Haven (هِیوِن)، نام برنامه اندرویدی جدیدی است که توسط ادوارد اسنودن توسعه داده شده و دیروز در گیت‌هاب منتشر شده است. این برنامه که روی هر گوشی اندرویدی قابل نصب است، گوشی موبایلتان را به یک حسگر محیطی تبدیل می‌کند که می‌تواند تغییرات محیطی مثل نور، حرکت و صدا را تشخیص داده و از طریق برنامه امن سیگنال به اطلاع شما برساند. گرچه این برنامه هنوز برای iOS منتشر نشده است اما کاربران آیفون می‌توانند با خرید یک گوشی اندرویدی ارزان قیمت، از امکانات این برنامه استفاده کرده و اطلاعات را به گوشی آیفون خود بفرستند. همچنین این برنامه می‌تواند در صورت بروز حادثه، صدای ضبط شده از محیط یا عکس‌های گرفته شده را به گوشی اصلی شما بفرستد. البته افرادی که به هر دلیلی ممکن است در خطر باشند، می‌توانند این برنامه را روی گوشی اصلی خود نصب کرده و دوست یا آشنای خود را بعنوان امین خود انتخاب کنند تا اطلاعات برای او ارسال شود. با توجه به متن‌باز بودن برنامه Haven و تنوع حسگرهای موجود در گوشی‌های موبایل، اسنودن امیدوار است تا این برنامه برای کاربردهای بیشتری توسعه پیدا کند.

این برنامه علاوه بر حسگرهای نور، صدا و حرکت، می‌توانند اتصال یا قطع اتصال گوشی از شارژر را نیز تشخیص دهد. همچنین امکان ارسال اطلاعات از طریق پیامک و دسترسی به اطلاعات از طریق Tor نیز وجود دارد. این برنامه را می‌توانید بطور مستقیم از گوگل یا از طریق کد QR زیر دریافت کنید.

طبق پیش‌بینی انجام‌شده بوسیله بانک ساکسو (saxo bank) ارزش هر بیت کوین در سال آینده به ۶۰ هزار دلار رسیده و در پایان سال ۲۰۱۸ به ارزش واقعی خود (هزینه استخراج)، یعنی هزار دلار سقوط خواهد کرد. تحلیل‌گران این بانک در بیشبینی‌های سالانه خود چنین نوشته‌اند:

«فراز ارزش بیت کوین و دیگر ارزهای رمزنگاری‌شده از مهم‌ترین پدیده‌های بازارهای مالی در سال‌های گذشته بوده‌اند. ارزش بیت کوین در سال ۲۰۱۸ بسیار فراتر از مقدار کنونی خواهد رفت اما در انتهای سال، روسیه و چین سقوط آن را مهندسی خواهند کرد.»

این بانک هشدار می‌دهد که ارزش بیت کوین سریع‌تر از فرازش، سقوط خواهد کرد، چراکه روسیه و چین برای پشتیبانی از ارزهای رمزپایه ساخته‌ی خودشان و به بهانه‌ی ضرر استخراج و تراکنش بیت کوین برای محیط زیست، آن را ممنوع خواهند کرد. طبق این پیش‌بینی، درحالی که فناوری بلاک چین به سرعت پیشرفت خواهد کرد، ارزهای رمزنگاری‌شده به حاشیه می‌روند.

البته این بانک در سال گذشته نیز صعود هنگفت بیت کوین به دو هزار دلار را پیش‌بینی کرده بود! اما دیدیم که ارزش بیت کوین بسیار فراتر از آن رفت. به همین دلیل این بار نیز نمی‌توان پیش‌بینی این بانک را زیاد جدی گرفت.

منبع

گرچه بسته‌های بروزرسانی برای امنیت گوشی‌های همراه ضروری‌اند اما ارائه‌ی آنها توسط تولید‌کنندگان گوشی، سخت و پرهزینه است. همین امر باعث ایجاد فاصله بین انتشار بروزرسانی‌های آندروید شده است؛ بطوریکه اکثر کاربران، آخرین نسخه‌ی آندروید را ماه‌ها دیرتر دریافت می‌کنند. در حال حاضر تعداد دستگاه‌های دارای آندروید نوگات، کمی کمتر از 10 درصد است. برای حل این مشکل، گوگل بزرگترین تغییر در معماری سطح پایین سیستم آندروید را معرفی کرد: پروژه‌ی Treble.

پروژه‌ی Treble با جداسازی اینترفیس پیاده‌سازی سازندگان گوشی از هسته‌ی آندروید، ارائه‌ی بسته‌های بروزرسانی را بسیار آسان می‌کند. این طراحی ماژولار، امکان بروزرسانی جداگانه‌ی پلتفورم آندروید و اجزاء مربوط به سازندگان را فراهم می‌کند. درنتیجه سازندگان گوشی و قطعات (به عنوان مثال کوالکام) لازم نیست بعد از هر بروزرسانی آندورید، کدهای مربوط به چیپ‌ها را از نو بنویسند. گرچه بروزرسانی‌های سریع، ذاتا باعث افزایش امنیت می‌شوند اما پروژه‌ی Treble تاثیر عمیق‌تری روی امنیت دستگاه‌های آندرویدی خواهد گذاشت. جداسازی اینترفیس سازندگان، کار را برای حمله‌ی کدهای مخرب بسیار سخت می‌کند.

اینترفیس بین کدهای مشترک دستگاه و اجزاء سخت‌افزاری، بوسیله‌ی لایه HAL) Hardware Abstraction Layer) انجام می‌شود. HAL ها معمولا بصورت کتابخانه‌های مشترک بسته‌بندی شده و بطور مستقیم در پروسه‌ای که به دسترسی سخت‌افزاری نیاز دارد، بارگذاری می‌شوند. این بارگذاری، سطح امنیت HAL را به میزان امنیت پروسه کاهش می‌دهد. به بیان ساده‌تر، پروسه باید تمام دسترسی‌هایی که HAL به آن ها نیاز دارد را داشته باشد (مانند دسترسی مستقیم به درایورهای کرنل). همینطور با توجه به اینکه دسترسی هر HAL برابر با دسترسی بقیه پروسه است، وجود چند HAL در یک پروسه باعث می‌شود HAL ها به سخت‌افزارهایی که نباید، دسترسی داشته باشند. شکل زیر بیانگر این قضیه است.

بعد از پیاده‌سازی پروژه‌ی Treble، هر HAL به پروسه‌ی جداگانه‌ی مربوط به خود منتقل خواهد شد. درنتیجه، هر HAL فقط به سخت‌افزاری که خودش کنترل می‌کند دسترسی خواهد داشت. همچنین پروسه‌ها دسترسی‌های اضافه به درایورها و سخت‌افزار‌های کنترلی HAL ها را از دست می‌دهند. پروژه‌ی Treble باعث شده تقریبا 20 HAL) HAL های وای فای، سنسورها، GPS و غیره) ازپروسه سیستم خارج شوند. قبل از پروژه‌ی Treble ، نفوذ به هر کدام از این HAL ها به منزله‌ی دسترسی سیستمی بود اما در آندروید 8، دسترسی‌های هر HAL محدود به خودشان است.

برای چندین سال، احراز هویت دو مرحله‌ای به عنوان مهم‌‌ترین توصیه در امنیت فضای مجازی اشخاص به شمار می‌رفت، ابزاری که شرکت‌های فناوری اطلاعات دیر به اهمیت آن پی بردندالبته بعد از هک شدن حساب‌های توییتر، آمازون و اپل «مت هونان» در سال2012 [1]، جنبشی برای استفاده از این شیوه‌ی احراز هویت شکل گرفتدر آن زمان تعداد اندکی از شرکت‌های فناوری اطلاعات احراز هویت دو مرحله‌ای را ارائه می‌کردنددر نتیجه، کارزار عمومی بزرگی شکل گرفت که شرکت‌ها را مجبور به پیاده‌سازی احراز هویت دو مرحله‌ای برای جلوگیری از سرقت حساب کاربران می‌کرد.

پنج سال از آن زمان می‌گذرد و به نظر می‌رسد پیاده‌سازی نسبتا گسترده‌ی احراز هویت دو مرحله‌ای، از توجه به آن کاسته باشدتقریبا تمام سرویس‌دهنده‌های بزرگ فضای مجازی، نوعی از احراز هویت دو مرحله‌ای را ارائه می‌کنند اما انواع مختلف آن، تفاوت‌های زیادی در نحوه‌ی محافظت از حساب‌های افراد دارندهکرهای مستعد مشکل چندانی برای دورزدن پیاده‌سازی‌های ضعیف احراز هویت دو مرحله‌ای ندارند؛ چراکه رویکرد شرکت‌ها به این نوع احراز هویت، مانند قرص آسپرین بوده است (راه حلی ساده، یکپارچه و چند‌منظوره برای حل اکثر مشکلات امنیتی!) ولی واقعیت پیچیده‌تر از این استگرچه چارچوب کلی این ویژگی هنوز امنیت مناسبی را ارائه می‌کند اما زمان آن رسیده که نسبت به محدودیت‌های آن واقع‌بین باشیمدر سال 2017، فقط داشتن احراز هویت دو مرحله‌ای کافی نیست.

در پنج سال گذشته، بیشترین تمرکز کارزار احراز هویت دو مرحله‌ای، سایت twofactorauth.org بوده استهدف این سایت رسواسازی سایت‌ها و محصولاتی است که از این نوع احراز هویت استفاده نمی‌کننداین سایت با معرفی شرکت‌هایی که احراز هویت دو مرحله‌ای ندارند، راه ساده‌ای برای کاربران فراهم می‌کند تا با ارسال توییت به این شرکت‌ها، از خجالتشان دربیاینداین سایت روزی چند صد هزار توییت برای خوار کردن این شرکت‌ها می‌فرستدبه نظر می‌رسد این کارزار جواب داده باشدتقریبا تمام شرکت‌ها نوعی از احراز هویت دو مرحله‌ای را ارائه می‌دهندشرکت‌هایی مثل آمازون و بیت باکت هم اخیرا خود را با این احراز هویت وفق دادند اما نتفلیکس شاید بزرگ‌ترین شرکتی باشد که هنوز در مقابل آن مقاومت می‌کندهمینطور تنها سرویس‌های ایمیل گمنام مثل میگادو وmail.com احراز هویت دو مرحله‌ای ندارندبخش‌هایی مثل شرکت‌های هواپیمایی و بانک‌ها هم ممکن است از قافله عقب باشند اما اکثر شرکت‌ها پیام کاربران را گرفته‌اند: «اگر احراز هویت دو مرحله‌ای ندارید، از سرویس دیگری استفاده می‌کنیم».

اما پیروزی کمی آشفته‌تر از آنیست که کسی گمان می‌کردده‌ها نوع مختلف از احراز هویت دو مرحله‌ای وجود دارد که امکان لیست کردن همه‌ی آن‌ها در این مطلب نیستبعضی از سرویس‌ها از پیامک برای ارسال کد تایید استفاده می‌کنند، برخی هم از طریق ایمیل.سرویس‌هایی هم هستند که از روش‌های سخت‌تری مثل برنامه‌ی احراز هویت گوگل (Google Auth) استفاده می‌کنندهمچنین با پرداخت 18 دلار می‌توانید درایو usbمخصوصی خریداری کنید که به عنوان مرحله‌ی دوم احراز هویت شما استفاده شود؛ این شیوه بوسیله‌ی اکثر سرویس‌ها پشتیبانی شده و از امن‌ترین روش‌های موجود می‌باشد (تا زمانی که usb را گم نکنید!). جدای از روش‌های سخت‌افزاری، اکثر سرویس‌ها رمز دوم را از طریق بسترهای مخابراتی ارسال می‌کنندبا توجه به امکان رهگیری (Intercept) پیام‌ها در میان راه، بعضی از این روش‌ها امنیت پایین‌تری نسبت به بقیه روش‌ها دارنداما آنقدر تعداد این روش‌ها زیاد است که حتی کاربران ماهر از روش‌های امن‌تر اطلاع ندارند چه رسد به مشتریان عادی.

از همان ابتدا وعده‌ی امنیت احراز هویت دو مرحله‌ای در سراشیبی قرار گرفتدر سال2014 هکرها با هدف قرار دادن سرویس‌های خدماتی بیت کوین، از طریق رهگیری توکن ها و استفاده از شیوه‌های بازیابی حساب، راهی برای دورزدن مرحله دوم احراز هویت پیدا کردنددر بعضی موارد هکرها مستقیما حساب اپراتور تلفن همراه را هدف قرار داده و با فعال‌سازی سرویس هدایت تماس (Call Forwarding) توانستند رمز دوم را دریافت کنند.این حمله‌ها معضلی جدی برای کاربران بیت کوین به وجود آورد چراکه تراکنش‌های چند هزار دلاری، هکرها را ترغیب می‌کرد تا از روش‌های معمول فراتر بروندهمین ماه گذشته یکی از کاربران بیت کوین هزار دلار از طریق هک شدن حساب ورایزن (Verizon) از دست داد [2]این حملات فقط برای کاربران ماهر مشکل ساز نیست؛ ماه گذشته سایت The Intercept سندی منتشر کرد که نشان می‌داد هکرهای روس نقشه‌ای برای هدف قرار دادن حساب‌های دو مرحله‌ای مقامات انتخاباتی آمریکا داشتنددر نمونه‌ای دیگر، بنیانگذار کریپتوکت اعلام کرد که ثبت یک دستگاه آلوده به نرم‌افزار مخرب، به هکرها اجازه‌ی شکستن احراز هویت دو مرحله‌ای را می‌دهد.

اکثر این مشکلات مربوط به خود احراز هویت دو مرحله‌ای نیست، بلکه مربوط به هر چیزی است که احراز هویت دو مرحله‌ای به آن وابسته استبه عنوان نمونه دورزدن روال بازیابی حساب کاربری، نفوذ به تجهیزات سخت‌افزاری و زیرساخت‌های حامل از نقاط ضعف این احراز هویت هستندزیرساخت‌های مخابراتی بزرگ‌ترین نقطه ضعف هستنددر صورت لو رفتن حساب کاربری اپراتورهای تلفن همراه، ربودن تماس یا پیامک‌های دریافتی افراد کار چندان دشواری نیستبرای نرم‌افزارهایی مثل سیگنال که فقط به شماره موبایل افراد وابسته‌اند، دسترسی به حساب اپراتور می‌تواند به منزله‌ی دسترسی به حساب نرم‌افزار سیگنال باشددر عین حال، اپراتورها جزء کندترین شرکت‌ها در بکارگیری روش‌های احراز هویت امن هستند؛ بطوریکه یا از پین کد استفاده می‌کنند که براحتی قابل دور زدن است یا با سولات امنیتی پیش‌پا افتاده، حساب کاربری افراد را در اختیار هکرها می‌گذارند.

در همین حال، خاتمه دادن به روش‌های احراز هویت دو مرحله‌ای که ناامن بودنشان محرز شده است، کار دشواری استسال گذشته سازمان ملی استاندارد و فناوری آمریکا (NIST)به علت خطر رهگیری و اسپوفینگ، پشتیبانی خود از احراز هویت پیامکی را قطع کرد؛ اما شرکت‌های فناوری در واکنش به آن بسیار کند بودند چراکه در عین امنیت پایین، استفاده از آن آسان است و تا زمانی که اسمش احراز هویت دو مرحله‌ای باشد، اکثر کاربران تفاوتش با بقیه روش‌ها را نمی‌فهمندهمینطور رویکرد اکثر شرکت‌ها در قبال احراز هویت دو مرحله‌ای، فقط برای گذاشتن علامت تیک جلوی چک لیست امنیتی شرکتشان است.

عجله برای پیاده‌سازی احراز هویت دو مرحله‌ای، علاوه بر مشکلات امنیتی، باعث سردرگمی کاربران هم شده استبعد از جنجال سیستم آیکلود اپل که باعث لو رفتن عکس‌های خصوصی بسیاری از کاربران شد، اپل سیاست جدیدی معرفی کرد که در آن فراموش کردن رمز عبور و «کلید بازیابی حساب» ممکن است منجر به قفل دائمی حساب کاربر شودبه عبارت دیگر سخت‌تر شدن سیاست ها و روش‌های احراز هویت ممکن است باعث شود کاربران عطای احراز هویت دو مرحله‌ای را به لقایش ببخشند و از همان روش‌های معمول رمز عبور استفاده کنند.

گوگل از معدود شرکت‌هایی است که به مشتریان سازمانیش اجازه می‌دهد تا استفاده از توکن‌های ناامن مثل SMS را به کل مسدود کننددر این سرویس، گوگل به مدیر فناوری اطلاعات سازمان این اجازه را می‌دهد تا همه‌ی کاربران سازمان را مجبور به استفاده از یک روش لاگین مخصوص بکندالبته این روش بیشتر برای سازمان‌هایی کاربرد دارد که یک مدیر وظیفه‌ی سیاست‌گذاری امنیت و آموزش کاربران را بر عهده داردمعلوم نیست که چگونه می‌توان چنین سیاست سختی را برای میلیاردها کاربر جیمیل پیاده‌سازی کرد.حقیقتی که درباره‌ی اکثر کاربران وجود دارد این است که امنیتی بیشتر از آن چیزی که فکر می‌کنند به آن نیاز دارند را نمی‌پذیرندبنابراین سرویس‌دهندگان باید سیاستی را برگزینند که دارای تعادل مناسب بین میزان امنیت و کاربرد آسان باشد.

هیچ کدام از این مطالب به معنی بیهوده بودن احراز هویت دو مرحله‌ای نیست، بلکه نشان می‌دهد که این روش آن داروی همه‌کاره‌ای که متخصصین فکرش را می‌کردند نیستگرچه اضافه کردن یک کد عبور دوم باعث سخت‌تر شدن روال لاگین می‌شود، اما هکرها همیشه رویکردی جدید برای حملات خود پیدا می‌کننددرواقع نقاط ضعفی مثل بستر مخابراتی و بخش خدمات مشتری سازمان‌ها هستند که تعیین‌کننده‌ی میزان امنیت حساب کاربران هستندهمین باعث می‌شود تا انتخاب امن‌ترین برنامه کاربردی به امر بسیار دشواری تبدیل شود زیرا کشف این نقاط ضعف با بررسی ظاهری، کار غیرممکنی استبه همین دلیل پیشگامان امنیت سایبری باید از بحث احراز هویت دو مرحله‌ای فراتر رفته و روی تشخیص تهدید تمرکز کنندارزیابی اطلاعات محیطی مثل «رفتار کاربر در صفحه‌ی لاگین» یا«اطلاعات دریافتی از دستگاه یا مرورگر کاربر» می‌تواند بهترین رویکرد برای تشخیص رفتارهای مشکوک هنگام ورود به حساب کاربری باشدلذا در آینده، علاوه بر جلوگیری از نفوذ، باید روی تشخیص تهدید هم تمرکز ویژه‌ای کرد؛ به خصوص شرکت‌های بزرگی مثل فیسبوک و گوگل که علاوه بر دسترسی به اقیانوسی از اطلاعات، بخش‌های بزرگی از سازمانشان را به یادگیری ماشین و هوش مصنوعی اختصاص داده‌اند.

نتیجه‌ای که در دراز‌مدت حاصل خواهد شد همان چیزیست که در گذشته داشتیممدیران سازمانی کاربران را خلع سلاح خواهند کرد و امنیت اطلاعات به متخصیص سپرده خواهد شداین الزاما خبر بدی نیست زیرا تشخیص تهدید نیز همانند احراز هویت دو مرحله‌ای، حساب‌های کاربران را امن‌تر خواهد کرد با این تفاوت که این سیستم برای کاربران ملموس نبوده و تشخیص امنیت سرویسی که از آن استفاده می‌کنند را سخت‌تر می‌کندهمین باعث می‌شود تا کاربران در موقعیت دشواری قرار بگیرندالبته هنوز هم استفاده از احراز هویت دو مرحله‌ای، پیشنهاد خوبی به کاربران است اما کافی نیست.

1 https://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/

2 https://medium.com/@CodyBrown/how-to-lose-8k-worth-of-bitcoin-in-15-minutes-with-verizon-and-coinbase-com-ba75fb8d0bac

طبق آخرین گزارش‌‌ها، باگ جدیدی در سیستم عامل مکینتاش High Sierra پیدا شده که به هر فردی اجازه می‌دهد بدون داشتن نام کاربری و رمز عبور، با سطح دسترسی ادمین به کامپیوتر لاگین کند. اپل شب سه‌شنبه، ضمن تایید این خبر، دستورالعملی برای کاربران خود منتشر کرد تا از کامپبوتر خود در برابر باگ مذبور محافظت کنند. این آسیب‌پذیری امروز در توییتر به اشتراک گذاشته شد و مشخص نیست که آیا قبلا بطور خصوصی به اپل گزارش شده یا کارشناسان اپل شخصا این آسیب‌پذیری را کشف کرده‌اند. البته گزارش کردن این باگ بطور خصوصی چندان بعید به نظر نمی‌رسد چراکه اپل برای گزارش باگ‌ها، سیستمی مبتنی بر جایزه دارد.

گرچه این باگ در نسخه‌های دیگر مکینتاش دیده نشده است، اما در آخرین نسخه High Sierra 10.13.1 وجود دارد. بعد از بهره‌برداری از این آسیب‌پذیری، نفوذگر می‌تواند با دسترسی ادمین به کامپیوتر لاگین کرده و از تمام دسترسی‌ها، از قبیل دسترسی به فایل‌ها، تغییر نام‌های کاربری و رمزهای عبور، تغییر اکانت اپل متصل به کامپیوتر و …، استفاده کند. با توجه به گستردگی و عمق آسیب‌پذیری، بنظر می‌رسد اپل به سرعت برای انتشار آپدیت اقدام کند، گرچه هنوز برنامه زمانی برای آن ارائه نکرده است. تا آن زمان، بهترین راهکار برای محافظت از مک‌های آسیب‌پذیر، رفتن به آدرس زیر و فعال‌سازی کاربر روت و انتخاب رمز عبور برای آن است.

System Preferences > Users & Groups > Login Options > Join > Open Directory Utility > Edit

طبق آخرین گزارش‌های منتشر شده بوسیله محققین امنیت سایبری، اکسپلویت (کد مخرب)جدیدی بنام کراک (KRACK) این توانایی را دارد تا با استفاده از آسیب‌پذیری‌های موجود در پروتکل امنیت وای فای، ترافیک بین کامپیوتر و اکسس پوینت‌ها را شنود کنداین اکسپلویت که ابتدا توسط سایت آرستکنیکا [1] افشا شد، از آسیب‌پذیری‌های موجود در مدیریت کلید پروتکل امنیتی WPA2، که از پراستفاده‌ترین رویه‌های احراز هویت است، استفاده می‌کندبنابراین هر وسیله‌ای که دارای وای فای می‌باشد، به احتمال زیاد دچار این آسیب پذیری خواهد بود.

در واکنش به انتشار این اکسپلویت، تیم آمادگی اضطراری رایانه‌ای ایالات متحده (US-CERT) بیانیه زیر را منتشر کرده است:

«این مجموعه از تعداد زیادی باگ مدیریت کلید در دستدهی (handshake) چهارطرفه‌ی پروتکل امنیتی (WPA2 (Wi-Fi Protected Access II مطلع شده استاین آسیب‌پذیری بخش‌های مختلفی مثل رمزگشایی، پاسخ بسته، ربودن اتصال TCP و تزریق محتوایHTTP را شامل می‌شودتوجه داشته باشید که مانند همه‌ی مشکلات در سطح پروتکل، این باگ نیز همه‌ی پیاده‌سازی‌های استاندارد WPA2 را تحت تاثیر قرار خواهد داد

همچنین حدود 41 درصد دستگاه‌های اندروید به نوع بسیار ویرانگرتری از این اکسپلویت آسیب‌پذیر هستندگوگل اعلام کرده است که از مشکل آگاه بوده و در هفته های آتی وصله هایی (patch) برای دستگاه‌های آسیب‌پذیر منتشر خواهد کرددر کل همه‌ی دستگاه‌های مجهز به وای فای تا درجه‌ای در برابر سرقت اطلاعات و تزریق کد باجگیر آسیب‌پذیر هستندمحققان توصیه کردند تا کاربران بلافاصله بعد از انتشار وصله، دستگاه‌های خود را بروز کنند و تا آن زمان از پروتکل WPA2 استفاده کنند چراکه WPA1 نیز آسیب‌پذیر بوده،WEP هم که معلوم الحال است.

1 https://arstechnica.com/information-technology/2017/10/severe-flaw-in-wpa2-protocol-leaves-wi-fi-traffic-open-to-eavesdropping/