مقدمه نویسنده

این کتاب تقدیم به تمام آن انسان‌های خوبی است که زمان و انرژی خود را، و گاهی در برخی مکان‌ها، آزادی یا حتی جانشان را صرف انجام کاری می‌کنند که واقعاً برایشان ارزشمند است. این کتاب درباره ناشناس ماندن و حفظ حریم خصوصی در این جنگل انبوه مملو از شکارچیان داده به نام اینترنت است.

هر موجودی در این جنگل یک ویژگی مشترک دارد: همه آنها داده‌ای دارند که می‌خواهند از آن محافظت کنند. حتی اگر نخواهند آن را بپذیرند، حتی اگر بگویند چیزی برای پنهان کردن ندارند — و شاید هم حق با آنها باشد — من اطلاعات کارت اعتباری‌ام را مخفی نمی‌کنم، اما هرگز نمی‌خواهم کسی که به او اعتماد ندارم به آن دسترسی پیدا کند. و این همان حریم خصوصی است.

حریم خصوصی یک حق انسانی است و هیچ‌کس نباید حق داشته باشد آن را از فرد دیگری بگیرد. متأسفانه، ما در دنیایی زندگی می‌کنیم که حقوقمان هیچ ارزشی ندارد. شرکت‌ها، داکسرها (افرادی که اطلاعات شخصی دیگران را به‌صورت عمومی منتشر می‌کنند)، دولت‌ها، سازمان‌های جاسوسی — روزانه حق حریم خصوصی ما را نقض می‌کنند. آنها دست از کارشان برنمی‌دارند؛ از داده‌های ما سود می‌برند. داده‌های ما اساس کسب‌وکار آنها است. ما هستیم که باید تا حدی جلوی تحویل داده‌های خود را بگیریم (البته بدون اینکه زندگی‌مان سخت و غیرقابل تحمل شود).

برخی ممکن است این نیاز به حریم خصوصی را پارانویید بدانند، اما محافظت از خود و عزیزانتان در برابر آسیب‌های آینده، پارانویید نیست. حریم خصوصی را مثل بیمه تصور کنید. شاید امروز به دولت خود اعتماد داشته باشید(!)، شاید به پیام‌رسان خود با پیام‌هایتان اعتماد کنید، شاید به گوگل با تمام زندگی‌تان اعتماد کنید، اما به یاد داشته باشید، شیطان هم زمانی فرشته بود. هر کسی می‌تواند بد شود؛ هر دولتی می‌تواند فاسد و دیکتاتور شود. وقتی این اتفاق بیافتد، نمی‌خواهید که آنها هر ثانیه از زندگی شما را بدانند.

امروزه حفظ حریم خصوصی بدون امنیت ممکن نیست. داده‌های شما باید ایمن باشد تا به کسانی که می‌خواهید، دسترسی بدهید. باید انتظار داشته باشید که هر چیزی که آنلاین می‌گذارید، یک روز خوانده و باز شود. تنها چیزی که می‌توانید به آن اعتماد کنید، الگوریتم‌های رمزنگاری و ریاضیات پشت آنها است که امنیت و قابلیت اطمینان آنها را تضمین می‌کند. با این حال، حتی امن‌ترین الگوریتم‌های رمزنگاری هم ممکن است یک روز شکسته شوند، و خوب است این نکته را به یاد داشته باشید.

حریم خصوصی و امنیت همچنین پایه‌های ناشناس بودن هستند. برای ناشناس ماندن، به هر دوی آنها نیاز دارید. ناشناس بودن زمانی است که دیگران آنچه شما انجام می‌دهید را می‌بینند، آنچه که شما می‌خواهید ببینند، اما نمی‌توانند بدانند که چه کسی پشت این اقدامات است. این مشابه حریم خصوصی است، اما در حریم خصوصی، آنها می‌دانند شما چه کسی هستید، اما نمی‌دانند چه کاری انجام می‌دهید.

این کتاب رایگان است، نه فقط از این نظر که خواندن آن هیچ هزینه‌ای ندارد، بلکه رایگان از نظر آزادی. این یک پروژه جانبی از من است که در اوقات فراغتم تحت مجوز CC BY-NC 4.0 نوشته شده است. این مجوز به هر کسی اجازه می‌دهد که آن را در هر رسانه‌ای به اشتراک بگذارد و کپی کند و تغییراتی در آن ایجاد کند، به شرطی که به نویسنده اعتبار دهند و تغییرات ایجادشده را مشخص کنند. علاوه بر این، این مجوز اجازه استفاده تجاری را نمی‌دهد.

من این کار را برای کسب درآمد نمی‌کنم؛ اگر پول می‌خواستم، برایش کار می‌کردم. این کتاب و تمام پروژه‌های دیگر من از روی علاقه‌ام به خلق محتوای رایگان و نرم‌افزاری است که فکر می‌کنم می‌تواند به دیگرانی که به آن نیاز دارند، کمک کند. با این حال، من کمک‌های مالی را قبول می‌کنم و بسیار قدردان آن هستم، زیرا به من این امکان را می‌دهد که زمان بیشتری را صرف کاری که برایم ارزشمند است کنم و نگران کار دیگری که از آن لذت نمی‌برم فقط برای تأمین زندگی نباشم. اگر کار من برای شما مفید است یا می‌خواهید از آنچه انجام می‌دهم حمایت کنید، لطفاً بخش اهدای کتاب را بررسی کنید.

این کتاب برای مجرمان، تروریست‌ها، نژادپرستان یا هر کسی که قصد پنهان کردن کارهای اشتباه خود را دارد، نیست. این برای فعالان حقوق بشر، کسانی که در مکان‌هایی که آزادی وجود ندارد برای آن مبارزه می‌کنند و کسانی که به جای تخریب جامعه، چیزی خوب به آن اضافه می‌کنند، نوشته شده است. این برای قهرمانانی است که باید برای محافظت از خود و عزیزانشان نقاب بزنند، نه برای ابرشرورها.

فصل اول

اثر دانینگ-کروگر نشان می‌دهد که وقتی شروع به یادگیری یک مهارت می‌کنید، اغلب اعتماد به نفس بسیار بالایی در خود و مهارت‌تان دارید، زیرا مقدار کمی در مورد کاری که انجام می‌دهید، می‌دانید. اما با شروع یادگیری واقعی، اعتماد به نفس شما کاهش پیدا می‌کند و در طول زمان، وقتی مهارت خود را بهبود می‌دهید، اعتماد به نفس‌تان دوباره افزایش می‌یابد، اما این بار این اعتماد به نفس بر پایه مهارت واقعی شما استوار است. همین مسئله در مورد حریم خصوصی و امنیت نیز صدق می‌کند. در ابتدا ممکن است فکر کنید که با باز کردن یک تب ناشناس (Incognito) ایمن هستید و هیچ‌کس نمی‌داند چه کاری انجام می‌دهید. اما با افزایش آگاهی، ممکن است نوعی اضطراب پیدا کنید، زیرا متوجه می‌شوید چقدر واقعاً آسیب‌پذیر هستید. با این حال، در طول زمان، با کسب مهارت بیشتر، احساس امنیت و اعتماد به نفس بیشتری خواهید داشت و این بار واقعاً نسبت به گذشته امنیت بیشتری دارید.

در این فصل، تمرکز بر افشای برخی از افسانه‌های مربوط به حریم خصوصی و امنیت خواهد بود که اکثر تازه‌کاران در دنیای حریم خصوصی به آن‌ها باور دارند، اما در واقع می‌توانند حریم خصوصی شما را بدتر کنند، زیرا شما را منحصربه‌فردتر می‌کنند بدون اینکه فایده‌ای واقعی برایتان داشته باشند.

من دشمنی ندارم

اولین افسانه، و ظاهراً بزرگ‌ترین آن در دنیای حریم خصوصی، چیزی است که من آن را پدیده "من دشمنی ندارم" می‌نامم، یا همان چیزی که شاید به نام "من چیزی برای پنهان کردن ندارم" بشناسید.

همان‌طور که در مقدمه اشاره کردم، حتی اگر چیزی برای "پنهان کردن" نداشته باشیم، قطعا چیزهایی داریم که می‌خواهیم از آن‌ها محافظت کنیم. یا شاید موضوع فقط در مورد ما نیست؛ شاید افرادی که ما می‌شناسیم و برایمان اهمیت دارند، چیزهایی برای پنهان کردن داشته باشند و ما می‌توانیم حلقه ضعیف در زنجیره حریم خصوصی آن‌ها باشیم.

شما و من امروز دشمنی نداریم؛ امروز چیزی برای پنهان کردن نداریم. اما آیا می‌توانیم با اطمینان بگوییم که این در پنج یا ده سال آینده هم صادق خواهد بود؟ قطعا نه. ما نمی‌دانیم و نمی‌توانیم بدانیم که چه اتفاقی خواهد افتاد. حریم خصوصی فعلی ما می‌تواند به عنوان بیمه‌ای برای آنچه ممکن است در آینده رخ دهد، عمل کند.

تصور کنید کسی موفق به جمع‌آوری اطلاعات شخصی شما شده و از آن برای فعالیت‌های غیرقانونی استفاده می‌کند. آیا قانع کردن پلیس یا اف‌بی‌آی که شما آن کار را انجام نداده‌اید سخت‌تر است یا محافظت از اطلاعات شخصی خودتان در وهله اول؟ یا شاید ده سال بعد، اگر گوگل به یک ابزار شناسایی تروریست برای دولت تبدیل شود، و در حین سفر با همسر و فرزندانتان، ایمیل‌ها، تاریخچه جستجوها و پیشنهادهای تبلیغاتی شما را بررسی کنند. اگر به دلیل جستجوی شما درباره مواد منفجره برای جشن تولد فرزندتان در سال گذشته و تبلیغاتی که دریافت کرده‌اید، به عنوان تروریست شناسایی شوید، ممکن است بقیه عمرتان را در یک لیست مراقبتی بگذرانید.

اما فرض می‌کنم اگر شما در حال خواندن این کتاب هستید، احتمالاً اهمیت حریم خصوصی را به‌خصوص در این روزها که یکی از کم‌احترام‌ترین حقوق انسانی است، درک می‌کنید. با این حال، همه ما می‌توانیم این وضعیت را تغییر دهیم. مقصر این وضعیت، دولت‌ها، داکسرها، شرکت‌ها و آنچه به عنوان "آژانس‌های امنیت ملی" شناخته می‌شوند، هستند. با این حال، مسئولیت درست کردن این وضعیت بر عهده ما است. ما باید از حریم خصوصی خود محافظت کنیم.

من فقط در حالت ناشناس می‌روم

اگر از کسی که با اینترنت آشنا نیست بپرسید برای اینکه به‌طور کامل ناشناس آنلاین شود چه کاری می‌کند، ممکن است بگوید: "من فقط حالت ناشناس (Incognito) را باز می‌کنم." این احتمالاً رایج‌ترین افسانه در دنیای حریم خصوصی در میان کسانی است که با تکنولوژی آشنایی ندارند — اینکه حالت ناشناس یعنی هیچ‌کس نمی‌تواند آنها را ردیابی کند یا فعالیت‌های آنلاین آن‌ها را ببیند. اما این بسیار دور از واقعیت است. تمام کاری که حالت ناشناس انجام می‌دهد، این است که از ذخیره تاریخچه مرورگر و ورودهای شما جلوگیری می‌کند.

ارائه‌دهنده اینترنت شما هنوز هم می‌داند چه کارهایی انجام می‌دهید، وبسایت‌هایی که بازدید می‌کنید، آی‌پی شما را می‌دانند و شما همچنان قابل ردیابی و منحصربه‌فرد باقی می‌مانید. البته حالت ناشناس برخی مزایای حریم خصوصی دارد، به‌ویژه اگر از کامپیوتر شخص دیگری استفاده کنید؛ در این صورت، نمی‌خواهید کوکی‌ها، تاریخچه جستجوها یا ورودهایتان روی دستگاه آن‌ها ذخیره شود. اما به‌جز این، کمک چندانی به حریم خصوصی یا امنیت کلی شما نمی‌کند.

برای مخفی کردن فعالیت‌هایتان، به چیزی نیاز دارید که درخواست‌هایتان را رمزگذاری کند و آن‌ها را به مقصدی که می‌خواهید برساند، مانند یک پروکسی امن، یک تونل SSH یا یک VPN. با این حال، وبسایت‌هایی که بازدید می‌کنید، همچنان می‌توانند شما را ردیابی کنند و شما را در وبسایت‌های دیگر دنبال کنند. من این موارد را به‌طور مفصل در فصل‌های بعدی پوشش خواهم داد.

VPN ها ناشناس هستند

این یکی از بزرگ‌ترین افسانه‌ها در دنیای حریم خصوصی و ناشناس بودن است: اینکه اگر از یک VPN استفاده کنید، هیچ‌کس نمی‌داند چه کار می‌کنید و کاملاً ناشناس خواهید شد. اما این کاملاً اشتباه است. به VPN به عنوان تغییری در اعتماد از ارائه‌دهنده اینترنت خود (ISP) به ارائه‌دهنده VPN خود نگاه کنید. وقتی به VPN متصل می‌شوید، اکنون به آنها اجازه می‌دهید چیزهایی را ببینند که پیش از این ISP شما می‌دید.

علاوه بر این، VPN ها در مخفی نگه داشتن آی‌پی واقعی شما عملکرد خوبی ندارند. با اکثر شرکت‌های VPN، یک حکم قضایی می‌تواند آنها را مجبور به ارائه تمام لاگ‌ها و اطلاعاتی کند که درباره شما دارند، و معمولاً آنها اطلاعات زیادی دارند. البته استثنائاتی هم وجود دارد؛ برخی شرکت‌ها مانند Mullvad، ProtonVPN و Windscribe کسب‌وکار خود را بر اساس حریم خصوصی کاربران خود ساخته‌اند. شما می‌توانید به‌صورت ناشناس در این سرویس‌ها ثبت‌نام کنید، با پول نقد یا ارز دیجیتال پرداخت کنید و آنها لاگ‌های ترافیک کاربران و فعالیت‌ها را ذخیره نمی‌کنند. اما اینها هم ابزار ناشناس بودن نیستند.

حتی اگر ارائه‌دهنده VPN شما هیچ‌چیز را لاگ نکند، دیتاسنترهایی که سرورهای آنها را میزبانی می‌کنند، حتماً این کار را خواهند کرد. مسئله دیگر این است که VPN ها در برابر تحلیل ترافیک آسیب‌پذیر هستند. ترافیک VPN می‌تواند تحلیل شود تا الگوهایی شناسایی شود که منبع و مقصد ترافیک شما را نشان دهد، و این مشکلی نیست؛ بعد از همه این‌ها، VPN ها برای ناشناس بودن طراحی نشده‌اند.

مشکل دیگر با VPN ها، ردیابی اثر انگشت دیجیتال (Fingerprinting) است. در تور (Tor)، شما مرورگر تور دارید که به‌گونه‌ای طراحی شده تا تمام کاربران تور شبیه به هم باشند. اما در VPN ها، شما منحصربه‌فردترین فرد روی زمین هستید، به‌خصوص اگر مرورگری داشته باشید که به هر شکلی تغییر داده شده باشد یا اگر از سیستم‌عاملی مانند لینوکس یا BSD استفاده می‌کنید. کوچک‌ترین تغییرات می‌تواند شما را به‌شدت منحصربه‌فرد کند، و این همان چیزی است که شما برای ناشناس بودن نمی‌خواهید. اما برای حریم خصوصی، این مشکلی ندارد. شما می‌توانید با خیال راحت از فایرفاکس تقویت‌شده (Hardened Firefox) برای استفاده شخصی خود، مانند تماشای یوتیوب و پرداخت صورت‌حساب‌هایتان استفاده کنید. این در واقع یک حرکت خوب است. در این سناریو، نیازی ندارید که شبیه به بقیه باشید؛ شما می‌توانید منحصربه‌فرد باشید. من در فصل‌های بعدی به تفصیل درباره ردیابی اثر انگشت دیجیتال صحبت خواهم کرد.

اگر می‌خواهید ناشناس بمانید، باید از ابزارهایی استفاده کنید که مخصوص این کار طراحی شده‌اند، مانند تور (Tor) و مرورگر تور. کاری که تور انجام می‌دهد، همان چیزی است که نامش نشان می‌دهد: The Onion Router. این شبکه مانند یک پیاز عمل می‌کند؛ داده‌های شما را در سه لایه رمزگذاری می‌کند. وقتی داده‌ها از هر یک از Tor relay عبور می‌کنند، یک لایه رمزنگاری برداشته می‌شود و آدرس relay بعدی در زنجیره را فاش می‌کند تا زمانی که داده‌ها به مقصد نهایی برسند. وقتی با تور در شبکه معمولی (Clearnet) گشت می‌زنید، آخرین رله شما نودی به نام نود خروجی (Exit Node) خواهد بود. نود خروجی می‌تواند داده‌های داخل بسته شما را ببیند، اما نمی‌تواند به‌طور قطعی بداند که مبدأ بسته از کجا بوده است. برای ردیابی یک بسته تا فرستنده آن، تمام رله‌هایی که ترافیک شما از آن‌ها عبور می‌کند باید تحت کنترل یک نفر باشد، و این بسیار بعید و پرهزینه است. وقتی وبسایت‌هایی که روی شبکه تور میزبانی می‌شوند را مرور می‌کنید، داده‌های شما به‌صورت انتها به انتها با کلید عمومی وبسایت رمزگذاری می‌شود (آدرس وبسایت همان کلید عمومی است و به همین دلیل است که آدرس‌های تور بسیار طولانی و سخت برای به‌خاطر سپردن هستند). بنابراین هیچ‌کس در میان مسیر نمی‌تواند ترافیک را باز کند؛ آن‌ها فقط آن را تا رسیدن به مقصد عبور می‌دهند.

ابزارهای دیگری برای ناشناس بودن نیز وجود دارند، مانند Lokinet (که جدیدتر است) و I2P. از نظر فنی، هر دو ناشناس‌تر از شبکه تور هستند، اما فنی بودن همه چیز نیست. I2P و Lokinet هر دو نودهای بسیار محدودی در مقایسه با تور دارند که شبکه را آسیب‌پذیرتر می‌کند. علاوه بر این، هیچ‌کدام مرورگری مانند مرورگر تور ارائه نمی‌دهند که از ردیابی اثر انگشت دیجیتال کاربران جلوگیری کند. در حال حاضر، بهترین گزینه تور است، هم به دلیل سابقه اثبات‌شده‌اش در طول سال‌ها و تعداد قابل‌توجهی از نودها و رله‌های داوطلب، و هم به دلیل اینکه مرورگر تور کار بسیار خوبی در یکسان‌سازی اثر انگشت کاربران تور در هنگام استفاده از شبکه تور انجام می‌دهد.

چیزی که باید هنگام استفاده از مرورگر تور به خاطر داشته باشید این است که نباید هیچ‌چیزی را تغییر دهید. آن را به همان شکل که هست رها کنید؛ افزونه‌ای نصب نکنید یا تنظیماتش را دستکاری نکنید. مرورگر تور برای داشتن اثر انگشت مشابه با دیگر مرورگرهای تور طراحی شده است و حتی کوچک‌ترین تغییرات ممکن است شما را به منحصربه‌فردترین فرد در شبکه تور تبدیل کند.

من از یک رمز عبور قوی استفاده می‌کنم

یکی دیگر از افسانه‌هایی که زیاد در میان افراد معمولی می‌بینم این است که آن‌ها فکر می‌کنند باید یک رمز عبور قوی‌ای داشته باشند—چیزی تصادفی و سخت برای به‌خاطر سپردن. داشتن رمزهای عبور قوی ضروری است، اما داشتن یک رمز عبور قوی برای همه چیز نه تنها کمک چندانی به امنیت شما نمی‌کند، بلکه شما را بسیار آسیب‌پذیر می‌کند.

تصور کنید از رمز عبور قوی و پیچیده خود برای هر سایتی که تاکنون ثبت‌نام کرده‌اید، استفاده کرده‌اید. اگر یکی از این سایت‌ها رمز عبور شما را به درستی ذخیره نکرده و هک شود، و پایگاه داده آن به‌صورت عمومی منتشر شود، حالا هر کسی می‌تواند از همان رمز عبور برای هر وبسایت یا سرویسی که شما در آن ثبت‌نام کرده‌اید استفاده کند و وارد شود.

به‌جای اینکه خودتان را با حفظ یک رمز عبور واقعاً سخت اذیت کنید، باید از یک مدیر رمز عبور (Password Manager) استفاده کنید، چیزی که به‌صورت محلی ذخیره شود مانند KeePass یا چیزی که آنلاین باشد مانند Bitwarden.

ابزارهای مدیریت رمزعبور که به‌صورت لوکال (روی دستگاه شما) رمزهای عبور را ذخیره می‌کنند، قطعاً از آن‌هایی که آنلاین هستند امن‌ترند، به این دلیل ساده که اگر کسی بخواهد به پایگاه داده آن‌ها دسترسی پیدا کند، باید به کامپیوتر شما دسترسی پیدا کند. من نمی‌گویم دسترسی به کامپیوتر شما غیرممکن است، اما سرورهای Bitwarden ممکن است بسیار بیشتر از دستگاه شخصی شما هدف قرار گیرند. به‌جز این، هر دو کاملاً رمزگذاری شده‌اند. حتی اگر یک روز چیزی فاش شود، داده‌های شما به‌صورت ایمن ذخیره شده و تقریباً غیرقابل دسترسی خواهند بود، حداقل با ابزارها و کامپیوترهایی که امروزه داریم.

سپس می‌توانید به مدیریت رمز عبور خود با استفاده از یک عبارت عبور (Passphrase) دسترسی پیدا کنید (نه یک رمز عبور). عبارت‌های عبور به‌مراتب به‌خاطر سپردنی‌تر هستند درحالی‌که امنیت بیشتری دارند. یک عبارت عبور می‌تواند چیزی مثل: Name-Seat-Look-Chair-Plane7-Stree7 باشد—فقط شش کلمه، یک علامت نگارشی و عدد 7 به‌جای حرف T. در مقایسه با یک رمز عبور مانند *&(*747983HJGHgdgsutpshlnb، عبارت عبور هم امن‌تر خواهد بود و هم به‌یادماندنی‌تر.

شرکت‌های بزرگ فناوری بد هستند

این ایده وجود دارد، حتی در میان افرادی که افراد معمولی نیستند، که شرکت‌های بزرگ فناوری بد هستند و امنیت و حریم خصوصی ضعیفی دارند. این ممکن است در مورد حریم خصوصی درست باشد، اما نه زیاد در مورد امنیت. شرکت‌هایی مانند گوگل و مایکروسافت احتمالاً امنیت خوبی دارند، اما ما هرگز نمی‌توانیم مطمئن باشیم.

این به این دلیل است که آن‌ها شفاف نیستند درباره اینکه چگونه چیزها را پیاده‌سازی کرده‌اند. ما نمی‌توانیم ببینیم که آن‌ها چه کاری برای محافظت از داده‌های ما انجام می‌دهند، و این همان چیزی است که باعث می‌شود به آن‌ها اعتماد نکنیم. شرکتی مانند سیگنال (Signal)، سرور، کلاینت و طرح‌های رمزنگاری خود را برای عموم به‌صورت متن‌باز (Open-source) منتشر کرده است. از سوی دیگر، چیزی مانند تلگرام فقط کلاینت خود را به‌صورت متن‌باز کرده و همین. ما چیز زیادی درباره سرور یا حتی طرح رمزنگاری آن‌ها که ادعا می‌کنند غیرقابل شکست است، نمی‌دانیم. در این وضعیت، ما می‌گوییم تلگرام برای هدف خود که پیام‌رسانی به مردم است، مناسب نیست. این برنامه ایمن نیست.

با این حال، در مورد چیزی مانند گوگل درایو، که مقدار مناسبی فضای ذخیره‌سازی ابری رایگان ارائه می‌دهد، می‌توانید از آن استفاده کنید. اگر قبلاً حساب گوگل دارید که به هویت شما مرتبط است، می‌توانید از گوگل درایو برای آپلود برخی از داده‌های رمزگذاری شده که فضایی برای آن‌ها ندارید، استفاده کنید. فقط به این دلیل که گوگل است به این معنا نیست که کاملاً بد است و می‌توان برای آن استفاده‌هایی پیدا کرد. شما می‌توانید از گوگل استفاده کنید، به شرطی که به حریم خصوصی خود آگاه باشید.

اگرچه هر روز جایگزین‌های بیشتر و دوستانه‌تر با حریم خصوصی در حال ظهور هستند، بنابراین ممکن است در آینده نزدیک دیگر نیازی به استفاده از گوگل یا شرکت‌های مشابه آن نداشته باشید.

متن‌باز یعنی خصوصی

بله، نرم‌افزار متن‌باز شفاف‌تر از نرم‌افزار اختصاصی است و پتانسیل بیشتری برای امن و خصوصی بودن دارد، اما شفافیت و پتانسیل به‌تنهایی آن‌ها را خصوصی‌تر یا امن‌تر نمی‌کند. شما باید به دنبال بررسی‌های مستقل از نرم‌افزاری که می‌خواهید استفاده کنید، باشید. همچنین، اختصاصی بودن به این معنا نیست که آن‌ها کمتر ایمن هستند. به دنبال اعتبار نرم‌افزار و نگهدارندگان آن باشید و اینکه آیا مورد بررسی قرار گرفته‌اند یا نه.

این‌ها برخی از رایج‌ترین افسانه‌ها درباره حریم خصوصی و امنیت آنلاین بودند. افسانه‌های بی‌پایانی وجود دارند که مردم به آن‌ها باور دارند. در این شرایط، باید به‌جای تعصب، منطقی باشیم. ما باید برنامه‌ریزی کنیم که چه کاری نیاز است انجام دهیم، چه چیزی ارزش زمان و انرژی ما را دارد، و فصل بعدی درباره همین موضوع است—درباره مدل‌سازی تهدید و تهدیدهای رایجی که باید قبل از شروع طراحی مدل تهدید خود بدانید.

فصل ۲

تصور کنید در حال بازی ماینکرفت هستید و به صورت تصادفی در نقطه‌ای از نقشه بازمی‌گردید. شما مختصات خانه‌ای که ساخته‌اید را ندارید. پیدا کردن خانه‌تان در بازی بدون دانستن محل و جهت، ممکن است بسیار وقت‌گیر و آزاردهنده باشد و حتی گاهی غیرممکن (شاید به‌خاطر ناامیدی تسلیم شوید). شما از غذا و انرژی خالی می‌شوید، و شب‌ها با حمله‌ ورودی زامبی‌ها و اسکلت‌هایی که تیراندازی می‌کنند و کریپرهایی که در کنارتان منفجر می‌شوند، مواجه می‌شوید. اما اگر مختصات X, Y, Z خانه‌تان و جهتی که باید به آن بروید را داشتید، می‌توانستید قبل از شب به آنجا برسید و از تمام این مشکلات نجات پیدا کنید.

در این کتاب برنامه‌ریزی کرده‌ام که به مرور زمان به موضوعات پیشرفته‌تری بپردازم. فصل اول به افشای برخی از افسانه‌های رایج در مورد حریم خصوصی و امنیت اختصاص داشت و در این فصل، چیزها کمی عملی‌تر می‌شوند. این فصل کاملاً درباره مدل‌سازی تهدید است، چرا که من باور دارم این مهم‌ترین قدم است که باید هنگام شروع سفر حریم خصوصی خود بردارید. در غیر این صورت، زمان زیادی را صرف تلاش‌های بی‌فایده خواهید کرد و تمام تلاش‌ها برای نیازهای شخصی شما هیچ منفعتی نخواهد داشت.

داشتن یک مدل تهدید می‌تواند معادل داشتن محل خانه‌تان در ماینکرفت باشد که روی کاغذ نوشته شده است. هر وقت از خانه دور شوید، می‌دانید کجا باید بروید تا بازگردید. در مورد حریم خصوصی و امنیت، شما می‌دانید چه تهدیدهایی شخصاً با آن مواجه هستید، چه چیزی می‌خواهید محافظت کنید، و بر اساس آن عمل می‌کنید، نه اینکه به‌طور کورکورانه از تور در Whonix OS استفاده کنید بدون هیچ دلیلی و ممکن است با این کار زندگی خود را سخت‌تر و حتی حریم خصوصی خود را بدتر کنید.

چیزی به نام امنیت کامل وجود ندارد

هیچ چیزی نمی‌تواند کاملاً امن، کاملاً خصوصی یا کاملاً ناشناس باشد. وقتی صحبت از مدل‌سازی تهدید می‌شود، شما باید فداکاری‌هایی انجام دهید. باید ببینید چه چیزهایی برایتان مهم‌تر است و روی آن‌ها کار کنید، به‌جای اینکه وقتتان را صرف تلاش برای امن و خصوصی کردن همه چیز کنید، که این غیرممکن است.

یک مدل تهدید لیستی است از تهدیدهایی که احتمالاً رخ می‌دهند. شما نمی‌توانید از خودتان در برابر هر تهدیدی محافظت کنید، اما می‌توانید روی محافظت از خود در برابر آن‌هایی که احتمال وقوع بیشتری دارند، کار کنید.

برای مثال، برای یک خواننده رپ، محتمل‌ترین تهدید می‌تواند لو رفتن موسیقی او باشد. وقتی مدل تهدید خود را طراحی می‌کنید، باید به این پرسش‌ها پاسخ دهید:

• چه چیزی را بیشتر از همه باید محافظت کنم؟ در مثال خواننده رپ، موسیقی منتشر نشده پاسخ خواهد بود.
• باید از چه کسی محافظت کنم؟ برای خواننده رپ، این می‌تواند هکرهای آنلاین و افرادی که به‌صورت فیزیکی با او هستند و به آهنگ‌ها دسترسی دارند، باشد.
• احتمال وقوع آن چقدر است؟ اگر خواننده رپ به اندازه کافی معروف باشد، احتمالاً زیاد است.
• اگر شکست بخورم، چه اتفاقی می‌افتد؟ این می‌تواند برای خواننده رپ هزینه‌های مالی داشته باشد.
• چه کاری می‌توانم انجام دهم تا از آن محافظت کنم؟ در مثال خواننده رپ، او می‌تواند از هارد درایوهای رمزگذاری‌شده استفاده کند و دسترسی به آن‌ها را محدود کند تا از خطاهای انسانی جلوگیری شود.

چه چیزی را بیشتر از همه باید محافظت کنم؟

برای پاسخ به این پرسش، ابتدا باید لیستی از آنچه بیشترین ارزش را برایتان دارد، تهیه کنید. این می‌تواند دارایی‌های دیجیتال شما مانند ارزهای دیجیتال، اطلاعاتی که دارید، مانند ایمیل‌ها، مخاطبین، پیام‌ها یا فایل‌های مهم باشد. هر چیزی که برای شما ارزشمند است، آن‌ها را یادداشت کنید.

لیست خود را به این صورت تنظیم کنید: چه داده‌ای را محافظت می‌کنید، چگونه و کجا آن را نگه می‌دارید، چه کسی را می‌خواهید به آن دسترسی داشته باشد و چه کاری می‌توان انجام داد تا از دسترسی غیرمجاز به آن جلوگیری شود.

وقتی لیست خود را نوشتید، آن را بر اساس ارزشمندترین داده تا کم‌ارزش‌ترین داده اولویت‌بندی کنید. سپس می‌توانید گام بعدی را بردارید.

باید از چه کسی محافظت کنم؟

این می‌تواند هر کسی و هر چیزی باشد؛ این بستگی به موقعیت شخصی شما دارد. برای یک فعال سیاسی، مثلاً می‌تواند دولت باشد. برای کسی که علیه فاشیسم اعتراض می‌کند، می‌تواند هکرهای نئونازی و داکسرها باشد. برای یک کسب‌وکار، می‌تواند رقبا باشد.

سعی کنید لیستی از افرادی که ممکن است علاقه‌مند به دسترسی به دارایی‌ها یا داده‌های شما باشند، تهیه کنید. لیست شما می‌تواند شامل افراد، یک سازمان فدرال، یک شرکت، یک گروه داکسینگ، یک فرقه، هر چیزی باشد—شما بهتر می‌دانید.

این لیست می‌تواند به شما کمک کند تا ببینید با چه کسی و چه چیزی مواجه هستید، آن‌ها چه کاری می‌توانند انجام دهند و چه هزینه‌هایی ممکن است بپردازند تا به داده‌های شما دست یابند. این به شما کمک می‌کند تا وضعیت را با وضوح و واقع‌بینی بیشتری ببینید.

احتمال وقوع آن چقدر است؟

همه چیزهایی که ممکن است اتفاق بیفتد، رخ نخواهند داد. تهدیدهایی را که فکر می‌کنید احتمال وقوع دارند یادداشت کنید، به‌قدر امکان بسیاری از آن‌ها را یادداشت کنید، سپس آن‌ها را بر اساس احتمال وقوع درجه‌بندی کنید. آیا احتمال وقوع آن زیاد است؟ آیا به‌ندرت رخ خواهد داد؟ آیا حتی امکان دارد که بتوانید از داده‌های خود در برابر آن محافظت کنید؟

به‌عنوان مثال، ممکن است در هنگام بارندگی صاعقه به شما برخورد کند و بمیرید، اما احتمال آن چقدر است؟ آیا تا پایان باران در پناهگاهی عایق می‌مانید؟ نه، چون احتمال وقوع آن کم است. یا ممکن است هر بار که پشت فرمان می‌نشینید ماشین‌تان تصادف کند، اما آیا رانندگی را متوقف می‌کنید؟ نه. یا ممکن است اگر به یک منطقه جنگی باندهای خلافکار بروید به شما شلیک شود، و احتمالاً نمی‌روید، چون احتمال آن زیاد است. همین مسئله برای مدل‌سازی تهدید شما نیز صدق می‌کند؛ شما باید تهدیدها را بر اساس احتمال وقوعشان درجه‌بندی کنید.

اگر شکست بخورم، چه اتفاقی می‌افتد؟

سپس باید ببینید اگر در محافظت از داده‌های خود شکست بخورید، چه پیامدهایی خواهد داشت. به‌عنوان مثال، برای یک معترض ضد فاشیست، اگر داکسرها آدرس خانه او و تمام اطلاعاتش را آنلاین منتشر کنند، ممکن است تهدیدات فیزیکی برای او به وجود آید. یا اگر یک شرکت در محافظت از داده‌های خود شکست بخورد، هکرها یا رقبا ممکن است تمام داده‌های شرکت را خراب کرده و آن را به سمت ورشکستگی سوق دهند. از سوی دیگر، اگر من که فقط برای دوستانم در تلگرام میم می‌فرستم، پیام‌هایم توسط کسی خوانده شود، احتمالاً اتفاق بدی برای من نخواهد افتاد.

شما باید یادداشت کنید که مهاجمان ممکن است بخواهند با دسترسی به داده‌های شما چه کاری انجام دهند. آیا آسیبی که ایجاد می‌کنند به قدری کم است که شما اهمیت ندهید؟ یا آن‌قدر قابل‌توجه است که ممکن است تهدیدی برای زندگی شما باشد؟ شما باید به این پرسش‌ها پاسخ دهید.

برای محافظت از آن چکار می‌توانم بکنم

سپس می‌توانید تحقیق کنید که چه کارهایی می‌توان برای محافظت از آن داده‌ها انجام داد، چه هزینه‌هایی همراه خواهد داشت و چقدر زندگی‌تان سخت‌تر خواهد شد. آیا آماده‌اید که این تلاش را بپذیرید؟

برای مثال، اگر ارزهای دیجیتال دارید، می‌توانید ببینید چگونه می‌توان دارایی‌های خود را محافظت کرد. شاید نیاز داشته باشید از کیف‌پول‌های چندامضایی استفاده کنید یا دارایی‌های خود را به‌صورت آفلاین بر روی یک دستگاه امن و اختصاصی با رمزگذاری ذخیره کنید که هیچ نرم‌افزار اضافی روی آن نصب نشده است.

سپس اقدام کنید

پس از طراحی مدل تهدید خود، می‌توانید به مرحله اجرا بروید. در مثال دارایی‌های ارز دیجیتال، می‌توانید با پشتیبان‌گیری از دارایی‌هایتان بر روی کاغذ و قرار دادن آن در مکانی امن شروع کنید، از کیف‌پول‌های آفلاین و مورد بررسی قرار گرفته استفاده کنید، بلاکچین خود را دانلود کنید به‌جای اینکه به نودهای دیگران وابسته باشید، و حتی یک دستگاه اختصاصی خریداری کنید که برای این نیازها و اهداف تقویت شده باشد.

در این مرحله می‌توانید یک چک‌لیست ایجاد کنید تا مطمئن شوید که هیچ چیزی را فراموش نمی‌کنید و تمام اقداماتی که فکر می‌کنید داده‌های شما را ایمن نگه می‌دارند، اجرا می‌کنید.

تهدیدهای رایج در مدل‌سازی تهدید

تهدیدهای مختلف نیاز به اقدامات متفاوتی دارند؛ هیچ اقدام واحدی وجود ندارد که بتواند شما را از همه تهدیدها محافظت کند. و این مشکلی نیست—شما نیازی ندارید که این کار را انجام دهید. به همین دلیل مدل تهدید طراحی شده است: برای انجام اقدامات در برابر تهدیدهای محتمل‌تر و مهم‌تر بر اساس وضعیت شخصی خودتان.

تهدیدهای شما ممکن است در این لیست تهدیدهای رایج نباشند. آن‌ها ممکن است به استراتژی‌های منحصربه‌فردی برای محافظت نیاز داشته باشند. باز هم باید طبق مدل تهدید خود عمل کنید. این‌ها برخی از مفاهیمی هستند که در این کتاب، به‌ویژه در این فصل به آن‌ها اشاره خواهم کرد:

• ناشناس بودن: جدا کردن و محافظت از هویت واقعی شما از فعالیت‌های آنلاین‌تان، محافظت از خودتان در برابر هر کسی یا هر چیزی که می‌خواهد ماسک هوشیارانه شما را بردارد و چهره واقعی شما را ببیند.
• حملات هدفمند: محافظت از خود در برابر هکرها، داکسرها، سازمان‌های دولتی و غیره که به‌طور خاص سعی در دسترسی به داده‌های شما دارند.
• حملات غیرمستقیم: محافظت از خود در برابر حملاتی که گروه بزرگی از افراد را هدف قرار می‌دهند، مانند زمانی که یک شرکت هک می‌شود و داده‌هایش در اختیار عموم قرار می‌گیرد، یا در برابر بدافزارها و کلاهبرداران که هزاران نفر را هدف قرار می‌دهند.
• حملات زنجیره تأمین: حملاتی که به دلیل یک آسیب‌پذیری در یک وابستگی از یک برنامه مورد اعتماد رخ می‌دهند، مانند اتفاقی که برای توزیع‌های لینوکس در سال ۲۰۲۴ با رخنه‌ای در xz utils (CVE-2024-3094) افتاد.
• ارائه‌دهندگان خدمات: محافظت از داده‌های خود در برابر ارائه‌دهندگان خدمات، مانند ISP خودتان، معمولاً از طریق رمزگذاری انتها به انتهای ارتباطات.
• نظارت گسترده: محافظت از خود در برابر سیستم‌های نظارتی که جمعیت گسترده‌ای را هدف قرار می‌دهند، که معمولاً توسط دولت‌ها انجام می‌شود، اما همچنین شامل وبسایت‌هایی است که شما را در سراسر اینترنت ردیابی می‌کنند.
• نظارت شرکت‌های بزرگ فناوری: محافظت از خود در برابر شرکت‌های بزرگ فناوری که از ردیابی شما در اینترنت سود می‌برند و داده‌های شما را برای تبلیغات می‌فروشند، مانند گوگل، فیسبوک و غیره.
• افشای عمومی: محدود کردن داده‌هایی که به‌طور عمومی درباره شما در اینترنت موجود است، مانند داده‌های شخصی شما که توسط موتورهای جستجو ایندکس شده است.
• سانسور: دور زدن سانسور دیجیتال یا جلوگیری از سانسور شدن هنگام استفاده از اینترنت یا قرار دادن محتوایی در اینترنت.

ناشناس بودن در برابر حریم خصوصی

ناشناس بودن کاملاً متفاوت از حریم خصوصی است، اما برای دستیابی به ناشناس بودن، حریم خصوصی ضروری است. ناشناس بودن زمانی است که یک فرد مانند Daredevil شب‌ها بیرون می‌رود تا با روس‌هایی که برای ویلسون فیسک کار می‌کنند بجنگد—آن‌ها نمی‌دانند Daredevil همان مت مرداک است، اما می‌دانند او چه می‌کند. مت مرداک هویت شخصی خود را، که یک وکیل نابینا است، از هویت هوشیارانه‌اش که یک قهرمان نقاب‌دار است، جدا کرده است. مت مرداک در زمان تبدیل شدن به Daredevil ناشناس است، و ویلسون فیسک و تمام دیگر جنایتکارانی که با آن‌ها مبارزه کرده‌اند، کسانی هستند که دوست دارند هویت او را فاش کرده و بفهمند چه کسی پشت ماسک است.

در این مثال، مت مرداک از حریم خصوصی برای دستیابی به ناشناس بودن استفاده کرده است. او هویت خود را به‌گونه‌ای جدا کرده است که هیچ‌کس به او به‌عنوان Daredevil مشکوک نمی‌شود. او تمام این سال‌ها تظاهر کرده است که نمی‌تواند چیزی ببیند، حتی نمی‌تواند بدون عصایش راه برود، و اگر زخمی می‌شد، می‌گفت که از پله‌ها افتاده است. این همان حریم خصوصی است که ناشناس بودن او را محافظت می‌کند. او تصمیم گرفته است که مردم فقط این بخش از شخصیت مت مرداک را ببینند، نه بخش Daredevil او.

در دنیای آنلاین، همین اصل صدق می‌کند، اما ابزارها متفاوت هستند. ماسک‌ها ابزارهای دیجیتالی با استفاده از رمزگذاری و مسیر‌یابی پیازی هستند، اما مفهوم یکسان است. اگر شما هم مانند مت مرداک یک عدالت‌جو هستید، احتمالاً نیاز دارید هویت واقعی خود را از هویت عدالت‌جویتان جدا کنید و محافظت کنید.

حملات هدفمند

Daredevil نیز مورد هدف قرار گرفت؛ تمام جنایتکاران Hell's Kitchen به دنبال او بودند. بنابراین او هم باید هویت و ناشناس بودن خود را محافظت می‌کرد و هم در برابر حملات هدفمند از یکی از قدرتمندترین جنایتکاران نیویورک، Kingpin محافظت می‌کرد. اما چه کسانی دیگر ممکن است در موقعیت Daredevil باشند؟ افشاگران، فعالان و معترضان. اما آن‌ها به ابزارهای متفاوتی نسبت به مت مرداک نیاز دارند. آن‌ها ممکن است به مرورگر تور نیاز داشته باشند، نه یک ماسک؛ آن‌ها ممکن است به ابزارهای رمزگذاری انتها به انتها برای ارتباطات و ذخیره داده‌ها نیاز داشته باشند، نه یک لباس ضدگلوله ساخته شده توسط Melvin Potter.

اما اگر فکر می‌کنید NSA، CIA و سایر آژانس‌ها به دنبال شما هستند، نمی‌توانید برای همیشه از آن‌ها فرار کنید. شاید بتوانید مرگ خود را جعل کرده و در یک زیردریایی زندگی کنید، اما آن‌ها احتمالاً شما را پیدا خواهند کرد. این تهدیدها معمولاً از دسته تهدیدهایی هستند که بهتر است به آن‌ها اهمیت ندهید، زیرا ممکن است زندگی شما را بسیار سخت کند. همچنین، خیلی به ندرت پیش می‌آید که آن‌قدر هدف قرار بگیرید. معمولاً آن‌هایی که توسط NSA هدف قرار می‌گیرند، حمایت یک دولت فاسد دیگر را دارند.

حملات غیرمستقیم

این نوع حملات بیشتر مردم Hell's Kitchen، از Foggy Nelson تا Frank Castle، حتی مردم Gotham City را تحت تأثیر قرار می‌دهد. این حملات معمولاً گروه‌های بزرگی از مردم را هدف قرار می‌دهند، مانند بدافزارهایی که در اینترنت منتشر می‌شوند. وقتی WannaCry در اینترنت منتشر شد، هر دستگاهی که نسخه آسیب‌پذیری از ویندوز را داشت، تحت تأثیر قرار گرفت. این بدافزار انتخابی نداشت.

این نوع حمله، به‌نظر من، محتمل‌ترین نوع حمله برای اکثر مردم است. ما همه در طول زندگی‌مان در بسیاری از وبسایت‌ها ثبت‌نام کرده‌ایم. یک رخنه اطلاعاتی در یکی از این وبسایت‌ها بسیار محتمل است و قطعاً می‌تواند بر ما تأثیر بگذارد اگر هیچ احتیاطی نکرده باشیم.

حملات زنجیره تأمین

حملات زنجیره تأمین می‌توانند حتی مورد اعتمادترین برنامه‌ها را با حمله به برنامه‌های دیگر که برنامه‌های ما بر آن‌ها استوار هستند، هدف قرار دهند. گاهی اوقات این حملات به کسب‌وکارها یا دولت‌ها هدف گرفته می‌شوند، اما می‌توانند جمعیت گسترده‌ای را نیز تحت تأثیر قرار دهند. این حملات به سختی قابل پیشگیری هستند؛ آن‌ها نیاز به زمان و انرژی برای بررسی و آزمایش هر وابستگی در زنجیره دارند تا اطمینان حاصل شود، اما ما نمی‌توانیم به‌طور قطعی مطمئن باشیم. همیشه نقص‌هایی وجود دارد—هیچ چیزی نمی‌تواند کاملاً امن باشد.

چگونه این حملات انجام می‌شوند؟

راه‌های زیادی برای اجرای این نوع حملات وجود دارد؛ در اینجا برخی از رایج‌ترین آن‌ها آورده شده است:

• کسی که قدرت و موقعیت کافی در یک شرکت یا تیم توسعه دارد، ممکن است اختیار اضافه کردن کد مخرب به نرم‌افزار را داشته باشد.
• در دنیای متن‌باز، کسی می‌تواند به‌گونه‌ای کد مخرب به پروژه کمک کند که بدون توجه به کدبیس اضافه شود.
• نویسنده و نگهدارنده یک کتابخانه یا وابستگی ممکن است تصمیم بگیرد یک بک‌دور در کد وارد کند.

کاهش ریسک

چگونه می‌توانیم ریسک را کاهش دهیم؟ خوب، این ریسک را نمی‌توان کاملاً از بین برد، این قطعاً درست است. اما راه‌هایی وجود دارد:

• نرم‌افزارها و خدمات از شرکت‌های بزرگ مانند گوگل معمولاً اعتبار خوبی دارند و امنیت بهتری نسبت به نرم‌افزارهایی که توسط یک تیم کوچک یا یک فرد توسعه داده می‌شوند، دارند.
• بررسی تغییرات، کامیت‌ها و مشارکت‌کنندگان در مورد نرم‌افزارهای متن‌باز.
• بررسی مداوم برای یافتن نقص‌های امنیتی شناخته‌شده در نرم‌افزارها.
• استفاده از نرم‌افزارهای مستقل و بررسی‌شده.
• استفاده از محیط‌های ایزوله برای به حداقل رساندن تأثیر احتمالی حملات.

ارائه‌دهندگان خدمات

ارائه‌دهنده خدمات اینترنتی (ISP) شما می‌تواند تمام ترافیک شما را مشاهده کند، مثل جوکر که یک GPS روی Batmobile بتمن قرار می‌دهد. جوکر می‌داند بتمن به کجا می‌رود و می‌تواند این حرکات را نیز ثبت کند. با این حال، به لطف TLS و HTTPS، داده‌هایی که ISPها می‌توانند ببینند محدود شده است. آن‌ها می‌توانند آدرس IP، شاخص نام سرور (SNI) ترافیک شما و درخواست‌های DNS را ببینند، اما راه‌حل‌هایی وجود دارد. ما می‌توانیم DNS را رمزگذاری کنیم، پیام Client Hello و SNI را رمزگذاری کنیم، تا تمام چیزی که ارائه‌دهنده خدمات شما می‌بیند، آدرس IP مقصد و تایم‌استمپ‌ها باشد، البته اگر TLS برای آن وبسایت یا سرویس فعال باشد.

شما همچنین می‌توانید اعتماد خود را از ISP به یک ارائه‌دهنده VPN منتقل کنید که ترافیک شما را لاگ نمی‌کند و اجازه می‌دهد که به صورت ناشناس ثبت‌نام کنید، مانند Mullvad یا Proton VPN. اما به یاد داشته باشید، این فقط تغییر محل اعتماد است، نه از بین بردن آن. برای این کار ابزارهای دیگری وجود دارد، مانند تور (Tor) که اطمینان حاصل می‌کند هیچ‌کس در میان نمی‌تواند بفهمد که شما کجا می‌روید و چه کاری انجام می‌دهید (اگر از وبسایت‌های شبکه تور و نه وبسایت‌های clearnet استفاده کنید).

استفاده از DNS رمزگذاری‌شده نیز به معنای تغییر محل اعتماد است؛ سرور DNS همچنان می‌داند شما چه کسی هستید و چه زمانی و به کجا می‌خواستید بروید. خوشبختانه، تور خود DNS خاص خود را نیز دارد.

نظارت گسترده

David Liberman، که به نام Micro شناخته می‌شود، تحلیلگر NSA و هکری بود که وقتی سعی داشت قاچاق مواد مخدر CIA در افغانستان را افشا کند، توسط یک مأمور فاسد وزارت امنیت داخلی "کشته" شد. اما او زنده ماند. او به همه دوربین‌های نظارتی و تمام چیزی که این سازمان‌های دولتی به آن‌ها دسترسی داشتند، دسترسی پیدا کرد تا بتواند Frank Castle، معروف به Punisher، را پیدا کند تا به او کمک کند تمام کسانی که تهدیدی برای خانواده‌اش بودند را بکشد تا بتواند به خانه بازگردد. حداقل، این چیزی است که من به یاد دارم. فیلم موضوع اصلی نیست. این نوع عمل—جاسوسی از تمام مردم، جاسوسی از تمام ترافیک اینترنت، ثبت هر بسته داده—همان چیزی است که نظارت گسترده نامیده می‌شود. این نوع نظارت همه را تحت تأثیر قرار می‌دهد.

نظارت شرکت‌های بزرگ فناوری

نوع دیگری از نظارت گسترده وجود دارد که توسط دولت‌ها یا آژانس‌ها انجام نمی‌شود؛ بلکه توسط شرکت‌های بزرگ فناوری مانند گوگل و فیسبوک انجام می‌شود. این شرکت‌ها که بزرگ‌ترین شرکت‌های فناوری با بیشترین تعداد کاربران اینترنتی هستند، حجم عظیمی از داده‌ها را جمع‌آوری می‌کنند، گاهی حتی بیشتر از چیزی که دولت‌ها در برخی کشورها انجام می‌دهند.

این نوع نظارت گسترده با آنچه که توسط دولت‌ها انجام می‌شود، متفاوت است. این شرکت‌ها این کار را انکار نمی‌کنند یا ادعا نمی‌کنند که برای مبارزه با تروریسم یا امنیت ملی است؛ آن‌ها به‌سادگی این کار را برای فروش داده‌های جمع‌آوری‌شده انجام می‌دهند.

آن‌ها از داده‌های شما برای تبلیغات استفاده می‌کنند و از این طریق درآمد زیادی کسب می‌کنند. آن‌ها شما را در سراسر اینترنت ردیابی می‌کنند. اما هیچ تضمینی وجود ندارد که این موضوع فراتر از تبلیغات و پول نرود. ممکن است در آینده با سازمان‌های دولتی نیز همکاری کنند.

افشای عمومی

وقتی ۸ ساله بودم، یک وبسایت شخصی برای خودم ساختم که نام، ایمیل و شماره تلفنم روی آن بود. ماه‌ها طول کشید تا با گوگل و وبلاگ مربوطه مکاتبه کنم تا آن را از نتایج موتور جستجو حذف کنم. این همان افشای عمومی است: داده‌هایی که به‌طور عمومی درباره شما در اینترنت موجود است. این داده‌ها حتی ممکن است توسط خودتان زمانی که اهمیتی به حریم خصوصی نمی‌دادید، منتشر شده باشد. حذف آن بسیار سخت و گاهی غیرممکن است. در واقع، همیشه غیرممکن است که چیزی را که در اینترنت منتشر کرده‌اید به‌طور کامل حذف کنید. به همین دلیل، باید این طرز فکر را داشته باشید که اگر چیزی می‌گویید، پست می‌کنید یا به اشتراک می‌گذارید، ممکن است برای همیشه در اینترنت باقی بماند. حتی اگر رمزگذاری شده باشد، باید فرض کنید که یک روز خوانده خواهد شد—شاید نه در طول زندگی شما، اما در نهایت.

پیشگیری بهترین درمان است. بهترین راه برای خصوصی نگه داشتن داده‌های شما این است که از ابتدا آن‌ها را عمومی نکنید. به یاد داشته باشید که هیچ‌کس شما را برای ثبت‌نام نکردن در اینستاگرام با هویت واقعی‌تان دستگیر نخواهد کرد. این اینترنت است؛ شما در حال ثبت‌نام برای ارتش یا باز کردن حساب بانکی نیستید. نیازی نیست از نام واقعی، شماره تلفن و آدرس خانه‌تان در اینترنت استفاده کنید. هیچ‌کس نیازی به دانستن این اطلاعات درباره شما ندارد. شماره تلفن واقعی‌تان را برای کسانی که شخصاً می‌شناسید نگه دارید، نه برای هر ترول، داکسر یا کسی که ممکن است از اینترنت استفاده کند. همین موضوع برای نام واقعی و دیگر جزئیات شخصی شما صدق می‌کند.

جلوگیری از سانسور

گاهی اوقات شما فقط به حریم خصوصی و امنیت نیاز دارید تا از سانسور جلوگیری کنید، چه این سانسور توسط دولت اعمال شده باشد، چه توسط یک پلتفرم مانند توییتر یا یک مدیر سرور Matrix. اکثر ما، از جمله خودم، از سانسور بیزاریم. سانسور جامعه را از رشد بازمی‌دارد؛ این مانند خاموش کردن نوآوری، خلاقیت و ایده‌های جدید است. معمولاً توسط کسانی اعمال می‌شود که برای حفاظت از امپراتوری‌های خود به زور متوسل می‌شوند، زیرا خودشان می‌دانند چقدر در اشتباه هستند.

در این سناریو، ابزارهای حریم خصوصی مانند VPN ها، پروکسی‌ها، DNS رمزگذاری‌شده و تور می‌توانند به شما کمک کنند تا سانسور را دور بزنید. پلتفرم‌های دوستانه با حریم خصوصی مانند Mastodon که به شما اجازه می‌دهند خودتان آن‌ها را میزبانی کنید، به شما امکان می‌دهند آزادانه صحبت کنید بدون اینکه کسی مانند ایلان ماسک از دست شما عصبانی شود.

سفر آغاز می‌شود...

این‌ها برخی از تهدیدهای رایج و روش‌هایی برای طراحی مدل تهدید شما بودند. این می‌تواند بر اساس وضعیت منحصربه‌فرد شما متفاوت باشد؛ شما باید نیازهای شخصی خود را هنگام مدل‌سازی تهدید بررسی کنید. اما این کاری نیست که باید از آن صرف‌نظر کنید؛ در غیر این صورت، گم خواهید شد و وقت و انرژی خود را برای چیزهایی که نیازی به آن‌ها ندارید، هدر خواهید داد. این دقیقاً همان چیزی بود که باعث شروع سفر حریم خصوصی من شد. من به جای طراحی یک مدل تهدید، سعی کردم خودم را از هر حمله ممکن محافظت کنم. نه تنها یک سال از زندگی‌ام را هدر دادم، بلکه به خودم اضطراب و پارانویا طولانی‌مدت دادم، آن‌هم بی‌دلیل، فقط به این دلیل که برنامه‌ریزی نکردم که از چه کسانی می‌خواهم داده‌هایم را محافظت کنم.

این فصل با این نتیجه‌گیری به پایان می‌رسد. در فصل بعدی به امنیت عملیاتی (Operational Security) می‌پردازم که با اینکه فنی نیست، یکی از مهم‌ترین جنبه‌های حریم خصوصی و ناشناس بودن آنلاین است. امنیت عملیاتی، یا opsec، شامل جلوگیری از دسترسی اطلاعات حساس به دست افراد نادرست می‌شود.

فصل ۳

در سال ۲۰۱۲، FBI یک هکر با نام مستعار w0rmer را دستگیر کرد، بعد از اینکه او چندین وبسایت نیروی انتظامی ایالات متحده را هک کرد و داده‌های آن‌ها را به صورت آنلاین منتشر کرد. شاید فکر کنید عملیات بزرگی برای دستگیری این هکر انجام شد، اما نه، w0rmer فقط امنیت عملیاتی (opsec) ضعیفی داشت. او به‌سادگی مکان دقیق خود را به FBI داد، چرا که پایگاه داده FBI را با تصویری از دوست‌دخترش که از گردن به پایین در بیکینی بود و تابلوئی در دست داشت که روی آن نوشته شده بود "PwNd by w0rmer & CabinCr3w, <3 u BiTch's!" جایگزین کرده بود. FBI از روی تصویر متوجه نشد که دختر چه کسی است؛ w0rmer فراموش کرد (یا اهمیتی نداد) که متاداده EXIF تصویر را پاک کند. FBI تصویر را بررسی کرد و در متاداده آن متوجه شد که عکس با یک iPhone 4 گرفته شده است و مختصات GPS مربوط به حومه‌ای در ملبورن را نشان می‌دهد. w0rmer مکان خود را از طریق یک تصویر فاش کرد.

چسب الکتریکی روی وب‌کم‌تان و مرورگر تور داخل Whonix OS نمی‌تواند به شما کمک کند اگر بیش از حد درباره خودتان افشاگری کنید، اگر به مرور زمان هویت واقعی‌تان را تکه‌تکه فاش کنید. داشتن امنیت عملیاتی خوب به معنای داشتن کنترل و آگاهی از چیزهایی است که در هنگام صحبت با دیگران یا ارسال مطالب آنلاین به اشتراک می‌گذارید.

شناسایی داده‌ها و اطلاعات حساس

اولین گام در بهبود OPSEC شناسایی داده‌هایی است که برای شما حساس هستند. برای این کار، باید به مدل تهدید خود مراجعه کنید. ارزیابی کنید که چه تهدیدهایی رایج هستند و کدام داده‌ها در صورت افتادن به دست افراد نادرست، پیامدهای جدی‌تری خواهند داشت. سپس، اطلاعات را بر اساس شدت پیامدها اولویت‌بندی کنید.

داشتن این برنامه باعث می‌شود که نیازی به احتیاط بیش از حد نداشته باشید. بیش از حد محتاط بودن درباره هر چیزی که می‌گویید یا به اشتراک می‌گذارید، می‌تواند انرژی ذهنی زیادی را مصرف کند و احتمال خطا را افزایش دهد. با تمرکز بر روی آنچه که بر اساس وضعیت منحصربه‌فرد و مدل تهدیدتان حساس است، می‌توانید تلاش ذهنی لازم برای حفظ امنیت عملیاتی را به حداقل برسانید.

اطلاعات حساس رایج

این‌ها برخی از رایج‌ترین انواع اطلاعات حساس هستند که ممکن است فرد بخواهد از آن‌ها محافظت کند، اما همه چیز بستگی به وضعیت منحصربه‌فرد شما دارد و اینکه آیا این موارد با مدل تهدید شما همخوانی دارد یا خیر.

• اطلاعات شناسایی شخصی (PII): اطلاعاتی که می‌تواند فردی را به‌طور منحصربه‌فرد شناسایی کند.

  • نام کامل قانونی: نام کامل شما که در مدارک شناسایی‌تان ثبت شده است.
  • آدرس‌ها: موقعیت فیزیکی که در آن زندگی یا کار می‌کنید.
  • شماره‌های تلفن: شماره‌هایی که به خطوط تلفن شما اختصاص داده شده است، از جمله شماره‌های موبایل و خط ثابت.
  • آدرس‌های ایمیل: حساب‌های ایمیلی که با هویت شخصی شما مرتبط هستند.
  • تاریخ تولد: تاریخی که متولد شده‌اید، که معمولاً برای اهداف تأیید هویت استفاده می‌شود و می‌تواند برای محدود کردن هویت شما مورد استفاده قرار گیرد.
  • شماره‌های شناسایی ملی: شماره‌های منحصربه‌فردی که توسط دولت‌ها برای شناسایی شهروندان یک کشور صادر می‌شوند، اما حتی چیزی مانند شماره کارت کتابخانه نیز اگر با هویت شخصی شما مرتبط باشد، می‌تواند حساس باشد.

• اطلاعات مالی: داده‌های مرتبط با تراکنش‌ها و حساب‌های مالی شما. برخی از این اطلاعات می‌توانند PII نیز باشند.

  • شماره حساب‌های بانکی: شماره‌های منحصربه‌فردی که به حساب‌های بانکی شما برای تراکنش‌ها اختصاص داده شده است.
  • شماره‌های کارت‌های اعتباری/دبیت: شماره‌های موجود بر روی کارت‌های پرداخت شما که برای خرید کالاها و خدمات استفاده می‌شوند.
  • اطلاعات پرداخت (PayPal، Venmo و غیره): جزئیاتی که برای پردازش تراکنش‌های مالی از طریق خدمات پرداخت مانند ایمیل PayPal یا نام کاربری Venmo شما استفاده می‌شود.
  • صورت‌حساب‌های مالی: اسناد جزئیات تراکنش‌های مالی و مانده حساب‌های شما.
  • اطلاعات مالیاتی: جزئیات مربوط به اظهارنامه‌های مالیاتی و سوابق شما.

• اطلاعات دسترسی به حساب‌ها: اطلاعاتی که برای دسترسی به حساب‌های آنلاین شما استفاده می‌شود.

  • نام‌های کاربری
  • رمزهای عبور
  • سؤالات و پاسخ‌های امنیتی: سؤالات از پیش تعیین‌شده با پاسخ‌هایی که برای بازیابی حساب استفاده می‌شوند.
  • کدهای احراز هویت دو مرحله‌ای (2FA): کدهای موقتی که همراه با رمز عبور برای امنیت بیشتر استفاده می‌شوند.

• ردپای دیجیتالی و متاداده: اطلاعاتی که می‌تواند برای ردیابی فعالیت‌های آنلاین شما استفاده شود.

  • آدرس‌های IP: برچسب‌های عددی منحصربه‌فردی که به دستگاه‌های شما در یک شبکه اختصاص داده شده است.
  • آدرس‌های MAC: شناسه‌های سخت‌افزاری که به رابط‌های شبکه اختصاص داده شده‌اند.
  • اثر انگشت مرورگر: پیکربندی‌ها و تنظیمات منحصربه‌فرد مرورگر شما که می‌توانند برای ردیابی شما استفاده شوند.
  • اطلاعات دستگاه (مدل، سیستم‌عامل و غیره): جزئیاتی درباره دستگاه‌هایی که برای دسترسی به اینترنت استفاده می‌کنید.
  • داده‌های مکان‌یابی: اطلاعاتی درباره مکان فیزیکی شما که از دستگاه‌های شما استخراج شده است.
  • کوکی‌ها و اسکریپت‌های ردیابی: فایل‌ها و کدهای کوچکی که برای ردیابی فعالیت شما در اینترنت استفاده می‌شوند.

• محتوای ارتباطات: محتوای واقعی ارتباطات شما.

  • ایمیل‌ها: پیام‌های دیجیتالی ارسال‌شده از طریق خدمات ایمیل.
  • پیام‌های متنی: پیام‌های کوتاه ارسال‌شده از طریق SMS یا برنامه‌های پیام‌رسانی.
  • پست‌های رسانه‌های اجتماعی: محتوایی که در پلتفرم‌های شبکه‌های اجتماعی به اشتراک گذاشته‌اید.
  • گزارش‌های چت: مکالمات ضبط‌شده از سرویس‌های پیام‌رسان فوری.
  • ضبط‌های تماس‌های صوتی و تصویری: داده‌های صوتی و تصویری از تماس‌هایی که از طریق خدمات VoIP انجام شده است.

• اطلاعات رفتاری: داده‌هایی درباره رفتار و عادات آنلاین شما.

  • تاریخچه مرور: سابقه وبسایت‌هایی که بازدید کرده‌اید.
  • عبارات جستجو: کلمات و عباراتی که در موتورهای جستجو جستجو کرده‌اید.
  • عادات خرید آنلاین: الگوها و ترجیحات در خریدهای آنلاین شما.
  • فعالیت در شبکه‌های اجتماعی: تعاملات و مشارکت شما در پلتفرم‌های شبکه‌های اجتماعی.
  • سبک نوشتاری: طرز نوشتن یا صحبت کردن شما.
  • الگوهای استفاده از اپلیکیشن‌ها: اطلاعاتی درباره نحوه استفاده شما از اپلیکیشن‌های موبایل و وب.

• اطلاعات حرفه‌ای: اطلاعات مربوط به کار شما.

  • جزئیات شغلی: اطلاعاتی درباره شغل و کارفرمای شما.
  • اسناد کاری: فایل‌ها و سوابق مربوط به فعالیت‌های حرفه‌ای شما.
  • اطلاعات مخاطبین کاری: اطلاعاتی درباره شبکه حرفه‌ای شما.
  • اطلاعات پروژه‌ها: جزئیاتی درباره پروژه‌هایی که روی آن‌ها کار می‌کنید.
  • داده‌های مشتریان: اطلاعاتی درباره مشتریانی که به‌صورت حرفه‌ای با آن‌ها تعامل دارید.

• اطلاعات بیومتریک: ویژگی‌های زیستی منحصربه‌فرد که برای شناسایی استفاده می‌شوند.

  • اثر انگشت: الگوهای منحصربه‌فرد بر روی نوک انگشتان شما.
  • داده‌های تشخیص چهره: نقشه‌برداری دیجیتالی از ویژگی‌های چهره شما.
  • اثر صدا: ویژگی‌های منحصربه‌فرد صدای شما که برای شناسایی استفاده می‌شود.
  • اسکن‌های عنبیه: تصاویر دقیق از بخش رنگی چشم شما.

• ترجیحات و عقاید شخصی: اطلاعاتی درباره باورها، ترجیحات و عقاید شما. این اطلاعات می‌تواند در صورتی که تحت دیکتاتوری یا در محیط‌های سرکوبگر زندگی می‌کنید، بسیار حیاتی باشد.

  • دیدگاه‌های سیاسی: باورها و مواضع شما در مسائل سیاسی.
  • اعتقادات مذهبی: دین و اعمال مذهبی شما.
  • گرایش جنسی: ترجیحات و هویت جنسی شما.
  • اطلاعات سلامتی: داده‌هایی درباره سابقه پزشکی و وضعیت سلامتی فعلی شما.
  • عضویت در سازمان‌های مختلف: عضویت‌های شما در باشگاه‌ها، انجمن‌ها و گروه‌های دیگر.

حفاظت از اطلاعات حساس

اکنون که با برخی از اطلاعات حساس رایج در OPSEC آشنا شدیم، می‌توانیم به روش‌هایی برای محافظت از این اطلاعات بپردازیم. این حفاظت‌ها نیز بسته به وضعیت شخصی شما و مدل تهدید منحصربه‌فردتان بسیار متفاوت است. همیشه به مدل تهدید خود نگاهی بیندازید.

اطلاعات شناسایی شخصی (PII)

• فایل‌ها و اسنادی که حاوی PII هستند را با استفاده از الگوریتم‌های رمزنگاری قوی مانند AES رمزگذاری کنید. هرگز الگوریتم رمزنگاری خودتان را ایجاد نکنید؛ از الگوریتمی استفاده کنید که ثابت شده امن است و پیاده‌سازی آن بررسی شده است.
• جمع‌آوری و نگهداری اطلاعات شناسایی شخصی غیرضروری را به حداقل برسانید. فقط در صورتی PII خود را ارائه دهید که مجبور باشید و راه دیگری وجود نداشته باشد. اگر می‌توانید از ارائه PII خودداری کنید و از یک نام مستعار یا هویت جعلی استفاده کنید، این کار را انجام دهید.
• اسناد فیزیکی حاوی PII مانند پاسپورت خود را در مکانی امن و با سیستم‌های نظارتی مانند دوربین‌های مدار بسته (CCTV) نگهداری کنید.

اطلاعات مالی

• هنگام دسترسی به وبسایت بانک یا هر وبسایت مالی دیگر، از اتصالات امن (مانند HTTPS) استفاده کنید.
• به‌طور مرتب حساب‌های مالی خود را برای دسترسی‌های غیرمجاز بررسی کنید و اگر بانک شما این ویژگی‌ها را ارائه می‌دهد، هشدارها را فعال کنید.
• هشدارهای تراکنش را برای تمامی تراکنش‌ها فعال کنید تا از هرگونه فعالیت مشکوک در حساب‌هایتان آگاه شوید.
• در مورد ارزهای دیجیتال، از ارزهایی که غیرمتمرکز هستند و ناشناس بودن را فراهم می‌کنند مانند ZCash و Monero استفاده کنید. بیشتر ارزهای دیجیتال ناشناس نیستند؛ بلکه با نام مستعار عمل می‌کنند. کسی صاحب آدرس را نمی‌داند، اما به محض اینکه پول در دنیای واقعی خرج شود، به هویت واقعی شما ردیابی می‌شود. این در مورد ارزهای خصوصی مانند Monero صدق نمی‌کند.

اطلاعات حساب کاربری

• از یک مدیر رمز عبور معتبر و بررسی‌شده برای ذخیره رمزهای عبور و اطلاعات حساب کاربری خود استفاده کنید. هرگز سعی نکنید رمزهای عبور خود را به خاطر بسپارید یا بدتر از آن، از یک رمز عبور برای همه‌جا استفاده نکنید. هر وبسایت باید رمز عبور منحصربه‌فردی داشته باشد تا در صورت فاش شدن رمز عبور یک حساب، دسترسی به حساب‌های دیگر امکان پذیر نشود.
• هر زمان ممکن بود، احراز هویت دو مرحله‌ای (2FA) را برای افزودن لایه‌ای اضافی از امنیت فعال کنید. می‌توانید از دستگاه‌های فیزیکی برای 2FA یا اپلیکیشن‌های متن‌باز و بررسی‌شده برای کدهای TOTP استفاده کنید. همچنین، اطمینان حاصل کنید که اعتبارنامه‌های 2FA خود را نیز مانند رمزهای عبور محافظت می‌کنید.
• هرگز اعتبارنامه‌های حساب کاربری خود را از طریق ایمیل یا پلتفرم‌های پیام‌رسانی بدون رمزگذاری به اشتراک نگذارید. اگر مجبور به اشتراک‌گذاری آن‌ها هستید، از رمزگذاری یا یک اپلیکیشن پیام‌رسان امن مانند Signal استفاده کنید و ویژگی حذف خودکار پیام را فعال کنید.
• به‌طور دوره‌ای رمزهای عبور حساب‌ها را بازبینی و به‌روزرسانی کنید. همچنین، می‌توانید در سرویس‌هایی ثبت‌نام کنید که پایگاه‌های داده نقض‌شده یا وب تاریک را بررسی می‌کنند و اگر حساب شما در این نقض‌ها یافت شد، به شما اطلاع می‌دهند.

ردپای دیجیتالی و متاداده

• از یک VPN یا تور با نام مستعار (بسته به مدل تهدیدتان) استفاده کنید تا آدرس IP خود را با رمزگذاری و تغییر مسیر ترافیک اینترنتی مخفی کنید.
• مرورگرهای خود را تقویت کنید یا از مرورگر تور استفاده کنید تا جمع‌آوری تاریخچه مرورگر، کوکی‌ها و سایر متاداده‌ها را محدود کنید. همچنین می‌توانید مرورگر خود را به‌گونه‌ای پیکربندی کنید که اثر انگشت آن به حداقل برسد، اما به‌طور کلی استفاده از مرورگر تور برای جلوگیری از اثر انگشت بهتر است.
• از موتورهای جستجوی دوستانه با حریم خصوصی مانند DuckDuckGo و StartPage استفاده کنید یا موتور جستجوی خود را مانند Searx میزبانی کنید.
• سرویس‌های مکان‌یابی را بر روی دستگاه خود زمانی که به آن‌ها نیازی ندارید، غیرفعال کنید. موقعیت مکانی، زمانی که فعال باشد، می‌تواند در تصاویری که می‌گیرید ذخیره شود.
• متاداده EXIF تصاویر را قبل از به اشتراک‌گذاری حذف کنید، یا از یک اپلیکیشن دوربین استفاده کنید که این کار را به‌طور پیش‌فرض انجام می‌دهد.

محتوای ارتباطات

• همیشه از رمزگذاری انتها به انتها برای ارتباطات خود استفاده کنید. از اپلیکیشن‌های پیام‌رسانی مانند Session و Signal استفاده کنید که رمزنگاری قوی دارند و متاداده کمی ذخیره می‌کنند.
• از ایمیل‌های رمزگذاری‌شده مانند Tutanota و ProtonMail استفاده کنید یا ایمیل‌های خود را قبل از ارسال با PGP رمزگذاری کنید. با این حال، ایمیل‌ها همیشه مقدار زیادی متاداده غیررمزگذاری‌شده خواهند داشت.
• از به اشتراک گذاشتن اطلاعات حساس از طریق کانال‌های بدون رمزگذاری، مانند Wi-Fi عمومی، خودداری کنید. اطمینان حاصل کنید که کانال‌های ارتباطی شما رمزگذاری شده‌اند.

اطلاعات رفتاری

• از موتورهای جستجوی دوستانه با حریم خصوصی برای به حداقل رساندن ردیابی فعالیت‌های آنلاین خود استفاده کنید. همچنین، پیشنهادات جستجو را در مرورگر خود غیرفعال کنید تا از فاش شدن جستجوهای خود به سرویس‌های شخص ثالث جلوگیری کنید.
• به‌طور مرتب تاریخچه مرورگر، کوکی‌ها، کش‌ها و غیره را پاک کنید تا مطمئن شوید که هیچ اثری از فعالیت‌های شما بر روی مرورگر باقی نمانده است. یا در عوض از مرورگر تور استفاده کنید اگر با مدل تهدید شما همخوانی دارد.
• تنظیمات حریم خصوصی خود را در شبکه‌های اجتماعی و وبسایت‌هایی که در آن‌ها ثبت‌نام کرده‌اید بازبینی و تنظیم کنید تا جمع‌آوری داده‌های شخصی به حداقل برسد.

اطلاعات کاری

• در اینجا نیز رمزگذاری اهمیت دارد، بنابراین اسناد و فایل‌های کاری را با استفاده از رمزنگاری قوی رمزگذاری کنید، همان‌طور که برای داده‌های دیگر انجام می‌دهید.
• از ابزارهای همکاری امن و رمزگذاری‌شده برای به اشتراک‌گذاری اطلاعات حساس مربوط به کار استفاده کنید.
• دسترسی‌ها و مجوزها را پیاده‌سازی کنید تا دسترسی به داده‌های محرمانه کاری محدود شود.

اطلاعات بیومتریک

• اطلاعات بیومتریک را با استفاده از یک الگوریتم رمزنگاری قوی و شناخته‌شده رمزگذاری کنید.
• جمع‌آوری و ذخیره اطلاعات بیومتریک را به آنچه که برای اهداف احراز هویت لازم است، محدود کنید. اگر ممکن است، از استفاده از داده‌های بیومتریک برای احراز هویت خودداری کنید.

ترجیحات و عقاید شخصی

• در به اشتراک گذاشتن ترجیحات و عقاید شخصی در پلتفرم‌های عمومی محتاط باشید، یا حداقل از نام واقعی خود استفاده نکنید.
• تنظیمات حریم خصوصی خود را در شبکه‌های اجتماعی تنظیم کنید تا قابلیت مشاهده ترجیحات و عقاید شخصی محدود شود.
• از نام مستعار یا حساب‌های ناشناس برای بحث در مورد موضوعات حساس استفاده کنید. این موضوع بسته به جایی که زندگی می‌کنید، گاهی اوقات می‌تواند حیاتی باشد.

OPSEC مؤثر فراتر از اجرای تکنیک‌ها است؛ این یک تغییر در ذهنیت است. این موضوع به آگاهی بیشتر از اطلاعاتی که به اشتراک می‌گذاریم و تعهد به یادگیری و سازگاری مستمر نیاز دارد. تهدیدها همیشه در حال تکامل هستند و ممکن است این تکنیک‌ها منسوخ شوند، اما اگر طرز فکر خود را بر این اساس تنظیم کنید که هر چیزی که آنلاین قرار می‌دهید ممکن است برای همیشه آنجا بماند و روزی خوانده شود، می‌توانید تکنیک‌های لازم را پیدا کنید.

"اگر چرایی را بدانید، می‌توانید هر چطور را زندگی کنید."

― فریدریش نیچه

فصل بعدی درباره اصول حریم خصوصی و امنیت خواهد بود. اکنون که افسانه‌ها شکسته شده‌اند، نقشه راه آماده است و ذهنیت شما تنظیم شده است، می‌توانیم به اصول دنیای حریم خصوصی برویم: ابزارها و تکنیک‌هایی که می‌توانند برای بهبود حریم خصوصی شما استفاده شوند.

فصل ۴

همانطور که در فصل دوم تصور کردیم که در حال بازی Minecraft هستید، این‌بار نیز همین روند را ادامه می‌دهیم. حالا که بازی را می‌شناسید، مختصات مکان‌ها را نوشته‌اید و چوب و یک میز کار در اختیار دارید، می‌توانید ابزارهایی مانند تبرهای چوبی، بیل، شمشیر، تخت و سرپناهی برای خواب در شب بسازید. شما می‌توانید موجودات (mobs) را بکشید، سنگ‌ها را جمع‌آوری کرده و معادن را کاوش کنید.

همانطور که پیشرفت می‌کنید، از ابزارهای سنگی به ابزارهای آهنی و در نهایت به ابزارهای الماسی می‌رسید. اگر این بازی را بازی کرده باشید، می‌دانید که رسیدن به سطح الماس نیازمند ماجراجویی‌های عمیق در غارهای ترسناک و زمان و شور و شوق زیاد است.

اما این فصل درباره اصول است—ابزارهای چوبی و سنگی دنیای حریم خصوصی. این‌ها حداقل‌ها و اصول اولیه‌ای هستند که پایه‌های حریم خصوصی و امنیت دیجیتال شما را تشکیل می‌دهند. البته اصول اولیه در دنیای حریم خصوصی متفاوت هستند: آن‌ها شامل ابزارهای رمزگذاری، ابزارهای ناشناس بودن، VPN ها، ایمیل‌های امن، پیام‌رسان‌های امن، ابزارهای مدیریت رمزعبور و ابزارهای احراز هویت چندعاملی هستند. این‌ها حداقل‌های حریم خصوصی هستند و با مدل تهدید اکثر افراد همخوانی دارند.

رمزهای عبور و نرم‌افزارهای مدیریت رمز عبور

رمزهای عبور از حساب‌های کاربری، دستگاه‌ها و رازهای ما محافظت می‌کنند. ما باید تمام تلاش خود را برای ایمن نگه داشتن آن‌ها و دسترسی فقط خودمان به آن‌ها انجام دهیم. تلاش برای حفظ یک رمز عبور پیچیده ایده بدی است، و من قبلاً توضیح داده‌ام چرا. اگر از یک رمز عبور برای همه چیز استفاده کنید، بدون توجه به پیچیدگی آن، اگر یک نقض داده شامل حساب کاربری شما رخ دهد، تمام حساب‌های دیگر شما با استفاده از آن رمز عبور فاش شده در دسترس خواهند بود. و اگر سعی کنید برای هر وبسایت رمز عبور متفاوتی به خاطر بسپارید، احتمالاً همه آن‌ها را فراموش خواهید کرد. انسان‌ها در به خاطر سپردن رمزهای عبور تصادفی خیلی خوب نیستند، به‌ویژه اگر آن‌ها را زیاد به یاد نیاورند.

اینجا است که نرم افزارهای مدیریت رمزعبور وارد عمل می‌شوند. ابزارهای مدیریت رمزعبور نرم‌افزارهایی هستند، چه آنلاین یا آفلاین، که برای ذخیره رمزهای عبور و دیگر یادداشت‌ها و رازها به‌طور امن و با استفاده از رمزگذاری طراحی شده‌اند. محتوای داخل آن‌ها با یک رمز عبور قابل دسترسی است که معمولاً به عنوان رمز عبور اصلی شناخته می‌شود. هنگامی که از یک مدیر رمز عبور استفاده می‌کنید، یک رمز عبور پیچیده به عنوان رمز عبور اصلی خود به خاطر می‌سپارید که برای دسترسی به سایر رمزهای عبور داخل خزانه ابزار مدیریت رمز عبور استفاده می‌شود. حالا نیازی نیست هیچ رمز عبور یا راز دیگری را به یاد داشته باشید.

یک ابزار مدیریت رمز عبور خوب باید این ویژگی‌ها را داشته باشد:

1. رمزگذاری: باید رمزگذاری شده باشد. هرگز از ابزار مدیریت رمز عبوری که مطمئن از رمزگذاری آن نیستید، استفاده نکنید.
2. متن‌باز بودن: باید متن‌باز باشد. در حالی که نرم‌افزارهای متن‌باز لزوماً ایمن‌تر نیستند، متن‌باز بودن به ما اجازه می‌دهد تا کد آن‌ها و پیاده‌سازی رمزگذاری را بررسی کنیم تا مطمئن شویم ایمن هستند.
3. بررسی‌های مستقل: باید به‌طور مستقل بررسی شده باشند. ما کارشناسان تحلیل رمزنگاری نیستیم، بنابراین یک بررسی مشخص می‌کند که آیا در پیاده‌سازی رمزنگاری نرم‌افزار نقصی وجود دارد یا خیر.
4. آفلاین یا خود-میزبانی: بهتر است آفلاین یا خود-میزبانی باشد. استفاده از یک ابزار مدیریت رمز عبور مبتنی بر کلاد اگر به‌درستی پیاده‌سازی شده باشد مشکلی ندارد. حتی اگر پایگاه داده آن‌ها فاش شود، رمزهای عبور همچنان باید رمزگذاری شده و ایمن باشند. با این حال، استفاده از مدیر رمز عبور خود-میزبانی یا آفلاین، مانند Bitwarden (که می‌توان آن را خود-میزبانی کرد) یا KeePass، ریسک فاش شدن را به حداقل می‌رساند، زیرا احتمال اینکه شما بیشتر از سرور یک ابزار مدیریت رمز عبور با هزاران کاربر هدف قرار بگیرید، بسیار کمتر است.

انتخاب یک رمز عبور اصلی امن

اما چگونه می‌توانید یک رمز عبور اصلی امن تولید کنید؟ باید ایده رمزهای عبور به‌عنوان رشته‌های تصادفی از حروف، اعداد و علائم نگارشی را فراموش کنید. آن‌ها برای انسان‌ها بسیار سخت به خاطر سپرده می‌شوند، اما برای رایانه‌ها به اندازه‌ای که فکر می‌کنید سخت نیستند تا از طریق حملات brute-force شکسته شوند. از طرف دیگر، عبارت‌های عبور—فهرست‌هایی از کلمات که با یک کاراکتر جدا شده‌اند—برای انسان‌ها به‌راحتی به خاطر سپرده می‌شوند، اما برای رایانه‌ها بسیار سخت‌تر است که آن‌ها را بشکنند، زیرا معمولاً طولانی‌تر هستند و از پیچیدگی بیشتری نسبت به یک رمز عبور معمولی برخوردارند. آن‌ها برای انسان‌ها به دلیل کلمات و معانی‌شان قابل به‌خاطر سپردن هستند، اگرچه برای رایانه‌ها کلمات همچنان به‌صورت رشته‌های تصادفی ظاهر می‌شوند.

این عبارت‌های عبور به عنوان عبارت‌های Diceware شناخته می‌شوند. یک مثال از عبارت Diceware به این شکل است:
Batboy Wielder Defective Squire Facial Reptilian Monologue Avatar

حفاظت از رمزهای عبور اصلی

تغییر بیش از حد رمزهای عبور اصلی توصیه نمی‌شود، مگر اینکه مشکوک باشید که رمز عبور شما لو رفته است، زیرا این کار می‌تواند ریسک فراموشی آن را افزایش دهد. همچنین، یک روش خوب این است که یک پشتیبان رمزگذاری‌شده از رمزهای عبور خود را در مکانی امن، ترجیحاً خارج از دستگاه‌های خود و با یک رمز عبور متفاوت (در صورت فراموشی رمز اصلی) ذخیره کنید تا در صورت نیاز به بازیابی رمزهای عبور، خطر از دست دادن دسترسی به حساب‌هایتان به حداقل برسد.

امنیت ایمیل

خدمات ایمیل ذاتاً امن نیستند؛ فناوری‌های جدید معمولاً قبل از امنیت ظهور می‌کنند، و این در مورد ایمیل و اولین پروتکل‌های اینترنت نیز صادق است. اما این کمبود امنیت را می‌توان تا حدی با افزودن لایه‌های رمزگذاری به خدمات ایمیل جبران کرد.

لایه‌های رمزگذاری برای امنیت ایمیل

اولین لایه رمزگذاری به کانال ارتباطی اضافه می‌شود. منظور از "کانال ارتباطی" کانالی است که داده‌ها از طریق آن به مقصد خود می‌رسند، نه محتوای ایمیل. این کار با افزودن TLS به لایه انتقال پروتکل ایمیل انجام می‌شود. امروزه اکثر ارائه‌دهندگان خدمات ایمیل به‌طور پیش‌فرض TLS را فعال کرده‌اند، اما اگر سرویس ایمیل خود را میزبانی می‌کنید، باید اطمینان حاصل کنید که رمزگذاری لایه انتقال فعال است.

دومین لایه رمزگذاری برای محتوای ایمیل است. این کار می‌تواند با استفاده از رمزگذاری PGP یا S/MIME انجام شود، اما برای ارسال ایمیل رمزگذاری‌شده باید کلید عمومی گیرنده را داشته باشید. ارائه‌دهندگان ایمیل رمزگذاری‌شده و متمرکز بر حریم خصوصی مانند ProtonMail و Tutanota می‌توانند این نیاز به داشتن کلید عمومی را از بین ببرند، به‌شرطی که هم فرستنده و هم گیرنده از همان ارائه‌دهنده ایمیل استفاده کنند. به‌عنوان مثال، دو کاربر ProtonMail می‌توانند بدون نیاز به دانستن کلید عمومی یکدیگر، ایمیل‌های رمزگذاری‌شده ارسال کنند.

حتی اگر محتوای ایمیل را رمزگذاری کنید، متاداده‌های آن همچنان رمزگذاری‌نشده باقی می‌مانند. این متاداده‌ها می‌توانند شامل موارد زیر باشند:

1. آدرس ایمیل فرستنده: آدرس ایمیل شخصی که ایمیل را ارسال کرده است.
2. آدرس ایمیل گیرنده(ها): آدرس ایمیل گیرنده(ها) ایمیل.
3. زمان‌سنجی‌ها: تاریخ و زمان ارسال و گاهی اوقات زمان دریافت ایمیل.
4. خط موضوع: خط موضوع ایمیل که خلاصه‌ای از محتوای آن است.
5. شناسه پیام: شناسه منحصربه‌فردی برای پیام ایمیل.
6. مسیر بازگشت: آدرس ایمیل که ایمیل‌های بازگشتی به آن ارسال می‌شوند.
7. دریافت‌شده: اطلاعات مربوط به سرورهای ایمیل و شبکه‌هایی که ایمیل در حین انتقال از آن‌ها عبور کرده است.
8. X-Mailer: یک فیلد اختیاری که نشان می‌دهد ایمیل با چه نرم‌افزاری نوشته شده است.
9. نسخه MIME: نسخه‌ای از پروتکل MIME که در ایمیل استفاده شده است.
10. نوع محتوا: نوع و فرمت محتوای پیام، مانند متن ساده یا HTML.

امنیت پیام‌رسانی

بیشتر پیام‌های چت نیز امن نیستند. به‌عنوان مثال، تلگرام که به‌عنوان یک اپلیکیشن پیام‌رسان رمزگذاری‌شده و امن شناخته می‌شود، به‌طور پیش‌فرض رمزگذاری انتها به انتها (E2EE) ندارد. حتی زمانی که این امکان را ارائه می‌دهد، فقط در کلاینت‌های موبایل فعال است و شما نمی‌توانید از تلگرام به‌صورت ایمن در کلاینت دسکتاپ استفاده کنید. علاوه بر این، تلگرام اولین و مهم‌ترین قانون رمزنگاری را نقض می‌کند: "رمزنگاری خود را نسازید." تلگرام از یک طرح رمزنگاری خودساخته برای چت‌های E2EE خود استفاده می‌کند که باعث می‌شود امنیت آن زیر سؤال برود. همچنین، سرورهای تلگرام متن‌باز نیستند؛ هیچ‌کس نمی‌داند پیام‌ها و داده‌ها روی تلگرام چگونه ذخیره می‌شوند، آیا رمزگذاری شده‌اند یا چه کسی به این سرورها دسترسی دارد. تلگرام در نظر من مثال خوبی از یک پیام‌رسان ضعیف است. در حالی که پیام‌رسان‌هایی بدتر از تلگرام نیز وجود دارند، آن‌ها ادعای حریم خصوصی و امنیت نمی‌کنند. بنابراین، من تلگرام را به‌عنوان یک مثال بد استفاده می‌کنم تا توضیح دهم که یک اپلیکیشن پیام‌رسان امن باید چه ویژگی‌هایی داشته باشد.

ویژگی‌های یک پیام‌رسان امن

• رمزگذاری انتها به انتها: یک پیام‌رسان امن باید E2EE را با یک طرح رمزنگاری شناخته‌شده و بررسی‌شده ارائه دهد. تلگرام تا حدودی این ویژگی را دارد، اما رمزنگاری آن قابل اعتماد نیست.
• ثبت‌نام ناشناس: یک پیام‌رسان خصوصی باید به شما اجازه دهد به‌طور ناشناس ثبت‌نام کنید، معمولاً با استفاده از یک ایمیل. تلگرام و سیگنال از شماره تلفن استفاده می‌کنند که برای کاهش هرزنامه منطقی است، اما روش‌هایی برای دور زدن آن وجود دارد، مانند خرید یک شماره VoIP ناشناس با استفاده از Monero یا پول نقد.
• شفافیت: یک پیام‌رسان امن باید شفاف باشد که داده‌ها چگونه ذخیره می‌شوند، چه داده‌هایی ذخیره می‌شوند و در چه شرایطی ممکن است داده‌ها به مقامات تحویل داده شوند.
• جمع‌آوری متاداده: هر پیام و حسابی دارای متاداده است که معمولاً رمزگذاری نمی‌شود. تلگرام مقدار زیادی متاداده درباره شما جمع‌آوری می‌کند، از جمله نام، تاریخ ثبت‌نام، آدرس‌های IP، ایمیل 2FA، شماره تلفن، مخاطبین، افرادی که با آن‌ها به‌طور مکرر صحبت می‌کنید و تمام پیام‌های شما (اگر از E2EE استفاده نکنید). آن‌ها می‌توانند این داده‌ها را در صورت لزوم به مقامات تحویل دهند. در مقابل، سیگنال اطلاعات کمی درباره شما جمع‌آوری می‌کند و حتی اگر با حکم دادگاه مجبور به تحویل داده‌ها شود، چیزی برای تحویل دادن ندارد.
• محبوبیت: ما نمی‌توانیم همه را مجبور کنیم از یک اپلیکیشن استفاده کنند. اگر همه کسانی که می‌شناسم از تلگرام استفاده می‌کنند، من هم مجبورم از تلگرام استفاده کنم. این یک عامل مهم برای یک پیام‌رسان است. ممکن است من به‌جای سیگنال از Matrix استفاده کنم، علی‌رغم اینکه سیگنال امنیت بهتری دارد و متاداده کمتری جمع‌آوری می‌کند، زیرا اکثر افرادی که با آن‌ها صحبت می‌کنم از Matrix استفاده می‌کنند و مجبور به انجام برخی فداکاری‌ها هستم.

مدل تهدید شما در اینجا نقش بزرگی دارد. ممکن است برای شما مهم نباشد که تلگرام یا هر شرکت دیگری پیام‌های شما را با دوستانتان بخواند. این بستگی به شما و مدل تهدیدتان دارد.

انتخاب یک VPN امن

به‌طور معمول، هنگامی که از اینترنت استفاده می‌کنید، ISP شما می‌تواند به‌صورت فنی تمام داده‌هایی را که از طریق شبکه عبور می‌کند، ببیند. با این حال، با توجه به اینکه اکثر وبسایت‌ها و سرویس‌ها از رمزگذاری TLS/SSL پشتیبانی می‌کنند، ISP شما نمی‌تواند بیشتر داده‌ها را ببیند، اما همچنان می‌تواند آدرس IP و نام دامنه‌ای که درخواست می‌کنید را تشخیص دهد. هر چیزی که ISP شما می‌تواند ببیند، ارائه‌دهنده VPN شما نیز می‌تواند ببیند. به همین دلیل، استفاده از VPN به‌طور عمده به معنای تغییر محل اعتماد است. به‌عنوان مثال، ISP من اطلاعات زیادی را لاگ می‌کند که ترجیح می‌دهم لاگ نشود و این اطلاعات را برای مدت طولانی نگه می‌دارد. با این حال، ارائه‌دهنده VPN من (ProtonVPN و Mullvad) قول می‌دهد که هیچ چیزی لاگ نکند. آن‌ها VPN های معتبری هستند که بر حریم خصوصی تمرکز دارند و اجازه پرداخت ناشناس می‌دهند، به‌ویژه Mullvad VPN. در این سناریو، من ترجیح می‌دهم همیشه از VPN استفاده کنم، زیرا بیشتر از ISP به آن اعتماد دارم.

گاهی اوقات، استفاده از VPN به‌منظور دور زدن سانسور است. VPN ها برای این منظور عالی هستند، زیرا داده‌های عبوری از شبکه را رمزگذاری می‌کنند و سیستم‌های سانسور را در تشخیص آن‌ها دچار مشکل می‌کنند. اما حتی در این حالت نیز، موضوع تغییر محل اعتماد است و VPN باید داده‌های کمی درباره ما و فعالیت‌های ما جمع‌آوری کند.

graph TD;
    Client[Client Device]
    ISP[Internet Service Provider]
    VPN_Server[VPN Server]
    Destination[Destination Server]

    Client -->|Encrypted VPN Tunnel| VPN_Server
    VPN_Server -->|Regular Traffic| Destination
    Client -->|Regular Traffic| ISP
    ISP -->|Encrypted VPN Tunnel| VPN_Server
    ISP -.->|Encrypted Data| Destination

برای من، یک ارائه‌دهنده VPN باید ویژگی‌های زیر را داشته باشد:

• رمزگذاری قوی: باید از روش‌ها و پروتکل‌های رمزگذاری امن، مانند WireGuard و OpenVPN، استفاده کند و روشی برای رمزگذاری داشته باشد که از Perfect Forward Secrecy پشتیبانی کند. Perfect Forward Secrecy تضمین می‌کند که حتی اگر کلید اصلی به خطر بیفتد، داده‌های رمزگذاری‌شده قابل دسترسی نباشند.
• سیاست عدم نگهداری لاگ‌ها: یک ارائه‌دهنده VPN خصوصی نباید لاگ‌های فعالیت‌های کاربر، اتصالات، زمان‌سنجی‌ها یا آدرس‌های IP را نگهداری کند. به‌عنوان مثال، ارائه‌دهندگانی مانند Mullvad، ProtonVPN و Windscribe اطلاعات زیادی درباره ترافیک شما جمع‌آوری نمی‌کنند.
• محافظت در برابر نشت DNS: یک VPN امن و خصوصی باید اطمینان حاصل کند که درخواست‌های DNS از طریق تونل VPN ارسال می‌شوند، نه از طریق ISP کاربر. این کار از نشت اطلاعات مربوط به وبسایت‌های بازدیدشده به ISP جلوگیری می‌کند.
• قطع‌کن (Kill Switch): یک VPN خصوصی باید ویژگی‌ای داشته باشد که در صورت قطع اتصال VPN، کاربر را از اینترنت جدا کند تا اطمینان حاصل شود که هیچ داده‌ای از طریق یک اتصال رمزگذاری‌نشده ارسال نمی‌شود.
• پنهان‌سازی آدرس IP: VPN باید آدرس IP واقعی کاربر را با یکی از آدرس‌های IP سرورهای VPN جایگزین کند.
• مسیر چندگانه (Multi-Hop): یک ویژگی مفید برای VPN این است که ترافیک کاربر از طریق چندین سرور در مکان‌های مختلف عبور کند و یک لایه اضافی از امنیت و حریم خصوصی ایجاد کند.
• احراز هویت امن: یک ارائه‌دهنده VPN ایده‌آل باید سیستم‌های احراز هویت چندعاملی (مانند TOTP یا حتی کدهای احراز هویت از طریق پیامک/ایمیل) داشته باشد تا از حساب‌های کاربری محافظت کند.
• سرورهای خصوصی: باید از سرورهای خصوصی یا اختصاصی به‌جای سرورهای مشترک استفاده کند تا خطر رهگیری داده‌ها کاهش یابد.
• پنهان‌سازی (Obfuscation): باید ویژگی‌های پنهان‌سازی برای دور زدن سیستم‌های سانسور مانند Deep Packet Inspection (DPI) داشته باشد که ترافیک VPN را به شکل ترافیک عادی درآورد، معمولاً با استفاده از پروتکل پنهان‌سازی مانند obfs4 یا ScrambleSuit.
• حوزه قضایی: بهتر است که در کشوری با قوانین قوی حفظ حریم خصوصی مستقر باشد و خارج از نفوذ ائتلاف‌های نظارتی مانند Five Eyes، Nine Eyes یا Fourteen Eyes باشد.
• بررسی‌های منظم: باید بررسی‌های امنیتی منظم توسط اشخاص ثالث مستقل داشته باشد تا سیاست عدم نگهداری لاگ‌ها و امنیت کلی سرویس تأیید شود.

این ویژگی‌ها بسته به مدل تهدید کاربر متفاوت است. همه افراد به ویژگی‌هایی مانند مسیر چندگانه یا سیاست‌های عدم نگهداری لاگ‌ها اهمیت نمی‌دهند. همیشه باید بر اساس مدل تهدید خود عمل کنید.

امنیت/حریم خصوصی سیستم‌عامل‌ها

سیستم‌عامل‌ها نرم‌افزاری هستند که با سخت‌افزار ارتباط برقرار می‌کنند و منابع سخت‌افزاری مانند تخصیص حافظه، زمان‌بندی وظایف، فرآیندهای I/O و موارد دیگر را مدیریت می‌کنند. در حالی که این‌ها از عملکردهای اصلی یک سیستم‌عامل (یا هسته آن) هستند، لایه‌های نرم‌افزار روی هسته انباشته می‌شوند تا یک سیستم‌عامل قابل استفاده ایجاد کنند، که می‌تواند تأثیر زیادی بر حریم خصوصی و امنیت کاربران داشته باشد.

اندروید

پروژه متن‌باز اندروید (AOSP) یک سیستم‌عامل مناسب و امن است که بوت‌های تأییدشده، محافظت از اپلیکیشن‌ها (یک ویژگی امنیتی مهم) و سیستم مدیریت مجوز قوی دارد.

با این حال، زمانی که یک گوشی اندرویدی می‌خرید، سیستم‌عامل آن معمولاً نسخه اصلی اندروید نیست. اغلب با بسیاری از اپلیکیشن‌ها و ویژگی‌های اضافی که عمدتاً برای جمع‌آوری داده‌ها از فعالیت‌های کاربران طراحی شده‌اند، تغییر داده می‌شود.

برای رفع این مشکل، ROMهای سفارشی طراحی شده‌اند. حتی بدون ROMهای سفارشی، بسیاری از ویژگی‌های غیرضروری را می‌توان غیرفعال کرد تا جمع‌آوری داده‌ها به حداقل برسد.

نکته مهم‌تر از جمع‌آوری داده‌ها این است که اطمینان حاصل کنید گوشی با آخرین پچ‌های امنیتی به‌روزرسانی شده و از روت کردن خودداری کنید (زیرا می‌تواند محافظت اپلیکیشن را از بین ببرد و امنیت گوشی را به خطر بیندازد).

روی برخی از گوشی‌ها، مانند Google Pixel، می‌توانید GrapheneOS نصب کنید، که یک ROM سفارشی اندرویدی بسیار امن و محترم به حریم خصوصی است.

iOS

برخلاف اندروید، iOS متن‌باز نیست، بنابراین نمی‌توانیم مطمئن باشیم که به‌صورت داخلی چگونه کار می‌کند، و اگر یک آیفون دارید، کار زیادی نمی‌توانید برای تغییر آن انجام دهید. با این حال، می‌توانید تنظیمات را تغییر داده و ویژگی‌های غیرضروری را برای رفع نیازهای خود غیرفعال کنید.

ویندوز

مایکروسافت ویندوز یکی از رایج‌ترین سیستم‌عامل‌های رایانه‌های شخصی است، اما امنیت و حریم خصوصی آن قابل تحسین نیست. مقدار زیادی داده‌های telemetry به مایکروسافت ارسال می‌کند و متن‌باز نیست، که رفع باگ‌های امنیتی را سخت‌تر می‌کند و تعداد زیادی آسیب‌پذیری روز صفر برای ویندوز وجود دارد.

شاید تنظیماتی برای تغییر و تنظیم وجود داشته باشد، اما گزینه امن‌تر این است که یک توزیع لینوکس نصب کنید و در صورت نیاز مطلق به داشتن یک دستگاه ویندوزی، از ویندوز در یک ماشین مجازی ایزوله استفاده کنید.

لینوکس

لینوکس یک سیستم‌عامل رایگان و متن‌باز با ویژگی‌های عالی حفظ حریم خصوصی است. از آنجا که متن‌باز است و مدت‌هاست که وجود دارد، تعداد کمی از آسیب‌پذیری‌های روز صفر برای آن وجود دارد.

لینوکس هزاران توزیع برای انتخاب دارد، که آن را برای هر نیازی که ممکن است داشته باشید، مناسب می‌کند. همچنین انواع مختلفی از هسته لینوکس، مانند linux-hardened، وجود دارند که برای داشتن ویژگی‌های امنیتی بیشتر به‌طور پیش‌فرض طراحی شده‌اند.

این‌ها حداقل‌های حریم خصوصی و امنیت بودند. با پیشرفت کتاب، فصل‌ها بیشتر فنی خواهند شد و تمرکز بیشتری بر ناشناس بودن خواهند داشت. فصل بعدی درباره رمزگذاری خواهد بود، زیرا این اساس امنیت در دنیای آنلاین است.

فصل ۵

ابزارهای رمزگذاری بخش جدایی‌ناپذیر از امنیت، حریم خصوصی و ناشناس بودن در دنیای آنلاین هستند. شما نمی‌توانید به ناشناس بودن برسید اگر حریم خصوصی نداشته باشید، نمی‌توانید حریم خصوصی داشته باشید اگر امن نباشید، و نمی‌توانید امن باشید اگر رمزگذاری وجود نداشته باشد.

رمزگذاری مانند خانه‌ای است که در Minecraft می‌سازید؛ فقط به شما اجازه می‌دهد وارد شوید، نه به زامبی‌ها و موجودات (mobs)، و چیزهای شما را زمانی که در خانه نیستید، امن نگه می‌دارد. الگوریتم و طرح رمزگذاری مانند موادی است که خانه شما از آن‌ها ساخته شده است. یک طرح یا الگوریتم رمزگذاری ضعیف مانند خانه‌ای در Minecraft است که با خاک یا چوب ساخته شده است؛ ممکن است با انفجار یک موجود Creeper در نزدیکی آن تخریب شود یا اگر تصادفاً آن را با یک چخماق روشن کنید، آتش بگیرد. هرچه الگوریتم بیشتر بررسی و آزمایش شود، امن‌تر می‌شود. بنابراین، اولین قانون رمزگذاری این است که هرگز رمزگذاری خودتان را ایجاد نکنید، زیرا این کار مانند ساختن خانه‌ای از هوا در Minecraft است، بدون ساختار و مواد با کیفیت، که با حملات ساده یک حرفه‌ای از هم می‌پاشد.

هرگز رمزنگاری خودتان را ایجاد نکنید

اگر در دنیای رمزنگاری تازه‌کار هستید، ممکن است فکر کنید اگر یک الگوریتم رمزنگاری برای دیگران ناشناخته باشد، ایمن‌تر خواهد بود، اما این در هیچ‌وجه درست نیست. یک الگوریتم رمزنگاری باید نه به این دلیل که هیچ‌کس نمی‌داند چگونه کار می‌کند، بلکه به دلیل امنیت خود الگوریتم ایمن باشد. الگوریتم باید تحت انواع حملات، چه خود الگوریتم و چه پیاده‌سازی آن، قرار گیرد. وقتی بدون آسیب باقی بماند، آنگاه به‌عنوان امن برای استفاده در نظر گرفته می‌شود. به‌عنوان مثال، الگوریتم‌هایی مانند AES، Twofish، Serpent و ChaCha20 همگی از فرآیند آزمون توسط ریاضی‌دانان و رمزنگاران واقعی عبور کرده‌اند و به‌اندازه کافی قدیمی هستند که امنیت آن‌ها اثبات شده باشد.

وقتی تصمیم می‌گیرید که طرح یا الگوریتم رمزنگاری خودتان را ایجاد کنید، این کار مانند جادوگری در مقابل یک الگوریتم رمزنگاری شناخته‌شده است، زیرا شما ریاضی‌دان، رمزنگار یا تحلیل‌گر رمزنگاری نیستید. نمی‌توانید الگوریتم خودتان را بسازید و همچنین نمی‌توانید آن را به‌طور مؤثر آزمایش و حمله کنید. وقتی الگوریتم شما با یک فرد حرفه‌ای که دهه‌ها با این نوع موارد کار کرده است، روبه‌رو شود، الگوریتم شما هیچ شانسی نخواهد داشت.

اینجا یک نقل‌قول از کتاب Introduction to Cryptography نوشته خالق PGP آمده است:

وقتی من در اوایل دهه ۷۰ در دانشگاه بودم، یک طرح رمزگذاری که به نظر من بسیار درخشان بود، ابداع کردم. یک جریان عدد تصادفی ساده به جریان متن اصلی اضافه شد تا متن رمز تولید شود. این ظاهراً هرگونه تحلیل فرکانس متن رمز را خنثی می‌کرد و برای حتی پیچیده‌ترین آژانس‌های اطلاعاتی دولتی غیرقابل شکستن بود. من خیلی به دستاورد خودم افتخار می‌کردم.

سال‌ها بعد، این همان طرح را در چندین کتاب درسی مقدماتی رمزنگاری و مقالات آموزشی پیدا کردم. چقدر خوب. دیگر رمزنگاران نیز به همان طرح فکر کرده بودند. متأسفانه، این طرح به‌عنوان یک تکلیف ساده در مورد چگونگی استفاده از تکنیک‌های ابتدایی رمزنگاری برای به‌سادگی شکستن آن ارائه شده بود. این بود از طرح درخشان من.

از این تجربه فروتنانه یاد گرفتم که چقدر آسان است که به یک حس امنیت کاذب بیفتیم وقتی که یک الگوریتم رمزگذاری را طراحی می‌کنیم. اکثر مردم نمی‌دانند که چقدر سخت است که یک الگوریتم رمزگذاری طراحی کنیم که بتواند در مقابل حمله‌ای طولانی و مصمم از سوی یک حریف مجهز مقاومت کند.

-- خالق PGP، فیل زیمرمن

این تجربه نشان می‌دهد که حتی افراد باهوش هم می‌توانند دچار اشتباه شوند و امنیت را به‌طور نادرست تصور کنند. به همین دلیل است که همیشه باید به الگوریتم‌های رمزنگاری شناخته‌شده و آزموده شده اعتماد کرد.

حتی امن‌ترین الگوریتم‌ها نیز می‌توانند آسیب‌پذیر باشند

این تنها الگوریتم رمزنگاری نیست که باید امن باشد؛ پیاده‌سازی آن نیز باید امن، شناخته‌شده و بررسی‌شده باشد، هم در سطح نرم‌افزار و هم سخت‌افزار. چندین نوع حمله می‌تواند از طریق پیاده‌سازی یک الگوریتم انجام شود، مانند:

• حملات زمان‌بندی (Timing Attacks): در این نوع حمله، مهاجم زمان لازم برای انجام عملیات‌های رمزنگاری را اندازه‌گیری می‌کند و از این اطلاعات برای استنتاج کلیدهای مخفی استفاده می‌کند. این اطلاعات به او کمک می‌کند تا تشخیص دهد که چه مقدار زمان برای هر عملیات خاص صرف می‌شود و از آن به عنوان یک سرنخ برای دستیابی به کلیدها بهره ببرد.

• تحلیل ساده توان (Simple Power Analysis - SPA): مهاجم از طریق ردیابی میزان مصرف انرژی در هنگام اجرای عملیات رمزنگاری، تلاش می‌کند تا کلیدها یا اطلاعات حساس دیگر را استخراج کند. مصرف انرژی می‌تواند سرنخ‌هایی درباره فرآیندهای داخلی سیستم به مهاجم بدهد.

• تحلیل تفاضلی توان (Differential Power Analysis - DPA): این حمله مشابه تحلیل ساده توان است، اما پیچیده‌تر است. مهاجم داده‌های مصرف انرژی را در طول عملیات‌های مختلف رمزنگاری جمع‌آوری می‌کند و با استفاده از روش‌های آماری، کلید مخفی را استخراج می‌کند.

• حملات الکترومغناطیسی (Electromagnetic Attacks - EM Attacks): مهاجم از انتشار الکترومغناطیسی دستگاه برای به‌دست‌آوردن اطلاعات درباره وضعیت داخلی دستگاه استفاده می‌کند و کلیدهای مخفی را استخراج می‌کند. این حملات معمولاً با اندازه‌گیری و تحلیل امواج الکترومغناطیسی انجام می‌شود.

• حملات تزریق خطا (Fault Injection Attacks): مهاجم با استفاده از تکنیک‌هایی مانند ایجاد خطاهای ولتاژی، یا استفاده از لیزر برای ایجاد خطاهای کوچک، تلاش می‌کند دستگاه را به اشتباه بیاندازد و از خروجی‌های نادرست برای استنتاج کلید مخفی استفاده کند.

• حملات کش (Cache Attacks): در این نوع حمله، مهاجم از زمان‌بندی کش (Cache Timing) برای شناسایی اینکه کدام بخش از حافظه در هنگام عملیات رمزنگاری دسترسی شده، استفاده می‌کند و کلیدهای مخفی را از این طریق استنتاج می‌کند.

• حملات سردراه‌اندازی (Cold Boot Attacks): مهاجم با فریز کردن رم (حافظه دسترسی تصادفی) تلاش می‌کند تا وضعیت حافظه را حفظ کند و پس از ری‌استارت سیستم، محتویات حافظه را خوانده و کلیدهای رمزنگاری را استخراج کند.

• تحلیل تفاضلی خطا (Differential Fault Analysis - DFA): در این نوع حمله، مهاجم خروجی‌های صحیح و نادرست یک عملیات رمزنگاری را مقایسه می‌کند تا اطلاعاتی درباره وضعیت داخلی سیستم و کلیدهای مخفی به‌دست آورد.

• حملات گلیچ (Glitching Attacks): مهاجم با ایجاد گلیچ (اختلال) در برق یا کلاک سیستم، باعث می‌شود که عملیات‌های رمزنگاری به‌صورت نادرست انجام شود و سپس خروجی‌های نادرست را تحلیل می‌کند تا کلیدهای مخفی را استخراج کند.

• سرریز بافر (Buffer Overflow): مهاجم داده‌های ورودی را طوری تنظیم می‌کند که باعث سرریز بافر شود و کنترل جریان اجرای برنامه را به‌دست گیرد تا کلیدها یا داده‌های حساس را استخراج کند.

• حملات کانال جانبی از طریق منابع مشترک (Side-Channel via Shared Resources): مهاجم با اجرای کدی بر روی همان سیستمی که نرم‌افزار رمزنگاری در حال اجرا است، از رفتار منابع مشترک (مانند کش، زمان‌بندی و پردازش) برای استنتاج کلیدهای مخفی استفاده می‌کند.

• حملات فیزیکی (Physical Attacks): مهاجم از تکنیک‌های فیزیکی مانند میکروپراب‌گذاری (Microprobing) برای خواندن مستقیم محتویات حافظه یا دستکاری اجزای سخت‌افزاری استفاده می‌کند تا کلیدهای مخفی یا داده‌های حساس را استخراج کند.

این حملات می‌توانند بر الگوریتم‌هایی که به‌طور معمول غیرقابل شکستن تلقی می‌شوند، تنها از طریق پیاده‌سازی آن‌ها انجام شوند. البته، این حملات نیز قابل جلوگیری هستند. نرم‌افزار یا دستگاهی که به‌خوبی بررسی و آزموده شده است، احتمالاً در برابر اکثر این حملات یا همه آن‌ها مقاوم است.

برخی از بهترین روش‌ها برای جلوگیری از این نوع حملات شامل به‌روزرسانی مداوم نرم‌افزار، جستجوی بررسی‌های مستقل، استفاده از کتابخانه‌های اثبات‌شده (اگر شما یک ابزار نیازمند رمزنگاری توسعه می‌دهید) و استفاده از الگوریتم‌ها، حالت‌ها و طرح‌های رمزنگاری استاندارد است.

داده‌های خود را در حالت استراحت رمزگذاری کنید

رمزگذاری تنها برای کانال‌های ارتباطی، پیام‌رسان‌ها، VPNها و غیره نیست. داده‌های آفلاین شما نیز نیاز به رمزگذاری دارند. درست مانند وقتی که وسایل مهم خود را در یک گاوصندوق قرار می‌دهید و تنها زمانی که گاوصندوق باز می‌شود، آن‌ها در دسترس شما هستند، داده‌های شما روی گوشی، رایانه، NAS (ذخیره‌ساز متصل به شبکه)، فلش USB و دیگر دستگاه‌ها نیز باید رمزگذاری شوند تا فقط زمانی که باز می‌شوند، داده‌ها در دسترس باشند. رمزگذاری داده‌ها در حالت استراحت به این معنا نیست که اگر بدافزاری به رایانه شما نفوذ کند نمی‌تواند به داده‌هایتان دسترسی پیدا کند، بلکه به این معناست که وقتی از آن‌ها استفاده نمی‌کنید و آن‌ها قفل هستند، داده‌ها غیرقابل دسترسی می‌شوند.

تصور کنید شخصی لپ‌تاپ شما را سرقت می‌کند. اگر رمزگذاری نشده باشد، او به سادگی می‌تواند هارد دیسک را خارج کرده و تمام داده‌های آن را سرقت کند، اما اگر داده‌ها رمزگذاری شده و قفل باشند، نباید هیچ راهی برای دسترسی به داده‌ها وجود داشته باشد.

برای رمزگذاری هارد دیسک‌های خود می‌توانید از نرم‌افزارهایی مانند VeraCrypt استفاده کنید اگر سازگاری میان سیستم‌های مختلف برایتان مهم است. در ویندوز، نرم‌افزار BitLocker وجود دارد، و در لینوکس می‌توانید از cryptsetup یا فایل‌سیستمی که امکان رمزگذاری دارد، استفاده کنید.

اما تفاوت‌هایی بین ابزارهای رمزگذاری کانتینر مانند VeraCrypt و cryptsetup و رمزگذاری در سطح فایل‌سیستم مانند fscrypt وجود دارد. در اینجا برخی از تفاوت‌های کلیدی آورده شده است:

هنگامی که به رمزگذاری کامل دیسک می‌پردازید، داشتن سخت‌افزار مدرن واقعاً به امنیت و عملکرد رمزگذاری کمک می‌کند، زیرا پردازنده‌های مدرن ویژگی‌های شتاب‌دهنده AES دارند که به آن‌ها اجازه می‌دهد بدون تأثیر زیاد بر عملکرد ورودی/خروجی (I/O)، عملیات رمزگذاری و رمزگشایی AES را انجام دهند. همچنین، اکثر دستگاه‌های مدرن دارای TPM (ماژول پلتفرم امن) هستند که ریزکنترل‌گرهای سخت‌افزاری طراحی‌شده برای بهبود امنیت در سطح سخت‌افزار هستند و محیطی امن برای تولید، ذخیره‌سازی و مدیریت کلیدهای رمزنگاری فراهم می‌کنند.

پشتیبان‌های خود را در مکانی دور و رمزگذاری‌شده نگه دارید

مهم‌ترین نکته در مورد گرفتن پشتیبان از داده‌ها این است که آن‌ها باید در مکانی دور از محل اصلی نگهداری شوند. در غیر این صورت، شما فقط یک کپی از داده‌های خود تهیه کرده‌اید، نه یک پشتیبان. یک پشتیبان خوب باید حتی در صورتی که خانه شما به‌طور کامل در آتش بسوزد، قابل بازیابی باشد و فقط توسط شما و نه هیچ‌کس دیگری قابل بازیابی باشد.

همیشه باید پشتیبان‌های خود را به‌طور امن و رمزگذاری‌شده نگهداری کنید، به‌ویژه برای چیزهایی مانند کیف‌پول‌های رمزنگاری، پشتیبان کلیدهای GPG و رمزهای عبور. این کار باید به‌صورت استراتژیک و منظم انجام شود. برای داده‌هایی که بازیابی آن‌ها بسیار مهم است، مانند کیف‌پول‌های رمزنگاری و کلیدهای GPG، ممکن است نیاز داشته باشید آن‌ها را در چندین مکان مختلف ذخیره کنید، از جمله خارج از خانه (این مکان می‌تواند یک سرویس ابری نیز باشد، فقط برای مواقع وقوع بلایای طبیعی) و روی دستگاه‌های مختلف مانند DVDها، فلش USBها، هارد دیسک‌ها و کارت‌های SD.

برای این کار، ابتدا باید یک استراتژی پشتیبان‌گیری توسعه دهید تا بدانید چه داده‌هایی مهم‌تر هستند، چگونه قرار است پشتیبان‌گیری را انجام دهید، چگونه قرار است پشتیبان‌ها را رمزگذاری کنید و در کجا آن‌ها را ذخیره کنید. این کار را به‌طور منظم انجام دهید اگر داده‌های شما تمایل به تغییر دارند. برخی داده‌ها ممکن است نیاز به پشتیبان‌گیری هفتگی نداشته باشند، اما برخی دیگر نیاز دارند و برخی ممکن است روزانه تغییر کنند. این موضوع بستگی به داده‌های شما و استراتژی پشتیبان‌گیری شما دارد.

یک استراتژی پشتیبان‌گیری خوب و شناخته‌شده، قانون ۳-۲-۱ است که به این معناست:

• سه نسخه از داده‌ها: یک نسخه اصلی و دو نسخه پشتیبان.
• دو نوع رسانه مختلف: مانند هارد دیسک‌های داخلی/خارجی، SSDها و فضای ذخیره‌سازی ابری.
• یک نسخه خارج از محل: یک نسخه پشتیبان را در مکانی دور از محل اصلی یا در فضای ابری نگهداری کنید تا در برابر بلایای فیزیکی محافظت شود.

برای ذخیره‌سازی ابری، بهتر است از یک ارائه‌دهنده معتبر استفاده کنید. حتی سرویس‌هایی مانند Google Drive، اگرچه حریم خصوصی آن‌ها خوب نیست، گزینه‌ای مطمئن‌تر نسبت به سایر سرویس‌ها خواهند بود. همچنین می‌توانید فضای ذخیره‌سازی ابری خود را میزبانی کنید، اما هرگز به اندازه یک شرکت بزرگ مانند گوگل قابل اعتماد نخواهد بود.

می‌توانید روی NAS (ذخیره‌ساز متصل به شبکه) سرمایه‌گذاری کنید تا پشتیبان‌گیری خودکار و متمرکز انجام دهید، و می‌توانید آن را برای RAID (آرایه افزونه‌ای از دیسک‌های مستقل) پیکربندی کنید تا از داده‌ها به‌طور افزونه محافظت شود. مطمئن شوید که از داده‌های خود اسنپ‌شات (snapshot) می‌گیرید و نسخه‌بندی می‌کنید تا بتوانید به‌راحتی آن‌ها را بازیابی کنید.

همیشه پشتیبان‌های خود را به‌طور منظم تست کنید تا مطمئن شوید که معتبر و قابل بازیابی هستند. در غیر این صورت، ممکن است سال‌ها داده‌های خراب را پشتیبان‌گیری کنید و زمانی که نیاز به بازیابی داده‌ها دارید، نتوانید این کار را انجام دهید و تمام داده‌های شما از بین رفته باشد.

در نهایت، یک طرح بازیابی از فاجعه (Disaster Recovery Plan) توسعه دهید و اطمینان حاصل کنید که دستورالعمل‌های واضحی برای بازیابی داده‌ها در صورت بروز حادثه‌های از دست دادن داده‌ها دارید.

حمله آچار پنج دلاری

مهم نیست که یک هارد دیسک چقدر امن رمزگذاری شده باشد، همیشه در برابر حمله آچار پنج دلاری آسیب‌پذیر است. این به این معناست که همیشه کسی می‌تواند با یک آچار پنج دلاری شما را تهدید کند تا رمزهای عبور خود را فاش کنید. چگونه می‌توان از این موضوع جلوگیری کرد؟ خوب، این موضوع پیچیده است، اما چند کار وجود دارد که می‌توانید انجام دهید.

۱. داشتن یک سیستم Kill Switch (کلید قطع‌کن)

ایجاد یک سیستم کلید قطع‌کن که در صورت وارد کردن یک رمز عبور خاص، فایل کلیدی به‌طور دائمی پاک شود، می‌تواند داده‌های شما را با دسترسی‌ناپذیر کردن برای همه، از جمله خود شما، حفظ کند. در این حالت حتی خودتان هم قادر به بازیابی داده‌ها نخواهید بود.

یا می‌توانید به‌جای آن یک دکمه اضطراری ایجاد کنید. در صورتی که به یک موقعیت بحرانی مانند ربوده‌شدن دچار شدید، این دکمه می‌تواند مقامات را مطلع کند. همه چیز به مدل تهدید شما بستگی دارد. بسته به تهدیدهایی که ممکن است داده‌های شما را هدف قرار دهند، ممکن است نیاز داشته باشید این سیستم را برای تطبیق با شرایط تغییر دهید.

۲. داشتن یک سیستم طعمه (Decoy System)

می‌توانید کیف‌پول‌ها و حساب‌های جعلی ایجاد کنید و به‌جای موارد واقعی، آن‌ها را نشان دهید. به‌عنوان مثال، برخی از فعالان نسخه‌ای از تلگرام به نام تلگرام پارتیزانی برای کمک به معترضان بلاروس ایجاد کرده‌اند. روش کار این است که می‌توانید برای تلگرام خود یک قفل تنظیم کنید و چندین کد PIN داشته باشید و هر کد PIN را برای انجام کارهای خاصی برنامه‌ریزی کنید. به‌عنوان مثال، اگر PIN "1234" را وارد کنید، تمام داده‌ها پاک شده و به همه پیام ارسال می‌شود تا آن‌ها را مطلع کند، اما اگر "1349" را وارد کنید، یک حساب طعمه نشان داده می‌شود و اگر "6782" را وارد کنید، به‌طور عادی کار می‌کند.

این سیستم‌های طعمه می‌توانند در موقعیت‌هایی مانند اعتراض که ممکن است دستگیر شوید یا دستگاه‌های شما بازرسی شوند، بسیار مفید باشند. ترکیب آن‌ها با کلیدهای قطع‌کن می‌تواند هم مهاجم را فریب دهد و هم داده‌ها را همزمان حذف کند.

۳. کاهش ارزش هدف

کمترین مقدار داده‌های حساس را روی دستگاه‌هایی که بیشترین آسیب‌پذیری را در برابر این نوع حملات فیزیکی دارند، ذخیره کنید. به‌عنوان مثال، نیازی نیست که داده‌های حساس زیادی روی گوشی داشته باشید که با خود به بیرون می‌برید. به‌طور مرتب داده‌های حساس را به‌صورت امن و در مکانی امن پشتیبان‌گیری کنید. این مکان می‌تواند یک مکان فیزیکی یا یک فضای ابری از راه دور باشد تا داده‌ها همه در یک مکان نباشند و همیشه همراه شما نباشند.

۴. استفاده از احراز هویت چندعاملی برای داده‌های حساس

از دستگاه‌های احراز هویت فیزیکی مانند YubiKey استفاده کنید که هم نیاز به داشتن توکن فیزیکی و هم رمز عبور یا PIN دارند و آن‌ها را در مکانی امن نگه دارید. به این ترتیب، بدون دستگاه احراز هویت، داده‌های شما قابل دسترسی نخواهند بود. می‌توانید رمزهای عبور را به آن‌ها بدهید، اما هنوز نمی‌توانند به داده‌ها دسترسی پیدا کنند.

از احراز هویت بیومتریک خودداری کنید؛ این نوع احراز هویت در برابر زور فیزیکی مقاوم نیست. کسی می‌تواند به‌زور از اثر انگشت شما استفاده کند.

۵. آگاهی از تاکتیک‌های مهندسی اجتماعی

برخی افراد ممکن است به‌جای زور، از تاکتیک‌های مهندسی اجتماعی استفاده کنند، به‌ویژه اگر در موقعیتی از قدرت باشند. همیشه از تاکتیک‌ها و بازی‌های روانی که ممکن است برای به‌دست آوردن اطلاعات حساس، رمزهای عبور و مدارک شما استفاده شود، آگاه باشید.

از حقوق قانونی خود در زمینه دفاع از خود و حفاظت از داده‌ها در حوزه قضایی خود آگاه باشید. فهرستی از مخاطبین اضطراری، از جمله مشاور حقوقی، داشته باشید که بتواند در صورت تهدید یا اجبار کمک فوری ارائه دهد.

این‌ها نکاتی بودند که درباره رمزگذاری و ذخیره امن اطلاعات حساس داشتم. فصل بعدی درباره ردپاها و اثر انگشت‌های دیجیتال خواهد بود و اقداماتی که می‌توان برای به حداقل رساندن یا حتی پاک کردن ردپایی که هنگام بی‌توجهی به حریم خصوصی به‌جا گذاشته‌اید، انجام داد.

فصل ۶

هر چیزی که لمس می‌کنید، اثر انگشت شما را بر روی آن به‌جا می‌گذارد و هر جایی که می‌روید، ردپاهای خود را به‌جا می‌گذارید که شما را قابل شناسایی می‌کند و اعمال شما را به شما ردیابی می‌کند. مگر اینکه دستکش بپوشید، مراقب باشید که DNA خود را به‌جا نگذارید و ردپاهای خود را هنگام حرکت پاک کنید، همین موضوع برای شما در هنگام استفاده از اینترنت نیز صدق می‌کند.

در اینترنت، همه ما اثر انگشت دیجیتالی منحصر‌به‌فردی داریم و با استفاده از آن ردپاهای خود را به‌جا می‌گذاریم. هرچه بیشتر از اینترنت استفاده کنید، اثر انگشت دیجیتالی شما منحصر‌به‌فردتر می‌شود و ردپاهای شما واضح‌تر می‌شود.

این فصل درباره این است که چگونه خود را تا حد امکان کمتر منحصر‌به‌فرد کنید و ردپاهای خود را تا حد ممکن بپوشانید. ممکن است پاک‌کردن کامل ردپاهای قدیمی‌تان غیرممکن باشد، زیرا هر چیزی که در اینترنت منتشر کرده‌اید می‌تواند برای همیشه باقی بماند، و غیرممکن است که هیچ اثر انگشتی نداشته باشید. کلید موفقیت در اینجا این است که چندین اثر انگشت دیجیتالی مختلف ایجاد کرده و آن‌ها را از هم جدا نگه دارید. این استراتژی باعث می‌شود انرژی، زمان و اضطراب کمتری صرف کنید و این کار را در بلندمدت پایدار نگه دارد.

جداسازی اثر انگشت‌های دیجیتالی

همه ما هویت‌های واقعی در دنیای واقعی داریم و مجبوریم با هویت واقعی خود از اینترنت استفاده کنیم. نمی‌توانیم استفاده از کارت‌های اعتباری و بانک‌ها را متوقف کنیم و همه چیز را در Tor با استفاده از Monero بخریم. این به‌سادگی ممکن نیست. اما می‌توانیم هویت واقعی خود را به‌طور کامل جدا کرده و به آن یک اثر انگشت دیجیتالی خاص، رفتار خاص و سبک نوشتاری خاص بدهیم، و برای هویت‌های دیگر خود، آن‌ها را نیز جدا نگه داریم.

برای مثال، یک فعال که می‌خواهد ناشناس بماند همچنان می‌تواند دو اثر انگشت دیجیتالی داشته باشد: یکی برای هویت واقعی و یکی برای هویت فعالانه خود. منحصر‌به‌فرد بودن اثر انگشت دیجیتالی در چنین سناریوهایی هرگز مشکل‌ساز نیست، تا زمانی که این اثر انگشت‌ها جدا نگه داشته شوند. اگر از اثر انگشت فعالانه خود برای انجام کارهای دنیای واقعی استفاده کنید، آنگاه مشکل ایجاد می‌شود. اکنون هویت‌ها را با هم مخلوط کرده‌اید. اما اگر این کار را نکنید، مشکلی پیش نمی‌آید. حتی اگر هویت فعالانه شما ردیابی شود، به هویت واقعی شما منتهی نخواهد شد. این هویت دارای ردپای خود است که به هیچ وجه به هویت واقعی شما ردیابی نمی‌شود و رفتار خاص، سبک نوشتاری خاص و غیره دارد.

با این حال، گاهی واقعاً نیاز دارید مانند دیگران به‌نظر برسید، مانند زمانی که کسی داده‌های سرقتی را از دارک‌وب خریداری می‌کند (البته من به‌هیچ‌وجه فعالیت‌های غیرقانونی را تشویق نمی‌کنم). در این شرایط بهترین کار این است که مانند دیگران در آن وبسایت به‌نظر برسید. باز هم، همه چیز به مدل تهدید شما بستگی دارد.

چگونه می‌توانید اثر انگشت‌های دیجیتالی خود را جدا کنید؟ در اینجا چند نکته آورده شده است، اما شما باید به مدل تهدید خود نگاهی بیندازید و یک استراتژی بر اساس آن بسازید.

• ایجاد محیط‌های کاری جداگانه: می‌توانید چندین حساب کاربری مختلف روی رایانه یا گوشی خود داشته باشید یا ماشین‌های مجازی کاملاً جداگانه برای هر هویت مختلف تنظیم کنید.
• ایجاد حساب‌های جداگانه: برای هر هویت، ایمیل‌های مختلف، فضای ذخیره‌سازی ابری، حساب‌های VPN و غیره ایجاد کنید.
• ایجاد داستان‌های پس‌زمینه جداگانه: هویت‌های مختلفی داشته باشید و به هر یک از آن‌ها زندگی و داستان‌های پس‌زمینه جداگانه بدهید. این کار پیگیری آن‌ها را آسان‌تر می‌کند.
• ایجاد الگوهای رفتاری جداگانه: سبک تایپ شما (سرعت، دقت و غیره)، سبک نوشتاری، عبارات و کلماتی که استفاده می‌کنید، نحوه پاسخ‌گویی، الگوهای کلیک و حرکت ماوس، وبسایت‌هایی که معمولاً بازدید می‌کنید — این‌ها همه الگوهای رفتاری هستند که می‌توانند هویت‌ها را با هم مخلوط کنند.
• استفاده از ابزارهای مقاوم در برابر اثر انگشت دیجیتالی: از ابزارهایی مانند Tor Browser، یک نسخه hardened از فایرفاکس، Whonix OS و غیره استفاده کنید.

الگوریتم‌های تحلیلی وجود دارند که می‌توانند این رفتارهای منحصر‌به‌فرد را با کاربران دیگر تطبیق دهند و با دقت کاربر را شناسایی کنند که دارای همان رفتارها و اثر انگشت دیجیتالی است. حتی اگر این الگوریتم‌ها توسط مقامات استفاده نشوند، وجود دارند و ممکن است استفاده شوند. آن‌ها ممکن است و احتمالاً استفاده خواهند شد، همان‌طور که امروزه برای اهداف بازاریابی و تبلیغات استفاده می‌شوند. بیشتر مواقع، حفظ حریم خصوصی درباره جلوگیری از وقوع چنین چیزهایی است.

پاک کردن ردپاهای قدیمی

اگرچه این کار دشوار است، اما کاملاً غیرممکن نیست. هنوز هم می‌توانید برخی از ردپاهایی که سال‌ها پیش به‌جا گذاشته‌اید، حذف کنید. ابتدا باید ببینید کدام هویت را می‌خواهید پاک کنید. سپس شروع به ایجاد لیستی کامل از تمام جاهایی که در آن ثبت‌نام کرده‌اید، چیزی ارسال کرده‌اید یا چیزی خریده‌اید، کنید. یک راه آسان برای جمع‌آوری این اطلاعات، مرور تمام ایمیل‌هایتان است و بررسی اینکه چه وبسایت‌هایی برای ورود یا ثبت‌نام به شما ایمیل ارسال کرده‌اند. همه را فهرست کنید.

سپس می‌توانید به هر وبسایت بروید. اگر اجازه حذف حساب را می‌دهند، آن را حذف کنید. برای مواردی مانند توییتر و سایر شبکه‌های اجتماعی، بهترین روش این است که ابتدا همه‌چیز را حذف کنید—نظرات، پست‌ها، عکس پروفایل، بیوگرافی، مکان و غیره—و چند هفته صبر کنید. سپس حساب را حذف کنید. این کار به کراولرها و موتورهای جستجو اجازه می‌دهد تا اطلاعات مربوط به حساب شما را به‌روزرسانی کنند، بنابراین پس از حذف حساب، پست‌های قدیمی شما در نتایج جستجو نمایش داده نمی‌شوند.

برای برخی وبسایت‌ها و خدماتی که اجازه حذف حساب را نمی‌دهند، ابتدا تمام اطلاعات خود را تغییر دهید، سپس به آن‌ها ایمیل بزنید و درخواست حذف داده‌هایتان را بکنید. در بیشتر موارد، این کار انجام می‌شود. برای داده‌هایی که خودتان منتشر نکرده‌اید، می‌توانید یک اطلاعیه DMCA ارسال کنید و از آن‌ها بخواهید داده‌های شما را حذف کنند. همچنین می‌توانید این کار را برای حذف داده‌هایتان از موتورهای جستجو انجام دهید.

برخی خدمات وجود دارند که به‌طور خودکار شما را از اینترنت حذف می‌کنند. پس از اینکه همه‌چیز را به‌صورت دستی حذف کردید، می‌توانید از خدماتی مانند "DeleteMe" برای حذف بقیه اطلاعات استفاده کنید. آن‌ها همچنین می‌توانند در صورت انتشار اطلاعات جدید در مورد شما، آن‌ها را حذف کرده و به شما اطلاع دهند.

پس از حذف همه‌چیز، سعی کنید آن را فراموش کنید. اگر می‌خواهید هویت مورد نظر از اینترنت پاک شود، دیگر با آن سروکار نداشته باشید. زندگی خود را ادامه دهید و بگذارید به‌تدریج محو شود. همچنین برای هویت بعدی خود یادداشت‌برداری کنید تا دیگر نیازی به انجام این کار نداشته باشید. مطمئن شوید که همیشه هنگام ایجاد و استفاده از حساب‌ها، اطلاعات حساس و غیرضروری کمی ارائه می‌دهید و در ایجاد حساب‌ها بسیار مینیمالیست باشید. فقط در صورتی حساب ایجاد کنید که واقعاً نیاز دارید. در بیشتر مواقع نیازی نیست. یا اگر می‌خواهید چیزی را امتحان کنید، یک هویت موقت ایجاد کنید تا آن را آزمایش کنید.

شناسه‌های دیجیتالی شما

همان‌طور که در دنیای واقعی، اثر انگشت‌ها یا سایر ویژگی‌های بیومتریک ما شناسه‌های منحصر‌به‌فرد ما هستند، در دنیای دیجیتالی نیز چنین شناسه‌هایی داریم. هنگامی که این شناسه‌های دیجیتالی با هم ترکیب می‌شوند، می‌توانند اثری از خود به‌جا بگذارند که حتی از اثر انگشت‌های فیزیکی ما نیز منحصر‌به‌فردتر است. این موضوع تنها به نرم‌افزار محدود نمی‌شود؛ هر قطعه از سخت‌افزاری که استفاده می‌کنید نیز دارای یک شناسه منحصر‌به‌فرد است.

خبر خوب این است که بیشتر این شناسه‌ها، هم در سطح سخت‌افزار و هم در سطح نرم‌افزار و شبکه، قابل جعل و تغییر هستند. در دنیای دیجیتال، تغییر اثر انگشت دیجیتالی بسیار آسان است؛ اما نکته سخت و تقریباً غیرممکن این است که اصلاً اثری به‌جا نگذارید.

شناسه‌های سخت‌افزاری

هر قطعه سخت‌افزاری که تولید می‌شود دارای یک شناسه منحصر‌به‌فرد است که برای مدیریت دستگاه‌ها، مدیریت شبکه، امنیت و غیره استفاده می‌شود. اما اکنون این شناسه‌ها می‌توانند برای شناسایی کاربران استفاده شوند، دقیقاً مانند زمانی که پلیس اثر انگشت فردی را از یک صحنه جرم جمع‌آوری می‌کند. اکنون آن‌ها می‌توانند آدرس MAC شما را به دست آورند و ببینند با لپ‌تاپ خود در کجاهای دیگری بوده‌اید.

آدرس MAC، یا آدرس کنترل دسترسی رسانه (Media Access Control)، یک شناسه منحصر‌به‌فرد است که توسط تولیدکنندگان برای رابط‌های شبکه برای ارتباطات در بخش فیزیکی شبکه تنظیم می‌شود. از آن برای شناسایی دستگاه‌ها در شبکه‌های محلی، کنترل دسترسی به شبکه و ردیابی دستگاه‌ها استفاده می‌شود. تغییر آدرس MAC در سطح نرم‌افزار نسبتاً آسان است. به‌عنوان مثال، گوشی اندرویدی Nokia من با اندروید ۱۳ به من اجازه می‌دهد هر بار که به یک شبکه Wi-Fi ناشناخته وصل می‌شوم، یک آدرس MAC تصادفی داشته باشم. جعل آدرس MAC (MAC spoofing) به نسبت آسان است و صادقانه بگویم، آن‌قدر هم نگران‌کننده نیست. آدرس MAC فقط در شبکه‌های محلی استفاده می‌شود، نه در اینترنت، بنابراین ردیابی آن بسیار سخت و بی‌فایده است. با این حال، اگر از شبکه‌ای استفاده می‌کنید که متعلق به شما نیست، همیشه ایده خوبی است که آدرس MAC خود را جعل کنید.

اما در گوشی‌های ما شناسه‌ای وجود دارد که تغییر آن امکان‌پذیر نیست و در برخی کشورها به هویت واقعی شما مرتبط است. این شناسه می‌تواند حتی اگر گوشی شما سیم‌کارت نداشته باشد، مکان تقریبی شما را نشت دهد، و آن شناسه‌های IMEI و IMSI شما هستند. IMEI (شناسه بین‌المللی تجهیزات موبایل) و IMSI (شناسه بین‌المللی مشترک موبایل) اعداد منحصر‌به‌فردی هستند که توسط سازندگان گوشی ایجاد می‌شوند. هر زمان که گوشی شما به یک شبکه موبایل متصل می‌شود، با IMEI و IMSI شما ثبت می‌شود. حتی اگر سیم‌کارتی در گوشی شما نباشد، به دلیل تماس‌های اضطراری، همچنان به برج‌های موبایل متصل می‌شوید.

شبکه موبایل می‌تواند زمان اتصال شما به هر برج تلفن همراه را ثبت کند و بر اساس قدرت سیگنال شما، فاصله تقریبی شما از آن را تعیین کند. این بدان معناست که در هر لحظه، شبکه می‌تواند تعیین کند که گوشی شما در کجا بوده است. IMSI شما، در برخی کشورها، مستقیماً به هویت واقعی شما مرتبط است، زیرا شما باید سیم‌کارت‌ها را با شناسه واقعی خود خریداری کنید که به‌طور خودکار گوشی شما را به هویت واقعی‌تان پیوند می‌دهد. همچنین، IMEI نیز می‌تواند به هویت واقعی شما ردیابی شود اگر گوشی را به‌صورت ناشناس خریداری نکرده باشید. علاوه بر این، شرکت‌های سیستم‌عامل مانند گوگل و اپل سوابق شناسه‌های IMEI و IMSI شما را با حساب‌های گوگل/اپل شما مرتبط می‌کنند، بنابراین آن‌ها می‌توانند بررسی کنند که چه حساب‌های دیگری قبلاً با این گوشی مرتبط بوده‌اند.

تغییر IMEI/IMSI ممکن است امکان‌پذیر باشد، اما در برخی کشورها ممکن است غیرقانونی باشد و در برخی دیگر می‌تواند عملکرد گوشی شما را مختل کند، زیرا آن‌ها IMSI شما را به شماره سیم‌کارت شما مرتبط می‌کنند و اگر آن را تغییر دهید، ممکن است دیگر خدمات دریافت نکنید.

شناسه دیگری که وجود دارد، شناسه CPU شما است. هر CPU دارای یک CPUID است که می‌تواند اطلاعاتی درباره جزئیات CPU به نرم‌افزار ارائه دهد، مانند نوع پردازنده و ویژگی‌هایی که پیاده‌سازی می‌کند. همچنین تقریباً همه پردازنده‌های مدرن، از جمله اینتل و AMD، دارای یک پلتفرم مدیریت پنهان هستند، مانند Intel Management Engine برای پردازنده‌های اینتل و AMD Platform Security Processor برای پردازنده‌های AMD. این پلتفرم‌های مدیریت در واقع سیستم‌عامل‌های کوچکی هستند که بر روی CPU شما اجرا می‌شوند و دسترسی کامل به شبکه رایانه شما دارند. آن‌ها می‌توانند برای شناسایی کاربران ناشناس مورد استفاده قرار گیرند. برای پردازنده‌های اینتل، راه خوبی برای خاموش‌کردن این پلتفرم مدیریت وجود ندارد مگر اینکه یک CPU قدیمی بخرید که این ویژگی را ندارد، اما برای برخی از پردازنده‌های AMD، می‌توان آن را در BIOS خاموش کرد.

همچنین، دستگاه‌های بلوتوث شما مانند رابط‌های شبکه دارای شناسه‌هایی هستند، اما این موضوع نسبت به شبکه کمتر نگران‌کننده است، زیرا آدرس‌های بلوتوث اغلب تصادفی هستند و بیشتر سیستم‌عامل‌ها این آدرس‌ها را تصادفی می‌کنند. یک روش خوب این است که وقتی به بلوتوث نیاز ندارید، آن را غیرفعال کنید.

شناسه‌های نرم‌افزاری

مرورگر شما دارای بیشترین شناسه‌های نرم‌افزاری است که به‌تنهایی می‌تواند شما را منحصر‌به‌فرد کند و در بیشتر مواقع، این شناسه‌ها با شناسه‌های فیزیکی مانند CPU که استفاده می‌کنید یا جزئیات مانیتور شما و غیره ترکیب می‌شوند.

یکی از این شناسه‌ها رشته عامل کاربر (User Agent String) است. رشته عامل کاربر توسط مرورگر به سرور ارسال می‌شود و نوع مرورگر، نسخه آن و سیستم‌عامل را شناسایی می‌کند. تغییر این رشته با hardening کردن تنظیمات مرورگر یا استفاده از مرورگر Tor نسبتاً آسان است.

همچنین، اگر جاوا اسکریپت در مرورگر شما فعال باشد، می‌تواند اطلاعات زیادی از مرورگر شما بخواند، مانند نوع مرورگر، منطقه زمانی و زبان، فونت‌های نصب‌شده، سیستم‌عامل و نسخه آن، وضوح صفحه نمایش و عمق رنگ. اگر جاوا اسکریپت فعال باشد، همچنین می‌تواند اثر انگشت دیجیتالی بوم (Canvas Fingerprinting)، اثر انگشت دیجیتالی WebGL و اثر انگشت دیجیتالی AudioContext را انجام دهد.

اثر انگشت دیجیتالی بوم تکنیکی است که از عنصر بوم HTML5 برای رسم گرافیک و ضبط ویژگی‌های منحصربه‌فرد رندر یک دستگاه استفاده می‌کند. وبسایت با استفاده از جاوا اسکریپت به مرورگر دستور می‌دهد که یک تصویر یا متن مخفی را روی عنصر بوم رسم کند. این عملیات رسم می‌تواند شامل اشکال، رنگ‌ها، فونت‌های متن و اندازه‌های مختلف باشد. پس از اتمام عملیات رسم، مرورگر داده‌های پیکسلی را از تصویر یا متن رندر شده استخراج می‌کند. این داده‌ها به‌طور اساسی یک رشته طولانی از اعداد هستند که رنگ و روشنایی هر پیکسل را نشان می‌دهد. مرورگرهای مختلف ممکن است گرافیک‌ها را کمی متفاوت رندر کنند، به‌دلیل تفاوت‌های موجود در موتورهای رندر آن‌ها. همچنین، تفاوت‌های سخت‌افزاری مانند کارت‌های گرافیک می‌تواند فرآیند رندر را تحت تأثیر قرار دهد و منجر به تغییرات منحصربه‌فرد شود، و تفاوت‌های موجود در فونت‌های نصب‌شده و نحوه رندر آن‌ها می‌تواند به منحصربه‌فرد شدن اثر انگشت دیجیتالی کمک کند.

اثر انگشت دیجیتالی WebGL برای رندر گرافیک‌های تعاملی سه‌بعدی و دوبعدی در هر مرورگر سازگار بدون استفاده از پلاگین‌ها استفاده می‌شود، اما همچنین می‌تواند برای شناسایی کاربران استفاده شود. روش کار این است که وبسایت با استفاده از جاوا اسکریپت به مرورگر دستور می‌دهد تا یک شیء سه‌بعدی یا صحنه‌ای را با استفاده از API WebGL رندر کند. این رندر شامل جنبه‌هایی مانند تکسچرها، نورپردازی، سایه‌زنی و دیگر افکت‌های گرافیکی است. پس از رندر، مرورگر داده‌ها را از تصویر یا صحنه رندر شده استخراج می‌کند. این داده‌ها می‌توانند شامل مقادیر پیکسلی باشند، اما همچنین اطلاعات پیچیده‌تری درباره فرآیند رندر، مانند ویژگی‌های کارت گرافیک و درایورها را شامل می‌شوند. سپس، مانند اثر انگشت دیجیتالی بوم، داده‌های رندر شده با استفاده از یک تابع هش رمزنگاری‌شده به یک اثر انگشت دیجیتالی منحصربه‌فرد تبدیل می‌شوند.

اثر انگشت دیجیتالی AudioContext از API AudioContext برای تولید یک شناسه منحصربه‌فرد بر اساس قابلیت‌های پردازش صوتی دستگاه کاربر استفاده می‌کند. این تکنیک بر اساس این واقعیت است که دستگاه‌ها و محیط‌های مختلف سیگنال‌های صوتی را به‌طور کمی متفاوت پردازش می‌کنند به‌دلیل تفاوت‌های سخت‌افزاری و نرم‌افزاری. ابتدا، وبسایت با استفاده از جاوا اسکریپت یک نمونه از شیء AudioContext ایجاد کرده و یک سیگنال صوتی تولید می‌کند، معمولاً با استفاده از نوسان‌سازها یا دیگر منابع صوتی. سپس، سیگنال صوتی تولید شده از طریق گره‌های پردازش صوتی مختلف، مانند گره‌های Gain، فیلترها یا تحلیل‌گرها عبور داده می‌شود. این گره‌ها سیگنال صوتی را به‌گونه‌ای تغییر می‌دهند که به‌طور کمی تحت تأثیر محیط سخت‌افزاری و نرم‌افزاری قرار می‌گیرد. پس از آن، سیگنال صوتی پردازش‌شده ثبت می‌شود، غالباً با استفاده از گره AnalyserNode برای گرفتن داده‌های صوتی به‌صورت داده‌های دامنه زمانی یا فرکانسی. در نهایت، داده‌های صوتی ثبت‌شده هش می‌شوند و به‌عنوان یک اثر انگشت دیجیتالی منحصربه‌فرد استفاده می‌شوند.

همچنین، API وضعیت باتری (Battery Status API)، حافظه دستگاه و همزمانی سخت‌افزاری (Hardware Concurrency)، فونت‌های نصب‌شده، API اطلاعات شبکه (Network Information API)، رویدادهای لمسی و اشاره‌گر (Touch and Pointer Events)، برنامه‌ها و استفاده‌های آن‌ها، و رفتارهای کاربر مانند نحوه استفاده از ماوس و کیبورد و غیره، می‌توانند برای ایجاد یک اثر انگشت دیجیتالی منحصربه‌فرد استفاده شوند.

تقویت مرورگر یا استفاده از مرورگر Tor

نیازی نیست برای فعالیت‌هایی که به هویت واقعی شما مرتبط هستند یا قرار نیست ناشناس بمانند، از مرورگر Tor استفاده کنید. اما تقویت مرورگر از طرف دیگر می‌تواند به‌شدت در حفظ حریم خصوصی شما موثر باشد، به‌خصوص با اختصاص دادن هر پروفایل مرورگر به یک هویت و تقویت آن بر اساس نیازهای آن هویت و مدل تهدیدهای شما.

مرورگر Tor به‌گونه‌ای عمل می‌کند که شما را شبیه به همه افراد دیگر در شبکه Tor می‌کند. اگر از مرورگر Tor برای بررسی حساب بانکی خود یا هر چیزی که به هویت واقعی شما مرتبط است استفاده کنید، در واقع شما از قبل هم منحصربه‌فردتر خواهید شد. همچنین نکته مهم این است که نباید هیچ تغییری در مرورگر Tor اعمال کنید؛ هر تغییر کوچکی مانند نصب یک پلاگین یا تغییر تنظیمات، می‌تواند شما را بسیار بیشتر از زمانی که از مرورگر Tor استفاده نمی‌کردید، منحصر‌به‌فرد کند.

با این حال، تقویت مرورگر به شما یک اثر انگشت دیجیتالی منحصر‌به‌فرد می‌دهد و این درست است. اما اگر به‌درستی از آن استفاده کنید، می‌تواند امنیت و حریم خصوصی بیشتری به شما بدهد، به این معنا که هر پروفایل مرورگر باید برای یک کار یا هویت خاص تنظیم شود. به‌عنوان مثال، می‌توانید یک پروفایل تقویت‌شده از فایرفاکس برای تماشای یوتیوب و گوش‌دادن به موسیقی در SoundCloud داشته باشید، یک پروفایل دیگر برای هویت‌های آنلاین خود و هر چیزی که به آن‌ها مرتبط است، و یک پروفایل دیگر برای هویت واقعی خود داشته باشید. به این ترتیب، می‌توانید بر اساس نیازهای کار یا هویت، مرورگر خود را تنظیم کنید.

برای تقویت مرورگرها، منابع زیادی در دسترس هستند، به‌خصوص برای فایرفاکس. به‌عنوان مثال، برای فایرفاکس، Arkenfox یک لیست از گزینه‌ها و تنظیمات با دقت انتخاب‌شده برای بهبود حریم خصوصی ارائه می‌دهد. استفاده از مرورگری مانند Brave برای استفاده عمومی نیز گزینه خوبی است، زیرا به‌صورت پیش‌فرض تنظیمات و ویژگی‌های حریم خصوصی مناسبی دارد.

همچنین می‌توانید مرورگرهای مختلفی برای نیازهای مختلف داشته باشید؛ به‌عنوان مثال، پروفایل‌های تقویت‌شده فایرفاکس برای وظایف خاص که به تنظیمات خاصی نیاز دارند، Brave برای استفاده عمومی، و مرورگر Tor برای زمانی که نیاز به حفظ ناشناس بودن دارید.

در نهایت، همه چیز به مدل تهدید شما و نیازهای خاص شما بستگی دارد، بنابراین همیشه بر اساس آن‌ها اقدام کنید تا خود را از مشکلات و اشتباهات زیادی نجات دهید.

این پایان این فصل است. در فصل بعدی، به بررسی ایجاد هویت ناشناس، انجام وظایف به‌صورت ناشناس و حفظ این ناشناس بودن خواهیم پرداخت.

فصل ۷

در اوایل دهه ۲۰۰۰، یک افشاگر که فقط با نام "Deep Throat" شناخته می‌شد، نقش مهمی در افشای رسوایی واترگیت داشت که در نهایت منجر به استعفای رئیس‌جمهور آمریکا، ریچارد نیکسون شد. بعدها مشخص شد که Deep Throat همان مارک فلت، یکی از مقامات عالی‌رتبه اف‌بی‌آی است.

فلت تصمیم گرفت ناشناس باقی بماند زیرا از انتقام‌گیری افراد قدرتمند سیاسی و همچنین آسیب به زندگی حرفه‌ای و شخصی خود می‌ترسید. با ملاقات‌های مخفیانه با روزنامه‌نگاران باب وودوارد و کارل برنستین، فلت اطلاعات حیاتی‌ای ارائه داد که به افشای فعالیت‌های غیرقانونی و سوءاستفاده از قدرت در دولت نیکسون کمک کرد.

ناشناس بودن به او این امکان را داد که حقیقت را بدون مواجهه با عواقب فوری به اشتراک بگذارد و در نهایت منجر به تغییرات سیاسی مهمی شد و اهمیت پاسخگویی در دولت را تقویت کرد. داستان مارک فلت نشان می‌دهد که ناشناس بودن می‌تواند به مردم این امکان را بدهد که به‌جای تخریب جامعه، تغییرات مثبت ایجاد کنند. این موضوع هم یک شمشیر دو لبه و هم یک مسیر لغزنده است.

از بین بردن ناشناس بودن افراد به معنای خاموش‌کردن صدای مخالفان و ایجاد محیطی از ترس است که در آن جامعه متوقف می‌شود. وقتی افراد نتوانند بدون به‌خطر انداختن امنیت، حریم خصوصی یا جان خود حرف بزنند، ما دیدگاه‌های مخالف را از دست می‌دهیم و خلاقیت جامعه از بین می‌رود. جامعه به عقب حرکت می‌کند و ترس به‌تدریج به هنجار تبدیل می‌شود، از نسلی به نسل دیگر منتقل می‌شود و به‌تدریج چیزی را که ما را از سایر حیوانات متمایز می‌کند از بین می‌برد.

ایجاد یک هویت دیگر

همان‌طور که در فصل‌های قبل اشاره کردم، ایجاد یک هویت کامل می‌تواند به‌شدت در مدیریت هویت‌ها و حفظ جدایی آن‌ها کمک کند. بر اساس مدل تهدید شما و کاری که قصد دارید انجام دهید، ممکن است نیاز به ایجاد یک نام مستعار برای خود داشته باشید و آن را به فعالیت‌های ناشناس خود مرتبط کنید.

بین نام مستعار (Pseudonymity) و ناشناس بودن (Anonymity) تفاوت وجود دارد. نام مستعار به معنای دادن یک نام به هویت ناشناس شما است تا افراد بتوانند شما و کار شما را شناسایی کنند، مثلاً یک نویسنده که از یک نام قلمی استفاده می‌کند. ناشناس بودن به معنای پنهان‌کردن کامل هویت فرد است تا هیچ راهی برای ردیابی یا شناسایی شخص پشت اقدامات یا اطلاعات وجود نداشته باشد.

شما همچنان می‌توانید ناشناس بمانید و یک نام مستعار داشته باشید. به‌جای اینکه بی‌نام و نشان باشید، به‌ویژه اگر یک فعال، نویسنده یا افشاگر هستید، ممکن است به یک نام مستعار یا هویت جعلی نیاز داشته باشید که مردم بتوانند کار شما را با آن شناسایی کنند. مردم بهتر می‌توانند با کسی که یک نام و هویت دارد، حتی اگر واقعی نباشد، ارتباط برقرار کنند تا با یک کاربر بی‌نام در اینترنت.

کاربران دارای نام مستعار می‌توانند در طول زمان اعتبار و شهرتی ایجاد کنند، در حالی که کاربران ناشناس نمی‌توانند اعتباری ایجاد کنند که به یک هویت خاص مرتبط باشد.

برای ایجاد هویت دارای نام مستعار خود، می‌توانید یکی از این مسیرها را انتخاب کنید:

• ایجاد تنها یک نام کاربری/لقب
• ایجاد یک هویت کامل
• ایجاد ترکیبی از هر دو

ایجاد فقط یک نام کاربری/لقب

این مسیر آسان‌تر است؛ شما فقط باید یک نام مستعار یا نام کاربری منحصربه‌فرد و غیرقابل‌ردیابی پیدا کنید و فعالیت‌های خود را به آن متصل کنید. اشکال این مسیر این است که ممکن است کسب اعتبار و شهرت دشوارتر شود و اگر با افراد دیگر کار می‌کنید، ممکن است نیاز به داشتن یک نام واقعی و منشأ هم داشته باشید.

یک مثال واقعی از یک لقب معروف، "Dread Pirate Roberts" یا "DPR" است که لقب راس اولبریخت، خالق "آمازون مواد مخدر" یا همان Silk Road بود. راس اولبریخت هیچ نام دیگری نداشت جز "Dread Pirate Roberts."

نکته‌ای که هنگام ایجاد یک لقب اهمیت دارد این است که نباید چیزی را انتخاب کنید که بتواند به هویت واقعی شما مرتبط شود. این تنها و مهم‌ترین مسئله در ایجاد لقب‌ها است. مطمئن شوید که بازتاب زیادی از علایق هویت واقعی شما ندارد و مطمئن شوید که قبلاً هرگز از آن استفاده نکرده‌اید.

برای جلوگیری از ارتباط بین هویت واقعی شما و نام مستعار، بهتر است از یک سایت تولیدکننده لقب استفاده کنید. به دنبال یکی بگردید و یکی را انتخاب کنید که به‌نظرتان بهترین است و همچنین منحصربه‌فردی آن را بررسی کنید. آن را گوگل کنید و ببینید که آیا قبلاً توسط شخص دیگری استفاده شده است یا خیر.

ایجاد یک هویت کامل

این مسیر شامل انتخاب یک کشور، یک داستان زندگی، تاریخ تولد، نام کامل، جنسیت، آدرس، ایمیل با آن نام و غیره است. به‌طور خلاصه، شما یک شخصیت کامل برای خود ایجاد می‌کنید که دارای علایق، سبک نوشتن، نام، محل تولد، تاریخ تولد—همه چیز است.

مزیت این مسیر این است که واقعاً آسان است که آن را از هویت واقعی خود جدا نگه دارید. اگر مجبورید جایی ثبت‌نام کنید که نیاز به اطلاعات دارد، می‌توانید اطلاعات جعلی‌ای را که قبلاً ایجاد کرده‌اید وارد کنید.

مطمئن شوید که نام به شما منتهی نمی‌شود و آن را در جایی امن یادداشت کنید تا ثابت بماند و مجبور نشوید در صورت فراموشی چیزی را تغییر دهید.

همچنین، وبسایت‌های زیادی وجود دارند که می‌توانند هویت‌های جعلی و آدرس‌های تصادفی ایجاد کنند. فقط جستجو کنید و تعداد زیادی از آن‌ها را خواهید یافت.

ایجاد ترکیبی از هر دو

به‌نظر من این مسیر راحت‌ترین گزینه است. می‌توانید هم یک لقب و هم یک هویت کامل داشته باشید و هرکدام را براساس نیاز استفاده کنید. به‌عنوان مثال، برای GitHub می‌توانید از لقب خود به‌عنوان نام کاربری استفاده کنید و نام جعلی را به‌عنوان نام خود قرار دهید.

این ترکیب می‌تواند هم شهرت و اعتبار به شما بدهد و هم مدیریت هویت را آسان کند و به شما امکان دهد که براساس موقعیت، از هرکدام از آن‌ها استفاده کنید.

فقط مطمئن شوید که لقب و هویت به هویت واقعی شما منتهی نمی‌شوند. همچنین می‌توانید با ترکیب نام و اطلاعات هویت جعلی خود، برخی از لقب‌ها را ایجاد کنید.

OPSEC و رفتارهای آنلاین

وقتی صحبت از ناشناس بودن می‌شود، OPSEC و رفتارهای آنلاین شما مهم‌ترین عوامل هستند. من در فصل ۳ به OPSEC پرداختم. امنیت عملیاتی شما هنگام حفظ حریم خصوصی و به‌ویژه ناشناس بودن حیاتی است. داشتن OPSEC ضعیف و بی‌احتیاطی در اشتراک‌گذاری اطلاعات آنلاین مانند لو دادن خودتان است.

علاوه بر OPSEC، رفتارهای آنلاین شما نقش بزرگی در حفظ ناشناس بودن ایفا می‌کند. این رفتارها ممکن است حفظ آن‌ها به‌طور مداوم دشوار باشد. رفتارهای ناسازگار می‌تواند الگوهای قابل‌شناسایی‌ای ایجاد کند که برای رفع ناشناس بودن شما استفاده شود. در اینجا نکات کلیدی‌ای را که باید در نظر بگیرید آورده شده است:

الگوهای تایپ (Keystroke Dynamics)

سرعت تایپ، ریتم و نحوه جابجایی شما بین کلیدها می‌تواند یک اثر انگشت دیجیتالی منحصربه‌فرد ایجاد کند. استفاده از ابزارهای تصادفی‌ساز تایپ یا حفظ سرعت تایپ یکنواخت می‌تواند به جلوگیری از ایجاد الگوهای قابل شناسایی کمک کند.

الگوهای حرکت ماوس و کلیک

نحوه حرکت ماوس و سرعت کلیک شما می‌تواند ردیابی شود. از ابزارهایی استفاده کنید که حرکات ماوس را ناشناس می‌کنند یا الگوهای حرکت خود را استاندارد کنید تا خطر شناسایی کاهش یابد.

حرکات صفحه‌نمایش لمسی

در دستگاه‌های موبایل، الگوهای لمس و سوایپ می‌توانند به شما منحصر‌به‌فرد باشند. مشابه حرکات ماوس، سعی کنید از حرکات استاندارد استفاده کنید و از ایجاد الگوهای قابل‌شناسایی جلوگیری کنید.

اثر انگشت دیجیتالی مرورگر

جزئیاتی مانند فونت‌های نصب‌شده، پلاگین‌ها، وضوح صفحه‌نمایش و عمق رنگ می‌تواند یک اثر انگشت دیجیتالی مرورگر ایجاد کند. از مرورگرها یا افزونه‌هایی استفاده کنید که این جزئیات را تصادفی‌سازی یا مسدود می‌کنند، مانند مرورگر Tor یا افزونه CanvasBlocker.

آدرس IP و شبکه

یک آدرس IP ثابت به‌راحتی قابل‌ردیابی است. مکان سرور VPN یا پروکسی خود را مرتب تغییر دهید تا از ایجاد الگوها جلوگیری کنید. از شبکه‌های عمومی یا اشتراکی همراه با شبکه‌های ناشناس مانند شبکه TOR برای فعالیت‌هایی که نیاز به ناشناس‌بودن بالایی دارند، استفاده کنید.

اثر انگشت دیجیتالی دستگاه

اطلاعاتی درباره سخت‌افزار دستگاه شما مانند GPU و CPU می‌تواند جمع‌آوری شود. برای فعالیت‌های حساس، از مجازی‌سازی یا دستگاه‌های یک‌بارمصرف استفاده کنید تا از ایجاد ردپای قابل‌تشخیص جلوگیری کنید.

بیومتریک رفتاری

Keystroke dynamics و دیگر بیومتریک‌های رفتاری می‌توانند شما را به‌طور منحصربه‌فرد شناسایی کنند. استفاده از کیبوردهای مجازی یا اسکریپت‌هایی برای خودکارسازی برخی از وظایف تایپی را در نظر بگیرید.

ایجاد حساب و پروفایل

استفاده از همان نام مستعار در پلتفرم‌های مختلف می‌تواند الگوهایی قابل‌پیوند ایجاد کند. از نام‌های مستعار و آدرس‌های ایمیل متفاوت برای حساب‌های مختلف استفاده کنید تا از ارتباطات بین آن‌ها جلوگیری شود.

الگوهای استفاده

زمان‌هایی که به‌صورت آنلاین فعال هستید و فرکانس ورود یا بازدیدهای شما می‌تواند الگوهایی ایجاد کند. زمان و فرکانس فعالیت‌های آنلاین خود را متنوع کنید تا از شناسایی جلوگیری کنید.

سبک نوشتن و زبان

واژگان، نحو و استفاده مکرر از عبارات خاص می‌تواند متمایز باشد. از سبک‌های نوشتاری متفاوت یا ابزارهایی مانند بازنویسی‌کننده‌ها برای تغییر متن خود استفاده کنید تا قابلیت ردیابی آن کاهش یابد.

موقعیت جغرافیایی

داده‌های GPS، سیگنال‌های Wi-Fi و بلوتوث می‌توانند مکان شما را فاش کنند. GPS، Wi-Fi و بلوتوث را زمانی که نیاز ندارید غیرفعال کنید یا از ابزارهای جعلی‌سازی مکان برای پنهان کردن موقعیت خود استفاده کنید.

اطلاعات نرم‌افزار و نسخه‌ها

ترکیب سیستم‌عامل و نسخه مرورگر شما می‌تواند منحصربه‌فرد باشد. از نسخه‌های رایج نرم‌افزار استفاده کنید و آن‌ها را به‌روز نگه دارید تا در میان جمعیت بمانید.

رسانه‌های اجتماعی و حضور آنلاین

نوع محتوایی که ارسال می‌کنید، الگوهای تعامل شما و ارتباطات شبکه‌ای شما همگی می‌توانند برای ردیابی هویت شما استفاده شوند. استفاده از رسانه‌های اجتماعی را محدود کنید، از نام‌های مستعار استفاده کنید و از اتصال حساب‌ها برای حفظ ناشناس‌بودن خودداری کنید.

حفظ یکنواختی در این اقدامات کلید اجتناب از رفع ناشناس‌بودن و حفظ بالاترین سطح امنیت است.

ممکن است نیازی به نگرانی درباره همه این رفتارها نداشته باشید؛ ببینید کدام یک برای فعالیت شما اهمیت بیشتری دارد. به‌عنوان مثال، اگر نویسنده یا افشاگر هستید، سبک نوشتاری شما ممکن است بسیار مهم‌تر از سایر موارد باشد.

ایجاد محیطی برای فعالیت‌های خود

هر هویت به یک محیط برای کارها و فعالیت‌های خود نیاز دارد و تنظیم آن محیط به‌شدت به مدل تهدید شما بستگی دارد. هر هویت و فعالیتی نیاز به حداکثر احتیاط و حریم خصوصی ندارد، اما برخی از آن‌ها ممکن است بر اساس کاری که می‌خواهید انجام دهید، به آن نیاز داشته باشند.

شما باید این تنظیمات را براساس شرایط خود تنظیم کنید، اما من مثال‌هایی از محیط‌های مختلف براساس حساسیت فعالیت‌ها ارائه خواهم داد. این‌ها ممکن است لزوماً برای وضعیت خاص شما مناسب نباشند.

فعالیت‌های با حساسیت پایین

برای فعالیت‌هایی که نیازی به سطوح بالای ناشناس بودن ندارند، مانند مرور عادی یا استفاده از رسانه‌های اجتماعی تحت یک نام مستعار، یک تنظیمات ابتدایی ممکن است کافی باشد:

• مرورگر: از یک مرورگر متمرکز بر حریم خصوصی مانند فایرفاکس با افزونه‌های حریم خصوصی مانند uBlock Origin استفاده کنید و با استفاده از Arkenfox مرورگر خود را تقویت کنید تا هم قابل‌استفاده و هم خصوصی باشد. همچنین از پروفایل‌های تقویت‌شده مختلف برای نام‌های مستعار و فعالیت‌های مختلف استفاده کنید.
• VPN: از یک سرویس VPN معتبر برای مخفی‌کردن آدرس IP خود و رمزگذاری ترافیک‌تان استفاده کنید.
• ایمیل: از خدمات ایمیل محترم به حریم خصوصی مانند ProtonMail یا Tutanota استفاده کنید.
• موتور جستجو: از DuckDuckGo یا Startpage استفاده کنید تا از ردیابی توسط موتورهای جستجوی عمومی جلوگیری کنید.
• فرانت‌اندهای دوستدار حریم خصوصی: از فرانت‌اندهای حریم خصوصی برای وبسایت‌هایی مانند YouTube، Twitter، Instagram و غیره استفاده کنید که به شما امکان مرور این وبسایت‌ها را بدون داشتن حساب کاربری یا به‌اشتراک‌گذاری داده‌های بیش از حد می‌دهند.

فعالیت‌های با حساسیت متوسط

برای فعالیت‌هایی که نیاز به ناشناس بودن متوسط دارند، مانند نگهداری از یک وبلاگ یا مشارکت در انجمن‌ها در موضوعات حساس، یک تنظیمات محتاطانه‌تر لازم است:

• مرورگر: از مرورگر Tor برای ناشناس‌ماندن و محافظت در برابر ردیابی استفاده کنید.
• VPN: VPN را با شبکه Tor ترکیب کنید برای امنیت بیشتر. این کار ممکن است پهنای باند شما را کاهش دهد، پس اگر پهنای باند مهم است، Tor با قابلیت مبهم‌سازی ممکن است کافی باشد.
• ایمیل: از خدمات ایمیل امن استفاده کنید و به آدرس‌های ایمیل یک‌بارمصرف برای ارتباطات موقتی فکر کنید.
• دستگاه: از یک دستگاه اختصاصی یا یک ماشین مجازی برای این فعالیت‌ها استفاده کنید تا از تداخل با فعالیت‌های اصلی خود جلوگیری کنید.
• ارتباطات: از اپلیکیشن‌های پیام‌رسان رمزگذاری‌شده مانند Signal یا Matrix (اگرچه امنیت Matrix به اندازه Signal نیست، ولی امکان ثبت‌نام با ایمیل و میزبانی سرور خانگی را فراهم می‌کند که ممکن است برای حریم خصوصی و ناشناس‌بودن بهتر باشد) برای ارتباطات امن استفاده کنید.

فعالیت‌های با حساسیت بالا

برای فعالیت‌هایی که به سطح بالایی از ناشناس‌بودن نیاز دارند، مانند افشاگر‌ی، روزنامه‌نگاری تحقیقی، یا فعالیت در رژیم‌های دیکتاتوری، نیاز به یک محیط با حداکثر امنیت دارید:

• سیستم‌عامل: از سیستم‌عاملی مانند Tails استفاده کنید که می‌تواند از یک USB اجرا شود و پس از استفاده هیچ اثری باقی نمی‌گذارد، یا یک ماشین مجازی رمزگذاری‌شده با سیستم‌عامل Whonix راه‌اندازی کنید.
• مرورگر: به‌طور سختگیرانه فقط از مرورگر Tor استفاده کنید و بهترین شیوه‌های استفاده از Tor را دنبال کنید.
• VPN: از یک سرویس VPN چندمرحله‌ای استفاده کنید و ترافیک خود را از طریق شبکه Tor هدایت کنید برای امنیت لایه‌لایه.
• ایمیل و ارتباطات: از خدمات ایمیل رمزگذاری‌شده، رمزگذاری PGP برای ایمیل‌ها و اپلیکیشن‌های پیام‌رسان امن مانند Signal یا Wire استفاده کنید. همچنین از خدمات ایمیل ناشناس برای محافظت بیشتر بهره ببرید.
• دستگاه: از یک دستگاه اختصاصی و امن که فقط برای این فعالیت‌های حساس استفاده می‌شود، بهره ببرید. دستگاه را به‌طور منظم پاک و فرمت کنید تا هرگونه اثر احتمالی را از بین ببرید.
• اشتراک فایل: از خدمات و ابزارهای اشتراک فایل رمزگذاری‌شده مانند OnionShare برای اشتراک فایل به‌صورت ناشناس استفاده کنید.
• حذف متاداده: همیشه متاداده‌ها را از فایل‌ها و عکس‌ها قبل از به‌اشتراک‌گذاشتن حذف کنید.
• موقعیت جغرافیایی: GPS، Wi-Fi و بلوتوث را در دستگاه خود غیرفعال کنید. از ابزارهای جعلی‌سازی مکان استفاده کنید تا مکان واقعی خود را پنهان کنید.
• امنیت عملیاتی (OPSEC): از شیوه‌های سختگیرانه OPSEC استفاده کنید، مانند اینکه هرگز از هویت واقعی خود استفاده نکنید، از پیوند دادن هویت‌های آنلاین مختلف خودداری کنید و درباره اطلاعاتی که به اشتراک می‌گذارید محتاط باشید.

ابزارهای ناشناس‌سازی

برای ناشناس ماندن آنلاین، شما نیاز به استفاده از ابزارهای مختلف بر اساس نیازها و شرایط خود دارید. هر ابزاری لزوماً ناشناس بودن شما را افزایش نمی‌دهد اگر بدون نیاز از آن استفاده شود. در اینجا برخی از ابزارهای مهم ناشناس‌سازی بر اساس عملکرد و مورد استفاده‌شان آورده شده است:

۱. مرورگرها

• مرورگر Tor

  • مورد استفاده: نیازهای ناشناس‌سازی در سطح بالا، مانند دسترسی به وب تاریک یا تحقیقات حساس.
  • ویژگی‌ها: ترافیک اینترنت شما را از طریق شبکه Tor هدایت می‌کند، آدرس IP شما را مخفی می‌کند و ترافیک‌تان را چندین بار رمزگذاری می‌کند.

• مرورگر Brave

  • مورد استفاده: مرور روزمره با تمرکز بر حریم خصوصی.
  • ویژگی‌ها: مسدودکننده تبلیغات و ردیاب‌ها به صورت داخلی، امکان استفاده از Tor برای تب‌های خصوصی.

• مرورگر فایرفاکس تقویت‌شده

  • مورد استفاده: سفارشی‌سازی بسیار و مناسب اگر اثر انگشت دیجیتالی برای شما اهمیت کمتری دارد.
  • ویژگی‌ها: قابلیت تنظیم بر اساس نیازهای شما و ارائه ویژگی‌های ضد ردیابی عالی در صورت تنظیم صحیح.

۲. VPN (شبکه خصوصی مجازی)

• ارائه‌دهندگان VPN معتبر

  • مورد استفاده: مخفی کردن آدرس IP و رمزگذاری ترافیک اینترنت شما.
  • ویژگی‌ها: سیاست‌های عدم ثبت اطلاعات، مکان‌های سرور متعدد و ویژگی‌های امنیتی اضافی مانند VPN دوگانه و سوئیچ قطع.

• VPNهای خودمیزبان

  • مورد استفاده: عالی برای عبور از سانسور، زیرا می‌توانید پروتکل‌هایی را اجرا کنید که ابهام بیشتری دارند و کمتر توسط فایروال‌ها مسدود می‌شوند.
  • ویژگی‌ها: کمک به عبور از سانسور؛ هیچ کسی جز شما نمی‌تواند داده‌هایی که از VPN عبور می‌کنند را کنترل و دسترسی داشته باشد.

۳. خدمات ایمیل

• ProtonMail

  • مورد استفاده: ارتباطات ایمیل امن و رمزگذاری‌شده.
  • ویژگی‌ها: رمزگذاری انتها به انتها، مستقر در سوئیس، پشتیبانی از رمزگذاری PGP.

• Tutanota

  • مورد استفاده: سرویس ایمیل با تمرکز بر حریم خصوصی.
  • ویژگی‌ها: رمزگذاری انتها به انتها، بدون ردیابی، رمزگذاری داخلی برای تقویم‌ها و مخاطبان.

• خدمات ایمیل یک‌بارمصرف (Guerrilla Mail, 10 Minute Mail)

  • مورد استفاده: آدرس‌های ایمیل موقت برای استفاده کوتاه‌مدت.
  • ویژگی‌ها: ارائه آدرس‌های ایمیل موقت و ناشناس که پس از یک دوره زمانی خودبه‌خود نابود می‌شوند.

۴. اپلیکیشن‌های پیام‌رسان

• Signal

  • مورد استفاده: پیام‌رسانی امن برای استفاده شخصی یا حرفه‌ای.
  • ویژگی‌ها: رمزگذاری انتها به انتها، منبع باز، پیام‌های خودتخریب‌شونده.

• Briar

  • مورد استفاده: پیام‌رسانی رمزگذاری‌شده و مقاوم در برابر سانسور از طریق بلوتوث، Wi-Fi، Tor، با حریم خصوصی داخلی.
  • ویژگی‌ها: مناسب برای ارتباطات امن در مکان‌هایی که اینترنت وجود ندارد یا سانسور شدید وجود دارد.

۵. سیستم‌عامل‌ها

• Tails

  • مورد استفاده: نیازهای امنیتی بالا، مانند افشاگر‌ی یا روزنامه‌نگاری حساس.
  • ویژگی‌ها: سیستم‌عامل زنده که از روی USB اجرا می‌شود، هیچ اثری باقی نمی‌گذارد، همه ترافیک را از طریق Tor هدایت می‌کند.

• Qubes OS

  • مورد استفاده: محاسبات امن و بخش‌بندی‌شده.
  • ویژگی‌ها: از مجازی‌سازی برای ایجاد محیط‌های جداگانه برای وظایف مختلف استفاده می‌کند و خطر نفوذ را کاهش می‌دهد.

• Whonix OS

  • مورد استفاده: سیستم‌عاملی با تمرکز بر امنیت که برای اطمینان از ناشناس‌سازی و حریم خصوصی حداکثری طراحی شده است. می‌توان آن را همراه با Qubes OS برای امنیت بیشتر و جداسازی استفاده کرد.
  • ویژگی‌ها: از مجازی‌سازی برای ایجاد محیط‌های جداگانه برای وظایف مختلف استفاده می‌کند و خطر نفوذ را کاهش می‌دهد.

۶. اشتراک‌گذاری و ذخیره‌سازی فایل

• OnionShare

  • مورد استفاده: اشتراک‌گذاری امن فایل‌ها به صورت ناشناس.
  • ویژگی‌ها: از Tor برای ایجاد یک سرور فایل موقت و ناشناس استفاده می‌کند.

• ProtonDrive

  • مورد استفاده: ذخیره‌سازی ابری رمزگذاری‌شده.
  • ویژگی‌ها: رمزگذاری انتها به انتها، ادغام با ProtonMail برای اشتراک‌گذاری فایل امن.

۷. ابزارهای حذف متاداده

• ExifTool
  • مورد استفاده: حذف متاداده از فایل‌ها قبل از اشتراک‌گذاری.
  • ویژگی‌ها: ابزار خط فرمان برای مشاهده، ویرایش و حذف متاداده از انواع فایل‌ها.

۸. موتورهای جستجو

• DuckDuckGo

  • مورد استفاده: جستجوهای وب با تمرکز بر حریم خصوصی.
  • ویژگی‌ها: سابقه جستجو را ردیابی نمی‌کند، اطلاعات کاربر را ناشناس می‌کند.

• Startpage

  • مورد استفاده: جستجوهای وب ناشناس با استفاده از نتایج گوگل.
  • ویژگی‌ها: بدون ردیابی، ناشناس‌سازی IP، جستجوهای خصوصی.

۹. امنیت دستگاه و شبکه

• تصادفی‌سازی آدرس MAC

  • مورد استفاده: جلوگیری از ردیابی دستگاه فیزیکی شما.
  • ویژگی‌ها: آدرس MAC دستگاه شما را تغییر می‌دهد تا از شناسایی در شبکه‌ها جلوگیری کند.

• احتیاط در Wi-Fi عمومی

  • مورد استفاده: کاهش خطر هنگام استفاده از Wi-Fi عمومی.
  • ویژگی‌ها: همیشه از VPN استفاده کنید، از دسترسی به حساب‌های حساس خودداری کنید و به استفاده از روتر مسافرتی برای امنیت بیشتر فکر کنید.

۱۰. ابزارهای ناشناس‌سازی رفتاری

• تصادفی‌سازهای تایپ و کیبوردهای مجازی

  • مورد استفاده: جلوگیری از شناسایی از طریق الگوهای تایپ.
  • ویژگی‌ها: الگوهای تایپ را تصادفی‌سازی می‌کند یا از کیبوردهای روی‌صفحه برای جلوگیری از ردیابی استفاده می‌کند.

• ناشناس‌کننده‌های حرکت ماوس

  • مورد استفاده: مخفی‌کردن الگوهای حرکت ماوس.
  • ویژگی‌ها: ابزارهایی که حرکات ماوس را استاندارد یا تصادفی می‌کنند.

همه این ابزارها لازم نیستند و یا تضمین نمی‌کنند که همیشه مؤثر بمانند. دنیای آنلاین همیشه در حال تغییر است، بنابراین همیشه تحقیق کنید و خود را درباره اخبار حریم خصوصی و امنیت و ابزارهای جدید به‌روز نگه دارید. این شرکت‌ها ممکن است در طول زمان سیاست‌ها یا اثربخشی خود را تغییر دهند. اگر این کتاب را سال‌ها بعد می‌خوانید، تحقیقاتی انجام دهید، اما مفاهیم باید همچنان پابرجا باشند، حتی اگر نام ابزارها تغییر کرده باشد.

خرید ناشناس

گاهی اوقات برای فعالیت‌هایتان نیاز به خریدهای ناشناس آنلاین دارید؛ مانند خرید یک VPS (سرور مجازی خصوصی) برای میزبانی VPN خود یا ذخیره‌سازی ابری، یا شاید بخواهید یک شماره VOIP به‌صورت ناشناس برای ثبت‌نام در Signal یا توییتر بخرید، یا هزینه سرویس VPN خود را پرداخت کنید. در این موارد، نمی‌توانید با PayPal یا کارت‌های اعتباری یا نقدی پرداخت کنید، زیرا به راحتی قابل ردیابی هستند. همچنین نمی‌توانید با اکثر ارزهای دیجیتال پرداخت کنید، زیرا حتی بدتر از فیات و PayPal هستند. برای PayPal و کارت‌های اعتباری نیاز به حکم دادگاه یا مجوز برای دیدن اطلاعات پرداخت است، اما برای بیت‌کوین، همه چیز شفاف است؛ هر کسی می‌تواند ببیند پول از کجا آمده و به کجا رفته است. اکثر ارزهای دیجیتال محبوب به همین صورت هستند. آدرس بیت‌کوین شما مستقیماً به نام شما مرتبط نیست، اما شما باید آن را از یک صرافی خریداری کنید یا کسی به شما مقداری بیت‌کوین ارسال کند و در لحظه‌ای که ارز دیجیتال خود را خرج می‌کنید، مشخص می‌شود که متعلق به چه کسی بوده است. روش‌هایی مانند coin mixing وجود دارد، که در بیشتر کشورها قانونی نیست زیرا شما سکه‌های خود را با سکه‌های دیگران مخلوط می‌کنید.

اما ارزهای دیجیتالی وجود دارند که برای ناشناس‌سازی طراحی شده‌اند، مانند Monero یا Zcash (به عنوان دو مورد از محبوب‌ترین کوین‌های حریم خصوصی در بازار). در ادامه نحوه کار آنها آورده شده است:

Monero (XMR):

نحوه کار:

1. آدرس‌های مخفی: Monero از آدرس‌های مخفی برای اطمینان از اینکه تراکنش‌ها به گیرنده قابل ردیابی نیستند استفاده می‌کند. برای هر تراکنش یک آدرس یک‌بار مصرف ایجاد می‌شود که آدرس واقعی گیرنده را پنهان می‌کند.

2. امضاهای حلقه‌ای: این تکنیک رمزنگاری اجازه می‌دهد گروهی از کاربران یک تراکنش را امضا کنند بدون اینکه مشخص شود کدام عضو گروه امضای واقعی را انجام داده است. در یک تراکنش Monero، چندین منبع احتمالی وجه در تراکنش گنجانده می‌شود، که باعث می‌شود منبع واقعی ارسال وجه نامشخص باشد.

3. تراکنش‌های محرمانه حلقه‌ای (RingCT): این ویژگی مقدار تراکنش را پنهان می‌کند. RingCT تضمین می‌کند که مقادیر در یک تراکنش از دید هر کسی غیر از طرف‌های درگیر پنهان است، و از افشای میزان پول ارسال‌شده جلوگیری می‌کند.

4. پروژه Kovri: Monero برنامه دارد تا پروژه Kovri را ادغام کند، که تراکنش‌ها را از طریق گره‌های I2P (پروژه اینترنت نامرئی) مسیریابی و رمزگذاری می‌کند و متاداده تراکنش، مانند آدرس‌های IP، را بیشتر پنهان می‌کند.

چرا ناشناس است:

• آدرس‌های مخفی: آدرس‌های مخفی تضمین می‌کنند که تنها فرستنده و گیرنده از محل ارسال وجه آگاه هستند.
• مخفی بودن مقادیر تراکنش‌ها: RingCT مقدار هر تراکنش را پنهان می‌کند.
• تراکنش‌های غیرقابل ردیابی: امضاهای حلقه‌ای امکان ردیابی منبع واقعی وجه را غیرممکن می‌سازد.
• لایه اضافی حریم خصوصی: پروژه Kovri لایه‌ای اضافی از ناشناس‌سازی را با پنهان کردن مبدأ تراکنش‌ها از طریق I2P اضافه می‌کند.

Zcash (ZEC):

نحوه کار:

1. اثبات‌های بدون دانش (zk-SNARKs): Zcash از شکلی از اثبات‌های بدون دانش به نام zk-SNARKs (اثبات‌های بدون دانش فشرده و غیرتعامل) برای امکان تراکنش‌های کاملاً ناشناس استفاده می‌کند. این اثبات‌ها به یک طرف اجازه می‌دهند به طرف دیگر ثابت کنند که یک گزاره صحیح است بدون اینکه هیچ اطلاعاتی فراتر از صحت گزاره فاش شود.

2. آدرس‌های محافظت‌شده: Zcash دو نوع آدرس ارائه می‌دهد: آدرس‌های شفاف (t-addresses) و آدرس‌های محافظت‌شده (z-addresses). تراکنش‌ها بین آدرس‌های محافظت‌شده کاملاً خصوصی هستند و فرستنده، گیرنده و مقدار تراکنش را فاش نمی‌کنند.

3. افشای انتخابی: کاربران می‌توانند جزئیات تراکنش را به اشخاص ثالث (مثلاً برای اهداف حسابرسی) افشا کنند در حالی که بقیه شبکه از آن بی‌اطلاع است.

چرا ناشناس است:

• تراکنش‌های خصوصی: zk-SNARKs امکان تأیید تراکنش‌ها را بدون افشای جزئیات تراکنش فراهم می‌کنند.
• تراکنش‌های محافظت‌شده: تراکنش‌ها بین آدرس‌های محافظت‌شده فرستنده، گیرنده و مقدار تراکنش را مخفی می‌کنند.
• انعطاف‌پذیری: کاربران می‌توانند هنگام نیاز به ناشناس بودن از تراکنش‌های محافظت‌شده استفاده کنند.
• شفافیت انتخابی: کاربران می‌توانند در صورت لزوم جزئیات تراکنش را افشا کنند بدون اینکه حریم خصوصی کلی را به خطر بیندازند.

با وجود اینکه ارزهای حریم خصوصی بیشتری وجود دارند، پذیرش آنها به‌عنوان روش‌های پرداخت ممکن است محدود باشد. استفاده از ارزهای حریم خصوصی برای خریدهای آنلاین می‌تواند نسبت به ارزهای دیجیتال معروف‌تر محدودتر باشد.

روش پرداخت دیگر پول نقد است. پول نقد به اندازه Monero خصوصی است؛ می‌توان گفت Monero معادل نقدی ارزهای دیجیتال است. تراکنش‌های نقدی به اطلاعات شخصی نیاز ندارند و هیچ راهی برای ردیابی آنها به شما وجود ندارد. همچنین، نقد تقریباً در همه جا پذیرفته می‌شود. برخی وب‌سایت‌ها مانند MallwadVPN به شما اجازه می‌دهند که پول نقد برای VPN ارسال کنید.

همچنین می‌توانید کارت‌های پیش‌پرداخت را با پول نقد برای خریدهای آنلاین دریافت کنید. این کار باعث نمی‌شود که کارت‌ها به هویت شما مرتبط شوند، اگر بدون ارائه اطلاعات شخصی خریداری شوند.

اینها برخی از نقاط شروع برای شروع یک زندگی ناشناس بودند؛ طبیعتاً این موضوع بسیار عمیق‌تر از اینها است. این وضعیت شیوه زندگی، ارتباطات، و همه چیز شما را تغییر می‌دهد. فصل بعدی در مورد مهارت‌هایی خواهد بود که باید برای حفظ این ناشناس‌سازی و حریم خصوصی یاد بگیرید و پیشرفت کنید.

فصل ۸

حفظ حریم خصوصی، امنیت و ناشناس بودن نیازمند مهارت‌ها، صبر، تعهد و زمان زیادی است. این کتاب قرار است نقطه شروعی برای افرادی باشد که به این سفر حریم خصوصی نیاز دارند، نه اینکه یک راهنمای کامل باشد، زیرا چنین چیزی هرگز وجود نداشته و نخواهد داشت. بیشتر اوقات، شما باید تحقیقات خودتان را انجام دهید، برنامه‌هایی را به‌طور اختصاصی تنظیم کنید، سیستم‌ها را پیکربندی کنید تا آن‌ها را برای خودتان شخصی سازی کنید، و همیشه منابع آموزشی موجود نیستند. شما باید از طریق آزمایش و خطا و بازی با چیزهای مختلف یاد بگیرید. هرچه دانش خود را در حوزه‌های مختلف گسترش دهید، بیشتر می‌توانید آن‌ها را ترکیب کرده و راه‌حل‌های جدیدی برای مشکلات پیدا کنید، و این موضوع فقط به حریم خصوصی یا امنیت محدود نمی‌شود.

سفر شما متفاوت از سفر دیگران خواهد بود. چیزی که برای شما کار می‌کند، ممکن است برای دیگران کار نکند؛ شما ممکن است به مهارت‌های متفاوتی نسبت به دیگران نیاز داشته باشید. چیزی که امروز مؤثر است، ممکن است فردا نباشد؛ چیزی که امروز خوب است، ممکن است فردا شرور شود. یک چیز که در سفر حریم خصوصی ثابت می‌ماند، نیاز به تطبیق است، زیرا دنیا هرگز تغییر را متوقف نمی‌کند و حریم خصوصی و امنیت نیز بخشی از آن است. ممکن است روزی بیشتر چیزهایی که در این کتاب آمده‌اند، قدیمی شوند، و این مشکلی ندارد اگر شما به وضعیت جدید تطبیق دهید و سعی کنید راهبردها و راه‌حل‌های جدیدی پیدا کنید.

حریم خصوصی و امنیت مقصد نیستند که به آن‌ها برسید؛ آن‌ها جاده و خود سفر هستند. شاید شما حتی نخواهید ۱۰۰٪ ایمن یا مخفی باشید، حتی اگر ممکن بود (که نیست و نخواهد بود). بهترین کاری که می‌توانید انجام دهید، پیدا کردن یک تعادل بین بی‌تفاوتی و ترس و پارانویا مزمن است. هرچه بیشتر بیاموزید و دانش خود را گسترش دهید، شاید آسان‌تر باشد که به این تعادل برسید، زیرا آگاهی بیشتری از تهدیدات دارید و روش‌های بیشتری برای محافظت از خودتان می‌دانید. کلید اصلی، هوشیار ماندن، پایداری و ادامه دادن به یادگیری و تطبیق با تغییرات است.

در این فصل که فصل آخر است، من به برخی از مهارت‌هایی می‌پردازم که آن‌ها را مهم می‌دانم، اما آن‌ها همه چیز نیستند. مهارت‌های بیشتری وجود دارد، ابزارهای بیشتری وجود دارد، تکنیک‌های بیشتری وجود دارد که ممکن است آن‌ها را مفید بدانید. من سعی کردم موارد را به‌گونه‌ای کلی بیان کنم تا بیشتر افراد بتوانند از آن‌ها استفاده کنند، اما هر وضعیت منحصر به فرد نیاز به راه‌حل‌های منحصر به فرد دارد.

اتخاذ طرز فکر هکرها

هکرها به وسیله کنجکاوی هدایت می‌شوند؛ آن‌ها می‌خواهند بدانند که چیزها چگونه کار می‌کنند، مهم نیست که موضوع چه باشد—even if it’s not computer-related. این کنجکاوی شامل یادگیری مداوم و به‌روز ماندن با تغییرات جهان است.

هکرها همچنین در حل مشکلات مهارت دارند و خلاق هستند. آن‌ها از یافتن راه‌حل‌های غیرمرسوم برای مشکلات لذت می‌برند و خلاقیت آن‌ها به آن‌ها اجازه می‌دهد تا امکانات و ارتباطاتی را ببینند که دیگران ممکن است متوجه آن‌ها نشوند.

هکرها مداوم و صبور هستند و حاضرند ساعت‌ها، روزها یا حتی ماه‌ها روی یک مشکل کار کنند تا آن را حل کنند.

آن‌ها به جزئیات کوچک توجه زیادی دارند و به عناصری که دیگران ممکن است نادیده بگیرند دقت می‌کنند، که این به آن‌ها اجازه می‌دهد تا آسیب‌پذیری‌ها را شناسایی کرده و به‌طور مؤثر از آن‌ها بهره‌برداری کنند.

آن‌ها همواره محدودیت‌های سیستم‌ها را آزمایش می‌کنند و این محدودیت‌ها را برای کشف اینکه چه چیزی ممکن است، فشار می‌دهند.

مهم‌تر از همه، هکرها در جامعه‌های خود همکاری می‌کنند و دانش، ابزارها و تکنیک‌ها را به اشتراک می‌گذارند. چنین جوامعی به آن‌ها اجازه می‌دهد تا بر روی کارها و ایده‌های یکدیگر بنا کنند.

هکرها از خطرات فعالیت‌های خود آگاه هستند و سعی می‌کنند این خطرات را مدیریت کنند و بین پاداش‌های بالقوه و پیامدهای احتمالی تعادل برقرار کنند.

آن‌ها متفکرانی انعطاف‌پذیر هستند که می‌توانند در پاسخ به اطلاعات یا شرایط جدید، استراتژی‌های خود را تنظیم کنند.

این طرز فکر هکر به شما کمک می‌کند که بفهمید سیستم‌ها چگونه کار می‌کنند، نقص‌های بالقوه در امنیت و حریم خصوصی را شناسایی کنید و سیستم‌ها را بررسی و آزمایش کنید تا آسیب‌پذیری‌ها و راه‌های جدیدی برای محافظت پیدا کنید.

فکر کردن خارج از چارچوب به شما راه‌حل‌های خلاقانه برای چالش‌های حریم خصوصی و امنیت ارائه می‌دهد. توانایی تطبیق استراتژی‌ها و توسعه تکنیک‌های جدید به شما کمک می‌کند تا در برابر تهدیدات جدید از خود محافظت کنید.

توجه دقیق به جزئیات به شما اطمینان می‌دهد که بررسی‌های امنیتی دقیق انجام می‌شود و اقدامات حریم خصوصی به درستی اجرا می‌شوند. با شناسایی آسیب‌پذیری‌های کوچک و نادیده‌گرفته‌شده که می‌توانند حریم خصوصی یا امنیت را به خطر بیندازند.

آزمایش مداوم و ارزیابی سیستم‌ها به شما کمک می‌کند تا آسیب‌پذیری‌های پنهانی را که از آن‌ها آگاهی نداشتید، پیدا کنید. بهبود مداوم که با آزمایش پیوسته همراه است، به مرور زمان اقدامات امنیتی و حریم خصوصی شما را ارتقا خواهد داد.

ارزیابی ریسک به شما کمک می‌کند تا پیامدهای بالقوه را درک کنید و محافظت‌های مؤثرتری را پیاده‌سازی کنید.

مهارت‌های تحقیق

تحقیق به نظر من بخش بزرگی از یادگیری است. شما نمی‌توانید اطلاعات درستی درباره یک موضوع جمع‌آوری کنید اگر نتوانید به‌درستی در آن زمینه تحقیق کنید. اگر بتوانید به طور مؤثر از منابع معتبر تحقیق کنید، اطلاعات مرتبط را استخراج کرده و آن دانش را ترکیب کنید تا به درک برسید، این مهارت نه‌تنها در مسیر حریم خصوصی و امنیت به شما کمک می‌کند، بلکه در هر زمینه دیگری نیز مفید خواهد بود.

استفاده مؤثر از موتورهای جستجو

موتورهای جستجو مانند گوگل می‌توانند نه‌تنها در تحقیقات شما درباره حریم خصوصی و امنیت کمک کنند، بلکه می‌توانید از آن‌ها برای جستجو درباره خودتان نیز استفاده کنید. اگر بتوانید از آن‌ها به‌طور مؤثر استفاده کنید، می‌توانید ببینید چه اطلاعاتی از شما در آن‌ها ایندکس شده است. این کار با یادگیری اپراتورهای پیشرفته جستجو مانند site:، inurl:، intitle: و استفاده از عملگرهای بولین (AND، OR، NOT) برای فیلتر کردن نتایج جستجو ممکن است.

همچنین، امروزه بیشتر موتورهای جستجو نوعی هوش مصنوعی هستند، بنابراین یادگیری مهندسی درخواست (prompt engineering) نیز می‌تواند بسیار مفید باشد.

بررسی منابع

بررسی اعتبار وب‌سایت‌ها و نویسندگان یک مقاله یا اطلاعات و جستجوی منابع معتبر که سابقه خوبی در دقت و اعتبار دارند می‌تواند شما را از جمع‌آوری اطلاعات نادرست یا نادقیق درباره یک موضوع نجات دهد.

برای تأیید اطلاعات، یکی از کارهایی که می‌توانید انجام دهید این است که اطلاعات را با چندین منبع مختلف مقایسه کنید تا از ثبات و دقت آن‌ها در منابع مختلف اطمینان حاصل کنید.

پایگاه‌های اطلاعات علمی

همچنین می‌توانید از پایگاه‌های اطلاعاتی مانند Google Scholar، JSTOR و IEEE Xplore برای یافتن مقالات بازبینی شده در زمینه حریم خصوصی و امنیت استفاده کنید. و اگر آن را اخلاقی می‌دانید، در صورت نیاز مقالات را به صورت غیرقانونی دریافت کنید (من این کار را اخلاقی می‌دانم؛ دانش و علم نباید پشت دیوارهای پرداخت باشد، زیرا این‌ها جامعه‌ها را به جلو می‌برد).

دنبال کردن وب‌سایت‌های خبری فناوری

برای اینکه ببینید چه اتفاقاتی در جهان می‌افتد، وب‌سایت‌های خبری معتبر فناوری را دنبال کنید. همچنین، دنبال کردن بلاگ‌های امنیتی با نویسندگان معتبر می‌تواند بسیار مفید باشد. شما می‌توانید فید Hacker News (Y Combinator) را با کلمات کلیدی مرتبط با حریم خصوصی، امنیت، ناشناسی، و ابزارهایی مانند Tor، PGP و غیره دنبال کنید تا مقالات جدید را از نویسندگان معتبر و با اطلاعات دقیق و جزئیات دریافت کنید. همچنین می‌توانید در فروم‌ها و گروه‌های چت اختصاصی حریم خصوصی و امنیت عضو شوید، برای مثال، رِدیت r/privacy یا گروه چت ماتریکس Privacy Guides و PrivSec یا Techlore و Surveillance Report در یوتیوب.

جمع‌آوری و سازماندهی اطلاعات

وقتی در مورد یک موضوع تحقیق می‌کنید، سعی کنید ابتدا اطلاعات را جمع‌آوری کنید، سپس آن را بررسی کنید، دوباره چک کنید و آن را سازماندهی کنید. اگر دانش جدیدی کسب کرده‌اید، اشتراک‌گذاری آن با دیگران می‌تواند تغییر مثبتی ایجاد کند.

مهارت‌های مدیریت داده

توانایی مدیریت داده‌ها و اطلاعاتی که به اشتراک می‌گذارید یا ذخیره می‌کنید یکی از بزرگترین مهارت‌های لازم برای حفظ حریم خصوصی، ناشناسی و اجرای OPSEC خوب است. این شامل روش‌ها و استراتژی‌هایی برای محافظت از اطلاعات شخصی در برابر دسترسی غیرمجاز، سوءاستفاده یا نقض امنیت است. مدیریت موثر داده برای حفظ حریم خصوصی و امنیت داده‌ها ضروری است. در اینجا تعدادی از مهارت‌های کلیدی برای مدیریت داده آورده شده است:

1. حداقل‌سازی داده‌ها: تنها داده‌های ضروری را به اشتراک بگذارید، جمع‌آوری کنید، پردازش کنید و ذخیره کنید. از ارائه اطلاعات شخصی غیرضروری اجتناب کنید و از خدماتی استفاده کنید که حداقل داده‌ها را نیاز دارند. فقط اطلاعات ضروری را به اشتراک بگذارید و از اشتراک‌گذاری بیش از حد خودداری کنید.

2. رمزگذاری: داده‌های ذخیره‌شده در دستگاه‌ها یا سرورها را رمزگذاری کنید. داده‌های در حال انتقال را رمزگذاری کنید تا از اطلاعات حین جابجایی در شبکه‌ها محافظت کنید. از رمزگذاری انتها به انتها استفاده کنید تا فقط کاربران ارتباطات بتوانند پیام‌ها را بخوانند.

3. کنترل دسترسی و احراز هویت: از سیستم‌های احراز هویت چندمرحله‌ای استفاده کنید تا از دسترسی غیرمجاز به داده‌ها جلوگیری کنید و از کنترل دسترسی مبتنی بر نقش (RBAC) برای محدود کردن دسترسی به داده‌ها بر اساس نقش‌های کاربر استفاده کنید (مناسب برای جداسازی هویت‌ها و کاربران در یک دستگاه).

4. سیاست‌های حفظ داده‌ها: مشخص کنید که داده‌ها چه مدت باید نگهداری شوند و چه زمانی باید حذف شوند. برای مثال، ممکن است بخواهید کوکی‌های مرورگر خود را هر روز پاک کنید و گزارش‌های سرور خود را هر هفته. این بستگی به نیازهای شما دارد. سیستم‌ها را طوری پیکربندی کنید که داده‌ها را پس از یک دوره زمانی خاص حذف کنند و به صورت دوره‌ای داده‌های غیرضروری را بررسی و حذف کنید.

5. مدیریت متادیتا: متادیتا می‌تواند اطلاعاتی درباره خود داده‌ها فاش کند، مانند تاریخ ایجاد، نویسنده، یا مکان. همیشه متادیتا را از فایل‌ها قبل از به اشتراک‌گذاری حذف کنید.

6. پشتیبان‌گیری و بازیابی: اطمینان حاصل کنید که پشتیبان‌ها رمزگذاری شده‌اند تا از دسترسی غیرمجاز به داده‌ها جلوگیری شود. به طور منظم پشتیبان‌گیری کنید و از یک استراتژی پشتیبان‌گیری خوب پیروی کنید (که در فصل 5 توضیح داده شده است).

این‌ها برخی از مهارت‌ها و روش‌های مدیریت داده هستند. موارد بسیار بیشتری وجود دارد و شما می‌توانید روش‌های جدیدی را پیدا کرده یا خودتان ایجاد کنید.

مهارت‌های فنی

حصول و حفظ حریم خصوصی و امنیت نیازمند مهارت‌های فنی زیادی است، از برنامه‌نویسی گرفته تا درک شبکه‌ها، سیستم‌عامل‌ها، رمزگذاری و غیره.

بنابراین باید مشخص باشد که شما هر روز باید مهارت‌های فنی خود را یاد بگیرید یا بهبود دهید. من به برخی مهارت‌های پایه برای شروع اشاره خواهم کرد تا شما را در مسیر یادگیری همراهی کند:

رمزگذاری

رمزگذاری بخش جدایی‌ناپذیر از حریم خصوصی، امنیت و ناشناسی است؛ این زنجیری است که این سه مورد را به هم متصل می‌کند. بدون رمزگذاری نمی‌توان امنیت را در اینترنت حفظ کرد. درک دقیق رمزگذاری ضروری است، زیرا به راحتی می‌تواند به دلیل پیچیدگی‌های حملات ریاضی به الگوریتم‌های رمزگذاری اشتباه شود. شما نیازی به تبدیل شدن به یک رمزنگار یا تحلیل‌گر رمزنگاری ندارید؛ تنها داشتن یک درک پایه کافی است.

ممکن است بخواهید در مورد الگوریتم‌های مختلف، نحوه عملکرد آن‌ها، چه حملاتی می‌تواند اطلاعات رمزگذاری شده را هدف قرار دهد، کدام الگوریتم‌ها ایمن نیستند، چه پیاده‌سازی‌هایی از یک الگوریتم معتبر و بررسی شده هستند و کدام طرح‌ها برای نیازهای رمزگذاری شما مناسب هستند، اطلاعات بیشتری کسب کنید.

یک دوره عالی برای شروع در مورد رمزگذاری، دوره "Introduction to Cryptography by Christof Paar" است که می‌تواند به شما در درک عمیق الگوریتم‌های رمزنگاری کمک زیادی کند. این دوره به صورت رایگان در یوتیوب موجود است. اگر رایگان نبود، می‌توانید با جستجو در جاهای دیگر آن را پیدا کنید.

داشتن درک عمیق از رمزگذاری به شما در درک سایر ابزارها مانند شبکه تور، VPN‌ها، دستگاه‌های احراز هویت چندعاملی و موارد دیگر نیز کمک خواهد کرد.

شبکه‌ها

همه داده‌های شما هر ثانیه از طریق شبکه‌های کامپیوتری منتقل می‌شوند. دانستن نحوه کارکرد و عملکرد این شبکه‌ها برای جلوگیری از حملات، نشت اطلاعات و موارد دیگر ضروری است. باید بدانید هنگامی که شبکه خود را از طریق VPN یا تور تونل می‌زنید، چه اتفاقی می‌افتد. شما باید بتوانید آن‌ها را برای نشتی‌های احتمالی بررسی کنید، دیوار آتش (فایروال) تنظیم کنید، از دسترسی غیرمجاز به داده‌ها جلوگیری کنید و شبکه خود را برای امنیت و حریم خصوصی بهتر پیکربندی کنید.

دوره‌های زیادی از سطح مبتدی تا پیشرفته در زمینه شبکه‌های کامپیوتری وجود دارد که می‌توانید از آن‌ها استفاده کنید. همان‌طور که قبلاً اشاره کردم، اگر نمی‌توانید آن‌ها را بخرید، به سراغ نسخه‌های رایگان یا کرک شده بروید. منابع رایگان زیادی وجود دارد. چیزی که اهمیت دارد یادگیری و درک این موضوعات است. بخش عمده‌ای از آن نیز از تجربه و تمرین در زندگی واقعی به دست خواهد آمد.

برنامه‌نویسی

برای خودکار کردن وظایف مانند پشتیبان‌گیری، ایجاد ابزارهایی برای نیازهای خاص خود، یا بررسی کدهای منبع برنامه‌های دیگر، باید برخی از زبان‌های برنامه‌نویسی را یاد بگیرید. یادگیری یک زبان اسکریپت مانند پایتون یا اسکریپت‌نویسی Bash (به‌ویژه برای کاربران لینوکس) و یک زبان سیستم‌سطح مانند Rust (که ویژگی‌های ایمنی داخلی دارد) بیش از حد کافی خواهد بود.

منابع آموزشی زیادی، بسیاری از آن‌ها با کیفیت بالا و رایگان، برای یادگیری برنامه‌نویسی وجود دارد که می‌توانید از آن‌ها استفاده کنید. یادگیری برنامه‌نویسی کار شما را بسیار ساده‌تر خواهد کرد زیرا می‌توانید وظایف تکراری را خودکار کرده یا ابزارهایی ایجاد کنید که هنوز وجود ندارند. همچنین حتماً اصول کدنویسی امن را در هنگام یادگیری به‌کار ببرید.

سیستم‌عامل‌ها

داشتن درک عمیق از سیستم‌عاملی که از آن استفاده می‌کنید برای دستیابی به حریم خصوصی و امنیت بسیار مهم است. به‌ویژه یادگیری و درک لینوکس، زیرا لینوکس رایگان و متن‌باز است، به خوبی بررسی شده و در مقایسه با ویندوز کمتر دارای حفره‌های امنیتی روز-صفر است. لینوکس می‌تواند به شدت قابل سفارشی‌سازی باشد، می‌توانید آن را دقیقاً مطابق با خواسته‌های خود تنظیم کنید.

مجازی‌سازی و کانتینر

یادگیری نحوه عملکرد سیستم‌های مجازی‌سازی و ابزارهای کانتینر به شما کمک زیادی در جدا کردن هویت‌های مختلف، جدا کردن وظایف و جلوگیری از اجرای کدهای مخرب در سیستم اصلی خواهد کرد.

این‌ها تنها بخشی از مهارت‌های مورد نیاز هستند، هر چیزی که یاد بگیرید به کارتان خواهد آمد.

جوامع

ما انسان‌ها برای کار در جوامع ساخته شده‌ایم؛ با هم کار کردن، کمک کردن به یکدیگر و ساختن بر اساس کارهای دیگران. بنابراین، داشتن یک جامعه در شروع مسیر مهم است تا بتوانید سؤالات خود را بپرسید، کمک بگیرید و اگر توانایی‌اش را دارید، کمک کنید.

جوامع متمرکز بر حریم خصوصی زیادی وجود دارد، مانند PrivacyGuides، PrivSec، Techlore و بسیاری دیگر.

اگر فکر می‌کنید باید خودتان را از اینترنت پاک کنید

گاهی اوقات، ممکن است پارانویا بر شما غلبه کند و فکر کنید باید خودتان را از وجود در اینترنت پاک کنید و این مسئله طبیعی و در بیشتر مواقع منطقی است.

اولین قدم در این وضعیت این است که آرام باشید و وحشت نکنید. وحشت منجر به تفکر غیرمنطقی و قضاوت نادرست می‌شود.

این تمام آن چیزی بود که برای این کتاب داشتم. همان‌طور که در مقدمه گفتم، امید من این است که این کتاب بتواند به افرادی کمک کند که به دنبال ایجاد تغییرات مثبت در جهان هستند و نیاز دارند درباره حفظ حریم خصوصی خود نگران شوند.

پیوست A

VPNها و ناشناسی

1. VPN

رمزگذاری ترافیک:

• پروتکل‌ها: VPN‌ها از پروتکل‌های رمزگذاری مانند OpenVPN، IKEv2/IPsec و WireGuard استفاده می‌کنند. این پروتکل‌ها شامل:
  • AES-256-CBC یا AES-256-GCM برای رمزگذاری متقارن.
  • RSA-2048 برای تبادل کلیدهای نامتقارن.

ماسک کردن IP: VPNها آدرس IP کاربر را با آدرس IP سرور VPN جایگزین می‌کنند. این فرایند باعث ناشناسی کاربر نمی‌شود بلکه صرفاً IP از دید ارائه‌دهنده خدمات اینترنت (ISP) به VPN منتقل می‌شود.

سیاست‌های ثبت لاگ:

• ادعای عدم ثبت لاگ: ارائه‌دهندگانی مانند Mullvad و ProtonVPN ادعا می‌کنند که اطلاعات کاربران را ثبت نمی‌کنند. اعتبار این ادعاها بستگی به بررسی‌های مستقل و پرونده‌های دادگاهی دارد.
• افشای داده‌ها: اگر اطلاعاتی مانند زمان‌های اتصال، آدرس‌های IP و داده‌های استفاده ثبت شود، ارائه‌دهندگان VPN ممکن است مجبور به ارائه این داده‌ها به مقامات شوند.

تحلیل ترافیک:

• حملات همبستگی: با تحلیل الگوهای ترافیک، زمان و حجم آن، امکان مرتبط کردن ترافیک VPN با کاربران خاص وجود دارد، حتی در صورت استفاده از رمزگذاری.

اثر انگشت دیجیتالی:

• اثر انگشت مرورگر/سیستم‌عامل: VPN‌ها از کاربران در برابر اثر انگشت دیجیتالی محافظت نمی‌کنند. اطلاعاتی مانند عامل کاربر، وضوح صفحه‌نمایش، و ویژگی‌های دستگاه می‌تواند برای شناسایی کاربران استفاده شود.

2. شبکه تور (Tor Network)

مسیریابی پیازی:

• لایه‌های رمزگذاری: داده‌ها در شبکه تور با سه لایه رمزگذاری محافظت می‌شود. هر رله تور یک لایه رمزگذاری را حذف می‌کند که باعث می‌شود داده‌ها فقط در نقطه خروج نهایی رمزگشایی شوند:
  • لایه ۱: داده بین کاربر و اولین رله رمزگذاری شده است.
  • لایه ۲: داده بین رله‌های میانی رمزگذاری می‌شود.
  • لایه ۳: داده تا رسیدن به نود خروجی رمزگذاری شده باقی می‌ماند.

نود خروجی:

• مشاهده داده‌ها: نود خروجی لایه آخر رمزگذاری را برداشته و داده‌های بدون رمز را می‌بیند، اما نمی‌تواند آدرس IP اصلی را مشاهده کند. برای ردیابی آدرس IP اصلی باید کنترل تمامی رله‌ها به دست آید که از لحاظ عملی و تئوری بسیار پرهزینه و سخت است.

رمزگذاری انتها به انتها:

• سایت‌های .onion: از رمزنگاری منحنی بیضوی (ECC) با جفت کلید عمومی و خصوصی برای رمزگذاری انتها به انتها استفاده می‌کنند.

3. جایگزین‌ها

I2P:

• مسیریابی: از مسیریابی سیرپیاز مشابه مسیریابی پیازی استفاده می‌کند، اما بسته‌ها را به صورت محصور شده ارسال می‌کند.
• تعداد نودها: تعداد نودهای کمتری نسبت به تور دارد که آن را کمتر مقاوم در برابر حملات می‌کند.

Lokinet:

• توپولوژی شبکه: از جدول هش توزیع شده (DHT) برای کشف نودها و مسیریابی استفاده می‌کند.
• محدودیت‌های نود: شبکه نودهای کوچکتری نسبت به تور دارد که بر ناشناسی آن تأثیر می‌گذارد.

امنیت رمزعبور و ابزار مدیریت رمزعبور

امنیت رمزعبور

محاسبه آنتروپی: آنتروپی به معنای میزان تصادفی بودن یا پیش‌بینی‌ناپذیری یک رمزعبور است که مستقیماً بر قدرت آن در برابر حملات تأثیر می‌گذارد. آنتروپی بر حسب بیت اندازه‌گیری می‌شود و به‌صورت زیر محاسبه می‌شود:

$$ \text{Entropy} = \log_2(N^L) $$

که در آن:

• ( N ) = تعداد نمادهای ممکن (برای مثال، ۹۵ برای مجموعه‌ای از کاراکترها شامل حروف بزرگ، حروف کوچک، اعداد و نمادها).
• ( L ) = طول رمزعبور.

برای مثال، یک رمزعبور به طول ۱۲ کاراکتر با استفاده از ۹۵ کاراکتر دارای آنتروپی زیر است:

$$ \text{Entropy} = \log_2(95^{12}) \approx 78.7 \text{ بیت} $$

امنیت عبارت عبور (Passphrase):

• طراحی و قدرت: عبارات عبور معمولاً طولانی‌تر و راحت‌تر برای به خاطر سپردن نسبت به گذرواژه‌های سنتی هستند. برای مثال، عبارت "Name-Seat-Look-Chair-Plane7-Stree7" دارای آنتروپی بالایی است زیرا چندین کلمه و نماد را ترکیب می‌کند.

آنتروپی یک عبارت عبور با شش کلمه و نمادهای خاص به‌صورت زیر محاسبه می‌شود:

$$ \text{Entropy} \approx \log_2(W^L) $$

که در آن ( W ) تعداد کلمات ممکن (برای مثال، یک دیکشنری بزرگ از کلمات) و ( L ) تعداد کلمات است. برای یک عبارت عبور با یک دیکشنری شامل 10,000 کلمه و ۶ کلمه در طول:

$$ \text{Entropy} = \log_2(10,000^6) \approx 79.6 \text{ بیت} $$

امنیت و حریم خصوصی در شرکت‌های بزرگ فناوری

اقدامات امنیتی شرکت‌های بزرگ فناوری

روش‌های امنیتی:

• پروتکل‌های امنیتی پیشرفته: شرکت‌هایی مانند گوگل و مایکروسافت از اقدامات امنیتی قوی مانند احراز هویت چند مرحله‌ای (MFA)، رمزنگاری سرتاسری برای برخی از خدمات، و انجام مرتب بررسی‌های امنیتی استفاده می‌کنند.
• زیرساخت‌های سطح سازمانی: این شرکت‌ها از تکنولوژی‌های امنیتی سطح سازمانی مانند سیستم‌های تشخیص نفوذ (IDS)، فایروال‌ها و سیستم‌های حفاظت پیشرفته برای محافظت از داده‌های کاربران استفاده می‌کنند.
• مدیریت آسیب‌پذیری: به‌روزرسانی‌ها و وصله‌های امنیتی مرتباً اعمال می‌شوند تا آسیب‌پذیری‌های امنیتی رفع شوند. این شرکت‌ها همچنین از برنامه‌های "Bug bounty" برای کشف و رفع اشکالات امنیتی استفاده می‌کنند.

مشکلات شفافیت و اعتماد:

• عدم شفافیت: جزئیات مربوط به پیاده‌سازی‌های امنیتی آنها به‌طور عمومی منتشر نمی‌شود، که باعث می‌شود تأیید ادعاهای آنها به‌طور کامل ممکن نباشد.
• کد منبع بسته: کدهای امنیتی و پروتکل‌ها اختصاصی هستند، که امکان بررسی و ممیزی مستقل را محدود می‌کند.

امنیت ایمیل

رمزنگاری لایه حمل و نقل (TLS)

TLS Handshake: وقتی یک ایمیل ارسال می‌شود، سرور فرستنده یک TLS handshake با سرور گیرنده انجام می‌دهد. این فرآیند شامل موارد زیر است:

• احراز هویت سرور: سرور گیرنده گواهی TLS خود را ارائه می‌دهد و سرور فرستنده آن را با استفاده از یک مرجع صدور گواهی معتبر (CA) تأیید می‌کند.
• توافق کلید جلسه: سرورها با استفاده از رمزنگاری نامتقارن یک کلید متقارن را برای ایجاد یک کانال امن تبادل می‌کنند. کلید جلسه برای رمزنگاری داده‌های بعدی استفاده می‌شود.
• مدیریت گواهی‌ها: گواهی‌ها باید معتبر و به‌روز باشند. گواهی‌های نادرست یا منقضی‌شده می‌توانند باعث ایجاد آسیب‌پذیری شوند. ابزارهایی مانند "Let's Encrypt" می‌توانند صدور و تمدید گواهی‌ها را به‌صورت خودکار انجام دهند.

رمزنگاری محتوا

PGP (Pretty Good Privacy):

• ایجاد کلید: PGP یک جفت کلید (عمومی و خصوصی) با استفاده از الگوریتم‌هایی مانند RSA یا ECC تولید می‌کند. طول کلیدهای RSA معمولاً بین 2048 تا 4096 بیت و ECC حدود 256 بیت است.

• فرآیند رمزنگاری:

  • رمزنگاری متقارن: محتوای ایمیل با استفاده از یک کلید متقارن (مانند AES-256) رمزنگاری می‌شود، و کلید متقارن با کلید عمومی گیرنده رمزنگاری می‌شود.
  • امضا: امضای دیجیتال با کلید خصوصی فرستنده ایجاد می‌شود که به گیرنده امکان تأیید صحت پیام را می‌دهد.

• مدیریت کلید: PGP نیاز به تبادل دستی کلیدهای عمومی دارد. این کار معمولاً از طریق سرورهای کلید یا تبادل مستقیم انجام می‌شود. ابزارهایی مانند Gpg4win (برای ویندوز) و GpgTools (برای macOS) برای مدیریت کلیدها استفاده می‌شوند.

S/MIME (Secure/Multipurpose Internet Mail Extensions):

• مرجع صدور گواهی (CA): S/MIME بر گواهی‌های X.509 که توسط مراجع صدور معتبر صادر شده‌اند، تکیه دارد. این گواهی‌ها شامل کلید عمومی کاربر هستند.

• فرآیند رمزنگاری:

  • رمزنگاری متقارن: محتوای ایمیل با استفاده از یک الگوریتم متقارن (مانند AES-256) رمزنگاری می‌شود، و کلید متقارن با کلید عمومی گیرنده رمزنگاری می‌شود.
  • امضای دیجیتال: امضا با استفاده از کلید خصوصی فرستنده انجام می‌شود تا احراز هویت و تمامیت ایمیل تأیید شود.

• مدیریت گواهی‌ها: گواهی‌ها باید از یک مرجع صدور معتبر تهیه و مدیریت شوند و معمولاً در محیط‌های امن نگهداری می‌شوند.

افشای متادیتا

• آدرس‌های ایمیل فرستنده و گیرنده: این آدرس‌ها در هدرهای ایمیل قابل مشاهده هستند و می‌توانند الگوهای ارتباطی را آشکار کنند.
• زمان‌بندی‌ها: زمان‌های ارسال و دریافت ایمیل در هدرهای Date و Received ثبت می‌شوند.
• خط موضوع: خط موضوع ایمیل قابل مشاهده است و می‌تواند اطلاعات کلی از محتوای ایمیل را فاش کند.
• شناسه پیام (Message-ID): شناسه یکتا برای هر ایمیل که برای پیگیری استفاده می‌شود.
• مسیر بازگشت (Return-Path): آدرس بازگشت برای پیام‌های ناموفق ارسال، که می‌تواند آدرس فرستنده را فاش کند.
• هدرهای Received: مسیرهای مختلفی که ایمیل طی کرده است، شامل اطلاعاتی درباره سرورهایی که از آنها عبور کرده است، را نشان می‌دهد.
• X-Mailer: اختیاری است و اطلاعاتی در مورد نرم‌افزار یا کلاینت ایمیل استفاده‌شده ارائه می‌دهد.
• MIME-Version و Content-Type: نسخه پروتکل MIME و نوع محتوا، مانند text/plain یا text/html.

کاهش خطرات متادیتا:

• محتوای ایمیل: از قرار دادن اطلاعات حساس در خط موضوع و بدنه ایمیل خودداری کنید.
• ارائه‌دهندگان ایمیل: از خدماتی استفاده کنید که روی کاهش نشت متادیتا تمرکز دارند، مانند ProtonMail یا Tutanota.

بهترین روش‌ها برای امن‌سازی ایمیل

• استفاده از رمزنگاری: اطمینان حاصل کنید که رمزنگاری در لایه حمل و نقل (TLS) و محتوای ایمیل (PGP/S/MIME) به‌درستی پیکربندی شده‌اند.
• به‌روزرسانی گواهی‌ها: گواهی‌های TLS را به‌روز نگه‌دارید و کلیدهای رمزنگاری را به‌صورت ایمن مدیریت کنید.

سیستم‌عامل‌ها

پروژه متن‌باز اندروید (AOSP):

• بوت تأییدشده (Verified Boot): اطمینان حاصل می‌کند که دستگاه تنها با نرم‌افزارهای قابل اعتماد بوت می‌شود و از تغییرات غیرمجاز جلوگیری می‌کند.

• جداسازی برنامه‌ها (App Sandboxing): برنامه‌ها از یکدیگر و سیستم جدا هستند و این موضوع خطر تأثیرگذاری برنامه‌های مخرب بر دیگر برنامه‌ها یا عملکرد سیستم را کاهش می‌دهد.

• مدیریت مجوزها: کاربران می‌توانند مجوزهای برنامه‌ها را مدیریت کنند و دسترسی به داده‌های حساس را محدود کنند.

• به‌روزرسانی‌ها: اطمینان حاصل کنید که دستگاه شما به‌طور مرتب وصله‌های امنیتی دریافت می‌کند.

• روت کردن: روت کردن ممکن است امنیت دستگاه را به خطر بیاندازد زیرا جداسازی برنامه‌ها شکسته شده و برنامه‌ها به مجوزهای سطح بالا دسترسی پیدا می‌کنند.

• نصب ROM‌های سفارشی: نصب ROM‌های سفارشی مانند GrapheneOS بر روی دستگاه‌هایی مانند گوشی‌های گوگل پیکسل را در نظر بگیرید.

• غیرفعال‌کردن ویژگی‌های غیرضروری: برنامه‌های پیش‌نصب‌شده و ویژگی‌هایی که داده‌های شما را جمع‌آوری می‌کنند، غیرفعال یا حذف کنید.

• به‌روز نگه‌داشتن نرم‌افزار: برای محافظت در برابر آسیب‌پذیری‌های شناخته‌شده، دستگاه خود را به‌روز نگه دارید.

iOS:

• منبع بسته بودن: iOS منبع‌بسته است، که بررسی کد آن برای آسیب‌پذیری‌ها را محدود می‌کند.

• ویژگی‌های امنیتی: شامل جداسازی برنامه‌ها، رمزنگاری داده‌ها و بوت امن است. اپل کنترل توزیع برنامه‌ها را از طریق App Store مدیریت می‌کند، که این موضوع خطر نصب برنامه‌های مخرب را کاهش می‌دهد.

• محدودیت در سفارشی‌سازی: کاربران نمی‌توانند تنظیمات اصلی را تغییر دهند یا نرم‌افزارهای شخص ثالث را به‌جز از App Store نصب کنند.

• جمع‌آوری داده‌ها: اپل داده‌های بسیاری از کاربران جمع‌آوری می‌کند.

• بررسی تنظیمات حریم خصوصی: به‌طور مرتب تنظیمات حریم خصوصی را بررسی و تنظیم کنید تا میزان اشتراک‌گذاری داده‌ها کاهش یابد.

• به‌روزرسانی مداوم iOS: مطمئن شوید که دستگاه شما آخرین نسخه iOS را اجرا می‌کند تا به‌روزترین وصله‌های امنیتی را دریافت کنید.

• استفاده از رمزهای عبور قوی: از رمزهای عبور قوی و احراز هویت دو مرحله‌ای برای افزایش امنیت دستگاه استفاده کنید.

Windows:

• داده‌های تله‌متری: ویندوز داده‌های تله‌متری جمع‌آوری می‌کند که شامل اطلاعاتی درباره استفاده سیستم و خطاها است.

• منبع‌بسته بودن: کد منبع ویندوز برای بررسی عمومی باز نیست، که کشف و رفع آسیب‌پذیری‌ها را دشوارتر می‌کند.

• آسیب‌پذیری‌های روز صفر: منبع‌بسته بودن ویندوز به این معنی است که آسیب‌پذیری‌ها ممکن است قبل از کشف و وصله‌شدن، وجود داشته باشند.

• تنظیمات حریم خصوصی: ویندوز گزینه‌هایی برای کنترل حریم خصوصی و جمع‌آوری داده‌ها ارائه می‌دهد، اما این تنظیمات به‌تنهایی نمی‌توانند مانع از اشتراک‌گذاری کامل داده‌ها شوند.

• استفاده از لینوکس را در نظر بگیرید: برای امنیت و حریم خصوصی بهتر، استفاده از یک توزیع لینوکس برای کارهای روزمره را در نظر بگیرید و از ویندوز فقط در یک ماشین مجازی استفاده کنید.

• تنظیمات حریم خصوصی را تغییر دهید: تنظیمات حریم خصوصی را برای محدود کردن اشتراک‌گذاری داده‌ها با مایکروسافت پیکربندی کنید.

• استفاده از ابزارهای امنیتی: از ابزارهای امنیتی اضافی مانند فایروال‌ها برای محافظت از سیستم خود استفاده کنید.

Linux:

• منبع‌باز بودن: طبیعت منبع‌باز لینوکس اجازه می‌دهد که باگ‌ها و آسیب‌پذیری‌ها زودتر از ویندوز کشف شوند و خطر آسیب‌پذیری‌های بدون وصله کاهش یابد.

• سفارشی‌سازی: کاربران می‌توانند از بین هزاران توزیع و نسخه‌های مختلف کرنل لینوکس انتخاب کنند.

• نسخه‌های مختلف کرنل: کرنل‌های ویژه‌ای مانند linux-hardened ویژگی‌های امنیتی اضافی دارند که از سیستم محافظت بیشتری می‌کنند.

• انتخاب توزیع‌های امنیتی‌محور: توزیع‌هایی مانند Qubes OS یا Whonix را برای امنیت و حریم خصوصی بیشتر انتخاب کنید.

• به‌روزرسانی مرتب: سیستم و نرم‌افزارها را مرتباً به‌روز نگه دارید تا از آسیب‌پذیری‌های شناخته‌شده محافظت کنید.

رمزنگاری

تحلیل رمزنگاری: الگوریتم‌های تأیید شده از طریق تحلیل‌های رمزنگاری پیشرفته، شامل:

• تحلیل تفاضلی (Differential Cryptanalysis): بررسی چگونگی تأثیر تفاوت‌ها در ورودی بر تفاوت‌های خروجی.
• تحلیل خطی (Linear Cryptanalysis): استفاده از تقریب‌های خطی برای توصیف رفتار الگوریتم رمزنگاری.
• حملات جبری (Algebraic Attacks): بهره‌برداری از ساختارهای جبری در الگوریتم رمزنگاری.
• حملات غربال‌گری (Sieve Attacks): یافتن راه‌حل‌هایی برای معادلات استفاده‌شده در طرح‌های رمزنگاری.

مثال‌هایی از الگوریتم‌ها:

• AES: روی بلوک‌های 128 بیتی با 10، 12 یا 14 دور پردازش با استفاده از عملیات‌هایی مانند SubBytes، ShiftRows، MixColumns و AddRoundKey عمل می‌کند.
• ChaCha20: یک رمز جریانی با 20 دور پردازش که از تابع ربع‌گردش برای رمزنگاری سریع استفاده می‌کند.

خطرات رمزنگاری:

• امنیت از طریق ابهام: الگوریتم‌ها باید بر اساس طراحی و مقاومت در برابر تحلیل رمزنگاری امن باشند، نه بر اساس پنهان‌کاری.

تکنیک‌هایی برای جلوگیری از برخی حملات پیاده‌سازی:

• الگوریتم‌های با زمان ثابت (Constant-Time): پیاده‌سازی‌هایی که زمان اجرای ثابتی دارند و می‌توانند خطر حملات زمانی را کاهش دهند.
• تولید نویز: استفاده از تصادفی‌سازی برای پوشش الگوهای مصرف توان.

عوامل عملکرد سخت‌افزاری:

• AES-NI: شتاب‌دهنده سخت‌افزاری برای رمزنگاری AES که عملکرد آن را با پردازنده‌های مدرن بهبود می‌بخشد.
• TPM: حفاظت مبتنی بر سخت‌افزار برای کلیدهای رمزنگاری که تضمین می‌کند حتی در صورت به خطر افتادن سیستم، کلیدها فاش نمی‌شوند.

پشتیبان‌گیری (Backups)

فناوری‌های پشتیبان‌گیری:

• سطوح RAID:
  • RAID 1: استفاده از Mirroring برای redundancy داده‌ها.
  • RAID 5/6: استفاده از Striping با Parity برای حفظ redundancy داده‌ها.
• فناوری‌های Snapshot:
  • ZFS Snapshots: تهیه کپی‌های نقطه‌ای از داده‌ها به‌صورت کارآمد.
  • LVM Snapshots: Logical volume snapshots for incremental backups.

ابزارهای رمزنگاری:

• VeraCrypt: رمزنگاری Containerها و Volumeها را ارائه می‌دهد.
• Cryptsetup: از LUKS (Linux Unified Key Setup) برای رمزنگاری دیسک استفاده می‌کند.

تکنیک‌ها و ابزارهای پیشرفته برای ناشناس‌سازی

• استفاده از VPN:

  • Multi-Hop VPN: ترکیب چندین سرور VPN در کشورهای مختلف برای افزودن لایه‌های اختفا. برخی سرویس‌ها مانند ProtonVPN این ویژگی را ارائه می‌دهند.
  • Onion Over VPN: مسیریابی ترافیک VPN از طریق شبکه Tor برای امنیت بیشتر. این قابلیت در برخی از پلتفرم‌های ارائه‌دهندگان VPN وجود دارد.

• سیستم‌عامل‌های امن:

  • Qubes OS: امنیت را از طریق مجازی‌سازی فراهم می‌کند. هر برنامه در یک ماشین مجازی جداگانه اجرا می‌شود تا از تأثیر کدهای مخرب جلوگیری کند.
  • Whonix: از طراحی Split استفاده می‌کند که در آن Gateway شبکه Tor و Workstation از هم جدا هستند تا امنیت بیشتری فراهم شود.

• ارتباطات امن:

  • PGP (Pretty Good Privacy): برای رمزنگاری ایمیل‌ها و فایل‌ها استفاده می‌شود. استاندارد OpenPGP را می‌توان با کلاینت‌های ایمیل مانند Thunderbird با پلاگین Enigmail استفاده کرد.
  • GPG (GNU Privacy Guard): پیاده‌سازی متن‌باز PGP است که به‌طور گسترده برای رمزنگاری داده‌ها و ارتباطات استفاده می‌شود.

• حذف متادیتا:

  • MAT2 (Metadata Anonymisation Toolkit): یک ابزار برای حذف متادیتا از فایل‌ها به‌صورت گروهی. برای مدیریت تعداد زیادی فایل مفید است.
  • ExifTool: یک ابزار خط فرمان برای حذف متادیتا از انواع مختلف فایل‌ها، از جمله تصاویر و اسناد.

• رمزنگاری داده‌ها:

  • VeraCrypt: برای رمزنگاری داده‌های ذخیره‌شده در دستگاه‌ها استفاده می‌شود. امکان ایجاد دیسک‌های مجازی رمزنگاری‌شده و رمزنگاری کامل پارتیشن‌ها را فراهم می‌کند.
  • EncFS: یک فایل‌سیستم مبتنی بر FUSE که به‌صورت شفاف فایل‌ها را رمزنگاری می‌کند.

• ابزارهای تحلیل رفتار:

  • Keystroke Dynamics: ابزارهایی مانند KeyTracer برای تحلیل الگوهای تایپ. اجتناب از این الگوها می‌تواند به ناشناس‌سازی کمک کند.
  • Mouse Gestures: ابزارهایی که حرکت موس را تصادفی‌سازی می‌کنند یا از اسکریپت‌ها برای تغییر الگوهای معمولی موس استفاده می‌کنند.

• امنیت شبکه:

  • DNS-over-HTTPS (DoH): رمزنگاری پرس‌وجوهای DNS برای محافظت در برابر شنود و تغییر. مرورگرهایی مانند Firefox و Chrome از آن پشتیبانی می‌کنند.
  • DNS-over-TLS (DoT): روش دیگری برای رمزنگاری پرس‌وجوهای DNS است که بسیاری از VPNها و پیکربندی‌های شبکه از آن پشتیبانی می‌کنند.

• حذف داده‌ها:

  • BleachBit: یک ابزار متن‌باز برای پاکسازی فضای دیسک و حذف ردپاهای فعالیت‌ها.
  • CCleaner: برای کاربران ویندوز، برای پاکسازی فایل‌های موقت و ردپاهای سیستمی.

منابع اضافی برای فصل 1:

کتاب‌ها

• "Nothing to Hide: The False Tradeoff Between Privacy and Security" نوشته Daniel J. Solove

  • توضیح می‌دهد که چرا ایده تعارض بین حریم خصوصی و امنیت یک افسانه است.

• "The Age of Surveillance Capitalism" نوشته Shoshana Zuboff

  • نگاهی به چگونگی سودآوری شرکت‌های بزرگ فناوری از اطلاعات شخصی ما و تأثیر آن بر ما.

• "The Transparent Society" نوشته David Brin

  • درباره تأثیرات شفافیت و نظارت بر جامعه و چگونگی ایجاد توازن بین این دو.

• "VPNs Illustrated: Tunnels, VPNs, and IPsec" نوشته Jon C. Snader

  • کتابی که جزئیات فناوری‌های VPN از جمله IPsec و روش‌های تونل‌سازی را پوشش می‌دهد.

• "Network Security Essentials: Applications and Standards" نوشته William Stallings

  • اصول اولیه امنیت شبکه و برنامه‌ها و استانداردهای مهم برای حفاظت از داده‌ها.

• "Applied Network Security Monitoring: Collection, Detection, and Analysis" نوشته Chris Sanders و Jason Smith

  • راهنمایی برای نظارت بر شبکه برای شناسایی تهدیدات امنیتی.

RFCها:

• RFC 2401 - Security Architecture for the Internet Protocol: توضیح معماری امنیتی IPsec برای محافظت از ارتباطات اینترنتی.

• RFC 4301 - Security Architecture for the Internet Protocol: راهنمای به‌روز شده‌ای از IPsec که چگونگی عملکرد ویژگی‌های امنیتی آن را توضیح می‌دهد.

• RFC 1826 - IP Authentication Header: درباره هدر احراز هویت IP (AH) برای اطمینان از صحت داده‌ها.

• RFC 4507 - Transport Layer Security (TLS) Session Resumption without Server-Side State: توضیح چگونگی از سرگیری جلسات TLS بدون نیاز به حفظ وضعیت سمت سرور.

• RFC 4306 - IKEv2: The Internet Key Exchange Protocol Version 2: جزئیات چگونگی مدیریت تبادل کلید در IKEv2 که بخش مهمی از تنظیمات VPN است.

راهنماها و منابع آنلاین:

• Cisco’s VPN Protocols Overview
  • اطلاعات دقیق درباره پروتکل‌های VPN و فناوری‌های مرتبط.
• OpenVPN Protocol Documentation
  • جزئیات کامل درباره پروتکل OpenVPN، از جمله تنظیمات و ویژگی‌های امنیتی آن.
• WireGuard Protocol Documentation
  • مستندات رسمی برای WireGuard، یک پروتکل VPN مدرن و کارآمد.
• TLS/SSL Protocol Overview
  • اطلاعات درباره پروتکل Transport Layer Security (TLS) که برای رمزنگاری داده‌ها در برخی VPNها استفاده می‌شود.

منابع اضافی برای فصل 2:

کتاب‌ها:

• Threat Modeling: Designing for Security نوشته Adam Shostack

  • راهنمایی برای مدل‌سازی تهدیدات امنیتی.

• Security Engineering: A Guide to Building Dependable Distributed Systems نوشته Ross Anderson

  • بررسی عمیق اصول مهندسی امنیت.

• The Art of Invisibility نوشته Kevin Mitnick

  • استراتژی‌های عملی برای حفظ حریم خصوصی آنلاین.

راهنماها و مشخصات:

• OWASP Threat Modeling Cheat Sheet: راهنمای عملی برای مدل‌سازی تهدیدات.

منابع اضافی برای فصل 3:

کتاب‌ها:

• Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World نوشته Bruce Schneier

  • توضیح چگونگی جمع‌آوری داده‌ها توسط شرکت‌های بزرگ و اهمیت آن.

• Privacy and Security for Online Accounts نوشته David A. Chappell

  • راهنمای حفاظت از حساب‌های آنلاین و حفظ امنیت آنلاین.

RFCها:

• RFC 6750: The OAuth 2.0 Bearer Token Usage: مشخصات استفاده امن از توکن‌ها در OAuth 2.0.

• RFC 7231: Hypertext Transfer Protocol (HTTP/1.1): Semantics and Content: جزئیات پروتکل HTTP و چگونگی امنیت در انتقال داده.

منابع اضافی برای فصل 4:

راهنماها و مشخصات:

1. PGP (Pretty Good Privacy) User Guide: دستورالعمل‌های استفاده از PGP برای رمزنگاری محتوای ایمیل.
2. Tor Project: Tor Browser Manual: راهنمای استفاده از مرورگر Tor.
3. ProtonMail Security Practices: مستندات درباره اقدامات امنیتی ProtonMail.
4. Diceware Passphrase: راهنمای تولید گذرواژه‌های امن Diceware.

منابع اضافی برای فصل 5:

کتاب‌ها:

• "Applied Cryptography: Protocols, Algorithms, and Source Code in C" نوشته Bruce Schneier

  • درباره الگوریتم‌های رمزنگاری و نحوه استفاده از آنها در کد.

• "Cryptography and Network Security: Principles and Practice" نوشته William Stallings

  • بررسی عمیق تکنیک‌های رمزنگاری برای حفاظت از داده‌ها.

• "Introduction to Modern Cryptography: Principles and Protocols" نوشته Jonathan Katz و Yehuda Lindell

  • اصول رمزنگاری مدرن و نحوه عملکرد آن.

• "Practical Cryptography for Developers" نوشته Svetlin Nakov

  • راهنمایی برای استفاده از رمزنگاری در توسعه نرم‌افزار.

• "The Code Book: The Science of Secrecy from Ancient Egypt to Quantum Cryptography" نوشته Simon Singh

  • تاریخچه جذاب رمزنگاری و توسعه آن در طول زمان.

اسناد فنی:

1. NIST Special Publication 800-38A: Recommendation for Block Cipher Modes of Operation: جزئیات فنی درباره حالت‌های رمزنگاری بلوکی و نحوه استفاده از آنها.
2. NIST Special Publication 800-175B: Guide to Secure Use of Cryptographic Algorithms: راهنمای عملی استفاده امن از الگوریتم‌های رمزنگاری.

منابع اضافی برای فصل 6:

کتاب‌ها:

• "Privacy and Data Protection in the Age of Big Data" نوشته L. Westin

  • بررسی تقاطع حریم خصوصی، حفاظت از داده‌ها و فناوری‌های نوین.

• "The Privacy Engineer's Manifesto" نوشته Michelle Finneran Dennedy

  • درباره مهندسی حریم خصوصی و روش‌های حفاظت از داده‌های شخصی.

راهنماها و مشخصات:

• RFC 6454: The "Same-Origin" Policy: جزئیات سیاست Same-Origin که برای درک امنیت وب و اثر انگشت دیجیتالی حیاتی است.
• Canvas Fingerprinting: مشخصات HTML5، شامل Canvas API که برای اثر انگشت دیجیتالی استفاده می‌شود.
• WebGL Specification: جزئیات API WebGL که برای اثر انگشت دیجیتالی استفاده می‌شود.
• AudioContext API Specification: توصیف API AudioContext که در اثر انگشت دیجیتالی صوتی استفاده می‌شود.
• Tor Project Documentation: مستندات رسمی برای مرورگر Tor و ویژگی‌های آن برای ناشناس‌سازی.

منابع اضافی برای فصل 7:

راهنماها و مشخصات:

• Tails User Manual: راهنمای استفاده از سیستم‌عامل Tails.

1. Whonix Documentation: مستندات رسمی برای راه‌اندازی و استفاده از سیستم‌عامل Whonix.
2. Tor Project’s Tor Browser Manual: راهنمای استفاده از مرورگر Tor.
3. Qubes OS Documentation: راهنمای استفاده از سیستم‌عامل Qubes OS.

تقدیر و تشکر

این کتاب یک آشفتگی بود، هست و خواهد بود چون من از استفاده از هوش مصنوعی برای نوشتنش امتناع کردم. محتوا و ساختار آن توسط من، که نه نویسنده هستم، نه انگلیسی زبان مادری، و نه در نوشتن کتاب تجربه‌ای دارم، به شکلی نامناسب نوشته شده است. اما این کتاب کاملاً بدون هوش مصنوعی نیست؛ من فقط و فقط از هوش مصنوعی برای اصلاح اشتباهات گرامری و املایی‌ام استفاده کردم (که البته به نظرم آنچنان هم زیاد نبودند). هرچند شاید هوش مصنوعی تصمیم گرفته باشد که دایره واژگان ذهن انسانی من برای خوانندگان این کتاب کافی نیست و آن‌ها را تغییر داده باشد (که در بررسی مجدد اصلاح و بازنویسی شدند). ترجیح می‌دهم کتابی با ساختار ضعیف و واژگان یک کودک ۱۰ ساله بنویسم تا اینکه توسط یک الگوریتم بی‌روح نوشته شود، همانطور که امروزه همه چیز اینگونه است. بنابراین، هوش مصنوعی فقط ابزاری برای تصحیح گرامر و املا در این کتاب بوده است؛ هیچ تاثیری بر محتوا، ساختار، واژگان و لحن نداشته است. اگر بد است، این اشتباه من است و کاملاً مسئولیت آن را می‌پذیرم.

نوشتن این کتاب ممکن نبود اگر آن کلاس‌های خسته‌کننده‌ای که در ترم گذشته در دانشگاه داشتم، نبودند. خستگی و بی‌حوصلگی‌ای که به من دادند، باعث شد کتابی را که سال‌ها می‌خواستم شروع کنم، آغاز کنم. همچنین به خاطر حمایت‌های اخلاقی دوستان خوبی که در کنارم بودند و ترجیح می‌دهند نامشان برده نشود، قدردانی می‌کنم.

از همه افراد خوب در Techlore، PrivacyGuides و PrivSec که از آن‌ها خیلی یاد گرفتم و برخی از آن‌ها دوستان بسیار خوبی بودند (اگرچه ممکن است مرا با این نام نشناسند) تشکر می‌کنم. آن‌ها کار بسیار خوبی در اطلاع‌رسانی درباره حریم خصوصی و امنیت انجام می‌دهند و راهنماهای به‌روز و منتخب خوبی در این زمینه‌ها ارائه می‌کنند.

بخش عمده‌ای از محتوای این کتاب از دوره‌ای از زندگی من نشأت گرفته که ترس و پارانویا بر زندگی‌ام در اواسط سال ۲۰۲۰ حاکم شد؛ شاید به دلیل کووید و انزوا بود، اما باعث شد که به حریم خصوصی و ناشناس‌ماندن دیوانه‌وار علاقه‌مند شوم. بیشتر دانش من از آن روزهای نه‌چندان خوشایند زندگی‌ام می‌آید. اگرچه یادگیری و اجرای این تمرینات حریم خصوصی در آن زمان خوشایند نبود، اما به اشتراک‌گذاری آن‌ها قطعاً بود و خوشحالم که این کار را انجام دادم.

کمک‌های مالی و حمایت

این کتاب رایگان و متن‌باز است و رایگان و متن‌باز باقی خواهد ماند زیرا آنچه برای من مهم است این است که خوانده شود و برای دیگران مفید باشد. به دنبال کسب سود نیستم، اما نمی‌توانم انکار کنم که هر کمک مالی، هرچند کوچک، یا حتی یک ایمیل قدردانی، به من انگیزه می‌دهد تا زمان بیشتری را به پروژه‌هایی مانند این اختصاص دهم.

در اینجا هر ارز دیجیتالی که به ذهنم رسیده، آمده است. اگر دوست دارید کمک مالی کنید، این روش‌ها برای انجام این کار موجود هستند:

• Monero (XMR):

  8AF4Lybz7QwiucdYW2szsgiqTHdBp5kjZSSRm6ddzd5363S6n4jixpkACGMLx5JWZnUR5MnGF7cMoidjppruAvLvMe2ovHZ
  

• Zcash (ZEC):

  t1WbpyRF7sXidefAzA5Vb922dsR3PLe9bRZ
  

• Bitcoin (BTC):

  bc1qdzdlytujxn3l02vdt90xx5pkqlezxpuucs6fmm
  

• Ethereum (ETH):

  0x9E00DC6bE0d07bDB5Ff8B62593a0193913c9B595
  

• Bitcoin Cash (BCH):

  qzmxuv82j9n2zlxkylrz882yk9e50wvzz5a6hqy2dc
  

• Dash:

  XamhGMK5XM1wPKqSiF8HACJsToVmW4jMGL
  

• Dogecoin (DOGE):

  DBEaZAbo5tDk7LuXd7pCkhQMa2h8kBgVbS
  

• Litecoin (LTC):

  ltc1qrex5xq3px5qn9vjplfkmvzf7sweks3r4skxe5k
  

• Matic (MATIC):

  0x9E00DC6bE0d07bDB5Ff8B62593a0193913c9B595
  

• TON :

  EQAjMitBSLjcl4DwthElddvuRSW3N-Dvd0HX-RkGMUVsC9sT
  

• TRON (TRX):

  TUT762nFQQRoXvDe1Z72p3kKH9uY3XZCg9
  

• Stellar (XLM):

  GDT7GJS6U3N2CCWNQAORW2EJ2XFDCUGXOGZXEMGKOP6ILQ77ZIPN3ET4
  

• Cosmos (ATOM):

  cosmos1pwu953l57000n9hleerzm3hzaclldhpxf86l32
  

• Solana (SOL):

  5TT1URTgmnXziXXS1avgV4uF7Dwj5f3MNHLPcZtQKVk9
  

• Ravencoin (RVN):

  RLN8CqRzgDajY77Sd3xYREVLheTYEb7rWc
  

یا اگر می‌خواهید از روش دیگری کمک کنید، یا می‌خواهید به من اطلاع دهید که کمک کرده‌اید، یا فقط چیزی برای گفتن دارید، لطفاً با من از طریق ایمیل zolagonano@protonmail.com در ارتباط باشید. از هر کمک مالی و پیامی قدردانی می‌کنم، و واقعاً به من کمک می‌کند تا زمان بیشتری را به کارهایی که دوست دارم، اختصاص دهم.