ITanalyze

تحلیل وضعیت فناوری اطلاعات در ایران :: Iran IT analysis and news

ITanalyze

تحلیل وضعیت فناوری اطلاعات در ایران :: Iran IT analysis and news

  عبارت مورد جستجو
تحلیل وضعیت فناوری اطلاعات در ایران

۷۱۰ مطلب با موضوع «security» ثبت شده است

تحلیل


نخستین آمار از جرایم رایانه‌ای ایران

دوشنبه, ۱۰ مهر ۱۳۸۵، ۱۰:۲۳ ب.ظ | ۱ نظر

غزال صادقی - بزرگراه فناوری - هم‌زمان با ورود به هزاره دوم، انسان همچنان شاهد جرم و جنایت‌های بی‌شماری است که اگرچه از نظر ماهوی دچار تغییر نشده است اما از نظر استفاده از ابزارها، تغییرات شگرفی را به‌خود دیده است. انسان امروزی همچنان دزدی می‌کند، آدم می‌کشد و به مال و حریم دیگران تجاوز می‌کند. شاید دیروز یک داس یا یک چوب و یا یک خنجر، ابزار تجاوز و یا دزدی و باج‌خواهی از اموال دیگران بود، اما امروز با فشار دادن یک کلید و وارد کردن چند عدد، می‌شود به حریم دیگران تجاوز و یا به مال او دست‌اندازی کرد. حوزه جرایم در زندگی امروز بشر آن قدر پیچیده شده است که قانون‌گذاران مجبورند تحولات جرم را به‌صورت مداوم زیر نظر داشته باشند.

این معضل با سرعت ملایم‌تری در ایران رو به گسترش است و به قانون‌گذار و پلیس کشور اجازه می‌دهد که هم‌زمان با گسترش فرهنگ اینترنت در کشور، راهکارهای مقابله با جرایم قابل ارتکاب در این حوزه را تدوین کند. در نیروی انتظامی جمهوری اسلامی ایران و پس از اصلاح ساختار معاونت کشف جرایم، اداره کل مبارزه با جرایم خاص و رایانه‌ای از سال 1381 آغاز به‌کار کرده است. این اداره ماموریت طراحی و برنامه‌ریزی، هماهنگی و هدایت امور مربوط به کشف جرایم در زمینه مبارزه با جعل، کلاهبرداری، اختلاس و جرایم رایانه‌ای را برعهده دارد.

در گفت‌وگوی زیر که با سرهنگ مهرداد امیدی مدیرکل مبارزه با جرایم خاص و رایانه‌ای ناجا، انجام شده است، موضوع کشف جرم در فضای اینترنت و رایانه مورد بحث و بررسی قرار گرفته است.
به‌طور طبیعی، نخستین پرسش باید در مورد تعریف جرایم اینترنتی باشد. به‌عنوان مدیرکل مبارزه با جرایم خاص و رایانه‌ای نیروی انتظامی چه تعریفی از جرم رایانه‌ای دارید؟

در مورد جرم رایانه‌ای تعریف‌های زیادی ارایه شده است. از نظر سازمان ملل متحد جرم رایانه‌ای می‌تواند شامل فعالیت‌های مجرمانه‌ای باشد که ماهیتی سنتی دارند اما از طریق ابزارهای مدرنی مثل رایانه و اینترنت صورت می‌پذیرند. از طرف دیگر متخصصان سازمان OECD معتقدند سوءاستفاده از رایانه، هر نوع رفتار غیرقانونی، غیراخلاقی و غیرمجاز مربوط به پردازش خودکار و انتقال داده‌ها جرم اینترنتی محسوب می‌شود. در هر صورت ماهیت جرم تفاوتی ندارد و این ابزار است که وقوع جرم را در بستری جدید فراهم می‌کند. در مورد تعریف جرم رایانه‌ای در ایران اختلاف نظر وجود دارد و کارشناسان قضایی و انتظامی تعریف‌های گوناگونی در مورد آن ارایه داده‌اند. اما در مجموع فضای قضایی و انتظامی کشور به آن سمت پیش می‌رود که یک تعریف یکسان در مورد جرم رایانه‌ای و مجازات‌های برخورد با آن ارایه شود.
اما پیش از آنکه بخواهیم در مورد جرایم رایانه‌ای بحث کنیم، باید وارد حوزه "جرایم سایبر" شویم. جرایم در فضای سایبر یا فضای سایبری به‌واسطه تغییرات سریع فناوری اطلاعات در قلمرو سیستم‌های رایانه‌ای و مخابرات امکان وقوع می‌یابند. در این‌گونه جرم‌ها، تاکید بر رایانه نیست بلکه رایانه وسیله‌ای است که ابزار وقوع جرم قرار می‌گیرد.
نسل سوم جرایم رایانه‌ای؟

بله، به آن نسل سوم جرایم رایانه‌ای می‌گویند.
در مجموع چند نوع جرم در حوزه رایانه و اینترنت تعریف شده است؟

مطابق تعریف سازمان ملل متحد از جرم رایانه‌ای، کلاهبرداری رایانه‌ای، جعل، ایجاد خسارت یا تغییر داده‌ها، دست‌یابی غیرمجاز به سیستم‌ها و خدمات رایانه‌ای و تکثیر غیرمجاز برنامه‌های رایانه‌ای جزء جرایم شناخته شده در حوزه رایانه محسوب می‌شوند.
جناب سرهنگ درحال حاضر وضعیت ایران از نظر وقوع جرایم رایانه‌ای چگونه است؟

با تکیه بر اینکه در کشور ما هنوز آیین‌نامه‌ای برای مبارزه با جرایم اینترنتی و رایانه‌ای تدوین نشده است، باید بگویم که میزان کشفیات جرایم رایانه‌ای در سال گذشته، معادل 50 درصد پرونده‌های ورودی بوده است یعنی از کل پرونده‌هایی که در زمینه جرایم رایانه‌ای به ثبت رسید، 50 درصد منجر به کشف جرم شد و پیش‌بینی من این است که این روند باز هم بهبود پیدا کند. در همین زمینه باید بگویم که در طول زمان مشخصی از فصل بهار، میزان کشف جعل با5/73 درصد و کشف کلاهبرداری با 78 درصد رشد مواجه شد. بنابراین پیش‌بینی ناجا این است که هم‌زمان با تدوین قوانین و آیین‌نامه‌های مربوط به جرایم رایانه‌ای و اینترنتی، رقم کشف جرم در مجموع با افزایش قابل ملاحظه‌ای همراه شود.
با وجود خلاء قانونی، نحوه برخورد ناجا با مجرمان رایانه‌ای چگونه است؟

نیروی انتظامی، با آن دسته از جرایم رایانه‌ای که منجر به خسارت شود و با قوانین موجود نیز تطابق داشته باشد، به‌طور قطع برخورد جدی خواهد کرد. مسایلی مثل ایجاد مزاحمت و هتک‌حرمت از آن دسته موضوعاتی هستند که ناجا نسبت به آن حساس است. اما جرایم دیگری مثل نفوذ غیرمجاز در اینترنت که بحث تازه‌ای است، با این عنوان که در جریان وقوع جرم، خسارت وارد آمده است، در دسته جرایم مربوط به ایجاد خسارت و تخریب و یا مصادیقی از این دست قرار می‌گیرد و ناجا با این جرایم با تمام توان مقابله خواهد کرد. اما مصادیق دیگری از جرایم رایانه‌ای وجود دارد که ناجا برای برخورد با آن، نیاز به قوانین جدید دارد.
ناجا، برای پر کردن خلاء قانون چه کرده است؟

لایحه‌ای تدوین کرده‌ایم با عنوان "آیین‌نامه رسیدگی به جرایم اینترنتی"، قرار است این لایحه به مجلس ارایه شود. در این آیین‌نامه به‌طور جامعی، روی جرایم اینترنتی و رایانه‌ای کار کرده‌ایم و تصویب آن به‌طور قطع بر کشف جرم در این حوزه تاثیر زیادی خواهد گذاشت.
جناب سرهنگ، سهم جرایم رایانه‌ای از کل جرایم کشور، چه‌قدر است؟

خیلی ناچیز است، به‌طور مثال سال گذشته، 53 پرونده با شکایت بخش خصوصی در حوزه جرایم رایانه‌ای تشکیل شد که 22 مورد آن به سوءاستفاده از کارت‌های اعتباری مربوط بود. در همین مدت همکاران ما، 11 پرونده در مورد کلاهبرداری اینترنتی تشکیل داده‌اند. هفت پرونده هم در مورد ایجاد مزاحمت اینترنتی تشکیل شد و سه پرونده هم در مورد رعایت نشدن حقوق کپی‌رایت بوده است. البته دو مورد انتشار اکاذیب در اینترنت داشته‌ایم و پنج مورد نیز شامل موارد متفرقه بوده است.
در مورد کارت‌های اعتباری چه نوع جرایمی می‌توان متصور شد؟

تعریف جرم کارت‌های اعتباری خیلی پیچیده نیست. هرگاه شخصی بدون اینکه دارنده کارت اعتباری اطلاع داشته باشد، از اعتبار کارت او استفاده کند، جرم صورت گرفته است. تعریف مشخصی که از این‌گونه جرایم وجود دارد، به ما می‌گوید که چنانچه شخصی اقدام به اخذ اموال یا خدماتی کند، با اطلاع از اینکه کارت قلابی یا دزدیده شده است و یا کارت باطل شده است و یا به‌ هر دلیلی که استفاده آن شخص از کارت اعتباری شخص دیگری، غیرمجاز باشد جرم صورت می‌گیرد.
درحال حاضر قانون خاصی برای مقابله با این جرایم وجود دارد؟

به‌طور واقعی اگر بخواهیم قضاوت کنیم، در این زمینه با خلاء قانون مواجه هستیم اما بخشی از قوانین، در قانون مربوط به تجارت الکترونیکی پیش‌بینی نشده است. همان‌طور که اشاره کردم، بخش عمده‌ای از کمبود قوانین مبارزه با این‌گونه جرایم، در قالب آیین‌نامه‌ای که قرار است به مجلس ارایه شود، پیش‌بینی شده است.
در مورد تجارت ‌الکترونیکی و قوانین مربوط به جرایم این حوزه، چه اقداماتی توسط ناجا صورت گرفته است؟

در قانون تجارت‌ الکترونیکی، مواردی وجود دارد که به‌طور قطع فصل‌الخطاب ناجا قرار خواهد گرفت. بحث این است که در قانون تجارت ‌الکترونیکی در مورد مسایلی همچون امضای الکترونیکی قرار است مراکزی راه‌اندازی شود که وزارت بازرگانی در تلاش برای راه‌اندازی این مراکز است. در کنار این موضوع، توجه به بانکداری الکترونیکی هم در دستور کار بانک مرکزی و نهادهای اقتصادی قرار دارد. از دید نیروی انتظامی، حرکت به سمت بانکداری الکترونیکی می‌تواند به‌میزان قابل ملاحظه‌ای از حجم جرایم مالی کم کند.
درحال حاضر تلاش نیروی انتظامی این است که هم‌زمان با حرکت بازار مالی به‌سمت بانکداری الکترونیکی، مقدمات مبارزه با جرایم قابل ارتکاب در این حوزه را فراهم کند. به‌طور قطع مبارزه با جعل رایانه‌ای که در حوزه امضای الکترونیکی وجود دارد، در دستور کار نیروی انتظامی قرار دارد و به‌زودی راه‌های مبارزه با آن تدوین خواهد شد.
در مورد امضای الکترونیکی و راه‌های مبارزه با جعل آن در نیروی انتظامی چه اقداماتی صورت گرفته است؟

امضای الکترونیکی، پدیده جدید و تازه‌ای است که پیچیدگی‌های خاص خود را دارد. با این تعریف که داده‌های الکترونیکی که به یک پیام ‌الکترونیکی الصاق می‌شود و از طریق آن امکان شناسایی امضا‌کننده پیام و تایید او وجود دارد، می‌توان به دو کارکرد مهم و عمده اشاره کرد. شناسایی امضا، موضوع مهمی است که باید به آن توجه داشت و دیگر اینکه امضای الکترونیکی به‌صورت عنصر معنوی سند الکترونیکی باید مورد توجه قرار گیرد. در همین زمینه، در قانون تجارت الکترونیکی ایران، هر نوع علامت منضم شده یا به نحوی متصل شده به داده پیام که برای شناسایی امضاکننده داده پیام مورد استفاده قرار گیرد، امضای الکترونیکی نام دارد.
با توجه به این تعریف، دو نوع امضای الکترونیکی ارایه شده است. اول امضای مبتنی بر رمزنگاری و دیگری امضای غیرمبتنی بر رمزنگاری، با تکیه بر همین تکنیک‌ها، قابلیت شناسایی امضای الکترونیکی وجود دارد و نیروی انتظامی در همین راستا به تدوین راهکارهای مبارزه با جرایم قابل ارتکاب اقدام کرده است.
فکر می‌کنید حرکت به سمت الکترونیکی شدن تجارت در ایران، چه تاثیری بر کاهش میزان جرایم اقتصادی در کشور داشته باشد؟

به اعتقاد من تاثیر بسیار زیادی در کاهش جرایم اقتصادی خواهد داشت. البته من معتقدم حرکت به سمت بانکداری الکترونیکی از تجارت الکترونیکی مهم‌تر است و در کاهش میزان جرایم اقتصادی تاثیر بیشتری دارد. داشتن سیستم جامع بانکداری الکترونیکی می‌تواند در کاهش میزان پول‌شویی و ورود پول‌های کثیف به اقتصاد کشور تاثیرگذار باشد. گذشته از آن بانکداری الکترونیکی می‌تواند میزان فرارهای مالیاتی، جعل اسناد بانکی و سرقت پول را به حداقل برساند. بنابراین فکر می‌کنم اگر زودتر از تجارت الکترونیکی، به فکر بانکداری الکترونیکی باشیم، نتیجه بهتری خواهیم گرفت.
در مورد نفوذ به شبکه و به اصطلاح هک‌ کردن سیستم چه توضیحی دارید؟ آیا هک کردن در ایران جرم است؟

هر گونه حمله به سیستم‌های رایانه‌ای که با هدف محروم کردن افراد از دسترسی صحیح و مستمر به سیستم‌های رایانه‌ای صورت گیرد، جرم محسوب می‌شود. درحال حاضر نیروی انتظامی و قوه قضاییه با توجه به اینکه برخی حمله‌ها به ایجاد خسارت و یا ایجاد مزاحمت منجر می‌شود، می‌تواند با شکایت افراد موضوع را پی‌گیری کند. نیروی انتظامی به‌طور قطع برنامه‌های گسترده‌ای برای مبارزه با این‌گونه جرایم دارد که بخشی از آن در آیین‌نامه رسیدگی به جرایم رایانه‌ای پیش‌بینی شده است.
آیا در مورد هک‌ کردن دیدگاه واحدی وجود دارد؟

این موضوع در میان متخصصان حقوقی و فنی تعریف مشخصی ندارد.

برخی کارشناسان معتقدند هر نوع حمله به سیستم‌های ایمن، در قالب تعریف هک ‌کردن می‌گنجد و برخی دیگر معتقدند نفوذیابی یا نفوذگری بهترین تعریف برای هک‌ کردن است. همین چالش‌ها در ایران نیز وجود دارد.
به‌عنوان آخرین سوال بگویید که نحوه همکاری پلیس ایران با پلیس بین‌الملل برای کشف جرایم رایانه‌ای چگونه است؟

درحال حاضر سامانه ارتباط جهانی اینترپل به‌عنوان پل ‌ارتباطی پلیس کشورها نقش عمده‌ای در داد‌وستد اطلاعات پلیسی دارد. این سامانه در مدت فعالیت خود توانسته است نقش عمده‌ای در افزایش همکاری میان پلیس کشورها داشته باشد. در حقیقت استفاده از اینترنت و رایانه باعث شده است که پلیس‌ها در همه جای دنیا با سرعت زیاد به اطلاعات مربوط به جنایتکاران، سوابق و به‌طور کل اطلاعات مورد نیاز خود دسترسی پیدا کنند.
نحوه همکاری پلیس ایران با پلیس بین‌المللی هم بر مبنای برخورد با جرایم و کمک به شناسایی جرم و جنایت در دنیا تنظیم شده است.
اما در شرایط کنونی و با توجه به افزایش جرایم اینترنتی در کشورهای اطراف ایران، نیروی انتظامی در صدد گسترش همکاری با پلیس بین‌الملل است و در این راستا قصد دارد برنامه‌ریزی جامعی برای بالا بردن سطح کارایی پلیس ایران برای پیشگیری و مقابله با جرایم رایانه‌ای داشته باشد.
در مجموع این وعده را می‌دهم که با توجه به تلاش گسترده همکاران ما و تاکید فرماندهی ناجا، به‌زودی شاهد تجهیز و برنامه‌ریزی گسترده نیروی انتظامی برای مقابله با جرایم رایانه‌ای باشید.

امنیت الکترونیکی را به خانه‌ها می بریم

دوشنبه, ۱۰ مهر ۱۳۸۵، ۱۰:۱۴ ب.ظ | ۰ نظر

سید میثم لطفی - بزرگراه فناوری - اگرچه تا چند سال پیش ادارات و سازمان‌های قدیمی و باسابقه کمتر به سراغ استفاده از کامپیوتر‌ها و دستاوردهای نوین فناوری می‌رفتند و در بیشتر مواقع ترجیح می‌دادند که از ابزارهای سنتی استفاده کنند، امروز فناوری ارتباطات و اطلاعات حرف اول را در بیشتر سازمان‌های کوچک و بزرگ در سراسر جهان می‌زند.

شرکت‌هایی که امروزه به بقا و ماندگاری خود فکر می‌کنند و در تلاشند رقابت بیشتری را با مراکز همسان خود انجام دهند مجبورند آخرین یافته‌های فناورانه را به‌کار بندند و به این وسیله خدمات متنوع‌تر و گرانبهاتری را به‌دست مصرف‌کنندگان برسانند. نشریه eGovMonitor برای آنکه میزان خدمت‌رسانی شرکت‌های مختلف جهانی به مردم با استفاده از فناوری ارتباطات و اطلاعات را بیش از پیش نمایان کند به‌تازگی گفت‌وگویی با کلیر هامون(Claire Hamon) انجام داده است. هامون درحال حاضر مدیریت دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا را برعهده دارد و در این مصاحبه سعی کرده تا نشان دهد که سازمان‌ها چگونه می‌توانند با کنترل فناوری اطلاعات تولیدات و خدمات خود را به بهترین صورت ممکن به‌دست مردم برسانند که در زیر بخش‌هایی از این مصاحبه را مرور می‌کنیم.
به‌عنوان نخستین سوال، می‌توانید توضیح کوتاهی در مورد نقش خود به‌عنوان مدیر دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا بدهید؟
سمتی که من در آن قرار گرفته‌ام طوری طراحی شده که براین اساس باید 100 کارشناس را که در بخش عرضه خدمات فناوری ارتباطات و اطلاعات فعالیت‌ می‌کنند به‌طور مستمر زیرنظر بگیرم و با آن‌ها در ارتباط باشم. نقش من به‌عنوان مسؤول سیستم‌های اطلاعاتی بازرگانی در مرکز فناوری ارتباطات و اطلاعات وابسته به مرکز پیگردهای قانونی دولت مرکزی بریتانیا تعریف شده و بر این اساس مجبورم تمام فعالیت‌هایی را که در حیطه ICT انجام می‌شود، زیر نظر بگیرم. اعضای گروه من وظیفه دارند که به صورت شبانه‌روزی مراکز ارایه خدمات اینترنتی را کنترل کنند و با آن‌ها در تماس باشند و همچنین به کمک‌ ابزارهای فناوری ارتباطات و اطلاعات، با هشت هزار کارمند اداره پیگردهای قانونی بریتانیا که در انگلستان و ولز پراکنده شده‌اند در ارتباط باشند.
علاوه براین، من در بخشی فعالیت می‌کنم که ارتباط سازمانمان را با دنیای بیرون برقرار می‌سازد. این ارتباط نه‌تنها با شرکت‌ها و سازمان‌های خصوصی، بلکه با مراکز دولتی و ملی نیز برقرار می‌شود تا بتوانیم اطلاعات مورد نیاز خود را از همه بخش‌ها به‌دست آوریم. در دولت مرکزی بریتانیا شورایی با نام "شورای پی‌گیری‌های قانونی" تاسیس شده که با شرکت در آن می‌توانیم دریابیم که طرح‌های دولتی و بزرگ برای توسعه فناوری ارتباطات و اطلاعات تا چه اندازه موفق بوده است. ما همچنین در سازمان خود طرحی را عرضه کرده‌ایم که eSkills نام گرفته و بر این اساس ضمن شناسایی نیازهای کاربران و کارمندان، به ما امکان می‌دهد با برگزاری کلاس‌ها و دوره‌های آموزشی مختلف بتوانیم به این نیازها پاسخ دهیم و سطح فناوری ارتباطات و اطلاعات را در تمامی نقاط بریتانیا بالا آوریم.
درحال حاضر دولت دریافته که فناوری ارتباطات و اطلاعات به‌عنوان اصلی‌ترین عامل در انتقال کالا و خدمات به مصرف‌کنندگان محسوب می‌شود. آیا شما می‌توانید توضیحی کوتاه در مورد فعالیت‌های سازمان خود برای رشد صنعت ICT بدهید؟
دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا استراتژی‌هایی را برای خود در نظر گرفته که به کمک آن شبکه تولید، عرضه و خدمات کالاهای مختلف را زیر نظر می‌گیرد و با کمک فناوری ارتباطات و اطلاعات باعث می‌شود تا این کالاها با کیفیتی مناسب و در سطحی گسترده به‌دست همه مردم برسد. باید اعتراف کنیم که فناوری ارتباطات و اطلاعات در سال‌های اخیر موفق شده تاثیری مستقیم و چشمگیر در عرضه خدمات به مشتریان برجای بگذارد. ما برای آنکه بتوانیم موفقیت خود در آینده را تضمین کنیم شش استراتژی مجزا و کامل تبیین کرده‌ایم که شامل توسعه مدیریتی، افزایش استفاده از فناوری برای بالا بردن میزان انعطاف‌پذیری فعالیت‌های مختلف، توسعه و ارتقای قابل ‌ملاحظه بخش‌های اصلی و اساسی سازمان، افزایش کیفیت و در دسترس بودن مدیریت اطلاعات در عرضه خدمات، افزایش توانایی‌های خود برای مدیریت اطلاعات و تبدیل اطلاعات به ابزاری برای استفاده در بخش‌های مختلف زندگی می‌شود. این ابزارها باعث می‌شوند تا ما بتوانیم استفاده‌های بیشتری از مراکز آموزشی سازمان خود برده و کارایی سیستم عدالت جنایی را در این مرکز بالا ببریم تا بازده در مراکز دولتی افزایش یابد. این استراتژی‌ها می‌تواند میزان کارایی و اثربخشی ما را افزایشی قابل‌ ملاحظه دهد.
آیا می‌توانید چند نمونه از پروژه‌های فناوری اطلاعات که در مرکز شما به آن پرداخته شده را برای ما مثال بزنید؟ این پروژه ها تا چه اندازه موفق بوده‌اند؟
یکی از مهم‌ترین پروژه‌های فناورانه‌ای که ما در این مرکز انجام داده‌ایم طرح سیستم مدیریتی COMPASS بوده که از سال 2003 میلادی آغاز شده که سازمان ما توانسته مدیریت پیگردهای جنایی خود را به کمک این طرح انجام دهد و موفقیت‌های فراوانی را نسبت به گذشته به‌‌دست آورد. این طرح عظیم و بزرگ موجب شده تا ما بتوانیم در زمان مناسب اطلاعات مورد نیاز خود را به‌دست آورده و آن‌ها را برای فعالیت‌های خود به‌کار بریم. در این سیستم که CMS نام‌گذاری شده تاکنون بیش از سه میلیون مورد پی‌گیری شده که بیشتر آن‌ها با موفقیت به پایان رسیده است. علاوه بر این، به‌تازگی سیستم WMS نیز که به‌عنوان پشتوانه CMS محسوب می‌شود راه‌اندازی شده که باعث می‌شود احتمال موفقیت‌های ما در زمینه‌های مختلف افزایش یابد.
مرکز ما درحال حاضر به‌قدری توسعه یافته که به‌صورت مستمر به هشت هزار نفر خدمات می‌دهد. درحالی که بخشی از این افراد در سازمان‌های وابسته به ما فعالیت‌ می‌کنند، بخش دیگر در ادارات پلیس و مراکز اطلاع‌رسانی وابسته به آن بهره می‌برند. سیستم CMS اطلاعات تمام سارقان و متخلفان را در خود جای داده تا به هنگام نیاز ماموران امنیتی و پلیس بتوانند از آن‌ها استفاده کنند، با زیر پوشش قرار دادن دادگاه‌ها به آن‌ها کمک می‌کند تا بتوانند در مواقع مختلف بهترین تصمیم را با توجه به اطلاعات به ثبت رسیده اتخاذ کنند. سیستم CMS تاکنون در بیش از 750 مرکز در انگلستان و ولز راه‌اندازی شده و احتمال می‌دهیم که در آینده نزدیک این رقم تا چند برابر افزایش یابد. تجربه ثابت کرده، هر جا این سیستم مورد استفاده قرار گرفته درصد خطا و اشتباه کارمندان ما به میزان زیادی کاهش یافته است.
برای تغییر آسان‌تر و بهتر روش‌های مدیریتی که بتواند نتایج بهتری را در پی داشته باشد چه روش‌هایی را مناسب می‌بینید؟
به‌طور کلی تغییر سیستم‌های مدیریتی از جمله روش‌هایی است که به کمک آن یک سازمان می‌‌تواند بقای خود را تضمین کند. ما براساس این اصل می‌کوشیم سیستم‌های قضایی خود را به‌روز کنیم و از این طریق بتوانیم اطلاعات مورد نیاز را در بهترین زمان ممکن به‌کار بریم. پیشنهادات و انتقاداتی که مردم همواره به ما انتقال می‌دهند از جمله مواردی است که همواره برای ما مفید محسوب شده و توانسته بر روی سیستم‌های الکترونیکی ما تاثیر بگذارد. این تغییرات می‌تواند از تفاوت‌های بزرگ که به تغییر فرهنگ منتهی می‌شود گرفته تا تغییر سیستم‌های کوچک مدیریتی را شامل شود.

کارشناسان ما بر پایه نتایج حاصل از مطالعاتی که در این زمینه انجام داده‌اند دریافته‌اند، این تغییرات که برخی از آن‌ها در ظاهر بسیار کوچک به‌نظر می‌رسند اساس رشد و توسعه فناوری ارتباطات و اطلاعات را فراهم می‌آورند. باید توجه داشته باشیم که مبادلات و خدمات امنیتی به برکت فناوری‌های نوین اطلاعاتی امروزه پیشرفته‌تر و کامل‌تر از گذشته شده است، به‌طوری که ادغام بازارهای جهانی به‌وسیله فناوری‌های ارتباطی امکان‌پذیر شده است. امروزه سازمان ملل به‌جای اینکه ارزش یک کشور را از روی توسعه صنعتی آن ارزش‌یابی کند، به ارزش اطلاعاتی آن یا Knowledge Base Economy رجوع می‌کند که چقدر اطلاعات در این جامعه درحال گسترش است و سرعت گسترش آن چه میزان است و یا اینکه چقدر توسعه اطلاعات، سالم و دقیق است و این امر باعث می‌شود که دامنه اقتصاد جهانی توسعه پیدا کند.
شما فکر می‌کنید که ظرف چند سال آینده چه تغییرات اساسی در این زمینه ایجاد می‌شود و استراتژی‌های شما برای موفقیت‌ هرچه بیشتر این تغییرات چیست؟
ابتکار و خلاقیت ابزاری است که همواره توانسته به توسعه فناوری ارتباطات و اطلاعات کمک کند. ما همواره با این توسعه‌ها و پیشرفت‌ها مواجه هستیم و برای آنکه بتوانیم سیستم‌های قضایی، امنیت، عدالت و ... را همواره به‌روز نگه‌داریم مجبوریم از این فناوری‌ها استفاده کنیم. این پیشرفت‌ها موجب شده تا در ابزارهای قابل حمل ما که برای ماموران امنیتی مورد استفاده قرار می‌گیرد تغییرات فراوانی حاصل شود.

یکی از راه‌های اصلی پیشرفت در زمینه قضایی و امنیتی خدمت در یک یا چند پست سخت و دشوار است. این چنین پست‌هایی، پست‌های خطرناک و ضروری در مناطقی است که اغلب حکومت‌های ضعیف دارند و تلاش می‌کنند امنیت به‌وجود آورند، توسعه یابند و هرچه بیشتر امنیت الکترونیکی ایجاد کنند. اکنون تحت حکم جدید امنیت ملی، قدرت و اختیارات وسیعی به‌دست آمده است. به‌تازگی قانونی به مرحله اجرا درآمده که طی آن تا مبلغ زیادی از بودجه وزارت دفاع به مناطقی که درگیری در آن‌ها به پایان رسیده، منتقل می‌شود. مشاوران امنیتی برای نیروهای ارتش که به‌عنوان مشاوران سیاسی و دیپلماتیک برای فرماندهان ارتش عمل می‌کنند، به همراه آن‌ها اعزام شده و تجربیات منطقه‌ای و دیپلماتیک خود را در اختیار آن‌ها قرار می‌‌دهند.
به‌عنوان سؤال آخر، شما برای آن دسته از افراد و مراکزی که می‌خواهند فعالیتی مشابه را انجام دهند چه پیشنهادی دارید؟
در سال 2005 حداقل 130 گزارش مبنی بر سرقت اطلاعات شخصی کاربران اینترنتی از کشور آمریکا به‌دست شرکت‌های امنیتی رسیده است. در این سال تقریبا 55 میلیون آمریکایی مورد هدف سارقان کارت‌های شناسایی و اطلاعات سری قرار گرفته‌اند. در سال 2004 اداره آمار اینترنتی اعلام کرد: میزان جرایم سایبر به 105 میلیارد دلار رسیده بود. علاوه بر این، در سال 2005 نیز اطلاعات شخصی تقریبا 206 هزار نفر از کارمندان شرکت‌ها و مشتریان آن‌ها به سرقت رفته است. مسؤولان کشور آمریکا با بررسی آمار حملات اینترنتی و افزایش روزافزون سرقت اطلاعات شخصی کاربران، قصد دارند فعالیت‌های خود را در زمینه مقابله با جرایم اینترنتی دوچندان کنند و برای این منظور باید مبلغ بیشتری را در این بخش هزینه کنند. در این میان کاخ سفید هم اعلام کرده که فناوری ردیابی اینترنتی‌ خود در راستای قوانین فدرال است چرا که تنها شمارش تعداد بازدیدکنندگان ناشناس را انجام می‌دهد و از ثبت اطلاعات شخصی امتناع می‌ورزد. سایت کاخ سفید با استفاده از یک فناوری جاسوسی اینترنت، تصویر گرافیکی کوچکی که به‌طور مجازی غیرقابل مشاهده است به‌طور پنهانی تعداد و زمان بازدیدها را ثبت و ردیابی می‌کند.
باید توجه داشت که از میان برداشتن شکاف دیجیتالی و اطمینان از دسترسی عمومی به اینترنت یکی از مهم‌ترین وابتدایی‌ترین اقدامات در جهت تحقق امنیت الکترونیکی و دولت الکترونیکی محسوب می‌شود.
به‌طور کلی در تئوری‌های سازمانی فرایند هدایت را اخذ اطلاعات عملکردی سازمان، تحلیل و مقایسه این اطلاعات با رسالت‌های سازمان و تفکرات نوین سازمانی به‌منظور ارایه راهکارهای اجرایی و کاربردی در جهت رشد و تعالی سازمان باید دانست. از سوی دیگر فلسفه وجودی تکنیک‌ها و الگوریتم‌های کارآمد فعالیت در زمینه هوش مصنوعی، چیزی جز تحلیل انبوهی از اطلاعات انباره‌های داده در جهت کشف روابط مخفی دانش در اطلاعات موجود به‌منظور تسریع عملیات تصمیم‌سازی و تصمیم‌گیری نیست. از این‌رو ابزار داده‌کاوی به‌منظور تحلیل اطلاعات پراکنده و حجیم سازمان و تبدیل اطلاعات مذکور به دانش مفید مدیریتی و هدایتی ضرورتی انکارناپذیر بوده که فقط به کمک صنعت ICT می‌توان به نتیجه مطلوب رسید.
دولت‌هایی نظیر انگلستان پنج میلیون پوند در سال کلاه‌برداری اینترنتی دارند، اما با این‌حال از این نوع شبکه‌ها، به اسم ملی و به بهانه امنیت راه‌اندازی نکرده‌اند. دولت الکترونیکی که زیر نظر امنیت الکترونیکی اداره می‌شود اشاره به استفاده نمایندگان دولت از فناوری اطلاعات که قادر است روابط با شهروندان، تجار و دیگر بازوهای دولت را گسترش و ارتقا دهد، است. دولت الکترونیکی نسبت به تعامل فعال دولت با شهروندان یا دولت با شرکت‌های تجاری بیشتر بر انتشار اطلاعات از طریق اینترنت متمرکز شده است. بی‌شک پیش‌بینی الکترونیکی یک فرآیند کلیدی در مدیریت اجرایی است و اساس آن بر فراوانی داده‌هایی بوده که قبلا حاصل شده است. بنابراین، سیستم‌های پیش‌بینی بیش از هر چیز برای یک دولت کارا ضروری است.

بخش‌هایی مانند مدیریت خدمات درمانی، بازار دارایی‌های غیرمنقول و بازارهای تجاری و مالی بیشترین نیاز را به پیش‌بینی‌های نزدیک به واقعیت دارند. در قرن بیست و یکم پیش‌بینی الکترونیکی جایگزین پیش‌بینی‌های سنتی شده است و در واقع به یک قسمت لازم‌الاجرا و غیرقابل انکار در دولت الکترونیکی تبدیل شده است که به سرعت دنیای کامپیوتر را تغییر می‌دهد. این تحقیق برآوردی از کتابنامه‌های موجود و برنامه‌های سیستم‌های پیش‌بینی‌کننده در قالب دولت الکترونیکی است که عناصر ساختار اصلی سیستم پیش‌بینی‌کننده در دولت الکترونیکی را ارایه می‌دهد.

یکی از نگرانی‌های همیشگی والدین اجرای بیش از حد بازی‌های ویدئویی توسط فرزندان‌شان بوده که آن‌ها را از رسیدگی به وظایف تحصیلی و خانوادگی بازمی‌دارد. آنچه که در ادامه می‌آید توصیه‌هایی در این مورد برای پدرها و مادرهاست که از سایت‌های مختلف اینترنتی جمع‌آوری شده است.


کارشناسان معتقدند اختصاص بیش از سه ساعت در روز به اجرای بازی‌های ویدئویی از سوی کودکان به هیچ وجه صحیح نیست، چون در این صورت وضعیت تحصیلی دانش‌آموزان دچار افت شده و ارتباطات خانوادگی آن‌ها نیز تضعیف می‌شود.
از سوی دیگر پزشکان هم تصریح می‌کنند که بین میزان استفاده از رسانه‌های تصویری و چاقی رابطه مستقیم وجود دارد. سلامت بچه‌های امروزی به‌خاطر چاقی مفرط در معرض خطر قرار گرفته است. این درحالی است که تا یک دهه قبل کودکان و نوجوانان از تحرک فیزیکی کافی برخوردار بودند.
آکادمی امراض کودکان در آمریکا به والدین توصیه کرده که به فرزندان‌شان اجازه ندهند بیش از دو ساعت در روز را صرف استفاده از رسانه‌های مختلف اعم از تلویزیون، رایانه و کنسول‌های ویدئویی نمایند.
توصیه‌های عملی این آکادمی برای تحقق این هدف به شرح زیر است:
الف) اعمال محدودیت‌های زمانی: فرزندانتان را از این تصمیم آگاه کنید.
به او بگویید که از چه ساعت تا چه ساعتی حق بازی کردن با کنسول را دارد یا می‌تواند از رایانه استفاده کند.
کودک باید راس ساعت مقرر از بازی کردن یا استفاده از رایانه دست بردارد. اگر او به این قوانین بی‌توجهی کرد، دسته کنترل بازی را از دسترس وی دور کرده یا رایانه را خاموش کنید.
ب) فرزندتان را حین بازی زیر نظر بگیرید. اگر رایانه یا کنسول بازی فرزندتان در اتاق خواب اوست، آن را به یک مکان عمومی‌تر منتقل کنید.
ج) بیش از حد کنجکاوی نکنید. اگر بخواهید بیش از حد فرزندتان را زیر نظر بگیرید، او احتمالا ترجیح خواهد داد در خارج از خانه از کنسول بازی یا رایانه استفاده کند. لذا از زل زدن به او در حین بازی یا کنجکاوی بیش از حد جدا خودداری کنید.
د) جایگزین‌هایی برای بازی‌های ویدئویی پیدا کنید. به‌عنوان مثال نام او را در کلاس‌های تابستانی بنویسید، با هم به گردش و تفریح بروید یا دوتایی با هم ورزش کنید. او را به کتاب‌ خواندن تشویق کنید یا ده‌ها کار مفید دیگر انجام دهید. فراموش نکنید که اگر خانه شما دارای یک کتابخانه بزرگ با کتاب‌های جذاب باشد راحت‌تر می‌توانید فرزندتان را تحت تاثیر بگذارید.
اگر شما هم سؤالی در این مورد دارید و می‌خواهید آن را با یک کارشناس در میان بگذارید، سری به آدرس http://advisor.parent-institnte.com زده و سؤالتان را طرح کنید.

در مقوله امنیت رایانه‌ای و فناوری اطلاعات نیز ـ مانند سایر زمینه‌ها ـ سیاست‌های دولت نقش بسیار مهمی ایفا می‌کند. با این‌حال در این مورد باید با احتیاط اظهارنظر کرد، چراکه یک چارچوب عمومی قوانین هرچند می‌تواند امنیت رایانه‌ای را تقویت کند، اما اشکالاتی که در اثر مقررات نادرست دولتی به‌وجود می‌آید بیش از مزایای چنین مقرراتی است.


فناوری به‌سرعت درحال تغییر است و تهدیدات جدید با چنان سرعتی انتشار می‌یابند که مقررات دولتی به‌راحتی می‌توانند تبدیل به موانعی برای ارایه سریع پاسخ‌های مبتکرانه شوند. بنابراین بهترین راه این است که میان معیارهای تقنینی و غیرتقنینی یک نقطه تعادل پیدا کنیم.
برای دست‌یابی به چنین تعادلی، سیاست‌گذاران باید به برخی ویژگی‌های ذاتی و منحصر به‌فرد رایانه توجه کنند. در مقایسه با فناوری‌های اطلاعات و ارتباطات پیشین، فضای سایبر(مجازی) یک فضای غیرمتمرکز است. بخشی از قدرت اینترنت ناشی از این حقیقت است که فاقد مرزبان است و بیشتر کارایی آن در مرزهای شبکه است تا در مرکز آن. سیاست‌های امنیت سایبر دولت باید این ویژگی‌ها را مدنظر قرار دهند.
دولت‌ها معمولا سیستم رایانه‌ای خاص خود را دارند؛ از جمله رایانه‌هایی که برای امنیت ملی، خدمات اضطراری، بهداشت و سایر عملکردهای ضروری مورد استفاده قرار می‌گیرند، اما بسیاری از سیستم‌های رایانه‌ای سازمان‌های دولتی وابسته به همان نرم‌افزارها و سخت‌افزارهایی هستند که توسط شرکت‌های خصوصی طراحی و ساخته شده‌اند و لذا مسئله امنیت در آن‌ها یکی از مسایل قابل توجه است. بنابراین مسؤولیت امنیت این سیستم‌ها میان دولت و بخش خصوصی تقسیم شده است و همچنین مشخص شده که دولت باید برای مجازات و پیشگیری از انجام حملات به سیستم‌های بخش خصوصی، مثل سیستم‌های دولتی از قدرت قوانین حقوق و جزا کمک بگیرد.
ایجاد یک محیط قابل اطمینان در فضای سایبر نیازمند تطبیق قوانین و سیاست‌های دولتی سایر زمینه‌ها بر حوزه امنیت سایبر است. این زمینه‌ها شامل حمایت از مصرف‌کننده، خصوصی ماندن داده‌ها و ارتباطات، حقوق مالکیت معنوی و چارچوب تجارت الکترونیکی است. در دنیای بدون اینترنت، قانون برای معاملات تجاری و مصرف‌کنندگان حمایت‌هایی ایجاد می‌کند. قسمت اعظم این قوانین در حوزه فضای سایبر نیز قابل اعمال هستند، اما کشورهایی که به‌دنبال گسترش فناوری اطلاعات و ارتباطات (ICT) هستند باید این مسئله را بررسی کنند که آیا در قوانین آن‌ها خلائی وجود دارد که مانع ایجاد اعتماد لازم برای افزایش امنیت فضای سایبر شود یا خیر. در حقیقت کشورهایی که علاقه‌مند به گسترش تجارت الکترونیکی هستند ممکن است دریابند که قوانین آن‌ها در مورد خدمات مالی، مالکیت سایبر و حمایت از مصرف‌کننده از اعتماد یا پشتیبانی لازم برای تعاملات خارج از دنیای اینترنت برخوردار نیست. اصلاح قوانین دنیای سایبر ممکن است به‌عنوان بخشی از اصلاحات روی قوانین کلی‌تر انجام شود. (برگرفته از کتاب مرجع «راهنمای امنیت فناوری اطلاعات»، انتشارات شورای عالی اطلاع‌رسانی)
اما پس از این مقدمه و تاکید بر نقش حیاتی و اعتمادساز تامین امنیت فضای مجازی در هر کشور، به نقد لایحه جرایم رایانهای کشور که چندسالی است در مجلس شورای اسلامی در انتظار تصویب است، می‌پردازیم.
به‌نظر می‌رسد در تهیه لایحه جرایم رایانه‌ای، موارد متعددی که باعث جامعیت و قابل اجرا بودن یک قانون است لحاظ نشده که این امر باعث می‌شود لایحه مزبور در صورت تصویب، نتواند در پیشگیری و مجازات عوامل حقیقی آزار و اذیت‌های رایانه‌ای چندان موثر باشد.
در ادامه فهرست عناوینی که در ادامه این مکتوب در خصوص پیش‌نویس تهیه شده، مورد اشاره قرار گرفته‌اند و پس از آن نیز موارد مذکور بهصورت مشروح بررسی می‌شوند.
1. فقدان تعریف مشخص از حیطه و شمول قانون 2. عدم دسته‌بندی افعال مجرمانه و تفکیک آن‌ها از مجازات‌ها 3. عدم تناسب مجازات با معیارهای معقول تعیین‌کننده حدود مجازات 4. بی‌توجهی به عوامل تاثیرگذار در شدت تقصیر/قصور متولیان امنیت 5. عدم اشاره به برخی از مهم‌ترین عناوین آزار و اذیت رایانه‌ای به‌عنوان مصادیق جرم 6. مشکلات قانونی پیگرد الکترونیکی؛ در صورت تصویب این پیش‌نویس 7. سکوت در برابر سوء‌استفاده از سامانه‌ها برای تهاجم به سامانه‌های شخص ثالث 8. لزوم توجه به عدم اختلال در خدمات 9. همگن نبودن مواد مختلف در تعیین مصادیق 10. آیین‌نامه‌های مبهم 11. برخی نکات موردی
1. فقدان تعریف مشخص از حیطه و شمول قانون

به‌طور کلی طبق الگوهای سرآمدی امنیت، برای تدوین قانون در حیطه‌هایی که کاربرد فناوری
رایانه‌ای باعث ناکارآمد شدن سیستم قانونی مورد استفاده می‌شود، یک تقسیم‌بندی عمده برای جرایم رایانه‌ای در نظر گرفته می‌شود که عبارت است از:
a. جرایمی که به‌وسیله رایانه تسهیل می‌شوند؛ و
b. جرایمی که توسعه و کاربرد فناوری رایانه‌ای و شبکه باعث خلق مفاهیم جدید و به‌وجود آمدن آن‌ها شده است.
بنابراین، برای تدوین نظام جامع و مانع قانونی به‌منظور افزایش اعتماد در فضای رایانه‌ای، هم باید قوانین مختص این فضا را به‌وجود آورد و هم باید قوانین جزایی را که از قبل وجود داشته به‌گونه‌ای اصلاح کرد که جرایم تسهیل شده به‌وسیله رایانه را نیز دربر بگیرد. لذا نباید در قانون جرایم رایانه‌ای به‌دنبال جمع‌آوری تمام اقدامات مجرمانه در هر زمینه‌ای بود و باید قسمتی از آن را به اصلاح قوانین دیگر واگذارد. در هر صورت، به‌نظر می‌رسد لازم باشد که در مقدمه متن پیشنهادی، حیطه قانون و شمول آن (و در صورت صلاح‌دید، حتی مواردی که این قانون به آن‌ها مربوط نمی‌شود نیز) به‌وضوح مورد اشاره قرار گیرند. مثلا به‌نظر می‌رسد ماده 25 از جنس قانون دیگری برای الزامات نگهداری داده‌هاست که باید شامل موارد دیگری (نظیر مسؤولیت تهیه صحیح نسخه پشتیبان و غیره و همچنین مجازات‌های عدم عملکرد صحیح در خصوص موارد ذکر شده) نیز بشود.
به‌دلیل عدم رعایت اصل مذکور، در موادی از این پیش‌نویس تداخل‌هایی با سایر قوانین مانند حقوق شهروندی و قانون مدنی وجود دارد؛ مانند مواردی که در فصل چهارم و فصل پنجم بازتعریف شده، درحالی که طبق قوانین حال حاضر نیز کلیه این موارد از افعال مجرمانه محسوب می شوند و تنها از طریق رایانه، کیفیت انجام آن‌ها متفاوت است.
2. عدم دسته‌بندی افعال مجرمانه و تفکیک آن‌ها از مجازات‌ها

طبق الگوهای سرآمدی، به‌دلیل ماهیت پیچیده و کثرت افعال مجرمانه در فناوری‌های نوین مانند فناوری اطلاعات و ارتباطات، برای روشن بودن چارچوب و ساده‌تر شدن اجرای قانون، معمولا ابتدا در یک فصل مصادیق افعال مجرمانه دسته‌بندی و تشریح می‌شوند و سپس مجازات‌های مربوطه در فصل بعد آن متناظر با دسته‌بندی انجام شده و سایر عوامل تعیین‌کننده میزان مجازات (که در بند چهارم همین مکتوب مورد اشاره قرار گرفته‌اند) تعیین می‌شوند.
این دسته‌بندی علاوه بر ساده کردن کار تطبیق فعل انجام شده با مصادیق افعال مجرمانه (خصوصا در مواردی‌که فعل انجام شده با بیش از یک مصداق تطابق دارد)، کار اصلاح قانون متناسب با پیشرفت و تغییر کاربرد فناوری را نیز تسهیل می‌کند.
3. عدم تناسب مجازات با معیارهای معقول تعیین‌کننده حدود مجازات

مواردی چون قصد و نیت فرد مهاجم، آگاهی قبلی برای تخریب، سطح حساسیت سامانه هدف، میزان تقصیر یا قصور متولیان حفاظت از سامانه میانی (توضیحات بیشتر در این مورد در بند ششم همین مکتوب آمده است)، میزان تقصیر یا قصور متولیان حفاظت از سامانه هدف، میزان خرابی‌های مستقیم به بار آمد و همچنین میزان آسیب‌ها و ضررهایی که در مراحل بعد به قربانی/قربانیان فعل مجرمانه وارد می‌شود (که گاهی اشخاص ثالث حقیقی و حقوقی را هم دربر می‌گیرد)، همه از مواردی هستند که عرفا مسؤولیت آن‌ها برعهده مجرم و معاونان اوست و لذا در تعیین مجازات، توجه صرف به‌عنوان مصداق تشخیص داده شده از فعل مجرمانه کافی نیست و باید این موارد نیز در نظر گرفته شوند. این مورد نیز در قوانین کشورهای توسعه‌یافته که به اقتضای کاربرد فناوری پیش از کشورهای درحال توسعه، زودتر به ضرورت وجود قوانینی از این دست پی برده‌اند به چشم می‌خورد.
4. بی‌توجهی به عوامل تاثیرگذار در شدت تقصیر/قصور متولیان امنیت

زمانی‌که یک تهاجم موفقیت‌آمیز (با هر درجه‌ای از موفقیت) صورت می‌گیرد، همه مسؤولیت خرابی‌های به بار آمده بر گردن مهاجم نیست، بلکه مسؤولان، سیاست‌گذاران و مدیران سامانه هدف نیز در آن شریکند؛ چراکه معمولا با عدم تدبیر به موقع اقدامات لازم برای جلوگیری از نفوذ، راه را برای تهاجم آسان باز گذاشته‌اند. اما میزان این شراکت بسته به عوامل مختلف (از جمله میزان پیچیدگی روش مورد استفاده برای نفوذ، میزان استحکام تدابیر امنیتی سامانه هدف و غیره) متغیر است.
هرچند در ماده 5 پیش‌نویس مورد بحث به این مورد اشاره ضمنی شده است، اما باز هم بدون توجه به نوع حمله، قصد تخریب، میزان خسارت‌های وارده و سایر موارد موثر و صرفا به‌دلیل «اعطای دسترسی» به مهاجم، مجازات مشخصی برای خاطیان در نظر گرفته شده است؛ درحالی‌که اولا عوامل موثر بر مجازات باید به شرح گفته شده باشند و ثانیا، ممکن است فرد خاطی از طریقی غیر از «اعطای دسترسی» به انجام حمله توسط مهاجم کمک کرده باشد.
5. عدم اشاره به برخی از مهم‌ترین عناوین آزار رایانه‌ای به‌عنوان مصادیق جرم

در ادامه برخی از عناوین به‌عنوان نمونه مورد اشاره و توضیح مختصر قرار گرفته‌اند که در پی می‌آیند.
الف. نرم‌افزارهای دارای «درب مخفی»: ایجاد تعمدی درب مخفی در نرم‌افزار توسط نویسنده نرم‌افزار؛ جمع‌آوری اطلاعات کاربران به‌صورت خودکار توسط نرم‌افزار و انتشار آزادانه آن روی وب. این نرم‌افزارها معمولا در پایگاه‌های وب با کارکرد دیگر خود (مثلا یک بازی رایانه‌ای) معرفی می‌شوند، اما پس از دریافت و به اجرا در آمدن توسط کاربران، کارکرد مخرب خود را نیز - غالبا بدون اطلاع کاربران - انجام می‌دهند؛ بنابراین خود کاربر در آسیب وارده مقصر است، اما از طرف دیگر، از چنین کارکردی توسط نرم‌افزار اطلاع قبلی نداشته است.
ب. کرم‌های اینترنتی که معمولا برای انتشار خود از اطلاعات یافته شده روی رایانه‌های قربانی سوءاستفاده می‌کنند و به‌عنوان مثال، از طرف برخی آدرس‌های یافته شده در سامانه قربانی، برای برخی دیگر از آدرس‌های همان فهرست، نامه الکترونیکی ارسال می‌کنند، واضح است که در چنین موردی، مقصر اصلی پدیدآورنده اولیه کرم اینترنتی است.
ج. کلاهبرداری اینترنتی؛ مثلا طراحی یک صفحه ورود اطلاعات مشابه صفحه ورود اطلاعات سامانه‌های پرداخت الکترونیکی (مثلا سامانه‌های برخی بانک‌های داخلی) و فریب کاربران برای ورود اطلاعات کارت‌های خرید/پرداخت الکترونیکی و سوءاستفاده از اطلاعات جمع‌آوری شده. در این خصوص، خود کاربر با رضایت کامل اقدام به ورود اطلاعات در پایگاه فرد کلاهبردار کرده، اما ابتدا توسط او فریب خورده است و پس از ورود اطلاعات نیز این کاربر است که قربانی این کلاهبرداری می‌شود.
د. ارسال هرزنامه که عبارت است از ارسال نامه‌های تبلیغاتی/با مصارف دیگر به فهرست‌های بزرگی از آدرس‌های پست الکترونیکی، خصوصا در شرایطی که دریافت‌کنندگان تمایلی به دریافت آن نامه‌ها ندارند. این عمل در قوانین کلیه کشورهای پیشرو در صنعت فناوری اطلاعات و ارتباطات از جرایم سنگین محسوب می‌شود.
6. مشکلات قانونی پیگرد الکترونیکی

در قسمت‌های مختلفی از قانون (در صورت تصویب پیش‌نویس مذکور) مواردی آمده که می‌تواند کاربردهای مشروع، قانونی و بعضا مورد نیاز برای جلوگیری از وقوع جرایم رایانه‌ای را دچار مشکل کند که در ادامه به‌طور مختصر به برخی از آن‌ها اشاره شده است:
الف. شنود الکترونیکی که برای نظارت و ارتقای امنیت سامانه‌های الکترونیکی جزء اولیه‌ترین نیازهاست، اما طبق این پیش‌نویس، انجام این کار پس از تصویب این پیش‌نویس، جرم خواهد بود.
ب. معامله ابزارهای تست ضریب امنیت که می‌توانند کارکرد دوگانه داشته باشند. این خصوصیت تمام ابزارها و نرم‌افزارهای امنیت الکترونیکی است که هم می‌توانند توسط راهبران امنیت و در جهت ارتقای امنیت شبکه و محیط به‌‌کار روند و هم می‌توانند توسط نفوذگران و در جهت تخریب سیستم‌ها مورد استفاده قرار گیرند.
ج. گستراندن دام برای کسب اطلاعات از روش کار مهاجم (honeypot) که این پیش‌نویس در خصوص قانونی و مشروع بودن آن مسکوت است، اما طبق موادی از آن، می‌توان این کار را فعل مجرمانه برشمرد.
د. نفوذ اخلاقی که به درخواست یک سازمان از یک تیم/شرکت امنیتی برای نفوذ به سیستم‌ها جهت ارزیابی استحکام اقدامات دفاعی سازمان انجام می‌شود.
7. سکوت در برابر سوءاستفاده از سامانه‌ها برای تهاجم به سامانه‌های شخص ثالث

در جرایم رایانه‌ای، امکان سوءاستفاده از سامانه رایانه‌ای یک سازمان برای تهاجم و یا تسهیل تهاجم به سامانه یک سازمان ثالث نیز وجود دارد. در این ‌صورت آیا سازمانی که برای حمله به سازمان ثالث از سامانه‌های رایانه‌ای آن سوءاستفاده شده، به‌علت تقصیر یا قصور مستحق مجازات است یا خیر؟ طبق الگوهای سرآمدی دنیا، در این مورد سازمانی که از سامانه آن برای تهاجم سوءاستفاده شده، مسؤولیت حفظ امنیت آن را به عهده داشته و حتی در صورت عدم آگاهی نیز، بخشی از مسؤولیت با آن است.
8. لزوم توجه به عدم اختلال در خدمات

عدم ایجاد اختلال در خدمات، اصلی است که همواره باید در پیگردهای قانونی جرایم الکترونیکی مدنظر قرار گیرد. در غیر این‌صورت، ممکن است کاری که مهاجم موفق به انجام آن نشده (از کار انداختن ارایه خدمات)، توسط ضابطین قضایی و در جهت اجرای قانون صورت پذیرد. گاهی لطمات این از کارافتادگی خدمت، می‌تواند بسیار بیش از اصل تهاجم برای سازمان قربانی خسارت به بار بیاورد.
9. همگن نبودن مواد مختلف در تعیین مصادیق

در تعریف مصادیق جرم، این پیش‌نویس در برخی مواد آنچنان پیش‌رفته که سعی کرده کوچک‌ترین جزییات را برای تعریف مصداق فعل مجرمانه برشمارد (نمونه: مواد فصل چهارم) و در مواردی نیز به ‌کلی تعیین مصادیق را به آیین‌نامه‌هایی که جزء یک نام از آن‌ها وجود ندارد موکول کرده است.
یکی از مواردی که در صورت رعایت بندهای 1 و 2 این مکتوب عاید قانونگذار می‌شود، همگن بودن مواد مختلف از جهات مختلف است که در عمل، اجرای قانون را به‌میزان قابل توجهی تسهیل می‌کند.
10. آیین‌نامه‌های مبهم

آیین‌نامه‌های متعددی که این قانون به آن‌ها ارجاع دارد و هیچ ‌یک حتی در حد پیش‌نویس هم آماده نشده‌اند، بسیار حیاتی هستند و به همین دلیل لازم است پیشنهاددهندگان محترم حداقل محورهای اصلی این آیین‌نامه‌ها و نیز حیطه، شمول و کلیات بندهای آن‌ها را نیز پیشنهاد دهند.
11. برخی نکات موردی

نکاتی نیز در خصوص جامع و مانع بودن این پیش‌نویس وجود دارد که چند نمونه از آن در پی آمده است:
الف. مواد 1 و 2 با بند اول ماده 3 همپوشانی قابل توجهی دارند.
ب. ماده 5: «چنانچه ماموران دولتی که... به آن‌ها آموزش لازم داده شده ...». اگر سازمانی مورد تهاجم قرار گرفت که متولیان امنیت آن، اصولا آموزش‌های لازم امنیتی را ندیده باشند، تکلیف چیست؟ آیا صرف اینکه از نظر فنی ناآگاه بوده‌اند، دلیل موجهی برای پوشش سهل‌انگاری انجام شده در تدبیر اقدامات دفاعی است که متن پیشنهادی قانون در قبال آن مسکوت است؟
ج. ماده 7: ممکن است کسی بتواند از کارت‌ها یا تراشه‌های مجعول استفاده صحیح کند؛ بنابراین عمومیت کلمه «استفاده» در این بند، می‌تواند این بند قانون را در عمل و هنگام تفسیر، با مشکلاتی مواجه سازد.
نتیجه‌گیری

به‌نظر می‌رسد با عنایت به موارد فوق، لزوم بازنگری در لایحه پیشنهادی بیش از پیش آشکار شده باشد. امید است مسؤولان و تصمیم‌گیرندگان و کلیه افرادی که به هر نحو در تصویب این قانون موثر هستند، برای تصویب یک قانون جامع و قابل اجرا در خصوص جرایم رایانه‌ای، نکات کارشناسی ذکر شده را مدنظر داشته باشند.

پریسا خسروداد - بزرگراه فناوری - تامین امنیت فضای تبادل اطلاعات کشور، در عصری که شاهد شکل‌گیری فعالیت‌های مختلف به‌صورت الکترونیکی هستیم به یکی از مهم‌ترین شاخصه‌های توسعه تبدیل شده است. در همین راستا نیز در جلسه مورخ 13/12/1382 هیات وزیران، تشکیل شورای عالی امنیت فضای تبادل اطلاعات به تصویب رسید.


هدف از تشکیل این شورا، حفظ امنیت فضای تبادل اطلاعات کشور و ایجاد امنیت در حوزه‌های گوناگون نظیر تجارت، اقتصاد، ارتباطات و اطلاعات اعلام شد. پس از اینکه شورای عالی امنیت فضای تبادل اطلاعات کشور کار خود را آغاز کرد، نخستین اقدام روشن آن تدوین سند راهبردی افتا (امنیت فضای تبادل اطلاعات کشور) بود.
این سند به استناد بند «ج» ماده 44 قانون برنامه چهارم توسعه و پیشنهاد شورای عالی امنیت فضای تبادل اطلاعات کشور، به‌عنوان مرجع عالی سیاست‌گذاری این حوزه تهیه شد.
بنابر این گزارش سند راهبردی افتا، به‌منظور تحقق اهداف چشم‌انداز 20 ساله کشور تدوین شده بود و از طرف دیگر خطوط راهنما و محورهای اصلی برنامه پنج‌ساله چهارم را مدنظر قرار می‌داد.
به‌دنبال طرح افتا، بیش از دو هزار صفحه مستندات و 15 جلد کتاب در این زمینه منتشر شد. این سند شاید جزء اولین سندهای راهبردی محسوب می‌شود که هم به‌ تصویب دولت رسید و هم به دستگاه‌ها ابلاغ شد، اما درحال حاضر پس از گذشت قریب به دو سال از ابلاغ بخش‌نامه مذکور و صرف بودجه عمومی هیچ تصمیم شفافی در زمینه تامین امنیت فضای تبادل اطلاعات کشور صورت نگرفته است. به‌طوری که سند راهبردی افتا متوقف مانده و تاکنون دبیرخانه افتا گزارش عملکرد صریح و روشنی از وضعیت دستگاه‌های دولتی برای اجرای بخش‌نامه مذکور از خود ارایه نکرده است. در همین راستا و نظر به اهمیت تامین امنیت فضای تبادل اطلاعات کشور به بررسی آخرین وضعیت سند راهبردی افتا پرداختیم.
بخش‌نامه برنامه امنیت فضای تبادل اطلاعات کشور

به‌موجب بخش‌نامه امنیت فضای تبادل اطلاعات کشور که در تاریخ 19/7/1383 و با شماره 39360 به تمامی وزارتخانه‌ها، سازمان‌ها، موسسات، شرکت‌های دولتی، نهادهای انقلاب اسلامی و استانداری‌های سراسر کشور ابلاغ شد، تمامی دستگاه‌های ذی‌ربط که از بودجه عمومی دولت استفاده می‌کنند، موظف شدند برنامه عملیاتی امنیت فضای تبادل اطلاعات خود را حداکثر در مدت شش ماه پس از ابلاغ و براساس بند 5-9 ترتیبات اجرایی سند مذکور به سازمان مدیریت و برنامه‌ریزی کشور ارایه کنند، تا بتوانند با همکاری آن سازمان مراحل تصویب، تخصیص بودجه و اجرای آن را طی کنند.
بنابر این گزارش مجری این سند سازمان مدیریت و برنامه‌ریزی و ناظر آن شورای عالی امنیت فضای تبادل اطلاعات کشور پیش‌بینی شده و قرار بود هماهنگی‌های لازم توسط کمیسیونی که به‌همین منظور تشکیل شد صورت گیرد.
200 میلیارد ریال بودجه برای شورای عالی افتا

پس از ابلاغ بخش‌نامه شماره 39360، همان‌طور که ذکر شد، کلیه دستگاه‌ها با همکاری دبیرخانه شورای عالی افتا وظیفه مطالعات اولیه، تهیه پیشنهاد پروژۀ هر اقدام و تمهید مقدمات لازم جهت استقرار نظام‌ها را برعهده گرفتند.
براساس این گزارش سازمان مدیریت و برنامه‌ریزی کشور نیز موظف شد به‌منظور تهیه طرح‌های موردنظر و برای تحقق هر یک از اقدامات در دستگاه‌های نام برده شده، مبلغ 200 میلیارد ریال را به‌صورت متمرکز به دبیرخانه شورای عالی اختصاص دهد تا با همکاری آن سازمان بین دستگاه‌ها توزیع شود.
همچنین در مورد لازم‌الاجرا بودن بخش‌نامه 39360 می‌توان به این نکته اشاره کرد که به سازمان مدیریت و برنامه‌ریزی کشور، این اختیار داده شد که از پیش‌بینی اعتبار در بودجه طرح‌های فناوری اطلاعات سازمان‌ها و نهادهایی که فاقد بخش امنیت هستند خودداری کند.
توقف سند راهبردی افتا

اما با استقرار دولت جدید و حضور دبیر تازه شورای عالی افتا سند راهبردی افتا از نظر محتوا به همان صورت باقی ماند زیرا تقریبا گردآورندگان سند مذکور به یک اجماع کلی حین تهیه این سند رسیده بودند، اما پی‌گیری آن با ایجاد تغییراتی در دبیرخانه شورای عالی تامین امنیت فضای تبادل اطلاعات کشور متوقف شد و اجرای سند با تعویق مواجه شد. نکته‌ای که در این زمینه وجود دارد این است که در آخرین بند سند افتا یعنی بند 11-9 در قسمت ترتیبات اجرایی ذکر شده هر گونه بازنگری در سند، زمان و نحوه اجرای آن به‌عهده شورای عالی افتاست، اما همان‌طور که از شواهد قضیه برمی‌آید تاکنون از جانب هیچ مرجعی در افتا خبری در زمینه ایجاد تغییر زمان و نحوه اجرا در مراجع رسمی منتشر نشده است.
بنابر این گزارش هرچند که تصور بر این بود، با استقرار دبیرخانه جدید کار پی‌گیری برنامه‌های افتای سازمان‌های دولتی پس از مدتی سکون ادامه پیدا خواهد کرد، اما این اتفاق رخ نداد زیرا از طرفی در سند افتا، با توجه به امنیتی بودن موضوع به حداکثر استفاده از توانمندی داخلی و اهتمام به استفاده از بخش غیردولتی تاکید شده بود. درحالی که تمام دستگاه‌های دولتی موظف بودند شش ماه بعد از دریافت بخش‌نامه و با استفاده از بودجه 200 میلیارد ریالی سازمان برنامه طرح‌های افتای خود را ارایه دهند اما به گفته یک مقام آگاه تاکنون هیچ مناقصه عمومی و فراگیری در این زمینه برگزار نشده است، از سوی دیگر فعالان بخش خصوصی در این حوزه نیز از وضعیت اجرای پروژه‌های مذکور اظهار بی‌اطلاعی می‌کنند.
لزوم اجرای زمان‌بندی و برگزاری مناقصات شفاف

محمود خادمی، رییس کمیسیون افتای سازمان نظام صنفی رایانه‌ای در مورد چگونگی وضعیت برگزاری مناقصات طرح‌های امنیت فضای تبادل اطلاعات سازمان‌های دولتی می‌گوید: ضرورت برگزاری مناقصات افتا با توجه به در نظر گرفتن حداکثر استفاده از توانمندی‌های داخلی در شرایط کنونی می‌تواند راهکار مناسبی برای خروج از حالت رکود باشد.
زیرا در وضعیتی که بسیاری از مناقصات برگزار شده توسط سازمان‌های دولتی به حالت شناور و معلق درآمده‌اند، ایجاد مناقصات جدید نظیر افتا می‌تواند به رشد رونق در میان بخش خصوصی کمک فراوانی کند.
وی، همچنین می‌گوید: درخواست بخش خصوصی به‌عنوان مجری طرح‌های افتا، اجرای زمان‌بندی در نظر گرفته شده و برگزاری مناقصات شفاف در این زمینه است زیرا اعلان عمومی مناقصات در روزنامه‌های کثیرالانتشار، پایگاه‌های اطلاع‌رسانی و غیره فرصت‌های برابری را در اختیار متقاضیان قرار می‌دهد. خادمی با تاکید بر این موضوع که ارایه طرح‌های افتا و اجرای آن باعث شکوفایی هرچه بیشتر این صنعت در ایران می‌شود، اجرای طرح‌های امنیت فضای تبادل اطلاعات کشور به‌دست فعالان واقعی را باعث افزایش ضریب اطمینان بیشتر در میان پروژه‌های مذکور می‌داند.

لایحه «جرایم رایانه‌ای» چه شد؟

شنبه, ۷ مرداد ۱۳۸۵، ۰۹:۱۰ ب.ظ | ۰ نظر

مهندس عباس پورخصالیان - بزرگراه ‌فناوری‌ - هیات دولت هشتم در تاریخ 25/3/1383، لایحه‌ای را تحت نام «جرایم رایانه‌ای» به تصویب رساند و آن را به مجلس شورای اسلامی فرستاد، اما این لایحه معلوم نیست در مجلس شورای اسلامی کجاست و در چه مرحله‌ایست که هنوز پس از گذشت دو سال شاید «خاک می‌خورد»!
این درحالی ا‌ست که هم‌اکنون محاکم و قوۀ مجریه، فاقد چارچوبی قانونی، بهنگام و مناسب برای پیگیری قانونی و قضایی و تعیین جرم هر یک از موارد متنوع و رو به تزاید جرایم رایانه‌ای، اینترنتی و سوء‌استفاده از فضای سایبری (مجازی) است.
آیا به صرف اینکه این لایحه در دولت هشتم به تصویب رسیده است می‌تواند دلیلی برای توقف روند شور و تصویب (یا رد) از سوی مجلس شورای اسلامی باشد، پرسشی است که عقل سلیم آن را رد می‌کند، تنها گزینۀ معقولی که می‌توان در نظر گرفت این است که این لایحه، در صف نوبت است و به‌زودی مطرح خواهد شد. اما کی؟ معلوم نیست! لایحۀ مورد بحث، از پنج بخش تشکیل شده است و در مجموع، در وضعیتی که به تصویب دولت هشتم رسیده بود، دارای چهل و دو ماده و دوازده تبصره بود. به احتمال قوی، در تهیه این لایحه، شورای عالی اطلاع‌رسانی و کارشناسان قوه قضاییه یا وکلای دادگستری نقش داشته‌اند چرا که در همان زمان، شورای عالی اطلاع‌رسانی، روی این موضوع کار می‌کرد و برای مثال کتاب ادله الکترونیکی (e-evidence) را به کمک قوۀ قضایی، در دست تدوین داشت و منتشر کرد.
اکنون سه حالت ممکن است پیش آمده باشد:
1ـ مرکز پژوهش‌های مجلس، اظهارنظر کارشناسی خود را دربارۀ این لایحه انجام داده و آن را به دبیرخانه مجلس شورای اسلامی ارجاع داده است.
2ـ مجلس شورای اسلامی در کمیسیون قضایی خود متن آن را به کمک دولت نهم و قوۀ قضاییه در دست مطالعه دارد.
3ـ آن را به‌دست فراموشی سپرده است که البته بعید به‌نظر می‌رسد.
در ضمن حالت‌های دیگری نیز به ذهن متبادر می‌شود اما در هر حالت آنچه مهم است این است که وجود یک قانون تعیین جرایم رایانه‌ای، حتی به‌صورت ناکامل و ناتمام، بهتر از عدم آن است. برای تکمیل و تجدیدنظر در یک قانون، همیشه وقت هست و همواره توجیه دارد. اما نبود و عدم چنین قانونی، توجیهی ندارد!
آن هم در شرایطی که صحبت از اینترنت ملی یا اینترانت ملی و شبکه نسل آتی (NGN) است.
برای مجلس شورای اسلامی و دولت باید بدیهی باشد که بدون قانون جرایم رایانه‌ای، تجارت‌الکترونیکی، بانکداری الکترونیکی و کسب‌وکار الکترونیکی، مشروعیت لازم را ندارند. پس تسریع در به تصویب رساندن لایحه مذکور، انتظار دست‌اندرکاران این خدمات الکترونیکی است

امنیت در اینترنت و شبکه هاى ارتباطى

شنبه, ۷ مرداد ۱۳۸۵، ۰۹:۰۶ ب.ظ | ۰ نظر

شرق - در حالى که بسیارى فناورى اطلاعات و ارتباطات را باعث تسهیل در امر انتقال اطلاعات مى دانند موضوع امنیت در تبادل اطلاعات همواره به عنوان یکى از اصول غافل مانده به شکل یک معضل پنهان باقى مى ماند.امنیت اطلاعات براى بخش مهمى از فعالان بخش فناورى اطلاعات تنها زمانى به عنوان یک موضوع حاد مطرح مى شود که مشکلى در سیستم به وجود آید. در اغلب مواقع این مشکلات باعث ضربه اى سنگین بر سیستم و یا به اطلاعات موجود در آن مى شود که در واقع مى توان گفت رویکرد دیرهنگامى است. اینترنت همواره از جهت هاى گوناگون مورد نقد و ارزیابى قرار مى گیرد اما واقعیت این است که این شبکه عظیم مانند هر اجتماع عادى انسانى دیگر در معرض تهدیدها و خطرات قرار دارد. از نفوذ داده هاى مخرب گرفته تا تخریب داده هاى سالم و برهم زدن نظم شبکه همه و همه تنها به یک مورد بستگى دارد و آن بحث امنیت اطلاعات در محیط اینترنت است. امروزه امنیت اطلاعات در زمینه اینترنت از یک بحث حاشیه اى به یک بحث ضرورى تغییر جهت داده است. هرگونه خرید و فروش روى اینترنت و یا انتقال داده ها باید تحت یک کنترل امنیتى صورت گیرد. اگر امنیت شبکه برقرار نگردد، مزیت هاى فراوان آن نیز به خوبى حاصل نخواهد شد و پول و تجارت الکترونیک، خدمات به کاربران خاص، اطلاعات شخصى، اطلاعاتى عمومى و نشریات الکترونیک همه و همه در معرض دستکارى و سوءاستفاده هاى مادى و معنوى قرار مى گیرند. همچنین دستکارى اطلاعات- به عنوان زیربناى فکرى ملت ها - توسط گروه هاى سازماندهى شده بین المللى، به نوعى مختل ساختن امنیت ملى و تهاجم علیه دولت ها و تهدیدى ملى محسوب مى شود.در ایران که بسیارى از نرم افزارهاى پایه از قبیل سیستم عامل و نرم افزارهاى کاربردى و اینترنتى، از طریق واسطه ها و شرکت هاى خارجى تهیه مى شود، بیم نفوذ از طریق راه هاى مخفى وجود دارد. هم اکنون نیز بانک ها و بسیارى از نهادها و دستگاه هاى دیگر از طریق شبکه به فعالیت مى پردازند، به همین دلیل جلوگیرى از نفوذ عوامل مخرب در شبکه به صورت مسئله اى استراتژیک درآمده که نپرداختن به آن باعث ایراد خساراتى خواهد شد. تجربیاتى نیز در همین زمینه وجود دارد که این موضوع را کاملاً ثابت کرده است.

•هویت مجازى

به رغم معرفى سرویس هاى متعدد روى شبکه، تاکنون مهمترین سرویس از میان سرویس هاى گوناگون اینترنت، سیستم پست الکترونیکى بوده است . بسیارى از کاربران اینترنت از این بخش بیشتر از سایر امکانات فراهم آمده توسط این شبکه جهانى استفاده مى کنند. امروزه، اقتصاد جهانى به پست الکترونیکى متکى شده است، بسیارى از پیام هاى رد و بدل شده بین کاربران حاوى یادداشت هاى شخصى است. گرچه اغلب پیام ها از متن ساده تشکیل شده اند اما امکان پست الکترونیکى تمام انواع داده ها، مثل تصاویر، برنامه هاى کامپیوترى، سندهاى صفحه گسترده و... نیز وجود دارد. با توجه به این سرویس، اینترنت اجازه مى دهد که افرادى که دور از هم هستند با یکدیگر در تعامل و کار باشند و در واقع، فردى با فرد دیگرى که هزاران کیلومتر از او دور است و هیچ وقت او را ندیده است، مى تواند ارتباط داشته باشد. پست الکترونیکى امروزه در تجارت و بانکدارى الکترونیکى هم کاربرد فراوانى دارد و بسیارى از تعیین هویت هاى مجازى امروزه توسط پست الکترونیک صورت مى گیرد. در همین رابطه براى استفاده امن از پست الکترونیکى تذکراتى وجود دارد. درک تفاوت هاى پست الکترونیکى با پست عادى و یا گفت وگوى تلفنى کمى دشوار است ولى به کار بستن برخى نکات ساده مى تواند در بالا بردن امنیت هنگام به کارگیرى این سرویس مؤثر باشد از جمله این موارد مى توان از موارد زیر را نام برد:بایستى همواره تصور شود که هیچ گونه اختفایى وجود ندارد. پیام هایى که به دلایلى نباید همه ببینند نباید از این طریق ارسال شود، بنابراین از ارسال نامه هاى بسیار خصوصى، سخنرانى هاى تند، بى احترامى هاى منظوردار و... باید احتراز شود. نباید فرض شود که پیام هاى حذف شده قابل بازیابى نیستند. چنانچه پیامى روز سه شنبه حذف شود، احتمالاً در نسخه هاى پشتیبان که شب یا روز قبل تهیه شده است موجود است، در سیستم پستى ابزار مشابه کاغذ خردکن وجود ندارد. در متن هاى ارسالى باید محتاط بود. این طبیعت پست الکترونیکى است که مردم پیام هاى دریافتى خود را بیشتر از پیام هاى ارسالى جدى مى گیرند. ضمن اینکه ارسال یادداشت سریع به هر جایى از جهان بسیار ساده است .

• ضرورت حفاظت

براى افزایش امنیت تبادل اطلاعات از تکنیک هاى متعددى استفاده مى شود که یکى از آنها رمزنگارى است. رمزنگارى از دیر باز به عنوان یک ضرورت براى حفاظت از اطلاعات خصوصى در مقابل دسترسى هاى غیرمجاز در تجارت و سیاست و مسائل نظامى وجود داشته است. به طور مثال تلاش براى ارسال یک پیام سرى بین دو هم پیمان به گونه اى که حتى اگر توسط دشمن دریافت شود قابل درک نباشد، در رم قدیم نیز دیده شده است. در سالیان اخیر رمزنگارى و تحلیل رمز از یک هنر پا را فراتر گذاشته و یک علم مستقل شده است و در واقع به عنوان یک وسیله عملى براى ارسال اطلاعات محرمانه رویکانال هاى غیرامن همانند تلفن، ماکروویو و ماهواره ها شناخته مى شود. پیشرفت علم رمزنگارى موجب به وجود آمدن روش هاى تحلیل مختلفى شده است به گونه اى که به طور متناوب سیستم هاى رمز مختلف شکسته شده اند. معروف ترین نمونه این نوع سیستم ها ماشین «انیگما » بوده است. انیگما ماشین رمزگذار و کدگذار و کدکننده اى بوده است که حزب نازى در زمان جنگ جهانى دوم براى ارسال پیام هایشان از طریق رادیو به سایر نقاط استفاده مى کردند.رمزنگارى که به طور عمده به دو بخش رمزنگارى متقارن یا رمزنگارى با کلید خصوصى و رمزنگارى نامتقارن یا رمزنگارى با کلید عمومى صورت مى گیرد، تلاش مى کند براى ایجاد یک ارتباط سریاز طریق سیستم هاى مخابراتى و شبکه هاى کامپیوترى مباحث مربوط به محرمانگى و احراز هویت را تحت فرض هاى مشخص به درستى اثبات کند.نرم افزارها از جمله مهمترین اصول ارتقا و یا کاهش سطح امنیت در یک شبکه به حساب مى آیند بر این اساس باید براى نظارت فنى در آنها قوانین و اجبارهایى را در نظر گرفت و باید به منظور پشتیبانى از سیستم کنترل دستیابى ابزارهاى لازم را در اختیار داشت . سیستم هاى نرم افزارى بایستى داراى کنترل هاى داخلى براى شناسایى کاربران، نمایش استفاده هاى غیرمجاز و محدود نمودن حدود اختیار کاربران باشند. چنانچه فردى چند بار سعى کند به سیستم وارد شود و رمز نادرستى را وارد کند بایستى سیستم به طور خودکار غیرفعال و در موارد پیچیده تر برنامه ها به منظور عدم دستیابى به اطلاعات به صورت خود مخرب طراحى شوند. چنانچه از سیستمى در یک مدت زمان مشخص و تعیین شده استفاده نشود، پایانه ها یا رایانه هاى مربوطه باید از حالت فعال خارج شده و سیستم، براى استفاده مجدد نیاز به واردشدن مجدد و دادن رمز ورود داشته باشد. رمزنگارى روش مناسبى براى حفاظت داده هاى مهم از دید همگان است. گنجانیدن دستورات کنترلى داخلى مى تواند کمک موثرى در اعمال رویه هاى شناسایى، دسترسى، استفاده و انتقال داده ها به حساب آید و رد و اثر عملیات انجام شده را در اختیار مسئولان بگذارد. اعمال برخى روتین هاى ویرایشى از بروز اشتباهات و خرابى داده ها تا حد بسیارى جلوگیرى مى کند و در مواقعى، گرفتن گزارش هایى که نشانگر داده هایى است که خارج از محدوده معمول هستند، مى تواند کمک بسیارى در یافتن خطاها یا افراد باشد که قصد خرابکارى یا اعمال خلاف را دارند، این گونه کنترل ها میزان اطمینان به داده ها و اطلاعات جمع آورى شده را نیز بالا مى برد. تدوین برنامه هاى لازم براى تهیه نسخه هاى پشتیبانى از داده ها بسیار ضرورى است . تعیین برنامه زمانبندى براى اجراى این برنامه ها نیز از اهمیت بالایى برخوردار است. کنترل کیفیت نرم افزار مى تواند از بسیارى از خطاهاى نرم افزارى که موجب فقدان داده یا خرابى آنها مى شود، جلوگیرى کند.

گنجانیدن پیام هاى خطاى مناسب جهت ردیابى اشکالات نرم افزارى سبب تسریع در امر اشکال یابى و رفع اشکالات احتمالى مى شود. نرم افزارها در مقابل ویروس هاى رایانه اى و برنامه هاى مخرب بایستى محافظت شوند.

روزانه راهکارهاى مختلف امنیتى در سطوح مختلف براى کاربرى و استفاده از اینترنت براى انتقال داده ها ارائه مى شود با وجود این همواره شاهد بروز ضعف ها و نقاط آسیب پذیر متعددى در سایت ها و بانک هاى اطلاعاتى هستیم. در واقع به نظر مى رسد در هر دو سطح کاربرى و استفاده هاى حرفه اى از این شبکه دچار مشکلات فراوان امنیتى هستیم. یکى از مهمترین راهکارهایى که در این زمینه همواره گوشزد مى شود استقرار نظام جامعى براى افزایش سطح امنیت چه در سطوح کاربرى و چه در سطوح تجارى و دولتى است.

در سطوح کاربرى استفاده از نرم افزارهاى دیوار آتش یا فایروال و همچنین آشنا کردن کاربران با خطرات کاهش امنیت اینترنتى از جمله راهکارها است. یک سیستم ناامن باعث سرقت هویت و اطلاعات مهم افراد از روى کامپیوترها مى شود و این سیستم ناامن اگر در یک شرکت و یا سازمان وجود داشته باشد مى تواند امنیت اطلاعات هزاران نفر را با خطر مواجه کند. در سطح کلان استفاده از طرح هاى ارتقاى امنیت شامل خریدارى و نصب سیستم هاى پیشرفته کنترل امنیت، تبادل اطلاعات و همچنین بهره گیرى از مشاوره هاى امنیتى یک امر ناگزیر است. فقدان استاندارد امنیتى براى شبکه هاى رایانه اى یکى از مهمترین دلایل نفوذ به این سیستم و حذف اطلاعات ضرورى است. این موضوع به خصوص در سال هاى گذشته در بخش هاى خصوصى و دولتى ما به شکل گسترده اى دیده شده است. به عنوان مثال کاربران ایرانى بارها با خبر حمله و دستکارى گسترده به ده ها و صدها سایت دولتى و خصوصى ایران به طور یک جا روبه رو شده اند. در واقع نگهدارى یک جاى هزاران سایت دولتى و خصوصى روى یک سرور امنیت آنان را به گونه اى به خطر انداخته که با یک حمله اینترنتى عملاً همه این سایت ها در معرض خطر قرار مى گیرد. عدم استفاده از نرم افزارهاى به روز شده امنیتى نیز مشکل دیگر امنیتى در دو عرصه کاربرى عادى و کلان اینترنت در ایران است. کاربران ایرانى عادت به خرید یک نرم افزار ۴۰۰ دلارى ضد ویروس و یا فایروال ندارند و عموماً آن را با هزار تومان از بازارهاى نرم افزار تهیه مى کنند. به همین دلیل در بسیارى اوقات این نرم افزارها به جاى آنکه به افزایش امنیت سیستم کمکى کنند باعث بروز مشکلات متعدد امنیتى و فنى دیگر در سیستم مى شوند. با وجود آنکه مشکلاتى از این دست امنیت اطلاعات در کشور ما را به شکل قابل ملاحظه اى کاهش داده اما معضل امنیت صرفاً مربوط به کشور ما نیست. چند سال قبل در حمله اى به چندین سرور اصلى اینترنت عملاً ترافیک اینترنت به شکل بسیار زیادى افزایش پیدا کرد و حتى احتمال قطع اینترنت نیز پیش آمد. این در حالى است که کشور آمریکا و بسیارى از کشورهاى دیگر سالانه میلیاردها دلار براى ارتقاى امنیت سیستم هاى کامپیوترى هزینه مى کنند اما به هر حال این جنگ ادامه دارد.

جنگ سایبر و جنگ شبکه‌ای

شنبه, ۷ مرداد ۱۳۸۵، ۰۹:۰۵ ب.ظ | ۰ نظر

انقلاب اطلاعات در حال متحول‌سازی جنگ می‌باشد. بیش از این دیگر شاهد نبرد فرسایشی خونین نیروهای نظامی نخواهیم بود. در عوض، نیروهای کوچک و چالاکی که به اطلاعات بلادرنگ ماهواره‌ها و حسگرهای صحنه نبرد مسلح شده‌اند، با سرعت اعجاب‌آوری به محل‌های غیرمنتظره حمله می‌برند. در جنگ، فاتح و پیروز کسی است که می‌تواند از اطلاعات برای ازبین‌بردن "ابهام فضای جنگ" (که دشمن را فراگرفته است) استفاده کند.
فرض کنید جنگ اینگونه باشد که نیروهای اندک و چالاکی به دفاع در مقابل توده‌های انبوهی از نیروهای به‌شدت مسلح دشمن پرداخته و بدون تلفات سنگینی در دو طرف، آنان را ناچار به تسلیم می‌کنند. به دلایل ذیل نیروهای چالاک قادر به انجام این کار هستند:

1. برای انجام این‌کار تدارک دیده شده‌اند.

2. برای مانور فضاسازی می‌کنند.

3. قدرت آتش خود را بسرعت در محل‌های غیرقابل‌پیش‌بینی متمرکز می‌کنند.

4. دارای سیستم‌های فرماندهی، کنترل و اطلاعاتی هستند که از ساختاری غیرمتمرکز برای اجرای طرح‌های تاکتیکی برخوردارند. اما همچنان فرماندهان مرکزی از آگاهی همه‌جانبه (غیرموازی) و"نگاه از بالا" جهت اهداف استراتژیک سود می‌برند.
شاید نتوان پیروزی آمریکا در جنگ خلیج فارس را همتراز با موفقیت مغول‌ها در قرن سیزدهم دانست. اگرچه معمولاً تعداد مغول‌ها از نیروهای مقابل کمتر بود، اما در جنگ پیروز می‌شدند و بیش از یک قرن بزرگترین امپراطوری قاره‌ای تاریخ را حفظ نمودند. رمز موفقیت مغول‌ها، در کسب اطلاعات از میدان نبرد بود. آنان در هر زمان و مکان مناسب، حمله می‌کردند و ارتباطات روزانه خود را با فرماندهان (اگرچه صدها کیلومتر با آنها فاصله داشتند) را از طریق "سواران تیزرو" حفظ می‌نمودند. اگرچه خان بزرگ بعضاً هزاران کیلومتر از نیروهای خود دور بود ولی ظرف چند روز از پیشرفت‌های آنها کاملاً مطلع می‌شد.
جنگ در عصر اطلاعات

در طول تاریخ، دکترین، سازمان و استراتژی نظامی پیوسته دستخوش تغییرات بنیادین در اثر پیشرفت‌های فناوری شد‌ه‌اند. صنعتی‌شدن به جنگ فرسایشی بین ارتشهای انبوه در جنگ جهانی اول منتهی شد. در جنگ جهانی دوم، مکانیزه‌شدن نیز به مانورهایی که در سیطره تانکها بود منجر شد. انقلاب اطلاعات باعث ظهور سبکی از جنگ می‌شود که نه تعداد زیاد نیرو و نه تحرک آنان، به نتایج مورد نظر منجر نخواهد شد. در عوض کسی که در جنگ اطلاعات بیشتری دارد، ابهام فضای جنگ را (که دشمن را در بر گرفته است) از بین برده و از مزایای قطعی آن بهره‌مند خواهد شد.

تحولات شگرفی در جمع‌آوری، ذخیره‌سازی، پردازش، انتقال و ارائه اطلاعات و همینطور سازمان‌هایی که از افزایش اطلاعات منتفع می‌شوند، در حال رخ‌دادن می‌باشد. اطلاعات در حال تبدیل‌شدن به یک منبع استراتژیک می‌باشد و می‌تواند خود را به عنوان یک عنصر بانفوذ و ارزشمند در عصر فراصنعتی، همانند نقش سرمایه و کار در عصر صنعتی، مطرح کند.

انقلاب اطلاعات در حال به‌چالش‌کشیدن طراحی سازمان‌های زیادی است. این انقلاب، سلسله‌مراتب سازمان‌هایی که بصورت متعارف طراحی شده‌اند را از هم می‌پاشد و به مرور زمان از بین می‌برد. انقلاب اطلاعات اغلب قدرت را به نفع بازیگران کوچکتر و ضعیفتر اشاعه و توزیع‌مجدد می‌کند. این انقلاب از مرزهای فعلی مسئولیت‌ها عبور می‌کند و مرزهای جدیدی برای این مسئولیت‌ها ترسیم می‌کند و عموماً سیستم‌های بسته را مجبور به باز‌شدن می‌کند.

انقلاب اطلاعات می‌تواند باعث تغییر‌جهت در چگونگی کشمکش بین جوامع و هم چگونگی برپایی جنگ توسط نیروها شود. بهتر است بین جنگ شبکه‌ای (درگیری در سطح جوامع از طریق سبکهای ارتباط اینترنتی) و جنگ سایبر تمایز قائل شویم.
جنگ شبکه‌ای چیست؟

جنگ شبکه‌ای برخوردی اطلاعاتی در سطح کلان بین ملل و جوامع گوناگون می‌باشد. هدف این نوع جنگ، مخدوش‌کردن مسایلی است که مردم مورد هدف راجع به خود و جهان اطرافشان می‌دانند و می‌اندیشند. جنگ شبکه‌ای توانایی تمرکز بر روی افکار عمومی یا نخبگان و یا هر دوی آن‌ها را دارد. این جنگ اموری همچون دیپلماسی، تبلیغات و مبارزات روانی، تخریب فرهنگی و سیاسی، اغفال و یا دخالت در رسانه‌های محلی، نفوذ در شبکه‌های کامپیوتری و پایگاه داده‌ها، تلاش یرای اشاعه جنبشهای دگراندیش و مخالف در شبکه‌های کامپیوتری را در بر می‌گیرد.

جنگ شبکه‌ای سبک نوینی در طیف گسترده برخوردها است که ابعاد اقتصادی، سیاسی و اجتماعی را نیز همانند ابعاد نظامی در بر می‌گیرد. در مقابل جنگ‌های اقتصادی که هدف آن نظام تولید و توزیع سرمایه می‌باشد و جنگ‌های سیاسی که هدف آن هدایت و رهبری سازمان‌های دولتی می‌باشد، می‌توان جنگ شبکه‌ای را از طریق آرمانهای اطلاعاتی و ارتباطاتی آن تشخیص داد.

جنگ شبکه‌ای اشکال گوناگونی دارد؛ این جنگ می‌تواند در سطح دولتهای رقیب و در سطح ملل رخ دهد. نوع دیگری از جنگ شبکه‌ای وجود دارد که می‌تواند بین دولت‌ها و نیروهای غیردولتی اتفاق بیافتد؛ برای مثال می‌توان به جنگ دولت‌ها بر علیه گروه‌های نامشروع (از قبیل تروریست‌ها، تکثیرکنندگان تسلیحات کشتار جمعی و یا قاچاقچیان دارو) اشاره کرد. همچنین می‌تواند بر علیه سیاست‌های دولت خاصی توسط گروه‌های مدافع محیط زیست، حقوق بشر واعتقادات مذهبی انجام شود. این نیروهای غیردولتی ممکن است ملیت مشخصی داشته باشد یا اینکه از ائتلافی بین‌المللی تشکیل شده باشند. برخی از جنگ‌های شبکه‌ای شامل موضوعات نظامی خواهد بود؛ برای نمونه تکثیر سلاحهای هسته‌ای، قاچاق دارو و مخالفت با تروریسم، که تهدیدی بالقوه برای نظم بین المللی و امنیت ملی محسوب می‌شوند.

جنگ شبکه‌ای همان جنگهای واقعی در قالب سنتی نیستند؛ اما شاید بزودی جنگ شبکه‌ای به ابزاری در جهت جلوگیری از وقوع جنگ واقعی تبدیل شود. بازدارندگی در این دنیای پرآشوب همانگونه که به حضور و وظیفه نیروهای نظامی یک کشور بستگی دارد می‌تواند به حضور و کارکرد فضای سایبر آن کشور نیز بستگی داشته باشد.

جنگ سایبر چیست؟

به هدایت عملیات نظامی بر اساس قوانین حاکم بر اطلاعات، جنگ سایبر گویند. هدف از این نوع جنگ، تخریب سیستم‌های اطلاعاتی و ارتباطاتی می‌باشد؛ تلاش این جنگ در جهت شناسایی مسایلی است که دشمن به‌شدت از آن محافظت می‌کند؛ این جنگ حرکتی در جهت تغییردهی "توازن اطلاعات و دانش" به نفع یک طرف است، به‌خصوص اگر توازن نیروها برقرار نباشد. در واقع، به کمک دانش، سرمایه و نیروی کاری کمتری هزینه خواهد گردید.

این جنگ از فناوری‌های گوناگونی بهره می‌برد. از موارد برجسته این نوع فناوری‌ها می‌توان به فرماندهی و کنترل برای رسیدن به هوشمندی، توزیع و پردازش برای رسیدن به ارتباطات تاکتیکی، تثبیت موقعیت، و شناخت هویت دوست و دشمن در زمینه مبادلات سیستم‌های جنگی هوشمند اشاره کرد. همچنین این نوع فناوری‌ها می‌توانند باعث اغفال، فریب و ایجاد اختلال در تجهیزات ارتباطاتی و اطلاعاتی دشمن شده و راهی جهت نفوذ به آن پیدا کنند.

جنگ سایبر الزامات گسترده‌ای برای دکترین و سازمان‌های نظامی هم دارد. حرکت به سمت ساختار شبکه‌ای تا حدودی نیازمند فرماندهی و کنترل غیرمتمرکز است؛ اما این همه مطلب نیست؛ فناوری جدید با تامین نگاه بهتری از بالا (اصل قضیه)، سبب بهبود مدیریت پیچیدگی‌ها می‌شود.

جنگ سایبر می‌تواند باعث خلق دکترین‌های جدید در زمینه انواع نیروهای موردنیاز، و اینکه چگونه و کجا باید آنان را مستقر کرد تا بتوان به دشمن حمله‌ور شد. این که چطور و چه نوع کامپیوترها، حسگرها، شبکه‌ها و پایگاه داده‌ها در چه موقعیتی قرار گیرند، اهمیتی هم‌سطح با نحوه استقرار بمب‌افکن‌ها و عملیات‌ پشتیبانی آن‌ها (در گذشته) دارد.

جنگ سایبر می‌تواند همان "حمله رعدآسا"ی قرن بیستم در قرن بیست و یکم (به عنوان ابتکاری در جنگ) باشد. پایین‌ترین سطح جنگ سایبر، مبین اهمیت گسترش اطلاعات در جنگ است: فرماندهی و کنترل، ارتباطات و آگاهی، می‌تواند در شناسایی، تعیین موقعیت، فهمیدن و اغفال دشمن (قبل از اینکه دشمن این‌کار را انجام دهد) مثمرثمر باشد.

شاید صحنه نبرد در عصر فراصنعتی، تغییرات بنیادینی را در اثر انقلاب فناوری اطلاعات به خود ببیند. افزایش وسعت و عمق میدان نبرد و بهبود مستمر دقت و تخریب‌کنندگی تسلیحات متعارف، اهمیت اطلاعات را به‌جایی رسانده است که، برتری تنها از این ‌بعد می‌تواند معنا داشته باشد و مزایای منسجمی را برای فاتح جنگ داشته باشد.
سلسله مراتب در برابر شبکه‌ها

بر اساس دیدگاه متداول، ارتش نهادی است که نیروهای آن به میدان نبرد می‌روند. معمولاً همه سازمان‌ها از سلسله‌مراتبی بر‌خوردار می‌باشند؛ به خصوص در ارتش، این وابستگی به سلسله‌مراتب بیشتر است. البته، انقلاب اطلاعات باعث نابودی تدریجی سلسله‌مراتب‌ها می‌شود و معمولاً از محدودیت‌هایی که موسسات و سازمان‌ها را احاطه کرده است گذر می‌کند.

مغولها یک نمونه باستانی می‌باشند که مطابق اصول جنگ سایبر، به نبرد پرداختند؛ سازماندهی آنها بیشتر ساختار شبکه‌ای داشت تا اینکه سلسله‌مراتبی باشد؛ در عصر حاضر نیز می‌توان به اتحاد نیروهای ویتنام شمالی و جنوبی که یک قدرت نظامی ضعیف بودند و در مقابل یک قدرت پیشرفته قویتر دفاع کردند، اشاره کرد؛ عملیات‌شان بیشتر شبیه ساختار شبکه‌ای بود تا اینکه یک سازمان باشند. حریفانی که در مقابل مغول‌ها و ویتنامی‌ها دفاع می‌کردند، سازمانهای بزرگتری بودند که نیروهایشان برای مبارزه‌کردن در یک نبرد عظیم و فرسایشی مشخص طراحی شده بودند.

در حال حاضر بیشترین دشمنان پیش روی ایالت متحده و هم‌پیمانانش (از جمله تروریسم بین‌المللی، شورشیان غیرنظامی، قاچاقچیان دارو، انجمن‌های نژادی و گروه‌های قومی و طایفه‌ای) که برخوردهای کم‌شدتی دارند، همگی از ساختاری شبیه شبکه‌ برخوردارند.
جمع‌بندی

سازمان‌هایی که بصورت ساختاری شبیه شبکه‌ هدایت می‌شوند، توانایی ایستادگی در مقابل ساختارهای شبکه‌ای را دارا می‌باشند. آینده از آن کسانی است که بر شبکه‌ها حکمرانی می‌کنند.
(حقوق مادی و معنوی این اثر متعلق به مرکز آینده‌پژوهی علوم و فناوری دفاعی است)

امنیت الکترونیکی را به خانه‌ها می بریم

شنبه, ۷ مرداد ۱۳۸۵، ۰۸:۵۹ ب.ظ | ۰ نظر

سید میثم لطفی- بزرگراه فناوری - اگرچه تا چند سال پیش ادارات و سازمان‌های قدیمی و باسابقه کمتر به سراغ استفاده از کامپیوتر‌ها و دستاوردهای نوین فناوری می‌رفتند و در بیشتر مواقع ترجیح می‌دادند که از ابزارهای سنتی استفاده کنند، امروز فناوری ارتباطات و اطلاعات حرف اول را در بیشتر سازمان‌های کوچک و بزرگ در سراسر جهان می‌زند.

شرکت‌هایی که امروزه به بقا و ماندگاری خود فکر می‌کنند و در تلاشند رقابت بیشتری را با مراکز همسان خود انجام دهند مجبورند آخرین یافته‌های فناورانه را به‌کار بندند و به این وسیله خدمات متنوع‌تر و گرانبهاتری را به‌دست مصرف‌کنندگان برسانند. نشریه eGovMonitor برای آنکه میزان خدمت‌رسانی شرکت‌های مختلف جهانی به مردم با استفاده از فناوری ارتباطات و اطلاعات را بیش از پیش نمایان کند به‌تازگی گفت‌وگویی با کلیر هامون(Claire Hamon) انجام داده است. هامون درحال حاضر مدیریت دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا را برعهده دارد و در این مصاحبه سعی کرده تا نشان دهد که سازمان‌ها چگونه می‌توانند با کنترل فناوری اطلاعات تولیدات و خدمات خود را به بهترین صورت ممکن به‌دست مردم برسانند که در زیر بخش‌هایی از این مصاحبه را مرور می‌کنیم.
به‌عنوان نخستین سوال، می‌توانید توضیح کوتاهی در مورد نقش خود به‌عنوان مدیر دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا بدهید؟
سمتی که من در آن قرار گرفته‌ام طوری طراحی شده که براین اساس باید 100 کارشناس را که در بخش عرضه خدمات فناوری ارتباطات و اطلاعات فعالیت‌ می‌کنند به‌طور مستمر زیرنظر بگیرم و با آن‌ها در ارتباط باشم. نقش من به‌عنوان مسؤول سیستم‌های اطلاعاتی بازرگانی در مرکز فناوری ارتباطات و اطلاعات وابسته به مرکز پیگردهای قانونی دولت مرکزی بریتانیا تعریف شده و بر این اساس مجبورم تمام فعالیت‌هایی را که در حیطه ICT انجام می‌شود، زیر نظر بگیرم. اعضای گروه من وظیفه دارند که به صورت شبانه‌روزی مراکز ارایه خدمات اینترنتی را کنترل کنند و با آن‌ها در تماس باشند و همچنین به کمک‌ ابزارهای فناوری ارتباطات و اطلاعات، با هشت هزار کارمند اداره پیگردهای قانونی بریتانیا که در انگلستان و ولز پراکنده شده‌اند در ارتباط باشند.
علاوه براین، من در بخشی فعالیت می‌کنم که ارتباط سازمانمان را با دنیای بیرون برقرار می‌سازد. این ارتباط نه‌تنها با شرکت‌ها و سازمان‌های خصوصی، بلکه با مراکز دولتی و ملی نیز برقرار می‌شود تا بتوانیم اطلاعات مورد نیاز خود را از همه بخش‌ها به‌دست آوریم. در دولت مرکزی بریتانیا شورایی با نام "شورای پی‌گیری‌های قانونی" تاسیس شده که با شرکت در آن می‌توانیم دریابیم که طرح‌های دولتی و بزرگ برای توسعه فناوری ارتباطات و اطلاعات تا چه اندازه موفق بوده است. ما همچنین در سازمان خود طرحی را عرضه کرده‌ایم که eSkills نام گرفته و بر این اساس ضمن شناسایی نیازهای کاربران و کارمندان، به ما امکان می‌دهد با برگزاری کلاس‌ها و دوره‌های آموزشی مختلف بتوانیم به این نیازها پاسخ دهیم و سطح فناوری ارتباطات و اطلاعات را در تمامی نقاط بریتانیا بالا آوریم.
درحال حاضر دولت دریافته که فناوری ارتباطات و اطلاعات به‌عنوان اصلی‌ترین عامل در انتقال کالا و خدمات به مصرف‌کنندگان محسوب می‌شود. آیا شما می‌توانید توضیحی کوتاه در مورد فعالیت‌های سازمان خود برای رشد صنعت ICT بدهید؟
دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا استراتژی‌هایی را برای خود در نظر گرفته که به کمک آن شبکه تولید، عرضه و خدمات کالاهای مختلف را زیر نظر می‌گیرد و با کمک فناوری ارتباطات و اطلاعات باعث می‌شود تا این کالاها با کیفیتی مناسب و در سطحی گسترده به‌دست همه مردم برسد. باید اعتراف کنیم که فناوری ارتباطات و اطلاعات در سال‌های اخیر موفق شده تاثیری مستقیم و چشمگیر در عرضه خدمات به مشتریان برجای بگذارد. ما برای آنکه بتوانیم موفقیت خود در آینده را تضمین کنیم شش استراتژی مجزا و کامل تبیین کرده‌ایم که شامل توسعه مدیریتی، افزایش استفاده از فناوری برای بالا بردن میزان انعطاف‌پذیری فعالیت‌های مختلف، توسعه و ارتقای قابل ‌ملاحظه بخش‌های اصلی و اساسی سازمان، افزایش کیفیت و در دسترس بودن مدیریت اطلاعات در عرضه خدمات، افزایش توانایی‌های خود برای مدیریت اطلاعات و تبدیل اطلاعات به ابزاری برای استفاده در بخش‌های مختلف زندگی می‌شود. این ابزارها باعث می‌شوند تا ما بتوانیم استفاده‌های بیشتری از مراکز آموزشی سازمان خود برده و کارایی سیستم عدالت جنایی را در این مرکز بالا ببریم تا بازده در مراکز دولتی افزایش یابد. این استراتژی‌ها می‌تواند میزان کارایی و اثربخشی ما را افزایشی قابل‌ ملاحظه دهد.
آیا می‌توانید چند نمونه از پروژه‌های فناوری اطلاعات که در مرکز شما به آن پرداخته شده را برای ما مثال بزنید؟ این پروژه ها تا چه اندازه موفق بوده‌اند؟
یکی از مهم‌ترین پروژه‌های فناورانه‌ای که ما در این مرکز انجام داده‌ایم طرح سیستم مدیریتی COMPASS بوده که از سال 2003 میلادی آغاز شده که سازمان ما توانسته مدیریت پیگردهای جنایی خود را به کمک این طرح انجام دهد و موفقیت‌های فراوانی را نسبت به گذشته به‌‌دست آورد. این طرح عظیم و بزرگ موجب شده تا ما بتوانیم در زمان مناسب اطلاعات مورد نیاز خود را به‌دست آورده و آن‌ها را برای فعالیت‌های خود به‌کار بریم. در این سیستم که CMS نام‌گذاری شده تاکنون بیش از سه میلیون مورد پی‌گیری شده که بیشتر آن‌ها با موفقیت به پایان رسیده است. علاوه بر این، به‌تازگی سیستم WMS نیز که به‌عنوان پشتوانه CMS محسوب می‌شود راه‌اندازی شده که باعث می‌شود احتمال موفقیت‌های ما در زمینه‌های مختلف افزایش یابد.
مرکز ما درحال حاضر به‌قدری توسعه یافته که به‌صورت مستمر به هشت هزار نفر خدمات می‌دهد. درحالی که بخشی از این افراد در سازمان‌های وابسته به ما فعالیت‌ می‌کنند، بخش دیگر در ادارات پلیس و مراکز اطلاع‌رسانی وابسته به آن بهره می‌برند. سیستم CMS اطلاعات تمام سارقان و متخلفان را در خود جای داده تا به هنگام نیاز ماموران امنیتی و پلیس بتوانند از آن‌ها استفاده کنند، با زیر پوشش قرار دادن دادگاه‌ها به آن‌ها کمک می‌کند تا بتوانند در مواقع مختلف بهترین تصمیم را با توجه به اطلاعات به ثبت رسیده اتخاذ کنند. سیستم CMS تاکنون در بیش از 750 مرکز در انگلستان و ولز راه‌اندازی شده و احتمال می‌دهیم که در آینده نزدیک این رقم تا چند برابر افزایش یابد. تجربه ثابت کرده، هر جا این سیستم مورد استفاده قرار گرفته درصد خطا و اشتباه کارمندان ما به میزان زیادی کاهش یافته است.
برای تغییر آسان‌تر و بهتر روش‌های مدیریتی که بتواند نتایج بهتری را در پی داشته باشد چه روش‌هایی را مناسب می‌بینید؟
به‌طور کلی تغییر سیستم‌های مدیریتی از جمله روش‌هایی است که به کمک آن یک سازمان می‌‌تواند بقای خود را تضمین کند. ما براساس این اصل می‌کوشیم سیستم‌های قضایی خود را به‌روز کنیم و از این طریق بتوانیم اطلاعات مورد نیاز را در بهترین زمان ممکن به‌کار بریم. پیشنهادات و انتقاداتی که مردم همواره به ما انتقال می‌دهند از جمله مواردی است که همواره برای ما مفید محسوب شده و توانسته بر روی سیستم‌های الکترونیکی ما تاثیر بگذارد. این تغییرات می‌تواند از تفاوت‌های بزرگ که به تغییر فرهنگ منتهی می‌شود گرفته تا تغییر سیستم‌های کوچک مدیریتی را شامل شود. کارشناسان ما بر پایه نتایج حاصل از مطالعاتی که در این زمینه انجام داده‌اند دریافته‌اند، این تغییرات که برخی از آن‌ها در ظاهر بسیار کوچک به‌نظر می‌رسند اساس رشد و توسعه فناوری ارتباطات و اطلاعات را فراهم می‌آورند. باید توجه داشته باشیم که مبادلات و خدمات امنیتی به برکت فناوری‌های نوین اطلاعاتی امروزه پیشرفته‌تر و کامل‌تر از گذشته شده است، به‌طوری که ادغام بازارهای جهانی به‌وسیله فناوری‌های ارتباطی امکان‌پذیر شده است. امروزه سازمان ملل به‌جای اینکه ارزش یک کشور را از روی توسعه صنعتی آن ارزش‌یابی کند، به ارزش اطلاعاتی آن یا Knowledge Base Economy رجوع می‌کند که چقدر اطلاعات در این جامعه درحال گسترش است و سرعت گسترش آن چه میزان است و یا اینکه چقدر توسعه اطلاعات، سالم و دقیق است و این امر باعث می‌شود که دامنه اقتصاد جهانی توسعه پیدا کند.
شما فکر می‌کنید که ظرف چند سال آینده چه تغییرات اساسی در این زمینه ایجاد می‌شود و استراتژی‌های شما برای موفقیت‌ هرچه بیشتر این تغییرات چیست؟
ابتکار و خلاقیت ابزاری است که همواره توانسته به توسعه فناوری ارتباطات و اطلاعات کمک کند. ما همواره با این توسعه‌ها و پیشرفت‌ها مواجه هستیم و برای آنکه بتوانیم سیستم‌های قضایی، امنیت، عدالت و ... را همواره به‌روز نگه‌داریم مجبوریم از این فناوری‌ها استفاده کنیم. این پیشرفت‌ها موجب شده تا در ابزارهای قابل حمل ما که برای ماموران امنیتی مورد استفاده قرار می‌گیرد تغییرات فراوانی حاصل شود. یکی از راه‌های اصلی پیشرفت در زمینه قضایی و امنیتی خدمت در یک یا چند پست سخت و دشوار است. این چنین پست‌هایی، پست‌های خطرناک و ضروری در مناطقی است که اغلب حکومت‌های ضعیف دارند و تلاش می‌کنند امنیت به‌وجود آورند، توسعه یابند و هرچه بیشتر امنیت الکترونیکی ایجاد کنند. اکنون تحت حکم جدید امنیت ملی، قدرت و اختیارات وسیعی به‌دست آمده است. به‌تازگی قانونی به مرحله اجرا درآمده که طی آن تا مبلغ زیادی از بودجه وزارت دفاع به مناطقی که درگیری در آن‌ها به پایان رسیده، منتقل می‌شود. مشاوران امنیتی برای نیروهای ارتش که به‌عنوان مشاوران سیاسی و دیپلماتیک برای فرماندهان ارتش عمل می‌کنند، به همراه آن‌ها اعزام شده و تجربیات منطقه‌ای و دیپلماتیک خود را در اختیار آن‌ها قرار می‌‌دهند.
به‌عنوان سؤال آخر، شما برای آن دسته از افراد و مراکزی که می‌خواهند فعالیتی مشابه را انجام دهند چه پیشنهادی دارید؟
در سال 2005 حداقل 130 گزارش مبنی بر سرقت اطلاعات شخصی کاربران اینترنتی از کشور آمریکا به‌دست شرکت‌های امنیتی رسیده است. در این سال تقریبا 55 میلیون آمریکایی مورد هدف سارقان کارت‌های شناسایی و اطلاعات سری قرار گرفته‌اند. در سال 2004 اداره آمار اینترنتی اعلام کرد: میزان جرایم سایبر به 105 میلیارد دلار رسیده بود. علاوه بر این، در سال 2005 نیز اطلاعات شخصی تقریبا 206 هزار نفر از کارمندان شرکت‌ها و مشتریان آن‌ها به سرقت رفته است. مسؤولان کشور آمریکا با بررسی آمار حملات اینترنتی و افزایش روزافزون سرقت اطلاعات شخصی کاربران، قصد دارند فعالیت‌های خود را در زمینه مقابله با جرایم اینترنتی دوچندان کنند و برای این منظور باید مبلغ بیشتری را در این بخش هزینه کنند. در این میان کاخ سفید هم اعلام کرده که فناوری ردیابی اینترنتی‌ خود در راستای قوانین فدرال است چرا که تنها شمارش تعداد بازدیدکنندگان ناشناس را انجام می‌دهد و از ثبت اطلاعات شخصی امتناع می‌ورزد. سایت کاخ سفید با استفاده از یک فناوری جاسوسی اینترنت، تصویر گرافیکی کوچکی که به‌طور مجازی غیرقابل مشاهده است به‌طور پنهانی تعداد و زمان بازدیدها را ثبت و ردیابی می‌کند.
باید توجه داشت که از میان برداشتن شکاف دیجیتالی و اطمینان از دسترسی عمومی به اینترنت یکی از مهم‌ترین وابتدایی‌ترین اقدامات در جهت تحقق امنیت الکترونیکی و دولت الکترونیکی محسوب می‌شود.
به‌طور کلی در تئوری‌های سازمانی فرایند هدایت را اخذ اطلاعات عملکردی سازمان، تحلیل و مقایسه این اطلاعات با رسالت‌های سازمان و تفکرات نوین سازمانی به‌منظور ارایه راهکارهای اجرایی و کاربردی در جهت رشد و تعالی سازمان باید دانست. از سوی دیگر فلسفه وجودی تکنیک‌ها و الگوریتم‌های کارآمد فعالیت در زمینه هوش مصنوعی، چیزی جز تحلیل انبوهی از اطلاعات انباره‌های داده در جهت کشف روابط مخفی دانش در اطلاعات موجود به‌منظور تسریع عملیات تصمیم‌سازی و تصمیم‌گیری نیست. از این‌رو ابزار داده‌کاوی به‌منظور تحلیل اطلاعات پراکنده و حجیم سازمان و تبدیل اطلاعات مذکور به دانش مفید مدیریتی و هدایتی ضرورتی انکارناپذیر بوده که فقط به کمک صنعت ICT می‌توان به نتیجه مطلوب رسید.
دولت‌هایی نظیر انگلستان پنج میلیون پوند در سال کلاه‌برداری اینترنتی دارند، اما با این‌حال از این نوع شبکه‌ها، به اسم ملی و به بهانه امنیت راه‌اندازی نکرده‌اند. دولت الکترونیکی که زیر نظر امنیت الکترونیکی اداره می‌شود اشاره به استفاده نمایندگان دولت از فناوری اطلاعات که قادر است روابط با شهروندان، تجار و دیگر بازوهای دولت را گسترش و ارتقا دهد، است. دولت الکترونیکی نسبت به تعامل فعال دولت با شهروندان یا دولت با شرکت‌های تجاری بیشتر بر انتشار اطلاعات از طریق اینترنت متمرکز شده است. بی‌شک پیش‌بینی الکترونیکی یک فرآیند کلیدی در مدیریت اجرایی است و اساس آن بر فراوانی داده‌هایی بوده که قبلا حاصل شده است. بنابراین، سیستم‌های پیش‌بینی بیش از هر چیز برای یک دولت کارا ضروری است. بخش‌هایی مانند مدیریت خدمات درمانی، بازار دارایی‌های غیرمنقول و بازارهای تجاری و مالی بیشترین نیاز را به پیش‌بینی‌های نزدیک به واقعیت دارند. در قرن بیست و یکم پیش‌بینی الکترونیکی جایگزین پیش‌بینی‌های سنتی شده است و در واقع به یک قسمت لازم‌الاجرا و غیرقابل انکار در دولت الکترونیکی تبدیل شده است که به سرعت دنیای کامپیوتر را تغییر می‌دهد. این تحقیق برآوردی از کتابنامه‌های موجود و برنامه‌های سیستم‌های پیش‌بینی‌کننده در قالب دولت الکترونیکی است که عناصر ساختار اصلی سیستم پیش‌بینی‌کننده در دولت الکترونیکی را ارایه می‌دهد.

نخستین آمار از جرایم رایانه‌ای ایران

شنبه, ۱۷ تیر ۱۳۸۵، ۱۰:۴۸ ب.ظ | ۲ نظر

هم‌زمان با ورود به هزاره دوم، انسان همچنان شاهد جرم و جنایت‌های بی‌شماری است که اگرچه از نظر ماهوی دچار تغییر نشده است اما از نظر استفاده از ابزارها، تغییرات شگرفی را به‌خود دیده است. انسان امروزی همچنان دزدی می‌کند، آدم می‌کشد و به مال و حریم دیگران تجاوز می‌کند. شاید دیروز یک داس یا یک چوب و یا یک خنجر، ابزار تجاوز و یا دزدی و باج‌خواهی از اموال دیگران بود، اما امروز با فشار دادن یک کلید و وارد کردن چند عدد، می‌شود به حریم دیگران تجاوز و یا به مال او دست‌اندازی کرد. حوزه جرایم در زندگی امروز بشر آن قدر پیچیده شده است که قانون‌گذاران مجبورند تحولات جرم را به‌صورت مداوم زیر نظر داشته باشند. این معضل با سرعت ملایم‌تری در ایران رو به گسترش است و به قانون‌گذار و پلیس کشور اجازه می‌دهد که هم‌زمان با گسترش فرهنگ اینترنت در کشور، راهکارهای مقابله با جرایم قابل ارتکاب در این حوزه را تدوین کند. در نیروی انتظامی جمهوری اسلامی ایران و پس از اصلاح ساختار معاونت کشف جرایم، اداره کل مبارزه با جرایم خاص و رایانه‌ای از سال 1381 آغاز به‌کار کرده است. این اداره ماموریت طراحی و برنامه‌ریزی، هماهنگی و هدایت امور مربوط به کشف جرایم در زمینه مبارزه با جعل، کلاهبرداری، اختلاس و جرایم رایانه‌ای را برعهده دارد. در گفت‌وگوی زیر که با سرهنگ مهرداد امیدی مدیرکل مبارزه با جرایم خاص و رایانه‌ای ناجا، انجام شده است، موضوع کشف جرم در فضای اینترنت و رایانه مورد بحث و بررسی قرار گرفته است.

به‌طور طبیعی، نخستین پرسش باید در مورد تعریف جرایم اینترنتی باشد. به‌عنوان مدیرکل مبارزه با جرایم خاص و رایانه‌ای نیروی انتظامی چه تعریفی از جرم رایانه‌ای دارید؟
در مورد جرم رایانه‌ای تعریف‌های زیادی ارایه شده است. از نظر سازمان ملل متحد جرم رایانه‌ای می‌تواند شامل فعالیت‌های مجرمانه‌ای باشد که ماهیتی سنتی دارند اما از طریق ابزارهای مدرنی مثل رایانه و اینترنت صورت می‌پذیرند. از طرف دیگر متخصصان سازمان OECD معتقدند سوءاستفاده از رایانه، هر نوع رفتار غیرقانونی، غیراخلاقی و غیرمجاز مربوط به پردازش خودکار و انتقال داده‌ها جرم اینترنتی محسوب می‌شود. در هر صورت ماهیت جرم تفاوتی ندارد و این ابزار است که وقوع جرم را در بستری جدید فراهم می‌کند. در مورد تعریف جرم رایانه‌ای در ایران اختلاف نظر وجود دارد و کارشناسان قضایی و انتظامی تعریف‌های گوناگونی در مورد آن ارایه داده‌اند. اما در مجموع فضای قضایی و انتظامی کشور به آن سمت پیش می‌رود که یک تعریف یکسان در مورد جرم رایانه‌ای و مجازات‌های برخورد با آن ارایه شود.
اما پیش از آنکه بخواهیم در مورد جرایم رایانه‌ای بحث کنیم، باید وارد حوزه "جرایم سایبر" شویم. جرایم در فضای سایبر یا فضای سایبری به‌واسطه تغییرات سریع فناوری اطلاعات در قلمرو سیستم‌های رایانه‌ای و مخابرات امکان وقوع می‌یابند. در این‌گونه جرم‌ها، تاکید بر رایانه نیست بلکه رایانه وسیله‌ای است که ابزار وقوع جرم قرار می‌گیرد.
نسل سوم جرایم رایانه‌ای؟
بله، به آن نسل سوم جرایم رایانه‌ای می‌گویند.
در مجموع چند نوع جرم در حوزه رایانه و اینترنت تعریف شده است؟
مطابق تعریف سازمان ملل متحد از جرم رایانه‌ای، کلاهبرداری رایانه‌ای، جعل، ایجاد خسارت یا تغییر داده‌ها، دست‌یابی غیرمجاز به سیستم‌ها و خدمات رایانه‌ای و تکثیر غیرمجاز برنامه‌های رایانه‌ای جزء جرایم شناخته شده در حوزه رایانه محسوب می‌شوند.
جناب سرهنگ درحال حاضر وضعیت ایران از نظر وقوع جرایم رایانه‌ای چگونه است؟
با تکیه بر اینکه در کشور ما هنوز آیین‌نامه‌ای برای مبارزه با جرایم اینترنتی و رایانه‌ای تدوین نشده است، باید بگویم که میزان کشفیات جرایم رایانه‌ای در سال گذشته، معادل 50 درصد پرونده‌های ورودی بوده است یعنی از کل پرونده‌هایی که در زمینه جرایم رایانه‌ای به ثبت رسید، 50 درصد منجر به کشف جرم شد و پیش‌بینی من این است که این روند باز هم بهبود پیدا کند. در همین زمینه باید بگویم که در طول زمان مشخصی از فصل بهار، میزان کشف جعل با5/73 درصد و کشف کلاهبرداری با 78 درصد رشد مواجه شد. بنابراین پیش‌بینی ناجا این است که هم‌زمان با تدوین قوانین و آیین‌نامه‌های مربوط به جرایم رایانه‌ای و اینترنتی، رقم کشف جرم در مجموع با افزایش قابل ملاحظه‌ای همراه شود.
با وجود خلاء قانونی، نحوه برخورد ناجا با مجرمان رایانه‌ای چگونه است؟
نیروی انتظامی، با آن دسته از جرایم رایانه‌ای که منجر به خسارت شود و با قوانین موجود نیز تطابق داشته باشد، به‌طور قطع برخورد جدی خواهد کرد. مسایلی مثل ایجاد مزاحمت و هتک‌حرمت از آن دسته موضوعاتی هستند که ناجا نسبت به آن حساس است. اما جرایم دیگری مثل نفوذ غیرمجاز در اینترنت که بحث تازه‌ای است، با این عنوان که در جریان وقوع جرم، خسارت وارد آمده است، در دسته جرایم مربوط به ایجاد خسارت و تخریب و یا مصادیقی از این دست قرار می‌گیرد و ناجا با این جرایم با تمام توان مقابله خواهد کرد. اما مصادیق دیگری از جرایم رایانه‌ای وجود دارد که ناجا برای برخورد با آن، نیاز به قوانین جدید دارد.
ناجا، برای پر کردن خلاء قانون چه کرده است؟
لایحه‌ای تدوین کرده‌ایم با عنوان "آیین‌نامه رسیدگی به جرایم اینترنتی"، قرار است این لایحه به مجلس ارایه شود. در این آیین‌نامه به‌طور جامعی، روی جرایم اینترنتی و رایانه‌ای کار کرده‌ایم و تصویب آن به‌طور قطع بر کشف جرم در این حوزه تاثیر زیادی خواهد گذاشت.
جناب سرهنگ، سهم جرایم رایانه‌ای از کل جرایم کشور، چه‌قدر است؟
خیلی ناچیز است، به‌طور مثال سال گذشته، 53 پرونده با شکایت بخش خصوصی در حوزه جرایم رایانه‌ای تشکیل شد که 22 مورد آن به سوءاستفاده از کارت‌های اعتباری مربوط بود. در همین مدت همکاران ما، 11 پرونده در مورد کلاهبرداری اینترنتی تشکیل داده‌اند. هفت پرونده هم در مورد ایجاد مزاحمت اینترنتی تشکیل شد و سه پرونده هم در مورد رعایت نشدن حقوق کپی‌رایت بوده است. البته دو مورد انتشار اکاذیب در اینترنت داشته‌ایم و پنج مورد نیز شامل موارد متفرقه بوده است.
در مورد کارت‌های اعتباری چه نوع جرایمی می‌توان متصور شد؟
تعریف جرم کارت‌های اعتباری خیلی پیچیده نیست. هرگاه شخصی بدون اینکه دارنده کارت اعتباری اطلاع داشته باشد، از اعتبار کارت او استفاده کند، جرم صورت گرفته است. تعریف مشخصی که از این‌گونه جرایم وجود دارد، به ما می‌گوید که چنانچه شخصی اقدام به اخذ اموال یا خدماتی کند، با اطلاع از اینکه کارت قلابی یا دزدیده شده است و یا کارت باطل شده است و یا به‌ هر دلیلی که استفاده آن شخص از کارت اعتباری شخص دیگری، غیرمجاز باشد جرم صورت می‌گیرد.
درحال حاضر قانون خاصی برای مقابله با این جرایم وجود دارد؟
به‌طور واقعی اگر بخواهیم قضاوت کنیم، در این زمینه با خلاء قانون مواجه هستیم اما بخشی از قوانین، در قانون مربوط به تجارت الکترونیکی پیش‌بینی نشده است. همان‌طور که اشاره کردم، بخش عمده‌ای از کمبود قوانین مبارزه با این‌گونه جرایم، در قالب آیین‌نامه‌ای که قرار است به مجلس ارایه شود، پیش‌بینی شده است.
در مورد تجارت ‌الکترونیکی و قوانین مربوط به جرایم این حوزه، چه اقداماتی توسط ناجا صورت گرفته است؟
در قانون تجارت‌ الکترونیکی، مواردی وجود دارد که به‌طور قطع فصل‌الخطاب ناجا قرار خواهد گرفت. بحث این است که در قانون تجارت ‌الکترونیکی در مورد مسایلی همچون امضای الکترونیکی قرار است مراکزی راه‌اندازی شود که وزارت بازرگانی در تلاش برای راه‌اندازی این مراکز است. در کنار این موضوع، توجه به بانکداری الکترونیکی هم در دستور کار بانک مرکزی و نهادهای اقتصادی قرار دارد. از دید نیروی انتظامی، حرکت به سمت بانکداری الکترونیکی می‌تواند به‌میزان قابل ملاحظه‌ای از حجم جرایم مالی کم کند.
درحال حاضر تلاش نیروی انتظامی این است که هم‌زمان با حرکت بازار مالی به‌سمت بانکداری الکترونیکی، مقدمات مبارزه با جرایم قابل ارتکاب در این حوزه را فراهم کند. به‌طور قطع مبارزه با جعل رایانه‌ای که در حوزه امضای الکترونیکی وجود دارد، در دستور کار نیروی انتظامی قرار دارد و به‌زودی راه‌های مبارزه با آن تدوین خواهد شد.
در مورد امضای الکترونیکی و راه‌های مبارزه با جعل آن در نیروی انتظامی چه اقداماتی صورت گرفته است؟
امضای الکترونیکی، پدیده جدید و تازه‌ای است که پیچیدگی‌های خاص خود را دارد. با این تعریف که داده‌های الکترونیکی که به یک پیام ‌الکترونیکی الصاق می‌شود و از طریق آن امکان شناسایی امضا‌کننده پیام و تایید او وجود دارد، می‌توان به دو کارکرد مهم و عمده اشاره کرد. شناسایی امضا، موضوع مهمی است که باید به آن توجه داشت و دیگر اینکه امضای الکترونیکی به‌صورت عنصر معنوی سند الکترونیکی باید مورد توجه قرار گیرد. در همین زمینه، در قانون تجارت الکترونیکی ایران، هر نوع علامت منضم شده یا به نحوی متصل شده به داده پیام که برای شناسایی امضاکننده داده پیام مورد استفاده قرار گیرد، امضای الکترونیکی نام دارد.
با توجه به این تعریف، دو نوع امضای الکترونیکی ارایه شده است. اول امضای مبتنی بر رمزنگاری و دیگری امضای غیرمبتنی بر رمزنگاری، با تکیه بر همین تکنیک‌ها، قابلیت شناسایی امضای الکترونیکی وجود دارد و نیروی انتظامی در همین راستا به تدوین راهکارهای مبارزه با جرایم قابل ارتکاب اقدام کرده است.
فکر می‌کنید حرکت به سمت الکترونیکی شدن تجارت در ایران، چه تاثیری بر کاهش میزان جرایم اقتصادی در کشور داشته باشد؟
به اعتقاد من تاثیر بسیار زیادی در کاهش جرایم اقتصادی خواهد داشت. البته من معتقدم حرکت به سمت بانکداری الکترونیکی از تجارت الکترونیکی مهم‌تر است و در کاهش میزان جرایم اقتصادی تاثیر بیشتری دارد. داشتن سیستم جامع بانکداری الکترونیکی می‌تواند در کاهش میزان پول‌شویی و ورود پول‌های کثیف به اقتصاد کشور تاثیرگذار باشد. گذشته از آن بانکداری الکترونیکی می‌تواند میزان فرارهای مالیاتی، جعل اسناد بانکی و سرقت پول را به حداقل برساند. بنابراین فکر می‌کنم اگر زودتر از تجارت الکترونیکی، به فکر بانکداری الکترونیکی باشیم، نتیجه بهتری خواهیم گرفت.
در مورد نفوذ به شبکه و به اصطلاح هک‌ کردن سیستم چه توضیحی دارید؟ آیا هک کردن در ایران جرم است؟
هر گونه حمله به سیستم‌های رایانه‌ای که با هدف محروم کردن افراد از دسترسی صحیح و مستمر به سیستم‌های رایانه‌ای صورت گیرد، جرم محسوب می‌شود. درحال حاضر نیروی انتظامی و قوه قضاییه با توجه به اینکه برخی حمله‌ها به ایجاد خسارت و یا ایجاد مزاحمت منجر می‌شود، می‌تواند با شکایت افراد موضوع را پی‌گیری کند. نیروی انتظامی به‌طور قطع برنامه‌های گسترده‌ای برای مبارزه با این‌گونه جرایم دارد که بخشی از آن در آیین‌نامه رسیدگی به جرایم رایانه‌ای پیش‌بینی شده است.
آیا در مورد هک‌ کردن دیدگاه واحدی وجود دارد؟
این موضوع در میان متخصصان حقوقی و فنی تعریف مشخصی ندارد.
برخی کارشناسان معتقدند هر نوع حمله به سیستم‌های ایمن، در قالب تعریف هک ‌کردن می‌گنجد و برخی دیگر معتقدند نفوذیابی یا نفوذگری بهترین تعریف برای هک‌ کردن است.
همین چالش‌ها در ایران نیز وجود دارد.
به‌عنوان آخرین سوال بگویید که نحوه همکاری پلیس ایران با پلیس بین‌الملل برای کشف جرایم رایانه‌ای چگونه است؟
درحال حاضر سامانه ارتباط جهانی اینترپل به‌عنوان پل ‌ارتباطی پلیس کشورها نقش عمده‌ای در داد‌وستد اطلاعات پلیسی دارد. این سامانه در مدت فعالیت خود توانسته است نقش عمده‌ای در افزایش همکاری میان پلیس کشورها داشته باشد. در حقیقت استفاده از اینترنت و رایانه باعث شده است که پلیس‌ها در همه جای دنیا با سرعت زیاد به اطلاعات مربوط به جنایتکاران، سوابق و به‌طور کل اطلاعات مورد نیاز خود دسترسی پیدا کنند.
نحوه همکاری پلیس ایران با پلیس بین‌المللی هم بر مبنای برخورد با جرایم و کمک به شناسایی جرم و جنایت در دنیا تنظیم شده است.
اما در شرایط کنونی و با توجه به افزایش جرایم اینترنتی در کشورهای اطراف ایران، نیروی انتظامی در صدد گسترش همکاری با پلیس بین‌الملل است و در این راستا قصد دارد برنامه‌ریزی جامعی برای بالا بردن سطح کارایی پلیس ایران برای پیشگیری و مقابله با جرایم رایانه‌ای داشته باشد.
در مجموع این وعده را می‌دهم که با توجه به تلاش گسترده همکاران ما و تاکید فرماندهی ناجا، به‌زودی شاهد تجهیز و برنامه‌ریزی گسترده نیروی انتظامی برای مقابله با جرایم رایانه‌ای باشید.

امنیت در اینترنت و شبکه هاى ارتباطى

سه شنبه, ۱۲ ارديبهشت ۱۳۸۵، ۱۱:۱۴ ق.ظ | ۰ نظر

در حالى که بسیارى فناورى اطلاعات و ارتباطات را باعث تسهیل در امر انتقال اطلاعات مى دانند موضوع امنیت در تبادل اطلاعات همواره به عنوان یکى از اصول غافل مانده به شکل یک معضل پنهان باقى مى ماند.امنیت اطلاعات براى بخش مهمى از فعالان بخش فناورى اطلاعات تنها زمانى به عنوان یک موضوع حاد مطرح مى شود که مشکلى در سیستم به وجود آید. در اغلب مواقع این مشکلات باعث ضربه اى سنگین بر سیستم و یا به اطلاعات موجود در آن مى شود که در واقع مى توان گفت رویکرد دیرهنگامى است. اینترنت همواره از جهت هاى گوناگون مورد نقد و ارزیابى قرار مى گیرد اما واقعیت این است که این شبکه عظیم مانند هر اجتماع عادى انسانى دیگر در معرض تهدیدها و خطرات قرار دارد. از نفوذ داده هاى مخرب گرفته تا تخریب داده هاى سالم و برهم زدن نظم شبکه همه و همه تنها به یک مورد بستگى دارد و آن بحث امنیت اطلاعات در محیط اینترنت است. امروزه امنیت اطلاعات در زمینه اینترنت از یک بحث حاشیه اى به یک بحث ضرورى تغییر جهت داده است. هرگونه خرید و فروش روى اینترنت و یا انتقال داده ها باید تحت یک کنترل امنیتى صورت گیرد. اگر امنیت شبکه برقرار نگردد، مزیت هاى فراوان آن نیز به خوبى حاصل نخواهد شد و پول و تجارت الکترونیک، خدمات به کاربران خاص، اطلاعات شخصى، اطلاعاتى عمومى و نشریات الکترونیک همه و همه در معرض دستکارى و سوءاستفاده هاى مادى و معنوى قرار مى گیرند. همچنین دستکارى اطلاعات- به عنوان زیربناى فکرى ملت ها - توسط گروه هاى سازماندهى شده بین المللى، به نوعى مختل ساختن امنیت ملى و تهاجم علیه دولت ها و تهدیدى ملى محسوب مى شود.در ایران که بسیارى از نرم افزارهاى پایه از قبیل سیستم عامل و نرم افزارهاى کاربردى و اینترنتى، از طریق واسطه ها و شرکت هاى خارجى تهیه مى شود، بیم نفوذ از طریق راه هاى مخفى وجود دارد. هم اکنون نیز بانک ها و بسیارى از نهادها و دستگاه هاى دیگر از طریق شبکه به فعالیت مى پردازند، به همین دلیل جلوگیرى از نفوذ عوامل مخرب در شبکه به صورت مسئله اى استراتژیک درآمده که نپرداختن به آن باعث ایراد خساراتى خواهد شد. تجربیاتى نیز در همین زمینه وجود دارد که این موضوع را کاملاً ثابت کرده است.

•هویت مجازى

به رغم معرفى سرویس هاى متعدد روى شبکه، تاکنون مهمترین سرویس از میان سرویس هاى گوناگون اینترنت، سیستم پست الکترونیکى بوده است . بسیارى از کاربران اینترنت از این بخش بیشتر از سایر امکانات فراهم آمده توسط این شبکه جهانى استفاده مى کنند. امروزه، اقتصاد جهانى به پست الکترونیکى متکى شده است، بسیارى از پیام هاى رد و بدل شده بین کاربران حاوى یادداشت هاى شخصى است. گرچه اغلب پیام ها از متن ساده تشکیل شده اند اما امکان پست الکترونیکى تمام انواع داده ها، مثل تصاویر، برنامه هاى کامپیوترى، سندهاى صفحه گسترده و... نیز وجود دارد. با توجه به این سرویس، اینترنت اجازه مى دهد که افرادى که دور از هم هستند با یکدیگر در تعامل و کار باشند و در واقع، فردى با فرد دیگرى که هزاران کیلومتر از او دور است و هیچ وقت او را ندیده است، مى تواند ارتباط داشته باشد. پست الکترونیکى امروزه در تجارت و بانکدارى الکترونیکى هم کاربرد فراوانى دارد و بسیارى از تعیین هویت هاى مجازى امروزه توسط پست الکترونیک صورت مى گیرد. در همین رابطه براى استفاده امن از پست الکترونیکى تذکراتى وجود دارد. درک تفاوت هاى پست الکترونیکى با پست عادى و یا گفت وگوى تلفنى کمى دشوار است ولى به کار بستن برخى نکات ساده مى تواند در بالا بردن امنیت هنگام به کارگیرى این سرویس مؤثر باشد از جمله این موارد مى توان از موارد زیر را نام برد:بایستى همواره تصور شود که هیچ گونه اختفایى وجود ندارد. پیام هایى که به دلایلى نباید همه ببینند نباید از این طریق ارسال شود، بنابراین از ارسال نامه هاى بسیار خصوصى، سخنرانى هاى تند، بى احترامى هاى منظوردار و... باید احتراز شود. نباید فرض شود که پیام هاى حذف شده قابل بازیابى نیستند. چنانچه پیامى روز سه شنبه حذف شود، احتمالاً در نسخه هاى پشتیبان که شب یا روز قبل تهیه شده است موجود است، در سیستم پستى ابزار مشابه کاغذ خردکن وجود ندارد. در متن هاى ارسالى باید محتاط بود. این طبیعت پست الکترونیکى است که مردم پیام هاى دریافتى خود را بیشتر از پیام هاى ارسالى جدى مى گیرند. ضمن اینکه ارسال یادداشت سریع به هر جایى از جهان بسیار ساده است .

• ضرورت حفاظت

براى افزایش امنیت تبادل اطلاعات از تکنیک هاى متعددى استفاده مى شود که یکى از آنها رمزنگارى است. رمزنگارى از دیر باز به عنوان یک ضرورت براى حفاظت از اطلاعات خصوصى در مقابل دسترسى هاى غیرمجاز در تجارت و سیاست و مسائل نظامى وجود داشته است. به طور مثال تلاش براى ارسال یک پیام سرى بین دو هم پیمان به گونه اى که حتى اگر توسط دشمن دریافت شود قابل درک نباشد، در رم قدیم نیز دیده شده است. در سالیان اخیر رمزنگارى و تحلیل رمز از یک هنر پا را فراتر گذاشته و یک علم مستقل شده است و در واقع به عنوان یک وسیله عملى براى ارسال اطلاعات محرمانه رویکانال هاى غیرامن همانند تلفن، ماکروویو و ماهواره ها شناخته مى شود. پیشرفت علم رمزنگارى موجب به وجود آمدن روش هاى تحلیل مختلفى شده است به گونه اى که به طور متناوب سیستم هاى رمز مختلف شکسته شده اند. معروف ترین نمونه این نوع سیستم ها ماشین «انیگما » بوده است. انیگما ماشین رمزگذار و کدگذار و کدکننده اى بوده است که حزب نازى در زمان جنگ جهانى دوم براى ارسال پیام هایشان از طریق رادیو به سایر نقاط استفاده مى کردند.رمزنگارى که به طور عمده به دو بخش رمزنگارى متقارن یا رمزنگارى با کلید خصوصى و رمزنگارى نامتقارن یا رمزنگارى با کلید عمومى صورت مى گیرد، تلاش مى کند براى ایجاد یک ارتباط سریاز طریق سیستم هاى مخابراتى و شبکه هاى کامپیوترى مباحث مربوط به محرمانگى و احراز هویت را تحت فرض هاى مشخص به درستى اثبات کند.نرم افزارها از جمله مهمترین اصول ارتقا و یا کاهش سطح امنیت در یک شبکه به حساب مى آیند بر این اساس باید براى نظارت فنى در آنها قوانین و اجبارهایى را در نظر گرفت و باید به منظور پشتیبانى از سیستم کنترل دستیابى ابزارهاى لازم را در اختیار داشت . سیستم هاى نرم افزارى بایستى داراى کنترل هاى داخلى براى شناسایى کاربران، نمایش استفاده هاى غیرمجاز و محدود نمودن حدود اختیار کاربران باشند. چنانچه فردى چند بار سعى کند به سیستم وارد شود و رمز نادرستى را وارد کند بایستى سیستم به طور خودکار غیرفعال و در موارد پیچیده تر برنامه ها به منظور عدم دستیابى به اطلاعات به صورت خود مخرب طراحى شوند. چنانچه از سیستمى در یک مدت زمان مشخص و تعیین شده استفاده نشود، پایانه ها یا رایانه هاى مربوطه باید از حالت فعال خارج شده و سیستم، براى استفاده مجدد نیاز به واردشدن مجدد و دادن رمز ورود داشته باشد. رمزنگارى روش مناسبى براى حفاظت داده هاى مهم از دید همگان است. گنجانیدن دستورات کنترلى داخلى مى تواند کمک موثرى در اعمال رویه هاى شناسایى، دسترسى، استفاده و انتقال داده ها به حساب آید و رد و اثر عملیات انجام شده را در اختیار مسئولان بگذارد. اعمال برخى روتین هاى ویرایشى از بروز اشتباهات و خرابى داده ها تا حد بسیارى جلوگیرى مى کند و در مواقعى، گرفتن گزارش هایى که نشانگر داده هایى است که خارج از محدوده معمول هستند، مى تواند کمک بسیارى در یافتن خطاها یا افراد باشد که قصد خرابکارى یا اعمال خلاف را دارند، این گونه کنترل ها میزان اطمینان به داده ها و اطلاعات جمع آورى شده را نیز بالا مى برد. تدوین برنامه هاى لازم براى تهیه نسخه هاى پشتیبانى از داده ها بسیار ضرورى است . تعیین برنامه زمانبندى براى اجراى این برنامه ها نیز از اهمیت بالایى برخوردار است. کنترل کیفیت نرم افزار مى تواند از بسیارى از خطاهاى نرم افزارى که موجب فقدان داده یا خرابى آنها مى شود، جلوگیرى کند.

گنجانیدن پیام هاى خطاى مناسب جهت ردیابى اشکالات نرم افزارى سبب تسریع در امر اشکال یابى و رفع اشکالات احتمالى مى شود. نرم افزارها در مقابل ویروس هاى رایانه اى و برنامه هاى مخرب بایستى محافظت شوند.

روزانه راهکارهاى مختلف امنیتى در سطوح مختلف براى کاربرى و استفاده از اینترنت براى انتقال داده ها ارائه مى شود با وجود این همواره شاهد بروز ضعف ها و نقاط آسیب پذیر متعددى در سایت ها و بانک هاى اطلاعاتى هستیم. در واقع به نظر مى رسد در هر دو سطح کاربرى و استفاده هاى حرفه اى از این شبکه دچار مشکلات فراوان امنیتى هستیم. یکى از مهمترین راهکارهایى که در این زمینه همواره گوشزد مى شود استقرار نظام جامعى براى افزایش سطح امنیت چه در سطوح کاربرى و چه در سطوح تجارى و دولتى است.

در سطوح کاربرى استفاده از نرم افزارهاى دیوار آتش یا فایروال و همچنین آشنا کردن کاربران با خطرات کاهش امنیت اینترنتى از جمله راهکارها است. یک سیستم ناامن باعث سرقت هویت و اطلاعات مهم افراد از روى کامپیوترها مى شود و این سیستم ناامن اگر در یک شرکت و یا سازمان وجود داشته باشد مى تواند امنیت اطلاعات هزاران نفر را با خطر مواجه کند. در سطح کلان استفاده از طرح هاى ارتقاى امنیت شامل خریدارى و نصب سیستم هاى پیشرفته کنترل امنیت، تبادل اطلاعات و همچنین بهره گیرى از مشاوره هاى امنیتى یک امر ناگزیر است. فقدان استاندارد امنیتى براى شبکه هاى رایانه اى یکى از مهمترین دلایل نفوذ به این سیستم و حذف اطلاعات ضرورى است. این موضوع به خصوص در سال هاى گذشته در بخش هاى خصوصى و دولتى ما به شکل گسترده اى دیده شده است. به عنوان مثال کاربران ایرانى بارها با خبر حمله و دستکارى گسترده به ده ها و صدها سایت دولتى و خصوصى ایران به طور یک جا روبه رو شده اند. در واقع نگهدارى یک جاى هزاران سایت دولتى و خصوصى روى یک سرور امنیت آنان را به گونه اى به خطر انداخته که با یک حمله اینترنتى عملاً همه این سایت ها در معرض خطر قرار مى گیرد. عدم استفاده از نرم افزارهاى به روز شده امنیتى نیز مشکل دیگر امنیتى در دو عرصه کاربرى عادى و کلان اینترنت در ایران است. کاربران ایرانى عادت به خرید یک نرم افزار ۴۰۰ دلارى ضد ویروس و یا فایروال ندارند و عموماً آن را با هزار تومان از بازارهاى نرم افزار تهیه مى کنند. به همین دلیل در بسیارى اوقات این نرم افزارها به جاى آنکه به افزایش امنیت سیستم کمکى کنند باعث بروز مشکلات متعدد امنیتى و فنى دیگر در سیستم مى شوند. با وجود آنکه مشکلاتى از این دست امنیت اطلاعات در کشور ما را به شکل قابل ملاحظه اى کاهش داده اما معضل امنیت صرفاً مربوط به کشور ما نیست. چند سال قبل در حمله اى به چندین سرور اصلى اینترنت عملاً ترافیک اینترنت به شکل بسیار زیادى افزایش پیدا کرد و حتى احتمال قطع اینترنت نیز پیش آمد. این در حالى است که کشور آمریکا و بسیارى از کشورهاى دیگر سالانه میلیاردها دلار براى ارتقاى امنیت سیستم هاى کامپیوترى هزینه مى کنند اما به هر حال این جنگ ادامه دارد.
منبع : شرق

نقدی بر قانون مجازات جرایم رایانه‌ای

سه شنبه, ۲۳ اسفند ۱۳۸۴، ۰۴:۳۴ ب.ظ | ۰ نظر

کمیته مبارزه با جرایم رایانه‌ای که از طرف شورای عالی توسعه قضایی وظیفه تدوین پیش‌نویس قانون مجازات جرایم رایانه‌ای را عهده‌دار شده، در خرداد ماه ۸۳ پیش‌نویس تهیه شده را با برگزاری سمینار «ابعاد حقوقی فناوری اطلاعات» در معرض نقد و ارزیابی صاحب‌نظران قرار داد. این قانون در صورت تصویب مسیر حرکت صنعت انفورماتیک کشور را طی سالیان آینده تحت تاثیر قرار خواهد داد. بنابراین تلاش جمعی صاحب‌نظران برای پربارتر کردن این قانون و تضمین سلامت فضای مجازی آینده کشور الزامی است.
نگارنده با توجه به پیش‌زمینه مرتبط با فناوری اطلاعات و تعلق خاطری که به این حوزه کاری و رشد و بالندگی آن دارد این فرصت را مغتنم شمرده و نکاتی را راجع به این پیش‌نویس ارائه می‌کند.


1. در ماده ۱ از پیش‌نویس، تعاریف اصطلاحات فنی به کار گرفته شده در متن قانون ارائه شده‌اند. مستقل از اینکه دقت تعاریف بر جامعیت قانون تاثیرگذار بوده و ضامن اجرای دقیق آن است، متاسفانه بعضی از معانی دقت و گویایی لازم را ندارند. به عنوان مثال، در تعریف داده رایانه‌ای ذکر شده این نوع داده «باعث می‌شود سیستم رایانه‌ای عملکرد خود را به مرحله اجرا گذارد». به مرحله اجرا گذاردن عملکرد به چه معناست؟ اگر منظور انجام پردازش بر روی داده است، این کار توسط سیستم رایانه‌ای انجام می‌شود و خود داده باعث انجام فعلی نمی‌شود.
موارد دیگری نیز در سایر بندهای ماده ۱ (به عنوان مثال تعریف بند الف) وجود دارد که شایسته تجدید نظر و رفع ابهام از تعاریف می‌باشند.
2. در ماده ۱۱ قانون آمده است: «هر کس عمدا با انجام اعمالی از قبیل وارد کردن، انتقال دادن، ارسال، پخش، صدمه زدن، پاک کردن، ایجاد وقفه، دستکاری یا تخریب داده‌ها یا امواج الکترومغناطیسی، سیستم رایانه‌ای یا مخابراتی دیگری را غیر قابل استفاده کرده یا ...» در این ماده تعدادی عمل ذکر شده که انجام آنها بر روی داده و یا امواج الکترومغناطیسی جرم شناخته شده و مجازات خاص خود را در پی دارد. کلیت ماده قابل قبول است ولی متاسفانه بعضی از اعمال را نمی‌توان بر روی داده و یا امواج الکترومغناطیسی انجام داد. داده را می‌توان وارد کرد ولی این کار در مورد امواج الکترومغناطیسی تعریف نشده است، مگر این که منظور تدوین کنندگان این ماده به صورت دقیق و فنی بیان شود. ایجاد وقفه در ارسال امواج الکترومغناطیسی امکان‌پذیر است ولی در مورد داده این کار انجام‌پذیر نیست.

3. در بند الف ماده ۲۲ یکی از جرایمی که مجازات هم برای آن در نظر گرفته شده است به شرح زیر بیان شده است:
«تولید، انتشار یا مورد معامله قرار دادن داده‌ها یا نرم‌افزارها یا هر نوع وسایل الکترونیکی که به منظور ارتکاب یکی از جرایم رایانه‌ای مورد استفاده قرار می‌گیرند».
برنامه‌هایی که در این بند به عنوان ابزار جرم معرفی شده‌اند همگی چندکاربرده می‌باشند. به عبارت دیگر ممکن است از آنها به عنوان ابزار جرم استفاده شود و در عین حال توسط محققین برای آزمایش و انجام تحقیقات علمی و یا توسط گروه‌های بازرسی برای محک‌زنی سیستم‌های کامپیوتری موجود مورد استفاده قرار گیرد. بنابراین نفس تولید، انتشار و یا خرید و فروش این نرم‌افزارها به خودی خود نمی‌تواند به منزله وقوع جرم باشد.
اجرای این بند به معنای تعطیلی همه فعالیت‌های تحقیقاتی و بسته شدن درب آزمایشگاه‌های شبکه و امنیت اطلاعات در دانشگاه‌ها و شرکت‌های خصوصی و دولتی و همینطور موسساتی که در زمینه benchmarking سیستم‌های کامپیوتری فعالیت دارند می‌باشد.

4. پیش نویس قانون مجازات جرایم رایانه‌ای بار اصلی فرایند مبارزه با وقوع جرم و انتشار محتوای خلاف قانون را بر روی دوش مراکز ارائه کننده خدمات قرار داده است. در ماده ۲۰ این قانون آمده است: «ایجادکنندگان نقطه تماس بین‌المللی موظفند امکان دستیابی به محتویات موضوع ماده 15 و بند الف ماده 16 را متوقف سازند، در غیر اینصورت به مجازات مقرر در مادة 25 همین قانون محکوم خواهند شد، ...»
به موجب این ماده نقاط تماس بین‌المللی موظف شده‌اند مانع دسترسی افراد به محتویات مستهجن،‌ محتویات فریب‌دهنده و تشویق کننده در این زمینه و همینطور محتویات آموزش خودکشی و استفاده از مواد روانگردان شوند. این کار از طریق استفاده از تجهیزات خاص امکان‌پذیر است ولی واقعیتی عینی که همه متخصصین به آن اذعان دارند وجود راه‌های متعدد برای دور زدن فیلترها و رسیدن به اطلاعات مورد نظر است. استفاده از تجهیزات فیلترگذاری با صرف هزینه‌های زیاد می‌تواند مانع دسترسی تعدادی از کاربران به محتویات سایت‌های موجود در لیست‌های سیاه‌ شود، ولی با استفاده از روش‌هایی که چندان دشوار هم نیستند کاربران می‌توانند دسترسی خود را حفظ کنند. در این صورت تکلیف ارائه دهندگان خدمات چیست؟
از سوی دیگر در ماده ۲۱ همین قانون آمده است:
«به منظور جلوگیری از ادامه ارائه یا انتشار محتویات موضوع مواد 15 و بند الف ماده 16 ارائه‌کنندگان خدمات میزبانی موظفند:
الف ـ نسبت به محتوای موجود در سایت‌های تحت میزبانی خود نظارت نمایند، چنانچه عدم نظارت یا بی مبالاتی وی در نظارت منجر به ادامة ارائه یا انتشار محتویات فوق گردد به مجازات مقرر در ماده 25 همین قانون محکوم خواهند شد.»
با این فرض که ارائه دهندگان خدمات میزبانی با صرف هزینه‌های فراوان موفق به انجام این کار بشوند، تضمینی برای از بین رفتن محتویات نامطلوب بوجود نمی‌آید. در حال حاضر که قانون مکتوبی برای مبارزه با چنین محتویاتی وجود ندارد، در بیشتر موارد میزبان‌های خارجی برای نگه‌داری و ارائه اطلاعات انتخاب می‌شوند. با توجه به توضیحاتی که در رابطه با ماده ۲۰ قانون بیان شد، امکان دسترسی به این گونه محتوا برای کاربران وجود دارد.

5. در بند ۴ موارد ۲۰ و ۲۱ پیش‌نویس قانون از دید فنی مورد نقد قرار گرفتند. پس از مطالعه کل قانون و بررسی این دو ماده نکته‌ای که به ذهن خواننده متبادر می‌شود این است که تدوین کنندگان قانون حجم قابل توجهی از بار معنوی و مادی مبارزه با قانون را بر دوش ارائه دهندگان خدمات قرار داده‌اند که اتفاقا بیشتر آن‌ها از بخش خصوصی بوده و مشابه سایر حوزه‌های تخصصی بخش خصوصی توانی محدود دارند.
در بسیاری از مواد دیگر قانون مشاهده می‌شود که روح تساهل در برخورد با مجرم وجود دارد. به عنوان مثال در ماده‌های ۲، ۳، ۴، ۱۱ و ۱۲ شرط مجرمیت فرد احراز تعمد در انجام فعل است، حتی در مورد قرار دادن اطلاعات در دسترس دولت‌ها و سازمان‌های بیگانه. علاوه بر این در مواد ۷ و ۹ وجود قصد تقلب و در ماده ۱۰ وجود قصد اضرار متمایز کننده مجرمین می‌باشد. در شرایطی که عدم وجود قصد تقلب باعث تبرئه کسی که محتویات کارت اعتباری را تحریف نموده است می‌شود، چگونه ارائه دهندگان خدمات تحت هر شرایطی مسئول کل داده ذخیره شده در میزبان خود و یا کل داده تبادل شده از طریق خطوط ارتباطی می‌باشند. آیا نباید ضریب خطای ماشینی و یا انسانی را در این میان مدنظر قرار داد؟ به نظر می‌رسد دیوار شرکت‌های ارائه دهنده خدمات در حال حاضر از همه کوتاه‌تر است.

علی‌رغم لزوم وجود قانون برای جلوگیری از هرج و مرج به نظر می‌رسد قانون تهیه شده در حال حاضر نیازمند کار بیشتر و استفاده از نظرات متخصصین هر دو حوزه فناوری اطلاعات و حقوق می‌باشد. مفاد تعدادی از مواد قانون در سایر قوانین هم وجود دارد و به نظر نمی‌رسد تغییر ابزار نیازمند وضع قوانین جدید باشد.
از سوی دیگر تعدادی از مواد این قانون به حدی سخت‌گیرانه است که می‌تواند عرصه را بر فعالان حوزه IT (کاربران و ارائه دهندگان خدمات) چنان تنگ کند که امکان ادامه فعالیت وجود نداشته باشد. یک کاربر عادی که می‌داند کلیه اعمالش در دنیای مجازی ثبت می‌شود و شناخت دقیقی هم نسبت به سایت‌های اینترنتی و محتویات آنها ندارد همواره در اضطراب مشاهده سایت‌ها بوده و در چنین شرایطی ممکن است عطای اینترنت را به لقایش ببخشد. در شرایطی که متوسط استفاده از اینترنت در کشور بسیار پایین‌تر از استانداردهای جهانی و حتی کشورهای در حد ایران می‌باشد این حرکت قطعاً در راستای منافع کشور نیست.
علاوه بر این کاهش کاربران و اجرای سیاست‌های سخت‌گیرانه‌ای مانند مواد ۲۰، ۲۱ و ۳۰ قانون مجازات جرایم رایانه‌ای تهدیدی جدی برای پیکره ضعیف شرکت‌های فعال در حوزه خدمات رسانی اینترنت است. در این مقطع مناسب‌ترین کار انجام کار کارشناسی بیشتر بر روی این قانون است که باید با حضور کارشناسان مستقل حقوق و فناوری اطلاعات انجام شود تا حقوق کاربران اینترنت و شهروندان تضمین شده و از سوی دیگر سیاست‌های حمایتی و توسعه‌ای دولت در حوزه فناوری اطلاعات و ارتباطات (که به موجب برنامه پنج ساله سوم جزیی از وظایف حاکمیت است) در قانون لحاظ شود.

منبع : http://www.ircert.com

پذیرش پدیده‌هایی که چه از نظر فردی و چه اجتماعی ماهیتا از طینت بدی برخوردارند، طبیعتا مورد تایید هیچ عقل سلیمی نیست. از طرفی این مطلب نیز بر هیچ‌کس پوشیده نیست که بعضی ابداعات و اختراعات بوده‌اند که اگرچه به نیت کمک به انسان در جهت پیشرفت و رفاه ایجاد گشته‌اند، اما در طول عمر خود بسیار مورد سوءاستفاده قرار گرفته‌اند.
تجربیات دهه‌ها و سال‌های اخیر نشان داده است که قراردادن پدیده‌های نام‌آشنای کامپیوتر و فرزند خلف آن، اینترنت در زمره پدیده‌های بدطینت به دور از انصاف است. بنابراین اکنون و بعداز سالها که از ظهور اینترنت می‌گذرد، تلاش در جهت به حداقل رساندن سوءاستفاده‌هایی که هر روزه از رسانه‌ها اخبارشان را می‌شنویم و یا خود با آنها مواجهیم، در کشورمان امری اجتناب‌ناپذیر است. از آنجا که نگارنده این سطور در زمینه فناوری اطلاعات فعالیت دارد و از دانش مربوط به حقوق قضایی بهره چندانی ندارد، تنها اجازه ذکر چند نکته فنی را به خود می‌دهد و امیدوار است که خبرگان حقوق نیز یش‌نویس قانون مطروحه را با رویکردی حقوقی مورد مداقه و نقد قرار دهند.
اگرچه ممکن است از فضای جدید ایجاد شده توسط اینترنت بعنوان دنیای مجازی نام برده شود (دنیایی که اجزای تشکیل دهنده آن سیگنالهای الکتریکی و الکترومغناطیسی هستند و از اینرو ماهیت آن در پاره‌ای از موارد با آنچه از دنیای سنتی! درک کرده‌ایم، متفاوت است)، اما این دنیای مجازی دیگر جزئی لاینفک از دنیای واقعی است و شاهد حضور غیرقابل‌انکار آن در بیشتر اتفاقات دنیای پیشرفته امروز هستیم. مسلما درک دقیق‌تر قانونگذار محترم از این تفاوتها، عاملی مهم در برطرف ساختن شبهاتی است که اذهان بسیاری را بعد از مطرح ساختن پیش‌نویس قانون مجازات جرایم رایانه‌ای به خود معطوف داشته است.
برای جلوگیری از اطاله کلام و با توجه به نقدهایی که تاکنون بر این قانون نگاشته شده است، در اینجا تنها به ذکر چند نکته بصورت مختصر بسنده می‌شود.
۱- در بندهایی از این قانون مجازاتهایی برای ناقضان تدابیر امنیتی تعیین گردیده است، اگر منظور از این افراد همان هکرها باشند، شایان ذکر است که هکرها در سه گروه طبقه‌بندی می‌گردند، گروهی که برای کشف شکافهای امنیتی بمنظور پوشاندن آنها فعالیت می‌کنند، گروهی دیگر که از دانش فنی بالایی برخوردار نیستند و از ابزاری که تهیه آن چندان سخت نیست و توسط سایرین تولید شده استفاده می‌کنند و گاهی خود از عواقب استفاده از آنها اطلاع چندانی ندارند و گروه سوم که در جهت کسب منافع شخصی، کسب شهرت یا صدمه‌رساندن به دیگران فعالیت می‌کنند. شایسته است که قانونگذار محترم ناقضان تدابیر حفاظتی را دقیق‌تر مشخص کند، ضمن اینکه از آنجا که نتیجه عمل هر سه گروه هکرها ممکن است به هم شبیه باشد، دسته‌بندی آنها همیشه به سهولت و تنها براساس شواهد، ممکن نیست.
۲- در قسمتی از قانون برای ماموران دولتی که در اثر بی‌احتیاطی باعث دسترسی افراد بدون صلاحیت به اطلاعات باارزش شوند،‌ مجازات تعیین گشته است. نکته‌ای که باید به آن اشاره شود، تعداد معدود متخصصان امنیت و حفاظت داده در کشور است که از دانش و اطلاعات کافی و به‌روز شده برای محافظت داده‌ها برخوردار باشند. جالب اینجاست که خود همین افراد معدود نیز، به این نکته معترفند که هیچگاه نمی‌توان نسبت به محافظت از داده‌ها، اطمینان صد در صد داشت. زیرا معمولا (نه همیشه) شکاف‌های امنیتی بعد از مورد سوءاستفاده قرار گرفتن، مرمت می‌شوند. بنابراین همیشه باید برای یک سیستم داده محافظت شده حتی توسط به‌روز ترین افراد و ابزارها، درصدی احتمال خطر در نظر گرفت که همین درصد نامساوی با صفر باعث عدم پذیرش مسوولیت محافظت از اطلاعات توسط ماموران دولتی خواهد گشت. نرخ شگفت‌انگیز ظهور روزانه ویروس‌ها را نیز مدنظر داشته باشید!
۳- در قسمتی از قانون، ارائه دهندگان خدمات اینترنتی موظف به ذخیره داده‌های مبادله‌شده توسط کاربرانشان بمدت سه ماه شده‌اند. یک محاسبه ساده برای تخمین این حجم از اطلاعات، نیاز ارائه دهندگان خدمات اینترنتی را به حجم زیادی از ابزار ذخیره‌سازی اطلاعات، علیرغم پهنای باند کمی که در اختیار کاربران قرار می‌گیرد، مشخص می‌سازد. اجازه دهید برای روشن شدن مطلب مثالی بزنیم. اگر فرض کنیم که یک ICP پهنای باند 16 مگابیت را در اختیار داشته باشد (پهنای باندی که بین این شرکتها در حال حاضر بسیار معمول است) ، حجم اطلاعاتی که روزانه باید ذخیره شود برابر خواهد بود با حدود 181 گیگابایت اطلاعات و این حجم در سه ماه به حدود 16 هزار گیگابایت خواهد رسید! چگونگی ذخیره سازی و سپس پردازش این اطلاعات موضوعی است که باید به آن اندیشید. اما اخبار و شنیده‌ها حکایت از آن دارد که در آینده نزدیک کاربران کشورمان می‌توانند برای دسترسی به اینترنت از خطوط پرسرعت بهره‌مند شوند. ضرب عدد تخمین‌زده شده قبل در میزان افزایش پهنای باند، پایبندی ارائه‌دهندگان خدمات اینترنتی به این ماده از قانون را بدون اینکه قصد تخلف از قانون را داشته باشند، زیرسوال می‌برد.
۴- در قسمتهایی از این قانون، سرویس‌دهندگان و سرویس‌گیرندگان اینترنت نسبت به محتویات به نمایش در آمده یا منتشر شده مسوولند. این مسوولیت تا جایی پذیرفته است که وجود یا انتشار این محتویات به عمد صورت گرفته باشد. از نظر دور نداریم که امروز با توجه به انواع نرم‌افزارهای جاسوسی یا تبلیغاتی، ویروس‌ها و کرمهای اینترنتی، امکان ارسال و دریافت اطلاعات به یک سیستم کامپیوتری متصل به اینترنت بدون کسب اجازه از صاحب آن امکانپذیر است. امکان سرقت آدرس‌های ایمیل شخص قربانی و سوءاستفاده از آنها وجود دارد. همچنین بازکردن صفحات وب که دربردارنده محتویات مستهجن هستند، بر روی کامپیوتر فرد، بدون کسب اجازه از وی میسر است. بنابراین آنچه که در این میان دقت بسیار بالایی می‌طلبد، تدابیری است که کارشناسان فنی و حقوقی درگیر در تدوین این قانون، در اثبات تعمد در هرکدام از تخلفات مذکور می‌اندیشند.
و اما ...
تغییرات و پیشرفتهای سریع در زمینه کامپیوتر و اینترنت، گاهی پیش بینی آینده آن را حتی برای متخصصان فن نیز غیرممکن می‌کند. بنابراین در زمینه تدوین قانون مناسب، برداشتن گامهای آهسته اما محکم، بسیار مطمئن‌تر از حرکتهای سریع اما بدون رایزنیها و تجارب کافی است. اگر موادی از این قانون که هنوز نمی‌توان با اطمینان در مورد ضمانت اجرای آنها سخن گفت، به تصویب برسند، علاوه بر ضربات مهلکی که بر پیکره نهال فناوری اطلاعات در کشور وارد می‌کنند، چهره قانون اساسی کشورمان را نیز به شدت مخدوش خواهند کرد. کلام آخر اینکه فناوری اطلاعات و قانون مجازات جرایم رایانه‌ای دو نهال هستند که وجود، رشد و بالندگی هرکدام جز در سایه و به اتکای دیگری، میسر نیست.

دغدغه هاى والدین و اینترنت

سه شنبه, ۲۳ اسفند ۱۳۸۴، ۰۴:۱۷ ب.ظ | ۰ نظر

اگرچه اینترنت مى تواند راهى باشد که در آن نوجوانان کوشش مى کنند خودشان را به عنوان افرادى مستقل و منحصر و داراى دنیاى اجتماعى مخصوص به خود به اثبات رسانند اما به این معنى نیست که والدین نباید دخالتى داشته باشند. دقیقاً برعکس آن صحیح است. همانند تمامى فعالیت هاى نوجوانان، آنان احتیاج دارند که دست کم نوعى نظارت بر کارهایشان براى جلوگیرى از بروز مشکل وجود داشته باشد. برخى والدین به دلیل مهربانى، ناخواسته غفلت مى کنند و مى گویند فرزندان ما باید رایانه یاد بگیرند و یا نباید از بقیه بچه ها عقب بیفتند. اگر فرزندانم کنار رایانه مى نشینند و تایپ مى کنند این چیز خوبى است... خوب من باید فقط آنان را تنها بگذارم. اما دخالت کردن تنها به معنى نظارت به منظور جلوگیرى از مشکل نیست. فضاى مجازى و رایانه مى توانند یک روش عالى براى والدین و نوجوانان باشند تا در کنار یکدیگر تفریح کنند و همدیگر را بهتر بشناسند. فضاى مجازى بخشى از زندگى نوجوانان است و شاید بخشى که آن را دوست دارند و سعى مى کنند مخفى سازند.

•••

پدر و مادر چه کنند: دانش لازم در مورد رایانه را دریافت و در فعالیت هاى اینترنتى شرکت کنند، چون نظارت بر فعالیت هاى فضاى مجازى نوجوانان بیشتر اثربخش بوده و والدین باید در مورد این موضوع آگاهى داشته باشند. احتیاجى نیست که خودتان یک نفوذگر رایانه اى شوید اما در مورد این موضوع اطلاعات بگیرید. در مورد این موضوع با والدین دیگر گفت وگو کنید. بهتر است خودتان فضاى مجازى را کاوش و با کودکان خود در مورد فضاى مجازى گفت وگو کنید و در برخى فعالیت هاى روى خط به آنها بپیوندید. با آنان پایگاه هاى وب را سیر و سیاحت کنید و از موتورهاى جست وجو براى یافتن افرادى که فامیلى مشابه خودتان دارند بهره بگیرید. براى خانواده یک صفحه وب بسازید، حتى با کودکان خود و دوستانشان در یک اتاق گپ زنى پاتوق کنید. (براى یک زمان کوتاه، البته اگر حضور شما را تحمل کنند) امکانات بسیار زیادى وجود دارد که شما بتوانید در فعالیت هاى اینترنتى شرکت کنید. با فرزندان خود حرف بزنید. یک هشدار قدیمى مى گوید «آیا شما مى دانید فرزندانتان کجا هستند؟» فضاى مجازى نیز همانند زندگى واقعى کاربرد دارد. از آنها براى استفاده از اینترنت سئوال کنید از چه پایگاه هایى در وب بازدید مى کنند؟ براى اینکه لحن سرزنش آمیزى نداشته باشید بپرسید چه پایگاه هایى را در وب دوست دارند و چرا؟ با آنها کنار میز رایانه بنشینید و اجازه دهید شما را به پاتوق هاى اینترنتى خود ببرند. به شیوه اى پدرانه یا مادرانه و مطبوع کنجکاو باشید. از فرزندانتان در مورد دوستان مجازى که دارند سئوال کنید و اینکه در مورد چه موضوعى با هم بحث مى کنند و در اینترنت چه کارى انجام مى دهند. از بازپرسى اجتناب کنید و در عوض نشان دهید که مشتاق هستید تا در مورد دوستان اینترنتى فرزندانتان بیشتر بدانید.خوب و بد را بپذیرید: از فضاى مجازى بدگویى نکنید. این کار تنها نوجوانان را از شما دور مى کند. در مورد مزایا و معایب آن گفت وگو کنید. نسبت به زندگى مجازى آنان پذیرش نشان دهید اما در مورد مخاطرات این کار و اینکه ممکن است در آنجا با موقعیت ها و یا افراد ناخوشایند برخورد کنید هشدار دهید. رایانه را در جاى قابل مشاهده قرار دهید. حریم خصوصى و خلوت فردى یک عمل ترفندآمیز بین جوانان است. آنان به خلوت نیاز دارند اما والدین باید بین این تقاضا و لزوم نظارت بر فعالیت ها تعادل برقرار سازند. احتمالاً این فکر خوبى است که از قرار دادن تجهیزات رایانه اى در اتاق خواب فرزندان پرهیز کرد و آنها را در فضاى خانوادگى قرار داد. این کار نظارت را خیلى راحت تر مى سازد و استفاده از رایانه به عنوان یک فعالیت خانوادگى را تقویت مى کند. اگر این کار شدنى نبود دست کم از آن دورى کنید تا نوجوان فضاى مجازى را در اتاق خود با در بسته کاوش کند. در را باز نگه دارید به نحوى که صفحه نمایش از بیرون اتاق قابل مشاهده باشد.

قوانین منطقى وضع کنید: والدین به فرزندان خود اجازه نمى دهند تا دیر وقت بیرون از خانه بمانند، هر فیلمى که مى خواهند تماشا کنند و هر جا که دلشان مى خواهد بروند. نوجوانان به قوانین احتیاج دارند. در حقیقت، خواه آنان قبول داشته باشند یا خیر، نیازمند قوانینى هستند که به شکل مخفیانه به کار گرفته شود تا احساس عدم کنترل و به حال خود رها شدن از سوى پدر و مادر به ظاهر بى تفاوت را نکنند. در مورد وقت (براى نمونه بعد از تکالیف مدرسه) و یا میزان زمان استفاده اى که بچه ها مى توانند به گفت وگو و تفریح در فضاى مجازى بگذرانند محدودیت هایى در نظر بگیرید. در مورد اینکه فرزندانتان دقیقاً در اینترنت اجازه چه کارى را دارند و چه کارى را ندارند قوانینى وضع کنید.

میان زندگى واقعى و زندگى مجازى نوجوانان تعادل برقرار کنید: فضاى مجازى، بسیار گسترده است اما زندگى چیزى بیش از آن است. نوجوانان را تشویق کنید که در فعالیت هاى زندگى واقعى شرکت کنند. اگر واقعاً در اینترنت چیزى وجود دارد که فرزندانتان از آن لذت مى برند، راهى پیدا کنید تا آن فعالیت به زندگى واقعى گسترش یابد. از اینترنت براى پروژه هاى درسى نوجوانان استفاده و نوجوانان را تشویق کنید با دوستان خوب زندگى مجازى (قابل اعتماد) تماس تلفنى بگیرند و یا حضورى آنان را ببینید. اگر نوجوانان از بازى نقش در بازى هاى رایانه اى لذت مى برند، تشویقشان کنید که به تئاتر یا سینما بپردازند. هدف، جلوگیرى از این مسئله است که نوجوان فضاى مجازى را از بقیه زندگى خود جدا کند و همچنین او را تشویق کند تا فعالیت هاى غیراینترنتى خود را گسترش دهد.

از نرم افزارهاى نظارتى بهره بگیرید: انواع برنامه هاى تجارى براى نظارت بر نوجوانان در فضاى مجازى وجود دارد. این برنامه ها مى توانند پایگاه هاى وبى را که آنها بازدید مى کنند ثبت و دسترسى به پایگاه هاى خاص وب و یا برنامه هاى خاص را مسدود کند. از ضبط برنامه ها جلوگیرى کنید، زمان استفاده از اینترنت را محدود سازید و یا تنها به نوجوانان اجازه دهید در زمان خاصى از اینترنت استفاده کنند. البته اگر والدین مى خواهند چنین برنامه هایى را نصب کنند باید تا حدى با رایانه آشنایى داشته باشند. البته، خود برنامه ها نیز کامل نیستند، آنها داراى نقاط ضعف بوده و یک نوجوان خبره فنى مى تواند آنها را مغلوب کند. احتمالاً آخرین چیزى که یک پدر یا مادر با آن رو به رو مى شود نبرد تکنیکى دائمى میان دانش وى و فرزندانش است، اگر چنین شد، یک جاى کار ایراد دارد. نرم افزارهاى نظارتى تنها یک ابزار هستند و جایگزین مناسبى براى گفت وگو و یا مشارکت شخصى والدین نیستند. به عبارت دیگر آنها را جانشین یک رابطه ندانید.

درباره اعتیاد مداخله کنید: دکتر کیمبرلى یونگ در کتاب خود برخى راهکارهاى مناسب براى والدینى که فرزندانشان گرفتار استفاده افراطى از اینترنت شده اند را شرح مى دهد: تلاش نکنید آنان را از رایانه دور یا از استفاده منع کنید. این مسئله شاید نتیجه معکوس داشته باشد. نگرانى خود را در مورد گرفتارى نوجوانان نشان دهید. یک جدول زمانى براى استفاده از اینترنت در نظر بگیرید. هنگامى که بچه به مدرسه نرفته و یا نمرات او خراب شده اجازه ندهید زیادى از رایانه استفاده کند. وقتى سعى در مداخله دارید با طغیان و انفجار احساسى نوجوانان خود مدارا کنید. اگر تمام این کارها نتیجه نداشت، در جست وجوى کمک از یک مشاور حرفه اى باشید، البته فردى که در مورد رایانه آگاهى داشته باشد.مجازات رفتارهاى نادرست و تشویق رفتارهاى انسانى هنگامى که کودک در دنیاى واقعى رفتار نادرستى دارد او را تنبیه مى کند. همین امر در مورد رفتار ناشایست وى در فضاى مجازى صادق است. اگر یک پدر یا مادر متوجه شوند فرزندشان براى دیگران در روى خط مزاحمت ایجاد مى کند یا سعى دارد در سیستم هاى روى خط خرابکارى کند (به عنوان نمونه تلفنى از طرف گردانندگان سیستم و یا اجتماع روى خط مى تواند هشدارى باشد) باید تنبیه و مجازات در دستور کار قرار گیرد. والدین نباید اینگونه قضاوت کنند که این تنها یک بازى فضاى مجازى است. این موضوع واقعاً مسئله مهمى نیست. این فکر خوبى به شمار نمى رود که اجازه داد نوجوان افراد دیگر را در روى خط به نحوى تهدید کند؛ گویى که آدم هاى واقعى نیستند. اگر نوجوانان توانایى دلسوزى نسبت به دیگران در دنیاى ناشناس فضاى مجازى نداشته باشند، مى توانند این احساس را در زندگى واقعى نیز به کار ببرند.

منبع : شرق

به دنبال بروز مشکلاتی برای برخی از سایت های ایرانی که در پی حملات هکرها صورت گرفت، کمیسیون امنیت فضای تبادل اطلاعات (افتا) سازمان نظام صنفی رایانه ای در جلسه آخر خود به بررسی این موضوع پرداخت.

به گزارش روابط عمومی سازمان نظام صنفی رایانه ای در جلسه اخیر کمیسیون افتا و به پیشنهاد اعضا، موضوع حملات اخیر به سایت های ایرانی در دستور کار کمیسیون قرار گرفته و اعضای حاضر به بحث و تبادل نظر پیرامون این موضوع پرداختند.

بر این اساس کمیسیون افتا به منظور کاهش زمینه های وقوع حملات اینترنتی به سایت های ایرانی و نیز کاهش صدمات احتمالی به ارایه راه کارهایی پرداخت که در پی می آید.
نکته اول: هیچ بستری 100% امن نیست!

حتی اگر شما از امن ترین سیستم عاملهای دنیا برای میزبانی استفاده میکنید، باید این نکته را بخاطر داشته باشید که سایت شما را تنها سیستم عامل نیست که میزبانی میکند، مجموعه نرم افزارهای مختلفی نظیر سرویس دهنده وب، مفسر زبان برنامه نویسی و ... باید در کنار یکدیگر کار کنند تا شما بتوانید خدمات مورد نیاز در سایت خود را ارائه کنید؛ این نکته از این بابت حائز اهمیت است که امن نگهداشتن این مجموعه نرم افزار به هیچ وجه کار ساده ای نیست، بنابراین باید روشی اتخاذ کرد که در صورت بروز حفره امنیتی یا کشف نقطه آسیب پذیر توسط اخلالگر کارکرد کل سیستم دچار مشکل نشود.

ساده ترین راه برای رسیدن به این مهم استفاده از نرم افزارهای تشخیص اخلال (Intrusion Detection - IDS) و پیشگیری/کنترل اخلال (Intrusion Prevention/Protection - IPS) میباشند، این نرم افزارها بر اساس الگوهای از پیش تعیین شده در لایه های پایین انتقال اطلاعات میتوانند شروع یک حمله را حدس زده و مدیر سیستم را از آن آگاه سازند، در صورت استفاده از سیستمهای IPS در صورتی که تواتر الگوهای تشخیص داده شده زیاد شود، نرم افزار بطور اتوماتیک ترافیک وارده از سمت اخلالگر را قطع و ارتباطات برقرار شده وی با سرویس دهنده را خاتمه می دهد (Session reset). سیستمهای IDS یا IPS باید توسط شرکت سرویس دهنده میزبانی، در شبکه محلی سرویس دهنده بطوری که امکان شنود روی ترافیک در گردش شبکه را داشته باشد نصب شود. امروزه اکثر دیواره های آتش (Firewall) این قابلیت را بصورت پیش فرض دارا هستند.

نوع دیگری از این نرم افزارها بنام HIDS (Host Intrusion Detection System) که مستقیما روی خود سرویس دهنده نصب میشوند، علاوه بر قابلیت شناسایی ترافیک مشکوک به سمت سرویس دهنده، امکان تغییرات غیر مجاز و مشکوک روی اجزای اصلی سیستم نظیر فایلهای سیستمی را دارند، این قابلیت به مدیر سیستم این امکان را میدهد که در صورت بروز مشکل امنیتی برای هر یک از نرم افزارهای بستر میزبانی، و باز شدن دسترسی برای اخلالگر، مورد را سریعا از طریق هشدار دریافت کرده و جلوی تخریبهای احتمالی را بگیرد (مثلا ایجاد کانال کوورت(Covert) یا در عقب - Back-door).
نکته دوم: سیستم های پایش و اخطار

بیشتر شرکتها از نرم افزارهای پایش سیستم برای اطلاع از وضعیت ترافیک، میزان مصرف حافظه، توان پردازشی و ... سرویس دهنده خود بهره میگیرند، اما بندرت اتفاق میافتد که از قابلیت ساده "هشدار حاشیه" (Threshold Alert) که در بیشتر این نرم افزارها تعبیه شده استفاده کنند، این قابلیت حالتهای ساده ولی غیر عادی سیستم، نظیر افزایش بیش از حد پهنای باند را تشخیص و به مدیر سیستم اعلام میکند، نتیجه این هشدار آمادگی برای بروز خطرات احتمالی پیرو میباشد.
نکته سوم: DNS را جدی بگیرید!

سرویس تبدیل نام به آدرس یا به اصطلاح DNS از بخشهایی است که در میزبانی بسیار مهجور واقع میشود، معمولا میزبانی دامنه شما به همراه سرویس وب روی یک دستگاه نصب میشود، اساسا با توجه به ضعفهای ساختاری پروتکل DNS و مشکلات امنیتی که ویژه این سرویس میباشد اکثر سایتهای اینترنتی مهم از زیرساخت جداگانه ای برای میزبانی دامنه و سرویس DNS خود استفاده میکنند، هر چند ایجاد این چنین زیرساختهایی برای سایتهای ایرانی به صرفه نیست اما شرکتهای معتبری در دنیا نظیر easyDNS وجود دارند که با زیرساخت ویژه ای که برای این منظور ایجاد نموده اند، میزبانی دامنه سایتهای پرترافیک را با هزینه کم انجام میدهند.

نکته چهارم: کم بخور، همیشه بخور!

محدود کردن پهنای باند هر کاربر، میزان زمانی که ارتباط کاربر با سیستم زنده نگه داشته میشود (Half-closed Clients) تعداد درخواست در هر ثانیه برای هر thread از پارامترهای قابل تنظیم عمده سرویس دهنده های وب هستند که معمولا توجهی به آنها نمیشود، در حالیکه با تنظیم درست این پارامترها میتوان اثر نامطلوب حمله های اخلالگران بخصوص حمله های از نوع DoS را به نحو چشمگیری کاهش داد، بعنوان مثال با صفر کردن پارامتر مربوط به زمان کاربران نیمه تمام (Half-closed Clients) ضمن کاهش 20 تا 30 درصدی کارایی سرویس دهنده (اثر منفی)، میتواند میزان مقاومت سرویس دهنده در برابر حملات از نوع DoS را تا حدود زیادی افزایش دهد! ویا با کنترل پهنای باند هر کاربر در حدود 10 کیلو بایت در ثانیه (مناسب برای کاربران ایرانی)، حملات پیچیده تر از نوع DDoS (Distributed Denial of Services Attack) اثر کمتری روی کارکرد سیستم خواهند داشت.

شناسایی دوگانه و ابتکار شرکت اِنتراست

جمعه, ۱۴ بهمن ۱۳۸۴، ۰۲:۳۱ ب.ظ | ۱ نظر

شناسایی دوگانه همان طور که از اسمش پیداست، مشتری را مجبور می‌کند که یک شی فیزیکی را (کارت هوشمند، شمارنده یکبار مصرف، کارت رمز) علاوه بر اسم یا شماره رمز به همراه داشته باشد. به عبارت دیگر از دو عامل کاملا متفاوت با هم، برای ورود به سایت اینترنت یا انتقال پول استفاده می‌کند. این دو عامل که در حال حاضر در دنیا رواج دارند، چیزی است که شما به همراه دارید و چیزی است که فقط شما میدانید.
شناسایی دوگانه باعث می‌شود که نفوذکنندگان و سارقان اگر از راه شنود پیام‌های مشتریان، به اسم رمز آنها پی‌بردند، محتاج چیز دیگری هم برای سرقت باشند که در شناسایی دوگانه، چون فقط در نزد مشتری است، هیچ کس قادر به انجام سرقت نمی‌شود. یکی از مهمترین راه‌های سرقت اینترنتی روش "کسی در بین راه" و "فیشینگ" است (Man in the middle & phishing) که با اضافه کردن عامل دوم به روش توکن یا جدول رمز، از فیشینگ جلوگیری شده و با اضافه کردن عامل دوم به روش کارت هوشمند، از هر دو روش جلوگیری می‌شود. شرکت اِنتراست که به نحو تخصصی محصولاتی درباره امنیت دارد اخیرا روشی را برای فروش عرضه می‌کند که بسیار ارزانتر از روش توکن‌های آر.اس.ای است و چیزی از آن کم ندارد.
در این روش کارت یا برگه‌ای مقوایی یا پلاستیکی به شما می‌دهند که جدولی روی آن چاپ شده و داخل خانه‌های جدول ارقام و حروفی درج گردیده است. در هنگام ورود مشتری به سایت یا هنگام صدور دستور انتقال پول، از مشتری خواسته می‌شود که محتوای 3 یا 4 یا بیشتر از خانه‌های جدول را (که به نحو تصادفی انتحاب شده‌اند) وارد نماید. بدیهی است که فقط دارنده کارت می‌تواند این عمل را انجام دهد. این کار به دفعات متوالی در یک نشست یا چندین بار ورود به سایت یا انتقال پول می‌تواند استفاده شود. این کارت کاملا شبیه به توکن (Token) عمل می‌کند و می‌تواند به همراه اسامی و گذرواژه‌های معمولی در هنگام ورود به سیستم عامل یا شبکه و غیره نیز بکار رود. روش "کارت رمز" مزایای خاص خود را نیز دارا است که آنرا برتر از روش توکن می‌سازد:
1- حدود 10 برابر قوی‌تر از گذرواژه است.

2- بسیار ارزانتر از توکن و کارت هوشمند است. اگر از حق لیسانس آن بگذریم. قیمت یک کارت مقوایی را دارد.

3- اجرای آن در سایت مرکزی موسسه مالی، راحت‌تر است و سخت افزار اضافه نمی‌خواهد.

4- بدون خرج اضافه، قابل کپی شدن است و چند شریک همزمان می‌توانند از آن استفاده نمایند.

5- فرمول آن کاملا تصادفی است و قوی‌تر از توکن می‌باشد.

6- احتیاج به باطری و برق نداشته و منقضی نمی‌شود.

7- یک کپی از آنرا می‌توان در محلی امن نگهداری نمود و در مواقع نابود شدن یا مفقود شدن تصادفی، از آن استفاده نمود.

8- صدور کارت تکراری خرج کمی دارد و می‌توان به دفعات آنرا صادر کرد.
این روش در کلیه موارد غیر مالی نیز کاربرد دارد و از مزایای مهم آن استفاده در مواردی است که احتیاج به امنیتی بیشتر از اسم رمز دارد و مایل هستیم که هزینه زیادی را متحمل نشویم.
برای مقایسه روش‌های موجود به شکل مقابل توجه فرمایید. اگر روش‌های خرید اینترنتی در ایران رواج یابد، بدیهی است که روش‌های سرقت و کلاه برداری اینترنتی نیز رواج خواهد یافت. بر طبق گزارش کمیسیون تجارت آمریکا، سرقت شناسه و رمز مشتریان یکی از شایع‌ترین و رشد یابنده‌ترین روش‌ها است و سالانه چندین میلیارد دلار به صاحبان اصلی ضرر می‌رساند. همین امر گریبانگیر تمام عالم است.
بر اساس گزارشی که شرکت انتراست از 2000 کاربر نمونه تهیه کرده است:
85 درصد از کاربران اینترنت از تجارت الکترونیک استفاده می‌کنند و 59 درصد از اینها از بانکداری الکترونیک استفاده می‌کنند.

80 درصد از کاربران بطور خاص از سرقت شناسه کاربری بانکی خود و دسترسی دیگری به آن شکایت دارند.

38 درصد از کاربران مایل هستند که از شناسایی دوگانه برای دسترسی به حساب بانکی خود استفاده نمایند.
این کاربران ترجیح می‌دادند که از موارد زیر استفاده نمایند:
94 درصد رایانه خانگی

23 درصد رایانه محل کار

24 درصد تلفن معمولی

10 درصد تلفن همراه

4 درصد کیوسک عمومی (وب کیوسک)
نتایج مهم دیگری از این نظر سنجی بدست آمد که در جذب منابع و مشتری برای بانک‌ها بسیار مهم است:
- 72 درصد از کاربرانی که از اینترنت استفاده می‌کنند، اما از بانکداری الکترونیک استفاده نمی‌نمایند؛ عنوان کردند که اگر امنیت تماس آنلاین بهبود یابد، از بانکداری الکترونیک استفاده می‌نمایند.

- 90 درصد از کسانی که از بانکداری الکترونیک استفاده می‌کنند عنوان کردند که اگر امنیت تماس بیشتر شود، حاضرند که از خدمات بیشتری به صورت آنلاین بهره برداری کنند.

- 65 درصد از افراد، به میزان امنیت تماس آنلاین بانک مربوطه جهت انتخاب بانک دقت کرده‌اند.

- 22 درصد از افرادی که در بانکی حساب دارند، اگر بانک دیگری میزان امنیت بیشتری را تامین کند؛ حاضرند که بانک خود را عوض نمایند.
سادگی روش جدول رمز، آنرا بر دیگر روش‌ها برتری می‌دهد. نگهداری آن بسیار ساده بوده و اکثریت کاربران استفاده از آنرا بسیار راحت توصیف می‌کردند در حالی که از امنیت بالایی نیز در تماس آنلاین و انتقال پول برخوردار بودند. اگر چند بار بطور تصادفی در یک نشست از جدول استفاده نماییم، بر نفوذ "کسی در بین راه" نیز فایق می‌آییم.
یکی از مزایای مهم آن دارا بودن هزینه کم برای صادر کننده است. اگر از حق لیسانس آن بگذریم، قیمت صدور کارت آن بسیار کم بوده و کمتر از 500 ریال تمام خواهد شد. برای مصرف کننده خارجی اگر به تعداد زیاد استفاده نماید، کمتر از یک دلار هزینه خواهد داشت. هزینه سایت مرکزی نیز با توجه به سادگی کار بسیار کم است.
برای یک سال، روش شرکت انتراست 7 برابر توکن آر.اس.ای و برای 3 سال بیش از 8 برابر صرفه جویی مالی دارد. قیمت گذاری محصول شرکت به نام آیدنتیتی گارد (IdentityGuard) با احتساب هزینه برای هر کاربر، سرور، تولید کارت و پشتیبانی است. قیمت گذاری محصول آر.اس.ای با احتساب قیمت توکن، لیسانس نرم افزار مدیریت و پشتیبانی است.

منبع : ماهنامه راه راست

حفره جدید در برنامه SMF توسط کانون پژوهشگران دانش امنیت (تیم امنیتی پرشین هکرز سابق) کشف شد.
تاریخ کشف :

2 آذر 1384
درباره برنامه :

Simple Machines Forum سیستم تالار گفتمان است که براساس قابلیت های PHP و MySql پایه ریزی شده و به طور گسترده ای در اینترنت مورد استفاده قرار گرفته است. برای اطلاعات بیشتر به وبسایت گروه توسعه دهنده در آدرس زیر مراجعه فرمایید.

http://www.simplemachines.org
شرح :

----------------

این سیستم دارای آسیب پذیری تزریق به پایگاه داده ها (SQL_Injection) در ورژن 1.1 RC 1 میباشد.
نسخه فوق آخرین نسخه ارائه شده بوده و این امکان وجود دارد که نسخه های پیشین نیز آسیب پذیر باشند.
آسیب پذیری :

--------------------

تزریق به پایگاه داده ها :
با توجه به قسمتی از کدهای صفحه Memberlist.php
.

.

------------/CUT/------------

if (!is_numeric($_REQUEST['start']))

{

$request = db_query("

SELECT COUNT(ID_MEMBER)

FROM {$db_prefix}members

WHERE LOWER(SUBSTRING(realName, 1, 1))

AND is_activated = 1", __FILE__, __LINE__);

list ($_REQUEST['start']) = mysql_fetch_row($request);

mysql_free_result($request);

}

CUT/------------i/------------

.

.
همانطور که میبینید اسکریپت به درستی ورودیهای کاربران را هنگام دریافت پارامتر 'start' اعتبار سنجی نمیکنند که به مهاجم این امکان را میدهد تا با تهیه پارامترهای دلخواه , دستورات SQL را از طریق آدرس زیر در پایگاه داده ها تزریق و اجرا نماید.
http://example.com/smf/index.php?action=ml...;start='SQL

راهکار امنیتی :

--------------------

در حال حاضر وصله امنیتی در ارتباط با این موضوع از طرف گروه توسعه دهنده وجود ندارد.

توصیه گروه امنیتی کپدا برای برطرف کردن موقت این آسیب پذیری:

در صفحه /Sources/Memberlist.php خطوط زیر را پیدا کرده:
if (!is_numeric($_REQUEST['start']))

{
و این خطوط را بلافاصله در خط بعد از آن اضافه کنید:
$Pattern="[A-Za-z]";

if (!eregi($Pattern, $_REQUEST['start'])) die('Hacking attempt...');
لینک گزارش :

http://irannetjob.com/content/view/173/28

http://kapda.ir/advisory-155.html (فارسی)
اطلاعات بیشتر :

http://www.securityfocus.com/archive/1/419068/30/0/threaded

http://www.securityfocus.com/bid/15791
توسط :

علیرضا حسنی

trueend5 [at} kapda.ir
منبع : http://www.kapda.ir

گزارش CERT/CC از وضعیت امنیت شبکه در سال 2003

دوشنبه, ۱۶ آبان ۱۳۸۴، ۰۷:۰۸ ب.ظ | ۲ نظر

هفته گذشته موسسه CERT/CC – مرکز اصلی هماهنگی گروههای امداد امنیت کامپیوتری در سطح جهان - گزارشی از فعالیتهای خود را طی سال 2003 عرضه کرد که گروه امداد امنیت کامپیوتری ایران ( IRCERT ) با توجه به اهمیت مطالب این گزارش, چکیده ای از این گزارش را جهت استفاده بازدید کنندگان سایت عرضه می کند.

مهمترین حوادث امنیتی سال 2003
مهمترین حملات سال 2003 از دید CERT دو حمله زیر بوده است:
کرم اینترنتی W32/Sobig.F

این کرم اینترنتی که از طریق ویروس منتشر می شد براساس ارسال از طریق پیوست ایمیل (Attachment) فعالیت میکرد. اجرای موفقیت آمیز این کرم اینترنتی منوط به باز کردن پیوست ایمیل توسط کاربر یا اجرای اتوماتیک آن توسط یک برنامه کلاینت بود. Sobig سپس به صورت اتوماتیک به تمامی آدرسهای یافت شده بر روی کامپیوتر آلوده مجددا ارسال می شد.
MS-SQL Server Worm/W32.Slammer

نفوذ گران با استفاده از یک قطعه کد منتشر شونده و نیز بهره گیری از یک شکاف امنیتی موجود بر روی MS-SQL Server2000 و نیز MSDE توانستند علاوه بر تغییر و دستکاری اطلاعات حساس موجود بر روی انواع سرورها ، کنترل ماشینهایی که این برنامه ها بر روی آنها اجرا می شد را نیز به دست گیرند. سازمان CERT پیشتر و در طی یک راهنمایی امنیتی وجود شکافهای جدی امنیتی بر روی این دو محصول را هشدار داده بود. زمانی که با استفاده از این شکافها کرم Slammer نوشته شد نیز سازمان CERT طی یک راهنمایی امنیتی این مساله را به مخاطبین خود هشدار داد.


مهمترین شکافهای امنیتی سال 2003
مهمترین شکافهای امنیتی نیز از دید سازمان CERT دو شکاف امنیتی زیر بوده اند:
انواع شکافهای امنیتی در سرویس RPC ویندوز
طی هشدار امنیتی CA-2003-16 ,CERT وجود شکافهای جدی امنیتی را در سرویس RPC ویندوز هشدار داد. طی دو هفته بعد انواع گزارشات در باب استفاده نفوذگران از این شکافها به CERT ارسال شد که در نهایت منتهی شد به انتشار راهنمایی CA-2003-19 شکافهایی متعدد امنیتی در Internet Explorer

راهنمایی امنیتی CA-2003-22 حداقل شامل پنج شکاف مهم در IE است که هر کدام از این شکافهای امنیتی میتوانند امکان اجرای یک حمله DoS را به نفوذگر بدهند یا حتی کنترل کامل کامپیوتر را به نفوذگر بسپارند.


جمع بندی
در نهایت در طی سال 2003 ، بیست و هشت راهنمایی امنیتی به شرح زیر توسط سازمان CERT منتشر شده است:
سرریز بافر در ISC DHCPD

کنسرسیوم نرم افزاری اینترنت ( ISC ) چندید مشکل سرریز بافر را در پیاده سازی DHCP پیدا کرده است. این حفره ها می توانند به نفوذگران اجازه اجرای کدهای دلخواه بر روی کامپیوترهای قربانی را بدهد.
خطای Double Free در سرور CVS

این خطا در سرور Concurrent Versions System باعث می شود تا یک نفوذگر غیرمجاز بتواند از راه دور و تنها با اجازه دسترسی خواندن , یک کد دلخواه را اجرا کند , اجرای برنامه را متوقف کند , اطلاعات حساسی را بخواند و یا باعث حمله DoS شود.
سرریز بافر در سرویس Locator ویندوز

این حفره امنیتی می تواند به یک نفوذگر از راه دور اجازه دهد تا کدی دلخواه را اجرا کند یا سرویس Locator ویندوز را با مشکل روبرو کند. این سرویس به صورت پیش فرض فعال است و در کنترلرهای دامنه در ویندوزهای NT و 2000 در حال اجرا است.
کرم MS-SQL Server

CERT/CC گزارشهای متعددی را درباره یک کد خطرناک که خود را منتشر می کند و از حفره های موجود در سرویس Resolution در Microsoft SQL Server 2000 استفاده می کند , دریافت کرده است. انتشار این کرم باعث شده است تا مشکلات ترافیکی در شبکه های مختلف بوجود آید.
چند خطای امنیتی در سرور اوراکل

چند حفره و مشکل امنیتی در نرم افزار اوراکل وجود دارد که می تواند باعث اجرای کد دلخواه , صدور اجازه خواندن , نوشتن یا تغییر اطلاعات نوشته شده در پایگاه داده های این نرم افزار یا حمله DoS شود.
چند خطای امنیتی در پیاده سازی پروتکل SIP

وجود حفره های متعدد امنیتی در پیاده سازی های شرکت های مختلف از پروتکل Session Initiation یا SIP گزارش شده است. این حفره های می توانند به یک حمله کننده اجازه دهند تا دسترسی غیرمجاز ممتازی پیدا کند و باعث بروز حملات DoS یا عدم ثبات رفتاری سیستم شود.
سرریز بافر در SendMail

این حفره امنیتی در sendmail می تواند باعث شود تا هکر اختیار root را در سرور sendmail به دست بگیرد.
حمله به سرویس اشتراک فایل در ویندوز

در هفته های گذشته CERT متوجه شده است که گزارشهای رو به افزایشی از دارندگان سیستم عاملهای ویندوز XP و 2000 درباره ضعف امنیتی اشتراک فایل در این سیستم عامل ها بدست می رسد.
سرریز بافر در یکی از DLL های اصلی ویندوز

یک حفره امنیتی سرریز بافر در کتابخانه های Win32 API در تمامی نسخ ویندوز 2000 وجود دارد. این حفره که در سرورهای IIS 5.0 دارای WebDAV به صورت فعال مورد استفاده قرار می گیرد ، به یک هکر اجازه می دهد تا از راه دور یک کد دلخواه را روی سیستم اجرا کند. سایتهایی که از ویندوز 2000 استفاده می کنند باید هرچه سریعتر اصلاحیه امنیتی مربوطه را نصب کنند یا خدمات WebDAV را غیرفعال کنند.
سرریز Integer در یکی از توابع کتابخانه ای SUN

خطای سرریز Integer در تابع xdrmem_getbytes() و به عنوان بخشی از کتابخانه XDR سیستم عامل Sun توزیع شده است. این خطا می تواند باعث بروز سرریز بافر در برنامه های مختلف و در نتیجه امکان اجرای کد دلخواه بر روی سیستم شود. علاوه بر Sun بعضی شرکتهای دیگر نیز این کد را در پیاده سازی های خود به کار گرفته اند.
چند خطای امنیتی در Lotus

چند اشکال امنیتی در Lotus Notes clients و سرورهای Domino گزارش شده است. این راهنمایی جزئیات این اشکالات ، نسخ در خطر و اصلاحیه های مربوط را معرفی می کند.
سرریز بافر در SendMail

این حفره امنیتی در sendmail می تواند باعث شود تا هکر اختیار root را در سرور sendmail به دست بگیرد.
چند خطای امنیتی در Snort

دو حفره امنیتی در سیستم تشخیص نفوذ Snort وجود دارد که هر یک در ماژول پیش پردازنده قرار دارد. هر دو حفره به هکرها اجازه می دهد تا به عنوان کاربری که Snort را اجرا می کند ( معمولا root ) کدی دلخواه را از راه دور روی سیستم اجرا کند.
سرریز بافر در یکی از توابع تبدیل HTML در ویندوز

یک حفره سرریز بافر در کتابخانه اشتراکی تبدیل HTML ویندوز وجود دارد. یک هکر می تواند از این حفره استفاده کند تا کدی دلخواه را اجرا کند یا یک حمله DoS را اجرا کند.
شکاف امنیتی در CISCO IOS

یک حفره در بسیاری از نسخ Cisco IOS می تواند به یک نفوذگر اجازه دهد تا از حمله DoS استفاده کند.
سرریز بافر در سرویس RPC ویندوز

یک سرریز بافر در پیاده سازی RPC مایکروسافت وجود دارد. یک هکر می تواند از راه دور و با استفاده از این حفره کدی دلخواه را روی سیستم قربانی اجرا کند یا حمله DoS انجام دهد.
دسترسی عام به Exploit مربوط به خطای امنیتی CISCO

یک خطای امنیتی Cisco به صورت عمومی در اختیار کاربران قرار گرفته است. Exploit مربوطه در VU#411332 شرح داده شده است.
سرریز Integer در DirectX

مجموعه ای از سرریزهای Integer در کتابخانه DirectX ویندوز وجود دارد. یک هکر می تواند با استفاده از این حفره ها کدی دلخواه را روی سیستم قربانی اجرا کند یا حمله DoS انجام دهد.
دسترسی عام به Exploit مربوط به سرریز بافر در RPC ویندوز

CERT گزارشاتی را درباره استفاده گسترده از دو حفره امنیتی که اخیرا کشف شده اند دریافت کرده است. این دو حفره در واسط RPC قرار دارند.
کرم Blaster

CERT گزارشاتی را درباره فعالیت گسترده کد خطرناکی به نام W32/Blaster دریافت کرده است. این کرم اینترنتی از حفره های امنیتی شناخته شده در واسط RPC ویندوز برای نفوذ استفاده می کند.
مشکل امنیتی سرور FTP مربوط به پروژه GNU

CERT گزارشی را دریافت کرده است مبنی بر این که سیستم میزبانی سرورهای اصلی FTP در پروژه GNU هک شده است.
چند شکاف امنیتی در IE

IE دارای چند حفره امنیتی است که مهمترین آنها به یک هکر اجازه می دهد تا از راه دور کدی دلخواه را اجرا نماید.
شکاف امنیتی در RPCSS ویندوز

مایکروسافت بولتنی را منتشر کرده است که در آن سه حفره امنیتی را که بسیاری از نسخ ویندوز را تحت تاثیر قرار می دهند توضیح داده است. دو حفره شامل امکان سرریز بافر هستند و به یک هکر اجازه می دهند تا کدی دلخواه را روی سیستم قربانی اجرا کند. سومین حفره به یک مهاجم اجازه می دهد تا حمله DoS‌انجام دهد.
شکاف امنیتی در مدیریت بافرها در OPENSSH

در نسخ پیش از نسخه 3.7 OpenSSH یک حفره امنیتی در تابع مدیریت بافر وجود دارد. این حفره می تواند به یک هکر اجازه دهد تا حافظه heap را تخریب کند و باعث بروز شرایط DoS شود. همچنین هکر امکان اجرای کد دلخواه را نیز خواهد داشت.
سرریز بافر در SendMail

این حفره امنیتی در sendmail می تواند باعث شود تا هکر اختیار root را در سرور sendmail به دست بگیرد.
چند شکاف امنیتی در پیاده سازی SSL و TLS

جندین شکاف امنیتی در پیاده سازی های مختلف پروتکلهای SSL و ‏TLS وجود دارد. این شکافها در کد ASN.1 وجود داشته اند. مهمترین آنها می تواند به هکر اجازه اجرای کد دلخواه و انجام DoS را بدهد.
چند شکاف امنیتی در ویندوز و Exchange

چند حفره امنیتی در دو محصول ویندوز و Exchange وجود دارد که مهمترین آنها به هکر اجازه اجرای کد دلخواه را می دهد.
سرریز بافر در سرویس WorkStation ویندوز

یک سرریز بافر در سرویس WorkStation ویندوز (WKSSVC.DLL) وجود دارد که یک هکر می تواند با استفاه از آن کد دلخواهی را اجرا کند و یا حمله DoS‌ انجام دهد.
منبع:گروه امداد امنیت کامپیوتری ایران

راهنمای والدین با توجه به رده سنی کودکان

دوشنبه, ۱۱ مهر ۱۳۸۴، ۰۷:۴۴ ب.ظ | ۰ نظر

آیا کودکانتان در آغاز اتصال به اینترنت قرار دارند یا تجربه کار با وب را دارند؟ در هر صورت شما می توانید آنها را در استفاده از اینترنت، همچنان که رشد می کنند و در گروه های سنی متفاوتی قرار می گیرند، راهنمایی کنید.
این مقاله به شما کمک می کند که بفهمید کودکان در سنین مختلف از اینترنت چه استفاده هایی می کنند. بنابراین شما می توانید درباره آنچه که به بهبود امنیت کودکانتان در استفاده از اینترنت کمک می کند، بیشتر بیاموزید.


سنین ۲ تا ۴ سالگی:
در طی این دوره، استفاده از اینترنت مستلزم حضور والدین است. والدین می توانند کودکانشان را روی پای خود بنشانند و به عکس های خانوادگی نگاه کنند، از یک دوربین وب برای ارتباط با خویشاوندان استفاده کنند و یا به سایت هایی که مخصوص کودکان طراحی شده، سر بزنند.
سنین ۵ تا ۶ سالگی:
زمانی که کودکان به ۵ سالگی می رسند، احتمالاً خودشان می خواهند به مکاشفه در اینترنت بپردازند. مهم است که والدین کودکانشان را برای حرکت در اینترنت به صورت امن تر در هنگامی که کودکان استفاده از اینترنت را به تنهایی آغاز می کنند، راهنمایی کنند. بعضی از سایت ها نیز برای این گروه سنی کودکان یعنی زیر ۸ سال طراحی شده اند و ابزار مناسبی برای جستجو در اختیار کودکان قرار می دهند.
سنین ۷ تا ۸ سالگی:
بخشی از رفتار طبیعی کودکان در این گروه سنی این است که کمی شیطنت کنند. مثلاً در هنگام اتصال به اینترنت این رفتار ممکن است شامل رفتن به سایت ها یا اتاق های گفتگویی شود که والدینشان اجازه نداده اند. گزارش های فعالیت های آنلاین می تواند بخصوص در طول این سنین، مفید باشد. کودکان احساس نخواهند کرد که والدینشان آنها را تحت نظر دارند، اما گزارش نشان می دهد که آنها به کجا سر زده اند. این گروه از کودکان همچنان از استفاده از سایت های مخصوص خودشان احساس خوشایندی دارند.
سنین ۹ تا ۱۲ سالگی:
در دوران قبل از نوجوانی، کودکان می خواهند از هرچیزی سر دربیاورند . آنها در مورد آنچه که در اینترنت موجود است، شنیده اند. طبیعی است که سعی کنند آنچه را که وجود دارد، ببینند. والدین می توانند با استفاده از ابرازهای کنترلی جهت کنترل دسترسی و یا مسدود سازی بعضی سایتها و موضوعات استفاده کنند. این گروه هنوز می توانند از سایت های مخصوص کودکان ۸ تا ۱۳ سال استفاده کنند.
سنین ۱۳ تا ۱۷ سالگی
کمک به نوجوانان برای امنیت در مقابل اینترنت، احتیاج به مهارت خاصی دارد، زیرا آنها اغلب در زمینه نرم افزارهای اینترنتی بیشتر از والدین خود می دانند. والدین باید نقش فعال تری در هدایت کودکان بزرگتر برای استفاده از اینترنت برعهده گیرند. رعایت جدی قوانینی که بر سر آنها بین کودکان و والدین موافقت صورت گرفته و مرور مرتب گزارش های فعالیت های آنلاین فرزندان بسیار مهم است. والدین باید بخاطر داشته باشند که باید کلمات عبور خود را محافظت کنند، تا نوجوانان نتوانند بعنوان والدین در جایی وارد شوند.

منبع : http://www.ircert.com

آشنایی با حملات pharming

دوشنبه, ۱۱ مهر ۱۳۸۴، ۰۷:۴۲ ب.ظ | ۰ نظر

تهدیدهای جدیدی که هویت و اطلاعات کاربر را هدف قرار داده اند،‌رویکردهای جدید امنیتی را طلب می کند.
امروزه، حملات phishing ساده تر و کم خطرتر از تهدیدهای آنلاینی که در حال تجربه شدن هستند، به نظر می رسند. حملات phishing به آسانی شناخته می شوند و می توان به سرعت آنها را از کار انداخت. جرائم سازمان یافته از این حد گذشته و پیچیدگی آنها به طرز چشم گیری افزایش یافته است. امروزه، کاربران با اشکال موذیانه تری از حمله مواجه می شوند و کشف و مقابله علیه آنها بسیار مشکل تر است.
گونه ای جدید از حمله
این گونه جدید حمله بعنوان pharming شناخته می شود. pharming بجای اینکه کاربر را گول بزند تا به یک ایمیل تقلبی پاسخ دهد تا او را به یک وب سایت جعلی هدایت کند، برای فریب دادن کاربر برای تسلیم هویت و اطلاعات حساسش، از روش های زیرکانه تری استفاده می کند. این حملات از اسب های تروا (تروجان) برای نصب برنامه های کلیدخوان و برنامه های هدایت کننده استفاده می کنند تا به یک نفوذگر اجازه دهند کلمات عبور و شماره کارت های اعتباری را بدست آورد، بدون اینکه کاربر مجبور به انجام کاری غیرعادی باشد. در اینجا دو مثال از نحوه این حمله آورده شده است:
۱- کاربر یک ایمیل ظاهراً صحیح را باز می کند که او را تشویق می کند تا فایل الحاقی به ایمیل را باز کند. این فایل الحاقی بصورت مخفیانه یک «کلیدخوان» (برنامه ای است که کلیدهایی را که توسط کاربر زده می شود، ثبت می کند) نصب می کند. هنگامی که کاربر به بانک آنلاین خود سر می زند، کلیدخوان این را تشخیص می دهد و ورودی های صفحه کلید کاربر را هنگامی که وی اسم و کلمه عبور را تایپ می کند، ثبت می کند. سپس این اطلاعات برای نفوذگر ارسال می شود تا برای دسترسی به حساب کاربر استفاده شود.
۲- یک کاربر ممکن است با دانلود کردن یک فایل یا مشاهده یک وب سایت که حاوی ActiveX control است، سهواً یک «هدایت کننده» (redirector) را روی سیستم خود نصب کند. این کار باعث می شود که فایل های موجود در سیستم دچار تغییراتی شود و هنگامی که کاربر به بانک آنلاین خود سر می زند، به وب سایت نفوذگر هدایت شود. این عمل می تواند با مسموم کردن سرور DNS انجام گیرد که برای آدرس بانک آنلاین کاربر، IP وب سایت نفوذگر را می فرستد. حملات پیچیده تر می توانند ارتباط را با بانک کاربر برقرار کنند و هنگامی که پروسه در حال انجام است، ترافیک عبوری بین کاربر و بانک (شامل کلمات عبور و اطلاعات شخصی) را مشاهده کنند. در اصل نفوذگر خود را بین کاربران و بانک قرار می دهد.
چه می توان کرد؟
از نظر تاریخی، رویکرد امنیتی که برای این نوع از حملات بکار گرفته شده است، مشابه مفهوم گارد مرزی (Boarder Guard) بوده است. ورود موارد زیان رسان را به کامپیوتر متوقف کنید و جلوی کاربر را از رفتن به مکان های بد بگیرید. ابزارهایی مانند آنتی ویروس، ضدجاسوس، فایروال ها و تشخیص دهندگان نفوذ، همگی چنین رویکردی دارند. به هرحال، همچنانکه حملات به رشد خود ادامه می دهند و پیچیده تر می شوند، نمی توان از احتمال نصب شدن موفقیت آمیز یک کلیدخوان یا هدایت کننده علیرغم این گاردهای مرزی، غافل ماند.
برای سروکار داشتن با این احتمال، رویکرد متفاوت دیگری مورد نیاز است. علاوه بر ابزارهایی که ذکر آنها رفت، نیاز است که هویت و اطلاعات کاربران توسط محافظ شخصی (body guard) مراقبت شود. یعنی، نیاز است که هویت و اطلاعات شخص بدون در نظر گرفتن نوع حمله و جایی که اطلاعات کاربر به آنجا می رود، همواره امن باقی بماند. این نوع امنیت قابلیت های محافظ شخصی را برای هویت کاربر ایجاد می کند و اهمیتی ندارد که اطلاعات کاربر به کجا فرستاده می شود و کلیدخوان نصب شده است و یا اینکه نفوذگر می تواند ترافیک اینترنت را نظارت کند.
دو قابلیت امنیتی وجود دارد که می تواند توانایی این محافظ شخصی را پیاده کند. اولی تصدیق هویت قوی (strong authentication) است. امروزه، کاربران عموماً برای محافظت از هویتشان به یک کلمه عبور اطمینان می کنند، اما احتمال زیادی وجود دارد که کلمه عبور توسط کسی که نظاره گر login است، دزدیده شود. داشتن یک عامل اضافی برای تصدیق هویت، یعنی چیزی که کاربر باید بصورت فیزیکی داشته باشد علاوه بر آنچه که می داند، می تواند یک هویت آنلاین را در برابر حمله محافظت کند. این کار قابل مقایسه با چگونگی تأیید هویت کاربران در ماشین های خودپرداز بانک است. کاربران هم کارت بانکی دارند و هم PIN را می دانند. با تصدیق هویت قوی، اگر کلیدخوان هم نصب شده باشد، می تواند تنها کلمه عبور را بگیرد و نه عامل فیزیکی استفاده شده در پروسه تصدیق هویت را. کلمه عبور به تنهایی و بدون فاکتور فیزیکی نمی تواند توسط نفوذگر برای دسترسی به حساب کاربر مورد استفاده قرار گیرد.
توانایی مهم دوم رمزنگاری مداوم است. امروزه، SSL (Secure Socket Layer) از اطلاعات ارسال شده توسط کاربران بگونه ای محافظت می کند که انگار تنها به سرور هدف ارسال می شوند. برای مثال، اگر یک کاربر کلمه عبور خود را وارد کند، به راحتی تا زمان رسیدن به و ب سرور در طرف دیگر، قابل مشاهده است. در مورد یک حمله هدایت کننده، ارتباط امن در سایت نفوذگر پایان می پذیرد و قبل از اینکه به سازمان آنلاین قانونی ارسال شود، دیتای کاربر در معرض افشاء قرار می گیرد. رمزنگاری مستمر می تواند از دیتا ،بدون در نظر گرفتن امنیت ارتباط، محافظت کند. ورودی های کاربر قبل از ترک کامپیوتر کاربر رمز می شوند و می توانند تنها توسط سازمان قانونی که به سرورهای طرف دیگر دسترسی دارد، رمزگشایی شوند. حتی اگر دیتا به این سرور نرسد، رمزشده باقی خواهد ماند و برای یک نفوذگر قابل استفاده نیست.
این دو قابلیت به همراه هم، می توانند نقش محافظ شخصی را برای محافظت از هویت و اطلاعات کاربر در دنیای خصمانه! اینترنت ایفاء کنند.

بررسی دنیای واقعی
چند انتخاب وجود دارند که می توانند امنیت محافظ شخصی را فراهم کنند اما باید با استفاده از نیازهای دنیای واقعی اینترنت ارزیابی شوند. چنانچه کاربر با یک تکنولوژی احساس راحتی نکند، آن را نخواهد پذیرفت. اگر تکنولوژی خیلی گران باشد، نه برای کاربر انتهایی قابل تهیه خواهد بود و نه برای سازمان مربوطه.
چندین عامل وجود دارد که باید به هنگام تشویق کاربران به پذیرش تکنولوژی مورد نظر مورد توجه قرار گیرند:
· نرم افزار کلاینت ـ هر نیازی به دانلود و نصب نرم افزار به عنوان یک مانع است...
· واسط نرم افزار ـ خطرات و پیچیدگی که کاربر برای پیاده سازی تجربه می کند...
· راحتی استفاده ـ مخصوصاً برای تصدیق هویت دو عامله! ، راحتی استفاده شامل قابلیت حمل، دوام است. سهولت کار با واسط کاربر نیز مورد توجه جدی است.

مشخصاً زمانی که از این نوع فناوری با مقیاس بالا بکارگرفته شود، هزینه این رویکرد می تواند در امکانپذیری آن موثر باشد. اگر هزینه کل سیستم خیلی بالا باشد، سازمان ها برای برقراری این امنیت اضافی برای یک مورد تجاری مورد قبول، نیاز به مطالبات مالی از کاربران دارند. در این موارد کاربران به راحتی راضی به پرداخت های اضافی برای برقراری این امنیت بیشتر نمی شوند.

به این منظور تکنولوژی های محافظ شخصی باید سطح بالایی از امنیت را در حالی که هزینه کمی در بردارند و برای استفاده آسان هستند، فراهم کنند.

منبع: http://www.ircert.com