انتقال امن داده‌ها و حریم خصوصی آی‌پی

در بستر شبکه ملی اطلاعات (NIN) ایران، محافظت از محتوای ارتباطات و فراداده‌های (Metadata) اتصال شما (به‌ویژه آدرس آی‌پی)، امری حیاتی است. شرکت ارتباطات زیرساخت (TIC) و نهادهای اطلاعاتی مختلف، از تکنولوژی «بازرسی عمیق بسته‌ها» (DPI) و سیستم‌های نظارتی پیشرفته برای شنود داده‌ها و شناسایی کاربران استفاده می‌کنند.

این راهنما بر دو رکن اصلی امنیت دیجیتال تمرکز دارد:

1. انتقال امن داده‌ها: اطمینان از اینکه حتی در صورت شنود داده‌ها، امکان خواندن آن‌ها وجود نداشته باشد (رمزنگاری).
2. حریم خصوصی آی‌پی: اطمینان از اینکه مقصد ترافیک شما و هویت‌تان به سادگی قابل پیوند دادن نباشند (ناشناسی).

---

۱. درک تهدید: آدرس‌های آی‌پی و رصد‌پذیری

آدرس آی‌پی (IP Address) شما یک برچسب دیجیتالی منحصر‌به‌فرد است که توسط ارائه‌دهنده خدمات اینترنتی (ISP) شما (مانند ایرانسل، همراه اول، شاتل و غیره) به دستگاهتان اختصاص داده می‌شود. در ایران، ISPها قانوناً موظف‌اند این داده‌ها را ثبت کرده و در صورت درخواست، با مقامات به اشتراک بگذارند.

چه کسی چه چیزی را می‌بیند؟

ریسک «شبکه ملی اطلاعات» (اینترنت ملی)

ایران از یک شبکه دوگانه (Dual-stack) استفاده می‌کند که در آن ترافیک داخلی از ترافیک بین‌المللی جدا شده است. استفاده از سرویس‌های داخلی (مانند پیام‌رسان‌های بومی یا هاستینگ‌های داخلی) داده‌های شما را مستقیماً و بدون محافظتِ قوانین قضایی بین‌المللی، در معرض نظارت دولتی قرار می‌دهد. همواره سرویس‌های بین‌المللی و رمزنگاری شده را در اولویت قرار دهید.

---

۲. ایمن‌سازی ارتباطات در لحظه (Real-Time)

پیام‌رسان سیگنال: فعال‌سازی تماس‌های واسط (Relay Calls)

به‌صورت پیش‌فرض، سیگنال برای کاهش تاخیر صدا، شما را مستقیماً به مخاطبتان متصل می‌کند (P2P). با این حال، این اتصال نظیر‌به‌نظیر، آدرس آی‌پی شما را برای شخصی که با او تماس می‌گیرید آشکار می‌کند. اگر با فردی ناشناس، یک بازجو، یا یک مخاطبِ سازش‌کرده (دستگیر شده) در ارتباط هستید، این یک خطر جدی است.

راه‌حل: همیشه تماس‌ها را رله (Relay) کنید این قابلیت تماس شما را از طریق سرورهای سیگنال عبور می‌دهد. مخاطب آی‌پیِ سیگنال را می‌بیند، نه آی‌پیِ شما را.

مراحل فعال‌سازی:

1. برنامه Signal را باز کنید.
2. به بخش Settings (تنظیمات) و سپس Privacy (حریم خصوصی) بروید.
3. روی Calls (تماس‌ها) ضربه بزنید.
4. گزینه Always Relay Calls (همیشه تماس‌ها رله شوند) را فعال کنید.

⚠️ توجه: این کار ممکن است کیفیت تماس را اندکی کاهش دهد، اما برای حفظ گمنامی در شرایط پرخطر ضروری است.

استفاده از پروکسی TLS در سیگنال

از آنجا که سیگنال اغلب در ایران مسدود است، ممکن است برای اتصال نیاز به پروکسی داشته باشید. سیگنال اجازه استفاده از "TLS Proxy" را می‌دهد که ترافیک را به‌گونه‌ای بسته‌بندی می‌کند که شبیه به ترافیک عادی HTTPS به نظر برسد.

• بررسی امنیتی: گرداننده‌ی سرور پروکسی نمی‌تواند پیام‌های شما را بخواند (به دلیل رمزنگاری سرتاسری)، اما می‌تواند ببیند که شما در حال اتصال به سرورهای سیگنال هستید.

---

۳. اشتراک‌گذاری امن فایل و همگام‌سازی

ارسال اسناد حساس نیازمند ابزارهایی است که فراداده‌ها (Metadata) را حذف کرده و از رمزنگاری سرتاسری (E2EE) استفاده کنند. از ارسال فایل ضمیمه در ایمیل یا استفاده از فضای ابری رمزنگاری نشده (مانند گوگل درایو یا دراپ‌باکس بدون رمزنگاری اضافی) برای محتوای بسیار حساس خودداری کنید.

ابزار OnionShare (اولویت با ناشناسی)

نرم‌افزار OnionShare به شما امکان می‌دهد فایل‌هایی با هر حجمی را مستقیماً از رایانه خود و از طریق شبکه تور (Tor) به اشتراک بگذارید. این ابزار یک وب‌سرور موقت و ناشناس روی دستگاه شما ایجاد می‌کند.

• نحوه کار: شما یک لینک با پسوند .onion دریافت می‌کنید. گیرنده باید آن را در مرورگر تور (Tor Browser) باز کند تا دانلود انجام شود.
• در بستر ایران: از آنجا که شبکه تور مسدود است، باید قبل از اتصال، در تنظیمات OnionShare گزینه Tor Bridges (پل‌های تور مثل Snowflake یا Obfs4) را پیکربندی کنید.
• مزایا: بدون سرور واسط، ناشناسی کامل، بدون محدودیت حجم فایل.
• معایب: سرعت پایین؛ هر دو طرف نیاز به تور دارند.

سرویس‌های Send (سهولت و رمزنگاری)

سرویس‌های "Send" (که انشعاباتی از پروژه متوقف‌شده‌ی Firefox Send هستند) به شما اجازه می‌دهند فایلی را آپلود کنید که قبل از ارسال به سرور، در مرورگر شما رمزنگاری می‌شود. مالک سرور نمی‌تواند محتوای فایل را ببیند.

• ابزار پیشنهادی: Send.vis.ee (یا سایر نمونه‌های معتبر).
• ویژگی‌ها: محافظت با رمز عبور، حذف خودکار پس از X بار دانلود یا گذشت زمان مشخص.
• نحوه استفاده:

  # استفاده از خط فرمان (CLI) برای کاربران حرفه‌ای
  ffsend upload --host [https://send.vis.ee/](https://send.vis.ee/) FILE --password
  

ابزار Syncthing (همگام‌سازی مداوم)

برای همگام‌سازی (Sync) فایل‌ها بین دستگاه‌های خودتان (مثلاً لپ‌تاپ به موبایل) بدون نیاز به سرور ابری.

• پروتکل: نظیر‌به‌نظیر (P2P) با رمزنگاری TLS.
• حریم خصوصی: داده‌ها فقط روی دستگاه‌های شما ذخیره می‌شوند.
• نکته شبکه‌ای: اگر دستگاه‌ها روی شبکه‌های متفاوتی هستند (مثلاً موبایل روی ایرانسل و لپ‌تاپ روی ADSL)، برنامه Syncthing نیاز دارد از NAT عبور کند. در ایران ممکن است این فرآیند مسدود باشد؛ استفاده از VPN روی هر دو دستگاه می‌تواند اتصال را تسهیل کند.

---

۴. امنیت شبکه و جلوگیری از نشت اطلاعات

حتی با وجود VPN، مرورگر شما ممکن است آدرس آی‌پی واقعی شما را به وب‌سایت‌ها یا ISP نشت دهد.

نشت از طریق WebRTC

پروتکل WebRTC استانداردی برای تماس‌های مبتنی بر مرورگر (مثل Google Meet) است. این پروتکل آسیب‌پذیری‌ای دارد که می‌تواند آدرس آی‌پی عمومی و محلیِ واقعی شما را حتی در پشت VPN افشا کند. این یکی از روش‌های رایج ISPهای ایران برای شناسایی کاربران VPN است.

• تست: در حالی که VPN شما روشن است، به سایت BrowserLeaks.com/webrtc بروید. اگر آی‌پی ایران (ISP خود) را می‌بینید، دچار نشت اطلاعات هستید.
• راه‌حل (فایرفاکس):
  1. در نوار آدرس عبارت about:config را تایپ کنید.
  2. عبارت media.peerconnection.enabled را جستجو کنید.
  3. مقدار آن را روی false (غیرفعال) قرار دهید.
• راه‌حل (کروم/بریو): افزونه "WebRTC Network Limiter" را نصب کنید یا از مرورگرهای متمرکز بر حریم خصوصی مانند Mullvad Browser یا Tor Browser (که این قابلیت را به‌صورت پیش‌فرض غیرفعال کرده‌اند) استفاده کنید.

حریم خصوصی DNS (پروتکل‌های DoH/DoT)

درخواست‌های استاندارد DNS (وقتی آدرس "google.com" را جستجو می‌کنید) رمزنگاری نشده هستند. ISPهای ایران این درخواست‌ها را شنود می‌کنند تا سایت‌ها را مسدود کرده و تاریخچه مرور شما را ثبت کنند.

• DNS بر بستر HTTPS (یا DoH): درخواست‌های DNS را درون ترافیک استاندارد HTTPS (پورت ۴۴۳) رمزنگاری می‌کند. تشخیص این ترافیک از مرور عادی وب برای سیستم‌های سانسور دشوارتر است.
• پیکربندی در فایرفاکس:
  1. به Settings (تنظیمات) -> Privacy & Security (حریم خصوصی و امنیت) بروید.
  2. به بخش DNS over HTTPS بروید.
  3. گزینه "Max Protection" را انتخاب کرده و یک ارائه‌دهنده (مانند Cloudflare یا NextDNS) را برگزینید.
  • نکته: اگر ارائه‌دهندگان اصلی مثل Cloudflare مسدود باشند، ممکن است نیاز به یک ارائه‌دهنده DoH سفارشی داشته باشید یا به DNS رمزنگاری‌شده‌ی VPN خود تکیه کنید.

حالت فقط HTTPS (یا HTTPS-Only Mode)

این قابلیت تضمین می‌کند که هرگز تصادفاً به نسخه رمزنگاری نشده (HTTP) یک سایت متصل نشوید.

• چرا: ترافیک HTTP به‌صورت متن ساده (Plain text) برای ISP قابل مشاهده است. HTTPS محتوا را رمزنگاری می‌کند.
• اقدام: گزینه "HTTPS-Only Mode" را در تنظیمات مرورگر خود فعال کنید.

---

۵. چک‌لیست خلاصه برای کاربران ایرانی

1. فرض بر دیده شدن بگذارید: فرض کنید ISP شما هر بسته (Packet) رمزنگاری نشده را ثبت می‌کند.
2. همه چیز را رمزنگاری کنید: از حالت HTTPS-Only و DNS رمزنگاری شده (DoH) استفاده کنید.
3. آی‌پی خود را مخفی کنید:
   • برای فعالیت‌های پرخطر از تور (همراه با Bridge) استفاده کنید.
   • در سیگنال گزینه Relay Calls را فعال کنید.
   • قابلیت WebRTC را در مرورگر خود غیرفعال کنید.
4. انتقال امن: برای افشاگری‌های حساس از OnionShare و برای فایل‌های عمومی از لینک‌های Encrypted Send استفاده کنید. هرگز از آپلود سنترهای داخلی (مانند پیکوفایل) برای داده‌های حساس استفاده نکنید.

---

منابع:

• Certfa - دانشنامه امنیت دیجیتال
• Privacy Guides - اشتراک‌گذاری فایل
• Security in a Box - اتصال اینترنت و وب‌گردی
• EFF - دفاع شخصی در برابر نظارت (Surveillance Self-Defense)