|
| القرية الالكترونية
* حوار: مريم شرف الدين
فتحت شبكة الانترنت الأبواب على مصراعيها أمام المخربين والمقتحمين للسطو على معلومات الآخرين خصوصا عندما تكون تلك المعلومات تحمل طابعا سياسيا أو اقتصاديا أو تقنيا مما حدا بمديري الشبكات ومشرفي ادارة المعلومات والحاسب الآلي بزيادة درجات الأمان في شبكاتهم لمنع حدوث أي اختراق خارجي عن طريق الشبكة الخارجية لمعلومات الشبكات الداخلية واتخاذ اجراءات أمنية أخرى للسيطرة على تداول تلك المعلومات في الشبكات المحلية عن طريق وضع أنظمة مراجعة وتدقيق وحصر دقيق لصلاحيات الولوج الى الشبكة المحلية.
وتقوم الكثير من الدول والحكومات في الفترة الحالية باتخاذ اجراءات مضادة لوقف مافيا المعلومات ومنع المخترقين من الوصول الى أجهزتها وشبكاتها الحساسة التي قد تكون موصولة بالانترنت بطريقة أو بأخرى.
ويبقى السؤال المهم دائما هل تكفي الاجراءات الاعتيادية لحماية شبكات المعلومات العربية لمنع حدوث الاختراقات والسطو المعلوماتي على المعلومات المخزنة بها خصوصا ان تلك العمليات تتم بطرق متفاوتة ومختلفة.
هذا السؤال اجاب عنه الأستاذ حسن طاهر داود خبير أمن المعلومات ومدير تحرير مجلة عصر الحاسب بجمعية الحاسبات الآلية وتحدث في الحوار المطول عن تاريخ التجسس والتنصت الالكتروني وخطورته على الشركات والحكومات والدول والطرق المستخدمة فيه والاجراءات الواجب توافرها لمنعها في شبكات المعلومات العربية وازدياد معدل جرائم الحاسب في عصر الانترنت وغيرها من الموضوعات فإلى تفاصيل الحوار.
** المعروف ان التنصت الالكتروني هو أحد روافد التجسس الالكتروني فكيف يمارس هذا النشاط بواسطة الحكومات؟ وهل يمارسه الأفراد كذلك؟
* من المؤكد ان هناك عمليات تنصت الكتروني تقوم بها بعض الحكومات ولكنها لم تكن معروفة أو معلنة قبل عام 1995م والدليل على ذلك هو انه قبل انهيار الاتحاد السوفيتي السابق كان هناك أقل من 30 خط هاتف دولي مسموح بها بين موسكو والعالم الخارجي بأكمله! وبرغم ان سبب ذلك لم يعلن صراحة، الا انه من السهل استنتاج ان سبب هذا التحديد المبالغ فيه لعدد الخطوط هو تسهيل الرقابة والتنصت على المكالمات الدولية بين الاتحاد السوفيتي والعالم فمراقبة عدد محدود من الخطوط أمر سهل وممكن بينما مراقبة عشرة آلاف محادثة هاتفية تتم في نفس الوقت يكون مكلفا للغاية لو تم يدويا.
أما التنصت على خطوط البيانات فهو أمر آخر صاحبته تطورات عديدة عبر سنوات القرن الماضي القرن العشرين ثم انفلت العيار ان جاز هذا التعبير بظهور الانترنت وما صاحبها من تنامي الاتصالات وتبادل المعلومات بين جميع دول العالم وعبر قاراته الخمس لا نستثني منها أحدا, انفلت العيار وتضاعفت كمية المعلومات التي يلزم التنصت عليها وتلزم مراقبتها الى الحد الذي حدا بدولة عظمى مثل الولايات المتحدة الأمريكية الى انشاء محطات تجسس الكترونية من أضخم ما شهده تاريخ العلوم وتاريخ الحروب تستخدم فيها أحدث وأعقد ما تفتقت عنه عقول البشر بهدف التجسس على اتصالات الدول والأفراد وكل دابة تدب على الأرض وتنتشر هذه المحطات في أنحاء العالم بعضها محطات أرضية تقع في القواعد الأمريكية المنتشرة في قارات العالم أو تحملها الأساطيل في بحار العالم ومحيطاته ويدعم هذه الشبكة من المحطات شبكة أخرى من أقمار التجسس الاصطناعية التي تدور حول العالم تلتقط ما يدور في غرف الاجتماعات المغلقة عندما يظن المجتمعون انهم بمنأى عن مسترقي السمع وتلتقط حتى الهمسات الخاصة جدا وباختصار فهي تلتقط دبيب النمل كما يقال.
** اذا كيف ومتى بدأ عصر التجسس الالكتروني؟
* نستطيع القول بأن عصر التجسس الالكتروني بدأ في الرابع من أغسطس من عام 1914م، ففي ذلك اليوم تعمدت سفينة الكابلات البريطانية تلكونيا قطع الكابلات البحرية الخمسة التي تربط ألمانيا بالعالم الخارجي التي كانت ترقد على عمق كبير في مياه البحر المتوسط ونتيجة لذلك اضطرت الحكومة الألمانية للتحول الى استخدام وسيلتين استراتيجيتين للاتصال: الأولى كانت البرقيات اللاسلكية، والثانية كانت الرسائل المشفرة التي كانت ألمانيا تقوم بارسالها عبر طرف ثالث يكون على اتصال بباقي الكابلات البحرية الأخرى التي كانت المملكة المتحدة تملكها وتقوم بتشغيلها, وعلى الفور قامت البحرية البريطانية بمحاولات التقاط وفك شفرة هذه الرسائل الأمر الذي أدى فيما بعد الى التقاط وفك شفرة برقية زيمرماغ الشهيرة التي اثارت الأمريكيين مما نتج عنه دخول الولايات المتحدة الحرب العالمية الأولى.
** تحدثت عن استخبارات الاتصالات فما هو المطلوب لانشاء وحدة لاستخبارات الاتصالات؟
* في مجال جمع المعلومات من الطبيعي أن تلجأ أجهزة المخابرات الى الأساليب التي تتميز بقلة فرص اكتشافها وبانخفاض تكلفتها وارتفاع درجة الثقة في معلوماتها وفي مجال الشبكات وانترنت بالذات فكل ما هو مطلوب لبناء وحدة لاستخبارات الاتصالات Sigint هو جهاز حاسب شخصي لالتقاط المعلومات ثم توصيله بالشبكة المطلوب اقتحامها ولما كانت معظم الاتصالات التي تتم بين حلبات أي شبكة مغلقة تكون في العادة غير مشفرة فان اتصال الجهاز المقتحم بالشبكة يتيح له الوصول لجميع المعلومات التي تمر عبر كوابل هذه الشبكة بحرية تامة.
** هذه المخاوف قد تخلق لدى الادارة العليا في المنظمات المختلفة خوفا من الارتباط بشبكة الانترنت برغم فوائدها الايجابية؟
* هذه المخاوف برغم واقعيتها لا يجب أن تترك لتنمو حتى تخلق لدى الادارة العليا هذا الخوف الذي لا مبرر له من الارتباط بشبكة انترنت فهذه الشبكة تعتبر موردا في غاية الأهمية له كما ذكرتم العديد من الفوائد الايجابية لكافة المنظمات على اختلاف أهدافها والمهم أن تظل أعيننا مفتوحة على الأخطار المحتملة وان نعرف كيف يمكن التغلب عليها، فأساليب مقاومة التجسس كثيرة بل هي أكثر تطورا من أساليب التجسس ومن ثم فأمن المعلومات ممكن وفي متناول اليد، ولكن المهم ان تبدأ كل الشركات وكل الحكومات الخطوة الأولى على هذه الطريق.
** ولكن اجراءات الأمن التي يتم تطبيقها للحفاظ على أمن المعلومات كثيرا ما تسبب الضيق للمستخدمين وتعطل أعمالهم؟
* هذا صحيح ولكن يجب علينا ان نوازن بين مستوى الأمن وسهولة الاستخدام ويكمن التحدي الحقيقي في كيفية الوصول الى درجة أمن كافية دون أن نجعل نظام المعلومات غير عملي أو صعب الاستخدام فالأمر الذي يجعل من قضية الأمن قضية ساخنة ودقيقة في الوقت نفسه هو أن وضع الاجراءات الأمنية المحكمة لحماية البرامج والبيانات وباقي موارد الحاسب ليس هو الأمر المهم وانما المهم هو أن تكون هذه الاجراءات عملية وميسرة فمن السهل على أي شخص ان يبني قلعة مسلحة محكمة التحصينات، ولكن من الصعب ان نجعل الاقامة في هذه القلعة سهلة وممكنة وممتعة لسكانها.
** التجسس الالكتروني ليس فقط بين الدول فما هي المجالات الأخرى التي يتم فيها مثل هذا التجسس؟
* هناك الكثير من مجالات التجسس وعلى رأسها التجسس الصناعي فربما كانت مجرد المشاهدة لبعض التطبيقات أو البرامج كافية لنقل التقنية أو اقتباس التقنية بما يخل بحقوق الملكية الفكرية, وهذا الأمر يحدث في كل يوم وهناك واقعة شهيرة كمثال على التجسس الصناعي وهي كيف ان ستيف جوبز أحد الصديقين اللذين أخرجا كمبيوتر آبل الى الوجود لم يكن في حاجة في ذلك الصباح البارد من عام 1972م الا لمجرد مشاهدة واجهة المستفيد GUI التي تستخدم الرسوم والايقونات بمركز أبحاث بال التو في شركة زيروكس, وذكر مدير هذا المركز فيما بعد أن ستيف جوبز بمجرد رؤيته هذه الواجهة وقع الاختراق ووقعت الخسارة بالفعل فيكفي انه عرف ان هذا الأمر يمكن تنفيذه ولعلي استطيع أن أضع هذه الواقعة كأخطر واقعة تجسس صناعي في التاريخ الحديث.
** وماذا عن التجارة الالكترونية؟ هل هناك خطر عليها؟
* مع ازدياد تدفق المعلومات وتنوع مصادرها وتوسع التجارة الالكترونية عبر الانترنت تتحول الكثير من مصادر المعلومات الى وسائط يسهل اختراقها مما يفرض ضرورة وضع نظم حماية خاصة بها وزيادة تكاليف الأمن والحماية, ويشمل ذلك حماية المعلومات داخل الأقراص الصلبة في أجهزة الحاسب والبريد الالكتروني وأجهزة الفاكس وتضم تسجيل المعلومات الصوتية بالاضافة الى حماية شبكات نقل البيانات.
** أيهم أكثر عرضة للاختراق؟ الشركات الصغيرة أم الشركات الكبيرة؟
* جرائم الحاسب بصفة عامة وتلك الخاصة بالتجسس الالكتروني بصفة خاصة تجدها بجميع المقاسات والأشكال بدءا من قيام موظف باستخدام الحاسب في طباعة خطاب شخصي وانتهاء بمدير كبير يهرب بالملايين, وربما كانت الشركات الصغيرة والمصالح الحكومية من بين أكثر الجهات تعرضا للاختراق, ربما كان ذلك بسبب بعض الخصائص التي تميز الشركات الصغيرة مثل: الاعتماد المتزايد على الحاسب الآلي وقلة الضوابط والاحتياطات الأمنية فيها وصعوبة فصل المهام التي يقوم بها الموظفون خصوصا في ظل قلة عدد هؤلاء الموظفين وكذلك الاتجاه دائما الى اتباع اجراءات غير رسمية، الى جانب وجود درجة عالية من الثقة المتبادلة بين صاحب الشركة وموظفيه، وأحيانا تجد الشركات الصغيرة انه من الصعب ان تقوم بتطبيق نفس اجراءات الأمن الخاصة بالمؤسسات الكبيرة فبعض هذه الاجراءات لا يصلح الا مع الحجم الكبير للموارد والعدد الكبير من الموظفين ففي الشركات الصغيرة من المعتاد ان ترى شخصا واحدا مسؤولا دون تشغيل الحاسب بالكامل وعادة يكون هذا الشخص موضع الثقة الكاملة ومع معرفته الكاملة بالتفاصيل الفنية عن تشغيل الحاسب والصلاحيات اللازمة لذلك فان هذا يفتح الباب على مصراعيه لارتكاب الجريمة.
** لماذا انتعشت جريمة الكمبيوتر في عصر الانترنت؟
* بالفعل لقد فتحت شبكة الانترنت الباب واسعا أمام جريمة الكمبيوتر فقد رحب المجرمون كثيرا بما تنتجه لهم الشبكة من اخفاء لشخصياتهم عند التعامل مع الآخرين وربما كان ابقاء الشخصية مجهولة مهما جدا حتى بين المتواطئين أنفسهم فهو يعفيهم من أمور كثيرة هم في غنى عنها, وربما كان هذا من أهم أسباب انتعاش جريمة الكمبيوتر في عصر الانترنت.
** هل من مثال على إحدى جرائم الكمبيوتر الفعلية؟
* هناك جريمة حدثت في أحد البنوك الصغيرة في كاليفورنيا حينما كان جو هو المبرمج الوحيد في البنك كما كان هو مشغل الكمبيوتر أيضا, وكان مظهره متواضعا جدا ولكنه كان عبقريا في مجال الكمبيوتر وكان قادرا على حل أي مشكلة في هذا المجال وكان جو يعاني من بعض المشاكل المالية وعندما تفاقمت هذه المشاكل وازدادت ديونه قرر أن يقوم بعملية خاطفة على البنك الذي يعمل به بالتواطؤ مع صديقة له فقد اتى جو الى العمل مبكرا ذات يوم وقام بتشغيل الكمبيوتر ثم قام بتعديل تاريخ اليوم في الحاسب وبعد ذلك قام بتحويل مبلغ 40 ألف دولار من حساب أحد المودعين الى حساب صديقاته ثم قام بتمزيق التقرير المطبوع عن هذه العملية وازالة السجل الرقابي الالكتروني الذي يتم في العادة تسجيله آليا عن مثل هذه العمليات ثم أعاد تاريخ اليوم في الحاسب مرة أخرى الى اليوم الصحيح ولكن لسوء حظه قام العميل بالصدفة بالاستفسار عن حسابه قبل أن تقوم صديقة جو بسحب المبلغ وهكذا تم القبض على جو .
** هل يمكن ان تتكرر مثل هذه الجريمة في العالم العربي؟
* في الواقع هناك أكثر من جو في المؤسسات الصغيرة يسرقون الأموال أو البضائع أو يتجسسون على المعلومات والخطط والوضع الاقتصادي والمالي للشركة، والفرصة أكبر لظهورهم في المؤسسات الصغيرة عن تلك الكبيرة التي يوجد فيها موظفون كثيرون ويتم فيها فصل المهام وازدواج الضوابط الأمنية بشكل أكثر حزما, ومؤسساتنا وشركاتنا العربية ليست بمنأى عن هؤلاء ما لم نضع الضوابط الأمنية اللازمة وهي سهلة وممكنة كما أسلفت.
** بعيدا عن التجسس الصناعي أو التجسس العسكري ما هي أنواع التجسس الالكتروني الأخرى؟
* التجسس هو نشاط قديم قدم البشرية واليوم يزداد هذا النشاط انتشارا وتوسعا، فلم يعد قاصرا على الشؤون العسكرية أو على زمن الحرب فقد ازدهر الآن التجسس التجاري فكثير من الحكومات الآن تمارس التجسس على الأعمال التجارية في دول أخرى دعما لمصالحها التجارية, وهي تقوم بذلك علنا ودون أدنى محاولة من جانبها لاخفاء ذلك، ومثال ذلك أنشطة التجسس التي مارستها الحكومة الفرنسية ضد شركة اي, بي, ام بل ان بعض الحكومات تعمد استئجار بعض المقتحمين لأجهزة الكمبيوتر Hackers لمساعدتها في التجسس التجاري، وقد حدث في ألمانيا أن حاول بعض ممثلي الحكومات الأجنبية الاتصال ببعض الأشخاص المشهور عنهم هواية اقتحام أجهزة الكمبيوتر وقد تم القبض عليهم اثر قيامهم باقتحام شبكة نظم المعلومات الخاصة بحكومة الولايات المتحدة لنقل بعض المعلومات الى عملاء في روسيا.
** هل التجسس التجاري قاصر على الشركات الصناعية أم يمتد ليشمل الدول؟
* في عام 1996م أجرى استفتاء بين مسؤولي الأمن الصناعي في الشركات الأمريكية أظهر أن كثيرا من الدول قد حصلت بشكل غير مشروع على معلومات سرية عن أنشطة تجارية وصناعية في الولايات المتحدة وتم ترتيب هذه الدول وفقا لحجم الانتهاكات على النحو التالي: الصين، كندا، فرنسا، الهند، اليابان، ألمانيا، كوريا الجنوبية، كمنولث الدول المستقلة الاتحاد السوفيتي السابق ، تايوان، المملكة المتحدة، اسرائيل، المكسيك، باكستان، سنغافورة، هونج كونج، بالمقابل فان الولايات المتحدة لا تقل اهتماما بالتجسس التجاري على الآخرين والمعلومات المنشورة عن التجسس التجاري الدولي نادرة فالدول والشركات لا تعترف في العادة بقيامها بهذا النوع من التجسس، أو هي حتى لا تعترف بوقوعها ضحية له.
** ما هي الأساليب الحديثة للتجسس الالكتروني؟
* من الأساليب المستحدثة للتجسس الالكتروني على نظم المعلومات أسلوب اخفاء المعلومات داخل المعلومات وبرغم صعوبته أحيانا الا انه غير نادر الحدوث في جرائم المعلومات ويتميز هذا الأسلوب بأن الكشف عن المعلومات المخفاة أمر صعب ان لم يكن مستحيلا في بعض الأحيان, في هذا الأسلوب قد يلجأ المجرم الى اخفاء بعض المعلومات الحساسة داخل معلومات أخرى عادية داخل الحاسب ثم يلجأ الى وسيلة لتسريب المعلومات العادية الحاوية من هذا الحاسب فلا يشك أحد أن هناك معلومات حساسة يجري تسريبها, فالجاسوس يخاطر كثيرا اذا لجأ الى طباعة المعلومات التي يخطط لسرقتها أو حاول عرضها على شاشة الحاسب لأن الضحية قد يلحظ هذه التصرفات ويوقفها أو قد يقوم الحاسب بتسجيل هذه المحاولات Logging ولذلك يلجأ الجواسيس الى وسائل غير تقليدية للحصول على المعلومات السرية.
** هل يمكن ان تعطينا أمثلة عن هذه الوسائل غير التقليدية؟
* قد يقوم الجاسوس بكتابة برنامج وتنفيذه خلسة على حاسب الضحية لفحص هذا البرنامج كل البيانات المخزنة على الحاسب ثم يومض أحد المصابيح الصغيرة الموجودة على لوحة الحاسب لفترة قصيرة اذا كان البيان 0 أو يومض لفترة أطول اذا كان البيان 1 ، ثم يقوم الجاسوس بتسجيل شريط فيديو لهذه اللوحة عن طريق وصل كاميرا فيديو مخفية بمهارة على لوحة الحاسب لتسجيل عمليات الوميض المتتالية, وبادارة هذا الشريط بعد ذلك ببطء يمكن قراءة البيانات المسجلة في الحاسب دون ترك أثر ينم عن الجاسوس, أو قد يلجأ بعض الجواسيس الى طرق مشابهة لاسلوب الفيديو ولكن بدلا من تسجيل الوميض المتقطع يقومون بطباعة بيانات تبدو عادية بحيث يرمز السطر الكامل الى الرقم 1 والسطر غير الكامل الى الرقم 0 , أو أن يتم تصوير حركة شريط ممغنط خلال دورانه بحيث تمثل الدورة الكاملة للشريط الرقم 1 بينما يمثل نصف الدورة الرقم 0 , أو يستخدمون الصوت الصادر عن آلة الطباعة لتمثيل الأصفار، والآحاد، أو يستقبلون موجات راديو تنبعث من وحدة بسيطة Diode يتم تركيبها خلسة في دائرة الحاسب لكشف هذه البيانات, وهذه الأساليب تتم بالطبع بالنسبة للبيانات التي تتميز بصغر الحجم وعظم الأهمية, ويلجأ جواسيس آخرون لطرق اقل تعقيدا برشوة بعض المشغلين أو عمال النظافة للحصول على مخرجات الحاسب بدلا من اعدامها.
** هل يمكن ارتكاب جرائم التجسس الالكتروني دون مساعدة شخص من الداخل؟
* من المعلوم لكل خبراء أمن المعلومات أن من أفضل وسائل مكافحة الجريمة هو أن نجعل التواطؤ ضروريا لنجاح ارتكابها أي ضرورة تعاون أكثر من شخص ويزيد ذلك من تعقيد الجريمة كما يزيد من فرص اكتشاف المجرمين وفي جرائم نظم المعلومات تزداد أهمية التواطؤ اذ انه لا يوجد عادة شخص واحد لديه كل المهارات المطلوبة والمعارف اللازمة بالاضافة الى الصلاحيات الضرورية لانجاح الجريمة, بعد وضع الضوابط والاجراءات الأمنية موضع التنفيذ تكون فرصة ارتكاب جرائم نظم المعلومات محصورة في الموظفين ذوي الصلاحيات المالية وهم يكونون بالطبع موضع الثقة الكاملة والذين لا يخضعون عادة الا للقليل من الضوابط والاجراءات, هؤلاء الموظفون ذوو الصلاحيات العالية لابد لهم من التعاون مع متخصصي الكمبيوتر حتى يمكنهم تنفيذ جريمة نظم المعلومات وهؤلاء المتخصصون يمكنهم تجاوز الضوابط والقيود الفنية الموضوعة لحماية المعلومات أو لتسهيل ضبط مرتكب الجريمة بينما الموظفون ذوو الصلاحيات العالية فيكون دورهم هو تقديم الصلاحيات الضرورية للوصول الى المعلومة.
** كيف يمكن في هذه الحالة مواجهة امكانية التواطؤ بين أكثر من موظف لارتكاب الجريمة؟
* لكي يستطيع خبراء أمن المعلومات مواجهة هذا التواطؤ المحتمل فانهم يعملون على حث الادارة على تفعيل الضوابط التي تعنى بالعامل البشري أو الانساني مثل الفصل بين المهام وتعدد الضوابط ويستطيع الكمبيوتر المساعدة بشكل فعال في هذه الضوابط فيمكن مثلا ان يطلب الكمبيوتر من المستخدم تحديد شخصيته والتحقق منها بشكل آلي كما يمكن ان يطلب الحاسب اجراء مستقلا يؤديه أكثر من موظف لتنفيذ العملية كأن يقوم موظف الشباك في البنك بادخال قيمة المبلغ بينما يلزم اعتماد مراقب البنك للعمليات ذات المبالغ الكبيرة كما يمكن للحاسب كذلك ان يراجع آليا ملف تسجيل الوقائع لاكتشاف أي عملية مريبة.
|
|
|
|
|
