اینترنت آن قدرها هم امنیت ندارد!

بیشتر ما از موتورهای جستجو برای یافتن اطلاعات مورد نظر بر روی وب استفاده می‌کنیم. اما مدتی است که یک موتور جستجوی منحصر به فرد طراحی شده که می‌تواند تجهیزات مختلف متصل به وب را یافته و اطلاعات مربوط به آن را به کاربر نشان دهد. این موتور جستجو که «شودان» (Shodan) نام دارد، توسط یک متخصص رایانه به نام «جان مترلی» John Matherly طراحی شده است. آقای مترلی در گفتگویی به نشریه نیوساینتیست به تشریح این نوآوری و نیز خطرات گوناگون امنیتی که در کمین کاربران مختلف اینترنت وجود دارد می‌پردازد.

اینترنت بسیار بزرگتر از چیزی است که مردم فکر می‌کنند. درست است؟

از نظر بسیاری از مردم، وب همان اینترنت است. برای نمونه وب‌سایت‌هایی نظیر گوگل و یاهو از جمله شناخته شده‌ترین پایگاه ها در وب هستند، اما واقعیت این است که وب بر روی اینترنت قرار می‌گیرد و در واقع وب بخش بسیار کوچکی از اینترنت به شمار می‌رود. اینترنت دربردارنده انبوهی از وبکم‌ها، نیروگاه‌های متصل به شبکه، چاپگرها و خلاصه میلیاردها وسیله متصل است.

فضای وب فقط زیرمجموعه ای از اینترنت به شمار می رود.

اولین بار چه وقت این مساله نظر شما را به خود جلب کرد؟

وقتی شروع به کار کردم، اینترنت را شبیه به یک مجموعه بسیار بزرگ و سرشار از راز و رمز می‌دانستم. اما هرگز فکر نمی کردم که روزی بتوانم همه ابزارهای متصل به آن را شناسایی کنم. پس از مدتی به این نتیجه رسیدم که تاکنون کسی چنین کاری انجام نداده است. به همین دلیل بود که پروژه را با جمع آوری اطلاعات در این زمینه آغاز کردم. بررسی‌هایم نشان داد که می‌توان کل مجموعه اینترنت را مورد بررسی قرار داد و به همین دلیل ابزاری ویژه برای این کار طراحی کردم. وقتی دیدم افراد زیادی از این ابزار برای یافتن پرینتر، بانک داده، سامانه‌های کنترل صنعتی، تلفن همراه، خودرو و انبوهی از وسایل متصل به اینترنت استفاده می‌کنند، به این نتیجه رسیدم که ابزارم نوعی موتور جستجو به شمار می‌رود.

شودان چگونه کار می‌کند؟

حدود 4 میلیارد نشانی عمومی (آی.پی) وجود دارد که ابزارهای مختلف می‌توانند برای حضور در اینترنت از آنها استفاده کنند. شودان به صورت تصادفی، یک آی.پی را انتخاب می‌کند و به سراغ آن می‌رود و از آن آی.پی می‌پرسد که آیا نرم افزاری با قابلیت دسترسی به فضای آنلاین دارد یا خیر. اگر دستگاه پاسخ مثبت دهد، شودان آن را ثبت کرده و به سراغ آی.پی تصادفی بعدی می‌رود. با اینکه این شیوه تصادفی است، اما با استفاده از آن می‌توان تمام چیزهای متصل به اینترنت را طی چند ساعت یافت.

موتور جستجوی شودان می تواند با یک شیوه تصادفی، طی چند ساعت همه تجهیزات متصل به اینترنت را بیابد. 

چرا چنین موتور جستجویی را ایجاد کردید؟

هدف اصلی من از طراحی این موتور جستجو، ساخت ابزاری برای فروش اطلاعات بود. فکر می‌کردم می‌توانم این سرویس را به شرکت‌ها بفروشم تا به این ترتیب بتوانند افرادی که از نرم افزار آنها استفاده می‌کنند و یا اینکه مثلا آیا مشتریان آنها به صورت منظم نرم افزار خود را به روزرسانی می‌کنند یا خیر را شناسایی کنند. یا اینکه با استفاده از این سامانه، کشورهایی که بیشتر به محصول آنها یا محصول رقیب‌شان علاقمندند را شناسایی کنند. هدفم از طراحی شودان، مسایل امنیتی حوزه اینترنت نبود.

چه چیزی در این میان، شما را شگفت زده کرد؟

سامانه‌های کنترل مختلفی که به اینترنت متصل بود مرا حسابی متعجب کرد. من در دو رشته زیست شناسی و علوم رایانه تحصیل کرده‌ام و هرگز فکرش را نمی‌کردم که هر کسی با استفاده از این موتور جستجو بتواند سامانه کنترل نیروگاه هسته‌ای متصل به اینترنت را بیابد. اما چنین سامانه‌هایی را می‌شد در این موتور جستجو یافت. البته پس از اینکه متوجه این مساله شدیم، بلافاصله اطلاعات مربوط به آنها را از دسترس کاربران خارج کردیم. البته چیزهای عجیب دیگری نیز یافتیم که برای نمونه می‌توان به واحدهای کارواش اشاره کرد. هیچ وقت فکر نمی‌کردم چنین مکان‌هایی این قدر مجهز و به روز شده باشند.

آیا هر کسی می تواند به این سامانه ها دسترسی یابد و در کار آنها اختلال ایجاد کند؟

خیر. تفاوت زیادی بین دسترسی داشتن به یک سامانه و توانایی ایجاد مشکل در آن وجود دارد. فقط افرادی که با نحوه کار این سامانه‌ها آشنایی کافی دارند می‌توانند مشکل ساز باشند. برای نمونه اگر طریقه کار با سامانه یک توربین بادی بزرگ را نداشته باشید، نمی‌توانید خسارتی نیز به آن وارد کنید. با این وجود، این مساله عذر موجهی برای اتصال این سامانه ها به اینترنت نمی‌شود.

اختلال در سامانه های پیچیده کنترل، فقط از کسانی که اطلاعات کافی دارند بر می آید. 

اصلا چرا این زیرساخت‌های حساس به اینترنت متصل می‌شوند؟

فرض کنید که مدیر یک نیروگاه بادی با ده‌ها توربین هستید. اگر در نرم افزار نیروگاه یک حفره امنیتی یا هر نوع اشکال دیگر پیدا شود، لازم نیست که تکنسینی را به تک تک این توربین‌ها بفرستید، زیرا این کار بسیار زمانبر و پرهزینه خواهد بود. در عوض اگر همه این توربین‌ها به اینترنت متصل باشند، به راحتی می‌توان این به روزرسانی نرم افزار را به انجام رساند.

 

اما سئوال اینجاست که چرا دسترسی این زیرساخت‌های مهم برای همگان امکان‌پذیر است؟

سامانه‌های کنترل معمولا از شیوه تعیین هویت کاربر برخوردار نیستند و بیشتر اوقات می‌بینیم که بین 15 تا 20 سال پیش طراحی شده‌اند. به این ترتیب، مواردی نظیر الزام به تعیین هویت کاربر و یا موارد ایمنی دیگر در آنها لحاظ نشده است، زیرا بیشتر این نرم افزارها به صورت ویژه و محلی مورد استفاده قرار می‌گیرند. وقتی چنین سامانه‌هایی را در اینترنت می‌یابیم، به این معناست که دسترسی کاملی نیز به آنها خواهیم داشت.

آیا تاکنون شده نیمه شب با کسی تماس بگیرید و او را از خطر مهمی که به صورت آنلاین برایش وجود دارد آگاه کنید؟

بله. چند باری این وضعیت پیش آمده است. یک بار، یک بانک داده بسیار بزرگ که شامل اطلاعات فردی زیادی بود را پیدا کردم. البته در بیشتر موارد، با شرکتی که مسئول است تماس نمی‌گیرم، زیرا شاید برخورد مناسبی نداشته باشند. در این موارد، من به سازمان‌های دولتی که تنها وظیفه‌شان واکنش به هر نوع فعالیت مخرب در اینترنت است اطلاع می‌دهم. این سازمان‌ها خودشان اقدامات لازم را به انجام می‌رسانند.

آیا ممکن است که هکرها از اطلاعات موجود در در موتور جستجوی شودان سوء استفاده کنند؟

حتی اطلاعات موجود در گوگل نیز به گونه‌ای است که هکرها می‌توانند از آن برای انواع فعالیت‌های خرابکارانه استفاده کنند. البته نوع استفاده از اطلاعات گوگل برای خرابکاری با شودان متفاوت است.

ما اقدامات زیادی را برای کاهش احتمال خرابکاری به انجام رسانده‌ایم. ما به کاربران اجازه دانلود مجموع اطلاعات بانک داده را نمی‌دهیم، مگر آنها قراردادی با شرکت آنها داشته باشیم. همچنین اقداماتی برای کاهش دسترسی افرادی که با هویت مجهول از شودان استفاده می‌کنند به انجام رسانده‌ایم. اما حتی پیش از اینکه شودان در دسترس کاربران قرار گیرد، راه‌های دیگری نیز برای پیدا کردن این اطلاعات وجود داشت که برای نمونه می‌توان به استفاده از انواع بدافزار اشاره کرد. حداقل، در حال حاضر شیوه‌ای برای افرادی که با نیت درست قصد به دست آوردن این اطلاعات را دارد وجود دارد.

این موتور جستجو، امکان سوء استفاده کاربران را به حداقل رسانده است. 

آیا رشد اینترنت سبب نگرانی شما می‌شود؟

من بیشتر نگران مسیری هستیم که اینترنت می‌رود، زیرا نگرانی‌های امنیتی پس از آن روی می‌دهد. همه چیز، از تلویزیون‌های هوشمند گرفته تا دستگاه‌های آبیاری قطره‌ای و لامپ‌های روشنایی به اینترنت متصل هستند. البته بسیاری از مردم از اینکه بتوانند همه این وسایل را از طریق اینترنت هدایت و کنترل کنند خوش‌شان می‌آید. اما فرض کنید که یک بدافزار قابل سرایت به سایر دستگاه‌ها درون لامپ خانه‌مان وجود داشته باشد. در این صورت چه کاری می‌توانیم انجام دهیم و انتظار چه پیامدهایی را باید داشته باشیم؟

یکی دیگر از خطراتی که با آن مواجه هستیم، تعدد دستگاه‌های متصل به اینترنت است. مثلا فرض کنید که یک هکر یا بدافزار بخواهد عملکرد همه یخچال‌های موجود در قاره اروپا و یا همه کولرهای در حال کار در یک کشور گرمسیر را از کار بیاندازد. همه این دستگاه‌ها عمر زیادی دارند و معمولا زود به زود تعویض نمی‌شوند. به همین دلیل بروز مشکل در آنها می تواند دردسرهای زیادی به همراه داشته باشد.

چگونه کاربران می‌توانند در این فضا خود از خود محافظت کنند؟

بهترین راه این است که برای رایانه و یا گوشی هوشمند خود گذر واژه و یا تائید هویت کاربری ایجاد کنند. در غیر این صورت، شاید هر کسی بتواند به اطلاعات آن دسترسی یابد. دومین نکته مهم این است که تجهیزاتی را بخرند که نرم افزارشان به صورت خودکار به روز رسانی می‌شود.

حجم حملات سایبری در آینده به مراتب بیشتر خواهد بود. 

به نظر شما آیا در آینده شاهد حجم بیشتری از حمله‌ها‌ی سایبری خواهیم بود؟

بی تردید همین طور خواهد بود. حتی چند روز پس از عرضه آخرین مدل‌های گوشی و یا سایر تجهیزات به بازار می‌بینیم که نقص‌های امنیتی آنها آشکار می‌شود. با وجود اینکه در فرآیند طراحی و تولید این تجهیزات نظارت وجود دارد، اما این نظارت به تنهایی کافی است. به همین دلیل در آینده شاهد بروز هر چه بیشتر این مسایل خواهیم بود.

 

منبع: مجله نیوساینتیست

ترجمه: صالح سپهری فر

No tags for this post.