مقاله ای در مورد امنیت در شبكه های كامپيوتري

[DESPERADO]

مقاله ای در مورد امنیت در شبكه های كامپيوتري
به عنوان مسؤول يك شبكه كامپيوتري، چگونه مي*خواهيد امنيت شبكه خود را بالا ببريد؟ گزينه*هاي متعددي پيش روي شماست. بهترين آن*ها اين است كه دانش خود و پرسنل شبكه را در زمينه مسايل امنيتي بالا ببريد و از تجهيزات نرم*افزاري قوي استفاده كنيد. اما راه*هاي ديگري هم هست. اين روزها خيلي از شبكه*ها به فكر استخدام هكرها افتاده*اند! اين افراد استخدام مي*شوند تا نقاط ضعف و رخنه*هاي شبكه و سايت شما را كشف كنند و رهنمودهاي لازم را براي برطرف كردن آن*ها در اختيارتان قرار دهند. اين مقاله خلاصه*اي از چندين مقاله و خبر در اين زمينه است كه توسط نويسنده گردآوري و تنظيم شده و ابعاد مسأله «هكر بودن» را به عنوان يك شغل بررسي مي*كند.

متن کامل مقاله ( 158 کيلوبايت )

كرايه كردن و استخدام هكرها به*تدريج به يك كار متداول تبديل مي*شود. در كشورهاي در حال توسعه*اي مثل عربستان و چين كه دولت محدوديت*هاي شديدي را بر استفاده مردم از سايت*هاي اينترنتي وارد مي*كند، جوانان بسياري هستند كه كارشان هك كردن موانع و عبور كردن از **********ها و ديواره*هاي آتش است. اين جوانان توسط صاحبان كافي*نت*ها و ديگر مراكز سرويس*دهي اينترنت به*صورت ساعتي كرايه مي*شوند تا امكان دسترسي براي كاربراني را كه حاضرند براي مشاهده*ي سايت*هاي دلخواه خود پول بيش*تري بپردازند، فراهم كنند. حتي بعضي از اشخاص متمول (مثلاً در عربستان) اين هكرها را در منزل كرايه مي*كنند تا براي چند ساعت امكان دسترسي آن*ها به سايت*هاي دلخواه آن*ها را فراهم كنند. در كشورهاي صنعتي، هكرها به*گونه*ي ديگري كرايه مي*شوند. در اين كشورها شركت*ها و سازمان*هاي مختلفي كه در محل خود، سايت يا شبكه كامپيوتري ويژه*اي دارند، از بيم رخنه*هاي امنيتي موجود در شبكه خود و براي اجتناب از حوادث احتمالي در آينده، هكرهاي كاركشته را به*طور موقت (يا دائم) استخدام مي*كنند تا با ميل و تقاضاي كارفرما، شبكه*ي آن*ها هك شود و از اين طريق نقاط ضعف و نفوذ*پذيري سيستم*هاي*شان پيدا شود. گاهي اوقات همين كارفرما به هكري كه كرايه كرده است پول بيش*تري مي*دهد تا خودش نقطه* ضعفي را كه يافته است، مسدود كند يا از هكرها مي*خواهد به كارشناسان سازمان مشاوره و راهنمايي*هاي لازم براي برطرف كردن نقاط آسيب*پذير را بدهند. به اين ترتيب به نظر مي*رسد «هكري» به يك شغل پول*ساز تبديل شده كه در شرايط خلاء قانوني يا در كنار قانون به حيات خود ادامه دهد.

طنز قضيه در آن است كه گاهي اوقات همين دولت*ها نيز هكرها را براي يافتن نقاط نفوذپذيري **********ها و ديواره*هاي آتش خود استخدام و مبالغي كلان به آن*ها براي مسدود كردن اين گذرگاه*ها مي*پردازند. حتي در كشوري مثل آمريكا كه موانع فرهنگي اندكي براي دسترسي مردم به سايت*هاي اينترنتي وجود دارد، سازمان*هايي مثل اف*بي*آي (پليس آمريكا) هكرهاي سابقه*دار و حرفه*اي را به*طور مخفيانه براي كشف روش*هاي عملياتي ساير هكرها، خلاف*كاران و دزدان شبكه*اي و نيز نفوذ به تشكيلات سازمان*هاي تبهكاري، تروريستي و غيره اجير مي*كنند.

مزدورهاي عصر شبكه در سرتاسر جهان همه روزه مشغول كارند، گاهي اوقات با قصد جاسوسي علمي، اقتصادي يا سياسي، گاهي اوقات به قصد خرابكاري و ضربه*زدن و گاهي به قصد يافتن نقاط ضعف سيستم*ها و شبكه*هاي كامپيوتري. در اين ميان آن*چه بيش از هر علت ديگري موجب رواج پديده*ي «هكرهاي كرايه*اي» شده است و حيات و بقاي اين قشر از جامعه را تداوم بخشيده است، همانا مزاياي استفاده كردن از تجربيات هكرها براي مقابله با تهديدات ساير هكرهاي متخاصم است. منطق اين راهبرد يك مثل قديمي است كه مي*گويد: «دشمن دشمن شما دوست شماست.» اگرچه بديهي است كه چند جفت چشم تيزبين و متخصص براي وارسي و اندازه*گيري وضعيت امنيتي شبكه شما بسيار سودمند به نظر مي*رسند، اما اين سوال مطرح است كه آيا مي*توان به كساني كه در حمله و نفوذ به ساير شبكه*ها شناخته شده هستند، در سازمان خود اعتماد كرد؟ چه دليلي وجود دارد كه هكري كه تا ديروز دشمن بالقوه شبكه شما به شمار مي*رفت، امروز پس از دريافت مبلغي پول معتمد شما باشد؟ اين اعتماد تا كجا و كي دوام خواهد آورد؟

پرسش*هاي ديگري نيز مطرح*اند: از كجا معلوم كه هكر استخدام شده، صادقانه تمام رخنه*هاي امنيتي را كه كشف كرده* است، به شما اطلاع دهد؟ شايد بخواهد برخي از آن*ها را براي هنگام دريافت دستمزد و چانه*زني محفوظ نگه دارد. شايد برخي از آن*ها را هرگز به شما اطلاع ندهد تا راه را براي كسب درآمد دوباره در آينده براي خود يا دوستانش باز بگذارد. آيا ممكن است هكر استخدامي شبكه شما در اصل مزدور كسان ديگري باشد و با ماسك اعتماد برانگيزي نزد شما آمده باشد تا رخنه*هاي امنيتي شبكه*ي شما را برطرف كند؟ حتي ممكن است شبكه*ي شما با وجود انواع حصارهاي امنيتي و ديواره*هاي آتش، به سختي از بيرون شركت يا سازمان قابل نفوذ باشد، اما پس از كرايه كردن هكري به قصد يافتن رخنه*ها آمده است، در داخل سازمان شما و بدون اين*كه كسي متوجه شود نقاط آسيب*پذير جديدي را كه تا قبل از آن وجود نداشته است، خود پديد آورد تا نهايتاً بتواند بر سر آن*ها با كارفرما يا افراد ديگر معامله كند.

عجيب است كه با وجود اين همه پرسش نگران*كننده، روزبه*روز به تعداد سازمان*ها و شركت*هايي كه در اروپا، ژاپن و آمريكا هكرهاي حرفه*اي را كرايه مي*كنند، افزوده مي*شود. شايد در جامعه*ي زيرزميني هكرها مرام و مسلكي وجود دارد كه براساس يك توافق نانوشته و ثبت نشده، هكرهاي حرفه*اي از سوء استفاده بيش از حد از پرسش*هاي فوق اجتناب مي*كنند تا بازار اين نوع نيمه مشروع از كاسبي*شان هم*چنان داغ بماند!
بعضي از روان*شناسان عصر شبكه اين*طور استدلال مي*كنند كه نفوذگري شبكه*اي لزوماً به يك شخصيت بد و ضد اجتماع نياز ندارد و پديده*ي فيزيولوژيكي «باكتري*هاي مفيد» را به*عنوان نمونه*ي مشابهي در حوزه*ي متفاوت «بهداشت» يادآوري مي*كنند.

گروه ديگري از كارشناسان مسائل اجتماعي حتي از اين هم فراتر مي*روند و تحليل پيچيده*تري ارائه مي*كنند. آنان معتقدند رشد پديده*ي «هكرهاي كرايه*اي» يك نوع واكنش اجتماعي از سوي صاحبان سايت*ها و شبكه*ها به حضور اين قشر از جامعه*ي فراصنعتي است و اضافه مي*كند همان*طور كه هكرهاي حرفه*اي از مهندسين اجتماعي براي فريب دادن قربانيان خود استفاده مي*كنند، شركت*ها و سازمان*هاي باهوش با نزديك كردن خود به جامعه*ي هكرها و اجتناب از غريبه* نگه*داشتن هكرها نسبت به سازمان* مطبوع خود، نوعي مصونيت اجتماعي در برابر تهديدات آنان پديد مي*آورند. اين رهيافت در حقيقت سطح پيچيده*تري از مهندسي اجتماعي است كه از طريق آن صاحبان و رؤساي سازمان*ها و شركت*ها مي*كوشند نوعي هم*زيستي مسالمت*آميز ميان مجموعه*ي خود و جامعه*ي هكرها به*وجود آورند تا حضور دائمي هكرها در سازمان و شركت*گونه*اي از پادتن و واكسن اجتماعي را در سرتاسر سازمان منتشر كند. شايد از اين طريق پرسنل شركت را نسبت به خطرات احتمالي هوشيار و گوش به زنگ و آماده براي رويارويي با حوادث نگه دارند.

فرضيه*هايي مانند اين موجب پديد آمدن دانش جديدي به*نام Cybersecurity شده است. اصل اول اين دانش مي*گويد: «هكرها را غيرخودي نكن و ميان خودت و هكرها مرز نكش! در حقيقت با آن*ها دوستي كن. براي آن*ها خرج كن! آن*ها را مجرم، تروريست و عقده*اي نخوان!»

چندي پيش خبرگزاري آسوشيتدپرس ماجراي جالبي را گزارش كرد. ريچارد كلارك مشاور جرج بوش در زمينه* امنيت كامپيوتري تصميم مي*گيرد در يكي از همايش*هاي بزرگ هكرهاي آمريكا به*نام «كلاه مشكي» شركت كند. روز دهم مرداد وي به سالن همايش «كلاه مشكي» در لاس وگاس مراجعه مي*كند و مشاهده مي*كند كه جمعيت زيادي از كارشناسان امنيت و هكرها مشغول رايزني با يكديگر در زمينه*ي مشكلات امنيتي هستند. كلارك طي سخنراني*اي كه در جمع هكرها ايراد مي*كند بر اين واقعيت صحه مي*گذارد كه بسياري از رخنه*هاي امنيتي كه در نرم*افزارهاي مهم و متداول وجود دارند توسط خود سازندگان*شان شناخته نشده*اند، در حالي*كه بسياري از كاربران مستقل اين نقاط آسيب*پذير را كشف كرده*اند. كلارك در سخنراني خود كارشناسان و هكرهاي حاضر در سالن را تشويق مي*كند كه نرم*افزارها و سيستم*هاي كامپيوتري را هرچه زودتر هك كنند و در زمينه*ي ارائه دستاوردهاي خود به دولت و شركت*هاي كامپيوتري همكاري كنند. وي تأكيد مي*كند كه «بعضي از ما افراد حاضر در اين سالن به لزوم پيدا كردن هرچه سريع*تر نقاط آسيب*پذيري رسيده*ايم.»

سخنان كلارك به آخرين يافته*هاي يك مؤسسه پژوهشي دولتي درباره*ي امنيت كامپيوتري اشاره داشت كه طي آن گزارش شده بود اين مؤسسه هزاران رخنه*ي امنيتي گوناگون را در بافت نرم*افزارهاي شركت*هاي سان مايكروسيستمز، مايكروسافت، اوراكل و AOL و ديگر شركت*هاي كامپيوتري پيدا كرده است كه به*نحوه فاجعه باري امنيت كسب و كار الكترونيكي را تهديد مي*كنند.

كلارك از هكرها خواست پس از يافتن رخنه*ها بلافاصله به شركت*هاي سازنده مراجعه كنند و بر سر ارائه يافته*هاي خود به آن*ها به توافق برسند و معامله* كنند و در صورت عدم كسب نتايج دلخواه به دولت مراجعه كنند و طرح*هاي خود را ارائه كنند.
سخنان كلارك بازتاب مختلفي را به*دنبال داشت. بعضي شركت*هاي كامپيوتري از همكاري بيش*تر هكرها و سازندگان نرم*افزار استقبال كردند و بعضي ديگر هشدار دادند كه چنين پيشنهاداتي ممكن است موجب رواج اخاذي هكرها از سازندگان نرم*افزار شود. بعضي از تحليل*گران اظهار داشتند كه ممكن است اين راهبرد موجب پديد آمدن بازار سياهي شود كه در آن هكرها، دلالان و كارشناسان امنيتي، پرسنل شركت*ها و مأموران دولت به خريد و فروش موردي باگ*ها و رخنه*هاي امنيتي مي*پردازند.

خالي از لطف نيست كه بدانيد كنفرانس «كلاه مشكي» از سوي مؤسسات و شركت*هايي مثل Princewaterhouse Cooper و مايكروسافت و چندتاي ديگر حمايت و پشتيباني مي*شود و هر سال طي يك همايش دو روزه راه*هاي نفوذ به سيستم*ها و اخلال در آن*ها را بررسي مي*كند.

همه*ي اين بحث*ها و مشاجرات منجر به ابهامات و پرسش*هاي ديگري شده*اند كه خود به خود بر پيچيدگي حقوقي موضوع افزوده*اند. يك مسأله*ي مهم اين است كه موضع دولت در اين زمينه بايد چگونه باشد؟ آيا دولت بايد هكرها را تشويق كند؟ آيا دولت بايد با پديده*ي «هكرهاي كرايه*اي» مقابله كند؟ كارشناسان اقتصادي مسأله*ي سود و زيان را در اين تصميم*گيري دخيل مي*دانند. آن*ها معتقدند در كشورهايي با اقتصاد توليدي مثل آمريكا سود دولت بيش*تر در اين است كه هكرها را تشويق به همكاري با شركت*ها كند، اما در كشورهايي كه عمدتاً مصرف*كننده*ي محصولات كامپيوتري هستند شايد وضعيت متفاوت باشد. اگرچه به*طور طبيعي تعداد مصرف*كنندگان هر محصولي از تعداد توليدكنندگان آن بيش*تر است و مي*توان پيش*بيني كرد كه هكرها از بابت معامله* و چانه*زني با بازار مصرف*كنندگان به سود بيش*تري دست خواهند يافت.

از سوي ديگر تكليف ابعاد حقوقي مسأله هنوز روشن نيست. در واقع دولت نمي*تواند از يك*سو هكر بودن را جرم بداند و از سوي ديگر از توانايي*هاي اين افراد براي كشف نقاط ضعف سيستم بهر*ه*كشي كند.
اين تناقص حقوقي در انواع قديمي*تر نفوذگري و تجاوز به منافغ ديگران وجود نداشته است. پليس هر كشوري ممكن است براي مقابله با جرائم مشهود از تجربيات دزدان و تبهكاران سابق استفاده كند، اما گستره*ي اين فعاليت محدود است، چراكه تجاوز ديگران به منافع شخصي حادثه*اي است كه بخش ناچيزي از زندگي هر انسان معمولي را تشكيل مي*دهد درحالي كه به*دليل گسترش بي*سابقه*ي كامپيوترها و شبكه*هاي ارتباطي، بسياري از مردم، شبانه روز در معرض تهديد دائمي هكرها و نفوذگران شبكه*اي هستند و اگر بنا باشد دولت و مردم از توانايي*هاي هكرهاي حرفه*اي براي كشف نقاط آسيب*پذير سيستم*هاي خود استفاده كنند، ابعاد اين صورت مسأله*ي «تجاوز شبكه*اي» از نظر حقوقي، ارزشي و اخلاقي مفهومي دوگانه نخواهد بود؟