نکاتی در مورد امنیت اطلاعات در ارتباطات اینترنتی
شنبه, ۵ شهریور ۱۳۹۰، ۰۸:۳۳ ق.ظ
خیلی وقت بود که دوست داشتم در مورد امنیت اطلاعات در ارتباطات اینترنتی بنویسم و یعضی از نکاتی رو که ممکنه یک شخص عادی بهش توجه نکنه، یادآوری کنم. من یک کارشناس امنیت اطلاعات نیستم اما به عنوان یک دانشجوی رشته‌ی کامپیوتر، برداشت‌هام رو از سیستم انتقال اطلاعات در اینترنت می‌نویسم.
همانطور که همه می‌دونیم، ما برای اتصال به اینترنت از یک ISP استفاده می‌کنیم. اطلاعات طبیعتا ابتدا قبل از ارسال به هر سایتی به کامپیوترهای ISP ارسال می‌شند. ISPها می‌تونند اطلاعات ما رو به طور کلی ذخیره کنند. اطلاعاتی که ما به سایت‌های مختلف می‌فرستیم، تقریبا همیشه فرمت‌های مشخصی دارند. مثلا دریافت یک صفحه‌ی وب یک فرمت استاندارد GET و POST داره. همچنین ارسال ایمیل یا پروتکل دریافت فایل هم فرمت مشخصی داره. اطلاعاتی که ما به یه سرور وب می‌فرستیم، به قسمت‌های کوچک‌تری تقسیم می‌شند به نام پاکت(packet). این پاکت‌ها، حاوی تمام اطلاعاتیه که اون پاکت برای رسیدن به مقصد نیاز داره. یعنی اطلاعات فرستنده، گیرنده، پورت انتقال اطلاعات، شماره‌ی پاکت و ... خوب. مطلب خیلی سر راسته. ISPدر صورتی که این پاکت‌ها رو ذخیره کنه، (حداقل برای آی‌پی‌های خاص. مثلا آی‌پی‌های مریوط به یه مشتری خاص که عین آب خوردن در دسترس اون‌هاست، کسی که اطلاعاتش براش مهمه. یا مثلا تمام اطلاعاتی که به یه سایت خاص می‌ره) می‌تونه با الگوریتم نسبتا ساده‌ای اون‌ها رو به هم بچسبونه و اطلاعات اصلی رو بیرون بکشه. مثلا متن یک ایمیل، یا محتویات دقیق این پستی که به وبلاگ خاص ارسال میشه. خوب فک کنید. خیلی کارای دیگه هم میشه کرد! ...
خوب ممکنه بگید مثلا میشه از HTTPS استفاده کرد که امنه. واژه‌ی بهتر کلمه‌ی «امن‌تره» نه «امن». به طور ساده استفاده از HTTPS به این صورته که شما از سرور صفحه‌ای که واردش می‌شید مثلا گوگل، یه کلید دریافت می‌کنید. این اتفاق به محض وارد شدن شما به اون صفحه رخ می‌ده. بعد از اون اطلاعاتی که با اون سرور رد و بدل میشه با اون کلید رمزنگاری میشه. خوب. رمزنگاری خوبه. اما فقط کار ISP رو سخت‌تر می‌کنه و نمی‌تونه جلوش رو بگیره. اینجا فقط کافیه ISPبتونه اون کلید رو بدست بیاره. که اون هم کار نشدنی‌ای نیست! تمام اطلاعاتی که شما از اون سایت می‌گیرید و می‌فرستید از ISP می‌گذره. و اون کلید هم اول بدون رمز از ISPگذشته!
خوب. راه حل دیگه‌ای که به ذهن می‌رسه، استفاده از VPNـه. به نظر من VPNها از ISP هم در بعضی مواقع خطرناک‌تر هستند. حداقل ISPها کمی وجهه‌ی قانونی دارند. لااقل اداش رو مجبورند در بیارند. (من الآن علیه امنیت ملی اقدام نمی‌کنما. این مطالب کاملا کلی نوشته شده‌اند!)
البته را‌ه‌هایی هم برای چت امن، ایمیل امن یا اینترنت گردی امن وجود داره، اما بین مردم ما، به شدت کم استفاده میشه. من سعی می‌کنم درباره‌ی این موارد هم در آینده بنویسم. برای اینکه دیدی داشته باشید در این زمینه، فقط توضیح کوتاهی می‌دم. اگه شما بتونین اون کلید رمز گذاری رو به روشی غیر از استفاده از اینترنت مثلا از طریق تلفن یا از طریق اینترنت اما طوری که غیر موازی این کارتون باشه، به طرف مقابلتون برسونید، می‌تونید ایمیل یا چتتون رو رمز گذازی کنید. البته دردسر داره اما برای اطلاعات ضروری بد نیست استفاده از این کار. در مورد ایمیل در سطح جهان مخصوصا کارمندای یک شرکت مثلا، این کار کاملا مرسومه. برای استفاده از اینترنت هم برای اینکه نمی‌شه کلیدی رو مثلا با گوگل ست کنید، مجبورید یا از یه VPN مطمئن استفاده کنید (اگر اصلا ممکن باشه. اگر بخوایم تئوری توطئه‌ای فک کنیم، مثلا سرویسِ اطلاعاتِ یه دولت می‌تونه برای خودش یک سری VPN بینِ مردم پخش کنه!) یا اینکه روش‌های سخت‌تری رو به کار بگیرید که گرون هم هستند (مثلا یه سرورِ VPN برای خودتون داشته باشید! البته اونجا هم یه ISP خارجی اطلاعاتتون رو خواهد داشت!). .
=-=-=-=-=
Powered by Blogilo
همانطور که همه می‌دونیم، ما برای اتصال به اینترنت از یک ISP استفاده می‌کنیم. اطلاعات طبیعتا ابتدا قبل از ارسال به هر سایتی به کامپیوترهای ISP ارسال می‌شند. ISPها می‌تونند اطلاعات ما رو به طور کلی ذخیره کنند. اطلاعاتی که ما به سایت‌های مختلف می‌فرستیم، تقریبا همیشه فرمت‌های مشخصی دارند. مثلا دریافت یک صفحه‌ی وب یک فرمت استاندارد GET و POST داره. همچنین ارسال ایمیل یا پروتکل دریافت فایل هم فرمت مشخصی داره. اطلاعاتی که ما به یه سرور وب می‌فرستیم، به قسمت‌های کوچک‌تری تقسیم می‌شند به نام پاکت(packet). این پاکت‌ها، حاوی تمام اطلاعاتیه که اون پاکت برای رسیدن به مقصد نیاز داره. یعنی اطلاعات فرستنده، گیرنده، پورت انتقال اطلاعات، شماره‌ی پاکت و ... خوب. مطلب خیلی سر راسته. ISPدر صورتی که این پاکت‌ها رو ذخیره کنه، (حداقل برای آی‌پی‌های خاص. مثلا آی‌پی‌های مریوط به یه مشتری خاص که عین آب خوردن در دسترس اون‌هاست، کسی که اطلاعاتش براش مهمه. یا مثلا تمام اطلاعاتی که به یه سایت خاص می‌ره) می‌تونه با الگوریتم نسبتا ساده‌ای اون‌ها رو به هم بچسبونه و اطلاعات اصلی رو بیرون بکشه. مثلا متن یک ایمیل، یا محتویات دقیق این پستی که به وبلاگ خاص ارسال میشه. خوب فک کنید. خیلی کارای دیگه هم میشه کرد! ...
خوب ممکنه بگید مثلا میشه از HTTPS استفاده کرد که امنه. واژه‌ی بهتر کلمه‌ی «امن‌تره» نه «امن». به طور ساده استفاده از HTTPS به این صورته که شما از سرور صفحه‌ای که واردش می‌شید مثلا گوگل، یه کلید دریافت می‌کنید. این اتفاق به محض وارد شدن شما به اون صفحه رخ می‌ده. بعد از اون اطلاعاتی که با اون سرور رد و بدل میشه با اون کلید رمزنگاری میشه. خوب. رمزنگاری خوبه. اما فقط کار ISP رو سخت‌تر می‌کنه و نمی‌تونه جلوش رو بگیره. اینجا فقط کافیه ISPبتونه اون کلید رو بدست بیاره. که اون هم کار نشدنی‌ای نیست! تمام اطلاعاتی که شما از اون سایت می‌گیرید و می‌فرستید از ISP می‌گذره. و اون کلید هم اول بدون رمز از ISPگذشته!
خوب. راه حل دیگه‌ای که به ذهن می‌رسه، استفاده از VPNـه. به نظر من VPNها از ISP هم در بعضی مواقع خطرناک‌تر هستند. حداقل ISPها کمی وجهه‌ی قانونی دارند. لااقل اداش رو مجبورند در بیارند. (من الآن علیه امنیت ملی اقدام نمی‌کنما. این مطالب کاملا کلی نوشته شده‌اند!)
البته را‌ه‌هایی هم برای چت امن، ایمیل امن یا اینترنت گردی امن وجود داره، اما بین مردم ما، به شدت کم استفاده میشه. من سعی می‌کنم درباره‌ی این موارد هم در آینده بنویسم. برای اینکه دیدی داشته باشید در این زمینه، فقط توضیح کوتاهی می‌دم. اگه شما بتونین اون کلید رمز گذاری رو به روشی غیر از استفاده از اینترنت مثلا از طریق تلفن یا از طریق اینترنت اما طوری که غیر موازی این کارتون باشه، به طرف مقابلتون برسونید، می‌تونید ایمیل یا چتتون رو رمز گذازی کنید. البته دردسر داره اما برای اطلاعات ضروری بد نیست استفاده از این کار. در مورد ایمیل در سطح جهان مخصوصا کارمندای یک شرکت مثلا، این کار کاملا مرسومه. برای استفاده از اینترنت هم برای اینکه نمی‌شه کلیدی رو مثلا با گوگل ست کنید، مجبورید یا از یه VPN مطمئن استفاده کنید (اگر اصلا ممکن باشه. اگر بخوایم تئوری توطئه‌ای فک کنیم، مثلا سرویسِ اطلاعاتِ یه دولت می‌تونه برای خودش یک سری VPN بینِ مردم پخش کنه!) یا اینکه روش‌های سخت‌تری رو به کار بگیرید که گرون هم هستند (مثلا یه سرورِ VPN برای خودتون داشته باشید! البته اونجا هم یه ISP خارجی اطلاعاتتون رو خواهد داشت!). .
=-=-=-=-=
Powered by Blogilo
هادی