طبق گزارش اخیر گروه بین‌المللی حریم خصوصی (Privacy International – PI) نرم‌افزارهای اندرویدی بعضی از شرکت‌های مهم، مانند دولینگو و یلپ (Yelp) هنوز اطلاعات گوشی‌های کاربران را به صورت مستقیم به فیسبوک ارسال می‌کنند. ارسال این اطلاعات، حتی اگر حساب کاربری فیسبوک نداشته باشید یا وارد حساب کاربری خود نشده باشید نیز انجام می‌شود. به غیر از اپلیکیشن‌های مذکور، دو برنامه اسلامی، یک برنامه مسیحی و یک برنامه جستجوی مشاغل به نام Indeed نیز اطلاعات مشابهی را به فیسبوک ارسال می‌کنند. این اطلاعات می‌تواند برای شناسایی افراد هنگام گشت و گذار در این شبکه اجتماعی مورد استفاده قرار گیرد.

هنوز مشخص نیست که این داده‌ها دقیقا شامل چه نوع اطلاعاتی هستند اما احتمالا شامل شناسه‌های اختصاصی باشد که به فیسبوک در رهگیری افراد در سرویس‌های مختلف خود کمک خواهد کرد.

طبق گزارش اولیه این گروه که در دسامبر سال گذشته منتشر شد، فیسبوک به طور معمول کابران خود و حتی کسانی که حساب کاربری فیسبوک ندارند را با ابزارهای تجاری خود (Facebook Business Tools) رهگیری می‌کند. این عمل توسط توسعه‌دهندگانِ برنامه‌های موبایل و بوسیله کیت توسعه نرم‌افزار فیسبوک (SDK) صورت می‌گیرد. بعد از انتشار این گزارش، بسیاری از برنامه‌های اندورید مانند اسپاتیفای و اکثر برنامه‌های iOS ارسال اطلاعات را متوقف کردند. در هر صورت، برنامه‌های دولینگو، یلپ و بسیاری برنامه‌های دیگر که تعداد دقیق آن‌ها مشخص نیست، هنوز ارسال اطلاعات به فیسبوک را متوقف نکرده‌اند.

دیروز، کنسرسیوم تارنمای گسترده جهانی (World Wide Web Consortium – W3C) استاندارد جدیدی را با هدف حذف پسورد به عنوان ابزاری برای محافظت از حساب‌های کاربری، به تصویب رساند. استاندارد «احراز هویت تحت وب» یا همان WebAuthn، که برای اولین بار در سال گذشته رونمایی شد، در اکثر مرورگرها مانند کروم، فایرفاکس، سافاری و مایکروسافت اج پشتیبانی می‌شود. تصویب این روش به عنوان یک استاندارد رسمی، راه را برای پذیرش گسترده‌ی این استاندارد توسط سایت‌ها هموار خواهد کرد.

در واقع، استاندارد احراز هویت وب یک رابط برنامه‌نویسی (API) است که به سایت‌ها این امکان را می‌دهد تا برای لاگین کردنِ کاربران خود، به یک ابزار امنیتی متصل شوند. این ابزار امنیتی می‌تواند یک کلید سخت‌افزاری ساده با رابط یو اس بی یا یک دستگاه پیچیده‌تر مانند ابزارهای بیومتریک باشد. نکته اصلی این است که این استاندارد بسیار امن‌تر از رمزهای عبور ضعیفی است که در اینترنت استفاده می‌شود. همچنین، این روش بسیار ساده‌تر از به خاطر سپردن پسوردهای متعدد است.

حالا که W3C این استاندارد را تایید کرده است، مرحله بعدی پیاده‌سازی آن توسط سایت‌ها خواهد بود. دارپ‌باکس جزو اولین سایت‌هایی بود که سال گذشته استاندارد احراز هویت تحت وب را پیاده‌سازی کرد؛ اندکی پس از آن مایکروسافت هم با پیاده‌سازی این استاندارد، به دراپ‌باکس پیوست. گرچه هنوز تا حذف کامل رمز عبور زمان زیادی باقی است، تصویب این استاندارد آن را یک قدم به جایگزینی رمزهای عبور نزدیک‌تر کرده است.

انتشار قابلیت حذف تاریخچه فیسبوک، که قرار بود به عنوان ابزاری برای پاک کردن فعالیت کاربران در این شبکه اجتماعی مورد استفاده قرار گیرد، تا پایان سال جاری به تعویق افتاد. این قابلیت به کاربران فیسبوک اجازه خواهد داد تا جلوی استفاده سایت‌ها و ابزارهای ثالث از اطلاعاشان را بگیرند.

وعده‌ی این ابزار برای حذف تاریخچه فیسبوک، ماه می سال گذشته و با هدف برگرداندن اعتبار فیسبوک داده شده بود. در آن زمان، مارک زوکربرگ این ویژگی را به ابزار حذف تاریخچه مرورگرهای اینترنتی تشبیه کرده و قدمی مثبت برای بازسازی وجهه‌ی این شرکت بعد از ماجرای کمبریج آنالیتیکا عنوان کرده بود: «در مرورگرهای اینترنتی، شما راهکاری ساده برای پاک کردن تاریخچه و کوکی‌های خود دارید. گرچه بسیاری از سایت‌ها برای عملکرد مناسب به این کوکی‌ها احتیاج دارند ولی همیشه باید امکان پاک کردن آن‌ها وجود داشته باشد. ما در حال ساخت ابزاری مشابه در فیسبوک هستیم که به شما این امکان را می‌دهد تا به سادگی تاریخچه فیسبوک خود را، شامل صفحات بازدیدشده، کلیک‌ها و غیره، پاک کنید.»

هنوز نحوه عملکرد دقیق این ابزار مشخص نیست اما بسیاری از ابزارهای تجزیه و تحلیل و ردیاب‌های فیسبوک که فعالیت کاربران در سایت و بیرون آن را پایش می‌کنند، به این اطلاعات وابسته‌اند. بنابراین ابزاری برای حذف تاریخچه، تاثیر زیادی روی قابلیت تبلیغات هدفمند در فیسبوک خواهد گذاشت. علیرغم تاثیری که این ویژگی روی تجارت تبلیغاتی فیسبوک خواهد داشت، زاکربرگ این ابزار را برای جلب اعتماد کاربران فیسبوک ضروری می‌داند.

بنا به گزارشات، مراحل تست این ویژگی در بهار آینده آغاز خواهد شد.

مدت زمان زیادی است که توییتر به کاربران خود اجازه می‌دهد تا پیام‌های خصوصی را در سمت خود پاک کنند، گیرنده نیز در سمت خود بطور مستقل این اختیار را دارد تا پیام مورد نظر را حذف کند. اما آن طور که پیداست این پیام‌ها واقعا حذف نمی‌شوند. ظاهرا توییتر، برخلاف اعلان حذف پیام کاربر، آن‌ها را برای سال‌ها روی سرورهایش نگهداری می‌کند. کاربران با دانلود کردن آرشیو داده‌های خود در توییتر، می‌توانند به راحتی به این داده‌ها دسترسی داشته باشند. طبق بررسی‌های انجام شده، حتی پیام‌های ارسالی یا دریافتی از کاربران پاک شده یا غیرفعال نیز در این آرشیوها موجود است.

البته شاید این باگ آنچان نگران کننده نباشد، چرا که فقط خود کاربر به این داده‌ها دسترسی خواهد داشت. اما این واقعیت که توییتر پیام‌های کاربران را نگه می‌دارد، در حالی که به آن‌ها گفته این پیام‌ها پاک شده‌اند، جلوه‌ی خوبی برای توییتر نخواهد داشت. در هر صورت، این خبر تذکری جدی برای کاربران است تا به خاطر داشته باشند که بعید است چیزی از اینترنت پاک شود.

امروزه تقریبا هر مرورگر وبی دارای یک سیستم مدیریت اطلاعات لاگین است که می‌تواند اسم حساب و رمز عبور شما را ذخیره کند. افزونه‌های معتددی مانند «لست پس» نیز وجود دارند که می‌توانند این امکانات را در اختیار شما بگذارند. اما اطلاعات جدیدی که درتحقیقات مرکز فناوری اطلاعات پرینستون بدست آمده، نشان می‌دهد بعضی از شرکت‌های تبلیغ‌گذار از این اطلاعات برای رهگیری کاربران استفاده می‌کنند.

محققان اسکریپت‌های دو شرکت AdThink و OnAudience را مورد بررسی قرار داده و به این نتیجه رسیدند که هر دو طوری طراحی شده‌اند تا با استفاده از اطلاعات لاگین کاربران، رفتار آن‌ها را در وب رهگیری کنند. نحوه عملکرد این اسکریپت‌ها به این صورت است که فرم‌های لاگین متعددی را در پس‌زمینه و بصورت مخفی اینجکت کرده و هر اطلاعاتی که مرورگر بصورت خودکار در آن وارد کند را ذخیره می‌کند. سپس از این اطلاعات به عنوان یک شناسه منحصر به فرد برای رهگیری کاربران استفاده می‌کند، اطلاعاتی که در زمینه تبلیغات هدف‌دار بسیار ارزشمند است. گرچه این اسکریپت‌ها برای ذخیره کردن نام‌های کاربری طراحی شده‌اند اما هنوز راهکار مناسبی برای جلوگیری آن‌ها از دریافت اطلاعات مربوط به رمز عبور وجود ندارد. گرچه AdThink اعلام کرده که به کارابران اجازه می‌دهد تا از این طرح خارج شوند اما OnAudience هنوز واکنشی به این خبر نداده است. گرچه شاید مقصر اصلی سایت‌هایی باشند که ندانسته از اینگونه اسکریپت‌ها استفاده می‌کنند.

برای چندین سال، احراز هویت دو مرحله‌ای به عنوان مهم‌‌ترین توصیه در امنیت فضای مجازی اشخاص به شمار می‌رفت، ابزاری که شرکت‌های فناوری اطلاعات دیر به اهمیت آن پی بردندالبته بعد از هک شدن حساب‌های توییتر، آمازون و اپل «مت هونان» در سال۲۰۱۲ [۱]، جنبشی برای استفاده از این شیوه‌ی احراز هویت شکل گرفتدر آن زمان تعداد اندکی از شرکت‌های فناوری اطلاعات احراز هویت دو مرحله‌ای را ارائه می‌کردنددر نتیجه، کارزار عمومی بزرگی شکل گرفت که شرکت‌ها را مجبور به پیاده‌سازی احراز هویت دو مرحله‌ای برای جلوگیری از سرقت حساب کاربران می‌کرد.

پنج سال از آن زمان می‌گذرد و به نظر می‌رسد پیاده‌سازی نسبتا گسترده‌ی احراز هویت دو مرحله‌ای، از توجه به آن کاسته باشدتقریبا تمام سرویس‌دهنده‌های بزرگ فضای مجازی، نوعی از احراز هویت دو مرحله‌ای را ارائه می‌کنند اما انواع مختلف آن، تفاوت‌های زیادی در نحوه‌ی محافظت از حساب‌های افراد دارندهکرهای مستعد مشکل چندانی برای دورزدن پیاده‌سازی‌های ضعیف احراز هویت دو مرحله‌ای ندارند؛ چراکه رویکرد شرکت‌ها به این نوع احراز هویت، مانند قرص آسپرین بوده است (راه حلی ساده، یکپارچه و چند‌منظوره برای حل اکثر مشکلات امنیتی!) ولی واقعیت پیچیده‌تر از این استگرچه چارچوب کلی این ویژگی هنوز امنیت مناسبی را ارائه می‌کند اما زمان آن رسیده که نسبت به محدودیت‌های آن واقع‌بین باشیمدر سال ۲۰۱۷، فقط داشتن احراز هویت دو مرحله‌ای کافی نیست.

در پنج سال گذشته، بیشترین تمرکز کارزار احراز هویت دو مرحله‌ای، سایت twofactorauth.org بوده استهدف این سایت رسواسازی سایت‌ها و محصولاتی است که از این نوع احراز هویت استفاده نمی‌کننداین سایت با معرفی شرکت‌هایی که احراز هویت دو مرحله‌ای ندارند، راه ساده‌ای برای کاربران فراهم می‌کند تا با ارسال توییت به این شرکت‌ها، از خجالتشان دربیاینداین سایت روزی چند صد هزار توییت برای خوار کردن این شرکت‌ها می‌فرستدبه نظر می‌رسد این کارزار جواب داده باشدتقریبا تمام شرکت‌ها نوعی از احراز هویت دو مرحله‌ای را ارائه می‌دهندشرکت‌هایی مثل آمازون و بیت باکت هم اخیرا خود را با این احراز هویت وفق دادند اما نتفلیکس شاید بزرگ‌ترین شرکتی باشد که هنوز در مقابل آن مقاومت می‌کندهمینطور تنها سرویس‌های ایمیل گمنام مثل میگادو وmail.com احراز هویت دو مرحله‌ای ندارندبخش‌هایی مثل شرکت‌های هواپیمایی و بانک‌ها هم ممکن است از قافله عقب باشند اما اکثر شرکت‌ها پیام کاربران را گرفته‌اند: «اگر احراز هویت دو مرحله‌ای ندارید، از سرویس دیگری استفاده می‌کنیم».

اما پیروزی کمی آشفته‌تر از آنیست که کسی گمان می‌کردده‌ها نوع مختلف از احراز هویت دو مرحله‌ای وجود دارد که امکان لیست کردن همه‌ی آن‌ها در این مطلب نیستبعضی از سرویس‌ها از پیامک برای ارسال کد تایید استفاده می‌کنند، برخی هم از طریق ایمیل.سرویس‌هایی هم هستند که از روش‌های سخت‌تری مثل برنامه‌ی احراز هویت گوگل (Google Auth) استفاده می‌کنندهمچنین با پرداخت ۱۸ دلار می‌توانید درایو usbمخصوصی خریداری کنید که به عنوان مرحله‌ی دوم احراز هویت شما استفاده شود؛ این شیوه بوسیله‌ی اکثر سرویس‌ها پشتیبانی شده و از امن‌ترین روش‌های موجود می‌باشد (تا زمانی که usb را گم نکنید!). جدای از روش‌های سخت‌افزاری، اکثر سرویس‌ها رمز دوم را از طریق بسترهای مخابراتی ارسال می‌کنندبا توجه به امکان رهگیری (Intercept) پیام‌ها در میان راه، بعضی از این روش‌ها امنیت پایین‌تری نسبت به بقیه روش‌ها دارنداما آنقدر تعداد این روش‌ها زیاد است که حتی کاربران ماهر از روش‌های امن‌تر اطلاع ندارند چه رسد به مشتریان عادی.

از همان ابتدا وعده‌ی امنیت احراز هویت دو مرحله‌ای در سراشیبی قرار گرفتدر سال۲۰۱۴ هکرها با هدف قرار دادن سرویس‌های خدماتی بیت کوین، از طریق رهگیری توکن ها و استفاده از شیوه‌های بازیابی حساب، راهی برای دورزدن مرحله دوم احراز هویت پیدا کردنددر بعضی موارد هکرها مستقیما حساب اپراتور تلفن همراه را هدف قرار داده و با فعال‌سازی سرویس هدایت تماس (Call Forwarding) توانستند رمز دوم را دریافت کنند.این حمله‌ها معضلی جدی برای کاربران بیت کوین به وجود آورد چراکه تراکنش‌های چند هزار دلاری، هکرها را ترغیب می‌کرد تا از روش‌های معمول فراتر بروندهمین ماه گذشته یکی از کاربران بیت کوین ۸ هزار دلار از طریق هک شدن حساب ورایزن (Verizon) از دست داد [۲]این حملات فقط برای کاربران ماهر مشکل ساز نیست؛ ماه گذشته سایت The Intercept سندی منتشر کرد که نشان می‌داد هکرهای روس نقشه‌ای برای هدف قرار دادن حساب‌های دو مرحله‌ای مقامات انتخاباتی آمریکا داشتنددر نمونه‌ای دیگر، بنیانگذار کریپتوکت اعلام کرد که ثبت یک دستگاه آلوده به نرم‌افزار مخرب، به هکرها اجازه‌ی شکستن احراز هویت دو مرحله‌ای را می‌دهد.

اکثر این مشکلات مربوط به خود احراز هویت دو مرحله‌ای نیست، بلکه مربوط به هر چیزی است که احراز هویت دو مرحله‌ای به آن وابسته استبه عنوان نمونه دورزدن روال بازیابی حساب کاربری، نفوذ به تجهیزات سخت‌افزاری و زیرساخت‌های حامل از نقاط ضعف این احراز هویت هستندزیرساخت‌های مخابراتی بزرگ‌ترین نقطه ضعف هستنددر صورت لو رفتن حساب کاربری اپراتورهای تلفن همراه، ربودن تماس یا پیامک‌های دریافتی افراد کار چندان دشواری نیستبرای نرم‌افزارهایی مثل سیگنال که فقط به شماره موبایل افراد وابسته‌اند، دسترسی به حساب اپراتور می‌تواند به منزله‌ی دسترسی به حساب نرم‌افزار سیگنال باشددر عین حال، اپراتورها جزء کندترین شرکت‌ها در بکارگیری روش‌های احراز هویت امن هستند؛ بطوریکه یا از پین کد استفاده می‌کنند که براحتی قابل دور زدن است یا با سولات امنیتی پیش‌پا افتاده، حساب کاربری افراد را در اختیار هکرها می‌گذارند.

در همین حال، خاتمه دادن به روش‌های احراز هویت دو مرحله‌ای که ناامن بودنشان محرز شده است، کار دشواری استسال گذشته سازمان ملی استاندارد و فناوری آمریکا (NIST)به علت خطر رهگیری و اسپوفینگ، پشتیبانی خود از احراز هویت پیامکی را قطع کرد؛ اما شرکت‌های فناوری در واکنش به آن بسیار کند بودند چراکه در عین امنیت پایین، استفاده از آن آسان است و تا زمانی که اسمش احراز هویت دو مرحله‌ای باشد، اکثر کاربران تفاوتش با بقیه روش‌ها را نمی‌فهمندهمینطور رویکرد اکثر شرکت‌ها در قبال احراز هویت دو مرحله‌ای، فقط برای گذاشتن علامت تیک جلوی چک لیست امنیتی شرکتشان است.

عجله برای پیاده‌سازی احراز هویت دو مرحله‌ای، علاوه بر مشکلات امنیتی، باعث سردرگمی کاربران هم شده استبعد از جنجال سیستم آیکلود اپل که باعث لو رفتن عکس‌های خصوصی بسیاری از کاربران شد، اپل سیاست جدیدی معرفی کرد که در آن فراموش کردن رمز عبور و «کلید بازیابی حساب» ممکن است منجر به قفل دائمی حساب کاربر شودبه عبارت دیگر سخت‌تر شدن سیاست ها و روش‌های احراز هویت ممکن است باعث شود کاربران عطای احراز هویت دو مرحله‌ای را به لقایش ببخشند و از همان روش‌های معمول رمز عبور استفاده کنند.

گوگل از معدود شرکت‌هایی است که به مشتریان سازمانیش اجازه می‌دهد تا استفاده از توکن‌های ناامن مثل SMS را به کل مسدود کننددر این سرویس، گوگل به مدیر فناوری اطلاعات سازمان این اجازه را می‌دهد تا همه‌ی کاربران سازمان را مجبور به استفاده از یک روش لاگین مخصوص بکندالبته این روش بیشتر برای سازمان‌هایی کاربرد دارد که یک مدیر وظیفه‌ی سیاست‌گذاری امنیت و آموزش کاربران را بر عهده داردمعلوم نیست که چگونه می‌توان چنین سیاست سختی را برای میلیاردها کاربر جیمیل پیاده‌سازی کرد.حقیقتی که درباره‌ی اکثر کاربران وجود دارد این است که امنیتی بیشتر از آن چیزی که فکر می‌کنند به آن نیاز دارند را نمی‌پذیرندبنابراین سرویس‌دهندگان باید سیاستی را برگزینند که دارای تعادل مناسب بین میزان امنیت و کاربرد آسان باشد.

هیچ کدام از این مطالب به معنی بیهوده بودن احراز هویت دو مرحله‌ای نیست، بلکه نشان می‌دهد که این روش آن داروی همه‌کاره‌ای که متخصصین فکرش را می‌کردند نیستگرچه اضافه کردن یک کد عبور دوم باعث سخت‌تر شدن روال لاگین می‌شود، اما هکرها همیشه رویکردی جدید برای حملات خود پیدا می‌کننددرواقع نقاط ضعفی مثل بستر مخابراتی و بخش خدمات مشتری سازمان‌ها هستند که تعیین‌کننده‌ی میزان امنیت حساب کاربران هستندهمین باعث می‌شود تا انتخاب امن‌ترین برنامه کاربردی به امر بسیار دشواری تبدیل شود زیرا کشف این نقاط ضعف با بررسی ظاهری، کار غیرممکنی استبه همین دلیل پیشگامان امنیت سایبری باید از بحث احراز هویت دو مرحله‌ای فراتر رفته و روی تشخیص تهدید تمرکز کنندارزیابی اطلاعات محیطی مثل «رفتار کاربر در صفحه‌ی لاگین» یا«اطلاعات دریافتی از دستگاه یا مرورگر کاربر» می‌تواند بهترین رویکرد برای تشخیص رفتارهای مشکوک هنگام ورود به حساب کاربری باشدلذا در آینده، علاوه بر جلوگیری از نفوذ، باید روی تشخیص تهدید هم تمرکز ویژه‌ای کرد؛ به خصوص شرکت‌های بزرگی مثل فیسبوک و گوگل که علاوه بر دسترسی به اقیانوسی از اطلاعات، بخش‌های بزرگی از سازمانشان را به یادگیری ماشین و هوش مصنوعی اختصاص داده‌اند.

نتیجه‌ای که در دراز‌مدت حاصل خواهد شد همان چیزیست که در گذشته داشتیممدیران سازمانی کاربران را خلع سلاح خواهند کرد و امنیت اطلاعات به متخصیص سپرده خواهد شداین الزاما خبر بدی نیست زیرا تشخیص تهدید نیز همانند احراز هویت دو مرحله‌ای، حساب‌های کاربران را امن‌تر خواهد کرد با این تفاوت که این سیستم برای کاربران ملموس نبوده و تشخیص امنیت سرویسی که از آن استفاده می‌کنند را سخت‌تر می‌کندهمین باعث می‌شود تا کاربران در موقعیت دشواری قرار بگیرندالبته هنوز هم استفاده از احراز هویت دو مرحله‌ای، پیشنهاد خوبی به کاربران است اما کافی نیست.

۱ https://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/

۲ https://medium.com/@CodyBrown/how-to-lose-8k-worth-of-bitcoin-in-15-minutes-with-verizon-and-coinbase-com-ba75fb8d0bac