مدیران سایت‌ها چه چیزهایی در مورد کاربرانشان می‌دانند؟ (آیا آدرس منزل و اسم ما روی اینترنت قابل دستیابی است؟)

هر از چند گاهی کاربران یا دانشجویان و یا آشنایان چنین سؤالاتی می‌پرسند:

سلام استاد نیرومند،امیدوارم حالتون خوب باشه، بخشید من  یه سوالی  داشتم  از خدمتتون می دونم سرتون شلوغه ولی ممنون میشم جواب منو بدید ،در مورد اینکه آیا بازدید از یک وب سایت از طریق ای پی  بازدید کننده، جزئیاتی مثل شهر،اسمو فامیل که بازدید کننده به وب متصل است هم قابل شناسایی می باشد؟ و آیا این آی پی هر بار که ما وارد ان سایت شویم  قابل شناسایی هست؟ و اینکه مدیر سایت از طریق  شناسایی ای پی ما میتواند متوجه شود ما امروز به کدام سایتها سر زدیم کلا فزولی کنه؟امکانش هست که ما ای پییمونوتغییر بدیم؟

برنامه‌نویسان و مدیران سایت‌ها به چه اطلاعاتی در مورد ما دسترسی دارند؟

ببینید، اگر از یک مرورگر استاندارد و مشهور و آپدیت استفاده کنید، آن مرورگرها موظفند برخی اصول را رعایت کنند و بیش از آن اصول، اطلاعاتی در اختیار سایت‌ها قرار ندهند در غیر اینصورت توسط سازمان‌ها و افراد مختلف به عنوان یک مرورگر ناامن به جهان معرفی می‌شوند و طبیعتاً از دور خارج می‌شوند. چون در اصطلاح Privacy یا مسائل خصوصی کاربر را رعایت نکرده‌اند.

تقریباً کل اطلاعاتی که ما برنامه‌نویس‌ها و مدیران سایت‌ها می‌توانیم از کاربرانمان به دست بیاوریم این‌هاست:

۱- آی.پی (IP):

همانطور که هر خانه برای حضور در یک شهر نیاز به یک کد پستی دارد، هر کاربر برای حضور در اینترنت نیاز به یک کد پستی دارد که به آن IP Address یا IP گفته می‌شود.

از روی آی.پی چه چیزهایی می‌شود فهمید؟

باید دقت کنید که هر ISP برای اینکه راه‌اندازی شود باید به سازمان IANA (یا نمایندگان آن سازمان در کشورهای مختلف) مراجعه کند و در اصطلاح یک رِنج آی.پی به نام خودش بخرد. پس یک جا ثبت شده که چه آی.پی‌ای برای چه آی.اس.پی‌ای است. و این لیست در اختیار همه هست و از طریق سایت‌هایی مثل whois.sc قابل دسترسی است.
حالا هر کاربری که از طریق آن ISP وارد اینترنت می‌شود، یکی از آن آی.پی‌ها را از آن آی.اس.پی قرض می‌گیرد (و کرایه‌اش را هم می‌دهد) و وارد اینترنت می‌شود. این IPها به صورت رندوم (یا به قول متخصص‌های شبکه Dynamic=پویا) به کاربران اختصاص داده می‌شود. یعنی هر بار که شما به اینترنت وصل می‌شوید آی.پی شما به احتمال بسیار زیاد با دفعه قبل فرق می‌کند. (البته ممکن است یک شرکت صنعتی برای کارهایی مثل کنترل دوربین‌های مداربسته شرکت یا دسترسی به سرور از بیرون از شرکت و امثالهم، درخواست آی.پی Static یعنی «ثابت» کند. در اینصورت آن ISP تنظیم می‌کند که هر وقت این شرکت با این شماره تلفن خواست به اینترنت وصل شود، یک آی.پی مشخص و رزرو شده را به او بدهد)

پس: تنها چیزی که مدیران سایت‌ها می‌توانند از روی آی.پی شما بفهمند این است که شما از طریق کدام آی.اس.پی به اینترنت وصل شده‌اید. البته باید این را هم بدانید که ما کلاً در ایران به تعداد انگشتان دست‌ها هم ISP نداریم. بقیه، همه نماینده هستند. یعنی مثلاً اگر شما در شهر کوچکی زندگی می‌کنید و یک ISP در آن شهر دارید، آن ISP نماینده‌ی یک ISP بزرگ مثل شاتل یا پارس‌آنلاین یا مخابرات در تهران به حساب می‌آید. بنابراین وقتی شهر مربوط به آی.پی شما بررسی می‌شود، مثلاً تهران یا اصفهان دیده می‌شود. پس اینطور نیست که از روی آی.پی دقیقاً مشخص شود که شما از کدام شهر متصل هستید.

برای درک بهتر، به این صفحه بروید: http://yourl.ir/ip تا آی.پی خود را بفهمید. اگر روی آی.پی کلیک کنید، می‌فهمید که چه چیزهایی به طور عام از روی آی.پی شما می‌شود فهمید.

یعنی واقعاً به هیچ وجه نمی‌شود از روی IP فهمید چه کسی از کجا به اینترنت وصل شده؟

چرا، مثل آب خوردن! فقط دو چیز لازم است: ۱- لحظه دقیق مشاهده‌ی آن آی.پی و ۲- یک مجوز از سازمان‌هایی مثل پلیس فتا و ...

مثلاً من یک دام طراحی کرده‌ام که وقتی احساس می‌کنم احتمال دارد یک کاربر روی سایت خرابکاری کند، با یک ترفند خاص (که نمی‌توانم لو بدهم) او را به آن دام می‌فرستم. به محض اینکه آن کاربر وارد دام شد، آی.پی و لحظه‌ی دقیق لود شدن دام و یک سری اطلاعات دیگر به ایمیل من ارسال می‌شود که اگر لازم شد، از روی آن بتوانیم پیگیری کنیم...

پلیس می‌تواند با دانستن آی.پی، آی.اس.پی مربوطه را به دست بیاورد. سپس از آن آی.اس.پی بخواهد لاگ‌های خود (Log یعنی ردپاها) را بررسی کند و ببیند دقیقاً در آن لحظه‌ی خاص، آن آی.پی به کدام کاربر اختصاص داده شده (این‌ها همه در دیتابیس آی.اس.پی‌ها ثبت است). طبیعتاً آی.اس.پی، شماره تلفن و مشخصات آن کاربر را می‌داند و به پلیس می‌دهد و تمام!

پس: آن جوان ناشی که فکر می‌کند اینترنت یک دنیای کنترل نشده است، باید بداند که خیلی بعید است بتواند به همین راحتی‌ها خودش را مخفی کند. (آنقدر راه برای به دام انداختن شما وجود دارد که فکرش را هم نمی‌کنید!)

(یک وبلاگ‌نویس در شهر ما بود که به صورت ناآشنا و با نام مستعار، علیه مسؤولین در وبلاگش با بدترین لحن، مطالب انتقادی می‌نوشت. روزهای اول از من خواستند او را شناسایی کنم اما قبول نکردم و گفتم من را درگیر این مسائل نکنید. عجیب است که بیش از دو سال طول کشید تا همین اواخر او را گیر انداختند!! من آن زمان به آن‌ها گفته بودم اگر بخواهم، نهایتاً طی دو روز او را شناسایی می‌کنم!)

خلاصه: مدیران سایت‌ها فقط می‌توانند نام آی.اس.پی شما را بفهمند. اما اگر پلیس بخواهد و زمان دقیق اختصاص آن آی.پی به شما را بداند، احتمالاً در چند دقیقه دم خانه شما خواهد بود!

آیا با فیلتر-شکن یا نرم‌افزارهای تغییر IP، می‌توان آی.پی را مخفی کرد؟

بله :) اگر شما با یک «اسمشو-نبر» وارد یک سایت شوید، آی.پی سروری که آن سرویس را به شما داده به جای شما ثبت می‌شود.

یعنی با یک فیلتر-شکن به همین راحتی می‌شود پلیس را دور زد؟

ببینید، اگر در نیروهای نظامی، امثال ما که همین حد کم اطلاعات داریم وجود داشته باشد که قطعاً خیلی بهتر از ما هست، راه‌های زیادی برای فهمیدن هویت یک شخص خواهد داشت. حالا ممکن است کمی طول بکشد اما بالاخره... (مثلاً من چند ماه است که برای یک کاربر که یک جمله را در بخش نظرات نوشته، دام پهن کرده‌ام!) در کل یادتان باشد که به قول دعای کمیل: «لا یُمکِنُ الفِرارُ مِن حُکومتِک»! (فرار از حیطه‌ی حکومت تو ممکن نیست!)

می‌شود از داخل یک کافی‌نت خرابکاری کرد؟

می‌دانید که کافی‌نت‌ها طبق قانون باید از کاربران کارت ملی بگیرند و دقیقاً ثبت کنند که چه لحظه‌ای و چه کسی روی کدام سیستم نشسته بود. این اطلاعات برای همین مواقع است. اگر یک بانک ادعا کند که فلان آی.پی به بانک نفوذ کرده و از طریق لاگ‌های آی.اس.پی به آن کافی‌نت برسند و آن کافی‌نت نتواند بگوید کدام کاربر بوده، احتمالاً به نام خودش خواهند زد و مجرم شناخته می‌شود...

۲- مشخصات مرورگر و سیستم عامل شما:

برنامه‌نویس می‌تواند مشخصات دقیق مرورگر و سیستم عامل شما را با یک خط کد بفهمد (مثلاً از مرورگر فایرفاکس نسخه ۳۸ و ویندوز ۸.۱ استفاده می‌کنید). مشخص است که این اطلاعات به خصوص وقتی پای صدها کاربر در میان باشد، خیلی مهم نیستند. این موارد برای داشتن آماری کلی از سیستم‌های کاربران استفاده می‌شود. (البته گاهی همین مشخصات یک ملاک خوب برای تشخیص یک کاربر است).

۳- شما از کجا آمده‌اید و به کجا می‌روید؟

مدیر سایت می‌تواند بفهمد که شما روی چه لینکی کلیک کردید و وارد سایت آن‌ها شدید و روی چه لینکی کلیک کردید و از سایت خارج شدید.

مجدداً، این آمار جزء آمار خصوصی نیست اما می‌تواند به عنوان یک دام استفاده شود.

۴- عملکرد شما در سایتشان:

مدیران سایت‌ها اگر سیستمی که روی سایتشان نصب است، حرفه‌ای باشد یا خودشان یک سیستم حرفه‌ای نوشته باشند، می‌توانند بفهمند که شما چه صفحاتی از سایتشان را دیدید. البته این اطلاعات زمانی شما را قابل شناسایی می‌کند که شما در آن سایت ثبت‌نام کرده باشید و در اکانت خود لاگین کرده باشید.

مثلاً سیستم سایت آفتابگردان به ما نشان می‌دهد که فلان کاربر الان در حال خواندن کدام مطلب است. هر پستی که کاربر در هر کجا ثبت کند، آی.پی و مشخصات دیگرش ثبت می‌شود. یا مثلاً می‌شود فهمید که آخرین بازدید کاربر از سایت کی بوده (البته تأکید می‌کنم که اگر در اکانت خود لاگین کرده باشد وگرنه همه چیز به عنوان مهمان ثبت می‌شود).

پس، اگر در یک سایت ثبت‌نام کنید و لاگین کرده باشید، باید این را بدانید که اگر آن سایت بخواهد می‌تواند طوری برنامه‌نویسی کند که عادات شما ثبت و شناسایی شود.

یک بحث جانبی: مراقب تاریخچه مرور صفحات یک سایت باشید!

کلاً «تاریخچه» یا History این روزها برای سایت‌ها خیلی اهمیت دارد. می‌دانید که گوگل هم در یک اقدام واقعاً خطرناک و بحث‌برانگیز تاریخچه جستجوهای شما را ثبت می‌کند: https://www.google.com/history

و طبق تاریخچه‌ی شما برایتان برنامه‌ریزی می‌کند. (البته می‌توانید در تنظیمات به گوگل بگویید که این کار را نکند و البته اگر به همین راحتی‌ها به حرف شما گوش کند!!)

چند جمله در یکی از کلاس‌ها گفته بودم که بعداً یکی از آن دانشجویان برایم نوشت:

بخشی از آن چند جمله این بود: سایت‌هایی مثل فیس‌بوک و یوتیوب و اینستاگرام و امثالهم، نسبت به تاریخچه رفتار شما برایتان برنامه‌ریزی می‌کنند. یعنی اگر به طور مثال یک ویدئوی چرت در یوتیوب ببینید، آن سایت می‌فهمد شما به آن نوع ویدئو علاقه دارید و برای شما ویدئوهای چرت‌تری را در اطراف یا صفحه اول نمایش می‌دهد و همینطور شما را بیشتر به سمت آن نوع محتوا سوق می‌دهد. (البته این الگوریتم نمایش هوشمند محتواست و ممکن است عمدی در کار نباشد که گاهی هست!!)

حتی یک زمان بحث بود که مرورگرها برای برنامه‌ریزی بهترِ سایت‌ها، اجازه دسترسی به تاریخچه مرورگر را به برنامه‌نویسان بدهند که اگر چنین اتفاقی می‌افتاد یک فاجعه رخ می‌داد! همه چیز به هم می‌ریخت! تمام عادات و رفتار شما برای همه سایت‌ها قابل شناسایی می‌بود!
- برنامه‌ریزی بهتر به این معنا که مثلاً مدیر یک فروشگاه بفهمد شما چه چیزهایی را در گوگل جستجو کرده‌اید یا قبلاً چه سایت‌هایی رفته‌اید و طبق آن‌ها محصولات مرتبط‌تر با علایق و سلایق شما را جلو چشم شما قرار دهد. این موضوع به عنوان بخشی از «وب ۳» (وب هوشمند) مطرح بود که طبیعتاً مخالفان بسیاری داشت و رد شد. اما خوب، چه کسی است که نداند گوگل به راحتی دارد از این اطلاعات (به نحو دیگری) استفاده می‌کند؟ دقت کنید: موتور جستجوی شما گوگل است (پس هر چه که جستجو کنید می‌داند)، اکثر سایت‌ها (به خصوص خارجی‌ها که توسط گوگل تحریم نیستند) از طریق گوگل تبلیغات در سایتشان نشان می‌دهند (پس هر سایتی بروید تبلیغات سایت متناسب با جستجوهای شماست). فروشگاه شما گوگل‌شاپ و Google Play است (پس می‌داند که چه محصولاتی را جلو چشم شما قرار دهد). سیستم عامل گوشی شما گوگل است (پس تمام ارتباطات و ... را خبر دارد). کیف پول شما (اگر تحریم نباشید) سرویس کیف پول گوگل است (پس حتی موجودی حساب شما را هم می‌داند). سیستم وبلاگ شما احتمالاً Blogger است که از گوگل است پس از علایق شما از روی نوشته‌های وبلاگتان خبر دارد و صدها مورد دیگر که اگر من لیست کنم می‌فهمید این گوگل چه شیطانی‌ست! شاید بشود گفت از شما بیشتر از خودتان اطلاعات دارد! هر چه که فکرش را کنید، گوگل مثل یک هشت‌پا (بخوانید هزارپا) روی آن دست انداخته و ردپای شما را دارد... (و فراموش نکنید که گوگل با هر شرکت یا کشور یا دولتی که پول خوبی به او بدهد همکاری می‌کند!)

۵- لیست دوستان شما (اگر اجازه بدهید):

یکی از خطرناک‌ترین کارها که امیدوارم یک روز Gmail و Yahoo جلو این موضوع را بگیرند، این است که شما وارد سایتی مثل LinkedIn می‌شوید و ثبت نام می‌کنید، بعد آن سایت از شما می‌پرسد اجازه می‌دهید من لیست دوستان (Contactها) را از جی‌میل شما بردارم و برایشان دعوتنامه بفرستم؟ یا یک شبکه‌ی اجتماعی بین شما و آن‌ها در سایتم تشکیل دهم؟
و اکثر کاربران غیرانگلیسی‌زبان روی Yes کلیک می‌کنند! گذشته از دردسرهایی که برای دوستانشان ایجاد می‌شود (مثلاً هر روز چندین دعوتنامه برای من بیچاره می‌آید!) اینکه آن سایت ارتباط بین شما و کاربران دیگر را بفهمد می‌تواند خطرناک باشد. (مثلاً در مباحث سیاسی می‌تواند دردسر ایجاد کند...)

۶- موقعیت دقیق جغرافیایی شما (اگر اجازه دهید):

خیلی از کاربران این روزها با گوشی و لپ‌تاپ و تبلت در وب می‌گردند و می‌دانید که این دستگاه‌ها اکثراً مجهز به GPS هستند. متأسفانه یا خوشبختانه مرورگرها این روزها به GPS کاربران دسترسی دارند (البته اگر کاربر اجازه دهد). این کار برای این است که بر اساس موقعیت جغرافیایی شما تصمیمات مختلفی گرفته شود. مثلاً یاهو در بخش آب و هوا برای نمایش اب و هوای منطقه شما، از شما می‌پرسد اجازه می‌دهید به اطلاعات منطقه جغرافیایی شما دسترسی پیدا کنم؟ یا مثلاً گوگل جدیداً برای اینکه بفهمد شما در کدام کشور هستید که نتایج آن زبان را به شما نمایش دهد، از GPS گوشی و لپ‌تاپ استفاده می‌کند.
برنامه‌نویسان سایت‌ها هم می‌توانند به این اطلاعات دسترسی داشته باشند. (دقت کنید که در این مواقع مرورگر یک پیغام در کنار آدرس سایت نمایش می‌دهد و از شما می‌خواهد که روی Allow یا Do not allow کلیک کنید. اگر فکر می‌کنید دانستن موقعیت شما توسط آن سایت، کمکی به شما نمی‌کند جواب منفی بدهید)

۷- همین!

مدیران سایت‌ها و هر شخص و سازمان دیگر، تقریباً بیشتر از این‌ها در مورد شما اطلاعات نخواهند داشت.

سایت‌ها به چه اطلاعاتی دسترسی ندارند؟

- سایت‌ها به مشخصات گوشی یا سیستم سخت‌افزاری کامپیوتر شما دسترسی ندارند.
- اینکه چه سایت‌هایی رفته‌اید (تاریخچه مرورگر شما) را نمی‌دانند.
- به شماره تلفن یا موبایل شما دسترسی ندارند.
- به هارد شما دسترسی ندارند. (یعنی به طور مثال نمی‌توانند بگویند فلان فایل را از روی درایو E آن‌ها بردار و برای مدیر بفرست. کلاً فقط جایی که دکمه Browse و امثالهم باشد و کاربر با اختیار خودش دسترسی بدهد، برای برنامه‌نویس قابل دسترسی است)
- به اطلاعات برنامه‌های دیگر یا مرورگرهای دیگر دسترسی ندارند.
- بدون اجازه شما به دوربین گوشی یا لپ‌تاپ شما دسترسی ندارند. (مگر اینکه اجازه به انگلیسی باشد و شما نفهمید و اجازه دهید! کلاً هر کجا دکمه Allow یا Allow Access بود با احتیاط و در صورتی که مطمئن هستید، اجازه دهید)

اگر نگران امنیت هستید این چند نکته‌ی ساده را رعایت کنید:
- همیشه از آخرین نسخه‌ی مرورگرها استفاده کنید. (آن‌ها را آپدیت کنید)
- آنتی‌ویروس خود را همیشه به‌روز نگه دارید.
- یادتان باشد: هیچ کس در اینترنت دلش برای شما نسوخته! (پس اگر یک جا نوشت شما برنده شده‌اید یا مثلاً یک ایمیل با اسم دختر آمد و نوشت عکسم را برایت ضمیمه کرده‌ام، دانلود کن و ببین و یا مشخصات کارت خود را بنویسید که جایزه‌تان را به حسابتان بریزیم و امثالهم، می‌شود مطمئن بود که یک فریب است.)
- هیچ فایلی را بدون شناخت و اطمینان از صاحب فایل، دانلود و اجرا نکنید.
- این دو مطلب مهم که ۶ سال پیش نوشته‌ام را بخوانید: برخی نکات مهم امنیتی برای وبگردی امن‌تر قسمت اول - قسمت دوم

بالاخره ما قابل شناسایی هستیم یا خیر؟

در کل، اگر مثل دانشجویی که سؤالِ اولِ این مطلب را پرسیده، اتفاقی وارد یک سایت شده‌اید، به هیچ عنوان جای نگرانی نیست. مدیر آن سایت هیچ چیز خاصی که از طریق آن، شما شناسایی بشوید از شما نخواهد دانست. به خصوص اگر آن سایت صدها بازدیدکننده داشته باشد، مدیر آن سایت فقط می‌تواند یک لیست ببیند که امروز مثلاً این صد آی.پی با این مشخصات مرورگر و سیستم عامل وارد سایت شدند. همین!
اما اگر مثلاً یک خرابکاری در یک سایت دولتی انجام داده‌اید یا یک مطلب ضد نظام یا ضد یک مسؤول نوشته‌اید، (که پیشنهاد می‌کنم بچگی نکنید و با دم شیر بازی نکنید) احتمالاً منتظر باشید که امروز یا فردا پلیس بیاید دم خانه شما!

موفق باشید؛
حمید رضا نیرومند