از ایمن بودن داده‌های خود چقدر مطمئنید؟

مجید جویا: در سال 2002، مارک گرشتاین، متخصص بیوانفورماتیک و همکارانش سروری را راه‌اندازی کردند تا میزبان برخی از داده‌های معمول ژنومیک باشد. در داخل این سیستم یک نرم‌افزار رایگان به نام Snort نصب شده بود که پیوسته ترافیک غیرعادی شبکه، اسکن‌های پنهانی و اختلالات عملکردی سرور را که ممکن بود ناشی از تلاش برای نفوذ به داخل سیستم باشد، مانیتور می‌کرد.

هفت ماه بعد، تصویری که به چشم می‌خورد یک سرور تحت محاصره بود.گرشتاین که در دانشگاه نیوهیون در کانکتیکات مشغول پژوهش است، می‌گوید: «اگر شما یک سرور داشته باشید، به طور مداوم در معرض حمله قرار دارد». اکثر روزها، ده بار یا کمتر به سرور ضربه وارد می‌شد، ولی در مواقعی هم تعداد ضربه‌ها به هزاران مورد می‌رسید. گرشتاین اشاره می‌کند که همه این ضربه‌ها حمله نبودند. در دو روز پر حمله، بیش از 90 درصد رخداد‌ها تلاش برای ایجاد "buffer overflow" بودند که در آن، مقادیر زیادی از داده‌ها در حافظه سیستم نوشته می‌شود تا آن را از کار بیندازد، و آن را در برابر مهاجم بی‌دفاع بگذارد.

به گزارش نیچر، در مواجهه با چنین حمله بی‌رحمانه‌ای، اکثر سرمایه‌گذاری‌ها در شبکه اینترنت، باید با احتیاط انجام شوند. به گفته گرشتاین، نتیجه گماردن یک دانشجوی تحصیلات تکمیلی با تجربه اندک برای راه‌اندازی یک وب‌سایت، ممکن است فاجعه‌بار باشد. هکرها با ورود چه از طریق ضعف در کدگذاری یا پورت‌های باز (نقاط ورودی دیجیتال به سخت‌افزار و سیستم‌عامل کامپیوترها) می‌توانند محتوای سایت را تغییر دهند و یا بدتر از آن، بدافزارهایی را روی دستگاهی که آن را اجرا می‌کند، نصب کنند. حمله‌ها می‌توانند گستره‌ای وسیعی را در بر بگیرند، از نصب نرم‌افزارهایی به منظور نفوذ به منابع سیستم گرفته تا نرم‌افزارهای اسکن برای سرقت داده‌های شخصی و رمز عبور کاربران. برخی از مهاجمین سیستم‌های دانشگاهی را هدف می‌گیرند تا منابع محاسباتی یا حتی محتوای معنوی (مانند ترکیبات اختصاصی، طراحی‌ ابزارها، داده‌های حق مالکیت معنوی و ارتباطات افراد) را به سرقت ببرند. به نظر می‌رسد که مسئولیت فاش شدن ای میل‌های واحد پژوهش‌های آب‌وهوایی دانشگاه ایست آنجلیای انگلیس را که در اثر آن بحرانی در اعتماد به داده‌های علوم آب‌وهوایی پدیدار شد نیز باید به پای هکرها نوشت.

حفاظت پردردسر
حفاظت از داده‌های پژوهشی چالش‌های خاص خود را دارد. بیشتر کارشناسان آی‌تی پیشنهاد می‌کنند که ذخایر بزرگ یا حساس داده‌ها توسط گروه متمرکز آی‌تی مدیریت شوند که می‌تواند سیستم‌ها را مدیریت و نظارت کند و از نزدیک بر ترافیک و محدودیت دسترسی نظارت داشته باشد. ولی این در تعارض با عادت پژوهشگرانی است که نیاز دارند این داده‌ها در اختیار طیف گسترده‌ای از پژوهشگران و دانشجویان قرار بگیرد. تا جایی که افرادی مانند فیلیپ زامور، زیست‌شناس دانشکده پزشکی دانشگاه ماساچوست می‌گویند: «ترجیح می‌دهم که داده‌هایم ناامن ولی آزاد باشند».

مایکل کورن، مسئول بخش امنیت سایبری دانشگاه ایلی‌نوی، تخمین می‌زند که فایروال دانشگاه، با چیزی بین 2 تا 3 میلیون بار اسکن در هر روز مقابله می‌کند؛ آن‌ها مهاجمین گذرایی هستند که به دنبال پورت‌های ارتباطی باز می‌گردند. به گفته او درصد چشم‌گیری از اینها از «متخصصینی که در خدمت گروه‌های تبهکاری سازمان یافته هستند» نشات می‌گیرند. این فقط کورن نیست که با چنین وضعی مواجه است، به گفته دالاس تورنتون، همتای وی در دانشگاه کالیفرنیا در سن‌دیگ، شبکه مرکز ابررایانه این دانشگاه، به طور متوسط 27 هزار تلاش برای حمله را در سه ماه اول سال 2010 / زمستان 1388 ثبت کرده است. به گفته تورنتون این عدد نشان دهنده تنها بخشی از حملات است، چرا که خیلی از حملات ساده و ابتدایی در آن نادیده گرفته شده‌اند.

حملات موفق اما کمتر از این هستند. به تازگی، وب‌سایت حوادث امنیتی آموزشی گزارش داد که در فاصله بین جولای 2005 / تیر 1384 تا دسامبر 2009 / آذر 1388، مراکز آموزش عالی تقریبا 500 مورد از سرقت، از دست رفتن و یا افشای اطلاعات را ثبت کرده‌اند. اکثر این موارد در ایالات متحده رخ داده‌اند؛ تنها ده مورد در انگلستان، 11 مورد در کانادا و 8 مورد در ژاپن. ولی این تنها نوک کوه یخ است؛ چرا که به گفته کابینسکی اکثر حملات گزارش نمی‌شوند. مک‌کنی گزارش داده که رشد جرایم سایبری در انگلستان از میزانی که در 15 ماه پیش می‌شد حدس زد، خیلی بیشتر است.

یک سازمان غیر انتفاعی متخصصین تحصیلات تکمیلی آی‌تی که ارزیابی‌های سالیانه مسئولین امنیت شبکه دانشگاه‌ها را بر عهده دارد، در گزارش سال 2009 خود، امنیت را سومین مشکل بزرگ آی‌تی حال حاضر در موسسات آموزشی تحصیلات تکمیلی می‌داند. مسئولین امنیتی این موسسات دو مشکل حاد دارند. یکی پشتیبانی مالی است که در رده اول این ارزیابی قرار گرفته است. برای مثال دانشکده پزشکی دانشگاه ویسکانسین با 1300 کامپیوتر و 500 نفر کارمند و هزاران نفر دانشجو، تنها یک نفر مسئول آی‌تی دارد. در چنین شرایطی، به گفته رابرت همرز رئیس دانشکده:‌ «کار زیادی از دست این فرد بر نمی‌آید». سال گذشته هکرهای خارجی از نبود فایروال استفاده کرده و با نفوذ به 40 کامپیوتر دانشکده، نرم‌افزارهایی را بر روی آن‌ها نصب کردند که آنها را به سرورهای اشتراک فایل برای موسیقی، فیلم و برنامه‌های تلویزیونی دارای کپی‌رایت تبدیل کرده بود.

استقلال در برابر حفاظت
مشکل دیگر استقلال پژوهشگران است. پژوهشگران دانشگاهی باید بتوانند نرم‌افزارهای مورد نیاز خود را نصب کنند تا با همکاران خود تشریک مساعی کنند، ابزارهای جدید برای مصرف عمومی یا خصوصی درست کنند، و هر کار دیگری از این دست. علاوه بر آن، پژوهشگران «بهترین افراد جهان در عدم رعایت دستور العمل‌ها هستند»!

دانشگاه‌ها معمولا این مشکل را با بهره‌گیری از سرویس‌های متمرکز خود حل می‌کنند. خیلی از موسسات آکادمیک یک سیستم دفاعی مشترک ولی کاملا موثر دارند که هر کاری را، از ارسال به‌روزرسانی‌های امنیتی سیستم‌عامل و آنتی‌ویروس گرفته تا کنترل از راه دور ترافیک شبکه و راه‌اندازی شبکه‌های مجازی امن برای ارتباط‌های کدگذاری شده و ماشین‌های مجازی، مدیریت می‌کند. ماشین‌های مجازی جایگزین سخت‌افزار هستند: به رغم این‌که واسط کاربری مشابه یک کامپیوتر واقعی یا یک سرور شبکه است، آنها در عمل از طریق پنجره‌هایی که بر روی یک کامپیوتر میزبان مرکزی باز می‌شوند کار می‌کنند.

به گفته گرشتاین قسمت عمده آزمایشگاه او بر روی شبکه‌ای از ماشین‌های مجازی بنا شده است. به این ترتیب آنها از همه منابعی که روی شبکه می‌گذارند پشتیبان تهیه می‌کنند و اگر بخشی از داده‌های آنها هک شود نگرانی بابت از دست رفتن آن ندارند.

به گفته چابینسکی، این که هر پژوهشگر چقدر باید نگران باشد، بستگی به محاسبات هزینه و فایده خود او از ارزش امنیت و درستی داده‌هایش هم برای خود او و هم برای رقبایش دارد. نتیجه محاسبه خیلی‌ها این می‌شود که دلیلیبرای نگرانی وجود ندارد، چرا که با تهیه کپی‌های منظم از داده‌های خود می‌توانند هر زمان که مشکلی پیش آمد، به سادگی آن را برطرف کنند. ولی کسانی که می‌خواهند داده‌های باارزش شخصی، اقتصادی و یا محرمانه را ذخیره کنند، «باید در مورد امنیت سیستم خود کاملا مطمئن باشند». 

این مسئله آن قدر مهم است که سازمان‌های دولتی ارائه کننده کمک‌هزینه‌های پژوهشی در ایالات متحده، اطمینان از انطباق ایمنی داده‌های حساس از جمله گزارش‌های سلامتی با قانون مدیریت ایمنی اطلاعات سال 2002 را جزو شروط خود قرار داده‌اند. به این ترتیب، «یک حادثه ایمنی در یک دانشگاه، فقط با عذرخواهی دانشگاه و یا یک پرونده حقوقی تمام نمی‌شود، بلکه می‌تواند به لغو کمک‌های دولتی به تحقیقات آن منجر شود».

آموزش‌های پیشگیرانه می‌تواند کم‌هزینه‌ترین سلاحی باشد که مسئولین آی‌تی در اختیار دارند. مخصوصا وقتی که در نظر بگیریم هیچ زیرساختی نمی‌تواند بر بی‌احتیاطی کاربر غلبه کند.

مارتی لیندر، مهندس ارشد تیم پاسخ سریع کامپیوتری برنامه مهندسی نرم‌افزار موسسه کارنگی ملون می‌گوید: «بهترین راه برای ایمنی یک کامپیوتر این است که صفحه کلید را حذف کنیم، به این ترتیب دیگر اشتباه انسانی در کار نخواهد بود».