌ام که از جیمیل به جای یاهو، لایو و… استفاده کنند. برای این پیشنهاد هم دلایل مختلفی دارم که آخرین مورد آن اضافه شدن ویژگی Content Security Policy یا CSP است.

این ویژگی جدید هم اکنون اجازه بارگذاری کدهای مخرب و ناامن را در جیمیل نمی‌دهد. این بدین معناست که اگر از این پس فردی برای شما ایمیلی ارسال کند که حاوی کد مخربی باشد که سعی کند اطلاعات ذخیره شده در مرورگرتان را بدزد، این امکان وجود نخواهد داشت زیرا جیمیل به صورت خودکار جلوی آن را می‌گیرد 🙂

برای همین مانند گذشته مجددا تاکید می‌کنم که هم اکنون بهترین سرویس ایمیلی که دارای امکان مختلفی است، جیمیل است و اگر از آن استفاده نمی‌کنید، همین امروز به آن مهاجرت کنید. اطلاعات بیشتر…

– اپلیکیشن آموزش رمزنگاری اطلاعات ستاد ارتباطات دولت انگلیس (GCHQ): در سال گذشته نام GCHQ همراه با سازمان امنیت ملی آمریکا (NSA) در مورد شنود اینترنت بسیار شنیده شده است. حال آنکه ستاد شنود دولت انگلیس اپلیکیشن اندرویدی با نام Cryptoy را در ماه گذشته میلادی منتشر کرده است که شما با نصب آن می‌توانید با مفاهیم پایه‌ای رمزنگاری اطلاعات آشنا شوید. برای دانلود اپلیکیشن رایگان Cryptoy تنها کافی است به اینجا بروید. راستی شاید این نکته نیز جالب باشد که این اپلیکیشن نیاز به هیچ دسترسی‌ای خاصی ندارد. اطلاعات بیشتر…

– ۸۰٪ وب تاریک مربوط به مطالب مربوط به آزار جنسی کودکان است: براساس تحقیقی که توسط گرث اوون (Gareth Owen) محقق رایانه در دانشگاه پورتموث بریتانیا انجام شده است، ۸۰٪ افرادی که به دنیای وب تاریک یا همان Dark Web سر می‌زنند، به دنبال عکس‌های پورن کودکان و این دست مطالب هستند.

اوون برای این تحقیق ۴۰ رایانه را به عنوان رایانه‌های رله (Rely computers) در شبکه تُر (Tor) قرار داده است و از مارس تا سپتامبر ۲۰۱۴ شروع به جمع‌آوری لیست وب‌سایت‌هایی کرده بود که استفاده کنندگان تُر از آن بازدید می‌کردند. با تحلیل این اطلاعات اوون به این نتیجه رسیده است که ۸۰٪ وب‌سایت‌هایی که از طریق رایانه‌های رله‌ای که وی طراحی کرده است به وب‌سایت‌های پورنوگرافی مربوط به کودکان ختم می‌شده است. البته بد نیست این نکته را که اوون نیز بیان کرده است بگویم که این تحقیق به صورت دقیق نیست زیرا دامنه نمونه بسیار کوچک بوده است.

در ضمن اگر در مورد وب تاریک که با نام‌های وب پنهان (Hidden Web) یا عمیق (Deep Web) نیز شناخته می‌شود چیزی نمی‌دانید باید بگویم که این بخش از وب از دید موتورهای جستجو پنهان است و یکی از راه‌های محبوب برای بازدید از آن استفاده از تُر است. اطلاعات بیشتر…

وب تاریک
منبع: Secret Laboratory

– انتشار اطلاعات ۶ میلیون ایمیل در سه ماه: Heimdal Security گزارشی را در دسامبر ۲۰۱۴ منتشر کرد که در آن خبر از هک شدن ۶ میلیون ایمیل در سه ماه داد. براساس این گزارش هم اکنون از هر ۱۰۰ کارمند یک شرکت، ایمیل ۶ کارمند توسط خرابکاری سایبری هک شده است و یکی از دلایلی که باعث افزایش چشم‌گیر هک شدن ایمیل افراد شده است، استفاده از رمزهای عبور ساده و تکراری است. به همین دلیل اگر شما کارمند یک شرکت هستید و یا در بخش آی‌تی آن کار می‌کنید، حتما به کارمندان و همکاران خود این نکته را یاد بدهید که از رمزهای عبور ساده و آسان استفاده نکنند. مثلا رمز عبور ایمیل‌شان شماره تلفن همراه‌شان نباشد. اطلاعات بیشتر…

نوشتن دیدگاه