اینترنت و حمله هراس

اعتماد در فضای اینترنت یکی از معجزات رمزنگاری مدرن است؛ یک وب‌سایت مخرب ممکن است بکوشد خود را به‌جای بانک یا ارائه‌دهنده خدمات ایمیل شما جا بزند، اما مرورگرهای وب برای مقابله با چنین جعل‌هایی طراحی شده‌اند. رمزنگاری‌ای هم که پشت نماد قفل در نوار نشانی قرار دارد، چنان قدرتمند است که حتی یک ابررایانه نیز اگر میلیون‌ها سال کار کند، نمی‌تواند آن را بشکند.
البته این نظریه دست‌کم روی کاغذ درست است؛ زیرا هفته گذشته، جامعه جهانی فناوری با یادآوری تلخی روبه‌رو شد که قدرت هر نظامی کاملاً به نهادهایی وابسته است که نظارت و کنترل آن را به آن‌ها می‌سپاریم.
مرورگرهای اینترنتی، مانند کروم، سافاری و فایرفاکس، مستقلاً تک‌تک وب‌سایت‌های روی کره زمین را بررسی نمی‌کنند، بلکه این اختیار را به چند ده نهاد تجاری و وابسته به دولت‌ها واگذار می‌کنند که «مراجع صدور گواهی» نامیده می‌شوند. این نهادها در حکم دفترخانه‌های رسمی اینترنت‌اند. اما اگر چنین نهادهای مورد اعتمادی اعتبار خود را از دست بدهند، چه اتفاقی می‌افتد؟
در ۲۱ اکتبر سال جاری، شرکت «ای‌مودرا لیمیتد» مستقر در بنگلورو، موجی از هراس جمعی را در اینترنت برانگیخت. این شرکت فاش کرد که حدس‌زدن هشت کلید خصوصی آن ــ کدهای دیجیتالی بسیار مهم برای امنیت سایبری که باید در شرایطی سخت‌گیرانه، داخل تراشه‌های امن و جدا از اینترنت تولید شوند و هیچ انسانی آن‌ها را نبیند ــ به‌طرز شگفت‌آوری آسان بوده است.
در واقع، یکی از این کلیدها عدد ۴ بود؛ نه رمزی چهاررقمی، بلکه صرفاً خود عدد ۴.
بدتر آنکه، به اعتراف شرکت، این اعتبارنامه‌های به‌خطر‌افتاده از اواسط سال ۲۰۲۵ به سامانه‌های مورد اعتماد شرکت‌های بزرگ فناوری راه یافته بودند. هیچ‌کس متوجه این مسئله نشده بود تا اینکه یک پژوهشگر مستقل توانست اعداد را از داده‌های عمومی استنتاج کند و شرکت‌های اپل، گوگل، مایکروسافت و موزیلا را در جریان بگذارد. هر کسی که به این راه‌حل دست می‌یافت، می‌توانست معادل دیجیتالی یک کلید همه‌کاره را در اختیار داشته باشد؛ کلیدی که به او امکان می‌داد برای تقریباً هر وب‌سایتی هویت جعلی بسازد و مرورگرها نیز آن را واقعی تلقی کنند.
اما عجیب‌ترین بخش ماجرا پس از آن رخ داد. درحالی‌که سهام ای‌مودرا به‌شدت سقوط می‌کرد، شرکت بیانیه دومی صادر کرد و از این بابت ابراز تأسف کرد که «بزرگ‌نمایی این حادثه در شبکه‌های اجتماعی، هیاهویی نامتناسب» پیرامون بخشی از فعالیت‌هایش به راه انداخته است؛ بخشی که تنها یک درصد از درآمد شرکت را تشکیل می‌دهد.
وزارت الکترونیک و فناوری اطلاعات هند نیز وارد ماجرا شد و موضعی مشابه اتخاذ کرد. این وزارتخانه ضمن اذعان به جدی‌بودن حادثه و اعلام آغاز تحقیقاتی از طریق یک گروه تخصصی، برخی حساب‌های شبکه‌های اجتماعی را به ایجاد عمدی ترس متهم کرد.
هرچند مرورگرها گواهی‌های مشکوک را مسدود کردند، اینترنت بسیار فراتر از کروم و سافاری است. کنتورهای هوشمند، دستگاه‌های پرداخت، سرورهای تعبیه‌شده و دیگر تجهیزات متصل به اینترنت ممکن است سال‌ها بدون دریافت به‌روزرسانی‌های امنیتی کار کنند و حتی هرگز بررسی نکنند که آیا گواهی آن‌ها ناامن تشخیص داده شده است یا نه. این بدان معناست که کلیدهای به‌خطر‌افتاده، که مشکلشان در تلفن همراه یا رایانه شما برطرف شده است، ممکن است همچنان در جاهای دیگر معتبر تلقی شوند و درهای پشتی را برای مدتی طولانی باز نگه دارند؛ حتی پس از آنکه همه تصور می‌کنند مشکل حل شده است.
تنها یک تحقیق جامع و مستقل در زمینه جرم‌یابی دیجیتال می‌تواند جامعه جهانی نرم‌افزار را مطمئن سازد که آنچه رخ داده، صرفاً اشتباهی فاجعه‌بار بوده است، نه فریبی عمدی. این تمایز اهمیت بسیاری دارد، زیرا گواهی‌های دیجیتال به‌خطر‌افتاده بارها به‌عنوان ابزاری برای اعمال حاکمیت و جاسوسی به کار رفته‌اند.
برای مثال، در سال ۲۰۱۱، شرکت هلندی «دیجی‌نوتار بی‌وی» که مرجع صدور گواهی بود، هک شد و از این طریق ۳۰۰ هزار کاربر سرویس ایمیل جیمیل در ایران هدف قرار گرفتند. این حمله از نوعی بود که به «حمله مرد میانی» معروف است؛ حمله‌ای که در آن، اعتبارنامه‌های جعلی به اشخاص ثالث اجازه می‌دهند مکالمات میان دو طرف را شنود کنند و حتی آن‌ها را تغییر دهند.
دهلی‌نو تجربه‌ای مستقیم دارد که باعث می‌شود به‌خوبی از سخت‌گیری‌های حاکم بر فضای جهانی مرورگرها آگاه باشد. در سال ۲۰۱۴، گوگل گواهی‌های غیرمجاز متعددی را کشف کرد که مرکز ملی اطلاع‌رسانی هند برای چندین دامنه متعلق به این شرکت صادر کرده بود. همین نهاد گواهی‌هایی را نیز به‌اشتباه برای یاهو صادر کرده بود.
مایکروسافت که به گواهی‌های این نهاد اعتماد داشت، ناچار شد آن را از فهرست مراجع مورد اعتماد خود خارج کند؛ زیرا کاربران اینترنت اکسپلورر و کروم در معرض خطر قرار گرفته بودند. پیامدها سنگین بود: مرورگرهای بزرگ محدودیت‌های سخت‌گیرانه‌ای علیه هند اعمال کردند و بعدها مرجع رسمی صدور گواهی اینترنت چین، «سی‌ان‌ان‌آی‌سی»، را به‌طور کامل کنار گذاشتند. نقش مرکز ملی اطلاع‌رسانی هند نیز کاهش یافت و به امضای دامنه‌های حاکمیتی داخلی، مانند «gov.in»، محدود شد.
امروز، پیامی که به ای‌مودرا داده می‌شود، همان پیامی است که ۱۲ سال پیش به مرکز ملی اطلاع‌رسانی هند داده شد: نهادهای تجاری که اعتماد می‌فروشند، نمی‌توانند از دست‌دادن ماده خام اصلی فعالیت خود را به‌آسانی تحمل کنند. دیجی‌نوتار ظرف چند هفته پس از هک‌شدن فروپاشید و اعلام ورشکستگی کرد. شرکت سیمانتک نیز که زمانی غول صنعت صدور گواهی بود، پس از نقض مکرر قواعد صدور گواهی، فعالیت‌های خود را واگذار کرد.
واکنش حساس و تدافعی دهلی‌نو نتیجه‌ای معکوس دارد. وزارت الکترونیک و فناوری اطلاعات هند سال‌هاست که از رویکردی مستقل در زمینه مرورگرهای بومی، میزبانی داده‌ها و زیرساخت‌های دیجیتال عمومی داخلی حمایت می‌کند. مقام‌های هندی همواره از وابستگی به فناوری غربی ابراز نارضایتی کرده‌اند؛ زیرا معتقدند کشوری با جمعیت ۱.۴ میلیارد نفر شایسته برخورداری از راه‌حل‌های اختصاصی خود است.
اما حاکمیت دیجیتال را نمی‌توان بر پایه احساس نارضایتی بنا کرد؛ این حاکمیت به اعتماد نیاز دارد. هند به‌جای آنکه خشم جهانی را صرفاً اغراق‌آمیز جلوه دهد، باید از یک شرکت خصوصی ــ که ای‌مودرا در نهایت یکی از آن‌هاست ــ شفافیت کامل مطالبه کند.
ضرب‌المثل مشهوری که به «تیغ هانلون» معروف است، توصیه می‌کند: «هرگز چیزی را که می‌توان به‌اندازه کافی با حماقت توضیح داد، به سوءنیت نسبت ندهید.»
اما این تیغ از هر دو سو می‌برد: اگر نتوان توضیحی قانع‌کننده برای نبود صلاحیت و کارآمدی ارائه کرد، مردم به جست‌وجوی توطئه‌های بدخواهانه روی خواهند آورد. چنین وضعی برای بلندپروازی‌های دیجیتال هند بسیار خطرناک‌تر از شکست فاجعه‌بار رمزنگاری است که شرکت ای‌مودرا مرتکب شد.