امنيت و ضدامنيت در داد و ستدهاي الكترونيك را جدي بگيريد ساخت يك محيط امن

واضح آرشیو وب فارسی:واحد مرکزي خبر: امنيت و ضدامنيت در داد و ستدهاي الكترونيك را جدي بگيريد ساخت يك محيط امن
اسماعيل ذبيحي

بمباران اخبار، اطلاعيه ها و هشدارهاي پي در پي در خصوص مشكلات امنيتي موجود در بانكداري و تجارت آنلاين، رسانه هاي گروهي جهان و مخاطبان آنها را بيش از خود تهديدهاي امنيتي با سردرگمي مواجه كرده است. به نظر مي رسد جنگ بين امنيت و ضدامنيت پاياني نخواهد داشت و كاربران نگون بخت خدمات اينترنتي، تنها قربانيان اين نبرد محسوب مي شوند؛ درست به اين دليل كه هم مجرمان اينترنتي تا حد زيادي به اهداف خود مي رسند و هم شركت هاي امنيتي روز به روز بر تجارت و فروش نرم افزارهاي امنيتي خود مي افزايند. شركت هاي ارائه دهنده خدمات آنلاين نيز آنقدر نقدينگي دارند كه حتي ضررهاي هنگفت در نظر ما، براي آنها كاملاً قابل اغماض باشد. البته برخلاف بزرگنمايي هاي رسانه يي و تحليل هاي غيرواقعي بسياري از كارشناسان، تهديدهاي امنيتي معاملات الكترونيك به هيچ وجه فلج كننده و غيرقابل كنترل نيستند؛ چرا كه حتي در بدبينانه ترين بررسي ها، از ابتداي تولد جرائم سايبر، مجموع درآمد سالانه مجرمان اينترنتي از چند ميليون دلار فراتر نرفته است كه اين مبلغ و حتي چند برابر آن نيز در مقايسه با گردش جهاني پول كاملاً ناچيز است. به هر ترتيب اغراق و بزرگنمايي مشكلات امنيتي موجود، بي انصافي است و نبايد اين گونه فكر كرد كه تك تك اعمال، رفتار و فعاليت هاي ما در اينترنت تحت كنترل تبهكاران و ابزار مخرب آنها قرار دارد. علاوه بر اين، ابزار و نرم افزارهاي امنيتي هم چندان بي كفايت نيستند و قادر به كنترل و انسداد درصد بسيار بالايي از كدهاي مخرب و نفوذهاي غيرقانوني هستند و درست به همين دليل تنها درصد محدودي از اقدامات خرابكارانه با هدف سرقت مستقيم يا غيرمستقيم پول به ثمر مي نشينند و اغلب آنها به نحوي خنثي شده و ماهيت مجرمانه خود را از دست مي دهند.

آخرين حلقه زنجير

هيچ دليلي وجود ندارد كه ريسك امنيتي خريد آنلاين از يك فروشگاه معتبر كمتر از استفاده حضوري از كارت اعتباري يا وجه نقد در محوطه فيزيكي آن فروشگاه باشد. احتمال اجراي تهديدهاي اينترنتي آنلاين، درست به اندازه اين احتمال است كه شخصي در محل خريد حضوري شما و بدون اينكه متوجه شويد، رمز و شماره كارت اعتباري تان را يادداشت كند يا حتي خود آن را برداشته و پا به فرار بگذارد، نه بيشتر. تنها تفاوت موجود، محيط انجام معامله است و عدم حضور تهديدهاي فيزيكي و قابل مشاهده. در مبادلات و معاملات آنلاين احتمال ناديده انگاشتن جوانب امنيتي و عدم رعايت آن، فقط كمي بيشتر از داد و ستدهاي حضوري است.

در حقيقت مجرمان اينترنتي معمولاً به صورت مستقيم به شبكه هاي سازماني و سرورهاي اطلاعاتي حمله نمي كنند؛ بلكه تمام تلاش خود را روي آسيب پذيرترين حلقه زنجير متمركز مي كنند. و اين حلقه شكننده چيزي يا بهتر بگوييم كسي نيست به جز كاربر نهايي. شما هم حتماً تاييد مي كنيد كه دسترسي به اطلاعات حساس و با ارزش سازماني از طريق كاربران خانگي بسيار آسان تر از شكستن لايه هاي مختلف امنيتي، نفوذ به يك پايگاه اطلاعاتي و دسترسي به اطلاعات رمزگذاري شده است. در اينجا نگاهي مي اندازيم به راهكارها و ملزومات حفاظتي كه هر كاربري براي افزايش امنيت اطلاعات و دريافت خدمات مطلوب در اينترنت، بايد از آنها آگاه باشد. صفحات اينترنتي كه در آنها مبادلات آنلاين و خدمات حساس مالي يا تجاري انجام مي شود، بايد داراي ملزومات زير باشند؛

- تضمين اين مساله كه داده هاي واردشده براي انجام مبادلات يا معاملات الكترونيك، تنها توسط بخش ها يا افراد معيني قابل دسترسي است. اين مساله از طريق رمزگذاري انجام مي شود.

- صحت، درستي و عدم نقص اطلاعات درطول عمليات نقل و انتقال به منظور اطمينان از عدم سوء استفاده از اطلاعات حساس. اين مساله از طريق استفاده از امضاي ديجيتال انجام مي شود و در نهايت، هويت هر دو طرف رابطه تجاري، يعني ارائه دهنده و دريافت كننده خدمات آنلاين بايد كاملاً واضح و مشخص بوده و مورد تاييد و تصديق قرار گيرد. مدارك هويت ديجيتالي براي رفع نگراني هاي موجود در اين رابطه مورد استفاده قرار مي گيرند. براي دسترسي به اين ملزومات كلي، روش هاي ارتباطي استانداردي طراحي شده است كه هر كدام وظايف خاصي را برعهده دارند.

پروتكل هاي امنيتي

پروتكل هاي امنيتي، قوانين و استانداردهايي هستند كه براي محافظت از مبادلات و معاملات اينترنتي در برابر تهديدهاي آنلاين وضع شده اند و دسترسي هاي غيرمجاز به اطلاعات تبادل شده را محدود مي كنند.

به اين ترتيب اين پروتكل ها، نقش مهمي در محافظت از كاربران خانگي، شبكه هاي محلي، فروشگاه ها، سازمان ها و موسسات مالي تجاري دارند. تهديدهايي چون سرقت اطلاعات، سرقت مستقيم يا غيرمستقيم پول، ايجاد توقف و اختلال در فرآيندهاي تجاري، كلاهبرداري هاي آنلاين و غيره تهديدهايي هستند كه از كوچك ترين نقص و اشتباه در كاربرد اين پروتكل ها سود مي برند. مهم ترين و پركاربردترين اين استانداردهاي ارتباطي براي حفاظت از فعاليت هاي تجاري آنلاين، پروتكل مشهوري با عنوان SSL (Secure Socket Layer)است. اين پروتكل مي تواند هرگونه داده و اطلاعات ورودي به سيستم يا شبكه را رمزگذاري كرده و سپس آنها را در مقصد و براي تحويل گيرنده مجاز، رمزگشايي كند. اين بدان معناست كه اگر شخص سومي بخواهد به داده هاي مبادله شده از طريق SSL، دسترسي پيدا كند، بدون در اختيار داشتن كليد رمزگشايي مربوطه كاملاً ناموفق خواهد بود. در اين پروتكل، تنها فروشنده و ارائه كننده خدمات آنلاين نياز به مدارك و معرفي نامه هاي ديجيتال دارد تا هويت و اعتبار امنيتي وي مورد تاييد قرار بگيرد. در اين صورت خريدار و دريافت كننده خدمات اينترنتي، هيچ نيازي به ارائه معرفينامه و هويت سنجي امنيتي نخواهد داشت.

امنيت و تجارت الكترونيك

نكته بسيار مهم اينجاست كه روش هاي خاص امنيتي براي حافظت از معاملات اينترنتي چنان سختگيرانه طراحي شده اند كه مي توان ادعا كرد «ديگر تفاوت چنداني ميان انجام معاملات حضوري و مبادلات الكترونيك باقي نمانده است.»

درست به همان نحو كه يك مشتري، اطلاعات شخصي، محرمانه و حساس خود را به صورت رو در رو در اختيار هر فروشنده يي قرار نمي دهد و جوانب امنيتي را به طور كامل حفظ مي كند، در حوزه مبادلات آنلاين نيز نبايد اين اطلاعات را در صفحات، پايگاه ها و نيز سرورهايي كه فاقد مدارك و گواهينامه هاي خاص امنيتي هستند، وارد كند.

علاوه بر اين، در لايه هاي ارتباطي بالاتر، مدير شبكه خدمات دهنده بايد نهايت دقت و احتياط را در اطمينان از عدم وجود هرگونه كد يا ابزار مخرب (ويروس، تروژان، ابزار هك و...) و نيز هرگونه آسيب پذيري (حفره ها و نقص هاي امنيتي) به كار برد تا امنيت داده ها و اطلاعات ذخيره شده در سرور مورد تهديد قرار نگيرند. همان طور كه بيان شد، بسياري از نرم افزارهاي مخرب مانند تروژان ها با هدف ايجاد آسيب پذيري در سرورها يا سيستم هاي متصل به آن، تنها از طريق كاربران خانگي يا ساير شبكه هاي خدمات گيرنده، سازمان هاي ارائه دهنده خدمات آنلاين را تهديد مي كنند. دسترسي هاي غيرمجاز در سطوح بالا، سرقت داده هاي حساس و محرمانه، ايجاد خسارت هاي قابل توجه و... تهديدهاي دائم و شايعي هستند كه از كوچك ترين فرصت و باريك ترين روزنه استفاده مطلوب مي كنند. از طرف ديگر، مراجع صدور گواهينامه هاي ديجيتال، مسوول صدور تاييديه هاي امنيتي براي سرورها و شبكه ها بر اساس پروتكل هاي امنيتي هستند. اين مراكز تصميم گيري مي توانند براي شركت هاي ارائه كننده خدمات الكترونيك، مشتري ها و حتي كاربران عادي اينترنت نيز گواهينامه هاي ديجيتال صادر كنند. به عنوان نمونه يي از اين مراجع معتبر مي توان به گروه VeriSign اشاره كرد كه عمده فعاليت هاي امنيتي زيرساخت در اينترنت را به عهده دارد.

كاربران و نكات كليدي

هنگام انجام فعاليت هاي بسيار محرمانه مانند خريد و فروش آنلاين يا انجام امور بانكي بايد نكات زير را هميشه به خاطر داشته باشيد.

1- از عدم حضور و فعاليت هر نوع كد مخرب در لحظه آغاز و حين انجام فعاليت تجاري و دريافت هرگونه خدمات اينترنتي حساس، اطمينان حاصل كنيد. در اين خصوص بايد گفت خطرناك ترين و در عين حال شايع ترين تهديد عليه فعاليت هاي مالي اعتباري در اينترنت، نوعي كد مخرب از خانواده تروژان هاي Banker است. اين تروژان پس از نفوذ در سيستم (اغلب به شكل نامحسوس)، بازديدهاي اينترنتي كاربر را كنترل مي كند و به محض ورود وي به پايگاه هاي موسسات مالي اعتباري، سيستم هاي پرداخت آنلاين، مراكز خريد و فروش اينترنتي و... اطلاعات حساس مبادله شده را پس از سرقت، به مجرمان اينترنتي ارسال مي كند. تمايل روزافزون كاربران اينترنت به انجام معاملات آنلاين و گسترش زمينه هاي دسترسي به خدمات الكترونيكي نيز دليل ساده يي براي افزايش تعداد و تنوع تروژان هاي Banker بوده است. البته دليل محكم تري نيز وجود دارد و آن انگيزه هاي مالي خرابكاران اينترنتي و لذت دسترسي آسان و در عين حال غيرقانوني آنها به پول هاي باد آورده يي است كه به علت ناآگاهي و بي احتياطي ما بين زمين و هوا معلق مانده است. و درست به همين خاطر، استفاده از نرم افزارهاي حفاظتي به روز و ايجاد تنظيمات صحيح روي آنها، به تناسب امنيت مورد نيازتان، مهم ترين و ضروري ترين ابزار دفاعي شما است.

متاسفانه آمار و ارقام مربوط به خسارت هاي مالي، اعتباري و اطلاعاتي شركت هاي بزرگ و نيز كاربران خانگي اينترنت و روزهاي سخت و پر مشقت شركت هاي امنيتي نشان مي دهد تنها استفاده از نرم افزارهاي حفاظتي به روز شده، درمان قطعي درد كهنه ناامني در فضاي آنلاين نيست. مجرمان اينترنتي با بهره گيري از فناوري هاي روز و ابزار مدرن خرابكاري و نيز آگاهي از نحوه عملكرد نرم افزارهاي سنتي ضدويروس، به انتشار هر چه بيشتر كدهاي مخرب مشغول هستند. كميت بدافزارهاي رايانه يي به شكل سرسام آوري رشد داشته و به موازات آن، كيفيت عملكرد تخريبي آنها نيز ارتقاي چشمگيري يافته است. به احتمال قوي دليل اصلي اين موضوع، سردرگم كردن شركت هاي امنيتي از طريق بمباران بي وقفه لابراتوارهاي كشف و تحليل كدهاي مخرب و منحرف كردن آنها از رديابي حملات اصلي و اساسي خرابكاران عليه اهداف بزرگ تر است. براي مثال PandaLabs، لابراتوارهاي رديابي و كشف كدهاي مخرب در شركت پاندا، در گزارش هاي جديد خود به اين نكته اشاره كرده است كه در برخي از روزها حتي تا 3هزار كد مخرب جديدالانتشار را كشف و در بانك اطلاعات نرم افزارهاي مخرب ثبت كرده است. شك نكنيد حداقل 80 درصد از اين ويروس ها، كدهاي بي مصرف و بي آزاري هستند كه تنها هدف آنها سردرگم كردن شركت هاي امنيتي و نيز مشغول نگه داشتن آنها به رديابي ويروس هاي ساده و در پشت پرده فراهم آوردن شرايط مناسب براي انتشار كدهاي مخرب هدفدار و قدرتمند است.

پس دور از انتظار نيست كه در آينده يي بسيار نزديك، ابزار سنتي ضد ويروس، قدرت موثر خود را از دست بدهد. بايد اعتراف كرد آينده يي در كار نيست؛ همين حالا راهكارهاي ضد ويروس بايد آماده يك پوست اندازي كامل باشند تا بتوانند اقتدار نسبي شركت هاي امنيتي را در دنياي IT حفظ كنند. به همين منظور، شايد افزودن يك لايه امنيتي مكمل با فناوري هاي پيشرفته يا استفاده از روش هاي هوشمند در تشخيص ويروس هاي مخرب و... ايده هاي خوبي باشند.

2- تقريباً همه كارشناسان امنيتي عقيده دارند اكنون موثرترين ابزار دفاعي در رايانه ها، بهره گيري از روش هاي پيشگيرانه است. در اين روش رفتار خاص كدها و نرم افزارهاي فعال در موقعيت هاي مختلف، مهم ترين عامل شناسايي و تفكيك كدهاي مخرب و مشكوك از كدهاي امن و مفيد است. در اين حالت نياز چنداني به استفاده از پايگاه هاي اطلاعات امنيتي ثبت شده و مشخصات ويروس هاي قديمي تر (البته تا حدي) نيست.

3- راهكار موثر ديگر استفاده از يك ابزار مكمل امنيتي در كنار نرم افزارهاي حفاظتي نصب شده در سيستم (يا به عبارتي در كنار همان راهكارهاي سنتي حفاظت از اطلاعات) براي ترميم نقاط ضعف آنهاست. يكي از اين سيستم هاي پيشرفته براي رديابي و كشف ويروس هاي ثبت نشده با نام TruPrevent، ابزار قدرتمندي براي پيشگيري از نفوذهاي غيرمجاز و نيز افزايش توان بازدارندگي سيستم امنيتي نصب شده در رايانه است.

با توجه به حجم عظيم توليد و انتشار كدهاي مخرب در شبكه جهاني وب، بديهي و منطقي است كه اغلب شركت هاي امنيتي نتوانند در رديابي، كشف و توليد كد ضدويروس همه بدافزارهاي پراكنده در اينترنت موفق باشند. بنابراين مي توان تصور كرد شركت هاي مختلف قادرند به نحوي همپوشاني امنيتي داشته باشند و با همكاري يكديگر و بهره گيري از كمك كاربران، تهديدهاي رايانه يي را به نحو موثري كنترل كنند؛ به اين ترتيب حداقل كاري كه مي توان كرد، استفاده از ابزار مكملي است كه بيشترين سطح و بالاترين نرخ رديابي، كشف و پاكسازي كدهاي مخرب را در اختيار داشته و به محيط داخلي سيستم عامل وابسته نباشد. به عنوان نمونه يي از اين ابزار مكمل نيز مي توان به برنامه مشهور ActiveScan اشاره كرد كه از طريق پايگاه امنيتي www.infectedornot.com قابل دسترسي است.

4- به هيچ وجه هرزنامه هاي موجود در صندوق پستي خود را جدي نگيريد و به آنها اعتماد نكنيد؛ هرچند اگر بسيار جذاب و قابل توجه جلوه كنند. هرزنامه هايي كه از طرف فرستنده ها يا منابع كاملاً نامشخص و مبهم ارسال مي شوند، ريسك تخريبي بسيار بالاتري دارند. در خصوص هرزنامه هاي مربوط به تجارت يا خريد و فروش الكترونيك نيز بايد گفت اغلب آنها از منابع مطمئن و امن ارسال نمي شوند و به احتمال قوي ممكن است تنها، ابزاري براي فريبكاري خرابكاران و نيز سرقت اطلاعات حساس و ارزشمند شما باشند. هرزنامه ها سهم مهمي در اجراي حملات Phishing (ابزار كلاهبرداري آنلاين) دارند. Phishing، تكنيك بسيار حرفه يي است كه اغلب كاربران غيرحرفه يي خدمات آنلاين را هدف مي گيرد. خرابكاران با استفاده از اين روش پيغام ها و صفحات به ظاهر امن و غيرواقعي را براي كاربر نمايش مي دهند و وي را به ارسال اطلاعات محرمانه و بسيار حساس تحريك مي كنند. اين صفحات ممكن است شامل يك اطلاعيه يا اعلام مشكل فني از طرف بانك يا سيستم پرداخت آنلاين باشد. طبق بررسي هاي انجام شده توسط مراكز امنيتي معتبر، تعداد كلاهبرداري هايي كه فقط از طريق حملات Phishing انجام مي شود، سالانه 10 الي 20 درصد رشد را نشان مي هد كه اين ميزان شامل موارد نامحسوس و كشف نشده است. مهم ترين چيزي كه از يك كاربر خدمات بانكي آنلاين يا يك خريد و فروش كننده اينترنتي انتظار مي رود اين است كه بداند هيچ موسسه مالي يا هيچ بانكي با او در خصوص دريافت يا تاييد اطلاعات فوق محرمانه و شخصي وي مكاتبه نمي كند. در هر حال اگر باز هم گمان مي كنيد نامه مورد نظر شما كه اطلاعات محرمانه تان را درخواست كرده، از طرف بانك يا بخش فروش يك سازمان بزرگ تجاري براي شما ارسال شده است، قبل از انجام هركاري در صفحه مقابل خود، با بخش ارسال كننده نامه شخصاً تماس بگيريد و در خصوص صحت و امنيت نامه مورد نظر، اطمينان حاصل كنيد. در خاطر داشته باشيد در خصوص داده هاي حساس و ارزشمند هيچ گونه سهل انگاري پذيرفته نيست. علاوه بر اين، لينك هاي موجود در هرزنامه ها نيز مي توانند بسيار خطرناك باشند؛ زيرا قادرند به راحتي شما را به صفحات مخرب و غيرواقعي در وب هدايت كنند كه هدف آنها ايجاد تخريب و اختلال در سيستم و نيز دسترسي غيرقانوني به اطلاعات و داده هاي مهم شماست. بنابراين به شما توصيه مي شود به جاي كليك روي هر لينكي، آدرس آن را به طور مستقيم در نوار آدرس مرورگر خود تايپ كرده و كليد جست وجو را فشار دهيد.

اگر «حتي فقط يك بار» قصد تجربه لذت بخش خريد الكترونيك يا انجام فعاليت هاي بانكي آنلاين را داريد، موارد زير را فراموش نكنيد.

- قبل از انجام خريد از فروشگاه هاي آنلاين يا از طريق پايگاه هاي الكترونيك، و نيز دريافت هرگونه خدمات اينترنتي، يكي از بهترين تدابير امنيتي، اطمينان از قانوني بودن، ميزان شهرت و سطح اعتبار اين مركز مالي تجاري است. يك جست وجوي ساده در اينترنت شايد راهنماي خوبي در اين زمينه باشد.

- سيستم هاي رايانه يي خود را همواره به روز نگه داريد.

سيستم هاي عامل و نيز بسياري از برنامه هاي كاربردي نصب شده در رايانه شما يقيناً داراي نقص ها و حفره هاي امنيتي بي شماري هستند كه مي توانند توسط خرابكاران اينترنتي براي نفوذهاي نامحسوس و انجام فعاليت هاي غيرقانوني مورد استفاده قرار بگيرند. تنها يك اشكال كوچك امنيتي در برنامه هاي به ظاهر ساده و پركاربرد مانند Media Player، Yahoo Messenger يا ACDSee، نقش خود را به نحو احسن ايفا مي كند.

- هيچ گاه فايل ها و نرم افزارهاي نامطمئن را دانلود و اجرا نكنيد؛ به خصوص اگر آنها در منابع و پايگاه هاي اينترنتي نامشخص و بي نام و نشان وجود داشته باشند. اين فايل ها مي توانند ضميمه نامه هاي الكترونيك يا برگرفته از صفحات اينترنتي مشكوك باشند. به خاطر داشته باشيد احتمال آلوده بودن اين فايل ها آنقدر زياد است كه با اجراي آن، به طور مستقيم كدهاي مخرب را در رايانه خود نصب مي كنيد.

- هيچ گاه قبل از اطمينان كامل از شرايط امنيتي موجود، اقدام به پرداخت يا نقل و انتقال پول نكنيد (درست به همان گونه كه معاملات حضوري و فيزيكي را انجام مي دهيد). به خاطر داشته باشيد احتمال كلاهبرداري و فعاليت غيرقانوني در اينترنت هميشه بيش از آن است كه فكر مي كنيد. شما نخستين فردي نيستيد كه شايد در ازاي سفارش آخرين و مدرن ترين نسل تلفن هاي همراه، جعبه يي پر از سنگ و ماسه دريافت كرده باشد.

- امروزه انجام مزايده هاي آنلاين در اينترنت به طور چشمگيري رواج يافته است. قبل از آغاز پيشنهاد قيمت و شروع مزايده، از شخصيت حقيقي و حقوقي مسوول مزايده اطلاع كامل پيدا كنيد و فريب تكنيك هاي حرفه يي فروش وي را نخوريد.

- هيچ گاه اطلاعات حساس و محرمانه خود را از طريق نامه هاي الكترونيك ارسال نكنيد. كاربران عادي و حتي برخي از كاربران حرفه يي اينترنت گمان مي كنند اين روش بسيار امن تر از پركردن فرم هاي الكترونيكي است اما متاسفانه اين حقيقت ندارد. نامه هاي الكترونيك از لحاظ امنيتي بسيار آسيب پذيرند.

- از تيزهوشي و حس شكاك خود بهره بگيريد. ظاهر و ساختار يك صفحه وب اغلب مي تواند نشان دهنده غيرواقعي بودن يا امن نبودن آن باشد. به خاطر داشته باشيد در بسياري از موارد خرابكاران اينترنتي صفحات موقتي در اينترنت ايجاد مي كنند كه تنها كاربرد آنها، كلاهبرداري از كاربران اينترنت است.

و در نهايت اين عبارت را از دايره باورهاي خود حذف كنيد كه «من به هيچ وجه در معرض خطر نيستم، چرا كه من تنها يك كاربر معمولي و عادي اينترنت هستم.» به ياد داشته باشيد اين همان چيزي است كه مجرمان از شما انتظار دارند. يك خرابكار اينترنتي تنها با اعداد، ارقام و شماره هاي IP شما سروكار دارد و نه با شخصيت، شغل، ميزان درآمد يا سطح دسترسي شما به اينترنت.
چهارشنبه 2 مرداد 1387

این صفحه را در گوگل محبوب کنید

[ارسال شده از: واحد مرکزي خبر]

[مشاهده در: www.iribnews.ir]

[تعداد بازديد از اين مطلب: 280]