Internet shutdowns do not create security
AManafiiقطع اینترنت امنیت ایجاد نمی‌کند
برخلاف ادعای کارگزاران جمهوری اسلامی، قطع اینترنت و محدود کردن کاربران به «شبکه ملی اطلاعات» امنیت ایجاد نمی‌کند و خطرات امنیتی این اتفاق جبران ناپذیر است.
در این مقاله ابعاد فنی قطع اینترنت را بررسی می‌کنیم تا ببینیم که چرا ادعای جمهوری اسلامی یک گزاف بیهوده است.
📍امنیت سایبری بر پایه قطع ارتباط با جهان ساخته نشده، بلکه بر پایه تاب‌آوری، چندلایگی، به‌روزرسانی مداوم و اعتبارسنجی پیوسته بنا شده است. یکی از خطاهای اساسی در دفاع از اینترنت ملی، برابر گرفتن «قطع ارتباط» با «ایمن‌سازی» است. در امنیت شبکه، کاهش اتصال فقط در صورتی معنا دارد که بخشی از یک طراحی دقیق و محدود برای سامانه‌های خاص باشد؛ مثلا در برخی سامانه‌های صنعتی یا نظامی. حتی در همان‌جا هم air-gap (سیستمی که به‌طور کامل از شبکه‌های دیگر و اینترنت جدا شده) به معنای امنیت مطلق نیست و تاریخ نشان داده که سامانه‌های ایزوله نیز از طریق USB آلوده، به‌روزرسانی آفلاین، تجهیزات با درب پشتی، زنجیره تامین یا دسترسی‌های مدیریتی مورد نفوذ قرار می‌گیرند.
📍جمهوری اسلامی فکر می‌کند مفهومی را که برای بخشی کوچک از زیرساخت‌های خاص معنا دارد، به کل جامعه می‌تواند تعمیم دهد. ولی نمی‌توان یک کشور ۹۰ میلیونی را مانند یک شبکه کنترل صنعتی محدود اداره کرد.
📍هرچه شبکه‌ای بسته‌تر طراحی شود، وابستگی آن به نقاط کنترل مرکزی بیشتر می‌شود. از منظر حاکمیتی، تمرکز مزیتی برای کنترل و نظارت بر شهروندان است؛ اما از منظر امنیت، تمرکز یعنی ساختن اهدافی پرارزش، شکننده و جذاب برای مهاجم.
📍در شبکه غیرمتمرکز، شکست یک گره لزوما به فروپاشی کل سامانه منجر نمی‌شود، چون معماری توزیع‌شده و redundancy تاب‌آوری ایجاد می‌کند. اما در اکوسیستم‌های متمرکز، اختلال یا compromise شدن یک جزء کلیدی می‌تواند اثرات زنجیره‌ای داشته باشد. بدتر از آن تمرکز، سطح مشاهده مهاجم را نیز بالا می‌برد. جایی که همه چیز از آن عبور می‌کند، نقطه‌ای است که برای مهاجم، ارزش اطلاعاتی فوق‌العاده‌ای دارد.
جمهوری اسلامی تهدید را طوری به تصویر می‌کشد که گویی همه خطرها از بیرون وارد می‌شوند. اما امنیت سایبری سال‌هاست که از این مدل ساده عبور کرده است. تهدید می‌تواند از درون شبکه، از طریق پیمانکار، نرم‌افزار آلوده، به‌روزرسانی دست‌کاری‌شده، بدافزار خوابیده روی دستگاه، تجهیزات وارداتی آلوده، یا ارتباطی که پیش‌تر برقرار بوده شکل بگیرد. در چنین شرایطی، بستن اینترنت بین‌المللی الزاما مهاجم را حذف نمی‌کند و حتی شاید مدافع را از ابزارهای دفاعی و اطلاعاتی محروم کند.
📍مدافع برای واکنش موثر به مجموعه‌ای از منابع و ابزارها نیاز دارد که بسیاری از آن‌ها ماهیتی جهانی دارند: بانک‌های اطلاعاتی آسیب‌پذیری‌ها، نشانه‌های نفوذ یا آلودگی، هشدارهای شرکت‌های سازنده، امضاها و قواعد تازه برای سامانه‌های شناسایی و مقابله با تهدید در نقطه پایانی و شبکه، محیط‌های ایزوله برای تحلیل فایل و بدافزار، به‌روزرسانی‌های ابزارهای امنیتی، وصله‌های اضطراری، فهرست گواهی‌ها و ده‌ها مورد دیگر. وقتی این جریان قطع می‌شود، نتیجه امن‌تر شدن نیست؛ بلکه دفاع به‌تدریج از بین می رود؛ آن هم برای کشوری که هنوز یک مرورگر و موتور جستجوی بومی کارآمد ندارد؛ چه رسد به ابزارهای امنیتی بومی.
📍امنیت عملیاتی بدون مدیریت منظم وصله‌ها و به‌روزرسانی‌های امنیتی تقریبا غیرممکن است. در عمل، بخش بزرگی از نفوذهای موفق نه با حملات پیچیده، بلکه از طریق سوءاستفاده از آسیب‌پذیری‌های شناخته‌شده‌ای رخ می‌دهد که برایشان وصله منتشر شده اما هنوز نصب نشده است. وقتی دسترسی گسترده و پایدار به اینترنت مختل می‌شود، روند دریافت و اعمال این وصله‌ها در همه لایه‌ها آسیب می‌بیند: از سیستم‌عامل و مرورگر گرفته تا کتابخانه‌های نرم‌افزاری، وابستگی‌های تجهیزات شبکه و مودم و روتر و دوربین‌های مداربسته.
در ابعاد سازمانی، مسئله فقط دانلود وصله‌های امنیتی نیست. بسیاری از ابزارهای سامانه‌های مدیریت آسیب‌پذیری برای دریافت هشدارها و اطلاعیه‌های امنیتی، بررسی درست نصب شدن وصله‌ها و هماهنگ نگه داشتن سیاست‌های امنیتی به ارتباط مداوم نیاز دارند. قطع این ارتباط می‌تواند دید تیم دفاعی را نسبت به اینکه دقیقا کدام سامانه یا دستگاه آسیب‌پذیر است و دچار اختلال و ابهام کند.
📍این خطر درباره سرویس‌هایی که به چرخه‌های کوتاه گواهی و بررسی اعتبار وابسته‌اند بسیار جدی است. اگر گواهی‌های امنیتی TLS، زنجیره‌های اعتماد، سامانه‌های بررسی ابطال گواهی، کلیدها، توکن‌ها و دیگر مولفه‌های رمزنگاری به‌موقع تمدید یا اعتبارسنجی نشوند، نتیجه معمولا یکی از دو چیز است: یا سرویس از دسترس خارج می‌شود، یا مدیران برای حفظ کارکرد سرویس به دور زدن کنترل‌های امنیتی روی می‌آورند؛ مثلا بررسی گواهی را غیرفعال می‌کنند، گواهی نامعتبر را می‌پذیرند، یا از راه‌حل‌های موقتی اما ناامن استفاده می‌کنند که بسیاری از رخدادهای بزرگ امنیتی دقیقا از همین راه‌حل‌های موقت و پرخطر شروع شده‌اند.
📍یکی از پایه‌های شبکه‌های داخلیِ به‌شدت کنترل‌شده، بازرسی عمیق ترافیک و اعمال سیاست بر مسیر عبور داده‌هاست. اما باید میان «قابلیت دیدن و تحلیل ترافیک» و «ایجاد امنیت واقعی برای کاربر و سامانه» تفاوت گذاشت. بازرسی عمیق بسته‌ها (DPI) می‌تواند به تشخیص نوع ترافیک، شناسایی برخی الگوها، اعمال محدودیت، اولویت‌بندی یا مسدودسازی کمک کند، اما به‌تنهایی امنیت تولید نمی‌کند. این ابزار در بهترین حالت فقط بخشی از توان دید و پایش شبکه است، نه معادل یک سامانه دفاعی کامل.
مشکل جایی جدی‌تر می‌شود که کل نگاه امنیتی یک کشور از حفاظت از دستگاه‌ها، هویت‌ها، سرویس‌ها، برنامه‌ها و داده‌ها، به صرف دیدن و کنترل کردن بسته‌هایی که از شبکه عبور می‌کنند تقلیل پیدا کند. در چنین نگاهی، لایه‌های اصلی دفاع نادیده گرفته می‌شوند. امنیت فقط در مرز شبکه اتفاق نمی‌افتد. اگر خود دستگاه آلوده باشد، اگر حساب کاربری سرقت شده باشد، اگر مهاجم از یک دسترسی مجاز استفاده کند یا اگر از داخل شبکه اقدام کند، دیدن ترافیک در مرز لزوما جلوی نفوذ را نمی‌گیرد.
📍اگر یک دستگاه داخل شبکه آلوده باشد، مهاجم می‌تواند از همان‌جا به‌تدریج به سامانه‌های دیگر حرکت کند و دسترسی خود را گسترش دهد. به این فرایند lateral movement گفته می‌شود. این نوع حمله‌ها لزوما با فیلتر کردن درگاه‌های مرزی متوقف نمی‌شوند، چون تهدید از مسیر مجاز، با هویت معتبر، یا از داخل خود شبکه در حال پیشروی است. این روش در هک چندین سامانه دولتی به‌کار گرفته شده است.
📍از سوی دیگر، وقتی کاربر می‌داند تمام ترافیکش در اکوسیستمی با نظارت و رصد سنگین جریان دارد، رفتار فنی او نیز تغییر می‌کند: به روش‌هایی غیررسمی پناه می‌برد، از راه‌حل‌های دورزننده استفاده می‌کند، ابزارهای ناشناس نصب می‌کند، به پروکسی‌های ناشناس متوسل می‌شود و در مجموع سطح ریسک بالا می‌رود و به این شکل، معماری‌ای که به نام «امنیت» بر نظارت تکیه می‌کند، در عمل رفتارهای ناامن را به کاربرها تحمیل می‌کند.
📍مسئول نامحترم قطع اینترنت، این را بدان که بسیاری از حملات پس از وصل شدن اینترنت آشکار می‌شوند. سامانه‌ای که هفته‌ها یا ماه‌ها عقب مانده، هنگام باز اتصال ناگهان در معرض موجی از همگام‌سازی، به‌روزرسانی، بازشدن sessionها، انقضای credentialها قرار می‌گیرد.
📍در آخر اینکه حکومتی که صنایعش فولادش به خاطر استفاده از نرم‌افزار قفل شکسته هک شد و سامانه سوختش به دلیل استفاده از ویندوز سرور تاریخ مصرف گذشته هک و از دسترس خارج شد، چطور ادعا می‌کند که می‌تواند با اصطلاحا اینترنت ملی امنیت را تامین کند؟
🔎همه اینها را گفتیم که در نهایت نشان دهیم هدف جمهوری اسلامی از قطع اینترنت، امنیت نیست؛ بلکه قطع ارتباط مردم است. چرا که تجربه هک‌های سریالی سامانه‌های داخلی نشان داده که ایده ایزوله‌سازی شبکه، ایده‌ای منسوخ است.
https://x.com/AManafii/status/2047907660884754938