Thread by @vahidfarid

امروز میخوام یه داستان بگم از #امنیت کاربر در زمان استفاده از vpn و پراکسی.
زمانی که ما از امنیت کاربر در فضای مجازی صحبت می‌کنیم، پای خیلی چیزا میاد وسط؛ از اطلاعات گوشی بگیرید تا اطلاعات هویتی، علاقمندی‌ها و محتوای تبادل شده در فضای مجازی.
۱/۱۶

قدم به قدم بریم جلو. اول در مورد فیلترشکن‌ها بگم. وقتی ما یک فیلترشکن روی گوشی نصب می‌کنیم، بسته به مجوزی که بهش میدیم، ممکنه به اطلاعات گوشی دسترسی پیدا کنه ولی خب عموما فیلترشکن‌ها چنین دسترسی‌ای ندارن. پس نگران این نباشید که فیلتر شکن مثلا گالری گوشی شما رو ببینه.
۲/۱۶

یه سری فیلترشکن‌ها به واسطه‌ی الزام به ثبت نام، ایمیل شما رو به دست میارن. مورد خاصی نیست ولی باز بهتره ایمیل فیک بهشون بدید.
ایمیل فیک رو میتونید از سایتهایی نظیر 10minutemail.com بگیرید، یه ایمیل موقت برای ثبت نام میگیرید، و ۱۰ دیقه بعد هم اثری از اون ایمیل نیست.
۳/۱۶

کانفیگ‌ها که این روزها اقبال زیادی بهشون شده، خودشون توانایی هیچ کاری ندارن و صرفا حاوی متادیتا هستن، اما سرور فیلترشکن مهمه.
کانفیگ به تنهایی هیچ هویتی نداره و صرفا حاوی اطلاعاتی از سرور و نحوه‌ی اتصال به سرور هستش.
اپ‌های مربوطه به همراه کانفیگ تبدیل میشن به فیلترشکن.
۴/۱۶

خب تا اینجای کار نگرانی خاصی نبود اما اصل داستان از اینجا به بعده. کل ترافیک گوشی شما از طریق مسیر vpn ایجاد شده توسط فیلترشکن، به سرور ارسال میشه. یعنی چی دقیقا؟ باید بگم همه چی. هر چیزی روی بروزر و اپ ها دارید آپلود یا دانلود می‌کنید.
حالا این چقدر خطرناکه؟
۵/۱۶

اپ‌های امروزی عموما دارای سطح امنیتی بالا هستن، من از اپ‌های جهانی صحبت می‌کنم مثل توییتر، تلگرام، واتس‌اپ و اینستاگرام. همینطور اکثر وبسایت‌های پرکاربرد روی بستر امن (https) هستن.
این اپ‌ها و وبسایت‌ها، هیچ داده‌ای رو بدون رمزنگاری روی بستر اینترنت نمیفرستن.
۶/۱۶

تمام محتوای تبادل شده با رمزنگاری دوطرفه روی وب ارسال میشن و در بین راه (سرور فیلترشکن) قابل خوندن نیستن.
اما فیلترشکن میتونه هیستوری بروزینگ شما رو ببینه، و اگه بخواد میتونهواونها رو ذخیره کنه، و باز اگه بخواد و ایمیل شما رو هم داشته باشه، میتونه برای شما پروفایل ایجاد کنه.
۷/۱۶

حالا اگه اینجا شما از اپ نا‌امن استفاده کنید (مثل اپ‌های تقلبی تلگرام) اوضاع دو طرفه خراب میشه. هم خود اپ دیتاتون رو میخونه هم فیلترشکن.
اینطوری میشه که یهو نام و شماره‌ی یه جماعت زیادی توی دارک وب قرار می‌گیره.
اگه از وبسایت ناامن هم بازدید کنید به همین ترتیب.
۸/۱۶

یه پرانتز باز کنم اینجا، اگه خود فیلترشکن ناامن باشه، دیتای شما برای فیلترچی هم قابل خوندن میشه ولی اگه فیلترشکن امن باشه، دیتا رو فقط خودش میبینه.

خب حالا فرض کنیم ما از اپ نا امن و وب ناامن استفاده نمیکنیم و همه چی اوکیه.
بعدش چی؟ آیا تو مقصد، میفهمن ما از کجا اومدیم؟
۹/۱۶

خود این یه داستان طولانی داره. حتما شما شده به مواردی برخوردین که با اینکه فیلترشکن داشتید ولی گوگل بهتون خطای دسترسی از منطقه‌ی ممنوعه رو داده.
کاربرد اصلی vpn که ما اسیرانِ فیلترینگ بهش میگیم فیلترشکن، درواقع فقط همین مورد آخره. یعنی پنهان کردن هویت کاربر برای سایت مقصد.
۱۰/۱۶

اما چه اتفاقی میوفته؟ اصلا یه فیلترشکن چطوری ما رو مخفی می‌کنه؟
همونطور که قبل‌تر گفتم، کل ترافیک ما معمولا به شکل رمز شده، برای سرور واسط ارسال میشه. اینجا سرور واسط دیتا رو میگیره و به مقصد اصلی میفرسته. خب انتظار اینه که مقصد اصلی، جای ما، سرور فیلترشکن رو ببینه.
۱۱/۱۶

اما همیشه اینطور نیست. به صورت پیش فرض، سرورها توی هدر (header) متغیری با نام X-Forwarded-IP ارسال میکنن و با این متغیر، آی‌پی مبدا رو لو میدن. برای همینه که گوگل حتی با فیلترشکن هم بعضا میفهمه مبدا درخواست ایران بوده.
برخی فیلترشکن‌ها این هدر رو ناپدید میکنن.
۱۲/۱۶

چطوری؟ مثلا برنامه‌ی orbot روی اندروید یا همون پروژه‌ی Tor رو ببینیم. این الگو، با استفاده از دو vpn سری، مبدا رو به طور کامل حذف میکنه. یعنی اون متغیر فضول، تو دومین vpn بازنویسی میشه و آدرس سرور فیلترشکن اولی رو مینویسه. اینطوری میشه که مبدا حذف میشه.
۱۳/۱۶

یه گریزی هم بزنم به پراکسی #تلگرام. این پراکسی ها نه میتونن گروه های شما رو ببینن، نه مخاطبین و چت‌های شما رو. نه میتونن اطلاعات تبادل شده یا هویتی شما رو ببینن. کلا هیچی. تنها و تنها میتونن رو تلگرام شما تبلیغ بیارن، و شما رو به کانال خودشون ادد کنن.
کلا جای نگرانی ندارن.
۱۴/۱۶

جمع بندی کنم:
۱. فیلترشکن به گالری و دیتای گوشی شما دسترسی نداره مگه مشخصا از شما دسترسی بخواد و بهش بدید.
۲. اگر اپ یا وبسایتی که استفاده میکنید امن باشه، شما در امانید.
۳. فیلترشکن میتونه هیستوری بروزینگ و اپ‌هایی که استفاده کردید رو ببینه.
۱۵/۱۶

۴. اگه فیلترشکن خوب استفاده کنید، مقصد هم نمیتونه آدرس مبدا رو ببینه.
۵. سرور با کانفیگ ناشناس، فقط میتونه هیستوری بروزینگ شما رو ببینه مگه اینکه وب/اپ امن نباشه.
۱۶/۱۶

در پایان تشکر میکنم که وقت گذاشتید و خوندید و امیدوارم مفید بوده باشه. 🌱

یه اصلاحیه بزنم: اسم اون متغیر فضول، X-Forwarded-For هستش که به اشتباه، IP نوشتم.