مزايا و تهديدات سرويس های Email رايگان

مقدمه

با اين که سرويس های Email رايگان گزينه ای مناسب برای ارسال نامه های شخصی می باشند ولی نمی بايست از آنان به منظور ارسال پيام های الکترونيکی حاوی اطلاعات حساس استفاده نمود .

مزايای سرويس های  Email  رايگان
تعداد زيادی از ارائه دهندگان خدمات ، سرويس های Email  رايگانی را در اختيار علاقه مندان قرار می دهند . ياهو ، hotmail و Gmail نمونه هائی در اين زمينه می باشند  که کاربران عموما" با استفاده از يک رابط کاربر مبتنی بر مرورگر می توانند به صندوق پستی خود دستيابی داشته باشند . يکی از جذابترين مزايای اينگونه سرويس ها ، رايگان بودن آنان است  که توانسته است توجه مخاطبان را به سوی خود جلب نمايد. سرويس های فوق دارای مزايای متعدد ديگری نيز می باشند :

• امکان دستيابی فراگير  و فرامکانی : برای دستيابی به صندوق پستی خود می توان از هر کامپيوتری که دارای شرايط لازم به منظور اتصال به اينترنت است ، استفاده نمود .

• ويژگی های رقابتی : با توجه به ماهيت رقابتی بودن سرويس های فوق ، هر يک از آنان سعی می نمايند که به منظور جذب مخاطبان بيشتر، اقدام به ارائه ويژگی ها و يا سرويس های اضافه ای نظير افزايش فضای ذخيره سازی صندوق پستی ، فيلترينگ spam و حفاظت در مقابل ويروس ها نمايند .

• قابليت های اضافه : ارائه دهندگان اينگونه سرويس ها به منظور جذب مشتريان بيشتر علاوه بر ارائه ويژگی ها و سرويس های اضافه ، اقدام به ارائه سرويس ها و يا نرم افزارهای خاصی نظير Instant messaging می نمايند تا از اين رهگذر کاربران بيشتری را راغب به استفاده از سرويس های ارائه شده نمايند .

• آدرس های ثانويه : آدرس های Email رايگان می توانند به عنوان ابزاری موثر در جهت کاهش spam نيز مطرح گردند. مثلا" در موارد متعددی نظير خريد online از طريق اينترنت، می توان در مقابل ارائه آدرس Email اصلی خود از اينگونه آدرس ها استفاده نمود .

تهديدات مرتبط با سرويس های رايگان پست الکترونيکی
با اين که سرويس های رايگان پست الکترونيکی دارای مزايای متعددی می باشند ، ولی نمی بايست از آنان به منظور ارسال اطلاعات حساس استفاده نمود . با توجه به عدم پرداخت هزينه ای خاص جهت استفاده از اينگونه سرويس ها ، سازمان مربوطه ممکن است دارای يک الزام قانونی مستحکم به منظور حفاظت شما در مقابل انواع تهديدات و يا ارائه بهترين سرويس نباشد .  برخی از تهديدات و خطرات مرتبط با اين نوع آدرس های Email رايگان عبارتند از :

•  امنيت : در صورتی که رمزعبور ، اطلاعات مربوط به login و يا پيام ها به صورت  plain text ارسال گردد ، همواره امکان رهگيری آنان وجود خواهد داشت . در صورتی که يک ارائه دهنده سرويس از رمزنگاری مبتنی بر SSL استفاده می نمايد، پيشنهاد می گردد که حتما" از اين ويژگی به منظور حفاظت اطلاعات ارسالی ، استفاده گردد .

• محرمانگی : کاربران به منظور استفاده از سرويس های Email رايگان هزينه خاصی  را پرداخت نمی نمائيد ولی ارائه دهندگان سرويس برای تامين مخارج خود می بايست از راهکارها و روش های خاصی استفاده نمايند . تبليغات و يا  عرضه اطلاعات کاربران به ساير بنگاه های تجاری از جمله روش های کسب درآمد برای اينگونه ارائه دهندگان سرويس های Email رايگان است . قبل از استفاده از اينچنين سرويس هائی لازم است که در ابتدا سياست های محرمانگی اطلاعات اينگونه مراکز به دقت مطالعه گردد تا مشخص شود  که نحوه برخورد آنان با اطلاعات کاربران  نظير نام ، آدرس پست الکترونيکی و آدرس های موجود در ليست تماس به چه صورت است .
  در صورتی که قصد داريد از يکی از آدرس های Email رايگان به عنوان آدرس پست الکترونيکی محل کار خود استفاده نمائيد ، می بايست اين موضوع را با کارفرمای خود در ميان گذاشته تا همخوانی آن با سياست های امنيتی سازمان مربوطه بررسی و تائيد گردد .

• اعتماد پذيری : با اين که کاربران می توانند از طريق هر کامپيوتر به صندوق پستی خود دستيابی داشته باشند ، ولی می بايست اين اطمينان حاصل گردد که صندوق پستی در زمانی که به وجود آن نياز است در دسترس خواهد بود . در اين رابطه لازم است با سياست های ارائه دهندگان اينگونه خدمات در خصوص نحوه و کيفيت ارائه سرويس ها آشنا شده تا دقيقا" مشخص گردد که آنان قصد ارائه چه نوع خدماتی را و با چه کيفيتی دارند . مثلا" در صورتی که آنان اقدام به ارائه سرويس ننمايند و يا صندوق پستی به هر دليلی حذف و يا ناپديد گردد ، آيا می توان پيام ها را بازيابی نمود؟ آيا ارائه دهندگان اينگونه سرويس ها اين امکان را در اختيار شما قرار می دهند که بتوان پيام ها را download و بر روی کامپيوتر خود آرشيو نمائيد ؟ ميزان کارآئی و نحوه ارائه سرويس به چه صورت است ؟ آيا در ساعات خاصی از شبانه روز کارآئی آن کاهش پيدا می نمايد و عملا" امکان استفاده از صندوق پستی وجود نخواهد داشت ؟ 

با تشکز از شرکت سخاروش

مراقب ضمائم نامه های الکترونيکی باشيد

مقدمه

ارسال فايل و ساير مستندات به عنوان فايل ضميمه همراه يک نامه الکترونيکی به امری متداول تبديل شده است . عليرغم تمامی مزايای و پتانسل های ويژگی فوق ،  ضمائم نامه های الکترونيکی به  يکی از منابع اصلی به منظور توزيع ويروس ، تبديل شده اند . استفاده کنندگان نامه های الکترونيکی ، می بايست در زمان بازنمودن فايل های ضميمه ، دقت لازم را داشته باشند.(ولو اينکه اين نوع ضمائم و نامه های الکترونيکی توسط افرادی ارسال می گردد که شما آنان را می شناسيد ).

چرا ضمائم نامه های الکترونيکی می توانند خطرناک باشند :
شايد اين سوال برای شما مطرح شده باشد که چرا ضمائم نامه های الکترونيکی می توانند خطرناک بوده و تهديدی در مقابل ايمن سازی اطلاعات باشند؟ . در اين رابطه به موارد زير اشاره می گردد :

• چرخش آسان نامه های الکترونيکی : چرخش و حرکت نامه های الکترونيکی بسيار ساده بوده و ويروس ها می توانند در مدت زمان کوتاهی تعداد زيادی از ماشين ها را آلوده نمايند . اکثر ويروس ها حتی به اين موضوع نياز نخواهند داشت که کاربران نامه های الکترونيکی را فوروارد نمايند . ويروس ها ، کامپيوتر کاربر را به منظور آگاهی از ليست آدرس نامه های الکترونيکی پويش نموده و به صورت اتوماتيک اقدام به ارسال پيام های آلوده برای هر يک از آدرس های موجود در دفترچه آدرس نامه های الکترونيکی ،  می نمايند . مهاجمان از اين واقعيت ناگوار استفاده می نمايند که اکثر کاربران به نامه های ارسالی بهمراه ضمائم مربوطه از جانب هر شخص اعتماد می نمايند ( سوء استفاده از حسن اعتماد کاربران ) .

• برنامه های پست الکترونيکی ، سعی در تامين تمامی نيازهای کاربران می نمايند . تقريبا" هر نوع فايل می تواند به عنوان يک فايل ضميمه در نظر گرفته شود . بنابراين  مهاجمان دارای آزادی عمل زيادی در خصوص نوع ويروس ها ، می باشند.

• برنامه های پست الکترونيکی دارای امکانات گسترده و متعددی در سطح لايه رابط کاربر می باشند . برخی از اين نوع برنامه ها ، امکان دريافت اتوماتيک ضمائم نامه های الکترونيکی را فراهم می نمايند. بدين ترتيب  ، امکان آلودگی سيستم بدليل دريافت يک فايل ضميمه آلوده افزايش خواهد يافت .

مراحل لازم به منظور حفاظت خود و ساير افراد موجود در ليست دفترچه آدرس

• دقت لازم در خصوص ضمائم ناخواسته حتی در موارديکه از هويت فرد ارسال کننده ، آگاهی لازم وجود داشته باشد. صرف اين که يک نامه الکترونيکی از طرف برادر ، دوستان و يا همکاران   ارسال شده باشد ، به منزله ايمن بودن  آنان نمی باشد . تعداد زيادی از ويروس ها قادر به "جعل" آدرس و نمايش آن به صورت يک پيام ارسالی توسط اشخاص ديگر می باشند . در صورت امکان و قبل از باز نمودن فايل ضميمه ، بررسی لازم در خصوص هويت فرد ارسال کننده فايل ضميمه را انجام دهيد . در برخی موارد اين نوع نامه های الکترونيکی در ظاهری خيرخواهانه و اطلاع رسانی در خصوص ارائه يک محصول  و يا Patch جديد ، مخاطبان خود را شکار می نمايند .فراموش نکنيم که توليد کنندگان نرم افزار ، هرگز patch  و يا  محصول جديد خود را از طريق نامه الکترونيکی ، ارسال نمی نمايند .

• ذخيره و بررسی ضمائم قبل از باز نمودن آنان  : در صورتی که شما مجبور به باز نمودن يک فايل ضميمه قبل از بررسی منبع ارسال کننده آن می باشيد ، پيشنهاد می گردد ، مراحل زير دنبال شود :
  - از بهنگام بودن نرم افزار آنتی ويروس خود مطمئن شويد .
  - فايل ضميمه ارسال شده را بر روی کامپيوتر خود ذخيره نمائيد .
  - با استفاده از نرم افزار آنتی ويروس ، بررسی لازم در خصوص آلودگی فايل ذخيره شده را انجام دهيد .
  - پس از انجام مراحل فوق و اطمينان از عدم آلودگی فايل ضميمه ، می توان آن را فعال نمود .

• ويژگی دريافت اتوماتيک فايل های ضميمه را در نرم افزار خود ، غير فعال نمائيد . به منظور تسهيل در امر دريافت و مشاهده  نامه های الکترونيکی ، تعداد زيادی از برنامه های پست الکترونيکی ، امکان دريافت اتوماتيک ضمائم نامه های الکترونيکی را در برنامه خود پيش بينی نموده اند . پيشنهاد می گردد بررسی لازم در خصوص تنظيمات موجود نرم افزار استفاده شده به منظور دريافت نامه های الکترونيکی انجام و در صورت وجود ويژگی فوق ، آن را غيرفعال نمائيد .

---

با تشکر از شرکت سخاروش

رهنمودهائی برای نشر اطلاعات بر روی اينترنت

مقدمه

يکی از ويژگی های قابل توجه اينترنت امکان نشر اطلاعات توسط علاقه مندان متناسب با زمينه های مورد علاقه است . با توجه به اين که اينترنت يک منبع عمومی است در زمان نشر اطلاعات می بايست با رعايت موارد امنيتی از انتشار اطلاعاتی که دستيابی عمومی به آنان توجيه منطقی ندارد ، اجتناب گردد .

ضرورت توجه به اين واقعيت که اينترنت يک منبع اطلاعاتی عمومی است
اينترنت يک منبع بزرگ اطلاعاتی با قابليت دستيابی همگانی است که از آن به منظور ارتباطات ، تحقيقات و يافتن اطلاعات در رابطه با افراد در اقصی نقاط جهان استفاده می گردد. رسانه ای بس فراگير که در عمر کوتاه خود توانسته است منشاء تحولات فراوانی در عرصه حيات بشريت گردد . بسياری از کاربران در زمان استفاده از اينترنت اين تصور را دارند که به صورت ناشناس از منابع اطلاعاتی موجود استفاده می نمايند و در زمان برقراری ارتباط با ساير افراد به صورت گمنام باقی می مانند . ذکر اين نکته ضروری و از جهاتی نيز بسيار حائز اهميت است که شما در زمان استفاده از اينترنت ناشناس نخواهيد بود و امکان يافتن اطلاعاتی در رابطه با شما برای ديگران وجود خواهد داشت همانگونه که شما نيز می توانيد اطلاعاتی را در رابطه با ساير کاربران online  اينترنت پيدا نمائيد . عدم توجه به موضوع فوق، کاربران اينترنت را در معرض تهديد و يا آسيب جدی قرار خواهد داد . اکثر مردم عموما" در خصوص اشتراک اطلاعات شخصی خود با افراد غريبه ای که ممکن است در خيابان با آنان مواجه شوند ، جانب احتياط را رعايت می نمايند ولی همان افراد در زمان استفاده از اينترنت در خصوص ارسال اطلاعات شخصی خود با ساير کاربران اينترنت ترديد نکرده و متاسفانه در مواردی نيز زياده روی توام با اغراق نيز انجام می شود. بخاطر داشته باشيد پس از انتشار اطلاعات بر روی اينترنت ، امکان دستيابی و استفاده از آنان توسط افراد ناشناس بيشماری در اقصی نقاط جهان فراهم می گردد و شما هيچگونه تصوری در خصوص نحوه استفاده از اطلاعات منتشر شده  را نمی توانيد داشته باشيد .

رهنمودهائی برای نشر اطلاعات بر روی اينترنت 

• اينترنت را به عنوان يک رمان در نظر بگيريد نه يک دفترخاطرات روزانه . آيا پس از نشر اطلاعات مورد علاقه خود و مشاهده آنان توسط ساير کاربران اينترنت برای شما مشکل خاصی ايجاد نمی گردد ؟ پس از انتشار اطلاعات مورد علاقه خود ، افرادی که شما هرگز آنان را نديده ايد ، می توانند صفحات و اطلاعات شخصی شما را پيدا نموده و به آنان دستيابی داشته باشند . حتی اگر شما دارای يک روزنامه و يا وبلاگ online  می باشيد ، به موازات انتشار مطالب ، امکان استفاده عمومی از آنان فراهم می گردد. برخی سايت ها ممکن است از رمزهای عبور و ساير روش های امنيتی برای حفاظت از اطلاعات و محدوديت در دستيابی به آنان استفاده نمايند ولی روش های فوق توسط اکثر وب سايت بکار گرفته نمی شود . در صورتی که قصد انتشار اطلاعات خصوصی خاصی را داريد و يا صرفا" افراد محدودی می بايست به آنان دستيابی داشته باشند ، شايد اينترنت بهترين گزينه در اين رابطه نباشد .

• دقت لازم در خصوص نشر اطلاعات و ماهيت آنان  : در گذشته ای نه چندان دور يافتن اطلاعاتی بجزء شماره تلفن و آدرس در رابطه با ساير افراد کار مشکلی بود . ولی امروزه با توجه به ويژگی های منحصربفرد اينترنت ، يافتن اطلاعات متفاوتی در رابطه با ساير افراد کار مشکلی نخواهد بود . هم اينک حجم بسيار گسترده ای از اطلاعات به صورت online بوده و امکان دستيابی عمومی به آنان وجود دارد . اين موضوع با توجه به اين که تعداد زيادی از علاقه مندان صفحات وب شخصی مختص به خود را نيز ايجاد می نمايند، روندی کاملا" تصاعدی و فزاينده را طی می نمايد . در زمان انتشار اطلاعات همواره می بايست به اين واقعيت مهم توجه گردد که اطلاعات منتشر شده  برای تمامی کاربران در سراسر جهان قابل استفاده خواهد بود . مثلا" انتشار آدرس پست الکترونيکی می تواند افزايش تعداد spam دريافتی را بدنبال داشته باشد .

• توجه به اين واقعيت که نمی توان وضعيت را به حالت قبل برگرداند : پس از انتشار اطلاعات ، اطلاعات منتشر شده برای ساير کاربران و موتورهای جستجو در دسترس خواهد بود . قبل از انتشار اطلاعات می توان آنان را ويرايش و يا حذف نمود ولی پس از انتشار اطلاعات و استفاده از آنان توسط ساير کاربران ، نمی توان آنان را تغيير داد . حتی در صورتی که شما صفحات حاوی اطلاعات منتشر شده را حذف نمائيد ، همواره اين احتمال وجود خواهد داشت که برخی از کاربران صفحات فوق را بر روی کامپيوتر خود ذخيره کرده باشند و يا بخش هائی از آنان در ساير منابع اطلاعاتی منتشر شده باشد . برخی از موتورهای جستجو ، نسخه هائی از صفحات وب را به منظور بازيابی سريعتر cache می نمايند ، صفحات فوق ممکن است حتی پس از حذف آنان همچنان قابل دستيابی باشند . برخی مرورگرهای وب نيز ممکن است صفحاتی را که قبلا" مشاهده شده است ، cache نمايند .

در زمان انتشار اطلاعات بر روی منابع عمومی خصوصا" اينترنت، می بايست قبل از هر گونه اقدامی ضرورت نشر اطلاعات و اين که چه اطلاعاتی می بايست در دسترس همگانی قرار داده شود به دقت بررسی گردد . سرقت هويت کاربران يکی از مسائل مهم در عرصه اينترنت است و با وجود اطلاعات بيشتر، مهاجمان قادر به جمع آوری اطلاعات بيشتری در رابطه با شما  بوده و می توانند در مواردی خاص خود را به جای شما معرفی نموده و از موقعيت شما سوء استفاده نمايند .

با تشکر از شرکت سخاروش

توصيه هائی برای کاهش Spam

مقدمه

Spam  يکی از متداولترين و  در عين حال منفی ترين جنبه های  دارا بودن يک آدرس Email است . با اين که در حال حاضر و با توجه به تکنولوژی های موجود امکان حذف کامل اين نوع از نامه های الکترونيکی ناخواسته وجود ندارد ، ولی می توان با استفاده از برخی روش های موجود تعداد آنان را کاهش داد .

Spam چيست ؟
Spam ، نسخه الکترونيکی از " نامه های بدرد نخور " است . واژه Spam به پيام های الکترونيکی ناخواسته ، اطلاق می گردد . اين نوع از نامه های الکترونيکی ارتباط مستقيمی با ويروس نداشته و حتی ممکن است پيام هائی که از منابع معتبر ارسال شده اند نيز در زمره اين گروه قرار گيرند  . 

چگونه می توان ميزان  Spam را کاهش داد ؟
با رعايت برخی نکات ، می توان ميزان Spam دريافتی را بطرز محسوسی کاهش داد :

•  آدرس Email خود را بدون دليل در اختيار ديگران قرار ندهيد . آدرس های پست الکترونيکی به اندازه ای متداول شده اند که شما می توانيد بر روی هر فرمی که به منظور کسب اطلاعات شما در نظر گرفته می شود ، وجود فيلد خاصی به منظور دريافت آدرس Email را مشاهد نمائيد . تعدادی زيادی از مردم بدون درنظر گرفتن مسائل جانبی ، آدرس Email خود را در هر محلی و يا هر فرمی درج می نمايند . مثلا" شرکت ها ، اغلب آدرس ها را در يک بانک اطلاعاتی ثبت تا بتوانند وضعيت مشتيريان خود را در آينده دنبال نمايند . برخی اوقات ، اطلاعات فوق به ساير شرکت ها فروخته شده و يا امکان استفاده مشترک برای آنان ، فراهم می گردد . بديهی است در چنين مواردی ممکن است برای شما يک Email و از طرف شرکتی ارسال شود که نه توقع آن را داشته ايد و نه از آنان درخواستی مبنی بر ارائه اطلاعات خاصی را داشته ايد.

• بررسی سياست های محرمانگی  . قبل از ارسال آدرس Email خود به صورت online ، بدنبال Privacy سايت مورد نظر بگرديد .تعداد بسيار زيادی از سايت های شناخته شده و خوشنام دارای يک لينک خاص بر روی سايت خود به منظور آشنائی کاربران با سياست های آن سايت در خصوص نحوه برخورد با اطلاعات ارسالی شما می باشند . (همواره اين پرسش را برای خود مطرح نمائيد که  آيا ما آدرسEmail  خود را در  سايت هائی  درج می نمائيم که نسبت به آنان شناخت کافی داريم ؟) . شما می بايست قبل از ارسال آدرس Email خود و يا ساير اطلاعات شخصی ، سياست های اعلام شده توسط سايت مورد نظر را مطالعه نموده و از اين موضوع آگاه شويد که مالکين و يا مسئولين سايت قصد انجام چه کاری را با اطلاعات ارسالی شما دارند .

• دقت لازم در خصوص گزينه هائی که به صورت پيش فرض فعال شده اند . زمانی که شما برای دريافت خدمات و يا Account  جديد عمليات sign in را انجام می دهيد ، ممکن است بخشی وجود داشته باشد که به شما مجموعه ای از گزينه ها را در خصوص دريافت email در خصوص محصولات و يا سرويس های جديد ، ارائه نمايد . در برخی مواقع ، گزينه ها به صورت پيش فرض انتخاب شده اند ، بنابراين در صورتی که شما آنان را به همان وضعيت باقی بگذاريد ، در آينده نه چندان دور برای شما حجم زيادی از نامه های الکترونيکی که شايد انتظار آنان را نداشته باشد ،  ارسال گردد .

• استفاده از فيلترها : تعدادی زيادی از برنامه های پست الکترونيکی امکان فيلترينگ را ارائه می نمايند . پتانسيل فوق به شما اين اجازه را خواهد داد که آدرس های خاصی را بلاک نموده و يا امکان دريافت نامه را صرفا" از طريق ليست تماس موجود بر روی کامپيوتر خود ، داشته باشيد. برخی مراکز ارائه دهنده خدمات اينترنت ( ISP ) نيز سرويس فيلترينگ  و علامت گذاری مربوط به مقابله با Spam را ارائه می نمايند . در چنين مواردی ممکن است پيام های معتبری که بدرستی طبقه بندی نشده باشند به عنوان spam درنظر گرفته شده و هرگز به صندوق پستی شما ارسال نگردند .

•  هرگز برروی لينک های موجود در يک Spam ، کليک ننمائيد . برخی از منابع ارسال کننده  Spam با ارسال آدرس های Email  متغير در يک Domain خاص ، سعی در تشخيص معتبر بودن يک آدرس Email می نمايند. ( مثلا" تشخيص آدرس های Email  معتبر موجود بر روی hotmail و يا yahoo ) .در صورتی که شما بر روی يک لينک ارسالی توسط يک Spam کليک نمائيد ، صرفا" معتبر بودن آدرس Email خود را به اطلاع آنان رسانده ايد . پيام های ناخواسته ای که يک گزينه "عدم عضويت "  وسوسه انگيز را در اختيار شما قرارمی دهند ، اغلب به عنوان روشی به منظور جمع آوری آدرس های Email معتبر مورد استفاده قرار گرفته که در آينده از آنان به منظور ارسال Spam استفاده گردد .

• غيرفعال نمودن گزينه دريافت اتوماتيک گرافيک در نامه های الکترونيکی با فرمت HTML . تعداد زيادی از شرکت ها ، نامه های الکترونيکی را با فرمت HTML  و همراه با يک فايل گرافيکی لينک شده ارسال نموده  که در ادامه از آن به منظور رديابی فردی که پيام الکترونيکی را باز نموده است ، استفاده می نمايند . زمانی که برنامه سرويس گيرنده پست الکترونيکی شما ، اقدام به download گرافيک از سرويس دهنده آنان می نمايد ، آنان می دانند که شما پيام الکترونيکی را باز نموده ايد . با غير فعال نمودن HTML mail و مشاهده  پيام ها با فرمت صرفا" متن ، می توان پيشگيری لازم در خصوص اين مسئله را انجام داد .

• ايجاد و يا بازنمودن Account های جديد اضافی : تعداد زيادی از سايت ها ، اقدام به عرضه آدرس پست الکترونيکی به صورت رايگان می نمايند . در صورتی که شما بطور مداوم اقدام به ارسال آدرسEmail  خود می نمائيد ( برای خريد online ، دريافت سرويس و ... ) ، ممکن است مجبور به ايجاد يک account ديگر به منظور حفاظت آدرس account اوليه خود در مقابل spam شويد . شما همچنين می بايست از يک account ديگر در زمانی که اطلاعاتی را بر روی بولتن های خبری online ، اطاق های چت ، ليست های عمومی Mailing و يا USENET ارسال می نمائيد، استفاده نمائيد  . بدين تريتب می توان يک سطح حفاظتی مناسب در خصوص دريافت spam به آدرس Email اوليه خود را ايجاد کرد.

• برای سايرين  Spam ارسال ننمائيد . يک کاربر متعهد و دلسوز باشيد . در خصوص پيام هائی که قصد فوروارد نمودن آنان را داريد ، سختگيرانه عمل کنيد . هرگز هرگونه پيامی را برای هر شخص موجود در ليست دفترجه آدرس خود  فوروارد نکرده  و اگر فردی از شما بخواهد که پيامی را برای وی فوروارد ننمائيد ، به درخواست  وی احترام بگذاريد .

 با تشکر از شرکت سخاروش

استفاده ايمن از برنامه های IM و Chat

مقدمه

با اين که برنامه های IM و Chat ، روشی مناسب به منظور ارتباط با ساير افراد می باشند ، ابزارهای استفاده شده برای اين نوع از مبادلات اطلاعاتی  online می تواند خطرناک بوده و  نتايج مخربی را به دنبال داشته باشد .

تفاوت ابزارهای استفاده شده برای مبادلات online
به منظور مبادله اطلاعاتی  online بر روی اينترنت ، از ابزارهای متعددی استفاده می گردد . بررسی ويژگی هر يک از اين ابزارهای موجود بهمراه تهديدات مربوطه ، امکان استفاده ايمن و مطمئن از اين نوع ابزارها را فراهم می نمايد .

• برنامه های Instant messaging ) IM)  : از اين نوع برنامه ها به منظور تفريح ، سرگرمی ، ارسال پيام ، ارتباط صوتی و يا تصويری با ساير افراد استفاده می گردد . از برنامه های فوق در سازمان ها به منظور ارتباط بين کارکنان نيز استفاده می گردد. صرفنظر از نوع برنامه انتخابی IM ، اين نوع برنامه ها بستر مناسبی به منظور ارتباط يک به يک را ايجاد می نمايد . 

• اطاق های چت : اطاق های چت صرفنظر از عمومی بودن و يا خصوصی بودن ، تالارهائی برای گروههای خاص از مردم و به منظور ارتباط با يکديگر می باشند .اکثر اطاق های چت مبتنی بر خصايص مشترکی می باشند : مثلا" اطلاق هائی مختص افرادی با سن خاص و يا علائق مشترک . با اينکه اکثر برنامه های سرويس گيرنده IM از چت ، حمايت می کنند ، برنامه های IM همچنان و بر اساس روش سنتی خود ابزاری برای ارتباطات يک به يک می باشند . در حالی که چت  به صورت سنتی ابزاری برای ارتباط چند نفر به چند نفر می باشد .

به منظور طراحی و پياده سازی برنامه های فوق از فن آوری های متعددی نظير : IM ، IRC و يا Jabber  استفاده می گردد . برخی از نرم افزارهای ارائه شده با ترکيب چندين قابليت توانسته اند پاسخگوی خواسته های متنوع کاربران باشند .

تهديدات اين نوع برنامه ها چيست ؟

• وجود ابهام در خصوص هويت مخاطب . در برخی موارد نه تنها شناسائی مخاطب و شخصی که در حال ارتباط با وی هستيد مشکل می باشد بلکه ماهيت انسانی و رفتاری وی نيز قابل پيش بينی نخواهد بود. مردم ممکن است در رابطه با هويت خودشان ، گزاف گفته ، account ها ممکن است در معرض سوء ظن باشند و يا ممکن است کاربران عمليات logout را فراموش نمايند . در برخی موارد ممکن است يک account توسط چندين نفر و به صورت مشترک استفاده می گردد . تمامی موارد فوق ، دليلی است بر اين ادعا که نمی توان بطور واقعی و حقيقی در رابطه با ماهيت شخصی که در حال گفتگو با وی هستيد ، قضاوت کرده و به يک سطح مطلوب از اطمينان دست پيدا کرد . 

•  کاربران ، مستعد انواع حملات می باشند . سعی کنيد به شخصی بقبولانيد که برنامه ای را اجراء و يا بر روی يک لينک ، کليک نمايد . اجرای يک برنامه به توصيه ديگران و يا کليک بر روی يک لينک پيشنهادی توسط سايرين ، يکی از روش های متداول به منظور انجام برخی تهاجمات می باشد . اين موضوع در اطاق های چت و يا برنامه های IM امری متداول و مرسوم است . در محيطی که يک کاربر در اين انديشه است که در يک جو مطمئن و اعتماد پذير در حال گفتگو با اشخاص است ، يک کد مخرب و يا يک مهاجم می تواند شانس بيشتری برای رسيدن به اهداف خود  و به دام انداختن ساير افراد را داشته باشد .

•  عدم وجود آگاهی لازم در خصوص ساير افراد درگير و يا ناظر گفتگو : مبادلات online بسادگی ذخيره می گردند و در صورتی که شما از يک سرويس اقتصادی رايگان استفاده می نمائيد، ماحصل گفتگوی انجام شده می تواند بر روی يک سرويس دهنده ذخيره شده ( logs ) و شما هيچگونه کنترلی در خصوص اين logs نخواهيد داشت . شما نمی دانيد که آيا اشخاص و افراد ديگر نظاره گر اين گفتگو می باشند يا خير ؟ يک مهاجم می تواند بسادگی اقدام به شنود اطلاعات و ره گيری آنان از طريق مبادلات اطلاعاتی انجام شده در اطاق های چت نمايد .

• نرم افزاری که شما بدين منظور استفاده می نمائيد ممکن است دارای نقاط آسيب پذير خاص خود باشد . همانند ساير نرم افزارها ، نرم افزارهای چت ، ممکن است دارای نقاط آسيب پذيری باشند که مهاجمان با استفاده از آنان می توانند به اهداف خود نائل گردند .

• تنظيمات امنيتی پيش فرض انجام شده ، ممکن است به درستی مقداردهی نشده باشند . تنظيمات امنيتی در نرم افزارهای چت ، با نگرشی خيرخواهانه و ساده در نظر گرفته شده تا بدينوسيله و به زعم خود پتانسيل های بيشتری را در اختيار متقاضيان قرار دهند . رويکرد فوق ، کاربران و استفاده کنندگان از اين نوع برنامه ها را مستعد انواع حملات توسط مهاجمان می نمايد .

چگونه می توان از اين ابزارها به صورت ايمن استفاده نمود ؟

•  بررسی و ارزيابی تنظيمات امنيتی  :در اين رابطه لازم است تنظيمات پيش فرض در نرم افزار به منظور بهينه سازی امينتی آنان بررسی گردد .مطمئن شويد که ويژگی دريافت اتوماتيک فايل ( Download ) ، غير فعال شده باشد. برخی از نرم افزارهای چت ، امکان ارتباط محدود با افراد را ارائه می نمايد . در صورتی که از اين نوع برنامه ها استفاده می نمائيد ، پيشنهاد می گردد ويژگی فوق فعال گردد .

• هشياری و دقت لازم در خصوص افشای اطلاعات. تا زمانی که نسبت به هويت طرف درگير در ارتباط اطمينان لازم را کسب نکرده ايد ، از افشای اطلاعات شخص و مهم خود جدا" اجتناب کنيد . مبادله اطلاعات در اطاق های چت می بايست با دقت و حساسيت بالا ، انجام شود .هرگز اطلاعات تجاری و حساس مربوط به سازمان خود را در  اطاق های چت و يا برنامه های عمومی IM  افشاء و برملاء ننمائيد .

• شناسائی هويت افراديکه در حال گفتگو با آنان هستيد ( حتی المقدور ). در برخی موارد تشخيص هويت فردی که در حال گفتگو با وی می باشيد ، چندان حائز اهميت نمی باشد. در صورتی که شما نيازمند سطح خاصی از اطمينان در خصوص شخص مورد نظر می باشيد و يا قصد اشتراک اطلاعاتی خاص با وی را داريد ، شناسائی هويت مخاطب بسيار حائز اهميت است (مطمئن شويد شخصی که در حال گفتگو با وی هستيد ، همان شخص مورد نظر شما است ) .

• عدم اعتماد و باور هر چيز :اطلاعات و يا توصيه هائی که شما از طريق يک اطاق چت و يا برنامه های IM دريافت می نمايد، ممکن است نادرست ، غلط و حتی  مخرب باشند . در اينگونه موارد می بايست در ابتدا بررسی لازم در خصوص صحت اطلاعات و يا دستورالعمل های ارائه شده ، انجام و در ادامه از آنان استفاده گردد.

• بهنگام نگه داشتن نرم افزارها : فرآيند بهنگام سازی نرم افزارها شامل نرم افزار چت ، مرورگر وب ، سيستم عامل ، برنامه سرويس گيرنده پست الکترونيکی و برنامه آنتی ويروس است . عدم بهنگام بودن هر يک از برنامه های فوق می تواند زمينه بروز تهاجمات توسط مهاجمان را فراهم نمايد .   

با تشکر از شرکت سخاروش

آشنائی با محتويات فعال و کوکی

آشنائی

 هر يک از ما در مدت زمان اتصال به اينترنت از وب سايت ها و يا وبلاگ های متعددی ديدن می نمائيم . طراحان و پياده کنندگان وب سايت ها و وبلاگ ها به منظور ارائه خدمات مورد نظر خود از امکانات و يا بهتر بگوئيم تکنولوژی های متفاوتی استفاه می نمايند . اغلب ملاقات کننده گان ، احساس خاصی نسبت به اين تکنولوژی ها نداشته و صرفا" برای آنان نوع سرويس ها و خدمات ارائه شده دارای اهميت است . برخی از تکنولوژی های استفاده شده عليرغم داشتن جنبه های مثبت و  مهم به ابزارهائی برای برنامه ريزی برخی حملات تبديل شده و حريم خصوصی کاربران را بمخاطره می اندازد . محتويات فعال ( Active contents ) و کوکی ها  ( Cookies ) از جمله موارد فوق ، می باشند.

محتويات فعال چيست ؟
در اغلب وب سايت ها به منظور افزايش پتانسيل های قابل ارائه به کاربران و يا تزئين سايت از اسکريپت هائی که باعث اجرای برنامه ها بر روی مرورگر وب می شود ، استفاده می گردد . ايجاد منوهای Drop-down و يا انجام افکت های گرافيکی متفاوت در يک صفحه وب ، نمونه هائی در اين زمينه می باشند . اين نوع اسکريپت ها که به "محتويات فعال" معروف شده اند ، اغلب به روشی برای انواع حملات نظير  سرقت اطلاعات و يا اجرای کدهای مخرب بر روی کامپيوتر کاربران، تبديل شده اند .

• جاوا اسکريپت : جاوا اسکريپت يکی از متداولترين زبان های اسکريپت نويسی در وب است  که در اکثر وب سايت ها از آن استفاده می گردد. ( VBscript,ECMAScript و Jscript نمونه هائی ديگر در اين زمينه می باشند ) . تامين طيف وسيعی از خواسته ها ، عملکرد مناسب ، سادگی در استفاده و ترکيب آسان با ساير نرم افزارها از جمله دلايل گسترش استفاده از زبان های اسکريپت نويسی در وب می باشد.مهاجمان نيز از پتانسيل های ارائه شده توسط زبان های اسکريپت نويسی به منظور نيل به اهداف مخرب خود استفاده می نمايند . مثلا" يکی از حملات متداول که با محوريت جاوا اسکريپت صورت می پذيرد ، هدايت کاربران از يک وب سايت مطمئن به يک وب سايت مخرب است که در آن اقدام به download ويروس ها و يا جمع آوری اطلاعات شخصی کاربران می گردد .

• اپلت های جاوا و کنترل های اکتيوايکس : اپلت های جاوا و کنترل های اکتيوايکس  برنامه هائی می باشند که بر روی کامپيوتر شما مستقر شده  و يا از طريق شبکه بر روی مرورگر شما download می گردند . در صورتی که اينگونه برنامه ها ( خصوصا" کنترل های اکتيوايکس ) توسط مهاجمان مديريت و هدايت گردند ، امکان انجام هر گونه عملياتی بر روی کامپيوتر شما وجود خواهد داشت . اپلت های جاوا معمولا" در يک محيط محدودتر اجراء می گردند . اين نوع از برنامه ها در صورت عدم ايمنی مناسب محيط ايجاد شده ، فرصت های مناسبی به منظور انواع حملات را برای مهاجمان فراهم می نمايند .

استفاده از جاوا اسکريپت ، اپلت های جاوا و کنترل های اکتيوايکس ، همواره خطرناک نمی باشد . ولی می بايست به اين موضوع دقت شود که امکانات فوق به  ابزارهائی برای انواع حملات توسط مهاجمان، تبديل شده اند . به منظور پيشگيری در خصوص محتويات فعال ، امکانات متعددی در اکثر مرورگرها پيش بينی شده است که با استفاده از آنان و تنظيم بهينه پارامترهای موجود می توان يک سطح ايمنی مناسب را ايجاد نمود. بموازات افزايش ضريب ايمنی مرورگر خود به منظور برخوردبا محتويات فعال، ممکن است محدوديت های خاصی در خصوص برخی ويژگی های ارائه شده توسط برخی سايت ها ، ايجاد گردد. در صورتی که از يک وب سايت ديدن می نمائيد که نسبت به آن شناخت کافی وجود ندارد ، می بايست پيشگيری لازم در خصوص غير فعال نمودن محتويات فعال را انجام داد. تهديدات مشابهی نيز می تواند متوجه برنامه های پست الکترونيکی باشد . تعداد زيادی از برنامه های پست الکترونيکی از برنامه های مشابه مرورگرها به منظور نمايش HTML استفاده می نمايند . بنابراين امکان تهديد محتويات فعال در خصوص نامه های الکترونيکی نيز می تواند وجود داشته باشد .به منظور پيشگيری لازم در خصوص اين نوع تهديدات می توان پيام ها را  به صورت متن معمولی ، مشاهده نمود .

کوکی چيست ؟
در زمان استفاده از اينترنت ، امکان جمع آوری و ذخيره اطلاعات شما وجود خواهد داشت . اطلاعات فوق ممکن است اطلاعاتی عمومی در خصوص کامپيوتر شما نظير آدرس IP ، نام Domain استفاده شده به منظور ارتباط با اينترنت ، نوع مرورگر و سيستم عامل ، باشد . اطلاعات جمع آوری شده می تواند شامل موارد خاصی نظير آخرين مرتبه ای که يک وب سايت را ملاقات نموده ايد  و يا اطلاعات شخصی شما در زمان استفاده از يک وب سايت خاص نظير آدرس پست الکترونيکی باشد .

• Session cookie . اين نوع کوکی ها صرفا" و تا زمانی که از  مرورگر استفاده می گردد ، اطلاعاتی را ذخيره نموده و  پس از بستن مرورگر اطلاعات از بين می رود  . هدف از بکارگيری اين نوع کوکی ها ، ارائه تسهيلات لازم در خصوص حرکت بين صفحات متعدد است . مثلا" تشخيص مشاهده يک صفحه خاص و يا نگهداری اطلاعاتی در خصوص داده های مرتبط با يک صفحه .

• Presistent cookie : اين نوع کوکی ها اطلاعاتی را بر روی کامپيوتر شما ذخيره می نمايند . بدين ترتيب امکان نگهداری اطلاعات شخصی مرتبط با شما فراهم می گردد . در اکثر مرورگرها برای اين نوع از کوکی ها می توان يک مدت زمان خاص را مشخص نمود( عمر مفيد )  .در صورتی که يک مهاجم امکان دستيابی به کامپيوتر شما را پيدا نمايد ، می تواند با مشاهده محتويات فايل های فوق به اطلاعات شخصی شما دسترسی نمايد.

به منظور افزايش سطح ايمنی خود ، می بايست تنظيمات امنيتی لازم در خصوص اعمال محدوديت و يا بلاک نمودن کوکی ها را در جهت حفظ حريم خصوصی ، انجام داد . در صورتی که از يک کامپيوتر عمومی استفاده می نمائيد ، می بايست کوکی ها را غير فعال نموده تا پيشگيری لازم در خصوص دستيابی سايرين به اطلاعات شخصی شما ، صورت پذيرد .

با تشکر از شرکت سخاروش

آشنائی با گواهينامه های وب سايت

آشنائی

اينترنت فرصت حضور در عرصه های جهانی را برای تمامی علاقه مندان فراهم نموده است و به همين دليل است که امروزه ما شاهد ميليون ها سايت و يا وبلاگ در اين عرصه می باشيم . بديهی است که از شرايط موجود صرفا" در جهت اهداف مثبت استفاده نگردد و افراد سودجو نيز اينترنت را مکانی برای شکوفائی پتانسيل های منفی خود بدانند و به نوعی بر روی آن سرمايه گذاری نمايند . ايجاد سايت هائی با ظاهری موجه و  ترغيب کاربران برای مشاهده اين گونه سايت ها، يکی از متداولترين روش های به دام انداختن و در نهايت سرقت اطلاعات  شخصی کاربران است . به نظر می بايست سايت هائی که درخواست اطلاعات شخصی خاصی نظير شماره کارت اعتباری و مواردی ديگر از اين نوع را از کاربران می نمايند ، شناسائی و دارای يک شناسنامه معتبر و مورد اعتماد باشند  و به قول معروف جواز انجام اين نوع فعاليت ها را از يک مرکز مطمئن و مورد اعتماد گرفته باشند .
گواهينامه های وب سايت ، تلاشی است در جهت تائيد يک وب سايت و اين که سايت مورد نظر دارای هويتی کاملا" شناخته شده  و تائيد شده  است . آشنائی با اين نوع گواهينامه ها می تواند کاربران  را در جهت حفاظت از حريم خصوصی ياری نمايد .

گواهينامه های وب سايت چيست ؟
در صورتی که يک سازمان تمايل به داشتن يک وب سايت ايمن را داشته باشد که در آن برای دريافت و يا ارسال اطلاعات از رمزنگاری استفاده گردد ، می بايست اقدام به دريافت يک گواهينامه سايت و يا ميزبان نمايد . شايد اين سوال برای شما مطرح شده باشد که چگونه می توان تشخيص داد که يک سايت از رمزنگاری استفاده می نمايد ؟ بدين منظور  می توان به Status bar  پنجره مرورگر خود توجه نمود ، در صورتی که يک آيکون شبيه يک قفل بسته يا همان padlock نمايش داده شود ، به منزله استفاده از رمزنگاری توسط وب سايت مورد نظر است . يکی ديگر از روش های موجود به منظور تشخيص استفاده از رمزنگاری در يک سايت ، مشاهده بخش آدرس برنامه مرورگر است . در چنين مواردی از پروتکل https در مقابل http استفاده می گردد . با حصول اطمينان از اين موضوع که يک وب سايت اطلاعات شما را رمز و ارسال می نمايد و همچنين دارای يک گواهينامه معتبر است ، يک سطح حفاظتی مناسب در مقابل مهاجمانی که با ايجاد وب سايت های مخرب قصد سرقت اطلاعات شخصی شما را دارند ، ايجاد می گردد.همواره می بايست قبل از ارسال هرگونه اطلاعات شخصی، نسبت به مقصد ارسال اطلاعات اطمينان ايجاد گردد .
در صورتی که يک وب سايت دارای يک گواهينامه معتبر باشد ، اين بدان معنی است که يک مرکز معتبر صدور گواهينامه قبلا" تمامی مراحل لازم به منظور شناسائی و تائيد هويت سايت را انجام داده است . زمانی که شما يک url را در بخش آدرس برنامه مرورگر خود تايپ می نمائيد و يا لينکی را دنبال می نمائيد که شما را به يک وب سايت ايمن هدايت می نمايد ، مرورگر ويژگی های خاصی را در  گواهينامه بررسی می نمايد :

•  آيا آدرس سايت با آدرس موجود در گواهينامه مطابقت می نمايد؟

•  آيا گواهينامه توسط يکی از مراکز مجاز که مرورگر قادر به تشخيص آنان به عنوان يک مرکز معتبر و مورد اعتماد می باشد ، صادر شده است ؟

آيا می توان به يک گواهينامه اعتماد نمود ؟
محتويات و ماهيت  گواهينامه صادر شده برای يک وب سايت ، سطح اعتماد به سازمان و مرکز صدور گواهينامه را مشخص نموده و اين که تا چه ميزان می توان به آن اعتماد نمود ؟ مثلا" در صورت مطابقت آدرس وب با آدرس گواهينامه ، صدور گواهينامه توسط يک مرکز معتبر مشخص می گردد و يا در صورتی که گواهينامه صادر شده دارای تاريخ اعتبار لازم باشد ، نشاندهنده اين موضوع است که سايتی را که قصد مشاهده آن را داريد ، همان سايتی است که می بايست باشد . در صورتی که به گواهينامه صادر شده اعتماد نگردد ، می بايست از مکانيزم هائی ديگر برای بررسی هويت گواهينامه صادر شده استفاده نمود (مثلا" ارتباط مستقيم با سازمان ) .
با اطمينان به اعتبار يک گواهينامه به نوعی شما مرکز صدور گواهينامه را که اين بررسی را برای شما انجام داده است نيز تائيد می نمائيد . برنامه مرورگر شما به صورت پيش فرض دارای ليستی بالغ بر يکصد مرکز صدور گواهينامه معتبر و تائيد شده می باشد . اين بدان معنی است که شما صلاحيت يکصد مرکز فوق را به منظور بررسی هويت و اعتبار گواهينامه ها ، پذيرفته ايد . قبل از ارسال اطلاعات شخصی می بايست  وضعيت گواهينامه را بررسی نمود .

چگونه می توان يک گواهينامه را بررسی نمود ؟
به منظور بررسی گواهينامه يک وب سايت در برنامه های مرورگر IE و يا Mozila  می توان از دو روش متفاوت استفاده نمود :

•  کليک بر روی padlock موجود  در status bar پنجره برنامه مرورگر

• استفاده از ويژگی certificate در منوی Options

 در ادامه ، اطلاعات متنوعی در خصوص گواهينامه نمايش داده می شود :

• چه کسی گواهينامه را صادر نموده است ؟  آيا گواهينامه توسط  يک مرکز معتبر و مورد اطمينان صادر شده است ؟ ( در اين رابطه ممکن است با اسامی متفاوتی نظير VerSign,thawte و يا Entrust  برخورد نمائيد ) . برخی سازمان ها ممکن است دارای مراکز صدور گواهينامه مختص به خود باشند که از آنان  به منظور صدور گواهينامه برای سايت های داخلی نظير اينترانت استفاده می گردد .

•  گواهنيامه صادر شده متعلق به چه کسی است ؟ گواهينامه می بايست برای سازمانی که دارای وب سايت مربوطه است ، صادر شده باشد . هرگز گواهينامه هائی را که نام آنان با نام سايت و يا شخص مورد نظر مطابقت نمی نمايد ، تائيد ننمائيد.

• مدت زمات اعتبار گواهينامه : اکثر گواهينامه ها برای يک و يا دو سال صادر می گردند . در اين رابطه يک استثناء نيز وجود دارد و به مواردی بر می گردد که گواهينامه برای خود مرکز صدور گواهينامه صادر شده باشد. اين نوع گواهينامه ها معمولا" دارای اعتباری ده ساله می باشند . همواره مدت زمان اعتبار يک گواهينامه را بررسی نموده و نسبت به گواهينامه هائی که دارای اعتباری بيش از دو سال می باشند و يا تاريخ اعتبار آنان به اتمام رسيده است ، حساسِت داشته باشيد .

در صورتی که در خصوص اعتبار يک گواهينامه ترديد داريد و يا دارای ابهاماتی در خصوص ايمن بودن يک سايت می باشيد ، هرگز اطلاعات شخصی خود را برای آنان ارسال ننمائيد . قبل از ارسال هرگونه اطلاعات شخصی، می بايست سياست های اعلام شده وب سايت مورد نظر در خصوص رعايت محرمانگی اطلاعات مطالعه گردد تا مشخص گردد که آنان با اطلاعات ارسالی شما چه کار خواهند کرد .

با تشکر از سایت سخاروش

Patch چيست ؟

Patch 
توليد کنندگان نرم افزار پس از آگاهی از وجود نقاط آسيب پذير در محصولات خود ،  با ارائه Patch های لازم اقدام به برطرف نمودن مسئله و حل مشکل ايجاد شده ، می نمايند . تمامی کاربران کامپيوتر می بايست از نصب آخرين Patch های ارائه شده مرتبط با محصولات نرم افزاری که بر روی سيستم خود استفاده می نمايند ، مطئمن گردند . اعتقاد عملی به سياست فوق ، ضريب حفاظتی و امنيتی سيستم شما را افزايش خواهد داد . 
همانند وصله های يک لباس که باعث بهبود سوراخ ها و روزنه های موجود می گردد  ، وصله های نرم افزاری باعث بهبود سوراخ ها و حفره های موجود در برنامه های نرم افزاری می گردند .  Patch ها ، يک مشکل خاص و يا نقطه آسيب پذير در يک نرم افزار را برطرف می نمايند . در برخی موارد توليد کنندگان نرم افزار در مقابل ارائه يک patch ، اقدام به ارائه يک نسخه جديد از نرم افزارهای خود می نمايند ( ارتقاء نرم افزار ).  توليد کنندگان نرم افزار ممکن است به نسخه جديد ارتقاء يافته به عنوان يک patch مراجعه نمايند .

نحوه آگاهی از patch  مورد نياز
توليد کنندگان نرم افزار پس از آماده شدن patch ها  ، آنان را بر روی وب سايت های خود ارائه خواهند داد . کاربران کامپيوتر می توانند با مراجعه به سايت شرکت عرضه کننده محصول نرم افزاری در مرحله اول از ارائه Patch جديد آگاهی يافته و در مرحله دوم با دريافت و نصب آن ، نرم افزار نصب شده بر روی سيستم خود را ارتقاء دهند . پس از ارائه يک patch ، می بايست سريعا" اقدام به نصب آن بر روی سيستم شود . بدين ترتيب فرصت استفاده از نقاط آسيب پذير موجود در يک محصول نرم افزاری توسط مهاجمان سلب و امکان موفقيت آنان کاهش می يابد. برخی نرم افزارها بصورت اتوماتيک بررسی لازم در خصوص ارائه نسخه های جديد و بهنگام شده را انجام داده و به کاربران اعلام می نمايند  که يک نسخه جديد ارائه شده و امکان دريافت و نصب آن وجود دارد . برخی از توليد کنندگان نرم افزار ، آماده شدن يک Patch را از طريق Email به اطلاع کاربران می رسانند. در صورتی که امکان استفاده از تسهيلات فوق وجود داشته باشد ، پيشنهاد می گردد که از مزايای آن استفاده گردد. در صورتی که امکان استفاده از پتانسيل های اشاره شده وجود نداشته باشد ، می بايست به صورت ادواری از وب سايت های توليد کنندگان بازديد نموده  تا در صورتی که يک patch جديد ارائه شده باشد از وجود آن آگاه وسريعا" نسبت به دريافت و نصب آن بر روی سيستم خود اقدام نمود.

 

با تشکر از شرکت سخاروش

APIPA چيست ؟

APIPA 

در يك شبكه كامپيوتری سرويس ها و خدمات متعددی از طريق سرويس دهندگان مختلف در اختيار سرويس گيرندگان قرار می گيرد . اختصاص پويای اطلاعات مربوط به آدرس دهی IP توسط سرويس دهنده DHCP ( برگرفته از Dynamic Host Configuration Protocol  ) ،  نمونه ای در اين زمينه است .
DHCP ، پس از پروتكل BOOTP مطرح و مهمترين هدف آن تامين اطلاعات مورد نياز يك ايستگاه و يا ساير دستگاه های شبكه ای در ارتباط با پروتكل TCP/IP است . بدين منظور از سه روش متفاوت استفاده می گردد :

• اختصاص اتوماتيك : در اين روش سرويس دهنده DHCP يك آدرس دائم را به يك سرويس گيرنده نسبت می دهد .

• اختصاص پويا : متداولترين روش استفاده از سرويس دهنده DHCP  در يك شبكه می باشد كه بر اساس آن سرويس دهنده يك آدرس را به صورت پويا در اختيار سرويس گيرنده قرار می دهد . آدرس نسبت داده شده به سرويس گيرنده بر اساس مدت زمان مشخص شده توسط سرويس دهنده DHCP  تعيين می گردد ( محدود و يا نامحدود )

• اختصاص دستی : در اين روش كه معمولا" توسط مديران شبكه استفاده می گردد  ، يكی از آدرس های موجود در بانك اطلاعاتی سرويس دهنده DHCP  به صورت دستی به يك سرويس گيرنده و يا سرويس دهنده خاص نسبت داده می شود (  Reservations)  .

در صورتی كه پيكربندی پروتكل TCP/IP  بر روی يك كامپيوتر بگونه ای انجام شده  است كه كامپيوتر و يا دستگاه شبكه ای مورد نظر را ملزم به استفاده از خدمات سرويس دهنده DHCP می نمايد ( تنظيمات انجام شده در صفحه Properties پروتكل TCP/IP )  ولی در عمل سرويس دهنده وجود نداشته باشد و يا سرويس گيرندگان قادر به برقراری ارتباط با آن نباشند و يا برای سرويس دهنده DHCP  مشكل خاصی ايجاد شده باشد ، تكليف سرويس گيرندگان و متقاضيان استفاده از خدمات سرويس دهنده DHCP چيست ؟
در چنين مواردی سرويس گيرندگانی كه بر روی آنان يكی از نسخه های ويندوز ( به جزء ويندوز NT ) نصب شده است ، می توانند از APIPA (  برگرفته از Automatic Private IP Addressing   ) استفاده نمايند . با استفاده از سرويس فوق كه صرفا" در شبكه های كوچك قابل استفاده خواهد بود ( حداكثر 25 دستگاه موجود در شبكه ) ، هر يك از سرويس گيرندگان می توانند به صورت تصادفی يك آدرس IP  خصوصی را بر اساس مشخصات جدول زير به خود نسبت دهند .
 

آدرس رزو شده توسط APIPA 

 169.254.0.1 TO 169.254.255.254

Subnet Mask

 255 . 255 . 0 . 0

و اما چند نكته در ارتباط با روش آدرس دهی APIPA :

• زمانی كه يك سرويس گيرنده پاسخ مناسبی را از سرويس دهنده DHCP دريافت ننمايد ، پس از مدت زمان كوتاهی يك آدرس تصادفی را از شبكه دريافت می نمايد .

• با توجه به اين كه سرويس گيرنده به صورت كاملا" تصادفی يك آدرس IP را انتخاب می نمايد ، همواره اين احتمال وجود خواهد داشت كه يك كامپيوتر آدرسی را انتخاب نمايد كه قبلا" توسط كامپيوتر ديگری استفاده شده باشد . برای حل اين مشكل ، پس از انتخاب يك آدرس IP توسط سرويس گيرنده ، يك بسته اطلاعاتی broadcast شامل آدرس IP  توسط سرويس گيرنده در شبكه ارسال و بر اساس پاسخ دريافتی ، در خصوص نگهداری و يا آزادسازی آدرس IP تصميم گيری می گردد.

• اطلاعات ارائه شده توسط APIPA ، يك آدرس IP و يك Subnet mask می باشد و ساير اطلاعلاتی كه عموما" توسط سرويس دهنده DHCP ارائه می گردد را شامل نمی شود . مثلا" با استفاده از APIPA نمی توان آدرس  gateway پيش فرض را در اختيار سرويس گيرندگان قرار داد . بنابراين مبادله اطلاعات محدود به كامپيوترهای موجود در يك شبكه محلی كوچك می گردد كه تماما" دارای فضای آدرس دهی شبكه   0 . 0 . 254 . 169  می باشند . در صورت نياز می بايست ساير اطلاعات لازم در ارتباط با پيكربندی پروتكل TCP/IP به صورت دستی مشخص گردد. 

• سرويس گيرندگانی كه از APIPA استفاده می نمايند به صورت ادواری و در بازه های زمانی پنج دقيقه ، شبكه را به منظور وجود يك سرويس دهنده DHCP بررسی می نمايند . در صورتی كه سرويس دهنده DHCP در دسترس قرار بگيرد ، سرويس گيرنده يك درخواست را برای وی ارسال و اطلاعات مربوط به پيكربندی TCP/IP را از آن دريافت می نمايد .

• پتانسيل استفاده از APIPA به صورت پيش فرض بر روی تمامی نسخه های ويندوز فعال می باشد . برای غيرفعال نمودن آن می بايست تنظميات ريجستری را تغيير داد:
  - اجرای برنامه Regedit
  - يافتن كليد زير بر اساس نام در نظر گرفته شده برای كارت شبكه :

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces

  - ايجاد يك DWORD Value  ( نام آن IPAutoconfigurationEnabled و مقدار آن صفر در نظر گرفته شود )
  - در صورتی بر روی كامپيوتر چندين آداپتور موجود است ،‌ می بايست مراحل فوق برای هر يك از آنان تكرار گردد .
  

 با تشکر از شرکت سخاروش

پروتكل HTTP ( بخش اول )

آشنائی با پروتكل HTTP ( بخش اول )

در اينترنت همانند ساير شبكه های كامپيوتری از پروتكل های متعدد و با اهداف مختلف استفاده می گردد. هر پروتكل از يك ساختار خاص برای ارسال و دريافت اطلاعات  (بسته های اطلاعاتی ) استفاده نموده و ترافيك مختص به خود را در شبكه ايجاد می نمايد .  HTTP  ( برگرفته از Hyper Text Transfer Protocol ) ، يكی از متداولترين پروتكل های لايه application است  كه مسئوليت ارتباط بين سرويس گيرندگان و سرويس دهندگان وب را برعهده دارد .
در ادامه با پروتكل فوق بيشتر آشنا خواهيم شد.

پروتكل HTTP چيست ؟
دنيای شبكه های كامپيوتری دارای عمری چند ساله است و بسياری از كاربران ، ضرورت استفاده از شبكه را همزمان با متداول شدن اينترنت در اوايل سال 1990 دريافتند . عموميت اينترنت، رشد و گسترش شبكه های كامپيوتر‌ی را به دنبال داشته است . اينترنت نيز با سرعتی باورنكردنی رشد و  امروزه شاهد ايجاد ده ها  ميليون وب سايت در طی يك سال در اين عرصه می باشيم .
تمامی وب سايت های موجود بر روی‌ اينترنت از پروتكل HTTP استفاده می نمايند . با اين كه پروتكل HTTP  با استفاده از پروتكل های ديگری نظير IP و TCP ماموريت خود را انجام می دهد ، ولی اين پروتكل HTTP است كه به عنوان زبان مشترك ارتباطی بين سرويس گيرنده و سرويس دهنده وب به رسميت شناخته شده و از‌ آن استفاده می گردد . در واقع مرورگر وب صدای خود را با استفاده از پروتكل HTTP به گوش سرويس دهنده وب رسانده و از وی درخواست يك صفحه وب را می نمايد.
به منظور انجام يك تراكنش موفقيت آميز بين سرويس گيرندگان وب ( نظير IE )  و سرويس دهندگان وب ( نظير IIS ) ، به اطلاعات زيادی نياز خواهد بود . پس از handshake پروتكل TCP/IP ، مرورگر اطلاعات گسترده ای را ‌ برای سرويس دهنده وب  ارسال می نمايد .
يك بسته اطلاعاتی نمونه در شكل زير نشان داده شده است :

توضيحات  :
داده مربوط به پروتكل لايه application ( در اين مورد خاص پروتكل HTTP ) ، پس از هدر TCP/IP قرار می گيرد  . جدول زير برخی اطلاعات مبادله شده بين سرويس گيرنده و سرويس دهنده وب را نشان می دهد .

عملكرد	نوع اطلاعات
سرويس گيرنده وب يك درخواست GET را برای سرويس دهنده وب ارسال و از وی درخواست اطلاعاتی را با استفاده از  پروتكل HTTP 1.1 می نمايد. پروتكل HTTP دارای نسخه شماره يك نيز می باشد كه امروزه عموما" از نسخه فوق استفاده نمی گردد و در مقابل از نسخه 1 . 1 استفاده می شود.	GET /HTTP/1.1
وب سايتی است كه سرويس گيرنده قصد ارتباط با آن را دارد .	Host:  www.google.ca
به سرويس دهنده وب ، نوع  نرم افزار سرويس گيرنده ( در اين مورد خاص   Mozilla version 5.0 ) و  نوع سيستم عامل نصب شده بر روی كامپيوتر ( در اين مورد خاص Windows version NT 5.1 و يا همان ويندوز XP  ) اعلام می گردد.	User-agent:  Mozilla/5.0 (Windows; U; Windows NT 5.1;
نوع character set استفاده شده به سرويس دهنده اعلام می گردد ( در اين مورد خاص از  en:us  و نسخه شماره  10 . 7 . 1  استفاده شده است ) .	en-US; rv: 1.7.10)
نام مرورگر استفاده شده توسط سرويس گيرنده به سرويس دهنده وب اعلام می گردد ( در اين مورد خاص از مرورگر FireFox استفاده شده است ) .	Gecko/20050716 Firefox/1.0.6
سرويس گيرنده به سرويس دهنده وب فرمت  اطلاعاتی را كه می تواند دريافت نمايد ، اعلام می نمايد ( در اين مورد خاص هم برای متن و هم برای   application  از فرمت xml استفاده می گردد ) .	Accept:  text/xml, application/xml, application/xhtml+xml
سرويس گيرنده  به سرويس دهنده نوع فرمت متن دريافتی را اعلام می نمايد ( در اين مورد خاص html و يا plain text ) . همچنين فرمت فايل های گرافيكی ( در اين مورد خاص png . و ساير فرمت های متداول ) نيز اعلام می گردد .	text/html; q=0.9, text/plain; q=0.8, image/png, */*;q=0.5
ليست character set كه سرويس گيرنده وب قادر به فهم آنان است،  اعلام می گردد ( در اين مورد خاص  ISO-8859 , و يا utf-8  ) .	Accept-Charset:  ISO-8859-1, utf-8; q=0.7, *;q=0/7
به  سرويس دهنده وب مدت زمان نگهداری  session  اعلام می گردد ( در اين مورد خاص 300 ثانيه ) . سرويس گيرندگان می توانند با صراحت پايان يك session را اعلام نمايند . در نسخه شماره 1 . 1  پروتكل HTTP ، ارتباط و يا اتصال برقرار شده فعال و يا open باقی خواهد ماند تا زمانی كه سرويس گيرنده خاتمه آن را اعلام  و يا مدت زمان حيات آن به اتمام رسيده باشد . در نسخه شماره يك پروتكل HTTP ، پس از هر درخواست و اتمام تراكنش ، ارتباط ايجاد شده غيرفعال و يا close می گردد .	Keep-Alive:  300 Connection: keep-alive
cookie  و مقدار مربوطه  به آن اعلام می گردد. كوكی يك متن اسكی فلت می باشد كه اطلاعات متفاوتی را در خود نگهداری می نمايد . مدت زمان حيات يك كوكی می تواند موقت ( تا زمانی كه مرورگر فعال است ) و يا دائم ( ذخيره بر روی هارد ديسك كامپيوتر  و در يك محدوده زمانی تعريف شده ) باشد .	Cookie: PREF=ID=01a0822454acb293: LD=en:TM=1121638094?..

 User agent نوع مرورگر و سيستم عامل  سرويس گيرنده را مشخص می نمايد و اين موضوع می تواند  مواد اوليه لازم برای تدارك برخی حملات توسط مهاجمان را تامين نمايد .

با تشکر از شرکت سخاروش

ftp: بخش دوم

آشنائی با پروتكل FTP ( بخش دوم )

 FTP ،‌ يك پروتكل ارسال فايل است كه با استفاده از آن سرويس گيرندگان می توانند به سرويس دهندگان متصل و صرفنظر از نوع سرويس دهنده اقدام به دريافت و يا ارسال فايل نمايند . پروتكل FTP به منظور ارائه خدمات خود از دو حالت متفاوت استفاده می نمايد : Active Mode و Passive Mode .  مهمترين تفاوت بين روش های فوق جايگاه سرويس دهنده و يا سرويس گيرنده  در ايجاد و خاتمه يك ارتباط است .
همانگونه كه در بخش اول اشاره گرديد ، يك اتصال پروتكل TCP/IP ( نسخه شماره چهار)  شامل دو  نقطه مجزا می باشد كه هر نقطه از يك آدرس IP و يك شماره پورت استفاده می نمايد . برقراری ارتباط بين يك سرويس گيرنده و يك سرويس دهنده منوط به وجود چهار عنصر اطلاعاتی است : آدرس سرويس دهنده ،‌پورت سرويس دهنده ، آدرس سرويس گيرنده و پورت سرويس گيرنده . در زمان برقراری يك ارتباط ، سرويس گيرنده از يك شماره پورت استفاده می نمايد . اين شماره پورت می تواند متناسب با نوع عملكرد برنامه سرويس گيرنده به صورت اختياری و يا اجباری باشد . مثلا"  برخی برنامه های سرويس گيرنده به منظور ارتباط با سرويس دهنده ، نيازمند استفاده از يك شماره پورت خاص می باشند ( نظير برنامه های سرويس گيرنده وب و يا مرورگرهای وب كه از پورت شماره 80 به منظور ارتباط با سرويس دهنده وب استفاده می نمايد) . در مواردی كه الزامی در خصوص شماره پورت وجود ندارد از يك شماره پورت موقتی و يا   ephemeral  استفاده می گردد . اين نوع پورت ها موقتی بوده و توسط IP stack ماشين مربوطه به متقاضيان نسبت داده شده و پس از خاتمه ارتباط ، پورت آزاد می گردد . با توجه به اين كه اكثر IP Stacks بلافاصله از پورت موقت آزاد شده استفاده نخواهند كرد ( تا زمانی كه تمام pool تكميل نشده باشد ) ،‌در صورتی كه سرويس گيرنده مجددا" درخواست  برقراری يك ارتباط را نمايد ، يك شماره پورت موقتی ديگر به وی تخصيص داده می شود .
پس از اين مقدمه ،‌ در ادامه به بررسی هر يك از روش های Active و Passive در پروتكل FTP خواهيم پرداخت .

Active Mode
Active Mode ، روش سنتی ارتباط بين يك سرويس گيرنده FTP و يك سرويس دهنده می باشد كه عملكرد آن بر اساس فرآيند زير است :

• سرويس گيرنده  يك ارتباط با پورت 21 سرويس دهنده  FTP برقرار می نمايد . پورت 21 ، پورتی است كه سرويس دهنده  به آن گوش فرا می دهد تا از صدور فرامين آگاه و آنان را به ترتيب پاسخ دهد . سرويس گيرنده برای برقراری ارتباط با سرويس دهنده از يك پورت تصادفی و موقتی ( بزرگتر از 1024 ) استفاده می نمايد( پورت x ).

• سرويس گيرنده شماره پورت لازم برای ارتباط سرويس دهنده با خود را  از طريق صدور دستور PORT N+1 به وی اطلاع می دهد ( پورت x+1 )

• سرويس دهنده يك ارتباط را از طريق پورت 20  خود با پورت مشخص شده سرويس گيرنده ( پورت x+1 ) برقرار می نمايد .

لطفا" به من از طريق پورت 1931  بر روی آدرس  IP: 192.168.1.2  متصل  و سپس داده را ارسال نمائيد .	سرويس گيرنده
تائيد دستور	سرويس دهنده

در فرآيند فوق ، ارتباط  توسط  سرويس گيرنده آغاز  و پاسخ به آن توسط سرويس دهنده و از طريق پورت x+1 كه توسط سرويس گيرنده مشخص شده است ،  انجام می شود . در صورتی كه سرويس گيرنده از سيستم ها و دستگاه های امنيتی خاصی نظير فايروال استفاده كرده باشد ، می بايست تهميدات لازم به منظور ارتباط كامپيوترهای ميزبان راه دور به سرويس گيرنده پيش بينی تا آنان بتوانند به هر پورت بالاتر از 1024 سرويس گيرنده دستيابی داشته باشند . بدين منظور لازم است كه پورت های اشاره شده بر روی ماشين سرويس گيرنده open باشند . اين موضوع می‌ تواند تهديدات و چالش های امنيتی متعددی را برای سرويس گيرندگان به دنبال داشته باشد .

Passive Mode
در Passive Mode ، كه به آن " مديريت و يا اداره سرويس گيرندگان FTP" نيز گفته می شود از فرآيند زير استفاده می گردد :

• سرويس گيرنده دو پورت را فعال می نمايد ( پورت x و x+1 )

• ارتباط اوليه از طريق پورت x سرويس گيرنده با پورت 21  سرويس دهنده  آغاز می گردد .

• سرويس دهنده يك پورت را فعال ( Y ) و به سرويس گيرنده شماره پورت را اعلام می نمايد .

• در ادامه سرويس گيرنده يك اتصال از طريق پورت x+1 با پورت y سرويس دهنده برقرار می نمايد .

 

لطفا" به من بگوئيد  كه از كجا می توانم داده را دريافت نمايم	سرويس گيرنده
با من از طريق پورت 4023  بر روی آدرس  IP: 192.168.1.25 ارتباط برقرار نمائيد .	سرويس دهنده

در فرآيند فوق ، سرويس گيرنده دارای نقش محوری است و فايروال موجود بر روی سرويس گيرنده می تواند درخواست های دريافتی غيرمجاز به پورت های بالاتر از 1024 را به منظور افزايش امنيت بلاك نمايند .  در صورتی كه بر روی كامپيوترهای سرويس دهنده نيز فايروال نصب شده باشد ، می بايست پيكربندی لازم به منظور استفاده از پورت های بالاتر از 1024 بر روی آن آنجام و آنان open گردند . باز نمودن پورت های فوق بر روی سرويس دهنده می تواند چالش های امنيتی خاصی را برای سرويس دهنده به دنبال داشته باشد .
متاسفانه تمامی سرويس گيرندگان FTP از Passive Mode حمايت نمی نمايند . اگر يك سرويس گيرنده بتواند به يك سرويس دهنده  login نمايد ولی قادر به ارسال داده بر روی آن نباشد ، نشاندهنده اين موضوع است كه فايروال و يا Gateway برای استفاده از Passive Mode  به درستی پيكربندی نشده است .

ملاحضات امنيتی
در صورتی كه فايروال های موجود بر روی كامپيوترهای سرويس گيرنده به درستی پيكربندی نگردند ، آنان نمی توانند از Active Mode استفاده نمايند .  در Passive Mode استحكام سيستم امنيتی در سمت سرويس دهنده و توسط فايروال مربوطه انجام خواهد شد . بنابراين لازم است به سرويس دهنده اجازه داده شود كه به اتصالات هر پورت بالاتر از 1024 پاسخ دهد . ترافيك فوق ، معمولا" توسط فايروال سرويس دهنده بلاك می گردد . در چنين شرايطی امكان استفاده از Passive Mode وجود نخواهد داشت .

Passive Mode  و يا Active Mode ؟
با توجه به مستندات درج شده در RFC 1579 ، استفاده از Passive Mode به دلايل متعددی به Active Mode ترجيح داده می شود :

•  تعداد سرويس دهندگان موجود بر روی اينترنت به مراتب كمتر از سرويس گيرندگان می باشد .

• با استفاده از امكانات موجود می توان سرويس دهندگان را پيكربندی تا بتوانند از مجموعه پورت های محدود و تعريف شده ای با در نظر گرفتن مسائل امنيتی ، استفاده نمايند.

پيكربندی فايروال
جدول زير  پيكربندی فايروال در Active Mode و  Passive Mode  را نشان می دهد .

Active Mode
Server Inbound	from any client port >1024 to port 21 on the server
Server Outbound	from port 20 on the client on any port > 1024
Client Inbound	ports 20 from the server to any port >1024 on client
Client Outbound	from any port >1024 to port 21 on the server
Passive Mode
Server Inbound	port 21 and any port >1024 from client/anywhere, from any port >1024
Server Outbound	port 21 and any port >1024 to client/anywhere, to any port >1024
Client Inbound	Return traffic, any port > 1024 from server using any port >1024

و اما يك نكته ديگر در رابطه با پروتكل FTP !
در صورتی كه در زمان دريافت يك فايل با استفاده از پروتكل FTP مشكلات خاصی ايجاد  كه منجر به قطع ارتباط با سرويس دهنده FTP گردد ،‌ سرويس گيرنده می تواند با مشخص كردن يك offset از فايل دريافتی  به سرويس دهنده اعلام نمايد كه عمليات ارسال را از جائی كه ارتباط قطع شده است ، ادامه دهد ( سرويس گيرنده از محلی شروع به دريافت فايل می نمايد كه ارتباط غيرفعال شده بود ) . استفاده از ويژگی فوق به امكانات سرويس دهنده FTP بستگی دارد . 

ftp: بخش اول

آشنائی با پروتكل FTP ( بخش اول )

امروزه از پروتكل های متعددی در شبكه های كامپيوتری استفاده می گردد كه صرفا" تعداد اندكی از آنان به منظور انتقال داده طراحی و پياده سازی شده اند . اينترنت نيز به عنوان يك شبكه گسترده از اين قاعده مستثنی نبوده و در اين رابطه از پروتكل های متعددی استفاده می شود.
برای بسياری از كاربران اينترنت همه چيز محدود به وب و پروتكل مرتبط با آن يعنی HTTP است ، در صورتی كه در اين عرصه از پروتكل های متعدد ديگری نيز  استفاده می گردد. FTP  نمونه ای در اين زمينه است .

پروتكل FTP چيست ؟
تصوير اوليه اينترنت در ذهن بسياری از كاربران،  استفاده از منابع اطلاعاتی و حركت از سايتی به سايت ديگر است و شايد به همين دليل باشد كه اينترنت در طی ساليان اخير به سرعت رشد و متداول شده است . بسياری از كارشناسان اين عرصه اعتقاد دارند كه اينترنت گسترش و  عموميت خود را مديون  سرويس وب می باشد .
فرض كنيد كه سرويس وب را از اينترنت حذف نمائيم . برای بسياری از ما اين سوال مطرح خواهد شد كه چه نوع استفاده ای را می توانيم از اينترنت داشته باشيم ؟ در صورت تحقق چنين شرايطی ،  يكی از عملياتی كه كاربران قادر به انجام آن خواهند بود ،  دريافت داده ، فايل های صوتی ، تصويری و ساير نمونه فايل های ديگر با استفاده از پروتكل FTP (برگرفته از File Transfer Protocol ) است.  

ويژگی های پروتكل FTP

• پروتكل FTP ، اولين تلاش انجام شده برای‌ ايجاد يك استاندارد به منظور مبادله فايل بر روی شبكه های مبتنی بر پروتكل TCP/IP  است كه از اوايل سال 1970 مطرح  و مشخصات استاندارد آن طی RFC 959  در اكتبر سال 1985 ارائه گرديد .

• پروتكل FTP  دارای حداكثر انعطاف لازم و در عين حال امكان پذير به منظور استفاده در شبكه های مختلف با توجه به نوع پروتكل شبكه است .

• پروتكل FTP از مدل سرويس گيرنده - سرويس دهنده تبعيت می نمايد . برخلاف HTTP كه يك حاكم مطلق در عرصه مرورگرهای وب و سرويس دهندگان وب است ، نمی توان ادعای مشابهی را در رابطه با پروتكل FTP  داشت و هم اينك مجموعه ای گسترده از سرويس گيرندگان و سرويس دهندگان FTP وجود دارد .

• برای ارسال فايل با استفاده از پروتكل FTP به يك سرويس گيرنده FTP نياز می باشد . ويندوز دارای يك برنامه سرويس گيرنده FTP از قبل تعبيه شده می باشد ولی دارای محدوديت های مختص به خود می باشد . در اين رابطه نرم افزارهای متعددی تاكنون طراحی و پياده سازی شده است:
  ulletProof FTP  ، WS FTP Professional، FTP Explorer  و Smart FTP  نمونه هائی در اين زمينه می باشند .

• پروتكل FTP را می توان به عنوان يك سيستم پرس وجو نيز تلقی نمود چراكه سرويس گيرندگان و سرويس دهندگان گفتگوی لازم به منظور تائيد يكديگر و ارسال فايل را انجام می دهند. علاوه بر اين، پروتكل فوق مشخص می نمايد  كه سرويس گيرنده و سرويس دهنده، داده را بر روی كانال گفتگو ارسال نمی نمايند . در مقابل ،‌ سرويس گيرنده و سرويس دهنده در خصوص نحوه ارسال فايل ها بر روی اتصالات مجزا و جداگانه ( يك اتصال برای هر ارسال داده ) با يكديگر گفتگو خواهند كرد ( نمايش ليست فايل های موجود در يك دايركتوری نيز به عنوان يك ارسال فايل تلقی می گردد ) .

• پروتكل FTP امكان استفاده از سيستم فايل را مشابه پوسته يونيكس و يا خط دستور ويندوز در اختيار كاربران قرار می دهد .

• سرويس گيرنده در ابتدا يك پيام را برای سرويس دهنده ارسال و سرويس دهنده نيز به آن پاسخ خواهد داد و در ادامه ارتباط غيرفعال می گردد . وضعيت فوق با ساير پروتكل هائی كه به صورت تراكنشی كار می كنند ،‌ متفاوت می باشد ( نظير پروتكل HTTP ) . برنامه های سرويس گيرنده زمانی قادر به شبيه سازی يك محيط تراكنشی می باشند كه از مسائلی كه قرار است در آينده محقق شوند ، آگاهی داشته باشند . در واقع ، پروتكل FTP يك دنباله stateful  از يك و يا چندين تراكنش است.

• سرويس گيرندگان ، مسئوليت ايجاد و مقداردهی اوليه درخواست ها را برعهده دارند كه  با استفاده از  دستورات اوليه FTP انجام می گردد. دستورات فوق ،  عموما" سه و يا چهار حرفی می باشند (مثلا" برای تغيير دايركتوری از دستور CWD استفاده می شود ).  سرويس دهنده نيز بر اساس يك فرمت استاندارد به سرويس گيرندگان پاسخ خواهد داد ( سه رقم كه به دنبال آن از  space استفاده شده است به همراه يك متن تشريحی ) . سرويس گيرندگان می بايست صرفا" به كد عددی نتيجه استناد نمايند چراكه متن تشريحی تغيير پذير بوده و در عمل برای اشكال زدائی مفيد است ( برای كاربران حرفه ای ) .

• پروتكل FTP دارای امكانات حمايتی لازم برای ارسال داده با نوع های مختلف می باشد . دو فرمت  متداول،  اسكی برای متن ( سرويس گيرنده  با ارسال دستور  TYPE A ،‌موضوع را به اطلاع سرويس دهنده می رساند ) و image برای داده های باينری است ( توسط  TYPE I  مشخص می گردد) . ارسال داده با فرمت اسكی در مواردی كه ماشين سرويس دهنده و ماشين سرويس گيرنده از استانداردهای متفاوتی برای متن استفاده می نمايند ، مفيد بوده و  يك سرويس گيرنده می تواند پس از دريافت داده آن را به فرمت مورد نظر خود ترجمه و استفاده نمايد . مثلا" در نسخه های ويندوز  از يك دنباله  carriage return و  linefeed برای نشان دادن انتهای خط استفاده می گردد در صورتی كه در  سيستم های مبتنی بر يونيكس صرفا" از يك  linefeed استفاده می شود . برای ارسال هرنوع داده كه به ترجمه نياز نداشته باشد،می توان از ارسال باينری استفاده نمود.

•  اتخاذ تصميم در رابطه با نوع ارسال فايل ها  در اختيار سرويس گيرنده است ( برخلاف HTTP كه می تواند به سرويس گيرنده نوع داده ارسالی را اطلاع دهد ) . معمولا" سرويس گيرندگان ارسال باينری را انتخاب می نمايند و پس از دريافت فايل ، ترجمه لازم را انجام خواهند داد . ارسال باينری ذاتا" دارای كارآئی بيشتری است چراكه سرويس دهنده و سرويس گيرنده نيازی به انجام تراكنش های on the fly نخواهند داشت . ارسال اسكی گزينه پيش فرض انتخابی توسط پروتكل FTP  است و در صورت نياز به ارسال باينری ، سرويس گيرنده می بايست اين موضوع را از سرويس دهنده درخواست نمايد .

• يك اتصال پروتكل TCP/IP ( نسخه شماره چهار)  شامل دو  نقطه مجزا می باشد كه هر نقطه از يك آدرس IP و يك شماره پورت استفاده می نمايد . برقراری ارتباط بين يك سرويس گيرنده و يك سرويس دهنده منوط به وجود چهار عنصر اطلاعاتی است : آدرس سرويس دهنده ،‌پورت سرويس دهنده ، آدرس سرويس گيرنده و پورت سرويس گيرنده . در زمان برقراری يك ارتباط ، سرويس گيرنده از يك شماره پورت استفاده می نمايد . اين شماره پورت می تواند متناسب با نوع عملكرد برنامه سرويس گيرنده به صورت اختياری و يا اجباری باشد . مثلا"  برخی برنامه های سرويس گيرنده به منظور ارتباط با سرويس دهنده ، نيازمند استفاده از يك شماره پورت خاص می باشند ( نظير برنامه های سرويس گيرنده وب و يا مرورگرهای وب كه از پورت شماره 80 به منظور ارتباط با سرويس دهنده وب استفاده می نمايد) . در مواردی كه الزامی در خصوص شماره پورت وجود ندارد از يك شماره پورت موقتی و يا   ephemeral  استفاده می گردد . اين نوع پورت ها موقتی بوده و توسط IP stack ماشين مربوطه به متقاضيان نسبت داده شده و پس از خاتمه ارتباط ، پورت آزاد می گردد . با توجه به اين كه اكثر IP Stacks بلافاصله از پورت موقت آزاد شده استفاده نخواهند كرد ( تا زمانی كه تمام pool تكميل نشده باشد ) ،‌در صورتی كه سرويس گيرنده مجددا" درخواست  برقراری يك ارتباط را نمايد ، يك شماره پورت موقتی ديگر به وی تخصيص داده می شود .

•  پروتكل FTP منحصرا" از پروتكل TCP استفاده می نمايد( هرگز از پروتكل UDP  استفاده نمی شود) . معمولا" پروتكل های لايه Application ( با توجه به مدل مرجع OSI ) از يكی از پروتكل های TCP و يا UDP استفاده می نمايند ( به جزء پروتكل DNS  ) . پروتكل FTP نيز از برخی جهات شرايط خاص خود را دارد و برای انجام وظايف محوله از دو پورت استفاده می نمايد . اين پروتكل معمولا" از پورت شماره 20 برای ارسال داده و از پورت 21 برای گوش دادن به فرامين استفاده می نمايد . توجه داشته باشيد كه برای ارسال داده همواره از پورت 20 استفاده نمی گردد و ممكن است در برخی موارد از پورت های ديگر استفاده شود .

• اكثر سرويس دهندگان FTP  از روش خاصی برای رمزنگاری اطلاعات استفاده نمی نمايند و در زمان  login  سرويس گيرنده به سرويس دهنده ، اطلاعات مربوط به نام و  رمز عبور كاربر به صورت متن معمولی در شبكه ارسال می گردد . افرادی كه دارای يك Packet sniffer  بين سرويس گيرنده و سرويس دهنده می باشند ، می توانند به سادگی اقدام به سرقت نام و رمز عبور نمايند . علاوه بر سرقت رمزهای عبور ، مهاجمان می توانند تمامی مكالمات بر روی اتصالات FTP را شنود و محتويات داده های ارسالی را مشاهده نمايند . پيشنهادات متعددی به منظور ايمن سازی سرويس دهنده FTP مطرح می گردد ولی تا زمانی كه رمزنگاری و امكانات حفاظتی در سطح لايه پروتكل IP اعمال نگردد ( مثلا" رمزنگاری توسط  IPsecs  ) ،‌ نمی بايست از FTP استفاده گردد خصوصا" اگر بر روی شبكه اطلاعات مهم و حياتی ارسال و يا دريافت می گردد .

• همانند بسياری از پروتكل های لايه Application ، پروتكل FTP دارای كدهای وضعيت خطاء مختص به خود می باشد ( همانند HTTP ) كه اطلاعات لازم در خصوص وضعيت ارتباط ايجاد شده و يا درخواستی را ارائه می نمايد . زمانی كه يك درخواست ( GET , PUT   ) برای يك سرويس دهنده FTP ارسال می گردد ، سرويس دهنده پاسخ خود را به صورت يك رشته اعلام می نمايد . اولين خط اين رشته معمولا" شامل نام سرويس دهنده و نسخه نرم افزار FTP است .در ادامه می توان  دستورات GET و يا PUT را برای سرويس دهنده ارسال نمود . سرويس دهنده با ارائه يك پيام وضعيت به درخواست سرويس گيرندگان پاسخ می دهد . كدهای وضعيت برگردانده شده را می توان در پنج گروه متفاوت تقسيم نمود :
  كدهای 1xx : پاسخ اوليه
  كدهای 2xx : درخواست بدون خطاء‌ اجراء گرديد .
  كدهای 3xx : به اطلاعات بشتری نياز است .
  كدهای 4xx : يك خطاء موقت ايجاد شده است .
  كدهای 5xx : يك خطاء دائمی ايجاد شده است .
  متداولترين كدهای وضعيت FTP به همراه مفهوم هريك در جدول زير نشان داده شده است :

كدهای وضعيت سری 100
110	Restart reply
120	Service ready in x minutes
125	Connection currently open, transfer starting
150	File status okay, about to open data
كدهای وضعيت سری 200
200	Command okay
202	Command not implemented, superfluous at this site
211	System status/help reply
212	Directory status
213	File status
214	System Help message
215	NAME system type
220	Service ready for next user.
221	Service closing control connection. Logged off where appropriate
225	Data connection open; no transfer in progress.
226	Closing data connection. Requested action successful
227	Entering Passive Mode
230	User logged in, continue
250	Requested file action okay, completed
257	"PATHNAME" created.
كدهای وضعيت سری 300
331	User name okay, need password.
332	Need account for login
350	Requested file action pending further information.
كدهای وضعيت سری 400
421	Service not available, closing control connection.
425	Can't open data connection
426	Connection closed; transfer aborted.
450	Requested file action not taken. File not available - busy etc..
451	Request aborted: error on server in processing.
452	Requested action not taken. Insufficient resources on system
كدهای وضعيت سری 500
500	Syntax error, command unrecognized
501	Syntax error in parameters or arguments.
502	Command not implemented.
503	Bad sequence of commands
504	Command not implemented for that parameter.
530	Not logged in.
532	Need account for storing files
550	Requested action not taken. File unavailable
552	Requested file action aborted. Exceeded storage allocation
553	Requested action not taken. File name not allowed
مفهوم برخی از كدهای متداول
226	دستور بدون هيچگونه خطائی اجراء گرديد .
230	زمانی اين كد نمايش داده می شود كه يك سرويس گيرنده رمز عبور خود را به درستی درج و عمليات login با موفقيت انجام شده باشد .
231	كد فوق نشاندهنده دريافت  username  ارسالی سرويس گيرنده توسط سرويس دهنده می باشد و تائيدی است بر اعلام وصول Username ( نه صحت آن  )  .
501	دستور تايپ شده دارای خطاء گرامری است و می بايست مجددا" دستور تايپ گردد .
530	عمليات login با موفقيت انجام نشده است . ممكن است Username و يا رمز عبور اشتباه باشد .
550	فايل مشخص شده در دستور تايپ شده نامعتبر است .

در بخش دوم به بررسی نحوه عملكرد پروتكل FTP خواهيم پرداخت .

با تشکر از شرکت سخاروش