زنگ خطر برای امنیت وب در ایران
خیلی از ما هنوز رمزهای مهم خود را در گوشی یا پیام‌رسان‌هایی مثل تلگرام ذخیره می‌کنیم و تصور می‌کنیم خطر هک شدن، فقط برای دیگران وجود دارد. اما واقعیت این است که همین بی‌احتیاطی‌های ساده، در کنار بی‌توجهی برخی مدیران فناوری و نبود فرهنگ‌سازی گسترده، باعث شده امنیت شبکه در ایران آسیب‌پذیرتر از همیشه باشد.
به مناسبت روز جهانی وب (۹ مرداد)، با داوود منتظری، مدیرعامل شرکت مبین‌هاست گفت‌و‌گویی داشتیم تا درباره وضعیت امنیت شبکه در ایران و چالش‌های پیش رو بیشتر بدانیم. داوود منتظری معتقد است که ضعف زیرساخت‌ها، نبود آموزش صحیح و آگاهی عمومی و نگاه غیرحرفه‌ای به امنیت اطلاعات، مهم‌ترین دلایل آسیب‌پذیری‌های فعلی هستند. از نظر او، امنیت باید به رفتاری آگاهانه و بخشی جدانشدنی از فرآیندهای مدیریتی و فنی تبدیل شود؛ در غیر این صورت، تهدیدات پیچیده‌تر و بیش‌تری در کمین خواهد بود.
بیشتر بخوانید:
مهم‌ترین تهدیدات امنیتی وب در حال حاضر کدام‌اند؟
بخشی از مشکل دسترسی به iLO را می‌توان با اعمال محدودیت‌هایی مثل استفاده از وی‌پی‌ان و جلوگیری از دسترسی مستقیم به اطلاعات، تا حدی کنترل کرد. به عنوان مثال، بسیاری از کاربران رمزهای مهم خود را در تلفن همراه ذخیره می‌کنند و تقریبا عموم کاربران، از کاربران عادی گرفته تا حرفه‌ای، رمزهایشان را در مکان‌هایی نگه می‌دارند که از نظر امنیتی قابل اطمینان نیستند. در بهترین حالت، این رمزها در بخش Saved Messages تلگرام ذخیره می‌شود. استفاده از نرم‌افزارهای مدیریت رمز عبور می‌تواند این خطر را کاهش دهد، اما چون کاربران با این ابزارها آشنایی ندارند، معمولاً رمزهایشان را در فایل‌هایی نگه می‌دارند که ناامن هستند.
حتی اگر رمز عبور پیچیده‌ای داشته باشید، در صورتی که آن را در یک مکان ناامن ذخیره کنید، در برابر خطر آسیب‌پذیر خواهید بود. متأسفانه در فرهنگ نگهداری رمز، ما ضعف جدی داریم. تصور می‌کنیم حوادث امنیتی فقط برای دیگران رخ می‌دهد و برای ما پیش نمی‌آید. بسیاری از افراد دقیقاً به همین دلیل هک شده‌اند و تنها پس از وقوع حادثه به فکر ذخیره‌سازی امن رمزها افتاده‌اند. بنابراین، فرهنگ‌سازی در این رابطه اهمیت زیادی دارد.
در این میان، اهمیت ادمین‌ها از کاربران عادی بیشتر است. مثلاً فرض کنید «کاماپرس» یک سایت دارد؛ در اینجا، مسئولیت اصلی امنیت با مدیر سرور است. در واقع، مخاطب من مدیر سرور است، نه کاربری که صرفاً از سایت بازدید می‌کند. فرض کنید شما مدیر سرور هستید و من کارمند جدید. شما احتمالاً یک فایل اکسل تهیه کرده‌اید که رمزها در آن ذخیره شده و حالا باید آن را به من تحویل دهید. این روش انتقال پسورد، یعنی ارسال از نفر قبلی به نفر بعد، روشی سنتی و ناامن است. می‌توان این فرآیند را با استفاده از نرم‌افزارهای مدیریت رمز انجام داد تا خطرات این پروسه کاهش یابد و امنیت اطلاعات حفظ شود.
چرا تا این حد موضوع امنیت شبکه در ایران جدی گرفته نمی‌شود؟
ادمین‌ها اغلب به‌طور منظم موضوعات مرتبط با امنیت شبکه را دنبال نمی‌کنند. غالباً این تصور نادرست وجود دارد که «برای ما اتفاقی نمی‌افتد» و همین طرز فکر باعث افزایش تعداد حوادث امنیتی و هک بیشتر شده است. بی‌توجهی به امنیت، راه را برای مهاجمان باز می‌کند. به همین دلیل، توصیه من این است که آموزش مستمر و فرهنگ‌سازی در زمینه امنیت شبکه باید به یک اولویت تبدیل شود تا این ذهنیت اصلاح شود.
کشورهای توسعه یافته چه برخوردی با این موضوعات دارند؟
امنیت یک موضوع کلی نیست، بلکه یک رویکرد و روش مستمر است. کشورهای توسعه‌یافته با نگاه حرفه‌ای و ساختارمند به امنیت می‌پردازند و برای آن برنامه‌ریزی جدی دارند. البته حتی در این کشورها هم شاهد مشکلات امنیتی هستیم، اما در چنین مواردی، طرف مقابل یعنی مهاجم یا هکر معمولاً بسیار توانمند و حرفه‌ای است. تفاوت اصلی در اینجاست که آن‌ها ضعف‌های امنیتی را جدی می‌گیرند و دانش خود را به روز نگه می‌دارند.
توصیه‌هایی مبنی بر عدم استفاده از فیلترشکن‌های رایگان صورت می‌گیرد و برخی مدعی‌اند از این طریق شبکه اینترنت آلوده می‌شود. این ادعا چقدر درست است؟
وقتی صحبت از استفاده نکردن از فیلترشکن می‌شود، منظور دقیقا فیلترشکن رایگان است. هیچ‌کس در دنیا یک اپلیکیشن رایگان را بدون هدف مشخص در اختیار دیگران قرار نمی‌دهد. هر شرکت ایرانی یا خارجی که چنین اپلیکیشنی را عرضه می‌کند، معمولا به دنبال یک مدل درآمدزایی است. بعضی از آن‌ها از طریق تبلیغات درآمد کسب می‌کنند و برخی دیگر با جمع‌آوری اطلاعات کاربران به اهداف مالی یا فنی خود می‌رسند.
زمانی که شما یک اپلیکیشن وی‌پی‌ان رایگان نصب می‌کنید، معمولاً به بخشی از تنظیمات و اطلاعات دستگاه شما دسترسی پیدا می‌کند.
مشکل اصلی اینجاست که اغلب کاربران آگاهی کافی از نحوه عملکرد این اپلیکیشن‌ها ندارند و نمی‌دانند دقیقاً چه اطلاعاتی در حال جمع‌آوری است و چه فعالیت‌هایی در پس‌زمینه صورت می‌گیرد.
برای مثال، اگر یک مجموعه خارجی قصد داشته باشد بر زیرساخت اینترنت ایران تأثیر بگذارد، می‌تواند از همین وی‌پی‌ان‌های رایگان به عنوان ابزار استفاده کند. هزاران کاربر ایرانی این اپلیکیشن را نصب کرده و مثلاً از طریق آن سایت‌های خدمات دولتی را باز می‌کنند. در نتیجه، برای هر کاربر یک درخواست به سمت سرور آن سایت فرستاده می‌شود. یعنی از داخل کشور، ترافیکی سنگین و مشکل‌ساز به سمت آن سرور ارسال می‌شود و سرور ناامن می‌شود.
علاوه بر این، چنین اپلیکیشن‌هایی معمولاً به گالری و سایر بخش‌های حساس گوشی هم دسترسی دارند. اما خطر اصلی این است که این نوع ناامنی در سطح شبکه، می‌تواند مثل یک «زامبی» عمل کند و به هر نقطه‌ای نفوذ کند. حالا تصور کنید این دسترسی در یک گوشی فقط یک مورد است؛ اما اگر یک میلیون نفر همین اپلیکیشن را داشته باشند و هم‌زمان یک سایت خاص را باز کنند، حجم عظیمی از ترافیک تولید می‌شود. مثلاً اگر یک میلیون نفر دیجی‌کالا را باز کنند، سایت دچار اختلال شده و حتی ممکن است از دسترس خارج شود.
انتهای پیام
مرتبط با:
