سرویس ExpressVPN توسط اسرائیل خریده شد؛ فیلترینگ بلای جان امنیت ملی!

به گزارش کارگروه امنیت سایبربان ؛ در پی انتشار اخباری نگران‌کننده مبنی بر تملک سرویس محبوب ExpressVPN توسط یک شرکت امنیت سایبری اسرائیلی، موجی از نگرانی و پرسش در میان کاربران ایرانی این سرویس به راه افتاده است. این موضوع بسیار مهم نه تنها ابعاد جدیدی به بحث همیشگی فیلترینگ و دسترسی به اینترنت آزاد در ایران می‌بخشد، بلکه چالش‌های عمیق‌تری را در حوزه امنیت داده‌ها و حاکمیت سایبری کشور مطرح می‌کند.

تغییر مالکیت ExpressVPN و زنگ خطر امنیتی برای کاربران ایرانی

یکی از کارشناسان حوزه سایبری در پاسخ به این پرسش که آیا خبر مالکیت سرویس ExpressVPN توسط یک شرکت اسرائیلی صحت دارد یا خیر پاسخ داد: «بله، این موضوع کاملاً صحت دارد. اخیراً شرکت Kape Technologies که از قضا ارتباطات نزدیکی با سرمایه‌گذاران اسرائیلی و مشخصاً تدی سگی (Teddy Sagi) دارد، سرویس ExpressVPN را خریداری کرده و اکنون به عنوان مالک اصلی آن شناخته می‌شود.»

وحید فرید در ادامه به اهمیت سرویس ExpressVPN در بازار ایران اشاره کرد و افزود: «ExpressVPN در ایران به عنوان یکی از فیلترشکن‌های پولی و باکیفیت شناخته می‌شود. بر خلاف بسیاری از سرویس‌های رایگان که معمولاً پایداری و سرعت چندانی ندارند، کاربران ایرانی با پرداخت هزینه، اکانت این سرویس را تهیه می‌کردند و ترافیک رایگان آن بسیار محدود و صرفاً جنبه تبلیغاتی داشت. شهرت و اعتبار اصلی سرویس ExpressVPN در ایران، دقیقاً به دلیل سرویس پولی و سطح خدمات نسبتاً بالای آن بود که در شرایط فیلترینگ شدید، به کاربران امکان دسترسی به اینترنت آزاد را می‌داد.»

یکی از سوالات کلیدی که ذهن کاربران را به خود مشغول کرده، میزان دسترسی شرکت‌های ارائه‌دهنده وی‌پی‌ان مانند سرویس ExpressVPN به داده‌های حساس کاربران است. فرید در پاسخ به این پرسش توضیح داد: «این شرکت‌ها می‌توانند به سه دسته اطلاعات اساسی از کاربران دسترسی پیدا کنند: موقعیت مکانی، آدرس IP واقعی کاربر و تاریخچه وب‌گردی.»

او برای روشن شدن موضوع، مثالی ملموس ارائه داد: «به عبارت دیگر، سرویس‌دهنده VPN قادر است مشاهده کند که کاربر در حال حاضر از کدام شهر یا کشور به اینترنت متصل شده، آدرس IP اصلی او چیست و از آن مهم‌تر فهرستی از وب‌سایت‌هایی که کاربر از آن‌ها بازدید کرده، در اختیار این شرکت‌ها قرار می‌گیرد. برای مثال، آن‌ها متوجه می‌شوند که کاربر وارد وب‌سایت‌های خاصی مانند فیس‌بوک، توییتر، یوتیوب، یا یک وب‌سایت خبری خاص شده است.»

پروتکل HTTPS سپر محرمانه اطلاعات شما

اما نکته بسیار مهمی که وحید فرید بر آن تاکید کرد، تمایز بین مشاهده نام دامنه و مشاهده محتوا است: «آن‌ها تنها نام دامنه یا آدرس وب‌سایت بازدید شده را می‌بینند. اما به هیچ عنوان به محتوای فعالیت کاربر در آن وب‌سایت دسترسی ندارند. یعنی نمی‌توانند ببینند که شما در فیس‌بوک چه پستی گذاشته‌اید، در توییتر چه پیامی ارسال کرده‌اید یا در یوتیوب کدام ویدئو را مشاهده کرده‌اید.»

این کارشناس حوزه امنیت سایبری در ادامه و در پاسخ به این پرسش که محتوای پیام‌ها و اطلاعاتی که در وب‌سایت‌های امن رد و بدل می‌شود، قابل مشاهده است یا خیر، پاسخ داد: «خیر، به هیچ وجه. در وب‌سایت‌های امن که از پروتکل HTTPS استفاده می‌کنند، این اتفاق نمی‌افتد و اطلاعات به صورت رمزنگاری شده منتقل می‌شوند. تقریباً تمام سرویس‌هایی که ما امروز به صورت روزمره از آن‌ها استفاده می‌کنیم، از جمله سرویس‌های دولتی، پیام‌رسان‌ها مانند تلگرام و واتساپ، و شبکه‌های اجتماعی معتبر، همگی بر بستر این پروتکل امن فعالیت می‌کنند. به همین دلیل، امکان مشاهده دیتای تبادل‌شده، حتی برای سرویس‌دهنده VPN وجود ندارد.»

تفاوت میان دامنه و محتوای رمزنگاری شده

فرید با تشریح دقیق‌تر عملکرد VPN در این سناریو افزود: «سرویس‌دهنده VPN فقط می‌بیند که شما مثلاً اپلیکیشن تلگرام را باز کرده‌اید یا وارد وب‌سایت امنی شده‌اید، اما اینکه چه پیامی را با چه کسی رد و بدل کرده‌اید، چه چیزی را در موتورهای جستجو کاوش کرده‌اید، یا چه اطلاعاتی را در یک فرم وارد کرده‌اید، به هیچ عنوان قابل مشاهده نیست؛ چرا که این اطلاعات قبل از ارسال از دستگاه شما، رمزنگاری شده و تنها گیرنده نهایی (مثلاً سرورهای تلگرام یا وب‌سایت مورد نظر) قادر به رمزگشایی آن است.»

با این حال، وحید فرید یک استثنای مهم را نیز یادآوری کرد: «البته اگر وب‌سایتی همچنان از پروتکل ناامن HTTP استفاده کند که امروز تقریباً منسوخ شده و بسیار نادر است، در آن صورت سرویس‌دهنده VPN قادر به مشاهده همه چیز خواهد بود. اما همانطور که اشاره شد، این پروتکل تقریباً دیگر مورد استفاده قرار نمی‌گیرد و غالب سایت‌ها و اپلیکیشن‌ها به HTTPS کوچ کرده‌اند.»

پیامد پنهان فیلترینگ گسترده

در پی تملک جنجالی سرویس ExpressVPN و نگرانی‌ها پیرامون دسترسی احتمالی شرکت‌های ارائه‌دهنده فیلترشکن به داده‌های کاربران، این کارشناس امنیت سایبری، با اشاره به ابعاد پنهان و کمتر دیده شده این معضل، از وجود فیلترشکن‌های متعدد دیگری خبر داد که کاربران از هویت سازنده و اهداف واقعی پشت پرده آن‌ها بی‌اطلاع هستند.

فرید در پاسخ به این پرسش که استفاده از چنین ابزارهایی تا چه اندازه امنیت داده‌های کاربران را به خطر می‌اندازد، اشاره کرد: «یکی از بزرگ‌ترین مشکلات امنیتی که ما در کشور با آن مواجهیم، این است که مجموعه وزارت ارتباطات و فناوری اطلاعات به همراه شورای عالی فضای مجازی، با سیاست‌های فیلترینگ گسترده و بدون راهکار مناسب، عملاً کاربران را مجبور به استفاده روزمره و اجباری از فیلترشکن کرده‌اند. این اجبار به استفاده از ابزارهای واسط برای دسترسی به اینترنت، خود سرمنشأ بسیاری از خطرات امنیتی است که گریبان‌گیر کاربران می‌شود.»

این کارشناس امنیت سایبری، کاربران را به دو دسته اصلی تقسیم کرد و افزود: «یک کاربر متخصص که در حوزه امنیت سایبری یا فناوری اطلاعات فعالیت می‌کند، به خوبی می‌داند که از چه ابزاری، با چه تنظیماتی و برای چه هدفی استفاده می‌کند. این افراد معمولاً VPN را با دانش فنی و برای داشتن وب‌گردی امن‌تر، رمزنگاری ترافیک و پاک کردن ردپای دیجیتال خود به کار می‌برند و در واقع، این کار امنیت آنلاین آن‌ها را ارتقا می‌دهد؛ چرا که از نظارت مستقیم اپراتورهای داخلی بر ترافیک خود جلوگیری می‌کنند و با پنهان کردن آدرس IP واقعی، لایه‌ای از حریم خصوصی را برای خود ایجاد می‌کنند.»

در ادامه فرید به گروه دوم، یعنی اکثریت کاربران اشاره کرد و هشدار داد: «اما کاربر ناآگاهی که صرفاً برای انجام کارهای روزمره، دسترسی به شبکه‌های اجتماعی، پیام‌رسان‌ها یا حتی سایت‌های خبری فیلتر شده، هر فیلترشکنی را که در دسترسش قرار می‌گیرد دانلود و امتحان می‌کند، دقیقاً توسط همین نهادها و سیاست‌هایشان در معرض خطر جدی و مستقیم قرار گرفته است.»

آنچه باید درباره امنیت V2Ray و اوپن‌سورس بدانید

فرید در ادامه به بررسی سطح امنیتی و حریم خصوصی در انواع مختلف فیلترشکن‌ها فارغ از سرویس ExpressVPN پرداخت: «برخی از وی‌پی‌ان‌ها ذاتاً از نظر امنیتی قابل اعتمادتر هستند، مثلاً پروژه‌های متن‌باز (Open Source) که کد آن‌ها برای بررسی‌های امنیتی در دسترس عموم قرار دارد و شفافیت بیشتری دارند. این ابزارها امکان بررسی توسط کارشناسان امنیتی را فراهم می‌کنند و آسیب‌پذیری‌های آن‌ها سریع‌تر شناسایی و رفع می‌شوند.»

او سپس به کانفیگ‌های V2Ray اشاره کرد که به دلیل سرعت و پایداری نسبی، محبوبیت زیادی پیدا کرده‌اند: «اما حتی در مورد کانفیگ‌های V2Ray یا هر نوع پراکسی دیگری که ما نمی‌دانیم سرور فیزیکی آن دقیقاً در کجای دنیا قرار دارد و توسط چه کسی مدیریت می‌شود، باید گفت که آن سرور، آدرس IP واقعی شما را می‌بیند و می‌شناسد.»

این کارشناس امنیت سایبری اما تفاوت کلیدی بین اپراتورهای داخلی و سرویس‌دهندگان خارجی را اینگونه توضیح داد: «تنها مزیت استفاده از فیلترشکن‌ها برای کاربران در چنین شرایطی، مسئله ناشناس بودن است. یعنی در حالت عادی، یک ارائه‌دهنده خارجی VPN یا V2Ray نمی‌تواند آدرس IP شما را مستقیماً به هویت واقعی و اطلاعات شخصی شما متصل کند. با این حال ممکن است یک شرکت امنیتی خارجی نیز از طریق همین بانک‌های اطلاعاتی لو رفته و بر اساس تطبیق آدرس‌های IP و سایر داده‌های دیجیتال، به اطلاعات هویتی واقعی شما دست پیدا کرده باشد.»

خرید VPN با کارت بانکی داخلی، خودکشی هویتی است!

فرید در خصوص VPNهای پولی که بسیاری از کاربران ایرانی از طریق درگاه‌های بانکی داخلی اقدام به خرید آن‌ها می‌کنند، هشدار جدی داد: «این یکی از همان نقاط آسیب‌پذیری است که بارها درباره‌اش تذکر داده‌ام. وقتی شما یک سرویس VPN را با کارت بانکی خود خریداری می‌کنید، در حقیقت در حال ارائه مستقیم و رسمی هویت مالی و به تبع آن هویت واقعی خود به شرکت یا فرد ارائه‌دهنده آن سرویس هستید.»

این کارشناس امنیت سایبری با تمایز قائل شدن بین روش‌های پرداخت، افزود: «البته اگر خرید با رمزارزها (مانند بیت‌کوین یا اتریوم) انجام شود، موضوع از اساس متفاوت است؛ چرا که تراکنش‌های رمزارزی ذاتاً از گمنامی بیشتری برخوردارند و پیگیری هویت واقعی خریدار بسیار دشوارتر است. اما متأسفانه، بسیاری از فروشندگان VPN در کانال‌های تلگرامی و بسترهای دیگر، پرداخت‌ها را از طریق کارت به کارت یا درگاه‌های بانکی داخلی دریافت می‌کنند که به سادگی هویت کاربران را در اختیار آن‌ها قرار می‌دهد.»

وی در ادامه اشاره کرد: «این احتمال وجود دارد که هویت واقعی شما به تمام فعالیت‌های آنلاین‌تان که از طریق آن VPN انجام می‌دهید، گره بخورد. به عبارت دیگر، یک نفر می‌تواند بنشیند و ببیند که شما با هویت مشخص خود، به کدام سایت‌ها، شبکه‌های اجتماعی یا حتی محتواهای فیلتر شده سر می‌زنید. گاهی همین اطلاعات، حتی اگر بی‌اهمیت به نظر برسد، می‌تواند در آینده برای افراد دردسرساز شود.»

رازگشایی از فیلترشکن‌های رایگان

در ادامه، فرید به بررسی انگیزه پشت پرده VPNهای رایگان پرداخت؛ سرویس‌هایی که بدون دریافت هزینه، خدمات مهمی را ارائه می‌دهند و همین موضوع، برای بسیاری از کاربران مشکوک به نظر می‌رسد. او در این باره گفت: «من معتقد نیستم که لزوماً تمام VPNهای رایگان مشکوک باشند.»

او به وجود نهادهای مردم‌نهاد و فعالان حقوق دیجیتال در سراسر دنیا اشاره کرد: «اولاً، نهادهای بسیاری در دنیا وجود دارند، حتی نهادهای مردم‌نهاد و سازمان‌های غیردولتی، که رسالت خود را در تلاش برای گردش آزاد اطلاعات و مقابله با سانسور می‌دانند. بسیاری از کانفیگ‌های رایگان V2Ray یا سایر پروتکل‌ها نیز توسط افرادی ارائه می‌شود که چند سرور اختصاصی تهیه کرده و تنها هدفشان، کمک به دسترسی آزاد به اطلاعات برای مردمان تحت فیلترینگ است، نه جاسوسی یا سوءاستفاده از داده‌ها.»

فرید سپس به یکی از بزرگترین بازارهای هدف این سرویس‌ها اشاره کرد: «بخش قابل توجهی از این سرورها و کانفیگ‌های رایگان، در اصل برای جمعیت عظیم چین طراحی و راه‌اندازی شده‌اند که تحت فیلترینگ شدید در جهان قرار دارند. ما به عنوان یک جامعه کوچک‌تر در قیاس با چین، از این سرویس‌ها و زیرساخت‌ها استفاده می‌کنیم.»

اما او در عین حال، هشدارهای لازم را نیز داد: «با این حال، نمی‌توان به قطعیت گفت که هدف هیچ‌کدام از این سرویس‌های رایگان، جاسوسی یا سوءاستفاده نیست. در میان این حجم عظیم از ابزارهای رایگان، ممکن است فرد یا سازمانی با هدف جاسوسی، جمع‌آوری اطلاعات یا حتی بهره‌برداری‌های مالی، از این فرصت طلایی استفاده کند.»

۸۰ درصد جمعیت کشور در دام VPN

فرید با تاکید بر نقش نهادهای داخلی در ایجاد این وضعیت، افزود: «این فرصت بزرگ را برای افراد سودجو و جاسوسان، نهادهایی مانند وزارت ارتباطات و شورای عالی فضای مجازی ایجاد کرده‌اند. وقتی طبق آمارهای رسمی و علنی، بیش از ۸۰ درصد جمعیت ۸۰ میلیونی کشور ما مجبور به استفاده از VPN هستند و به دنبال راه چاره‌ای برای دسترسی به اینترنت می‌گردند، عملاً طعمه‌های بسیار زیادی برای افراد سودجو، شرکت‌های جاسوسی و حتی نهادهای دولتی خارجی فراهم می‌شود.»

این کارشناس امنیت سایبری در بخش پایانی صحبت‌های خود، انگشت اتهام را به سوی شورای عالی فضای مجازی گرفت و خواستار یک تحول بنیادین شد: «امیدوارم یک عقلانیتی در این حوزه ایجاد شود و سیاست‌گذاران به خود بیایند. به نظر من اول از همه، شورای عالی فضای مجازی باید منحل شود.»

به گفته وی، در این شورا افرادی بدون دانش کافی در حوزه فناوری اطلاعات و امنیت سایبری، با نگاهی کاملاً سنتی و بعضاً ایدئولوژیک به مسائل تصمیم‌گیری می‌کنند. همین تصمیمات ناعادلانه و ناآگاهانه آن‌ها مسبب اصلی تمام این مشکلات امنیتی و به خطر افتادن حریم خصوصی میلیون‌ها شهروند ایرانی است. فرید در پایان با تاکید بر اهمیت حیاتی این موضوع، ابراز امیدواری کرد: «امیدوارم حداقل این بخش اساسی اصلاح شود، چرا که این یک بحث بسیار جدی و حیاتی برای امنیت و حریم خصوصی شهروندان این کشور است.»