هویت، احراز هویت و امنیت حساب‌های کاربری

هویت آنلاین شما اغلب هدف اصلی نظارت‌های دولتی است. جمهوری اسلامی از کمپین‌های فیشینگ گسترده، شنود پیامک‌ها و ارعاب برای به خطر انداختن حساب‌های کاربری استفاده می‌کند. این راهنما استراتژی‌هایی را برای ایمن‌سازی هویت دیجیتال، مدیریت قدرتمند احراز هویت و جداسازی (Compartmentalization) حضور آنلاین شما جهت به حداقل رساندن ریسک‌ها ترسیم می‌کند.

۱. اصول احراز هویت

اولین خط دفاعی در برابر دسترسی غیرمجاز، نحوه اثبات هویت شما به سیستم است.

مدیریت رمز عبور

استفاده مجدد از رمزهای عبور یک آسیب‌پذیری حیاتی است. اگر یکی از سرویس‌های ایرانی هک شود (که رخدادی پرتکرار است)، آن اطلاعات کاربری بلافاصله روی ایمیل، تلگرام و اینستاگرام شما تست خواهد شد.

استراتژی: مدیران رمز عبور (Password Managers)

حافظه انسان توانایی مدیریت رمزهای عبور پیچیده و منحصر‌به‌فرد برای هر حساب کاربری را ندارد. شما باید از یک نرم‌افزار مدیریت رمز عبور استفاده کنید.

• مدیران آفلاین (بسیار توصیه می‌شود): با توجه به ریسک قطعی اینترنت و مسدودسازی سرویس‌ها در ایران، مدیران آفلاین برتری دارند. آن‌ها پایگاه داده رمزهای شما را به صورت محلی روی دستگاهتان ذخیره می‌کنند.
  • ابزارهای پیشنهادی: KeePassXC (دسکتاپ)، KeePassDX (اندروید)، Strongbox (iOS).
• مدیران ابری: اگر به همگام‌سازی (Sync) بین دستگاه‌ها نیاز دارید، اطمینان حاصل کنید که سرویس از معماری "Zero-Knowledge" (دانش صفر) استفاده می‌کند و تایید دو مرحله‌ای سخت‌گیرانه‌ای روی آن فعال است. آگاه باشید که برای دسترسی به مخزن رمزهایتان ممکن است به VPN نیاز داشته باشید.
  • گزینه‌ها: Bitwarden یا 1Password.

ساخت عبارات عبور (Passphrases) قوی

برای "رمز عبور اصلی" (Master Password) که قفل مدیر رمز عبور شما را باز می‌کند یا برای رمزگذاری کامل دیسک، از یک Diceware Passphrase استفاده کنید. این شامل ۵ تا ۷ کلمه تصادفی است.

• ضعیف: Tehran1398! (ساختار قابل پیش‌بینی، بسیار رایج).
• قوی: battery-horse-staple-correct-painting (از نظر ریاضی حدس زدن آن سخت است، اما تایپ آن آسان‌تر است).

احراز هویت دو مرحله‌ای (2FA)

رمزهای عبور به تنهایی دیگر کافی نیستند. شما باید لایه دومی برای تایید هویت داشته باشید.

⚠️ خطر استفاده از پیامک (SMS) در ایران

در صورت امکان، به هیچ وجه از پیامک برای احراز هویت دو مرحله‌ای استفاده نکنید. اپراتورهای مخابراتی در ایران (همراه اول، ایرانسل، رایتل) قانوناً ملزم به همکاری با سرویس‌های امنیتی هستند. عوامل دولتی می‌توانند به راحتی کدهای تایید پیامکی را شنود کنند یا با حملات تعویض سیم‌کارت (SIM-swap) شماره تلفن شما را بربایند.

روش‌های پیشنهادی 2FA

1. اپلیکیشن‌های تولید کد (TOTP): این برنامه‌ها کدها را به صورت آفلاین روی دستگاه شما تولید می‌کنند. حتی اگر اینترنت قطع باشد، می‌توانید وارد شوید.
   • اندروید: Aegis Authenticator (رایگان، متن‌باز، دارای بک‌آپ رمزگذاری شده).
   • آی‌او‌اس: Raivo OTP یا Ente Auth.
2. کلیدهای امنیتی سخت‌افزاری: کلیدهای فیزیکی USB/NFC (مانند YubiKey) استاندارد طلایی امنیت هستند. آن‌ها در برابر فیشینگ مصون‌اند. با این حال، خرید ناشناس آن‌ها در ایران دشوار است و ممکن است در تفتیش‌های فیزیکی ضبط شوند.
3. Passkeys (کلیدهای عبور): استاندارد جدیدی که با استفاده از رمزنگاری ذخیره شده در دستگاه، جایگزین رمز عبور می‌شود. هر جا که پشتیبانی می‌شود (مثل گوگل، گیت‌هاب) از این روش استفاده کنید.

---

۲. مدیریت هویت و جداسازی (Compartmentalization)

تفکیک هویت "واقعی" از فعالیت‌های آنلاین برای امنیت شما ضروری است.

استراتژی‌های هویت

1. هویت واقعی: تنها برای امور بانکی، خدمات رسمی دولتی و ارتباطات ضروری خانوادگی استفاده شود. فعالیت‌های سیاسی را در اینجا به حداقل برسانید.
2. شبه‌گمنامی (Pseudonymity): استفاده از یک نام مستعار ثابت (مثلاً یک نام کاربری خاص در توییتر/ایکس). این کار باعث ایجاد شهرت می‌شود اما در طول زمان از طریق متادیتا قابل ردیابی به شماست.
3. گمنامی (Anonymity): استفاده از هویت‌های کوتاه-مدت بدون هیچ ارتباطی با زندگی واقعی. برای افشاگری‌های پرخطر از Tor Browser و حساب‌های کاربری جدید استفاده کنید.

جداسازی (Compartmentalization)

هرگز اجازه ندهید هویت‌های شما با یکدیگر تداخل پیدا کنند (Cross-contaminate).

• مرورگرهای جداگانه: از یک مرورگر (مثل فایرفاکس) برای کارهای روزمره و از یک مرورگر ایمن‌سازی شده (مثل Brave یا Tor) برای کارهای حساس استفاده کنید.
• حساب‌های جداگانه: هرگز از ایمیل "نام واقعی" خود برای ثبت نام در یک اکانت توییتری ناشناس استفاده نکنید.
• پروفایل‌های کاری: در اندروید، از ویژگی "Work Profile" (توسط برنامه‌هایی مثل Shelter یا Island) استفاده کنید تا اپلیکیشن‌های مشکوک را از داده‌های اصلی خود ایزوله کنید.

امنیت شماره تلفن

شماره تلفن شما یک لینک مستقیم به کد ملی شماست.

• شماره خود را مخفی کنید: در تنظیمات تلگرام و سیگنال، گزینه "Who can see my phone number" را روی Nobody (هیچ‌کس) قرار دهید.
• شماره‌های مجازی: برای ثبت نام حساب‌ها (توییتر، تلگرام)، استفاده از شماره‌های مجازی خارجی (مثل Google Voice، اگر امن تهیه شده باشد) یا شماره‌های ناشناس فرگمنت (برای تلگرام) را در نظر بگیرید تا از اتصال حساب کاربری به سیم‌کارت خود جلوگیری کنید.

---

۳. بهداشت حساب کاربری و مقابله با افشاگری (Anti-Doxxing)

داکسینگ (انتشار اطلاعات خصوصی) تاکتیکی است که توسط عوامل وابسته به حکومت برای ارعاب فعالان استفاده می‌شود.

کاهش ردپای دیجیتال

• بررسی حساب‌های قدیمی: حساب‌هایی که دیگر استفاده نمی‌کنید را حذف کنید. اطلاعات لو رفته از فروم‌های قدیمی غالباً برای حدس زدن رمز عبور حساب‌های فعلی استفاده می‌شود.
• قفل کردن شبکه‌های اجتماعی: لیست دوستان خود را "Private" کنید. تاریخ تولد، مکان یا محل کار خود را در پروفایل‌های عمومی نمایش ندهید.
• جستجوی خودتان: مرتباً نام، نام کاربری و شماره تلفن خود را در گوگل و موتورهای جستجوی ایرانی جستجو کنید تا ببینید چه اطلاعاتی از شما عمومی است.

شناسایی فیشینگ

کاربران ایرانی مرتباً توسط پیامک‌های جعلی "قوه قضاییه" (ثنا/عدالت) یا ایمیل‌هایی که ادعای دسترسی غیرمجاز به حساب‌ها را دارند، هدف قرار می‌گیرند.

• هرگز روی لینک‌های داخل پیامک کلیک نکنید.
• آدرس URL را چک کنید: به دنبال غلط‌های املایی باشید (مثلاً gmai1.com به جای gmail.com).
• فوریت یک پرچم قرمز است: هر پیامی که درخواست اقدام فوری دارد ("حساب شما تا ۲۴ ساعت آینده حذف می‌شود") به احتمال زیاد یک حمله است.

---

۴. بازیابی پس از نفوذ

اگر شک دارید که به حسابی دسترسی پیدا شده یا بازداشت شده‌اید و مجبور به باز کردن قفل دستگاه‌تان شده‌اید:

1. لغو نشست‌ها (Revoke Sessions): فوراً به منوی "Devices" یا "Sessions" در سرویس مورد نظر (تلگرام، گوگل، اینستاگرام) بروید و گزینه "Log out all other sessions" را بزنید.
2. تغییر اعتبارنامه‌ها: رمز عبور خود را تغییر دهید و کدهای پشتیبان (Backup Codes) جدید تولید کنید.
3. بررسی فوروارد ایمیل: مهاجمان اغلب قوانین فوروارد ایمیل تنظیم می‌کنند تا پس از تغییر رمز توسط شما، همچنان به جاسوسی ادامه دهند. تنظیمات ایمیل خود را برای آدرس‌های فوروارد ناشناس بررسی کنید.
4. پاکسازی دستگاه: اگر دستگاهی برای هر مدتی در اختیار نیروهای امنیتی بوده است، فرض کنید که به بدافزار جاسوسی آلوده شده است. بازگشت به تنظیمات کارخانه (Factory reset) اغلب کافی نیست؛ نابودی فیزیکی یا فلش کردن حرفه‌ای امن‌تر است.

۵. چک‌لیست خلاصه

• مدیریت رمز: تمام رمزها به یک مدیر رمز عبور آفلاین (مانند KeePassXC) منتقل شد.
• تایید دو مرحله‌ای: TOTP (اپلیکیشن احراز هویت) روی تمام حساب‌ها فعال شد. حذف 2FA پیامکی تا حد امکان انجام شد.
• پاکسازی: حساب‌های قدیمی حذف و شماره تلفن‌ها از پروفایل‌های عمومی شبکه‌های اجتماعی برداشته شد.
• مانور: "کدهای پشتیبان" (Backup Codes) برای حساب‌های حیاتی (گوگل، تلگرام) در یک مکان امن و آفلاین ذخیره شد.
• وی‌پی‌ان: اطمینان از دسترسی به یک VPN مطمئن و دارای قابلیت مبهم‌سازی (Obfuscated) برای ورود به حساب‌ها در زمان فیلترینگ شدید.