گفتگو با رمزنویس مشهور ، بروس اشنایر

بروس اشنایر رمزنویس بزرگ در گفتگو با اسكات بریناتو (سردبیر مجله CSO) نظریات جدید خود را درباره نگاه تاریخی به امنیت سیستم ها از بعد فیزیكی و فنی ارائه كرده است.

این گفتگو حول موضوع رمزنگاری (CRYptographer

*

) با او انجام شده است وی به عنوان موسس امنیت اینترنت در Counterpane co نسبت به مطبوعات واكنشی مهاجمانه داشته و به سختی با آن كنار می آید اما وقتی هم كه okدهد، می توان دنیای تحولات امنیتی در اینترنت و شبكه های رایانه ای را از كلامش در مصاحبه ای كوتاه گرفت.

بروس در كتاب جدید خود به نام Beyond fear: Thinking sensibly About Security in an uncertain world به عنوان بت شكن نگاهی غیر آی تی آنه (Non IT) به امنیت سیستم ها دارد و چالش های امنیت فیزیكی را به عنوان ترمی جدید (New Term) در سیستم ها و شبكه ها بررسی می كند و از آن شمایی كلی در اختیار خواننده قرار می دهد. در این راستا حركتی بلند پروازانه از infosecurity به دنیای جدیدی (كه در تخیل خود ساخته) دارد كه در این گفتگو چنین شرح می دهد:

شما از دوران رمزنویسی فاصله بسیار گرفته اید و حالا در دنیای متكامل تری از امنیت سیستم ها سیر می كنید.

«امنیت» یك «سیستم» است و مقوله عمده ای كه روی آن كار كرده ام همین موضوع بوده و بیشتر از این منظر به امنیت نگریسته ام.

ابتدا با رمزنویسی شروع كردم و بعد برای مقابله با حملات هوشمندانه به امن كردن سیستم ها از طریق ریاضیات پرداختم و بعدها كه بیشتر روی امنیت رایانه متمركز شدم ، به «خوب طراحی كردن» نرم افزار و سخت افزارها برای شكست نفوذگران بها دادم و سرمایه گذاری فكری بزرگی روی آن كردم.

بعدها در طول تحقیقات و تجربه های كاری فهمیدم كه شبكه های امن نیز با خطاهای انسانی دچار شكست و نقض می شوند و در این میان امنیت به عنوان یك زنجیره با توسعه رمزنویسی با حلقه های قوی تر، محكم تر می شود. به این فكر افتادم كه مشابه همین داستان را می توان در دنیای امنیت غیررایانه ای (معادل همان تكنیك های رمزنویسی رایانه ای) ارزش سازی كرد و همان مراحل توسعه و تكامل رمزنویسی را برای امنیت سیستم ها در بعد فیزیكی پیاده كرد و این بود كه در كتاب جدیدم از آن به عنوان ترمی جدید در امنیت یاد كرده و برای آن تعاریف جدیدی ارائه كردم.

در واقع انگیزه ای هم كه باعث نوشتن كتاب جدید شد ادراك من از چشم انداز جدید درباره «امنیت» است كه از لابه لای موضوعات گیج كننده و پیچیده استنتاج شده است.

و حتما شما برای سروسامان دادن به آن هنوز در آشفتگی فكری به سر می برید. فرهنگ سازی برای ادغام امنیت فیزیكی و آی تی سخت بنظر می رسد و قطعا با استثناهاتی در عقاید خود روبه رو می شوید كه شاید نتوان از آن به عنوان ترمی جدید نام برد!

انفصال فرهنگی بزرگی در عقاید كسانی كه به امنیت فیزیكی فكر می كنند و كسانی كه به امنیت رایانه ای بها می دهند ، هست كه از امنیت به عنوان ترمی جدید یاد نمی كنند. اما من همه این عقاید و افكار را یك كاسه كرده و در زیر مجموعه ای به نام سیستم های امنیتی جمع كرده ام.

گروهی كه روی امنیت فیزیكی كار می كنند وقت بسیاری صرف كارتهای آی دی ملی می كنند كه اگر موفق شوند می توانند آن را در سطح ملی اجرا كنند اما هرگز نمی توانند آن را در مورد همه خارجیان (خارج از امریكا) اعمال كنند. آنها فكر می كنند توقیف یك چاقو از مادربزرگ موفقیت به شمار می رود و دقیقا به همین خاطر است كه من شكست در این عقیده را با چشم خود می بینم.

امنیت ما دچار سردرگمی فراوان در تعاریف است كه دائما با حفره ها و آسیب پذیریهای عمده و غیرعمده دست و پنجه نرم می كند و به همین خاطر است كه تاكید می كنم كه گروه طرفداران امنیت فیزیكی به موضوع به عنوان یك ترم سیستماتیك نمی اندیشند.

به فرضیه تكاملی شما می توان به عنوان جهانی كمپرس شده (كه ما آنرا می بینیم) نگاه كرد كه در آن اطلاعات و امنیت فیزیكی دو تاكتیك (share) شده بوسیله انضباط امنیتی است با این نوع نگرش آیا مقاومتی از سوی گروه طرفداران امنیت فیزیكی در برابر خود می بینید و برعكس ، طرفداران امنیت آی تی ، رمزنویسان و كسانی كه با این نوع نگاه كار می كنند ، به چه فكر می كنند؟
امنیت فیزیكی بطور سنتی در كشورهای قدیمی رایج است و مقاومت سرسختانه ای هم برای عوض شدنش صورت می گیرد. در اینجا نیز من كشف كرده ام كه بیشتر كارمندان و شاغلان قادر نیستند با راههای جدید درباره مشكلات سنتی خود فكر كنند (این موضوع را می توانیم در ژانویه 2003 زمانی كه مت بلیز درباره نحوه شكستن قفل دربها به طریقه فیزیكی نوشت ، ببینیم). قفل سازان حرفه ای نسبت به كتاب بلیز واكنش خشم آلودی نشان دادند و اعتراض كردند كه چرا «اسرار مگو» باید توسط وی فاش شود آنها می گفتند نباید این اسرار در دست عموم بیفتد. من عقیده دارم كه این اسرار مگو همیشه در دست بچه های بد است و كمتر افراد خوب سعی می كنند بدان دسترسی یابند و به همین دلیل است كه چنین مشكلاتی هنوز حل ناشده باقی مانده است.

در آن طرف میدان حرفه ای های آی تی بیشتر مشتاق هستند تا با متدلوژی و راههای تفكر در دنیای واقعی امنیت ، با موضوع برخورد كنند (من در بسیاری از مواقع از استعاره های فیزیكی برای تبیین امنیت رایانه ای بهره برده ام). از این رو اسلوب شناسان امنیت رایانه مشكلات امنیت فیزیكی را با متدلوژی خودشان نگریسته و دنبال چاره جویی می روند.
یك طرفدار امنیت فیزیكی استدلال می كند كه دار و دسته امنیت رایانه ای همیشه زمانی كه وقت مناسب نیست ، در تلاش برای حل مشكلات خود از تكنولوژی مدد می گیرند و گامهای برداشته شده كاملا برخلاف گام هایی است كه قوم امنیت فیزیكی دنبال آن می روند.
دوستداران امنیت آی تی همیشه ترجیح داده اند كه بوسیله تكنولوژی مشكلاتشان را حل كنند و همین موضوع می تواند توضیح دهنده بسیاری از شكست ها در این حیطه باشد. و در اینجاست كه من از ترم سیستماتیك امنیت دفاع می كنم ، كمااین كه از بی فكری برای اجرای تكنولوژی نیز پرهیز می كنم.

تجربه نشان داده كه در بسیاری مواقع مشكلات امنیتی ذاتا مبهم هستند و تكنولوژی نمی تواند در این زمینه كمك نماید. چك كردن فتو آی دی مثال خوبی در این باره است.

تكنولوژیست ها می خواهند این كیس را اضافه كنند تا بوسیله آن مانع از جعل آی دی شوند اما من ناراحت می شوم از این كه فردی می تواند با دادن رشوه یك آی دی جعلی بگیرد (پس مشكلات را اینطور نیز می توان حل كرد). بنابراین با سخت تر كردن ساخت آی دی نمی توان جلوی جعل را گرفته و مشكلات مردم را حل كرد.

بت شكنی كه از آن نام بردم در كتاب شما با عنوان «اندیشه معقول درباره امنیت در یك دنیای نامعلوم» شروع می شود با ضربه ای تلویحی می توان گفت طرز فكرهای مزخرف زیادی است كه نیاز به اصلاح دارد برخی از مواردی كه شما دیده اید یا شنیده اید را بگویید؟

داستان های استاپیدسیكیوریتی مانند یك سكه ده سنتی در میان یك دوجین سكه درشت است كه در سایتhttp://www.stupidsecurity.com با جایزه ای بزرگ برای متخلفان خودنمایی می كند ترس من از اینجا ناشی می شود كه بسیاری از این معیارهای غلط از نظر مردم نكته های مثبت به شمار می رود. در این راستا بسیاری معتقدند افزایش تقاضا برای Identification باعث ارتقای امنیت می شود و بسیاری معتقدند كه توقیف چاقوی جیبی در هواپیما خطر هواپیماربایی را كاهش می دهد. اما من می گویم امنیت هر دو بعد احساس و واقعیت را در بر می گیرد و انشعاب میان این دو باعث بروز مزاحمت ها و رنج های بیشتر می شود.

ثمره 2 سال «سایبر تروریسم» چه بوده است؟

به نظر من این روزها مقدار زیادی چرندیات درباره این مقوله به زبان رانده شده و به صورت نوشتاری ضبط و منتشر می شود. قبل از آن كه مردم از شما چشم بپوشند شما مانند گرگ جیغ می زنید و حالا پس از 2 سال مردم نسبت به تهدیدات بر زبان رانده شده و نوشته شده بی تفاوت شده اند. شخصا عقیده دارم درصد ریسك درباره «سایبر تروریسم» بسیار اغراق آمیز است.

شركت من (counterpane) روزانه هزاران وب سایت و سرور را در دنیا چك می كند و ما هر روز جنایات الكترونیكی را به وفور می بینیم اما آنچه تروریسم را تیتر یك روزنامه ها كرده به واقع اتفاق نیفتاده است و این دقیقا معادل انحراف و عدول از پاسخگویی مثبت به مردم و مخاطبان است كه ساعت ها درباره این خطرها فقط شنیده اند و چیزی ندیده اند! اگر مشكل «سایبر تروریسم» است ، حكومت درباره آن اقدامات لازم را انجام دهد ؛ اگر مشكل جنایات سایبر است ، صاحبان شبكه های رایانه ای مشكلاتشان را حل كنند تا چنین اتفاقی نیفتد. پس می بینیم كه این موضوع (سایبر تروریسم) جذابیت خاصی برای انحراف از پاسخگویی مناسب به مردم از سوی مسوولان به شمار می رود و حكومت نیز به سایبر تروریسم به عنوان مفری برای عدم حل مشكلات دامن می زند. (به تازگی دانشجوی دانشگاه جورج میسون تزی درباره در دسترس بودن اطلاعات مردم در ورودی های ارتباطاتی امریكا مطرح كرد اما فورا به وی گفته شد با نوت بوكش جلسه را ترك كرده تا با خطر اتهام تروریسم روبه رو نشود). امروز پریشانی میان رازداری (secrecy) و امنیت (security) كاملا مشهود شده است.

امن كردن فراساختارهای ارتباطاتی اقدامی ارتجاعی (جهنده) در برابر امنیت تلقی می شود. فراساختارها امن نیستند و این را همگان جار می زنند بدون این كه از این صحبت كنند كه مطرح كردن همین موضوع برای مخالفان جذابیت دارد. بنابراین رازداری نیست ، امنیت گم شده و شما نیز دیگر نمی توانید به عقب برگردید.

چرا باید روی این نكته پای بفشاریم كه اگر اطلاعاتمان را مخفی نگه داریم و آن را دور از دسترس قرار دهیم ، بچه های بد از به دست آوردن آن منصرف می شوند؟

این یك عقیده شایع است كه رازداری معادل امنیت است این تصوری غلط میان مردم است و بسیار شبیه همان داستان زدن تیر به پیام آوری است كه خبر بد آورده است.

این مشكل روحی در بین مردم هست ، رازداری به سوی یك نقطه منعطف است اما امنیت بسیار شكننده است.

چه مفهومی از اصطلاح ترد و شكننده (brittle) دارید؟

من از این واژه به عنوان ترمی جدید استفاده می كنم كه با آن تعداد و كیفیت شكسته شدن و نقض در سیستم های امنیتی را توضیح می دهم.

سیستم های بریتل (ترد و شكننده) سیستم هایی هستند كه به آسانی ، به طور كامل و مصیبت بار نقض و شكسته می شوند. خانه ای ساخته شده از كارتها یك بریتل است كه وقتی یكی از كارتها را كه به صورت قطاری چیده شده اند برداریم ، كل ساختار می شكند. اكنون بیشتر سیستم های رایانه ای بریتل هستند و وقتی امنیت در آنها نقض می شود به طور كامل از بین می رود. در این میان سیستم های جهنده (Resilient) امن می مانند و نقض كوچك باعث نقض بزرگ در كل سیستم نمی شود. در فصل نهم كتاب جدیدم درباره تردی و ارتجاعی بودن سیستم ها بحث كرده ام (یعنی سیستم های بریتل و جهنده). راههای وصول به سیستم جهنده را نیز شرح داده ام كه دفاع در عمق ، قسمت قسمت كردن سیستم و انعطاف پذیری سیستم از جمله آنها است آنها همه مشخصات یك سیستم امن به طور طبیعی است كه اغلب در سیستم های رایانه ای كنونی یافت نمی شوند.

نظریات كنگره درباره امنیت چگونه است؟

من چندین بار در جلسات آنها به عنوان صاحب كلام حرف زده ام آنها هر تصمیمی كه می گیرند با رضایت عمومی است اما امنیت واقعی انتخاب ها را بسیار سخت می كند چرا كه به منافع شركت ها و صنایع آسیب وارد می كند. امنیت واقعی می گوید چه چیز درست است نه این كه بگوید چیزی كه سیاستمداران می گویند ، صحیح است!.

نظرات مردم درباره ریسكهای امنیتی چگونه است؟

من فكر می كنم سوال اصلی را این طور مطرح كنیم كه چرا مردم در ارزیابی ها و پیش بینی ها و پذیرش ریسك اینقدر (Lousy) هستند. این سوال پیچیده ای است كه من در فصل دوم كتابم بدان پرداخته ام.

ارزیابی ریسك یكی از فانكسیون های داخل مغز است كه از مفتولی سخت در یك پروسه جا می گیرد. اندیشه های ما خطرساز است و مبتنی بر آزمایش اما همچنان 2 فاكتور احساس و شهود نیز بدان افزوده می شود. علوم مدرن چیزهایی را می سازد كه توضیحش برای یك فرد متوسط نیز دشوار است.

راجع به سیستم Terrorism information Awareness كه بعد از یازدهم سپتامبر به اجرا گذاشته شد توضیح دهید كه آیا این شما را نگران می كند؟

تروریسم پدیده ای نادر و كمیاب است در حالی كه جنایت حالت عام و گسترده دارد. سیستم های امنیتی برای واكنش نیاز به دیتاهای قوی دارند اما سیستم هایی نظیر TIA و CAPPS2 در عمل راه را برای كارهای غیرقانونی و سرقت هویتی افزایش داده و نتیجه ای عكس داده است.

همچنین نظارت غیرقانونی حكومت بر شهروندان افزایش یافته كه این موضوع چندان جذاب نیست.

اتفاقاتی نظیر فروختن اطلاعات به سرویس های خصوصی چیزی نیست كه امنیت را بالا ببرد و بنابراین می بینم كه به این راحتی چنین سیستم های پرهزینه ای آسیب پذیر می شوند و اگر این گونه سیستم ها واقعا خطر را كاهش می دهند من حاضرم آنها را بپذیرم اما متاسفانه سیستم های مذكور دردی را دوا نكرده و حتی بر مشكلات امنیتی نیز افزوده اند.
در قلمرو امنیت چه چیزهایی كمتر گزارش شده و به آنها پرداخته شد؟ كه شما می توانید راجع به آن توضیح دهید؟
تعجب آورترین موضوع درباره امنیت این است كه «امنیت واقعی» برعكس ظاهرش فراموش شده و به آن كمتر بها داده می شود. همه مسائل امنیتی سازش پذیر شده و حالت بده بستان پیدا كرده اند و جنبه های غیرامنیتی سازشها بسیار مهمتر از مشخصات امنیتی است.

در این راستا می توان گفت كه سیستم طوری ارائه شده كه اصل را بر گناه كار بودن همه می گذارد مگر این كه خلافش ثابت شود. از نظر امنیت مضحكی كه در حال حاضر هست همه مردم گناهكارند مگر این كه كاری كنند كه عكسش ثابت شود. برای مثال یك بانك هیچ وقت سیستم امنیتی نمی سازد كه همه مشتریان خود را دزد فرض كند حتی صرف نظر از این كه این كار باعث بالا رفتن امنیت بانك نیز شود. امنیت فرودگاه اجازه نمی دهد یك چاقوی بسیار ریز توسط مسافر جابجا شود و فورا آن را می گیرند اما به همان مسافر اجازه حمل كبریت و فندك را می دهند (كه موادی آتش زا هستند و بگذریم از این كه پس از فشار از سوی لابی تنباكو كنگره مانع از این شد كه فندك و سیگار را در رده چاقو تعریف كند) بیزینس ها به همین راحتی شبكه ها را ناامن كرده اند و آن وقت می توانیم بفهمیم كه با امنیت واقعی چقدر فاصله داریم.

*

(cryptography) كریپتوگرافی یا رمزنویسی : متد رمزنویسی است كه دیتا در آن انكریپت (پنهان شدن یا مخفی كردن) می شود ، بدین معنی كه متن اصلی به فرمتی غیرقابل خواندن تبدیل می شود و سپس decrypt یا آشكارسازی می شود ، یعنی به فرمت قابل خواندن مثل گذشته تبدیل می شود.
این عمل توسط یك فرد یا برنامه با یك كلید مخصوص با استفاده از یك الگوریتم صورت می گیرد. كریپتوگرافی یا رمزنویسی همچنین برای ارسال اطلاعات یا ذخیره اطلاعات به طریقه امن استفاده می شود.

برگرفته از سایت www.iritn.com