گپوگفتی با شکارچی راورو؛ ارغوان کامیار (spark)
در این بلاگپست، به سراغ یکی از شکارچیهای راورو، رفتیم تا با او گپوگفت کوتاهی داشته باشیم؛ ارغوان کامیار(Spark@)
ارغوان حدود ۷ سال است که در حوزهی آیتی فعالیت میکند. متخصص تست نفوذ اپلیکیشنهای تحت وب است. به زنجیرکردن چند آسیب پذیری بههم علاقهی زیادی دارد. لحظهی کشف آسیب پذیری برایش مانند این است که در تاریکی، ناگهان جرقهی بزرگی زده شود.
_ اگر بخواهی برایمان چند جمله از ارغوان بگویی تا ما بیشتر با او آشنا شویم، چه میگویی؟
من از سن خیلی کم، با کامپیوتر بزرگ شدهام. برای همین خیلی عجیب نبوده که شغلم را هم مرتبط با کامپیوتر انتخاب کنم. دامنهی علایقم خیلی وسیع است: از روانشناسی و فیزیک گرفته تا امنیت سایبری، نقاشی و موزیک. سعی هم میکنم سمت همهی آنها بروم، و تجربهای از هر کدامشان داشته باشم. ولی خوب چیزی که دوست داشتم به عنوان حرفهام دنبال کنم، آیتی بود. کنجکاویم و میل به هیجان، من را سمت امنیت سایبری و حوزهی وب کشاند.
_ پس پیشینه و خاطراتی از کامپیوتر، در کودکی شما وجود دارد. از کودکی ویژگیهایی مثل کنجکاوی و میل به هیجان وجود داشته است. و بعد متوجه شدی که حوزهی امنیت سایبری با روحیه شما و این ویژگیها سازگاری بیشتری دارد و به همین دلیل انتخابش کردی.
بله، از سن خیلی کم؛ شاید ۱۲ سالگی. حتی شاید قبل از آن هم بوده است. حالا یادم نیست آنموقع و در آن سن دقیقا دنبال چه بودهام، اما خاطرم هست که علاقه داشتم و خیلی سمت کامپیوتر کشانده میشدم. به این فکر میکردم و فکر میکنم که "چیزهای مختلف چطور کار میکنند؟" و "پشتشان چه چیزی است؟" همیشه این موضوع برایم جالب است. و خب از سنی بهبعد، این علاقه برایم بیشتر شد. سبکوسنگین هم کردم و به این نتیجه رسیدم که به عنوان شغلم، آیتی را دوست دارم.
بهنظرم اینکه آدم در مسیر شغلیش بتواند آن راهی را که با روحیهاش سازگار باشد، پیدا کند، واقعا خیلی مهم است. گاهی اوقات آدم شانس می آورد، گاهی اوقات با آگاهی خودش متوجه میشود و این کار را میکند و گاهی اوقات هم پیدا نمیکند.
_ و به سمت آیتی آمدی...
من اوایل که شروع کردم، بهعنوان برنامهنویس کار میکردم. چند سال قبل اینطور بود که میگفتند برنامهنویسی شغل پولسازی است و هزینهی کمی میخواهد؛ میگفتند یک لپتاپ (که آن سالها ارزان بود) میخرید، مینشینید کد میزنید، میفروشید، پولتان را میگیرید و دردسر هم ندارد.
ولی من واقعا با این نیت سمت برنامهنویسی نرفتم! خب بالاخره برایم یک پلن B بود. سمت برنامهنویسی وب رفتم و شروع کردم. این دورهای که دارم برایتان میگویم همزمان شده بود با زمانی که در پونیشا، مردم با ۵۰ هزار تومان پروژه میگرفتند! خب در این شرایط شانس کمی وجود داشت که بخواهید از طریق این پلتفرمها طراحی سایت انجام بدهید و پروژه بگیرید. مدتی که گذشت، فهمیدم این مدل که دائم شخصی بخواهد به من بگوید که این تسکها را چطور بنویسم، پروژه را چطور انجام بدهم و تغییرش بدهم و غیره، با روحیهام همسو نیست. من یک آدم برونگرا هستم. حدود دو، سه سالی کار کردم. و بعد دیگر اصلا این مدل کارکردن را دوست نداشتم. تحقیقهایی کردم، به این نتیجه رسیدم که یه حوزهی جذابی هست به اسم امنیت سایبری. خب من با وب هم آشنا بودم، خیلی درکش میکردم، به همین دلیل سمت امنیت وب آمدم. و این سالها هم کارهایم در حوزهی امنیت وب بوده است.
_ یعنی چند سال است که وارد حوزهی امنیت شدهای؟
بهطورکلی، تجربهی ۳، ۴ سالی کار کردن در حوزهی امنیت سایبری را دارم. شانسی که داشتم این بود که من در دانشگاه آیتی خوانده بودم و اینکه از همان اول در بازار حرفهای کار کردم. تجربههای کاریام فقط مرتبط به آیتی بوده و کار متفرقهای نکردهام، برای همین خوب توانستم پیش بروم.
قبل از اینکه وارد حوزهی امنیت سایبری بشوم، یعنی تا ۱۸ سالگی، دیدگاهم این نبود که کامپیوتر حوزهی مردانهتری به حساب میآید. من اصلا در حوزهی خودم این دیدگاه را نداشتم، از سازوکار کامپیوتر خوشم میآمد. وقتیکه واردش شدم، متوجه شدم که چطور است و چقدر تعداد خانمها نسبت به مردها کم است! حتی در بین کسانی که با خودم همدانشگاهی بودند، تعداد کمی از همکلاسیهای خانم من وارد بازار کار آیتی شدند.
_ این تجربه برایت چطور بوده و چطور گذشته است؟
از دو نگاه میشود پاسخ داد؛ از این نظر که در مکانهایی کار میکنم که بیشتر آقا هستند و خانم نیستند، برایم موضوع و چالش مهمی نبوده است. چون من به آدمها دیدگاه جنسیتی ندارم. برای همین از این نظر، خیلی برایم سخت نیست. ولی خوب از نظر برخوردهایی که در این سالها با من بهعنوان یک زن داشتهاند، خیلی تجربههای عجیب و متنوعی داشتهام.
_ اگر امکانش هست، دوست داریم از تجربههای متنوعت که به آن اشاره کردی، بهعنوان یک زن در حوزهی امنیت سایبری، بیشتر بشنویم.
من در محیطهای متنوعی کار کردهام، از بانک، شرکتهای دولتی و خصوصی و ... . در تجربههایم، آدمها و برخوردهای متنوعی هم در این محیطها دیدهام.
در برخی سازمانها حضور خانمها آنقدر غیرمعمول بود که برای ورودشان نیاز به مجوز بود! میگفتند برای ورود خانمها نیاز به مجوز است و هماهنگ نشده. بعضی از مکانهای دولتی از این جنس بودهاند.
در بعضی جاها بهعنوان کارشناس خانم شما را میپذیرفتند ولی میگفتند: " چه کسی قرار است کارتان را تایید کند؟" حتما باید یک آقا میبود که کار شما را تایید کند!
در بعضی مکانها هم رفتارهایشان حمایتآمیز و تشویقکننده بود. طوری که نظرشان مشوقت بود. خوشبختانه این مدل رفتار را هم دیدهام.
رفتارها خیلی متنوع بوده است. فکر میکنم در مورد آقایان اینطور نیست. این مدل تفاوتهای رفتاری را شاید کمتر تجربه کنند.
_ تجربههای متنوع و قابلتوجهی بودهاند!
بله، خاطرهی جالب دیگری هم دارم. چندوقت گذشته که پروژهای را تحویل دادم، آن شخصی که پروژه را از من تحویل گرفتند، بررسی کردند و بهقصد تعریف در بازخوردشان گفتند: خیلی خوب بود. نتیجهی کارتان را خیلی دوست داشتیم. انتظار نداشتیم که یک خانم بتواند این کار را بکند! میخواستند از من تعریف کنند. ظاهرا تعریف بود ولی پشتش را که میبینی، متوجه میشوی واقعا چه دیدگاهی وجود دارد؛ فکر میکنند خانمها نمیتوانند و چون نمیتوانند، در این حوزه نیستند! در صورتیکه واقعا اینطور نیست. دلیل اینکه خیلی از خانمها سمت این حوزه نمیآیند، این نیست که نمیتوانند! حتما دلایل مختلفی دارد!
_ ناراحتکننده بودنش کاملا قابلدرک است وانتظار انصاف بیشتری میرود.
بله. البته الان اوضاع کمی بهتر شده است. در چند سال گذشته، نگاه بالا به پایین خیلی شدید بود! اوایل من را خیلی آزار میداد. بعد به این فکر کردم که این دیدگاه و پیشفرضی که دارند، در یک روز، یک ماه یا یک سال ایجاد نشده که قرار باشد یک دکمه را بزنی و حل بشود! یا اینکه چند نفر خانم بیایند، کار کنند و این دیدگاه عوض شود! بالاخره این چیزی است که طی این سالها به وجود آمده است. من این شغل را انتخاب کردهام و باید با این موارد کنار بیایم و بپذیرم که در فضای کاری من همچین دیدگاه غلطی وجود دارد. این برخوردها واقعا انرژی آدم را میگیرد، ولی خب اینطور نگاهش میکنم که کار میکنی و بالاخره میشناسندت.
آدمهایی هستند که بهم میگویند: "خب شما استثنا هستید!" من فکر نمیکنم استثنا هستم. اگر خانمها هم مثل آقایان، تعدادشان در حوزهی امنیت سایبری زیاد بود، خانمهای موفق زیادی هم در این حوزه داشتیم. مگر تمام آقایانی که در حوزهی امنیت سایبری کار میکنند، موفق هستند؟ تعدادی خوب هستند و سطح بالا کار میکنند، تعدادی متوسط هستند، تعدادی هم نه. در مورد خانمها هم همینطور است. فقط چون تعدادشان زیاد نیست، مشخص نمیشود.
_ بله، با شما کاملا موافقیم.
پیشنهاد خواندنی: برخی از مصائب و چالشهای هکر بودن
_ حوزهی تخصصی شما کار برروی وب است؟
بیشتر کار تست نفوذ وب انجام دادهام تا باگ هانتینگ و باگ بانتی. ولی خوب کلا وب و موبایل کار کردهام.
کار تست نفوذ وبم را از یک سازمان خیلی بزرگی شروع کردم! الان که دارم بهش فکر میکنم، با خودم میگویم چه اعتمادبهنفسی داشتهام. سابقهی کاری نداشتم و چنین کاری کردم! یادم است که اولین آسیب پذیریای هم که آنجا پیدا کردم، این بود که توانستم سورسکدشان را از سایتشان دانلود کنم و این خیلی خوب بود. خیلی دستمان را باز کرد برای اینکه بتوانیم آسیب پذیریهای بیشتری را پیدا کنیم.
_ بهصورت جعبه سفید یا جعبه سیاه؟
جعبه سیاه بود.
_ چه تجربهی اول جذاب و هیجانانگیزی بوده.
_ وقتی میخواهی پروژه یا تست نفوذی را شروع کنی و آسیب پذیریهایش را کشف کنی، معمولا از کدام نقاط وبسایت یا موبایل شروع میکنی؟ کجا برای شکار کمین میکنی؟
من دو کار را اول از همه انجام میدهم؛
اولین کاری که میکنم حداکثر URL هایی که میتوانم را به هر روشی از وبسایت درمیآورم. این URLها را بادقت مشاهده میکنم و بهدنبال آسیب پذیریها میگردم. اگر قسمت آپلود داشته باشد،حتما اولین جایی که سراغش میروم، همان بخش است.
خودم هم به سراغ استفاده از اپلیکیشن میروم. بررسی میکنم که چه فانکشنهایی دارد.
_ پس از بررسی URLها، حتما اولین کارت این است که شل آپلود کنی...
سعی ام را میکنم.
البته آخرین باری که با مجوز مدیر امنیت دسترسی شل گرفتم، در نهایت مالک وب سایت به دروغ به مدیر سازمانشان شکایت کرد که من سرورهایشان را مختل کردهام. در صورتی که من برای PoC فقط یک دستور dir اجرا کرده بودم!
_ چه دلیلی! چه منطقی! :)
_ آسیب پذیری محبوبت چیست؟ چه آسیب پذیری هایی را بیشتر مثلا در همان قسمت آپلود فایل بررسی میکنی؟
آسیب پذیری محبوبم گرفتن دسترسی شل است. ولی آسیب پذیری هایی که به نشت دیتا منجر میشوند و یا به بایپسکردن مکانیزمهای Authorization و Authentication منجر میشود، برایم خیلی هیجانانگیز است.
_ در تجربهی شما آسیب پذیری هایی که پیدا کردهاید، بیشتر مربوط به چه نقاطی از سامانهها بودهاند؟ چه نقطههایی از سامانهها بیشتر آسیب پذیر بودهاند؟
این را که میگویم کلی است و منجر به آسیب پذیری متنوعی میشود ولی در کل کانفیگهای نادرست، مشکل در Input Validation و کنترل نکردن دسترسی ها و ...
_ آسیبپذیریای را به یاد میآوری که کشفش خیلی لذتبخش بوده باشد؟ برایمان از آن تعریف میکنی؟
من Chain کردن آسیب پذیری ها را خیلی دوست دارمیک آسیب پذیری پیدا کرده بودم که نقطهی شروعش جایی بود که برنامهنویس موقع ثبتنام کاربر قسمتی از کد را که مربوط به انتخاب role بود کامنت کرده بود . می توانستید کد را از کامنت خارج کنید و roleی که با آن ثبتنام میکنید را از یوزر به حالت دیگری تغییر دهید و با آن role خاص بعضی ازURLهایی که من از جای دیگری دست آورده بودم را میتوانستید باز کنید و دسترسی به بخشهایی داشته باشید که کاربر عادی نمیتواند. بعد تغییرات را در پنل ادمین ایجاد میکردی و خریدت را انجام میدادی و بدون این که رد و نشانی باقی بماند خارج میشدی.
_ بله، به همین زیبایی.
بله، اصلا باگ پیچیدهای هم نبود. ولی از ترکیب همین چند مورد ساده به دست آمده بود. آسیب پذیریهای این مدلی زیاد داشتم.
_ این Chainکردن آسیب پذیریها خیلی لذتبخش است.
معمولا برای ریکان از چه ابزاری استفاده میکنی؟
برای ریکان، از ابزارهایی که معروف هستند، استفاده میکنم. با Golang ، Rust و ... ابزارهای خیلی خوبی نوشته شده و سرعت خوبی هم دارد. پیشنهاد هم میکنم که آدمهایی که دارند در این حوزه کار را میکنند، این ابزارها را امتحان کنند.
BurpSuite هم که ابزاری است که همه استفاده میکنند؛ از افراد تازهکار تا متخصص سطح بالا. منتها وقتی Extensionهای مختلفش را بیشتر بشناسی و با ابزارهای مختلف هم کار کرده باشی، کمک میکند که بتوانی ابزارها را باهم Chain کنی و خروجی کاملتری بگیری. و خب یک شکارچی لازم است که دائما آپدیت هم باشد، چون ابزارهای بهروزی هم میآید.
ابزارهایی که زیاد استفاده میکنم، اینها هستند؛ nuclei، feroxbuster، gospider،ffuf، subfinder ، gau و خیلی ابزارهای دیگر.
از ابزارهای شناختهشدهاستفاده میکنم. ابزارهای شخصیای هم نوشتم و استفاده میکنم که کارم را سریعتر میکنند و سعی میکنم تکیهام به آنها باشد.
پیشنهاد خواندنی: ابزارهای شکار توصیهشدهی شکارچیان آسیب پذیری
_ شکار و کشف آسیب پذیری برای شما چه حسی دارد؟ از حسوحال مواقعی که آسیب پذیریای را کشف میکنی، برایمان بگو.
من از پیداکردن آسیب پذیری خیلی هیجانزده میشوم. چند سالی ست که دارم کار میکنم ولی هنوز وقتی یک آسیب پذیری بحرانی را پیدا میکنم، حسابی هیجان زده می شوم. برایم عادی نمیشود. از پیدا کردن آسیب پذیری خیلی انرژی میگیرم. لحظهی کشف آسیب پذیری برایم اینطور است که انگار در تاریکی باشیم و یهویی جرقهی بزرگی زده شود. واقعا همهی سختیها و خستگیهایم را میبرد! فارغ از اینکه به پول میرسد یا نمیرسد. از خود کشف آن آسیب پذیری خیلی خوشحال میشوم.
_ پس دلیل انتخاب عنوان آیدیت " Spark" در راورو از این نگاه میآید...
بله.
_ هک در دنیای شما و با ادبیات شما چطور تعریف میشود؟
نمیتوانم بگویم که برای من یک تعریف بهخصوصی دارد.
یک تعریف کلی که در مورد "هک" وجود دارد که همه شنیدیم، این است:" اول باید درک کنید چیزهای مختلف چطور کار میکنند تا بعد بتوانید طوری از آنها استفاده کنید که قرار نبوده است." درست است که فقط یک جمله است ولی پشتش واقعا یک دنیایی است! برای من این تعریف جالبی است.
_ بله، همین اتفاق میافتد. یعنی یک سیستم قرار است کاری کند، ولی کاری بکنی که آن کار را نکند و یک کار دیگری بکند.
بله. برای کسی که تکنولوژی را دوست داشته باشد، صبر داشته باشد، چالشپذیر باشد و اشتیاق یادگرفتن داشته باشد، واقعا فرآیند جذابی است. فارغ از اینکه خانم یا آقا است، اگر این ویژگیها را داشته باشد، فکر میکنم میتواند فرد موفقی شود. اوایلش ممکن است خیلی ناامیدکننده باشد، مثلا: کسی که بخواهد کارش را شروع کند، شاید آگهیها را ببیند و باخودش بگوید:"اگر من الان شروع کنم، حقوق ماهانهام از کسی که کار اداری یا دفتری انجام میدهد، شاید مقداری بالاتر و یا پایینتر باشد." ولی شغلی است که اینجا وضعیتش همین است، صبر و تلاش زیادی میخواهد. تلاش هرروزه، کنجکاوی و اشتیاق میخواهد، وگرنه اگر صرفا بحث کسب درآمد است واقعا باید برود شغلهای دیگری را انتخاب کند. تنها چیزی که میتواند آدم را در این حوزه نگه دارد، علاقه است. مخصوصا در کشور ما. مثلا: اگر فردی اینجا ۵ سال تلاش میکند تا به آن نقطهای که بخواهد برسد، شاید در کشور دیگری تلاش میکرد، زودتر به آن، میرسید. ولی اینجا تلاش بیشتری میخواهد.
_ بله. زمان، جزو مواردی است که تاثیر میگذارد. ولی چیزی که میماند و میتواند آدم را نگه دارد، همان علاقه است.
پیشنهاد خواندنی: تعریف هک از نگاه هکرها
ـ بهعنوان فردی که در حوزهی امنیت سایبری کار میکند، یک روز شما چطور میگذرد؟
بخشی از زمانم را به کارهای روزانهام و تسک هایی که در محیط کارم به من سپرده شده اختصاص میدهم؛ به جز اینها، اگر پروژهی تست نفوذ داشته باشم، آن را انجام میدهم.
بخشی از زمانم حتما برای این است که خبرهایی که در طول روز منتشر را بخوانم و چک کنم. این لازمهی شغل من است وگرنه آدم از مدار خارج میشود. این یادگرفتن هرروزه، خیلی به من انرژی هم میدهد. یعنی اگر یک روز چیزی یاد نگرفته باشم، فکر میکنم تمام روزم را هدر دادهام! فکر میکنم یک ویژگی برای کسی که میخواهد در حوزهی امنیت سایبری کار کند، این است که واقعا باید هر روز پذیرای یادگرفتن چیزهای جدید باشد و خسته نشود.
و بخش دیگری از زمانم را بین کتابخواندن و رایتاپخواندن تقسیم میکنم. تا ببینم کلا در این حوزه در دنیا چه خبر است.
ساعت کاریم به ظاهر بعد از ۸، ۹ ساعت تمام میشود، ولی خوب اوقاتفراغت و استراحتم را هم با کامپیوتر، لپتاپ و کارم مشغول هستم و ادامهی کارم را انجام میدهم. هم کار و هم تفریحم حساب میشود، چون با علاقه این کار را میکنم. وگرنه کسانی هستند که ۸، ۹ ساعت کار میکنند و میگویند کارم تمام شد و حالا دنبال زندگیم بروم. من اینطور نیستم.
_ پس یک روز زندگی شما بهعنوان یک متخصص امنیت و هکر اینگونه میگذرد...
_ شما در جامعه، نگاه به "هکر" را چطور تجربه کردهای؟
در مورد تصور اطرافیان در مورد هکرها، نگاههای متفاوتی وجود دارد. برای برخی افراد "هکر" مترادف با "دزد" است! معمولا آدمهایی که در این حوزه نیستند و با آن آشنایی ندارند، هکرها را به عنوان مجرم میبینند. تصویری که از هکرها دارند این است که یک کلاه سیاه روی سرشان کشیدهاند. میگویند این افراد هکر هستند. اینکه هک قانونی وجود دارد و میشود از آن درآمد داشت، برایشان تعریفشده نیست!
نوع دیگری از برخورد جالبی که من میبینم، این است که مثلا بعضی از آدمها شغل من را که متوجه می شوند میترسند! میترسند حتی موبایلشان را دست کسی که شغلش این است بدهند! یعنی فکر میکنند الان من دکمهای میزنم و تمام حسابها و گوشیشان خالی میشود وهزار اتفاق دیگر هم برایشان میافتد. ین ترس را هم من در نگاه بعضی از افراد میبینم.
اینطور است که من ترجیح میدهم وقتی کسی شغلم را میپرسد، اگر بدانم آن فرد خیلی اطلاعی از این حوزه ندارد، میگویم با کامپیوتر کار میکنم و توضیحی نمیدهم.
_ بله، فرهنگ و نگاهی است که خیلی زمان میبرد تا تغییری ایجاد شود.
بله. بهنظرم باید اطلاعرسانی شود. این اطلاعرسانی برای خود مردم هم خوب است، از همهی سوءاستفادههایی که دارد اتفاق میافتد، کم میشود. و هم اینکه به این کمک میکند که بههرحال "هک" بهعنوان یک شغل پذیرفته شود.و اینکه همه هکرها دزد و خلافکار نیستند.
من بارها برایم پیش آمده است که وقتی شغلم را گفتهاند، بهم گفتند:" شغلتان به قیافهتان نمیخورد!"!میگویم: " یعنی کسی که شغلش این است باید چه شکلی باشد؟!"
_ توصیف جالبی از دستههای افراد داشتید؛ بعضیهایشان ناآگاهند و میترسند و بعضیهایشان کمی آگاهی دارند و باز مقداری ترس دارند. دستهی دیگری هم هستند که با فهمیدن شغل هکرها، درخواستهای مختلفشان شروع میشود!
داغ دلم تازه میشود! خیلیها میگویند: "هک اینستا هم انجام میدهید؟ تلگرام فردی را میتوانید برایم هک کنید؟" میگویم: "کار من اصلا این موارد نیست!" میگویند: "بعضی از افراد پکیج دارند و هک صددرصد اینستاگرام را میفروشند.
_ بله. تامین امنیت پیج اینستاگرام هم که راه افتاده است، بعضی ازافراد به همین بهانه میگویند: ما این نوع از امنیت را میخواهیم!
بله، ما امنیت کل سرور و اپ اینستاگرام را تامین میکنیم! :) به نظرم کسانی که در این حوزه فعالیت میکنند باید به اندازهی خودشان آگاهیرسانی کنند. من به اندازهی خودم واقعا دارم این کار را میکنم. سعی میکنم به آدمها بگویم: این افرادی که میگویند امنیت پیج اینستاگرام را تامین میکنیم، شیاد و دروغگو هستند. من وقتی با دلیل برایشان توضیح میدهم، میپذیرند. ولی خوب هرکسی که در این حوزه فعالیت میکند، اگر این کار را کند، کمکم آدمها چشمشان باز میشود. بالاخره این اطلاعات از یک جایی باید بیاید.
مشکلی که وجود دارد این است که بعضی از افرادی که در این حوزه کار میکنند، خودشان به کلاهبردار تبدیل میشوند و از ناآگاهی مردم سوءاستفاده میکنند. خیلی ناراحتکننده است.
تبلیغات بعضی آدمهایی که خودشان را متخصص این حوزه معرفی میکنند، را میبینم که چطور سر آدمها به خصوص نوجوانهای علاقهمند، کلاه میگذارند. این افراد را که میبینم خیلی دلم میسوزد، ولی واقعا کاری از دستم برنمیآید که بخواهم همهی آدمها را آگاه کنم! ولی به اندازهای که بتوانم این کار را میکنم. البته اکثراوقات هم آدم محکوم میشود! وقتی چیزی میگویی، میگویند: "میخواهی این افراد را تخریب کنید؟! اگر جسارت دارید خودتان پول دربیاورید! اگر میتوانستید خودتان این کار را میکردید! این موارد را هم میشنوم، ولی سعی میکنم این کار را کنم چون واقعا دلم میسوزد وقتی این افراد را میبینم.
پیشنهاد خواندنی: قوانین و فرهنگ باگ بانتی در ایران
_ چه خاطرههایی از کار با کامپیوتر داری؟
خوب یادم است که از اینترنت Dial Up استفاده میکردیم، موقع استفاده تلفن خانه قطع میشد و دائم مشغول بود و قبضهای سنگین میآمد! برای اینکه چنین اتفاقی پیش نیاید، من مثلا شب تا صبح کانکت میشدم و یک پتو هم برروی کیس میانداختم تا صدایش را کمتر کند و بتوانم ازش استفاده کنم. ولی باز هم قبضهایی که آخر ماه میآمد، کار را خراب میکرد!
_ اوهوم، بله همگی خیلی خاطرههای مشابهی داریم...
واقعا جذاب بود. من اتفاقا در همان سن، آنموقع یاهومسنجر باب بود و همه استفاده میکردند. من آنجا هک شدم! فردی برایم فایلی فرستاد، من سر در نمیآوردم که که ممکن است چه شود!. فکر کنم به اسم فایل عکس هم برایم فرستاده بود،نام فایل را طولانی کرده بود که من متوجه پسوندش نشدم. پسوندش هم exe بود. من فایل را دانلود و باز کردم و کامپیوترم هک شد!
این برایم تجربه شد و اولین جرقهای که در ذهنم راجع به این موضوع خورد، همانجا بود. با خودم میگفتم:" یعنی چطور اینکار را کرد؟!" به نظرم اولین باری که جذب این ماجراها شدم، همان اتفاق بود. باعث شد به آن موضوع فکر کنم. تا قبل از آن اتفاق، ندیده بودم و سنم هم خیلی کم بود. اصلا روبهرو نشده بودم.
_ در صحبتهایت اشارهای کردی که در محیطهای مختلف خصوصی،دولتی، کوچک، بزرگ و … کار کردهای. در محیطهای مختلف شاهد چه چیزهایی بودید؟ نگاه به امنیت در محیطهای مختلف چطور بود؟
به نظر من، ما در حوزهی امنیت سایبری، حلقههای گمشدهای داریم این حلقههای گمشده کم و بیش در شرکت و سازمانهای مختلف دیده می شود. یکی این است که ما مشاور خوب، خیلی کم داریم. مشاوری که به موضوع مسلط باشد. و حلقهی گمشدهی دیگر هم به نظرم، "اشتراک دانش" است. عدم اشتراک دانش خیلی ضربه میزند. منی که دارم در این حوزه کار میکنم، شرکتها و سازمانهای مختلفی را به چشم میبینم که هک میشوند و هیچ اقدامی درراستای اشتراک دانش باهم ندارند. هیچ اطلاعات فنی و مفیدی از حملهها و هکها منتشر نمیشوند. همین باعث میشود که بارها جاهای دیگری نیز از همان روش دوباره آسیب ببینند و خسارتهای سنگینی زده شود.
ما میشنویم که شهرداری، فولاد، بعضی از زندانها و ... هک شدند و خیلی از سازمانها هم که هک میشوند و چیزی نمیشنویم و اصلا خبرش در نمیآید! مثلا:بانک X هک شده است ولی هیچ خبری از آن منتشر نمیشود، این موارد را که کنار هم میگذاریم میبینیم جایی که اشتراک دانش را ندارد و به روز نیست و متخصص ندارد، خیلی ضرر کرده است.
یک بخش دیگر هم برای این است ما متخصص زیادی نداریم، ما متخصصهایمان را داریم کمکم از دست میدهیم. هرسال کمتر میشوند. به دلایل مختلف از ایران خارج میشوند. عدهای دیگر واقعا تحت فشار هستند و از کار کردن میترسند و دیگر نمیتوانند کار کنند.
موضوع اصلی این است که ما شدیدا نیاز داریم که متخصص تربیت کنیم. این موضوع حادی در شرکتها و سازمانها شده است. این اوضاعی که میگویم در سازمانهای دولتی، بیشتر نمود دارد.
الان در هر چارت سازمانی، یک واحد امنیت هم وجود دارد. ولی این واحد را چطور تشکیل میدهند؟! آقای X را از واحد بیربط به امنیت که یک عمر کارشان چیز دیگری بوده است، به واحد امنیت میآورند. خانم Y را هم از واحد دیگری به واحد امنیت میآورند. فقط برای اینکه واحد امنیتی تشکیل بدهند. این خیلی ضربهزننده است.
من خیلی از شرکتها را میبینم که به همین شکل تیم امنیت تشکیل دادهاند! پیمانکار هم دارند و در آخر هک میشوند و اتفاقات خیلی بدی برایشان میافتد. چون متخصص هم ندارند اصلا متوجه نمیشوند چه اتفاقی افتاده است! و اشتراک دانش هم ندارند و این اتفاقات هم دائم تکرار میشود!
_ اوج حرکتشان، Iran Access کردن است!
بله. واقعا ضعف تخصص بیداد میکند. به نظرم خیلی از نهادها اهمیت امنیت را درک نمیکنند! چون مدیرانی که وجود دارند، مشاور ندارند یا مشاور خوبی ندارند. شاید از مدیر انتظار نداشته باشید که جزئیات فنی را متوجه بشود. باید کارشناس یا مشاور امنیتی وجود داشته باشد تا بتواند اهمیت آن مسائل را برای آن مدیر توضیح بدهد. شما خیلی به ندرت سازمانها یا نهادهایی را میبینید که بخش امنیتشان به خوبی کار کنند.
من یک بار آسیب پذیریای را پیدا کردم که Critical نبود. به کسبوکار گزارش دادم و در جواب به من گفتند: "شما یا نمیدانید که چطور پول دربیاورید! یا میخواهید از ما اخاذی کنید!"آسیب پذیری را هم رفع کردند. ولی نمیدانم بهخاطر اینکه مبلغی پرداخت نکنند، اینطور گفتند یا واقعا دیدگاهشان این بود! همین تجربه و برخورد باعث شد که من خیلی سمت باگ هانتینگ نروم.
الان بازار خیلی خوب شده است خداروشکر. خیلی شرکتها آسیب پذیری هایشان را قبول و حداقل تشکر میکنند! ولی خوب باز هم میبینیم که بعضی از متخصصین امنیتی از تجربیات منفیشان مینویسند که ما این آسیب پذیری را گزارش دادهایم و به دلایل مختلف برخورد درستی با آنها نشده است.
پیشنهاد خواندنی: چرا کسبوکارهای ایران امنیت اطلاعات را جدی نمیگیرند؟
_ ما با شکارچیهای مختلفی که مصاحبه داشتیم و تجربههای مختلف را شنیدیم، اغلبشان تجربههای مشابهی برایشان پیش آمده بود. همینطور که شما گفتید، هم تجربههای خوب و هم تجربههای بدی داشتند. یک نظر جمعی هم معمولا وجود داشته است که، با اینحال شرایط نسبت به سالهای قبل بهتر شده است.
خیلی بهتر شده است. قبلا شما اگر آسیب پذیریای پیدا میکردید، میآمدند و شما را می بردند! مجرم بودید و سر از زندان در میآوردید! نسبت به آن موقع خیلی اوضاع بهتر شده است.
در بین این پلتفرمهایی که کار میکنند، راورو خیلی بهتر کار میکند. من راورو را واقعا قبول دارم. منتها بههرحال هنوز هم فعالیت و دادههایشان خیلی کم است،میدان ها خیلی دیر رسیدگی میکنند. مثلا؛ شما وقتی در هکروان گزارشی ثبت می کنید ، در کمتر از یک ساعت جواب میدهند. شاید ادامه فرآیندش زمان ببرد، ولی جوابی که میدهند خیلی فوری و سریع است.
البته مقایسه نمیکنم چون جای مقایسه نیست. بالاخره هکروان یک دهه است که دارد کار میکند و به آن بلوغی که باید، رسیده است و واقعا قابلمقایسه نیست. ولی این شرایطی که الان در باگ بانتی و پلتفرمها است، میتواند برای آدمها کمی دلسردکننده باشد. ولی خب جای خردهگرفتن هم نیست، زمان میبرد تا شرایط بهتر شود.
_ بله، بابت نظرات مثبت و منفیتان ممنونیم. قطعا که ما به عنوان یک پلتفرم، نقد و نظر منفیتان را پذیرا هستیم. قطعا تمام تلاشمان را میکنیم که اوضاع را تاحدممکن و توانمان بهبود دهیم.
حتما. کاری که شما انجام میدهید، الان نسبت به یک سال گذشته، خیلی پیشرفت داشته است. من خودم زیاد در راورو فعال نیستم. فعالیت کمی در این جمع و کامیونیتی دارم. اگر فعالیت کنم مطمئنا کارهای بیشتری انجام میدهم. به همین دلایلی که گفتم، فعال نیستم ولی خوب دوست دارم که در این فضا کموبیش حضور داشته باشم.
_ خوشحالیم که این را میشنویم.
_ با نگاه یک متخصص امنیت، فکر میکنی یک کاربر عمومی باید چه کارهایی را بکند؟ چه توصیهای برایشان داری؟
به نظرم چیزی که شایع است این است که آدمها راحت اطلاعاتشان را در اختیار بقیه قرار میدهند و اطلاعاتگرفتن از آنها کار خیلی سختی نیست. فکر میکنم نیازی نیست آدم هکر یا حتما در حوزهی امنیت سایبری باشد تا بداند که نباید خیلی ساده و راحت اطلاعات را منتشر کرد. چیزی که شاید به هرکسی بگویم همین است که هر پیام، ایمیل و مسیجی که برایشان میآید، واقعا همان چیزی نیست که داخلش نوشته شده است! و اطلاعاتشان را منتشر نکنند. من همیشه به همه میگویم:" روی هر لینکی که دیدید، کلیک نکنید و برای دیگران نفرستید. حواستان به پنیرهای رایگانی که در تله موشهاست باشد! " .
_ ما هم امیدواریم که روزی برسد که هیچ کاربری، بیاحتیاط روی هر لینکی کلیک نکند! ممنونیم که وقتت را برای این مصاحبه در اختیار ما گذاشتی ارغوان عزیز.
بلاگپستهای مرتبط:
گپوگفتی با متخصص امنیت دنیای صفرویکها؛ علی امینی
گپوگفتی با شکارچی جوان راورو؛ آرمان محمدتاش (Arman_Security)
گپوگفتی با شکارچی جوان و فعال راورو؛ پیمان زینتی (Scar3cr0vv)