برای ما که دائماً با چالشهای اداری دستوپنجه نرم میکنیم، پوستمان طوری در برابر جملات تکراری و کلیشهای مثل «سیستم قطع است» یا «سایت بالا نمیآید» کلفت شده که از خبر باز نشدن سایتهای داخلی تعجب نمیکنیم. اتفاقاً اگر یک روز کارمان را درست و بهموقع راه بیندازند، برایمان جای تعجب دارد! اما انگاری نمیتوان ۱۰۰درصد این ناکارآمدیها را گردن اینترنت و زیرساختهای داخلی انداخت؛ چون ماجرا از جای دیگری آب میخورد که متأسفانه تا الان بیاطلاع بودهایم.
زنجیره اعتماد
یک روز عادی است؛ آدرس رسمی سایتی را تایپ میکنید، منتظر میمانید و به جای صفحه موردنظر، یک هشدار قرمز چشمکزن تحویلتان داده میشود. معمولاً به عنوان اولین واکنش اینترنت را چک میکنید، بعد فیلترشکن و شاید حتی یکبار هم مرورگر را ببندید و باز کنید، اما هیچکدام فایده ندارد.
حالا درست است که ما ایرانیها در مواجهه با مشکلات اینترنتی، تقریباً یک دوره آموزشی فشرده و اجباری را پشت سر گذاشتهایم اما استثنائاً این یکی ربط چندانی به مودم شما یا سرعت اینترنتتان ندارد؛ داستانی درباره گواهیهای امنیتی، سایه سنگین تحریمها و زنجیرهای جهانی است که اگر یکی از حلقههایش بلرزد، حتی سایتهای رسمی یک کشور هم میتوانند پشت درهای بسته گیر کنند. اتفاقی که این روزها، برای تعدادی از سایتهای حیاتی ایران افتاده و از بانک مرکزی گرفته تا سازمان تنظیم مقررات و ارتباطات رادیویی دچار اختلال شدهاند. کاربر آدرس را وارد میکند، اما مرورگر هشدار امن نبودن ارتباط یا معتبرنبودن گواهی سایت را میدهد.
درواقع آن قفل کوچکی که کنار آدرس سایت میبینیم وظیفه دارد به ما اطمینان دهد که سایت مورد نظرمان واقعی واقعی است و ارتباط ما با آن، رمزگذاری شده، چون هیچ سایتی نمیتواند خودش برای خودش گواهی اعتبار صادر کند و این کار به عهده یک نهاد معتبر است. «مرجع صدور گواهی» یا همان CA که مرورگرهایی مثل کروم، فایرفاکس و سافاری هم فقط به مجموعه مشخصی از این مراجع اعتماد دارند. به عبارتی وقتی شما وارد یک سایت میشوید، مرورگر از شما نمیپرسد: سایت بالا آمده یا نه؟ او بررسی میکند که اصلاً چه کسی گفته این سایت معتبر است؟ سپس شروع میکند به چک کردن یک زنجیره اعتماد. اگر تمام حلقههای این زنجیره، از مرجع اصلی تا سایت مقصد، سالم باشند، اجازه ورود میدهد. اما اگر یکی از این حلقهها، به هر دلیلی (مثل تحریم یا قطع دسترسی مراجع بینالمللی) از هم بپاشد، حتی با وجود روشن بودن سرورها و برقرار بودن اینترنت، درهای دیجیتال کشور روی کاربران بسته میماند.
وابستگی جدید
حالا برای ما ایرانیها، اگر بخواهیم رد پای آن قفل کوچک کنار آدرس سایت «سازمان تنظیم مقررات» را دنبال کنیم، ناگهان خودمان را در میانه یک سفر بیهوا از چین تا لهستان میبینیم. چون گواهی این سایت از شرکت چینی TrustAsia صادر شده و این شرکت هم برای اینکه در دنیای دیجیتال جهانی اعتبار داشته باشد، باید از نهادهایی مثل Certum در لهستان اجازه بگیرد.
یعنی در یک چشمبههمزدن، از یک سایت دولتی در ایران، سر از شبکه پرپیچوخم اعتماد دیجیتال در چین و اروپا درمیآوریم.
متأسفانه بیشتر مراجع معتبر صدور گواهی، در قلب آمریکا و اروپا نشستهاند.
در چنین شرایطی، فرار به سمت مراجع غیرغربی (مثل چین) شاید ابتدا راهی هوشمندانه برای دور زدن این حصارها به نظر برسد؛ اما این مسیر، درواقع فقط یک وابستگی جدید را به جای آزادی جایگزین میکند.
فرارو از قول علی کیاییفر، کارشناس امنیت شبکه، در تحلیل این وضعیت مینویسد: «مسئله اصلاً این نیست که مرجع چینی بهتر است یا آمریکایی؛ مسئله اصلی این است که اصلاً چه کسی حاضر است به یک سازمان ایرانی، گواهی بدهد و بتواند این سرویس را در بلندمدت، بدون لرزش، پایدار نگه دارد؟ چون باید بدانیم که وابستگی به هر مرجع خارجی، یعنی اضافه کردن یک حلقه جدید و ناخواسته به زنجیره زیرساختهایمان. شما با هر انتخاب، درواقع یک شرط بندی میکنید؛ شرطبندی روی اینکه آن شرکت خارجی، روزی سیاستهایش را تغییر ندهد، سرویسش را قطع و گواهیتان را باطل نکند و یا از خود بیخود نشود و از فهرست مراجع مورد اعتماد مرورگرها خارج نشود. وگرنه ممکن است سایت شما بدون هیچ هکر و ویروس و حملهای خود به خود از کار بیفتد».
یک عادت خطرناک
ماجرا اما وقتی خطرناک میشود که «بازنشدن سایت»، به «تأیید خطر» تغییر میکند. مثلاً وقتی بانک مرکزی در اطلاعیهای از کاربران میخواهد با نادیده گرفتن هشدار قرمز مرورگر، به خدمات دسترسی پیدا کنند، ما که سالها با فیلترینگ و خطاهای عجیب اینترنتی رفیق شدهایم، با یک «ادامه دادن» ساده از دیوار خطر عبور میکنیم. اما کارشناسان هشدار میدهند این مسئله فاجعهآمیز است و عادت دادن میلیونها کاربر به عبور از هشدارها، یعنی کنار زدن حیاتیترین لایه امنیتی.
امروز شاید برای ورود به یک سایت رسمی از هشدار عبور کنیم، اما فردا همین عادت خطرناک را هنگام ورود به یک سایت جعلی و کلاهبردار تکرار خواهیم کرد؛ آنوقت اگر پای رمزهای عبور و حسابهای بانکیمان وسط بیاید چه؟ وقتی همانطور که پیشتر گفتیم فرار به سمت مراجع چینی یا غیرغربی، بیشتر به یک شرط بندی ناامیدانه برای مدیریت ریسک تحریمها میماند و تضمینی برای امنیت نیست، باید چه کار کنیم؟ بحث داشتن مرجع صدور گواهی داخلی هم یک مسئله است و اینکه این مرجع در فهرست مراجع مورد اعتماد کروم، فایرفاکس، سافاری و سیستمعاملهای اصلی دنیا قرار داشته باشد، مسئلهای کاملاً متفاوت. اگر مرورگرها آن را نشناسند، کاربر باز هم همان هشدار قرمز لعنتی را خواهد دید. راه دیگر هم ساخت مرورگر بومی است که خود، بحثهای سنگین شبکه ملی اطلاعات را به دنبال دارد و نمونه ناموفقش را در شرایط اخیر قطعی اینترنت دیدهایم. خلاصه اینکه فعلاً در چنین شرایطی هستیم و به نظر میرسد پاسخ نهایی به این وضعیت همچنان در دست هیچکس نیست و شاید هم در اختیار هیچکس نباشد.
نظر شما