بررسیهای تازه نشان میدهد برخی اپلیکیشنهای پرکاربرد داخلی، از جمله بله، ایتا و روبیکا، در سطح شبکه رفتارهایی دارند که عادی و قابلچشمپوشی نیست. این رفتارها میتواند برای تشخیص نوع اتصال کاربر، شناسایی استفاده از وی.پی.ان، بررسی الگوی ترافیک، و حتی ردیابی نشانههای احتمالی استفاده از استارلینک به کار گرفته شود.
وقتی یک پیامرسان داخلی روی گوشی نصب است و به اینترنت وصل میشود، معمولا سرور آن اپ میتواند آی.پی عمومی کاربر را ببیند. اگر کاربر بدون وی.پی.ان از طریق استارلینک وصل شده باشد، آی.پی او ممکن است در محدودههای متعلق به شبکه استارلینک دیده شود.
اگر کاربری با اینترنت استارلینک و بدون وی.پی.ان وارد یک اپایکیشن داخلی شود، سرور آن اپ ممکن است از روی آی.پی عمومی بفهمد اتصال از یک شبکه معمولی داخل ایران نیست و احتمالا به استارلینک تعلق دارد. اگر کاربر وی.پی.ان روشن کند، برخی اپها همچنان میتوانند از داخل گوشی تشخیص دهند که وی.پی.ان فعال است. در اندروید، وضعیت شبکه و حتی وجود وی.پی.ان از طریق قابلیتهای رسمی سیستمعامل برای اپها قابل بررسی است.
برای کاربران داخل ایران، بهویژه کسانی که از استارلینک، وی.پی.ان، یا کانفیگ استفاده میکنند، نصب پیامرسانهای داخلی روی گوشی اصلی یک ریسک جدی است.
از طرفی بسیاری از کاربران تصور میکنند اگر متن پیامهایشان را پاک کنند یا حرف حساسی در پیامرسان داخلی ننویسند، دیگر خطری وجود ندارد. اما خطر فقط در محتوای پیامها نیست. گاهی رفتار شبکهای یک اپلیکیشن میتواند اطلاعات مهمی درباره کاربر لو بدهد.
برای مثال در تحقیق گروه امنیتی Void Verge، مشاهده شده که برخی از این پیامرسانهای داخلی، درخواستهای DNS را از مسیرهایی غیر از سرورهای تنظیمشده روی دستگاه ارسال میکنند. به زبان ساده، یعنی حتی اگر کاربر فکر کند مسیر اینترنت یا DNS خود را کنترل کرده، خود اپلیکیشن ممکن است مسیر دیگری برای پرسوجوی دامنهها انتخاب کند.
چرا این موضوع خطرناک است؟
وقتی یک اپلیکیشن بتواند بفهمد کاربر از چه مسیر یا الگویی به اینترنت وصل شده، این اطلاعات میتواند برای شناسایی کاربران پرخطر از نگاه حکومت استفاده شود. در ایران، جایی که استفاده از ابزارهای عبور از فیلترینگ، وی.پی.ان و استارلینک با فشار امنیتی و حتی بازداشت همراه شده، چنین دادههایی فقط یک مسئله فنی نیست؛ مستقیم با امنیت شخصی کاربران ارتباط دارد.
بنابراین حتی اگر یک پیامرسان داخلی بهتنهایی محل دقیق دیش استارلینک را پیدا نکند، میتواند به تولید سرنخ کمک کند؛ سرنخی که در کنار دادههای اپراتوری، IP، DNS، موقعیت مکانی، شماره تلفن و الگوی استفاده میتواند برای شناسایی کاربر خطرناک باشد.
سابقه نگرانی درباره پیامرسانهای داخلی
هشدارهای بالا دقیقا با نگرانیهای قبلی درباره امنیت پیامرسانهای داخلی همخوان است. «Open Technology Fund» در یک مطلب اعلام کرده بود که سرورهای سه پیامرسان داخلی بله، ایتا و روبیکا میتوانند وبسایتهایی را که کاربران از داخل پیامها باز میکنند، رصد کنند.
این نکته مهم است، چون اگر اپها بتواند لینکها، درخواستها، مسیرهای باز شدن وبسایتها و متادیتای اتصال را ثبت کند، فقط با متن پیامها سروکار ندارد؛ بلکه میتواند بخشی از الگوی رفتاری و شبکهای کاربر را هم ببیند.
گزارش تک رادار (TechRadar) نیز نشان میدهد که پیامرسان “بله” فاقد رمزنگاری سرتاسری است و دادههای حساس را با سرور اپ به اشتراک میگذارد که چنین رفتاری میتواند به سرورها امکان دهد وبسایتهای مشاهدهشده توسط کاربران داخل اپ را رصد کنند.
یک اپلیکیشن پیامرسان فقط یک ابزار چت نیست. چنین پیامرسانهایی میتوانند به شماره تلفن، فهرست مخاطبان، شناسه دستگاه، اطلاعات شبکه، الگوی اتصال، لینکهای بازشده، موقعیت تقریبی، و رفتار کاربر در زمان اتصال به اینترنت دسترسی پیدا کنند.
حتی بدون خواندن مستقیم متن پیامها، ترکیب همین دادهها میتواند یک تصویر خطرناک از کاربر بسازد:
چه زمانی آنلاین شده، از چه شبکهای وصل شده، آیا وی.پی.ان فعال بوده، چه دامنههایی را باز کرده، با چه کسانی در ارتباط بوده و آیا الگوی اتصال او شبیه کاربران استارلینک یا فیلترشکن است یا نه.
این یافتهها بهتنهایی ثابت نمیکنند که هر پیامرسان داخلی حتما یک ابزار جاسوسی است. اما نشان میدهند که رفتار شبکهای برخی از این اپها عادی نیست و برای کاربران داخل ایران، بهویژه کسانی که از وی.پی.ان، کانفیگ، ابزارهای ضدسانسور یا استارلینک استفاده میکنند، میتواند بسیار خطرساز باشد.