مرور امن اینترنت

کدام کارها واقعا اثر دارند و به چه ترتیبی؟

اول از همه: مرورگر را به روز نگه دارید. این جمله آنقدر تکرار شده که دیگر شنیده نمی شود، اما ترتیب اهمیت را عوض نمی کند. تقریبا هر رخنه ای که با باز کردن یک صفحه به دستگاه شما می رسد، رخنه ای در خود مرورگر است، و وصله اش هفته ها پیش از اینکه شما درباره اش بشنوید منتشر شده. مرورگری که سه نسخه عقب است، از هر تنظیم امنیتی که رویش بگذارید آسیب پذیرتر است.

ترتیب واقعی، بر اساس اینکه کدام کار جلوی چه چیزی را می گیرد، این است: به روزرسانی مرورگر و سیستم عامل؛ کم کردن افزونه ها؛ احتیاط با فایلی که دانلود می شود؛ رمز عبور متفاوت برای حساب های مهم؛ و آخر از همه، آنچه بیشترین حرف درباره اش زده می شود، یعنی نگاه کردن به قفل و به نشانی سایت.

دو چیز که در فهرست نیستند و بودنشان لازم به نظر می رسد. اول، پاک کردن مرتب تاریخچه: کار بدی نیست، ولی امنیت نیست، حریم خصوصی است، و در درس حریم خصوصی جایش را دارد. دوم، نصب یک ابزار امنیتی اضافه روی مرورگر: بیشترشان خودشان یک افزونه اند و بخش سوم همین درس درباره افزونه هاست.

موضع ما: اگر فقط یک کار قرار است بکنید، به روزرسانی خودکار را روشن کنید و رهایش کنید. اگر دو کار، افزونه هایی را که یک سال است باز نکرده اید حذف کنید. باقی فهرست از این دو کوچک تر است.

قفل کنار نوار آدرس چه چیزی را ثابت می کند؟

یک چیز، و فقط همان یک چیز: ارتباط شما با آن دامنه رمزگذاری شده و کسی در میانه راه نمی تواند بخواند یا عوض کند. درباره اینکه پشت آن دامنه چه کسی نشسته و راست می گوید یا نه، هیچ چیزی نمی گوید و قرار هم نبوده بگوید. جزئیات فنی اش در درس HTTP و HTTPS است.

خود صادرکننده ها هم همین را می گویند. لتس اینکریپت، که میلیون ها سایت گواهی رایگانشان را دارند، در توضیح رسمی خودش نوشته که یک گواهی اعتبارسنجی دامنه فقط تایید می کند یک کلید عمومی متعلق به یک دامنه است و «هیچ چیز دیگری درباره محتوای سایت یا اینکه چه کسی آن را می گرداند نمی گوید»، و صریحا اضافه می کند که چنین گواهی ای هیچ اطلاعاتی درباره اعتبار و هویت واقعی و ایمن بودن سایت در خود ندارد.

گواهی همین سایتی که می خوانید نمونه خوبی است. اگر بازش کنید، در بخش صاحب گواهی فقط یک چیز نوشته شده: نام دامنه. نه نام شرکت، نه شماره ثبت، نه کشور. دقیقا همان چیزی که یک سایت کلاهبردار هم می تواند در چند دقیقه و بدون هیچ هزینه ای بگیرد.

و یک نمونه واقعی از فرم تماس همین سایت، در همان روزی که این درس نوشته می شد: پیامی رسید که کاربر را به صفحه ای درباره «انتقال بیت کوین» می برد. آن صفحه روی یک سرویس انتشار متن کاملا معتبر و شناخته شده میزبانی شده بود، با HTTPS سالم، قفل سبز، و نام دامنه ای که هیچ کس به آن شک نمی کند. هیچ کدام از نشانه های قدیمی کار نمی کرد. آنچه پیام را لو می داد چیز دیگری بود: یک انتقال ارز دیجیتال که هیچ کس درخواستش نکرده بود، در فرمی که برای سفارش طراحی سایت است.

پس نشانه درست چیست؟ نه قفل، بلکه هم خوانی. آیا این پیام جواب کاری است که خودتان شروع کرده اید؟ آیا نام دامنه در نوار آدرس همان جایی است که فکر می کنید هستید، حرف به حرف؟ آیا چیزی که از شما خواسته می شود با کاری که آن سایت انجام می دهد جور است؟ اگر جواب هر سه بله باشد، قفل هم اضافه می شود. اگر نه، قفل چیزی را نجات نمی دهد.

چرا افزونه مرورگر کم توجه ترین خطر است؟

موضع ما این است و صریح می گوییمش: افزونه مرورگر بیشترین فاصله را بین «خطر واقعی» و «توجهی که به آن می شود» دارد. بیشتر آدم ها یک ساعت درباره نصب یک اپ فکر می کنند و یک افزونه را در دو ثانیه نصب می کنند، در حالی که افزونه در جایی می نشیند که تمام زندگی آنلاینشان از آن رد می شود.

دلیلش در سطر دسترسی ها نوشته شده و تقریبا هیچ کس نمی خواندش. جمله ای مثل «خواندن و تغییر دادن همه داده های شما در همه سایت ها» یعنی همان چیزی که می گوید: آن افزونه می تواند محتوای صفحه بانک شما را ببیند، می تواند چیزی را که تایپ می کنید بخواند، و می تواند صفحه را طوری عوض کند که شما متوجه نشوید. مستندات خود گوگل برای سازندگان افزونه، دسترسی ها را دقیقا با همین صراحت دسته بندی می کند، و موزیلا هم صفحه ای دارد که می گوید هر پیام درخواست دسترسی دقیقا یعنی چه.

مشکل دوم، که بدتر است: افزونه دست به دست می شود. یک افزونه ساده و بی خطر که چند سال محبوب شده، می تواند فروخته شود و صاحب جدید در نسخه بعدی هرچه بخواهد اضافه کند. شما به چیزی اعتماد کرده اید که خودش می تواند عوض شود، و به روزرسانی خودکار همان تغییر را بی سر و صدا به دستگاه شما می رساند.

ما همین را در مقیاس دیگری روی سرور خودمان زندگی می کنیم. روی همین سایت بیست و چهار افزونه وردپرس فعال است و هر کدامشان، دقیقا مثل یک افزونه مرورگر، با همان اختیاراتی اجرا می شود که خود وردپرس دارد. برای همین است که تعدادشان را کم نگه می داریم، بیشترشان را خودمان نوشته ایم، و افزونه ای که کارش تمام شده غیرفعال می ماند نه اینکه محض احتیاط روشن بماند. قاعده در هر دو جا یکی است: کد کمتر، سطح حمله کمتر.

کار عملی: صفحه افزونه های مرورگرتان را باز کنید، هر چه را یک سال است باز نکرده اید حذف کنید، و برای بقیه ستون دسترسی ها را بخوانید. یک افزونه تبدیل واحد به «خواندن و تغییر داده ها در همه سایت ها» نیاز ندارد.

فایلی که دانلود کرده اید را از کجا بشناسیم؟

از روی پسوندش نمی شود. این را نه از یک مقاله، که از کد خودمان می گوییم. لایه آپلود سایت ما اول پسوند فایل را نگاه می کند، ولی همان جا متوقف نمی شود: بعد محتوای واقعی فایل را می خواند و اگر با پسوندش نخواند ردش می کند، و پیامی که کاربر می بیند دقیقا همین را می گوید. برای تصویرها یک گام جلوتر هم می رود و سعی می کند فایل را واقعا به عنوان تصویر باز کند؛ فایلی که پسوندش عکس است ولی عکس نیست، فقط همین جا گیر می افتد.

دلیلش ساده است: پسوند فایل یک ادعا از طرف کسی است که اسم فایل را گذاشته، نه یک واقعیت درباره محتوایش. ویندوز هم به طور پیش فرض پسوندهای شناخته شده را پنهان می کند، و همین یک تنظیم است که فایلی به نام «فاکتور.pdf.exe» را روی صفحه به شکل «فاکتور.pdf» نشان می دهد.

چهار عادت که بیشترین اثر را دارند. اول، در تنظیمات ویندوز نمایش پسوند فایل ها را روشن کنید؛ یک بار، برای همیشه. دوم، نرم افزار را از سایت خود سازنده بگیرید و نه از اولین نتیجه جستجو، چون تبلیغات بالای نتایج دقیقا همان جایی است که نسخه های آلوده می نشینند. سوم، به فایلی که دنبالش نبوده اید و خودش آمده، شک کنید؛ پیوست ایمیل و فایل ارسالی در پیام رسان، مسیر اصلی بدافزار برای کاربر عادی اند. چهارم، وقتی سیستم عامل سر باز کردن یک فایل هشدار می دهد، آن هشدار را جدی بگیرید؛ گذشتن از آن یک کلیک بیشتر لازم دارد، و آن یک کلیک عمدا آنجا گذاشته شده.

روش نصب امن و بررسی درستی فایل، موضوع خودش را دارد: نصب امن نرم افزار.

وای فای عمومی هنوز خطرناک است؟

خیلی کمتر از آنچه ده سال پیش بود، و کمتر از آنچه هنوز نوشته می شود. آن تصویر قدیمی، یعنی کسی که در کافه نشسته و رمز بانک شما را از هوا می گیرد، بر پایه دنیایی ساخته شده بود که در آن بیشتر سایت ها رمزگذاری نداشتند. امروز تقریبا هر چیزی که باز می کنید رمزگذاری شده است و آن حمله دیگر به سادگی جواب نمی دهد.

اما «کمتر» با «صفر» یکی نیست، و آنچه باقی مانده معمولا گفته نمی شود. شکل زیر چهار لایه واقعی را نشان می دهد. صاحب شبکه هنوز می بیند شما به کدام دامنه ها وصل می شوید، حتی اگر محتوایش را نبیند؛ نام دامنه در مراحل اولیه ارتباط و در پرس و جوی نام هنوز آشکار است. صفحه ای که هنگام اتصال باز می شود و رمز یا شماره می خواهد، اینترنت نیست و صاحب همان شبکه است. اگر مرورگرتان قدیمی باشد، شبکه ای که در آن هستید یکی از بهترین جاها برای بهره برداری از همان رخنه است. و آخری که ربطی به شبکه ندارد: کسی که پشت سر شما ایستاده صفحه شما را می بیند.

پس در عمل چه؟ چهار چیز. اتصال خودکار به شبکه های باز را در گوشی خاموش کنید، چون گوشی شما بی اجازه به هر شبکه ای با اسم آشنا وصل می شود. اشتراک گذاری فایل را روی شبکه عمومی خاموش کنید؛ ویندوز خودش موقع اتصال این را می پرسد و بیشتر آدم ها بی توجه رد می شوند. اگر مرورگر درباره گواهی یک سایت هشدار داد، روی شبکه عمومی حتما جدی بگیرید. و کارهایی که پول یا هویت در آنها هست را روی اینترنت گوشی خودتان انجام دهید نه روی شبکه رایگان هتل؛ نه از سر ترس، بلکه چون هزینه اش صفر است.

و صادقانه: خطر بزرگ تر برای بیشتر آدم ها وای فای فرودگاه نیست، افزونه ای است که سه سال پیش نصب کرده اند و یادشان رفته.