امنیت سایبری

• بدافزارها

«بدافزار»[1] گونه‌ای از نرم‌افزارها و کدهای کامپیوتری مخرب‌اند که با اهدافی خاص نظیر حذف فایل‌ها و از بین بردن اطلاعات یا ایجاد دسترسی‌های غیرمجاز یا جمع‌آوری اطلاعات شخصی یا ایجاد اختلال در عملکرد سیستم طراحی و منتشر می‌شوند. بدافزارها را می‌توان به گونه‌های مختلفی تقسیم کرد اما سه نوع از آنها میان کاربران متداول و پرابتلاتر هستند:

• • اسب تروا یا تروجان[2]

ایده این نوع بدافزار در واقع برگرفته از افسانه «جنگ تروا» است که در آن یونانی‌ها یک اسب چوبی عظیم به شهر تروا هدیه کردند. اهالی تروا اسب چوبی را به داخل قلعه شهر خود بردند غافل از اینکه سربازان یونانی داخل اسب پنهان شده‌اند و به هنگام شب و در حالی که تروایی‌ها در خواب بودند شهر را اشغال کردند. براین‌اساس بدافزارهای تروجان در ظاهر نرم‌افزارهای کاربردی و ساده‌ای هستند (مثل برنامک «صفحه‌کلید زیبای موبایل» یا «افزایش‌دهنده سرعت گوشی» یا حتی یک بازی ساده و کودکانه) که کاربران به وسوسه رایگان و جذاب بودن آنها یا به طمع جایزه و کسب درآمد نصب می‌کنند، غافل از اینکه به محض نصب و اجرای برنامه، ‌کدهای مخرب برنامه فعال شده و متناسب با هدفی که برای آن برنامه‌ریزی شده‌اند در پس زمینه شروع به فعالیت می‌کنند، مثلاً برخی از انواع آن عبارتند از:

• «باج‌گیر»[3] که فایل‌ها و اطلاعات شخصی کاربر را گروگان گرفته و با تهدید به پاک کردن آنها، از وی پول طلب می‌کنند.
• «کی‌لاگر»[4] نوعی تروجان است که به صورت پنهان تمام حرکات موش‌واره (ماوس) و دکمه‌هایی که کاربر روی صفحه کلید می‌فشارد را ثبت و برای هکر ارسال می‌کند.
• «تبلیغ‌افزار»[5] گونه دیگری از تروجان‌هاست که تمام رفتارهای مجازی کاربر را ثبت کرده و به شرکت‌های بازاریابی ارسال می‌کند تا با تحلیل آن بتوانند به کاربر محتوای تبلیغاتی اختصاصی نمایش دهند.

  • ویروس[6]

ویروس‌ها شناخته‌شده‌ترین نوع از بدافزارها هستند که خاصیت تکثیرشوندگی دارند. این بدافزارها به پرونده‌های اجرایی سیستم (مثلاً در ویندوز پرونده‌های با پسوند .exe) متصل شده و اینگونه با هر بار اجرای یک نرم‌افزار، درپس‌زمینه فعال می‌شوند و ضمن ایجاد اختلال در عملکرد سیستم (مثلاً افزایش مصرف برق سیستم، خارج کردن آن از کنترل، پنهان کردن پوشه‌ها و غیره) سایر پرونده‌های اجرایی را نیز آلوده می‌کنند. از اینرو با انتقال پرونده آلوده از سیستمی به سیستم دیگر، ویروس نیز منتقل می‌شود.

از طرف دیگر ویروس‌ها این قابلیت را دارند که با تغییر شکل مدام خود، ماهیت مخرب کدهایشان را از نرم‌افزارهای امنیتی مخفی نگه‌دارند و برای همین شرکت‌های تولیدکننده نرم‌افزار ضدویروس پس از بررسی مداوم کدها در آزمایشگاه‌های خود، به صورت روزانه بانک اطلاعاتی نمونه ویروس‌ها را به‌روز کرده و جهت شناسایی به نرم‌افزارشان اضافه می‌کنند.

• • کِرْم[7]

برخلاف ویروس‌ها که برای اجرا به پرونده‌های اجرایی متصل می‌شدند و تا زمانی که آن پرونده توسط کاربر اجرا نشود، غیر فعال باقی می‌مانند، بدافزارهای از نوع «کرم» به صورت خودکار و مستقل در سیستم مشغول به فعالیت و تکثیر می‌شوند. از اینرو کرم‌ها، نسبت به ویروس‌ها، سرعت بالاتری در آلوده‌سازی دارند و چون برای فعالیت مخرب خود احتیاج ندارند به پرونده‌های اجرایی متصل شوند، می‌توانند خود به خود در شبکه کامپیوترها منتشر شوند.

یک نمونه از این نوع بدافزار – که از آن به عنوان پیچیده‌ترین بدافزاری که تاکنون طراحی شده است نام برده می‌شود – «استاکس‌نت»[8] بود که در سال 1389/2010 از طریق حافظه همراه «یو اس بی» یک جاسوس دو جانبه به تاسیسات هسته‌ای نطنز منتقل و سانتریفیوژها را آلوده کرده بود و قصد داشت با ایجاد تغییرات ناگهانی در سرعت چرخش سانترفیوژها، آنها را منهدم کند.[9] این بدافزار نخستین بار توسط کارشناسان ایرانی نمایندگی یک آنتی‌ویروس بلاروسی در مشهد شناسایی شد. پس از این در آبان 89 شهید مصطفی احمدی روشن سرپرستی تیمی را به عهده گرفت که این بدافزار را کنترل کنند که نهایتاً موفق شدند مراکز هسته‌ای نطنز و فوردو را از این بدافزار پاکسازی کنند.[10]

جدول 8: خلاصه ویژگی‌ها و روش‌های پیشگیری از بدافزارهای مختلف

• هک

در یک تعریف عامیانه می‌توان «نفوذ به سیستم‌ها و شبکه‌های کامپیوتری از طریق حفره‌های امنیتی آنها و دسترسی به اطلاعات محرمانه یا سوء استفاده از آن سیستم‌ها» را «هک»[11] دانست. بر همین اساس کسی که چنین نفوذی را ترتیب می‌دهد «هکر»[12] می‌نامند و در یک دسته‌بندی متعارف آنها را سه دسته می‌کنند:

• هکرهای «کلاه سیاه»: مجرمان سایبری که انگیزه اصلی آنها اخاذی یا تخریب سیستم‌های کامپیوتری فرد/سازمان قربانی است.
• هکرهای «کلاه سفید»: متخصصان امنیت سایبر که توسط شرکت‌ها و سازمان‌ها استخدام می‌شوند میزان آسیب‌پذیری سیستم‌ها را آزمایش کنند.
• هکر «کلاه خاکستری»: افراد کنجکاوی هستند که بدون اطلاع به سامانه‌ها نفوذ کرده و پس از یافتن حفره‌های امنیتی آنها را در قبال کسب پول یا کسب آوازه و شهرت به سازمان مربوطه گزارش می‌کنند.

اما هک را بنا به روش نفوذ نیز می‌توان به دسته‌های مختلفی تقسیم کرد که برخی از متداول‌ترین‌های آن عبارتند از:

• • حملات منع سرویس (DoS)[13]

آنچه که معمولاً در رسانه‌ها درباره هک و از دسترس خارج شدن سایت سازمان‌های دولتی در ایران و خارج از ایران می‌شنوید عموماً از این نوع است. در این روش که به لحاظ فنی از سایر روش‌های هک ساده‌تر بوده اما دفع و مقابله با آن دشوارتر است، مهاجم تعداد زیادی درخواست جعلی را از طریق سیستم خود به سایت هدف ارسال می‌کند تا با مشغول و سردرگم کردن آن با این سیل درخواست‌ها، دسترسی کاربران واقعی به سایت و پاسخگویی به آنها را مختل کند. و برای جلوگیری از اینگونه حملات است که معمولاً سایت‌ها با استفاده از سیستم احراز هویت «کپچا» (CAPTCHA)[14] – همان سیستمی که بعد از چندین بار تکرار جستجوی یک عبارت در زمان کوتاه در گوگل یا باز کردن مکرر صفحه یک سایت نمایش داده می‌شود و از شما می‌خواهد پاسخ به سوالی (ریاضی یا تصویری یا متنی) را بدهید – درخواست‌های حقیقی را از درخواست‌های جعلی و ربات‌گونه تفکیک می‌کنند. البته که این کافی نیست وای خدا خسته شدم اینقدر تایپ کردم و مهاجمان برای دور زدن این سپر دفاعی می‌توانند به جای ارسال درخواست‌ها متعدد از یک سیستم، آنرا میان چندین سیستم توزیع کرده و اینگونه سایت قربانی را میان درخواست مکرر و توزیع شده، کور و سردرگم کنند؛ که به این روش DDoS (حملات منع سرویس توزیع‌شده)[15] می‌گویند و سامانه‌های تشخیصی مثل Cloudfare یا Google Project Sheild برای همین منظور توسعه یافته‌اند.

• • حملات جستجوی فراگیر (Brute Force)

اینگونه حملات یکی از روش‌های مرسومی است که از آن برای بدست آوردن رمز عبور افراد استفاده می‌شود. طی این روش، هکر تمام احتمالات ممکن برای رمز عبور را به کمک نرم‌افزارهای خاص (که برای مثال توان پردازش 15 میلیون رمز در ثانیه را دارد) امتحان می‌کند تا سرانجام از طریق یکی از آنها وارد محیط کاربر شود. البته مشخصاً این روش نیازمند قدری زمان و قدرت پردازش بالاست[16]  اما از آنجاکه اغلب کاربران رمز عبورهای مشابه و متداولی (مثل 123456 یا abcdef یا «نام‌خانوادگی+سال تولد») استفاده می‌کنند، هکرها ابتدا حمله خود را با لیستی از اینگونه عبارات آغاز می‌کنند.[17] از طرف دیگر اغلب سایت‌ها برای جلوگیری از اینگونه حملات، تعداد بار وارد کردن رمز عبور اشتباه را محدود می‌کنند یا از احراز هویت دو عاملی (رمز عبور + پیامک) استفاده می‌کنند، اما با اینوجود ضروریست کاربران نیز به جای استفاده از رمزعبورهای ساده و قابل حدس، عبارات پیچیده‌تر و دارای حروف مختلف (عدد+حرف+علامت) را به عنوان رمز عبور خود تعیین کنند. ضمن اینکه از یک عبارت ثابت نیز برای همه حساب‌های کاربری مختلف خود استفاده نکنند تا در صورت افشای رمز یک حساب، سایر حساب‌ها به خطر نیافتند.[18]

• • ساخت نقطه دسترسی جعلی

در این روش هکر یک نقطه دسترسی (اکسس پوینت) جعلی (مثلاً وای‌فای عمومی با نام «Airport Wireless» یا «Café Wifi» یا «Free Wifi») ایجاد کرده و منتظر متصل شدن کاربران به آن می‌ماند تا به محض اتصال، شروع به تخلیه اطلاعات قربانی می‌کند.[19]

• • فیشینگ

یکی از رایج‌ترین و پرقربانی‌ترین گونه از جرایم سایبری در کشور ما و بسیاری از نقاط دیگر دنیا «فیشینگ» (Phishing) باشد. در این روش مهاجم از طریق ارسال طعمه برای قربانیان، منتظر می‌ماند تا آنها در قلاب گیر کرده و اطلاعاتشان را تخلیه کند.[20]

فیشینگ را نیز می‌توان بنا به نحوه به دام انداختن قربانی به گونه‌های مختلف تقسیم کرد، برای مثال:

• • • رایانامه (ایمیل): ابتدایی و قدیمی‌ترین مدل فیشینگ اینترنتی، ارسال ایمیل جعلی با عنوان، اسامی و نشانی‌های شبیه به شرکت‌های رسمی (نظیر گوگل یا اینستاگرام) به کاربران و تقاضای ارسال اطلاعات شخصی مثل رمز عبور حساب کاربری از آنهاست. البته سرویس‌های ارائه‌دهنده خدمات رایانه‌نامه با ارتقای الگوریتم‌های تشخیصی خود رایانامه‌های مشکوک را در دسته هرزنامه (Spam) قرار می‌دهند و حتی گوگل یک بازی تعاملی کوچک برای آموزش روش‌های شناسایی رایانامه‌های فیشینگ طراحی کرده است[21] اما این روش ساده همچنان قربانیان زیادی می‌گیرد.
    • سایت و صفحات پرداخت جعلی: در این روش مهاجمان یک سایت فروشگاهی یا درگاه پرداخت جعلی با ظاهری کاملاً مشابه صفحات واقعی و رسمی طراحی می‌کنند و از شما می‌خواهند اطلاعات بانکی خود را وارد کنید. اما به محض وارد کردن این اطلاعات، هکر از آنها استفاده کرده و حساب بانکی شما را تخلیه می‌کند. البته الزامی کردن «رمز یکبار مصرف پویا» در خریدهای اینترنتی توسط بانک مرکزی گامی مهم و موثر برای مقابله با این کلاهبرداری‌ها بوده است. هرچند همچنان ممکن است هکرها از طریق برنامک‌های تروجان به پیامک رمز پویای شما نیز دست پیدا کنند.

شکل 29: یک صفحه پرداخت بانکی جعلی (به نشانی صفحه دقت شود)

• • • پیام‌رسان: در این روش که عمدتا بر بستر نرم‌افزارهای پیام‌رسان یا حتی پیامک رخ می‌دهد، فرد ناشناسی پیام‌های تحریک‌کننده مثل «اخطار قطع یارانه» یا «صدور شکوائیه» یا «بدهی مالیاتی» یا «در جایزه چند میلیونی برنده شدید» ارسال می‌کند و از شما می‌خواهد با ورود به پیوند درج شده در پیام یا نصب نرم‌افزار ارسالی، اطلاعات خود را وارد کنید. در حالیکه مکرراً اعلام شده است نهادهای رسمی دولتی به هیچ وجه اطلاعیه‌های خود را از طریق پیام‌رسان و با الزام به نصب نرم‌افزار اعلام نمی‌کنند. ضمن اینکه اختصاص سرشماره‌های نامی مثل «Behdasht» یا «Bank …» برای مقابله با اینگونه کلاه‌برداری‌ها صورت گرفته است.

شکل 30: نمونه‌هایی از پیامک‌های جعلی با هدف فیشینگ و سرقت اطلاعات فرد قربانی

• • • دستکاری پیوند (لینک): در برخی موارد، مهاجمان پیوند اینترنتی که ظاهری بسیار شبیه به پیوند اصلی مورد انتظار دارد (مثلاً ir به جای adliran.ir) برای شما ارسال می‌کنند و از شما می‌خواهند با کلیک روی آن وارد سایت شده و اطلاعات را وارد کنید. در برخی موارد دیگر عنوان پیوند درج شده در متن سایت با پیوند واقعی الصاق شده به آن متفاوت بوده و لازم است پیش از کلیک روی پیوند به پیشنمایش نشانی آن در گوشه مرورگر توجه کنید.

شکل 31: یک پیوند جعلی که متن نمایشی آن با پیوند اصلی که به آن الصاق شده متفاوت است (با کلیک روی آن به جای google.com به google.searchsite.com  می‌رود)

• • • مهندسی اجتماعی: «مهندسی اجتماعی»[22] نه یک رشته دانشگاهی، بلکه مجموعه‌ای از روش‌هاست که از آنها برای وادار کردن افراد به انجام یک عمل یا تخلیه اطلاعاتی آنها استفاده می‌شود. بدین معنا که مهاجم ضمن تعامل شخص هدف، با قرار دادن وی در شرایط خاص اجتماعی، او را به صورت ناآگاهانه به دادن اطلاعات یا انجام اقدامی سوق می‌دهد. البته اگرچه در ارتباطات روزمره و حقیقی نیز ممکن است استفاده شوند، اما با گسترش ارتباطات بی‌جسم مجازی و میل به خودافشاگری کاربران در شبکه‌های اجتماعی سهولت و گسترش بیشتری یافته است. تصویر زیر مثالی از یک مکالمه مهندسی اجتماعی برای نفوذ به محیط کاربری شما در سامانه محل کارتان است که مهاجم پس از فهمیدن محل کار شما از طریق صفحه‌تان در شبکه‌های اجتماعی و یافتن نام خانواگی مسئول آی‌تی آن در سایت شرکت آنرا با حساب و پروفایل جعلی ترتیب داده است:

شکل 32:  نمونه‌ای از یک گفتگوی مهندسی اجتماعی با هویت جعلی

اما در کنار تنوع حملات سایبری، از حیث کیفری در اغلب کشورهای دنیا، از جمله ایران، قوانین مبارزه با اینگونه جرائم با تعریف مجازات‌هایی به دنبال مقابله با هکرها هستند.[23]

البته باید توجه داشت که تا پیش از این، خطر هک صرفاً محدود به دنیای مجازی بود. در حالیکه امروزه گسترش «اینترنت اشیاء» (IoT)[24] و متصل شدن دستگاه‌هایی نظیر خودروها، وسایل منزل و فناوری‌های پوشیدنی به اینترنت نگرانی‌های جدی‌تری را نسبت به احتمال هک شدن این ابزارها و خطرات حاصل از آن در دنیای حقیقی ایجاد کرده است. برای مثال مهاجمین با هک خانه هوشمند یک فرد می‌توانند تمام چراغ‌ها را خاموش و درها را قفل کرده و فقط در ازای دریافت مبلغی اجازه خروج وی از خانه را بدهند! مشابه همین اتفاق ممکن است در صورت هک شدن تجهیزات هوشمند پزشکی در بیمارستان‌ها یا خودروهای هوشمند و خودران در جاده‌ها نیز رخ دهد و تبعات مرگباری داشته باشد.

• مقابله با بدافزار

گسترش شبکه اینترنت و اتصال کاربران از سراسر دنیا به یکدیگر، میزان تولید و سرعت انتشار بدافزارها را نیز افزایش داده است. بطوریکه فقط در سال 1401/۲۰۲۲ بیش از 6 میلیارد حمله بدافزاری در جهان صورت گرفته است.[25] به طور خاص در این سال، حوزه آموزش و پژوهش با بیش از ۲ هزار حمله در هفته، بالاتر از صنایع نظامی و بهداشت و درمان، پرتهاجم‌ترین بخش در جهان بوده است.[26] از اینرو رعایت اصول ایمنی آنلاین برای حفاظت از حریم خصوصی حیاتی به نظر می‌رسد.

شکل 33: نقشه زنده آنتی‌ویروس کسپرسکی از تهدیدات سایبری شناسایی شده در سراسر جهان[27]

• • استفاده از آنتی‌ویروس

آنتی‌ویروس نوعی نرم‌افزار است که برای محافظت از سیستم‌های رایانه‌ای در برابر ویروس‌ها و سایر بدافزارها طراحی شده است. این نرم‌افزارها عموماً از طریق اسکن فایل‌ها و برنامه‌های موجود در سیستم و تطبیق آنها با بانک اطلاعاتی جامعی که از قبل درباره بدافزارها دارند، کدهای مخرب را شناسایی و پاکسازی می‌کنند.

در واقع شرکت‌های ارائه‌کننده خدمات آنتی‌ویروس در آزمایشگاه‌های رایانه‌ای خود، به صورت مداوم فایل‌ها و کدهای مشکوک را آزمایش می‌کنند تا بدافزارهای احتمالی را شناسایی کنند. پس از شناسایی بدافزار، مشخصات و طرز کار آنرا در بانک اطلاعاتی خود ثبت کرده و در قالب بروزرسانی در اختیار نرم‌افزار آنتی‌ویروس قرار می‌دهند. لذا استفاده از آنتی‌ویروس معتبر و بروزرسانی مستمر آن جهت شناسایی ویروس‌های جدید ضرورت دارد.

البته کارکرد آنتی‌ویروس‌ها فقط به شناسایی ویروس محدود نمی‌شود و برخی از آنها قابلیت‌هایی نظیر «فایروال» (نظارت و پایش ترافیک مشکوک ورودی به سیستم از اینترنت)، «ضدباج‌گیر» (مقابله با بدافزارهای گروگان‌گیرنده اطلاعات سیستم)، «کنترل والدین» (ابزار نظارت والدین بر استفاده فرزندان از سیستم)، «پشتیبان‌گیری» (گرفتن ذخیره از فایل‌ها و اطلاعات سیستم) نیز دارند.

• • رفتار آنلاین ایمن

علاوه‌بر استفاده از آنتی‌ویروس‌ها، آگاهی از دام‌های رایج انتشار محتوای مخرب به منظور خودمراقبتی و رعایت رفتار آنلاین ایمن می‌تواند تاثیر بسزایی در پیشگیری از آلوده شدن سیستم به بدافزار داشته باشد:

جدول 9: برخی مصادیق رفتار ایمن آنلاین در کاربردهای مختلف اینترنت

اما یکی از ساده‌ترین و در عین حال موثر‌ترین روش‌های حفظ حریم خصوصی، انتخاب رمز عبور ایمن و مطمئن است. چراکه رمز عبور مانند کلید ورود به حریم خصوصی کاربران در فضای مجازی عمل می‌کند. از اینرو رعایت دو اصل در انتخاب رمز عبور مناسب و قوی می‌تواند اثر بسزایی برای حفظ امنیت در اینترنت داشته باشد:

          1)رایج نباشد: یک اصل مهم در انتخاب رمز عبور این است که توسط دیگران زیاد استفاده نشده باشد. در واقع علت این موضوع به آنجایی بر می‌گردد که تاکنون بسیاری از پلتفرم‌های آنلاین به علت نواقص امنیتی هک و تمام اطلاعات کاربرانشان افشاء شده است. از جمله این اطلاعات رمز عبور است. لذا یکی از پایه‌ای‌ترین روش‌های نفوذ به حساب کاربری روش موسوم به «دیشکنری»[30] است: هکر لیست تعداد زیادی از رمز عبورهای لو رفته را تجمیع کرده و از طریق آن پرتکرارترین رمزهای عبور را شناسایی می‌کند، سپس با این فرض که به احتمال بالایی صاحب حساب کاربری نیز از رمزهای عبور رایج و عمومی استفاده کرده باشد این لیست را به یک برنامه خودکار می‌دهد تا آنها را یکی یکی روی حساب کاربری آزمایش کند.

به همین جهت برای ایمن‌سازی حساب کاربری باید تا حد امکان از انتخاب رمزهای عبور متداول و عمومی خودداری کرد، نظیر: 123456، abcdefg، qwerty، iran، salam و …

جدول 10: بیست رمز عبور پرتکرار جهان در سال ۲۰۲۳[31]

شکل 34: در لیستی از 10 میلیون رمز عبور پرتکرار لو رفته در جهان، برخی رمز عبورهای با اسامی فارسی، شهرهای ایران یا سال‌های شمسی نیز دیده می‌شود![32]

          2)قابل حدس زدن نباشد: قابل حدس نبودن رمز عبور موضوع به ظاهر واضح و بدیهی است. اما در عمل بسیاری افراد آنرا رعایت نمی‌کنند. بدین معنی که عموماً به منظور رعایت اصل اول انتخاب رمز عبور، یعنی رمزی که رایج و عمومی نباشد، به سراغ اطلاعات شخصی می‌روند. غافل از اینکه این نوع رمزها نیز در اغلب موارد با داشتن اندکی شناخت و مهندسی اجتماعی افراد قابل حدس است! در واقع باید از گذاشتن رمز عبورهایی شامل اطلاعات مثل شماره تماس یا نام شهر، نام و نام خانوادگی، نام دوستان صمیمی و… خودداری کرد چراکه افرادی زیادی از آنها اطلاع دارند. برای مثال:

فردی رمز عبور خود را AmirAzar666 می‌گذارد چون نامش «امیر» است، متولد ماه «آذر» است و طرفدار تیم فوتبال «پرسپولیس». این درحالیست که همه این اطلاعات به ظاهر خصوصی (اسم، ماه تولد و علایق شخصی) به راحتی و با قدری کنجکاوی کردن در صفحات مجازی این فرد و پست‌هایی که از تولد و استادیوم رفتن‌های خود منتشر کرده قابل تشخیص است. از اینرو با کمی سعی و خطا و بازی با جایگشت کلمات، احتمال کشف رمز عبور وی دور از دسترس نیست.

در واقع یک هکر می‌تواند با قدری کسب شناخت از زندگی فرد، تحلیل افکار وی، مرور سوابق و علایقش، رفتار وی در فضای مجازی و به طور خاص شیوه انتخاب رمزش را حدس بزند…

شکل 35: فرسوده‌تر شدن دکمه اعداد ۱ و ۳ روی صفحه کلید دستگاه شارژ کارت مترو احتمالاْ نشانه اینست که بسیاری از افراد رمز کارت بانکی‌شان عددی مربوط به سال‌های شمسی (سال تولد خود، تولد فرزند، ازدواج و …) است.

از اینرو رعایت این پنج نکته در انتخاب رمز عبور ضروری است:

اما یکی از روش‌های ساده اما مطمئن برای ایجاد رمز عبور قوی استفاده از روش «آشنای بی‌معنی»[33] است که در آن از عبارات طولانی و بی‌معنی ولی آشنا و قابل به خاطر سپردن برای شخص صاحب رمز استفاده می‌شود. برای مثال:

• ابتدا فرد یک بیت شعر یا جمله دلخواه را (که از فراموش نکردن آن اطمینان دارد) انتخاب می‌کند، مثلاً: «من در مؤسسه تربیت رسانه‌ای باران کار می‌کنم ای ایران»

Man Dar Moasse Tarbiat Resane Baran Kar Mikonam Ey Iran

• طبق یک قاعده دلخواه، برخی از حروف آنرا جدا می‌کند، مثلاً حروف اول هر کلمه:

mdotrbkmei

• در گام آخر برخی از کاراکترها را با حروف بزرگ، اعداد و علائم نگارشی جایگزین می‌کند، مثلاً:

@mdotrbkmEI3725

این رمز عبور از نگاه دیگران بی‌معنی، پیچیده و غیرقابل حدس است، اما برای صاحب حساب کاربری معنی‌دار و قابل به حافظه‌سپاری است.

• نشت اطلاعات

به موازات استقبال کاربران و فراگیر شدن پلتفرم‌های خدمات آنلاین و رسانه‌های اجتماعی در اینترنت، حجم اطلاعات ذخیره شده در آنها نیز به طعمه‌ای وسوسه‌انگیز برای هکرها تبدیل شده است. از اینرو یکی از چالش‌های سامانه‌های آنلاین در دنیا، مسئله «نشت اطلاعاتی»[34] است که طی آن اطلاعات خصوصی و حساس کاربران به دلیل حمله سایبری و نفوذ هکرها یا خطای انسانی و اشتباه کارکنان افشاء شده و در معرض دید عموم قرار می‌گیرد. اطلاعات لو رفته ممکن است در سطح وب منتشر شود یا در وب تاریک به فروش برسد یا هکرها بابت عدم انتشار آن از پلتفرم مورد حمله واقع شده اخاذی کنند.

جدول 11: برخی از قابل توجه‌ترین نشت‌های اطلاعاتی دنیا در دهه گذشته به ترتیب حجم اطلاعات افشاء شده[35]

شکل 36: نمونه‌ای از اطلاعات لو رفته کاربران در پی نشت اطلاعاتی «اسنپ فود»

اما در هر صورت لو رفتن اطلاعات کاربران می‌تواند تبعات سنگینی مثل سوءاستفاده از اطلاعات مالی یا هویتی برای آنان داشته باشد که با توجه به «شبکه» و «نافراموش» بودن فضای سایبر، تقریباً تحت هیچ شرایطی نمی‌توان جلوی آنرا گرفت. در چنین شرایطی دو نکته زیر را باید در نظر داشت:

• • • پیش از نشت اطلاعاتی: اساساً در اینترنت چیزی به نام «اطلاعات خصوصی» وجود ندارد. در عوض هر اطلاعاتی که کاربران از خود در بستر فضای سایبر منتشر می‌کنند یا از همان ابتدا توسط خود یا اطرافیان عمومی شده است و به آن «اطلاعات عمومی افشاء شده» گفته می‌شود، یا هنوز کاربر آنرا به صورت عمومی منتشر نکرده اما هر لحظه ممکن است به دلایلی مثل «هک کور»، «هک هدفمند»، «میل صاحب پلتفرم»، «نقص فنی» و … در معرض عموم قرار گیرد که به آن «اطلاعات عمومی افشاء نشده» گفته می‌شود. از اینرو رفتار معقول آن است که فضای سایبر به عنوان بستر نگهداری، انتقال یا انتشار هیچ‌گونه‌ای از «اطلاعات خصوصی» قرار نگیرد. ضمن اینکه پیش از قرار دادن هر محتوای شخصی در اینترنت، این احتمال در نظر گرفته شود که افشای آن، چه تبعاتی ممکن است داشته باشد.

• • • پس از نشت اطلاعاتی: افشاء شدن اطلاعات شخصی در اینترنت، اتفاقی تقریباً غیرقابل بازگشت است. اما حداقل اقدامی که می‌توان در صورت وقوع آن انجام داد، پیشگیری از توالی افشای اطلاعات است. بدین معنی که اگر کاربری دریافت که اطلاعاتش در یک پلتفرم به سرقت رفته است، برای جلوگیری از لو رفتن اطلاعات در سایر سامانه‌ها، رمزهای عبور خود را حتماً تغییر دهد.[59] البته باید توجه داشت که در این صورت با توجه به افشای احتمالی اطلاعاتی مثل تاریخ تولد، شماره موبایل، کد ملی و … در نشت اطلاعاتی مذکور، باید از این پس از قراردادن اینگونه داده‌ها به عنوان رمز عبور خودداری شود.

• فیلترشکن

آنچه در نزد عموم تحت عنوان «فیلترشکن» یا به عبارت تخصصی‌تر «شبکه خصوصی مجازی» (VPN)[60] درواقع یک شبکه اختصاصی و محدود است که بر روی بستر شبکه عمومی اینترنت ایجاد می‌شود و تبادل اطلاعات میان کاربر و سرور مورد نظر از مجرای آن صورت می‌گیرد.

در واقع به جای اتصال مستقیم دستگاه کاربر به سایت و تبادل داده میان آن دو، یک سرور VPN واسطه برقراری اتصال می‌شود. بدین صورت که این سرور واسط، درخواست‌ها را از دستگاه کاربر دریافت می‌کند و با نشانی آی‌پی خود و به صورت کدگذاری شده (مثلاً به روش SSL) به سایت مورد نظر ارسال می‌کند و بعد از آنکه پاسخ را از سایت دریافت کرد، به دستگاه کاربر بازمی‌گرداند. این جایگزین‌سازی آی‌پی باعث می‌شود تا اتصال کاربر به سایت به صورت گمنام و ناشناس برقرار شود. لذا برای مواقعی که حفظ هویت کاربر حائز اهمیت است یا دسترسی به یک سایت مسدود شده می‌تواند کاربرد داشته باشد.

شکل 37: سرویس 403.online یک نمونه شبکه خصوصی مجازی است که در مواردی که سایتی درخواست‌های از مبداء ایران را مسدود کرده است، از طریق سرور واسطه و جایگزین‌سازی آی‌پی دسترسی به سایت تحریمی را ممکن می‌سازد.

علاوه‌براین کدگذاری ترافیک ارسالی و دریافتی از سایت توسط سرور VPN، باعث می‌شود هکرهای احتمالی حاضر در شبکه عمومی اینترنت نتوانند به محتوای تبادل اطلاعات دسترسی پیدا کنند. از اینرو از شبکه خصوصی مجازی برای تبادلات مالی یا امنیتی بسیار استفاده می‌شود.

اما باید توجه داشت که محتوای اطلاعات و آی‌پی مبداء و مقصد ارتباط همچنان توسط ارائه‌دهنده سرور VPN قابل مشاهده و رصد است. کما اینکه بسیاری از برنامک‌هایی که به صورت رایگان یا پولی مدعی ارائه خدمات VPN هستند، به خاطر حجم بالای کاربری که دارند عملاً شبکه خصوصی نیستند و در واقع یا داده کاربران را جمع‌آوری می‌کنند (به منظور داده‌کاوی و فروش اطلاعات یا اخاذی از کاربران) یا دستگاه آنها را به بدافزار آلوده می‌کنند و یا پهنای باندشان را می‌فروشند.[61] از اینرو افرادی که احتیاج مبرمی به حفظ ایمنی در تبادلات اینترنتی خود دارند، اقدام به راه‌اندازی سرور وی‌پی‌ان شخصی و اختصاصی خود می‌کنند که البته هزینه‌بر و نیازمند تخصص بالایی است.

شکل 38: برشی از متن موافقتنامه سیاست حریم خصوصی اپلیکیشن معروف «Hola VPN»[62] درباره داده‌هایی که از کاربران جمع‌آوری می‌کند (شامل نام مرورگر، صفحات بازدید شده، مدت زمان تماشای صفحه، تاریخ بازدید، نشانی آی‌پی، نام و آدرس ایمیل، اطلاعات بانکی، تصویر پروفایل، تاریخ تولد، جنسیت و …) به همراه توضیح اینکه «در قبال استفاده رایگان کاربران از اپلیکیشن، اطلاعات آنها با شرکت جمع‌آوری داده Luminati (مستقر در اسرائیل) به اشتراک گذاشته می‌شود.»[63]

علاوه‌براین تبادل اطلاعات از بستر شبکه خصوصی مجازی به دلایل فنی عموماً کند است؛ چراکه به جای ارتباط مستقیم کاربر و سایت، داده‌ها باید از مجرای سرور واسطه VPN مسیریابی شوند که امری زمان‌برتر است.

ضمن اینکه بسیاری از اپلیکیشن‌هایی که تحت عنوان VPN عرضه می‌شوند اساساً شبکه خصوصی مجازی نیستند و در واقع «پراکسی»[64] اند. در سرویس پراکسی نیز مشابه وی‌پی‌ان، تبادل اطلاعات با واسطه‌گری یک سرور ثالث صورت می‌گیرد، با این تفاوت که راه‌اندازی آن آسان‌تر و کم‌هزینه‌تر است. علاوه‌براین و برخلاف VPN، در پراکسی اطلاعات ارسالی و دریافت کدگذاری نمی‌شوند و امنیت آن به مراتب پایین‌تر است.

جدول 12: مقایسه سرویس‌های وی‌پی‌ان و پراکسی

[1] Malware

[2] Trojan

[3] Ransomware

[4] Keylogger

[5] Adware

[6] Virus

[7] Worm

[8] Stuxnet

[9] https://www.dw.com/fa-ir/ ویروس-استاکسنت-چگونه-وارد-تاسیسات-هستهای-نطنز-شد/a-50271881

[10] https://farhikhtegandaily.com/page/121787/

[11] Hack

[12] Hacker

[13] Denial of Service

[14] سرواژه عبارت «Completely Automated Public Turing test to tell Computers and Human Apart» به معنی «آزمون همگانی کاملاً خودکارشده تورینگ برای مجزا کردن انسان و رایانه»

[15] Distributed Denial of Service

[16] https://www.hivesystems.io/blog/are-your-passwords-in-the-green

[17] برای مثال در این لینک، لیستی از 10 میلیون رمزعبور متداول که اغلب کاربران در دنیا استفاده می‌کنند قرار دارد:

https://raw.githubusercontent.com/danielmiessler/SecLists/master/Passwords/Common-Credentials/10-million-password-list-top-1000000.txt

[18] https://www.setakit.com/mag/credential-stuffing-attack/

[19] https://www.hamyarit.com/blog/hacking/

[20] اطلاق فیشینگ (Phishing) به این روش به خاطر شباهت آن به ماهیگیری (Fishing) است.

[21] https://phishingquiz.withgoogle.com/

[22] Social Engeneering

[23] https://rc.majlis.ir/fa/law/show/135717

[24] Internet of Things

[25] https://www.statista.com/statistics/873097/malware-attacks-per-year-worldwide

[26] https://www.statista.com/statistics/1377217/average-weekly-number-attacks-global-by-industry/

[27] https://cybermap.kaspersky.com/

[28] سایت‌هایی نظیر «urlvoid.com»، «URLscan.io»، «radar.cloudflare.com/scan»، «virustotal.com» و … می‌توانند در این زمینه کاربردی باشند.

[29] https://csirc.cyberpolice.gov.ir/

[30] Dictionary

[31] https://dgto.ir/37lp

[32] https://raw.githubusercontent.com/danielmiessler/SecLists/master/Passwords/Common-Credentials/10-million-password-list-top-1000000.txt

[33] https://osint.ir/2182

[34] Data Breach

[35] https://termly.io/resources/articles/biggest-data-breaches/

[36] https://www.nytimes.com/2016/12/14/technology/yahoo-hack.html

[37] https://www.theguardian.com/technology/2017/mar/06/email-addresses-spam-leak-river-city-media

[38] Aadhaar

[39] https://www.theguardian.com/world/2018/jan/04/india-national-id-database-data-leak-bought-online-aadhaar

[40] Indian Council of Medical Research (ICMR)

[41] https://www.business-standard.com/india-news/aadhaar-data-of-millions-of-indians-put-on-sale-on-the-dark-web-reports-123103000993_1.html

[42] https://www.theguardian.com/technology/2017/aug/30/spambot-leaks-700m-email-addresses-huge-data-breach-passwords

[43] https://www.theverge.com/2022/11/28/23481786/meta-fine-facebook-data-leak-ireland-dpc-gdpr

[44] https://www.databreaches.net/personal-details-of-21m-supervpn-geckovpn-users-leaked-on-telegram/

[45] https://hacken.io/industry-news-and-insights/no-more-privacy-202-million-private-resumes-exposed/

[46] https://www.cnn.com/2023/01/05/tech/twitter-data-email-addresses/index.html

[47] https://www.zdnet.com/article/details-of-44m-pakistani-mobile-users-leaked-online-part-of-bigger-115m-cache/

[48] Sony PlayStation Network (PSN)

[49] https://www.zdnet.com/article/uk-fines-sony-395k-for-2011-playstation-hack/

[50] https://www.lowyat.net/2017/146339/46-2-million-mobile-phone-numbers-leaked-from-2014-data-breach/

[51] https://www.msn.com/en-us/news/technology/record-breach-of-french-government-exposes-up-to-43-million-peoples-data/ar-BB1jTFBa

[52] US Office of Personnel Management

[53] https://www.afge.org/article/63-million-settlement-reached-for-opm-data-breach-victims-heres-how-you-can-file-a-claim/

[54] https://www.passwarden.com/blog/lastpass-breach-and-financial-losses

[55] https://www.reuters.com/article/idUSKCN0SE2JI/

[56] https://www.zoomit.ir/tech-iran/414139-hacking-information-of-snapfood-users/

[57] https://www.zoomit.ir/tech-iran/408696-tapsi-hacked-user-data-leaked/

[58] https://peivast.com/p/123563

[59] در این راستا سایت‌های مختلفی هستند که ادعا دارند اطلاعات و اخبار تمام پایگاه‌های داده افشاء شده را گردآوری می‌کنند و کاربر می‌تواند با وارد کردن شناسه‌ای از خود بررسی کند که آیا تاکنون در معرض نشت اطلاعاتی قرار گرفته است یا خیر. برای مثال:

https://leakfa.com/search

https://haveibeenpwned.com

https://www.f-secure.com/en/identity-theft-checker

[60] Virtual Private Network

[61] https://lifehacker.com/hola-better-internet-sells-your-bandwidth-turning-its-1707496872

[62] https://hola.org/legal/privacy

[63] https://thebestvpn.com/118-vpns-logging-policy/

[64] Proxy