Bu məqalə bir neçə il əvvəl yazılmışdır, Telegram mesajlaşma proqramının bloklanmasının müzakirə olunduğu dövrdə, və bu barədə fikirlərim yer alır. Və baxmayaraq ki, bu mövzu bu gün demək olar ki, unudulmuşdur, ümid edirəm ki, bəlkə də bu hələ də kimsəyə maraqlı olar.
Bu mətn mənim rəqəmsal təhlükəsizlik mövzusundakı düşüncələrimin nəticəsidir və dərc etməkdə uzun müddət tərəddüd etmişdim. Xoşbəxtlikdən, bu sahədə mütəxəssislərin çoxluğu var ki, onlar problemi tam şəkildə başa düşürlər, və mən onlara yeni bir şey çatdıra bilmirəm. Lakin, onların yaninda, çoxsaylı jurnalistlər və digər bloggerlər var ki, yalnız özləri səhv düşünürlər, eyni zamanda, öz məqalələri ilə bir çox miflər yaradırlar.
İlk olaraq, Telegram mesajlaşma proqramının necə işlədiyini təsəvvür edək. Onların ana səhifəsinə girə bilərik və özlərini necə təqdim etdiklərini oxuya bilərik. Bu həllin istifadə edilməsinin əsas üstünlüklərindən biri, son istifadəçi təhlükəsizliyinə kompromissiz yanaşmanı göstərməsidir. Amma bu, əslində nə deməkdir?
Bloklama əleyhdarları bunu insan ilə dövlət, söz azadlığı ilə şəxsiyyətin total nəzarəti arasında qarşıdurma kimi təqdim edirlər. Dəstəkləyiciləri isə, əksinə, ictimai təhlükəsizlik və cinayətkar və terror strukturları ilə mübarizə məqsədini güdürlər.
İlkin olaraq, gəlin Telegram mesajlaşma proqramının necə işlədiyini təsəvvür edək. Onların ana səhifəsinə baş çevirib, özlərini necə təqdim etdiklərini oxuya bilərik. İstifadə edilən bu həllin əsas üstünlüklərindən biri, son istifadəçi təhlükəsizliyinə kompromissiz yanaşma olduğunu iddia etməsidir. Ancaq bunun altında nə dayanır?
Digər ictimai xidmətlərdə olduğu kimi, sizin məlumatlarınız şifrələnmiş şəkildə ötürülür, amma yalnız mərkəzdə serverləri üçün mükəmməl seçim edir., burada isə onlar tam açıq şəkildə saxlanılır və istənilən admin, əgər çox istəsə, asanlıqla bütün yazışmanızı görə bilər. Şübhə edirsiniz? Onda düşünün, cihazlar arasında sinxronizasiya funksiyası necə həyata keçirilir. Məxfi məlumatlar varsa, onlar üçüncü bir cihaza necə daxil olur? Axı, siz şifrləmək üçün xüsusi müştəri açarları təqdim etmirsiniz.
Məsələn, ProtonMail poçt xidmətində olduğu kimi, xidmətlə işləmək üçün sizdən açar təqdim etməyiniz tələb olunur, bu açar sizin lokal kombüterinizdə saxlanılır və brauzer tərəfindən poçt qutunuzdakı mesajların şifrəsini açmaq üçün istifadə edilir.
Amma işlər o qədər də asan deyil. Adi çatlardan əlavə, bir də gizli çatlar var. Burada yazışma həqiqətən yalnız iki cihaz arasında baş verir və sinxronizasiya ilə danışmaq mümkün deyil. Bu funksiya yalnız mobil müştərilərdə mövcuddur, həmçinin çatın ekran görüntüləri tətbiq səviyyəsində bloklanıb və çat müəyyən bir zaman sonra məhv edilir. Texniki cəhətdən məlumat axını hələ də mərkəzi serverlər vasitəsilə gedir, lakin orada saxlanılmır. Həmçinin, saxlanılma özünü doğrultmur, çünki deşifrasiya açarları yalnız müştərilərdədir və şifrəli trafik əhəmiyyət daşımır.
Bu sxem müştərilər və server dürüst şəkildə bunu həyata keçirənə qədər işləyəcək və cihazda sizin xəbəriniz olmadan ekran görüntülərini üçüncü şəxslərə göndərən müxtəlif proqramlar olmadığı müddətcə. Bəlkə də, hüquq-mühafizə orqanlarının Telegram-a olan bu antipatiyasının səbəbini gizli çatlarda axtarmaq lazımdır? İnanıram ki, bu, insanların əksəriyyətinin anlamağa çətinlik çəkdiyi bir şeydir. Biz bu anlamın səbəbini tam başa düşə bilməyəcəyik, bununla yanaşı şifrələmə nədir və kimdən sizi məlumatlarınızı qorumaq üçün nəzərdə tutulub, bunu anladıqca.
Gəlin düşünək ki, bir cinayətkar dostlarına gizli bir mesaj göndərmək istəyir. O qədər vacibdir ki, bunu düşünmək və ehtiyatlı olmaq lazımdır. İnformasiya təhlükəsizliyi mütəxəssisi baxımından Telegram bu seçimdir? Xeyr, deyil. Mən iddia edirəm ki, bunun üçün hər hansı populyar mesajlaşma tətbiqindən istifadə etmək ən pis seçimdir.
Əsas problem, mesaj sistemi istifadə olunmasıdır ki, burada yazışmalarınız ilk növbədə axtarılacaq. Və əgər bu sistem kifayət qədər yaxşı qorunursa, bunun mövcudluğu sizi kompromit edə bilər. Unutmayaq ki, müştərilərin bağlantısı hələ də mərkəzi serverlər vasitəsilə baş verir və iki istifadəçi arasında mesaj göndərilməsinin faktı hələ də sübut oluna bilər. Buna görə də elektron poçtdan, sosial şəbəkələrdən və digər açıq xidmətlərdən istifadə etmək mənasızdır.
Bəs, təhlükəsizlik tələblərinə cavab verən yazışmanı necə təşkil etmək olar? Baxışımız çərçivəsində qanunsuz və mübahisəli metodları qəsdən kənara qoyacağıq ki, bu əslində qanun çərçivəsində həll edilə bilən bir iş olduğunu göstərə bilək. Heç bir casus, haker və ya çətin əldə olunan proqram təminatına ehtiyac yoxdur.
Demək olar ki, bütün vasitələr istənilən GNU/Linux əməliyyat sistemi ilə birlikdə təqdim olunan standart yaxşılıqların tərkibinə daxildir və onların qadağan edilməsi, kompüteri tamamilə qadağa etməyə bərabərdir.
Ümumdünya interneti, adətən GNU/Linux əməliyyat sistemini işlədən serverlərdən ibarət böyük bir torpağı xatırladır və bu serverlər arasında paketlərin yönləndirilməsi qaydaları vardır. Bu serverlərin əksəriyyətinə birbaşa qoşulmaq mümkün olmur, lakin onların xaricində, bizə xidmət göstərən bir çox əlçatan ünvanı olan milyonlarla server mövcuddur, bu da böyük miqdarda trafik ötürür. Və sizin yazışmalarınızı bu xaos içində heç kim axtarmaz, xüsusən də onların xüsusi bir xüsusiyyəti yoxdursa.
Gizli əlaqə kanalı yaratmaq istəyənlər, bazarda mövcud olan yüzlərlə oyunçudan birindən VPS (buludda virtual maşın) alacaqlar. Bu işin qiyməti, bildiyiniz kimi, ayda bir neçə dollar təşkil edir. Təbii ki, bunu anonim şəkildə etmək mümkün olmayacaq və bu virtual maşın, ödəniş vasitənizlə bağlı olduğuna görə kimliyinizi də açıqlayacaq. Bununla belə, əksər hosting provayderləri sizin onların avadanlığında nə işlətdiyinizlə maraqlanmırlar, yalnız siz onların əsas sərhədlərini, məsələn, ayrılan trafik və 23-cü porta olan bağlantılarını aşmadığınız müddətdə.
Belə bir imkanı olsa da, onun sizdən qazandığı bir neçə dollara xərcləyib sizi izləmək üçün bu qeyri-səmərəli addım atması onun üçün sərfəli olmaz.
Əgər o, bunu etmək istəyərsə və ya buna məcbur olsa, əvvəlcə siz tərəfindən istifadə olunan proqram təminatının nədən ibarət olduğunu başa düşməlidir və bu bilik əsasında izləmə infrastrukturu yaratmalıdır. Bunu əllə etmək çətin olmayacaq, amma bu prosesi avtomatlaşdırmaq son dərəcə çətin olacaq. Eyni səbəbdən, sizin serverinizdən keçən bütün trafiki saxlamağın iqtisadi cəhətdən sərfəli olmayacağı düşünülməlidir, yalnız əgər siz əvvəlcədən müvafiq qurumların diqqətini çəkməsəniz.
Sonrakı mərhələ, mövcud bir çox üsuldan biri ilə təhlükəsiz bir kanal yaratmaq olacaq.
- Ən sadəsi, serverlə təhlükəsiz ssh bağlantısı yaratmaqdır. Bir neçə müştəri OpenSSH vasitəsilə qoşulur və məsələn, wall əmri ilə danışırlar. Əlverişli və sadədir.
- Serverin qaldırılması VPN və bir mərkəzi server vasitəsilə bir neçə müştərinin qoşulması. Alternativ olaraq, hər hansı bir yerli şəbəkə üçün çat proqramını axtarın və irəliləyin.
- Sadə FreeBSD NetCat sürprizən primitiv anonim çat üçün daxili funksionallıq təqdim edir. Sertifikatlar üzrə şifrələməni dəstəkləyir və daha çox şey.
Bunu qeyd etməyə ehtiyac yoxdur ki, bu cür, sadə mətn mesajlarının yanında, istənilən faylları da ötürmək mümkündür. Bu üsulların hər biri 5-10 dəqiqə ərzində reallaşdırıla bilər və texniki baxımdan çətin deyil. Mesajlar sadə şifrələnmiş trafik kimi görünəcək, internetdə isə bunun çoxu vardır.
Bu yanaşma steganografi adlanır – mesajların axtarılmadığı yerlərdə gizlədilməsi. Bu, özü-özlüyündə yazışmanın təhlükəsizliyini təmin etmir, lakin aşkar edilmə ehtimalını sıfıra endirir. Üstəlik, əgər serveriniz başqa bir ölkədədirsə, məlumatların ələ keçirilməsi digər səbəblərdən də mümkün olmaya bilər. Və əgər birisi buna baxmayaraq ona giriş əldə edərsə, o zaman sizin yazışmanız, çox güman ki, təhlükəsiz qalacaq, çünki o, ictimai xidmətlərdən fərqli olaraq heç bir yerdə lokal olaraq saxlanılmır (bu, əlbəttə ki, sizin seçdiyiniz ünsiyyət üsulundan asılıdır).
Lakin mənə etiraz edə bilərlər ki, mən doğru yerdə axtarmıram, dünyada kəşfiyyat artıq hər şeyi düşünüb və bütün şifrləmə protokollarında artıq uzun müddətdir daxili istifadəyə yarayan boşluqlar var. Bu, məsələnin tarixini nəzərə alaraq, olduqca məntiqli bir təsdiqdir. Bu halda nə etmək lazımdır?
Müasir kriptologiyanın əsasını təşkil edən bütün şifrləmə sistemləri müəyyən bir xüsusiyyətə malikdir – kriptografik dayanıqlığa. Bu, hər bir şifrənin sındırıla biləcəyini nəzərdə tutur – bu, sadəcə zaman və resurslar məsələsidir. İdeal olaraq, bu prosesi sındırmaq üçün kifayət qədər mənasız etmək lazımdır, məlumatların nə qədər önəmli olmasından asılı olmayaraq. Ya da o qədər uzun çəkməlidir ki, sındırma zamanı artıq məlumatların əhəmiyyəti itirilmiş olsun.
Bu ifadə tamamilə düzgün deyil. Bu, bu gün istifadə olunan ən geniş yayılmış şifrləmə protokollarına aid olanda düzgündür. Lakin bütün şifrələrin çeşidində bir şifrə var ki, bu, sındırmağa qarşı tam dayanıklıdır və eyni zamanda başa düşmək üçün çox sadədir. Teorik olaraq, bütün şərtlər yerinə yetirildikdə, onu sındırmaq mümkün deyil.
Vernam Şifrinin arxasında duran fikir çox sadədir – əvvəlcədən təsadüfi açarların ardıcıllıqları yaradılır ki, bunlarla mesajlar şifrələnəcək. Hər bir açar yalnız bir dəfə bir mesajın şifrələnməsi və deşifrələnməsi üçün istifadə olunur. Ən sadə halda biz uzun bir təsadüfi baytlar sırası yaradırıq və mesajın hər bir baytını müvafiq açar baytı ilə XOR əməliyyatı vasitəsilə çevrilərək aşılayırıq, daha sonra bunu şifrələnməmiş kanaldan göndəririk. Asanlıqla görmək olar ki, bu şifrə simmetrikdir və şifrələmə və deşifrə etmə üçün eyni açar istifadə olunur.
Bu üsulun çatışmazlıqları var və o nisbətən nadir istifadə olunur, lakin əldə edilən üstünlük budur ki, əgər iki tərəf əvvəlcədən açar haqqında razılaşırsa və bu açar təhlükəsizdirsə, o zaman məlumatların oxunmaması üçün əmin ola bilərsiniz.
Bu necə işləyir? Açar əvvəlcədən yaradılır və bütün iştirakçılar arasında alternativ bir kanal vasitəsilə ötürülür. Onu, tam müayinə imkanını istisna etmək üçün, imkan varsa, neytral bir ərazidə şəxsi görüşdə ötürə bilərsiniz və ya sadəcə USB flash yaddaşla poçtla göndərə bilərsiniz. Hələ də sərhədləri keçən bütün məlumat daşıyıcılarını müayinə etmək üçün texniki imkanların olmadığı bir dünyada yaşayırıq, bütün sərt sürücülər və telefonlar.
Bütün yazışma iştirakçıları açarı aldıqdan sonra, birbaşa əlaqə seansı başlamaq üçün xeyli vaxt keçə bilər ki, bu da sistemə müqaviməti daha da çətinləşdirir.
Açardakı bir bayt yalnız bir dəfə şifrləmədə istifadə olunur və gizli mesajın digər iştirakçılar tərəfindən deşifrə olunmasına imkan tanıyır. İstifadə edilmiş açarlar məlumatların ötürülməsindən sonra bütün yazışma iştirakçıları tərəfindən avtomatik olaraq məhv edilə bilər. Bir dəfə gizli açarları dəyişərək, mesajları onların uzunluğu qədər ümumi həcmda ötürmək mümkündür. Bu fakt adətən bu şifrənin bir çatışmazlığı kimi təqdim olunur, daha qanəşdirici olanı, açarın məhdud uzunluğa sahib olması və mesajın ölçüsündən asılı olmamasıdır. Lakin bu insanlar irəliləyişləri unudurlar və əgər Soyuq Müharibə dövründə bu bir problem idisə, bu gün elə bir problem deyil. Müasir daşıyıcıların imkanlarının demək olar ki, sonsuz olduğunu nəzərə alsaq, ən sadə halda söhbət gigabaytlardan gedir, o zaman qorunan əlaqə kanalı limitsiz müddət ərzində fəaliyyət göstərə bilər.
Tarixən Vernam Şifrəsi, yəni bir dəfəlik qeydlər vasitəsilə şifrlama, Soyuq Müharibə dövründə gizli mesajların ötürülməsi üçün geniş istifadə olunmuşdur. Çünki fərqli mesajların eyni açarlarla şifrləndiyi xəbərdar olsa da, yəni şifrələmə prosesi pozulmuşdu və bu da onların deşifrələnməsinə imkan tanımışdı.
Bu metoddan praktikada istifadə etmək çətin də ola bilər? Əslində daha çox sıradan, və müasir kompüterlər vasitəsilə bu prosesin avtomatlaşdırılması başlanğıc həvəskar üçün çox asandır.
Bəlkə də bloklama məqsədi konkret Telegram mesajlaşma servisinə zərər vurmaqdır? Əgər belədirsə, yenə də yanıldılar. Telegram müştərisi qutudan çıxanda proxy serverləri və SOCKS5 protokolunu dəstəkləyir ki, bu da istifadəçiyə bloklanmamış IP adresləri ilə xarici serverlər vasitəsilə işləməyə imkan tanıyır. Qısa sessiya üçün ictimai SOCKS5 serveri tapmaq çətin deyil, və öz VPS-də belə bir server qurmaq isə daha da asandır.
Lakin mesajlaşma ekosisteminə zərbə vurulacaq, çünki əksər istifadəçilər üçün bu məhdudiyyətlər hələ də aşılmaz bir maneə yaradacaq və onun populyarlığı arasında əhəmiyyətli dərəcədə azalacaq.
Beləliklə, yekunlaşdıraraq. Telegram ətrafında bütün bu səs-küy sadəcə bir həyəcan və başqa bir şey deyil. Onu ictimai təhlükəsizlik səbəbləri ilə bloklamaq texniki cəhətdən savadsız və mənasızdır. Hər hansı bir qurum, təhlükəsiz ünsiyyətə maraqlı olduğu halda, bir neçə tamamlayıcı texnikadan istifadə edərək öz kanallarını təşkil edə bilər və ən maraqlısı budur ki, bunu etmək olduqca sadədir, əgər şəbəkəyə hansısa bir giriş varsa.
İnformasiya təhlükəsizliyinin cəbhəsi bu gün daha çox mesajlaşma tətbiqləri deyil, şəbəkənin adi istifadəçiləri üzərindədir, hətta onlar bunun fərqində belə olmaya bilərlər. Müasir internet – buna sayğı göstərilməli olan bir reallıqdır və burada bir vaxtlar sarsılmaz görünən qanunlar artıq keçərsizdir. Telegram-ın bloklanması, informasiya bazarında müharibələrin daha bir nümunəsidir. İlk deyil və əmin olun ki, sonuncu da olmayacaq.
İllər əvvəl internetin kütləvi yayılmasından əvvəl, hər cür agentlik şəbəkələrinin qarşısında duran əsas problem həm öz aralarında, həm də mərkəzlə əlaqəni təmin etmək üçün təhlükəsiz bir ünsiyyət kanalı yaratmaq idi. İkinci Dünya Müharibəsi zamanı iştirak edən bütün ölkələrdə özəl radio stansiyalarının ciddi nəzarəti (bu gün də qeydiyyat tələb olunur), Soyuq Müharibə dövrünün nömrəli radio stansiyaları (bəzi stansiyalar bu gün də fəaliyyət göstərir), ayaqqabının altındakı mini kasetlər – bütün bunlar insanlıq inkişafının yeni bir mərhələsində gülməli görünür. Həmçinin, dövlət maşınının sərt şəkildə nəzarət olunmayan hər hansı bir hadisəni fəal şəkildə bloklamağa itələyən şüur inertiyası. Buna görə də IP ünvanlarının bloklanması qəbul edilən bir həll olaraq qiymətləndirilməməlidir və belə qərarlar qəbul edən insanların bacarıqsızlığını göstərir.
Müasirliyin əsas problemi üçüncü tərəflərin şəxsi yazışmaların məlumatlarını saxlamağı və ya analiz etməsi deyil (bu, bugün yaşadığımız tamamilə obyektiv bir reallıqdır), əksinə, insanların özlərinin bu məlumatları təqdim etməyə hazır olmalarıdır. İstədiyiniz brauzerlə internetə daxil olduğunuzda, sizə onlarla skript diqqətlə baxaraq, harada necə klik etdiyinizi və hansı səhifəyə keçdiyinizi qeydə alır. Smartfon üçün yeni bir proqram quraşdırdığınızda, əksər insan proqramın icazə tələb edən pəncərəsini onun istifadəsinə başlamadan əvvəl narahatedici bir maneə kimi görür. Bununla yanaşı, əslində zərərsiz görünən proqram sizin telefon kitabınıza daxil olub, bütün mesajlarınızı oxumaq istəyir. Təhlükəsizlik və özəl həyat rahatlıq üçün könüllü olaraq dəyişdirilir. İnsanlər tez-tez öz şəxsi məlumatlarından, dolayısıyla azadlıqlarından könüllü olaraq ayrılırlar, beləliklə, dünya üzrə özəl və dövlət təşkilatlarının məlumat bazalarını öz həyatları haqqında dəyərli məlumatlarla doldurur. Və bu məlumat mütləq öz məqsədləri üçün istifadə ediləcək. Həmçinin, mənfəət uğrunda mübarizədə bu məlumatı istədiyinə satacaqlar, hər hansı bir əxlaqi norma görmədən.
Mən ümid edirəm ki, məqalədə təqdim edilən məlumat sizə informasiya təhlükəsizliyi probleminə yeni bir baxış açısı verəcək və bəlkə də, internetdəki bəzi vərdişlərinizi dəyişdirməyə səbəb olacaq. Və mütəxəssislər bu situasiyaya ciddi bir gülüşlə yanaşaraq, daha da irəliləyəcəklər.
Evinizə sülh diləyirəm.
Mənbə: habr.com
