تصفح الإنترنت بأمان

أي العادات تنفع فعلا وبأي ترتيب؟

أولا: أبقِ المتصفح محدَّثا. تكررت هذه الجملة حتى صارت لا تُسمع، لكن التكرار لا يغيّر ترتيب الأهمية. فكل ثغرة تقريبا تصل إلى جهازك بمجرد فتح صفحة هي ثغرة في المتصفح نفسه، ورقعتها صدرت قبل أن تسمع بها بأسابيع. ومتصفح متأخر ثلاث نسخ أشد انكشافا من أي إعداد أمني تضعه فوقه.

والترتيب الحقيقي، بحسب ما تمنعه كل عادة فعلا، هكذا: تحديث المتصفح ونظام التشغيل؛ وتقليل الإضافات؛ والحذر من الملفات المنزَّلة؛ وكلمة مرور مختلفة للحسابات المهمة؛ وأخيرا، وهو الأكثر حديثا عنه، النظر إلى القفل وإلى العنوان.

وأمران ليسا في القائمة ويبدو أنه ينبغي أن يكونا. الأول مسح التاريخ بانتظام: وليست عادة سيئة، لكنها ليست أمنا بل خصوصية، ولها موضعها في درس الخصوصية. والثاني تثبيت أداة أمن إضافية في المتصفح: فأكثرها إضافة بحد ذاتها، والقسم الثالث من هذا الدرس عن الإضافات.

وموقفنا: إن كنت ستفعل شيئا واحدا بالضبط، فشغّل التحديث التلقائي واتركه. وإن اثنين، فاحذف الإضافات التي لم تفتحها منذ سنة. وبقية القائمة أصغر من هذين.

ماذا يثبت القفل بجانب شريط العنوان؟

شيء واحد، وذلك الشيء وحده: أن اتصالك بذلك النطاق معمّى ولا يستطيع أحد في الوسط قراءته أو تغييره. أما من يجلس خلف ذلك النطاق وهل يصدق أم لا، فلا يقول عنه شيئا، ولم يكن يوما مقصودا لذلك. والتفصيل التقني في درس HTTP و HTTPS.

والمصدِّرون أنفسهم يقولون هذا. فـليتس إنكريبت، التي تحمل ملايين المواقع شهاداتها المجانية، كتبت في شرحها الرسمي أن شهادة التحقق من النطاق تؤكد فقط أن مفتاحا عاما يخص نطاقا و«لا تقول شيئا آخر عن محتوى الموقع ولا عمن يديره»، وتضيف صراحة أن مثل هذه الشهادة لا تحمل معلومات عن سمعة الموقع ولا هويته الواقعية ولا سلامته.

وشهادة الموقع الذي تقرؤه الآن نموذج جيد. افتحها، فتجد في حقل صاحب الشهادة شيئا واحدا بالضبط: اسم النطاق. لا اسم شركة، ولا رقم تسجيل، ولا دولة. وهو بالضبط ما يستطيع موقع محتال أن يناله كذلك في دقائق وبلا كلفة.

ونموذج حقيقي من نموذج التواصل في هذا الموقع، في اليوم الذي كُتب فيه هذا الدرس: وصلت رسالة تدفع القارئ إلى صفحة عن تحويل بيتكوين. وكانت تلك الصفحة مستضافة على خدمة نشر نصوص معروفة ومشروعة تماما، بـHTTPS سليم، وقفل أخضر، واسم نطاق لا يشك فيه أحد. ولم تنطبق أي من العلامات القديمة. وما فضح الرسالة شيء آخر تماما: تحويل عملة رقمية لم يطلبه أحد، يصل عبر نموذج مخصص لطلبات تصميم المواقع.

فما العلامة الصحيحة إذن؟ ليست القفل، بل الاتساق. هل هذه الرسالة جواب لشيء بدأته أنت؟ هل النطاق في شريط العنوان هو المكان الذي تظن أنك فيه، حرفا حرفا؟ هل ما يُطلب منك يوافق ما يفعله ذلك الموقع؟ فإن كانت الثلاثة نعم، فالقفل زيادة. وإلا فالقفل لا ينقذ شيئا.

لماذا تكون إضافة المتصفح أكثر الأخطار إهمالا؟

موقفنا، ونقوله صراحة: إضافة المتصفح أوسع الأشياء فجوة بين خطرها الحقيقي والانتباه الذي تناله. فأكثر الناس يفكرون ساعة قبل تثبيت تطبيق ويثبتون إضافة في ثانيتين، والإضافة تجلس في المكان الوحيد الذي تمر منه حياتهم الرقمية كلها.

والسبب مكتوب في سطر الصلاحيات ولا يكاد أحد يقرؤه. فجملة مثل «قراءة وتغيير كل بياناتك في كل المواقع» تعني ما تقوله بالضبط: تستطيع تلك الإضافة أن ترى محتوى صفحة مصرفك، وأن تقرأ ما تكتبه، وأن تغيّر الصفحة بحيث لا تنتبه. ووثائق غوغل نفسها لصنّاع الإضافات تصنّف الصلاحيات بهذه الصراحة عينها، ولموزيلا صفحة تقول ماذا تعني كل رسالة طلب صلاحية.

والمشكلة الثانية، وهي الأسوأ: الإضافات تنتقل من يد إلى يد. فإضافة بسيطة غير مؤذية شاعت خلال سنوات قد تُباع، وللمالك الجديد أن يضيف ما يشاء في النسخة التالية. لقد وثقت بشيء يستطيع هو نفسه أن يتغير، والتحديث التلقائي يوصل ذلك التغيير إلى جهازك بلا صوت.

ونحن نعيش الشيء نفسه بمقياس آخر على خادمنا. فعلى هذا الموقع أربع وعشرون إضافة ووردبريس مفعّلة، وكل واحدة منها، تماما كإضافة متصفح، تعمل بالصلاحيات نفسها التي لووردبريس. ولهذا نبقي عددها قليلا، وكتبنا أكثرها بأنفسنا، وتبقى الإضافة التي انتهى عملها معطّلة لا مشغّلة احتياطا. والقاعدة واحدة في الموضعين: كود أقل، سطح هجوم أقل.

والخطوة العملية: افتح صفحة إضافات متصفحك، واحذف كل ما لم تفتحه منذ سنة، واقرأ عمود الصلاحيات للباقي. فمحوّل وحدات لا يحتاج إلى قراءة وتغيير البيانات في كل المواقع.

كيف نعرف ما هو الملف الذي نزّلناه حقا؟

ليس من امتداده. ونقول ذلك لا من مقال بل من كودنا نحن. فطبقة الرفع عندنا تنظر إلى امتداد الملف أولا، لكنها لا تقف عنده: ثم تقرأ محتوى الملف الحقيقي وترفضه إن لم يوافق المحتوى الامتداد، والرسالة التي يراها المستخدم تقول هذا بالضبط. وللصور تمضي خطوة أبعد فتحاول فتح الملف فعلا بوصفه صورة؛ وملف بامتداد صورة وليس صورة يُمسك هنا بالذات.

والسبب بسيط: امتداد الملف ادعاء ممن سمّى الملف، لا حقيقة عن محتواه. وويندوز كذلك يخفي الامتدادات المعروفة افتراضيا، وذلك الإعداد وحده هو ما يعرض ملفا اسمه «فاتورة.pdf.exe» على شاشتك بوصفه «فاتورة.pdf».

وأربع عادات هي الأشد أثرا. الأولى، فعّل عرض امتدادات الملفات في إعدادات ويندوز؛ مرة واحدة وإلى الأبد. والثانية، خذ البرنامج من موقع صانعه لا من أول نتيجة بحث، لأن الإعلانات فوق النتائج هي بالضبط حيث تجلس النسخ المسمومة. والثالثة، اشكك في ملف لم تكن تبحث عنه وجاءك من تلقاء نفسه؛ فمرفقات البريد والملفات المرسلة في التطبيقات هي الطريق الرئيس للبرمجيات الخبيثة إلى مستخدم عادي. والرابعة، حين يحذرك نظام التشغيل عند فتح ملف، فخذ ذلك التحذير على محمل الجد؛ فتجاوزه يحتاج نقرة إضافية، وتلك النقرة وُضعت هناك عمدا.

وللتثبيت الآمن والتحقق من أن الملف هو ما يدّعيه درس خاص: تثبيت البرامج بأمان.

هل ما زال واي فاي العام خطرا؟

أقل بكثير مما كان قبل عشر سنين، وأقل مما لا يزال يُكتب عنه. فتلك الصورة القديمة، شخص جالس في مقهى ينتزع كلمة مرور مصرفك من الهواء، بُنيت على عالم كانت أكثر المواقع فيه بلا تعمية. أما اليوم فكل ما تفتحه تقريبا معمّى، ولم تعد تلك الهجمة تنجح بسهولة.

لكن «أقل» ليست «معدومة»، وما بقي لا يُقال عادة. والشكل أدناه يعرض الطبقات الأربع الحقيقية. فصاحب الشبكة ما زال يرى إلى أي النطاقات تتصل، وإن لم يرَ المحتوى؛ فاسم النطاق ما زال ظاهرا في المراحل الأولى من الاتصال وفي استعلام الاسم. والصفحة التي تُفتح عند الانضمام وتطلب كلمة مرور أو رقما ليست الإنترنت، بل تخص من يدير تلك الشبكة. وإن كان متصفحك قديما، فالشبكة التي تجلس عليها من أفضل الأماكن لاستغلال تلك الثغرة بعينها. والأخيرة لا صلة لها بالشبكات: من يقف خلفك يرى شاشتك.

فماذا عمليا؟ أربعة أشياء. أطفئ الانضمام التلقائي للشبكات المفتوحة في هاتفك، وإلا ألصق هاتفك نفسه بأي شبكة باسم مألوف. وأطفئ مشاركة الملفات على شبكة عامة؛ فويندوز يسألك عن ذلك عند الاتصال وأكثر الناس يتجاوزونه بالنقر. وإن حذّرك المتصفح من شهادة موقع فخذه على محمل الجد على شبكة عامة خاصة. وافعل ما فيه مال أو هوية عبر اتصال هاتفك أنت لا عبر واي فاي الفندق المجاني؛ لا خوفا، بل لأن كلفة ذلك صفر.

وبصراحة: الخطر الأكبر لأكثر الناس ليس واي فاي المطار، بل الإضافة التي ثبّتوها قبل ثلاث سنين ونسوها.