چرا کد تایید سرویس‌های خارجی را از شماره‌ای ایرانی دریافت می‌کنید؟

نمونه‌ای از کد تایید ارسال شده توسط گوگل با شماره ایران
نمونه‌ای از کد تایید ارسال شده توسط گوگل با شماره ایران

عنوان این مطلب برگرفته شده از سوال یکی از خوانندگان این وبلاگ است که مدتی قبل آن را از من پرسیده بود و مدت‌ها هست که این بحث درگرفته است که چرا من کاربر سرویس خارجی مانند گوگل، وایبر یا هر چیز دیگری، کد فعال‌سازی این سرویس‌ها را که از طریق پیامک ارسال می‌شوند را از شماره‌ای داخل ایران دریافت می‌کنم؟

در پاسخ به این سوال باید بگویم که داستان دریافت پیامک سرویس‌های خارجی از طریق شماره‌های داخل ایران به یک داستان کاملا ساده باز می‌گردد: برون‌سپاری یا Outsourcing

داستان از این قرار است که شرکت‌های مختلف برای ارسال پیامک به کاربران آن را به شرکت‌های دیگر واگذار می‌کنند و گوگل، تلگرام، وایبر و… از این داستان مستثنا نیستند و آنها نیز برای آنکه در هزینه زیرساخت و نیروی انسانی خود صرفه‌جویی کنند، داستان ارسال پیامک را به شرکت‌های دیگر برون‌سپاری کرده‌اند.

این شرکت‌ها که قرار است به گوگل، تلگرام و… سرویس بدهند نیز به دلیل آنکه نمی‌توانند در تک تک کشورهای دنیا سرویس ارسال پیامک را راه‌اندازی کنند (به دلیل هزینه، قوانین متفاوت شرکت‌ها و…)، در نتیجه آنها نیز این سرویس‌ها را به شرکت‌های فعال در زمینه ارسال پیامک در هر یک از کشورها برون‌سپاری می‌کنند. در نتیجه شما زمانی که پیامک از وایبر یا گوگل دریافت می‌کنید، شماره فرستنده را یک شماره داخل ایران مشاهده می‌کنید. به عنوان مثال شرکت AFE مسئول ارسال پیامک‌های وایبر و گوگل در ایران است.

و به همین دلیل است که هم اکنون شرکت‌هایی مانند توییتر امکان فعالسازی ورود دو مرحله‌ای را به کاربران ایرانی نمی‌دهند چون خطر شنود و دزدیده شدن کدفعال‌سازی وجود دارد هر چند که تاکنون چنین موردی مشاهده نشده است.

خلاصه کلام آنکه علت آنکه شما از یک شماره ایرانی برای یک سرویس خارجی پیامک دریافت می‌کنید به داستان برون‌سپاری بازمی‌گردد.

نوشتن دیدگاه

یکشنبه‌ها با امنیت دیجیتال (۷)

امروز یک روز خاص برای اینترنت است و خوشبختانه هفتمین شماره یکشنبه‌ها با امنیت دیجیتال مصداف با این روز شده است؛ روز آزادی اینترنت یا Internet Freedom Day که برای مقابله با طرح قانون توقف سرقت آنلاین یا همان SOPA در سال ۲۰۱۲ نامگذاری شد و هر سال این روز توسط سازمان‌ها و شرکت‌های مختلف مورد توجه قرار می‌گیرد.

علاوه بر این توجه شما را به مطلبی که روز جمعه در مورد برتری تلگرام نسبت به وایبر نوشته‌ام جلب می‌کنم و خوشحال خواهم شد که آن را به دوستان و آشنایان خود نیز معرفی کنید.

با این مقدمه بد نیست به سراغ هفتمین شماره یکشنبه‌ها با امنیت دیجیتال بروم که بسیار پربار است 🙂


– هک شدن حساب‌های توییتر و یوتیوب مرکز فرماندهی ارتش آمریکا: در هفته گذشته حساب‌های توییتر و یوتیوب مرکز فرماندهی ارتش آمریکا (CENTCOM) که بر روی فعالیت ارتش آمریکا در کشورهای عراق و سوریه نظارت می‌کند، توسط هکرهای حامی داعش با نام CyberCaliphate هک شد.

تصویری از حساب توییتر هک شده مرکز فرماندهی ارتش آمریکا توسط هکرهای حامی داعش
تصویری از حساب توییتر هک شده مرکز فرماندهی ارتش آمریکا توسط هکرهای حامی داعش

در مدت زمانی که این حساب‌ها در کنترل هکرهای حامی داعش قرار داشت، یک سری اطلاعات از کارکنان این مرکز و همچنین پیام‌های اخطار به سربازهای ارتش آمریکا بر روی حساب توییتر و یوتیوب CENTCOM منتشر شد. البته این نکته را باید بگویم که اطلاعات منتشر شده توسط این هکر محرمانه نبوده است.

هر چند که در مورد روش نفوذ به این دو حساب مرکز فرماندهی ارتش آمریکا اطلاعات خاصی منتشر نشده است، اما حدس‌های مختلفی در این زمینه زده می‌شود مانند آنکه یکی از افرادی که دسترسی به این حساب‌ها داشته است، قربانی حمله فیشینگ شده است. علاوه بر این، براساس آنچه گاردین منتشر کرده است، به احتمال زیاد فرد پشت این حمله سایبری یک بریتانیایی است که هم اکنون در سوریه است و به داعش پیوسته است. نام این فرد جونید حسین است و در سال ۲۰۱۲ میلادی به جرم دسترسی به حساب‌های خصوصی تونی بلر، نخست وزیر سابق بریتانیا، دستگیر و به زندان محکوم شده است.

شاید گفتن این نکته هم جالب باشد که در واکنش به این حمله سایبری، گروه انانیموس بیانیه‌ای را بر روی اینترنت منتشر کرد و از آغاز حملات سایبری بر علیه داعش خبر داد. اطلاعات بیشتر…

– گوگل امنیت بیش از ۹۰۰ میلیون دستگاه اندروید را به خطر انداخت: اگر دستگاه اندورید شما از نسخه ۴.۳ یا پایین‌تر اندورید (Jelly Bean یا پایین‌تر) استفاده می‌کند، باید بدانید که به دلیل وجود یک حفره امنیتی در WebView، امکان حمله به دستگاه شما و دزدیدن اطلاعات‌تان وجود دارد! چرا؟

به این دلیل که گوگل دیگر هیچ وصله امنیتی برای WebView برای اندروید نسخه ۴.۳ و پایین‌تر نمی‌دهد هر چند که اگر فردی یا سازمان مستقلی این کار را کند، به عرضه آن کمک می‌کند. حفره امنیتی موجود در WebView توسط تاد بردسلی (Tod Beardsley)، مهندس در شرکت Rapid7 کشف شده است و مدتی قبل توسط وی به گوگل گزارش شده بود که گوگل در پاسخ وی از عدم عرضه وصله امنیتی برای WebView در اندروید ۴.۳ و پایین خبر داده است!

اگر نمی‌دانید WebView چیست باید بگویم که این امکان به شما این اجازه را می‌دهد که صفحه‌های وب را بدون نیاز به باز کردن یک مرورگر مجزا مشاهده کنید. به عنوان مثال اگر از فیدلی استفاده می‌کنید و از داخل آن می‌خواهید مطلب یک وبلاگ یا وب‌سایت را مشاهده کنید، شما از امکان WebView استفاده می‌کنید. حال آنکه اگر فردی این حفره امنیتی را شناسایی کند، با ایجاد یک صفحه حاوی بدافزار به راحتی می‌تواند میلیون دستگاه اندورید را قربانی خود کند. اطلاعات بیشتر…

– آغاز عملیات #OpCharlieHebdo گروه انانیموس بر علیه اسلامگریان تندرو: گروه انانیموس که یکی از معروف‌ترین گروه‌های هکر در دنیاست در واکنش به حمله تروریستی بر علیه دفتر مجله هفته‌نامه شارلی ابدو از آغاز #OpCharlieHebdo بر علیه حساب‌های و وب‌سایت‌های اسلامگریان تندرو خبر داد. براساس بیانیه‌ای که گروه انانیموس منتشر کرده است، این عملیات شامل تمام گروه‌های تندرو اسلامگرا مانند داعش و القاعده می‌شود. شما می‌توانید لیست حساب‌ها و وب‌سایت‌هایی که در این عملیات هک شدند را در اینجا و اینجا مشاهده کنید. البته این را هم باید بگویم که هکرهای اسلامگرا نیز در پاسخ به این عملیات، تعدادی از وب‌سایت‌های فرانسوی را هک و اصطلاحا Deface کرده‌انداطلاعات بیشتر…

– پایان پشتیبانی مایکروسافت از ویندوز ۷ در سال ۲۰۲۰ میلادی: براساس آنچه وب‌سایت مایکروسافت اعلام کرده است، مدت زمان پشتیبانی از ویندوز ۷ تنها ۵ سال دیگر خواهد بود و در روز ۲۴ دی ۱۳۹۸، مایکروسافت پشتیبانی خود از ویندوز ۷ را به صورت کامل به پایان می‌رساند. دقت کنید که اگر شما از ویندوز ۷ استفاده می‌کنید، حتما سرویس پک ۱ را بر روی آن نصب کنید در غیر این صورت از روز ۲۰ فروردین ۱۳۹۲ هیچ پشتیبانی‌ای از مایکروسافت دریافت نکرده‌اید! اطلاعات بیشتر…

زمان پایان پشتیبانی مایکروسافت از ویندوز ۷

– توضیح جان مک‌آفی در مورد هک شدن سرورهای سونی: در ۳ شماره از ۷ شماره یکشنبه‌ها با امنیت دیجیتال در مورد داستان هک شدن سونی صحبت کرده‌ام (شماره ۳، ۴ و ۶). چند روز پیش ویدیوی را دیدم که در آن جان مک‌آفی، بنیانگذار شرکت مک‌آفی که در زمینه تولید آنتی‌ویروس فعالیت می‌کند، در مورد روش احتمالی مورد استفاده هکر‌ها برای هک کردن سرورهای سونی صحبت کرده که دیدن این ویدیو خالی از لطف نیست. اهمیت این ویدیو در این است که شما خواهید فهمید که برای هک کردن یک وب‌سایت یا حساب به روش‌های خارق‌العاده و پیچیده‌ای نیاز ندارید و با فیشینگ و مهندسی اجتماعی به راحتی می‌توانید حساب‌های مختلف را هک کنید! اطلاعات بیشتر…

– حل حفره امنیتی اینستاگرام در مورد حساب‌های خصوصی: داشتن حساب خصوصی بر روی اینستاگرام در میان کاربران آن و به خصوص ایرانی‌ها بسیار محبوب است اما نکته‌ای که بسیار از این کاربران از آن خبر نداشتند این نکته بود که اگر زمانی یکی از دوستان‌شان لینک مستقیم عکسی که بر روی حساب اینستاگرام خود منتشر کرده‌اند را به صورت عمومی منتشر می‌کرد، تمام افراد حتی آنها که با وی دوست نبودند نیز می‌توانستند آن را ببیند.

خبر خوش این است که اینستاگرام پس از مدت‌ها این مشکل امنیتی را حل کرده است و از این پس اگر شما لینک مستقیم مربوط به عکس‌تان را به صورت عمومی منتشر کنید، تنها افرادی که با شما دوست هستند امکان دیدن آن را دارند 🙂 اطلاعات بیشتر…

نوشتن دیدگاه

چگونه تقویم Birthdays را از تقویم گوگل حذف کنیم؟

از زمانی که گوگل شبکه اجتماعی خودش با نام گوگل+ را راه‌اندازی کرده است، تمام تلاش خودش را کرده تا سرویس‌های دیگرش را با آن ادغام کند. در آخرین حرکت خلاقانه خودش (!) که چند روز پیش متوجه آن شدم، گوگل شروع به نمایش تاریخ تولد افرادی را در تقویم شما کرده است که شما آنها را در حلقه گوگل+ خود قرار داده‌اید.

کاری که از نظر من هیچ عقلانیتی در آن وجود ندارد چون اگر من یک نفر را در حلقه‌های گوگل+ اضافه کرده‌ام، به این معنی نیست که علاقه داشته باشم تاریخ تولد وی را در تقویم شخصی‌ام ببینم!

حال آنکه به راحتی نمی‌توانید از شر دیدن تاریخ تولد کسانی که آنها را در حلقه گوگل+ خود قرار داده‌اید خلاص شوید زیرا امکان حذف این تقویم از بخش تنظیمات تقویم‌تان وجود ندارد!

و دقیقا به دلیل پیچیدگی حذف کردن این تقویم، باعث شد که به فکر نوشتن این مطلب بیافتم تا اگر شما هم با چنین مشکل خنده‌داری مواجه شدید به راحتی از شر تقویم تولد افرادی که در گوگل+ دنبال می‌کنید راحت شوید.

برای شروع ابتدا باید به تنظیمات تقویم گوگل و بخش Calendare بروید. سپس در قسمت پایین صفحه بر روی Browse interesting calendars » کلیک کنید تا لیستی از تقویم‌های جالب را مشاهده کنید.

تنظیمات تقویم گوگل (شماره ۱)

 

حالا بر روی More کلیک کنید و از آنجا بر روی گزینه Unsubscribe که در مقابل Birthdays نوشته شده است کلیک کنید.

تنظیمات تقویم گوگل (شماره ۲)

با این کار شما از عضویت در تقویم تولد انصراف داده‌اید و دیگر تولد افرادی که در گوگل+ دنبال می‌کنید را مشاهده نخواهید کرد.

اگر هم حال نداشتید که مراحل بالا را طی کنید تنها کافی است بر روی این لینک کلیک کنید تا به صفحه اصلی برای لغو عضویت تقویم تولد فرستاده شوید.

نوشتن دیدگاه

راه حل مقابله با موج جدید حملات اینترنتی بر علیه کاربران ایرانی چیست؟

حدود سه هفته پیش در مطلبی که در بی‌بی‌سی فارسی منتشر شد، از ترفند جدید هکرهای ایرانی برای نفوذ به حساب ایمیل و فیس‌بوک کاربران ایرانی خبر دادم و به این نکته اشاره کردم که این سری حملات به صورت کاملا برنامه‌ریزی شده طراحی شده است به گونه‌ای که در تمامی موارد هر حمله سایبری به صورت اختصاصی برای فرد قربانی طراحی شده است.

در طول چند روز گذشته این سری حملات سایبری مجددا آغاز شده است و در این سری حملات علاوه بر فیشینگ، ایمیل‌های حاوی بدافزار نیز به عده‌ای ارسال شده است.

برای درک بهتر این حملات بد نیست که در مورد دو نمونه از آنها صحبت کنم.

ایمیل فیشینگ
تصویر زیر نمونه‌ای از ایمیل جعلی ارسال شده به یکی از قربانیان است که در آن ادعا شده است که فعالیت‌های مشکوکی در حساب جیمیل وی صورت گرفته است و به همین دلیل باید مشخصات جیمیل خود را تایید کند.

نمونه‌ای از ایمیل فیشینگ ارسال شده به کاربران ایرانی
نمونه‌ای از ایمیل فیشینگ ارسال شده به کاربران ایرانی

زمانی که فرد قربانی بر روی Confirm Your Account کلیک می‌کند، به صفحه‌ای مانند صفحه ورود به جیمیل فرستاده می‌شود که تنها رمز عبور حساب وی درخواست می‌شود. این صفحه در حقیقت یک صفحه جعلی ورود به جیمیل است که به صورت اختصاصی برای فرد قربانی ایجاد شده است زیرا هر فردی که به لینک این صفحه جعلی مراجعه کند، تصویر فرد قربانی همراه با آدرس ایمیل وی را مشاهده خواهد کرد.

صفحه ورود جعلی به جیمیل که به صورت اختصاصی برای هر قربانی طراحی شده است
صفحه ورود جعلی به جیمیل که به صورت اختصاصی برای هر قربانی طراحی شده است

همانگونه که در تصویر مشاهده می‌کنید، هر چند که شکل و شمایل صفحه ورود به صورت عینی مانند صفحه ورود به جیمیل است، اما آدرس این صفحه اشتباه است زیرا همواره آدرس ورود به جیمیل به صورت gmail.com یا mail.google.com است و علاوه بر این صفحه ورود به جیمیل و دیگر سرویس‌های گوگل، SSL را پشتیبانی می‌کند. این بدان معناست که آدرس صفحه ورود به جیمیل باید همواره به صورت https://gmail.com یا https://mail.google.com باشد.

ایمیل حاوی بدافزار
در سری دیگر حملاتی که در چند روز گذشته افزایش چشم‌گیری پیدا کرده است، فرد مهاجم ایمیلی حاوی فایل ورد، پی‌دی‌اف، پاورپونت، زیپ و… ارسال می‌کند و از فرد قربانی درخواست می‌کند که این فایل را دانلود و باز کند. فایلی که حاوی بدافزار است.

تصویر زیر نمونه‌ای از ایمیل‌هایی است که در چند روز گذشته به عده‌ای ارسال شده است:

نمونه‌ای از یک ایمیل حاوی بدافزار
نمونه‌ای از یک ایمیل حاوی بدافزار

راه حل مقابله با این نوع حملات سایبری چیست؟
برای مقابله با این دست حملات سه راه حل ساده وجود دارد که رعایت آنها تا حد بسیار بسیار زیادی شما را در مقابل این دست حملات حفاظت می‌کند:

۱- قبل از وارد کردن اطلاعات حساس در مروگر، آدرس وب‌سایت را بررسی کنید: این کار تنها ۵ ثانیه از وقت شما را می‌گیرد اما تا حد زیادی از هک شدن حساب‌هایتان جلوگیری می‌کند. برای این کار قبل از آنکه اطلاعات حساس مانند نام کاربری و رمز عبور خود را در مرورگر وارد کنید، از درست بودن آدرس وب‌سایت مطمئن شوید. مثلا هیچ گاه آدرس Facebook.com به صورت Face-book.com نیست.

۲- ورود دو مرحله‌ای را برای حساب‌های مختلف مانند جیمیل، توییتر، فیس‌بوک و… فعال کنید: در این مورد قبلا در اینجا صحبت کرده‌ام 🙂

۳- حس کنجکاوی خود را کنترل کنید: اگر زمانی ایمیلی از فرد ناشناس دریافت می‌کنید که حاوی فایل ضمیمه و یا لینک یا هر چیز دیگری است، حس کنجکاوی خود را کنترل کنید و از دانلود کردن فایل ضمیمه و یا کلیک کردن بر روی لینک داخل ایمیل خودداری کنید.

اگر شما همین سه راه حل مقابله را سرلوحه فعالیت‌های آنلاین خود قرار دهید، تا حدود بسیار زیادی می‌توانید خود را در مقابل حملات سایبری محافظت کنید. دقت کنید که فرض من در این مطلب این بوده است که رایانه شما آلوده به هیچ بدافزاری نیست و دارای یک سیستم عامل و آنتی‌ویروس به روز است 🙂

نوشتن دیدگاه

چگونه از طریق گوگل پلاس ایمیل دریافت نکنید؟

در طی چند روز اخیر گوگل یک امکان مهم به سرویس جیمیل خودش اضافه کرده که بار دیگر داستان همیشگی حریم خصوصی را زنده کرده است و آن امکان دریافت ایمیل از طریق گوگل پلاس است.

براساس این امکان، از این پس شما می‌توانید به هر کسی که در گوگل پلاس پروفایلی داشته باشد بدون آنکه آدرس ایمیل وی را بدانید ایمیل بزنید! البته این موضوع هم اکنون برای شخصیت‌های معروف مانند خوانندگان، بازیگران و… فعال نشده است و نخواهد شد.

با این حالی که گوگل اعلام کرده است که تمهدیدات لازم برای مبارزه با ارسال اسپم و… را از طریق این امکان جدید در نظر گرفته است، اما این داستان همچنان خطری برای حریم خصوصی کاربران به حساب می‌آید. از همین رو دیدم بد نیست که یک آموزش کوتاه در مورد غیر فعال کردن این امکان بنویسم.

برای غیر فعال کردن این امکان ابتدا باید بر روی تصویر چرخ‌دنده کلیک کنید و سپس گزینه «تنظیمات (Settings)» را انتخاب کنید.

چگونگی مراجعه به بخش تنظیمات جیمیل

پس از آن در بخش «کلی (General)» که به صورت پیش‌فرض با کلیک بر روی تنظیمات باز می‌شود، به دنبال قسمت «ایمیل از طریق Google+» یا «Email via Google+» بگردید و گزینه مقابل آن را به حالت «هیچکس (No one)» تغییر دهید.

غیرفعال کردن دریافت ایمیل از طریق گوگل پلاس

به همین راحتی و آسودگی از این پس هیچ کس نمی‌تواند از طریق گوگل پلاس و بدون دانستن آدرس ایمیل‌تان، به شما ایمیلی ارسال کند 🙂

از نظر من فعال شدن این امکان می‌تواند حریم خصوصی بسیاری از کاربران را به خطر بیاندازد، از همین رو اگر می‌توانید چگونگی غیر فعال کردن آن را به گوش دیگران نیز برسانید.

نوشتن دیدگاه