https://arpokrat.com/fa/blog/jurisdiction/ Recent content in حوزه قضایی و حقوق سایبری on Arpokrat Hugo -- gohugo.iofaFri, 19 Jun 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/data-act-vs-cloud-act-digital-sovereignty/ Fri, 19 Jun 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/data-act-vs-cloud-act-digital-sovereignty/ <p>سال‌ها بود که جهان بر اساس یک فرض ساده عمل می‌کرد: داده‌ها محل اقامت فیزیکی دارند. اگر داده‌ای روی سروری در دوبلین ذخیره بود، تابع قوانین ایرلند و اتحادیه اروپا بود. این فرض در سال ۲۰۱۸ فروریخت، زمانی که ایالات متحده CLOUD Act را تصویب کرد؛ قانونی که به مقامات آمریکایی اجازه می‌دهد به داده‌های تحت کنترل شرکت‌های آمریکایی دسترسی داشته باشند، صرف‌نظر از اینکه این داده‌ها از نظر فیزیکی در کجای جهان ذخیره شده‌اند. چند سال بعد، بروکسل با ابزار حمایتی خود پاسخ داد: Data Act که اکنون به طور کامل قابل اجراست و تلاش می‌کند دسترسی فراسرزمینی مقامات کشورهای ثالث به داده‌های نگهداری‌شده در اتحادیه اروپا را محدود کند.</p> <p>در اینجا به آنچه این دو متن واقعاً پیش‌بینی می‌کنند، نقاط تصادم آن‌ها، و دلیل اینکه تنها حمایت واقعاً محکم در برابر این تعارض، ناممکن‌سازی فنی دسترسی است، می‌پردازیم.</p> <h2 id="cloud-act-آمریکایی-دسترسی-مبتنی-بر-کنترل-نه-مکان">CLOUD Act آمریکایی: دسترسی مبتنی بر کنترل، نه مکان</h2> <p><strong>CLOUD Act</strong> (<em>Clarifying Lawful Overseas Use of Data Act</em>)، که در مارس ۲۰۱۸ تصویب شد، قوانین آمریکا را با افزودن ماده <strong>18 U.S. Code § 2713</strong> اصلاح کرد. این متن هر ارائه‌دهنده خدمات ارتباطات الکترونیکی یا پردازش رایانه‌ای از راه دور را ملزم می‌کند که محتوای ارتباطات یا هر سابقه مرتبط با آن را حفظ، نگهداری یا افشا کند، به محض اینکه این داده‌ها در تصرف، نگهداری یا <strong>کنترل</strong> آن باشند، <strong>صرف‌نظر از اینکه این داده‌ها در داخل یا خارج از ایالات متحده قرار دارند</strong>.</p> <p>دقیقاً همین بند آخر است که همه چیز را تغییر می‌دهد. معیار دیگر مکان فیزیکی سرور نیست، بلکه کنترلی است که شرکت مادر بر شعب خود اعمال می‌کند. بنابراین یک شرکت آمریکایی که مراکز داده را در اروپا اداره می‌کند، همچنان تابع احضاریه‌های آمریکایی است، حتی برای داده‌هایی که به طور کامل در خاک اروپا ذخیره شده‌اند.</p> <h2 id="data-act-اروپایی-یک-مانع-حقوقی-در-برابر-دسترسی-فراسرزمینی">Data Act اروپایی: یک مانع حقوقی در برابر دسترسی فراسرزمینی</h2> <p><strong>مقررات (اتحادیه اروپا) 2023/2854</strong>، موسوم به Data Act، در ۱۱ ژانویه ۲۰۲۴ لازم‌الاجرا شد و از ۱۲ سپتامبر ۲۰۲۵ به طور کامل اعمال می‌شود، با برخی مقررات که تا ۲۰۲۶ و ۲۰۲۷ به صورت تدریجی اجرا می‌شوند. <strong>ماده ۳۲</strong> آن مستقیماً به موضوع دسترسی بین‌المللی دولت‌ها به داده‌ها می‌پردازد.</p> <p>این متن یک قاعده روشن تعیین می‌کند: هر تصمیم یا حکم یک دادگاه یا مقام اداری کشور ثالثی که از ارائه‌دهنده خدمات پردازش داده می‌خواهد داده‌های غیرشخصی نگهداری‌شده در اتحادیه اروپا را منتقل کند یا به آن‌ها دسترسی دهد، <strong>تنها در صورتی به رسمیت شناخته می‌شود و قابل اجراست که مبتنی بر یک توافق بین‌المللی</strong> باشد، مانند یک معاهده کمک حقوقی متقابل (MLA)، که بین کشور درخواست‌کننده و اتحادیه، یا بین آن کشور و دولت عضو مربوطه، معتبر باشد.</p> <p>در غیاب چنین توافقی، ماده ۳۲ راه دومی را پیش‌بینی می‌کند، اما با محدودیت‌های سختگیرانه: تصمیم خارجی تنها در صورتی قابل اجراست که نظام حقوقی کشور ثالث ایجاب کند که درخواست مستدل، متناسب و به اندازه کافی مشخص باشد - برای مثال با ایجاد پیوند روشن با افراد یا جرائم معین - و اگر اعتراض موجه گیرنده بتواند تحت بازرسی دادگاه صالح آن کشور ثالث قرار گیرد.</p> <h2 id="یک-تصادم-حقوقی-مستقیم">یک تصادم حقوقی مستقیم</h2> <p>مشکل فوری است: CLOUD Act افشای اطلاعات را بر اساس کنترل اعمال‌شده توسط شرکت مادر الزامی می‌کند، بدون شرط تناسبی مشابه آنچه قانون اروپایی مطالبه می‌کند. Data Act، برعکس، به رسمیت شناختن چنین درخواستی را مشروط به وجود یک توافق بین‌المللی یا ضمانت‌های رویه‌ای دقیق می‌کند. یک شرکت آمریکایی که در اروپا فعالیت می‌کند و توسط یک مقام آمریکایی ملزم به انتقال داده‌های میزبانی‌شده در اتحادیه است، خود را بین دو تعهد قانونی متناقض می‌یابد: تبعیت از دستور آمریکایی با نقض قوانین اتحادیه، یا رعایت Data Act با در معرض قرار گرفتن در برابر عواقب رد درخواست در ایالات متحده.</p> <p>این تنش نظری نیست. دیوان دادگستری اتحادیه اروپا (CJEU) آن را در دو تصمیم مهم مستند کرده است: <strong>Schrems I</strong> (2015) و <strong>Schrems II</strong> (2020). در حکم Schrems II، دیوان دادگستری اتحادیه اروپا حکم داد که نظارت آمریکایی انجام‌شده بر اساس <strong>بخش ۷۰۲ FISA</strong> (<em>Foreign Intelligence Surveillance Act</em>) و <strong>فرمان اجرایی ۱۲۳۳۳</strong> حداقل ضمانت‌های مورد نیاز قانون اتحادیه را بر اساس اصل تناسب رعایت نمی‌کند و بنابراین نمی‌توان آن را محدود به آنچه کاملاً ضروری است تلقی کرد. دادگاه همچنین فقدان راه جبران قضایی مؤثر برای افراد مربوطه در اتحادیه را تشخیص داد که ناقض ماده ۴۷ منشور حقوق اساسی است. این تصمیم چارچوب Privacy Shield را که تا آن زمان انتقال داده بین اتحادیه اروپا و ایالات متحده را سازماندهی می‌کرد، باطل اعلام کرد.</p> <h2 id="خطر-ساختاری-harvest-now-decrypt-later">خطر ساختاری: Harvest Now, Decrypt Later</h2> <p>فراتر از تعارض صلاحیت‌ها، تهدیدی موذیانه‌تر بر داده‌های میزبانی‌شده در زیرساخت‌های تابع قوانین آمریکایی سایه افکنده است: استراتژی موسوم به <a href="https://arpokrat.com/fa/blog/harvest-now-decrypt-later-hndl-zero-knowledge/"><strong>Harvest Now, Decrypt Later</strong></a> (HNDL). این اصل برای یک سرویس اطلاعاتی یا بازیگر دولتی خصمانه عبارت است از رهگیری و ذخیره‌سازی داده‌های رمزگذاری‌شده از همین امروز، در انتظار توانایی‌های محاسبات کوانتومی کافی برای رمزگشایی آن‌ها در آینده.</p> <p>این استراتژی هر وابستگی طولانی‌مدت به زیرساخت ابری آمریکایی را به یک بدهی امنیتی معوق تبدیل می‌کند: آنچه امروز محرمانه است ممکن است در ده یا پانزده سال دیگر قابل خواندن شود، بدون اینکه هیچ اقدام اضافی از سوی مهاجم لازم باشد، فقط زمان و صبر.</p> <h2 id="چرا-تنها-ناممکنسازی-فنی-یک-ضمانت-واقعی-است">چرا تنها ناممکن‌سازی فنی یک ضمانت واقعی است</h2> <p>تحلیل حقوقی به نتیجه‌ای مشترک می‌رسد که بسیاری از متخصصان انطباق به آن رسیده‌اند: هر چقدر هم چارچوب قانونی Data Act محکم باشد، همچنان متنی است که توازن قوای ژئوپولیتیک و فشارهای دیپلماتیک می‌توانند آن را دور بزنند، به تعویق بیندازند یا تفسیر مجدد کنند. تنها حمایتی که به هیچ مذاکره آینده‌ای وابسته نیست، <strong>ناممکن‌سازی فنی اجرا</strong> است.</p> <p>یک معماری <strong>zero knowledge</strong>، که در آن ارائه‌دهنده خدمات هیچ‌گاه در تصرف یا نگهداری کلیدهای رمزگشایی نیست، یک احضاریه را از نظر مادی بی‌اثر می‌کند. نمی‌توان کسی را مجبور کرد چیزی را که هرگز در اختیار ندارد تحویل دهد.</p> <p>این منطقی است که اکوسیستم‌هایی مانند <strong>Arpokrat</strong> را شکل می‌دهد:</p> <ul> <li><strong>خنثی‌سازی صلاحیت قضایی</strong>: زیرساخت در سوئیس میزبانی می‌شود، تحت رژیم قانون فدرال حفاظت از داده‌ها (LPD/FADP)، خارج از حوزه اعمال مستقیم فراسرزمینی CLOUD Act</li> <li><strong>فقدان نگهداری</strong>: معماری zero knowledge به ارائه‌دهنده هیچ توانایی برای تحویل کلیدها یا محتواهایی که هرگز در اختیار ندارد نمی‌دهد</li> <li><strong>کاهش ردپای هویتی</strong>: با حذف الزام ثبت‌نام از طریق شماره تلفن یا آدرس ایمیل - شناسه‌هایی که نظارت مبتنی بر بخش ۷۰۲ FISA می‌تواند به راحتی آن‌ها را ردیابی کند - کاربر از یک مشترک قابل شناسایی به یک کلید رمزنگاری ناشناس تبدیل می‌شود</li> </ul> <h2 id="زنجیره-نگهداری-در-رمزگذاری-پیامها-متوقف-نمیشود">زنجیره نگهداری در رمزگذاری پیام‌ها متوقف نمی‌شود</h2> <p>نکته‌ای که اغلب در تحلیل‌های انطباق دست‌کم گرفته می‌شود این است: رمزگذاری محتوای یک ارتباط کافی نیست اگر سیستم عامل زیربنایی - چه Android باشد چه iOS - به جمع‌آوری ابرداده یا تله‌متری در سطح هسته، با مقصد سرورهایی تحت صلاحیت آمریکا، ادامه دهد. حمایت از محرمانگی مستلزم بستن کامل زنجیره نگهداری است، از محتوا تا خود زیرساخت سخت‌افزاری.</p> <p>به همین دلیل است که حاکمیت دیجیتال مستلزم تأمل درباره سیستم عامل مورد استفاده نیز هست، نه فقط برنامه‌های پیام‌رسان. سیستم‌های بدون گوگل، که در آن‌ها ماژول‌هایی مانند بلوتوث یا موقعیت‌یابی GNSS می‌توانند مستقیماً در سطح هسته غیرفعال شوند، بردارهای حمله فیزیکی را که هیچ رمزگذاری در سطح برنامه نمی‌تواند جبران کند، حذف می‌کنند.</p> <h2 id="رمزنگاری-پس-از-کوانتوم-افقی-که-اکنون-در-پیش-است">رمزنگاری پس از کوانتوم، افقی که اکنون در پیش است</h2> <p>در برابر تهدیدی که استراتژی HNDL نشان می‌دهد، اتخاذ استانداردهای رمزنگاری پس از کوانتوم (PQC) برای هر کسی که می‌خواهد محرمانگی داده‌های حساس را در بلندمدت تضمین کند، ضرورتی اجتناب‌ناپذیر است - چه اسرار تجاری باشد، چه مکاتبات حرفه‌ای یا داده‌های بهداشتی. رمزگذاری‌ای که امروز بر اساس استانداردهای کلاسیک محکم تلقی می‌شود، تضمین نمی‌کند که در برابر توانایی‌های محاسبات کوانتومی مورد انتظار در پانزده سال آینده مقاومت کند.</p> <hr> <p>تعارض بین Data Act و CLOUD Act یک واقعیت گسترده‌تر را نشان می‌دهد: حاکمیت دیجیتال دیگر نمی‌تواند صرفاً بر متون قانونی بنا شود، هر چقدر هم محکم باشند. این امر مستلزم بستن زنجیره نگهداری در هر سطحی است، از پروتکل رمزگذاری تا صلاحیت میزبانی، از جمله خود سیستم عامل. این رویکرد لایه‌ای، به جای اعتماد به یک چارچوب نظارتی واحد، است که امروز حاکمیت دیجیتال واقعی بر اساس طراحی را تعریف می‌کند.</p> https://arpokrat.com/fa/blog/monero-zcash-banned-eu-amlr-2027/ Thu, 18 Jun 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/monero-zcash-banned-eu-amlr-2027/ <p>ممنوعیت مونرو و زی‌کش در اروپا دیگر رسمی شده است. از جولای ۲۰۲۷، اتحادیه اروپا از طریق مقررات جدید ضد پول‌شویی موسوم به <strong>AMLR</strong>، دسترسی نهادی به ارزهای دیجیتال با حریم خصوصی تقویت‌شده را مسدود می‌کند. در اینجا می‌آموزید این متن قانونی دقیقاً چه پیش‌بینی‌هایی دارد، نقش مرجع جدید اروپایی <strong>AMLA</strong> در اجرای آن چیست، و این موضوع برای هر کسی که پرایوسی کوین نگه می‌دارد واقعاً چه معنایی دارد.</p> <h2 id="amlr-و-amla-دو-متن-متفاوت-که-نباید-با-هم-اشتباه-گرفته-شوند">AMLR و AMLA: دو متن متفاوت که نباید با هم اشتباه گرفته شوند</h2> <p>پیش از ورود به جزئیات، یک توضیح ضروری است — این دو مخفف به دو چیز کاملاً متفاوت اشاره دارند که اغلب در رسانه‌های تخصصی با هم اشتباه می‌شوند:</p> <ul> <li><strong>AMLR</strong> (<em>Anti-Money Laundering Regulation</em>) <strong>خود متن قانون است</strong>: مقررات (EU) 2024/1624، که قوانین را تعریف می‌کند — حساب‌های ناشناس ممنوع، آستانه‌های تأیید هویت، نحوه برخورد با پرایوسی کوین‌ها. این «چه» است.</li> <li><strong>AMLA</strong> (<em>Anti-Money Laundering Authority</em>) <strong>مرجع نظارتی جدید اروپایی است</strong> که از طریق مقرراتی جداگانه اما در همان روز تصویب شده، یعنی مقررات (EU) 2024/1620، ایجاد شده است. نقش آن نظارت مستقیم بر اجرای AMLR است، به‌ویژه در مورد بزرگ‌ترین ارائه‌دهندگان خدمات دارایی‌های کریپتو (CASP) که در چندین کشور عضو فعالیت می‌کنند. این «چه کسی نظارت می‌کند» است.</li> </ul> <p>خلاصه اینکه: AMLR قوانین را تعیین می‌کند، AMLA اطمینان حاصل می‌کند که رعایت می‌شوند. هر دو متن یک بسته قانونی واحد اروپایی علیه پول‌شویی و تأمین مالی تروریسم را تشکیل می‌دهند.</p> <h2 id="مقررات-amlr-دقیقا-چه-میگوید">مقررات AMLR دقیقاً چه می‌گوید</h2> <p><strong>مقررات (EU) 2024/1624</strong> در ۳۱ مه ۲۰۲۴ توسط پارلمان اروپا و شورا تصویب و در ۱۹ ژوئن ۲۰۲۴ در روزنامه رسمی اتحادیه اروپا منتشر شد. <strong>فصل هشتم (مواد ۷۹-۸۰)</strong>، با عنوان <em>«اقدامات برای کاهش خطرات مرتبط با ابزارهای ناشناس»</em>، و دقیق‌تر <strong>ماده ۷۹</strong> («حساب‌های ناشناس، سهام و اوراق قرضه بی‌نام»)، مقرر می‌کند که مؤسسات اعتباری، مؤسسات مالی و <strong>ارائه‌دهندگان خدمات دارایی‌های کریپتو (CASP)</strong> دیگر مجاز به نگهداری حساب‌های ناشناس یا ارائه محصولاتی که ناشناس‌سازی تراکنش‌ها را امکان‌پذیر می‌سازند، نیستند.</p> <p>این متن صریحاً دو دسته متمایز اما مرتبط را هدف قرار می‌دهد:</p> <ol> <li><strong>حساب‌های ناشناس</strong> — چه بانکی، چه پرداختی، چه کریپتو. این قانون بخش کریپتو را با محدودیت‌هایی همتراز می‌کند که از قبل برای حساب‌های بانکی ناشناس، حساب‌های اوراق بهادار بی‌نام و گاوصندوق‌های ناشناس وجود داشت.</li> <li><strong>«ارزهای دیجیتال با ماهیت ناشناس‌ساز»</strong> (<em>anonymity-enhancing coins</em>) — اصطلاح کلی که مقررات برای توصیف دارایی‌هایی به کار می‌برد که از تکنیک‌های رمزنگاری پیشرفته استفاده می‌کنند و جریان‌ها را غیرقابل ردیابی می‌سازند. <strong>نکته مهم</strong>: متن قانونی هیچ توکنی را با نام خود ذکر نمی‌کند. این تفسیر گسترده‌ای است که توسط دفاتر انطباق و صنعت — به‌ویژه <em>AML Handbook</em> از European Crypto Initiative (EUCI) — به اشتراک گذاشته شده و مونرو (XMR)، زی‌کش (ZEC) و Dash (DASH) را در این دسته قرار می‌دهد. این تفسیری سازگار با تعریف مقررات است، اما یک تفسیر بخشی است، نه فهرستی اسمی که در قانون گنجانده شده باشد.</li> </ol> <p>این مقررات در چارچوبی گسترده‌تر، در کنار <strong>MiCA</strong> (<em>Markets in Crypto-Assets</em>)، که از ۲۰۲۴-۲۰۲۵ اجرایی شده و از قبل بسیاری از پلتفرم‌ها را (Kraken از اکتبر ۲۰۲۴ و ده‌ها پلتفرم دیگر) به حذف پیشگیرانه مونرو از بازارهای اروپایی واداشته، قرار می‌گیرد.</p> <h2 id="تاریخ-مهم-جولای-۲۰۲۷">تاریخ مهم: جولای ۲۰۲۷</h2> <p>AMLR یک تاریخ قطعی برای اجرا دارد. اکثر منابع تخصصی بر تاریخ <strong>۱۰ جولای ۲۰۲۷</strong> به عنوان مهلت اجرای کامل توافق دارند. از این تاریخ، صرافی‌ها و خدمات نگهداری ارز دیجیتال (custodial) نه با حساب‌های ناشناس و نه با پرایوسی کوین‌ها می‌توانند تراکنش داشته باشند.</p> <p>تا پیش از این مهلت، مقررات از همین الان تعهدات تقویت‌شده‌ای را الزامی می‌کند:</p> <ul> <li><strong>تأیید هویت اجباری</strong> برای هر تراکنش کریپتوی موردی بیش از ۱٬۰۰۰ یورو — آستانه‌ای که به‌طور قابل توجهی نسبت به رویه‌های فعلی بسیاری از پلتفرم‌ها کاهش یافته است</li> <li><strong>کنترل‌های تقویت‌شده</strong> بر کیف‌پول‌های خودنگهداری (<em>self-custody</em>): هنگامی که کاربری وجوه را بین یک پلتفرم تنظیم‌شده و یک کیف‌پول شخصی منتقل می‌کند، CASP باید اطلاعاتی درباره مبدأ و مقصد وجوه جمع‌آوری کند و حداقل هویت دارنده کیف‌پول خارجی را تأیید کند</li> <li><strong>حذف پرداخت‌های نقدی ناشناس</strong> بیش از ۳٬۰۰۰ یورو، در همان منطق گسترش کنترل‌های هویت به تمام ابزارهای مالی ناشناس</li> </ul> <h2 id="چرا-بروکسل-مونرو-و-زیکش-را-در-پلتفرمهای-تنظیمشده-ممنوع-میکند">چرا بروکسل مونرو و زی‌کش را در پلتفرم‌های تنظیم‌شده ممنوع می‌کند</h2> <p>در <em>AML Handbook</em> خود، EUCI منطقی که زیربنای این متن است را خلاصه می‌کند: ناشناس بودن دارایی‌های کریپتو خطرات قابل توجهی از سوءاستفاده برای اهداف مجرمانه ایجاد می‌کند، زیرا ردیابی تراکنش‌ها را ناممکن می‌سازد و تشخیص فعالیت‌های مشکوک را پیچیده می‌کند.</p> <p>این دقیقاً همان استدلالی است که از قبل ژاپن، کره جنوبی، و <a href="https://arpokrat.com/fa/blog/philippines-bans-privacy-coins-monero-zcash/">اخیراً فیلیپین</a> را وادار کرده پرایوسی کوین‌ها را از پلتفرم‌های تنظیم‌شده خود حذف کنند — همسویی تدریجی حوزه‌های قضایی توسعه‌یافته با استانداردهای FATF. با رسمی کردن این ممنوعیت در مقرراتی که مستقیماً در ۲۷ کشور عضو اعمال می‌شود، اتحادیه اروپا وزن حقوقی و اثر تسری (「Brussels Effect」) بسیار بیشتری نسبت به تصمیمات ملی منزوی به این روند می‌بخشد.</p> <h2 id="آنچه-ممنوع-نیست--تمایزی-که-اهمیت-دارد">آنچه ممنوع <strong>نیست</strong> — تمایزی که اهمیت دارد</h2> <p>چندین تحلیل حقوقی بر یک نکته محوری توافق دارند: <strong>AMLR نگهداری فردی پرایوسی کوین‌ها یا انتقال همتا به همتا خارج از پلتفرم‌های تنظیم‌شده را جرم نمی‌انگارد.</strong> کیف‌پول‌های خودنگهداری به خودی خود ممنوع نیستند — آنها تنها زمانی که با پلتفرمی تابع مقررات تعامل می‌کنند مشمول کنترل‌های تقویت‌شده می‌شوند.</p> <p>آنچه AMLR می‌بندد، <strong>دسترسی‌های نهادی</strong> است: خرید، فروش، سپرده‌گذاری و برداشت پرایوسی کوین‌ها از طریق یک CASP تنظیم‌شده در اتحادیه اروپا. نگهداری خصوصی و صرافی‌های غیرمتمرکز، تا این مرحله، خارج از حوزه مستقیم ممنوعیت باقی می‌مانند — الگویی یکسان با آنچه از قبل در فیلیپین مشاهده شده.</p> <h2 id="پیامدهای-عملی-برای-دارندگان-xmr-و-zec">پیامدهای عملی برای دارندگان XMR و ZEC</h2> <p>اگر در حال حاضر پرایوسی کوین روی یک صرافی تنظیم‌شده در اتحادیه اروپا نگه می‌دارید:</p> <ul> <li><strong>تا جولای ۲۰۲۷</strong>، این پلتفرم‌ها باید پشتیبانی از این دارایی‌ها را حذف کرده یا دیگر سپرده‌های جدید مربوط به آنها را نپذیرند</li> <li><strong>انتقال به کیف‌پول‌های شخصی</strong> از همین پلتفرم‌ها مشمول تأییدهای هویت تقویت‌شده خواهد شد، حتی پیش از مهلت نهایی</li> <li><strong>هر تراکنش کریپتو بیش از ۱٬۰۰۰ یورو</strong>، چه پرایوسی کوین باشد چه نه، نیازمند شناسایی کامل خواهد بود</li> </ul> <p>منتقدان این متن، حتی در درون صنعت کریپتو، به یک خطر ساختاری اشاره می‌کنند: با بستن مدارهای تنظیم‌شده بدون ممنوعیت فنی خود دارایی‌ها، مقررات به‌طور مکانیکی دارندگان پرایوسی کوین را به سمت بازارهای کم‌شفاف‌تر و پلتفرم‌های غیرتنظیم‌شده سوق می‌دهد — دقیقاً عکس هدف ردیابی‌پذیری که بروکسل اعلام کرده است.</p> <h2 id="آمادهسازی-پیش-از-مهلت-۲۰۲۷">آماده‌سازی پیش از مهلت ۲۰۲۷</h2> <p>با افق تعیین‌شده برای ۲۰۲۷، این انتقال فوری نیست — اما از قبل آغاز شده است. پلتفرم‌ها از همین الان پیشنهادات خود را در پیش‌بینی انطباق تنظیم می‌کنند، و پنجره برای مبادله یا تجمیع موقعیت‌ها در پرایوسی کوین‌ها بدون وابستگی به زیرساخت‌های تابع این حوزه قضایی هر ماه کوچک‌تر می‌شود.</p> <p><a href="https://arpokrat.com/fa/swap">Arpokrat Swap</a> امکان مبادله مونرو، زی‌کش و تمام ارزهای دیجیتال با حریم خصوصی تقویت‌شده را بدون ثبت‌نام، بدون جمع‌آوری داده‌های هویتی و بدون وابستگی به یک CASP تنظیم‌شده تابع AMLR فراهم می‌کند. این پلتفرم هم از طریق clearnet و هم از طریق آدرس .onion ما قابل دسترسی است، و تضمین می‌کند که توانایی شما برای مبادله این دارایی‌ها به هیچ حوزه قضایی‌ای وابسته نیست که ممکن است یک‌شبه دسترسی‌ها را ببندد.</p> <hr> <p>AMLR مسیری را تأیید می‌کند که دیگر تردید چندانی در آن باقی نیست: بازارهای کریپتوی تنظیم‌شده و حریم خصوصی مالی، حوزه قضایی پس از حوزه قضایی، از نظر ساختاری ناسازگار می‌شوند. دیگر این سؤال مطرح نیست که آیا این روند در تمام اقتصادهای توسعه‌یافته همگانی خواهد شد یا نه، بلکه این است که پس از ۲۰۲۷ چه مدت زمانی باقی خواهد ماند تا بتوان دارایی‌های خصوصی را خارج از مدارهایی مبادله کرد که دیگر مجاز به لمس آنها نخواهند بود.</p> https://arpokrat.com/fa/blog/philippines-bans-privacy-coins-monero-zcash/ Wed, 17 Jun 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/philippines-bans-privacy-coins-monero-zcash/ <p>بانک مرکزی فیلیپین ضربه‌ای سنگین به ارزهای دیجیتال با حریم خصوصی تقویت‌شده وارد کرده است. این تصمیم که زیر پوشش رعایت استانداردهای بین‌المللی مبارزه با پول‌شویی اتخاذ شده، نشان‌دهنده یک پویایی نظارتی است که بسیار فراتر از این کشور می‌رود — و باید هر کسی را که دارایی‌هایی مانند مونرو یا زی‌کش در اختیار دارد یا از آن‌ها استفاده می‌کند، هوشیار کند.</p> <h2 id="بخشنامه-چه-میگوید">بخشنامه چه می‌گوید</h2> <p><strong>بانگکو سنترال نگ پیلیپیناس</strong> (BSP)، بانک مرکزی این کشور، <strong>بخشنامه M-2026-023</strong> را که توسط معاون فرماندار لین خاویر امضا شده، تصویب کرده است. این متن به تمام ارائه‌دهندگان خدمات دارایی مجازی (VASP) دارای مجوز دستور می‌دهد که فهرست‌کردن و پشتیبانی از «دارایی‌های مجازی با ماهیت ناشناس‌ساز» را متوقف کنند. بخشنامه هیچ توکنی را به‌صراحت نام نمی‌برد، اما دسته‌بندی مورد نظر به‌روشنی مونرو، زی‌کش و دش را پوشش می‌دهد — ارزهای دیجیتالی که برای دشوار یا غیرممکن کردن ردیابی تراکنش‌ها طراحی شده‌اند.</p> <p>این اقدام <strong>فوری</strong> به اجرا درآمده و هیچ دوره انتقالی پیش‌بینی نشده است. فراتر از حذف ساده این دارایی‌ها از پلتفرم‌ها، VASPها اکنون باید هر توکن فهرست‌شده را بر اساس شش محور انطباق ارزیابی کنند: اعتبار ناشر، بلوغ بازار، موارد استفاده، شفافیت و امنیت، نقدینگی و ذخایر، و انطباق قانونی. همچنین باید آستانه‌های داخلی تعریف کنند که به‌طور خودکار توقف معامله یک دارایی را در صورت عدم برآورده شدن این معیارها فعال کنند.</p> <h2 id="آنچه-عملا-تغییر-میکند">آنچه عملاً تغییر می‌کند</h2> <p>این بخشنامه نگه‌داشتن خصوصی مونرو یا زی‌کش، یا انتقال‌های همتا-به-همتا که خارج از پلتفرم‌های دارای مجوز انجام می‌شوند، را جرم‌انگاری نمی‌کند. آنچه از بین می‌رود، دسترسی نهادی است: درگاه‌های ورودی و خروجی دارای مجوز (خرید، فروش، واریز، برداشت از یک پلتفرم دارای مجوز) دیگر نمی‌توانند این دارایی‌ها را پردازش کنند.</p> <p>به‌طور عملی، اگر privacy coins خود را در یک پلتفرم فیلیپینی تحت مجوز BSP نگه می‌داشتید — از جمله Coins.ph/Betur، Maya Philippines، PDAX، GoTyme Bank یا UnionBank — باید آن‌ها را به کیف پول شخصی انتقال دهید یا پیش از آنکه پلتفرم مجبور به حذف آن‌ها شود، تبدیل کنید.</p> <p>با بیش از ۱۶ میلیون کاربر ارزهای دیجیتال در این کشور، تأثیر این تصمیم در مقیاس بزرگی بر بازار داخلی محسوس خواهد بود، هرچند اثر آن بر قیمت جهانی XMR یا ZEC باید محدود بماند — چرا که فیلیپین تنها بخش اندکی از نقدینگی جهانی این دارایی‌ها را تشکیل می‌دهد.</p> <h2 id="همسویی-با-fatf-توجیه-جهانشمول">همسویی با FATF، توجیه جهان‌شمول</h2> <p>BSP تصمیم خود را با همسویی صریح با استانداردهای <strong>FATF</strong> (گروه ویژه اقدام مالی)، نهاد بین‌المللی تعیین‌کننده قوانین مبارزه با پول‌شویی و تأمین مالی تروریسم، توجیه می‌کند. حفظ رابطه خوب با FATF برای اکثر بانک‌های مرکزی اختیاری نیست — رتبه‌بندی نامناسب می‌تواند دسترسی یک کشور به مدارهای مالی بین‌المللی را تحت تأثیر قرار دهد.</p> <p>این دقیقاً همان توجیهی است که در سال‌های اخیر اتحادیه اروپا، ژاپن و کره جنوبی را نیز به حذف تدریجی privacy coins از پلتفرم‌های دارای مجوز خود سوق داده است. بنابراین تصمیم فیلیپین یک مورد منفرد نیست: این تأییدی است بر یک استاندارد واقعی که در حال همه‌گیر شدن است — اگر یک حوزه قضایی بخواهد یک بازار رمزارز به‌رسمیت شناخته‌شده در سطح بین‌المللی اداره کند، دارایی‌های با حریم خصوصی تقویت‌شده دیگر جایگاهی در آن نخواهند داشت.</p> <h2 id="تنشی-که-کسی-واقعا-حل-نمیکند">تنشی که کسی واقعاً حل نمی‌کند</h2> <p>این نکته قابل تأمل است که حتی بازیگرانی که از این تصمیم حمایت می‌کنند، مشروعیت کاربردی را که این تصمیم در پی محدود کردن آن است، به رسمیت می‌شناسند. مسئول رمزارز GCash، یکی از بزرگ‌ترین فین‌تک‌های کشور، صراحتاً اذعان کرد که مونرو و زی‌کش «به دلایل مشروع وجود دارند» و حریم خصوصی «یک ارزش بنیادین رمزارز است: توانایی انجام تراکنش بدون نظارت». با این حال او از این اقدام حمایت کرد و معتقد بود که فیلیپین — کشوری با وابستگی شدید به جریان‌های حواله — نمی‌تواند به‌عنوان یک زیرساخت مالی مورد اعتماد جایگاه‌سازی کند و در همان حال اجازه گردش آزادانه دارایی‌های ناشناس‌ساز را بدهد.</p> <p>این تنش حل نشده، بلکه صرفاً به نفع منطق نظارتی تصمیم گرفته شده است: حجم حواله‌ها و اعتبار بین‌المللی هر بار که این موازنه مطرح می‌شود، سنگین‌تر از استدلال حریم خصوصی مشروع هستند.</p> <h2 id="گام-منطقی-بعدی-مهاجرت-به-خودنگهداری">گام منطقی بعدی: مهاجرت به خودنگهداری</h2> <p>الگویی که از یک حوزه قضایی به دیگری تکرار می‌شود، اکنون قابل خواندن است. این الگو تقریباً همیشه یکسان است: حریم خصوصی مالی در سطح فردی قانونی می‌ماند، اما به‌تدریج اعمال آن از طریق مدارهای نهادی غیرممکن می‌شود. خودنگهداری (self-custody) هنوز هدف قرار نگرفته — اما هر حوزه قضایی جدیدی که این مدل را دنبال می‌کند، فضایی را که این دارایی‌ها می‌توانند بدون قفل نظارتی در آن گردش کنند، کمی بیشتر کاهش می‌دهد.</p> <p>ما در <a href="https://arpokrat.com/fa/blog/anonymous-blockchains-privacy-coins-explained/">راهنمای جامع بلاکچین‌های ناشناس</a> عملکرد فنی این بلاکچین‌ها و دلایلی که آن‌ها را به هدف محبوب تنظیم‌گران تبدیل کرده به‌تفصیل شرح داده‌ایم — ring signatures، zk-SNARKs و محدودیت‌های واقعی این فناوری‌ها.</p> <h2 id="تبادل-خارج-از-مدارهایی-که-در-حال-بسته-شدن-هستند">تبادل خارج از مدارهایی که در حال بسته شدن هستند</h2> <p>با خروج یکی پس از دیگری از صرافی‌های دارای مجوز از بازار privacy coins، نقش زیرساخت‌های غیرامانی و بدون جمع‌آوری داده برای هر کسی که می‌خواهد از این دارایی‌ها بدون وابستگی به یک VASP تحت حوزه قضایی که ممکن است یک‌شبه سیاستش را تغییر دهد استفاده کند، محوری می‌شود.</p> <p><a href="https://arpokrat.com/fa/swap">Arpokrat Swap</a> امکان تبادل مونرو، زی‌کش و تمام ارزهای دیجیتال با حریم خصوصی تقویت‌شده را بدون ثبت‌نام، بدون جمع‌آوری لاگ‌های IP و بدون کوکی فراهم می‌کند — چه از طریق clearnet به پلتفرم دسترسی داشته باشید چه از طریق آدرس .onion ما. هیچ حوزه قضایی نمی‌تواند آنچه را که هرگز جمع‌آوری نمی‌کنیم، حذف کند.</p> <hr> <p>این تصمیم فیلیپین احتمالاً آخرین مورد از این نوع در سال جاری نخواهد بود. دیگر این سؤال مطرح نیست که آیا کشورهای دیگری همین مسیر را دنبال خواهند کرد — سابقه اخیر نشان می‌دهد که پاسخ مثبت است — بلکه این سؤال مطرح است که چقدر زمان باقی مانده تا دسترسی نهادی به privacy coins استثنا باشد نه قاعده.</p> https://arpokrat.com/fa/blog/ipa-osa-backdoors/ Wed, 10 Jun 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/ipa-osa-backdoors/ <p>لندن به کانون نبردی جهانی برای آینده حریم خصوصی دیجیتال تبدیل شده است. با تصویب <em>قانون ایمنی آنلاین</em> ۲۰۲۳ (OSA) و پیشنهادهای اخیر برای بازنگری در <em>قانون اختیارات تحقیقاتی</em> (IPA) — که توسط منتقدانش «منشور جاسوسان» نامیده می‌شود —، دولت بریتانیا حق تحمیل تعهدات نظارتی را در قلب ارتباطات خصوصی برای خود قائل است. نقطه شکست، قدرتی است که به نهاد نظارتی OFCOM داده شده است تا از پلتفرم‌ها بخواهد «فناوری معتبر» را برای شناسایی محتوای سوءاستفاده جنسی از کودکان (CSEA) یا تروریسم، از جمله در <a href="https://arpokrat.com/fa/messenger">ارتباطات رمزگذاری شده سرتاسر (End-to-End)</a> ، مستقر کنند.</p> <p>برای پلتفرم‌های دیجیتال بزرگ، پیام وست مینستر واضح است: یا دسترسی دولت به زیرساخت‌های خود را تسهیل می‌کنند، یا با جریمه‌هایی تا سقف ۱۰ درصد از درآمد جهانی خود مواجه می‌شوند. واکنش فوری بود: خدماتی مانند سیگنال (Signal) و واتس‌اپ (WhatsApp) علناً تهدید کردند که از بازار بریتانیا خارج خواهند شد و از به خطر انداختن امنیت کاربران خود برای جلب رضایت یک حوزه قضایی واحد امتناع ورزیدند. بحث فنی به سختی قابل انکار است: هیچ شاه‌کلیدی وجود ندارد که منحصراً برای بازیگران قانونی محفوظ باشد. در باز برای مجریان قانون، بنا به طراحی، یک در باز برای مجرمان سایبری و سرویس‌های اطلاعاتی خارجی است.</p> <h2 id="مدل-کسبوکار-پلتفرمهای-بزرگ-یک-مانع-ساختاری-برای-دانش-صفر-zero-knowledge">مدل کسب‌وکار پلتفرم‌های بزرگ: یک مانع ساختاری برای دانش صفر (Zero-Knowledge)</h2> <p>مقاومت پلتفرم‌های بزرگ در برابر اتخاذ رمزنگاری نوع دانش صفر با ناتوانی فنی توضیح داده نمی‌شود، بلکه با یک ناسازگاری اساسی اقتصادی توضیح داده می‌شود. شرکت‌هایی مانند آلفابت (Alphabet) و متا (Meta) بر مدل‌های درآمدزایی مبتنی بر جمع‌آوری سیستماتیک داده‌های رفتاری تکیه دارند. این مدل اتفاقاً به طور ضمنی توسط قانون بازارهای دیجیتال (DMA) اتحادیه اروپا به رسمیت شناخته شده است، که این «دروازه‌بانان» (gatekeepers) را به عنوان نهادهایی طبقه‌بندی می‌کند که موقعیت مسلط آنها دقیقاً از طریق انباشت داده‌ها در مقیاسی بی‌نظیر تغذیه می‌شود. برای این بازیگران، اتخاذ یک معماری دانش صفر به معنای محروم کردن سیستم‌های تبلیغاتی آنها از شناسایی مداوم کاربرانی است که سوخت آن را تشکیل می‌دهد. بنابراین این یک انتخاب فنی نیست، بلکه یک مبادله بین حریم خصوصی کاربران و دوام مدل کسب‌وکار آنها است.</p> <h2 id="خطر-استراتژیک-تهدید-اکنون-برداشت-کن-بعدا-رمزگشایی-کن-harvest-now-decrypt-later">خطر استراتژیک: تهدید «اکنون برداشت کن، بعداً رمزگشایی کن» (Harvest Now, Decrypt Later)</h2> <p>فراتر از بحث در مورد حریم خصوصی، تضعیف رمزنگاری مسئله‌ای در حوزه امنیت ملی با دامنه‌ای کاملاً متفاوت را مطرح می‌کند. استراتژی معروف به <a href="https://arpokrat.com/fa/blog/harvest-now-decrypt-later-hndl-zero-knowledge/"><em>Harvest Now, Decrypt Later</em> (HNDL)</a> شامل این است که دشمنان دولتی امروز حجم عظیمی از ارتباطات رمزگذاری شده را در انتظار قابلیت‌های رمزگشایی کوانتومی آینده، رهگیری و ذخیره کنند. با تضعیف استانداردهای رمزنگاری فعلی، چارچوب قانونی بریتانیا از نظر عینی این نوع عملیات را علیه ارتباطات دولتی، دیپلماتیک یا صنعتی تسهیل می‌کند.</p> <p>دقیقاً در همین زمینهِ کمبود اعتماد است که اکوسیستم‌هایی مانند آرپوکرات (Arpokrat) اهمیت عملیاتی پیدا می‌کنند. با فعالیت تحت رژیم قانون فدرال حفاظت از داده‌های سوئیس (FADP)، با معماری که هیچ شناسه مدنی را جمع‌آوری نمی‌کند، آرپوکرات یک گسست فنی از زیرساخت‌های مشمول حوزه قضایی بریتانیا ارائه می‌دهد — و تضمین می‌کند که سیستم در برابر احکام پیش‌بینی شده توسط قانون OSA ناشنوا باقی می‌ماند.</p> <h2 id="تضاد-هنجارها-osa-و-ipa-در-برابر-حقوق-اروپا">تضاد هنجارها: OSA و IPA در برابر حقوق اروپا</h2> <p>تحلیل حقوقی امتیازات جدید دولتی بریتانیا، برخورد مستقیمی را با مبانی حقوق اروپا در مورد حفاظت از داده‌ها و محرمانگی ارتباطات آشکار می‌کند.</p> <h3 id="قانون-osa-در-برابر-ممنوعیت-نظارت-تعمیم-یافته">قانون OSA در برابر ممنوعیت نظارت تعمیم یافته</h3> <p>ماده ۱۲۱ قانون OSA این امکان را برای OFCOM معرفی می‌کند که احکامی صادر کند که پلتفرم‌ها را مجبور به اجرای اسکن سمت کاربر (<em>client-side scanning</em>) می‌کند. این اقدام مستقیماً با اصلی که از حقوق اروپا نشأت گرفته و در رویه قضایی دیوان دادگستری اتحادیه اروپا (CJEU) گنجانده شده است و تعهدات نظارت عمومی را ممنوع می‌کند، در تضاد است. با تحمیل یک «آسیب‌پذیری از طریق طراحی» (vulnerability by design)، این امر شرکت‌ها را در یک وضعیت بن‌بست مضاعف نیز قرار می‌دهد: با تضعیف امنیت خود برای تبعیت از یک دستور دولتی، آنها در تعهد خود برای تضمین سطح امنیتی متناسب با پردازش، همانطور که در ماده ۳۲ قانون GDPR تصریح شده است، کوتاهی می‌کنند.</p> <h3 id="دستورالعمل-حریم-خصوصی-الکترونیک-eprivacy-و-محرمانگی-ارتباطات">دستورالعمل حریم خصوصی الکترونیک (ePrivacy) و محرمانگی ارتباطات</h3> <p>اسکن پیام‌های خصوصی در تضاد مستقیم با ماده ۵، بند ۱ از دستورالعمل 2002/58/EC (<em>ePrivacy</em>) است، که کشورهای عضو را موظف می‌کند محرمانگی ارتباطات الکترونیکی را تضمین کنند و هرگونه شکل رهگیری یا نظارت را بدون رضایت صریح کاربرانِ ذی‌نفع ممنوع می‌کند.</p> <h3 id="اطلاعیههای-قابلیت-فنی-technical-capability-notices-و-مسدود-کردن-بهروزرسانیهای-امنیتی">اطلاعیه‌های قابلیت فنی (Technical Capability Notices) و مسدود کردن به‌روزرسانی‌های امنیتی</h3> <p>تحت رژیم IPA ۲۰۱۶، دولت بریتانیا اکنون در نظر دارد از <em>اطلاعیه‌های قابلیت فنی</em> (TCN) برای مخالفت با به‌روزرسانی‌های امنیتی قبل از استقرار آنها استفاده کند. این مکانیسم تضادی لاینحل با تعهدی ایجاد می‌کند که توسط ماده ۳۲ قانون GDPR تعیین شده است تا از امنیت مداوم سیستم‌های پردازش اطمینان حاصل شود — تعهدی که دقیقاً نیازمند توانایی اعمال اصلاحیه‌ها (patches) بدون تأخیر یا مداخله خارجی است.</p> <h2 id="خطرات-انطباق-compliance-برای-شرکتهای-فعال-در-اروپا">خطرات انطباق (Compliance) برای شرکت‌های فعال در اروپا</h2> <p>بازنگری‌های قانون IPA با هدف مجبور کردن شرکت‌ها به اطلاع‌رسانی به دولت بریتانیا در مورد هرگونه تغییر فنی مؤثر بر امنیت، قبل از اجرای آن است، و در نتیجه حق وتو در مورد توسعه محصول را به آن اعطا می‌کند. این مداخله ناامنی حقوقی قابل توجهی را برای تأمین‌کنندگان فعال در بازار اروپا ایجاد می‌کند: کفایت بریتانیا نسبت به حقوق اروپا — که از قبل شکننده بود — می‌تواند مورد تردید قرار گیرد اگر بریتانیا دیگر حفاظتی اساساً معادل با حفاظت GDPR را تضمین نکند. بنابراین، انتقال داده‌ها به بریتانیا تحت این چارچوب جدید احتمالاً شرکت‌ها را در معرض مجازات‌های تحت GDPR قرار می‌دهد.</p> <h2 id="دفاع-از-طریق-عدم-امکان-فنی-اصل-دانش-صفر-به-عنوان-یک-سپر-حقوقی">دفاع از طریق عدم امکان فنی: اصل دانش صفر به عنوان یک سپر حقوقی</h2> <p>رویه قضایی بین‌المللی، که با احکام <em>Schrems I</em> و <em>Schrems II</em> از دیوان دادگستری اتحادیه اروپا (CJEU) تثبیت شده است، یک اصل تعیین‌کننده را پایه‌گذاری کرده است: تنها پادمان قوی در برابر نظارت نامتناسب، عدم امکان فنی دسترسی به آن است. معماری‌های دانش صفر (Zero-Knowledge) این اصل را در سه لایه محافظتی اعمال می‌کنند:</p> <ol> <li><strong>فقدان حضانت:</strong> از آنجا که پلتفرم کلیدهای رمزگشایی را در اختیار ندارد، هرگونه حکم برای اسکن پیام‌ها از نظر فنی غیرقابل اجرا است؛</li> <li><strong>حاکمیت سیستم عامل:</strong> کنترل <a href="https://arpokrat.com/fa/os">ArpokratOS</a> تله‌متری که جمع‌آوری اطلاعات در سطح دستگاه را تغذیه می‌کند، از بین می‌برد؛</li> <li><strong>لنگرگاه قضایی سوئیس:</strong> آرپوکرات با میزبانی زیرساخت‌های خود در سوئیس، تحت یک رژیم قانونی عمل می‌کند که نیازمند درخواست‌های معاضدت قضایی متقابلِ فردی و مستدل است، و اجرای خودکار اسکن‌های انبوه پیش‌بینی شده توسط OSA را خنثی می‌کند.</li> </ol> <h2 id="نتیجهگیری">نتیجه‌گیری</h2> <p>مفاد قانون OSA و بازنگری‌های قانون IPA تنها تهدیدی برای حریم خصوصی افراد نیستند: آنها نشان‌دهنده نقض قطعیت حقوقی برای تمام داده‌های اروپایی هستند که از طریق زیرساخت‌های مشمول حوزه قضایی بریتانیا عبور می‌کنند. با مشروعیت بخشیدن به تضعیف رمزنگاری به نام امنیت عمومی، لندن به طور متناقضی متحدان و شرکای تجاری خود را در معرض خطرات جاسوسی صنعتی و دولتی قرار می‌دهد که معماری‌های دانش صفر دقیقاً برای جلوگیری از آنها طراحی شده‌اند.</p> <p>یکپارچگی ارتباطات حرفه‌ای و نهادی اکنون نیازمند یک پاسخ ساختاری است: مهاجرت به سمت اکوسیستم‌های غیرمتمرکز که حاکمیت دیجیتال را از سطح کد تا لنگرگاه قضایی تضمین می‌کنند.</p> https://arpokrat.com/fa/blog/canary-warrant-explained/ Mon, 01 Jun 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/canary-warrant-explained/ <p>در اعماق معادن زغال سنگ قرن نوزدهم، معدنچیان قناری‌های در قفس را با خود می‌بردند. این پرندگان کوچک، که به شدت به گازهای سمی مانند مونوکسید کربن حساس بودند، مدت‌ها قبل از اینکه معدنچیان متوجه خطر شوند می‌مردند. آنها به این ترتیب به عنوان یک سیستم هشدار اولیه خاموش، اما بسیار موثر عمل می‌کردند.</p> <p>در دنیای دیجیتال مدرن ما، این پرنده در قالب <strong>« Warrant Canary »</strong> دوباره زنده شده است.</p> <h2 id="warrant-canary-چیست">Warrant Canary چیست؟</h2> <p>این یک بیانیه عمومی است که به طور منظم توسط یک ارائه‌دهنده خدمات (پیام‌رسان، VPN، هاستینگ) منتشر و به‌روز می‌شود و تایید می‌کند که تا آن تاریخ دقیق، هیچ درخواست حقوقی مخفیانه‌ای دریافت نکرده است که آنها را مجبور به افشای داده‌های کاربران کند — مانند <em>National Security Letter (NSL)</em> آمریکا یا دستوری صادر شده توسط دادگاه FISA.</p> <p>ظرافت — و اهمیت — قناری در اتفاقی است که هنگام ناپدید شدن آن رخ می‌دهد.</p> <blockquote> <p>اگر سرویسی که هر ماه اعلام می‌کرد <em>&ldquo;ما هیچ دستور مخفیانه‌ای دریافت نکرده‌ایم&rdquo;</em> ناگهان به‌روزرسانی آن را متوقف کند، کاربر آگاه متوجه حقیقت آشکار می‌شود: <strong>قناری مرده است</strong>.</p> </blockquote> <p>این شرکت مورد هدف یک اقدام نظارتی همراه با <strong>حکم عدم افشا</strong> (<em>gag order</em>) قرار گرفته است که از نظر قانونی آن را از افشای وجود این درخواست منع می‌کند. از آنجا که نمی‌توانند بگویند که اطلاعات به خطر افتاده است، به سادگی از گفتن اینکه در امان هستند دست می‌کشند.</p> <h2 id="دوران-نظارت-نامرئی-و-دور-زدن-سکوت">دوران نظارت نامرئی و دور زدن سکوت</h2> <p>در زمانی که قوانین فراسرزمینی مانند <strong>CLOUD Act</strong> و <strong>FISA</strong> به دولت ایالات متحده اجازه می‌دهند بدون اطلاع دادن به اهداف، به داده‌های میزبانی شده توسط شرکت‌ها دسترسی پیدا کنند، Warrant Canary یکی از معدود مکانیسم‌هایی است که این سکوت اجباری را دور می‌زند.</p> <p>با قانون CLOUD Act، مانع جغرافیایی دیگر وجود ندارد: اگر داده‌ها تحت &ldquo;کنترل&rdquo; یک شرکت آمریکایی باشد، دولت ایالات متحده حق دسترسی به آن را ادعا می‌کند، حتی اگر این سرورها از نظر فیزیکی در اروپا واقع شده باشند. سپس قناری به آخرین سیگنال هشدار قبل از قربانی شدن خاموش حاکمیت دیجیتال کاربر تبدیل می‌شود.</p> <p>به همین دلیل است که بازیگران اصلی در حوزه <em>Privacy</em> این ابزار را به عنوان یک استاندارد شفافیت پذیرفته‌اند:</p> <ul> <li><strong><a href="https://proton.me/legal/transparency">Proton</a> </strong>: سرویس پیام‌رسان و ایمیل سوئیسی یک گزارش شفافیت شامل یک قناری سخت‌گیرانه منتشر می‌کند.</li> <li><strong><a href="https://riseup.net/en/canary">Riseup</a> </strong>: مجموعه ارتباطات امن برای فعالان، یکی از معروف‌ترین قناری‌ها را در وب حفظ می‌کند.</li> <li><strong><a href="https://arpokrat.com/fa/canary">Arpokrat</a> </strong>: اکوسیستم خود ما یک Warrant Canary عمومی و به‌روز شده با رمزنگاری را برای تضمین شفافیت مطلق برای جامعه خود حفظ می‌کند.</li> </ul> <h2 id="تحلیل-حقوقی-حق-دروغ-نگفتن">تحلیل حقوقی: حق دروغ نگفتن</h2> <p>وجود قناری به خودی خود بر یکی از جذاب‌ترین ارکان حقوق اساسی استوار است: دکترین <em>compelled speech</em> (سخن اجباری) و تضاد آن با پنهان‌کاری قضایی.</p> <p>مبنای قانونی بر یک اصل ساده استوار است: <strong>اگر دولت قدرت اعمال سکوت بر شما را دارد (از طریق حکم عدم افشا)، قدرت قانون اساسی برای مجبور کردن شما به دروغ گفتن را ندارد.</strong></p> <p>بر اساس اصلاحیه اول قانون اساسی ایالات متحده (و اصول مشابه در اروپا)، دولت نمی‌تواند شرکتی را مجبور به ارائه یک بیانیه نادرست کند. بنابراین، هنگامی که یک شرکت قناری خود را حذف می‌کند، دستور سکوت را نقض نمی‌کند — زیرا به صراحت اعلام نمی‌کند که حکمی دریافت کرده است. بلکه صرفاً از حق اساسی خود برای توقف ارائه بیانیه‌ای که دیگر صحت ندارد استفاده می‌کند.</p> <h3 id="درگیری-با-قوانین-اروپا">درگیری با قوانین اروپا</h3> <p>ارتباط قناری امروزه با <strong>ماده 32 قانون داده (مقررات اتحادیه اروپا 2023/2854)</strong> تقویت شده است. این ماده ارائه‌دهندگان را ملزم می‌کند تا اقدامات فنی و قانونی را برای جلوگیری از دسترسی مقامات کشورهای ثالث به داده‌ها، در صورت مغایرت با قوانین اروپا، اجرا کنند. مرگ قناری فوراً نشان‌دهنده این تضاد قوانین است: ارائه‌دهنده احتمالاً مجبور به دور زدن تضمین‌های اروپایی برای برآورده کردن یک دستور خارجی است.</p> <h2 id="رویکرد-arpokrat-حاکمیت-از-طریق-طراحی">رویکرد Arpokrat: حاکمیت از طریق طراحی</h2> <p>در اکوسیستم <strong>Arpokrat</strong>، که تحت صلاحیت قانون حفاظت از داده‌های سوئیس (FADP) عمل می‌کند، قناری بعد قدرتمندتری به خود می‌گیرد. این بخشی از یک رویکرد جامع به حاکمیت دیجیتال است: <em>Zero-Knowledge</em> (دانش صفر).</p> <p>معماری به گونه‌ای طراحی شده است که شرکت اطاعت از یک دستور را از نظر <strong>فنی و ریاضی غیرممکن</strong> می‌سازد. دولت یا آژانس اطلاعاتی می‌تواند هر دستوری که می‌خواهد صادر کند، پاسخ یکسان باقی خواهد ماند: هیچ کلید خصوصی، هیچ هویتی (Zero-ID) و هیچ فراداده متمرکزی برای تحویل دادن وجود ندارد.</p> <p>در این زمینه، قناری دیگر فقط یک هشدار در مورد سازش نیست. این اثبات عمومی مداوم است که زیرساخت از نظر فنی غیرقابل نفوذ و به اصول خود وفادار مانده است.</p> <h2 id="نتیجهگیری">نتیجه‌گیری</h2> <p>در نهایت، Warrant Canary قطعه‌ای از <strong>چابکی حقوقی</strong> است که چابکی رمزنگاری لازم برای رویارویی با افق تهدیدات مدرن (مانند محاسبات پسا کوانتومی) را تکمیل می‌کند. در زیرساختی که داده‌ها ذاتاً حاکم هستند، قناری فقط یک پرنده ساده در معدن نیست: بلکه نگهبان خاموش قلعه دیجیتال شماست.</p> https://arpokrat.com/fa/blog/utiq-supercookie-telecom-privacy/ Mon, 01 Jun 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/utiq-supercookie-telecom-privacy/ <p>پایان برنامه‌ریزی شده کوکی‌های شخص ثالث در مرورگرهای وب، یک مسابقه تسلیحاتی واقعی را در صنعت تبلیغات هدفمند به راه انداخته است. در حالی که گوگل در تلاش است استانداردهای خود را (مانند Privacy Sandbox) تحمیل کند، یک بازیگر غیرمنتظره دیگر تصمیم گرفته است تا تکه‌ای از این کیک را به دست آورد: <strong>ارائه‌دهنده خدمات اینترنت (ISP) شما</strong>.</p> <p>اینگونه بود که <strong>Utiq</strong> (که قبلاً با نام پروژه <em>TrustPid</em> شناخته می‌شد) متولد شد، یک سرمایه‌گذاری مشترک که توسط غول‌های مخابراتی اروپا تأسیس شد. یوتیک که به عنوان یک راه‌حل &ldquo;شفاف و محترمانه&rdquo; به عموم فروخته می‌شود، در واقع همان چیزی است که کارشناسان امنیت سایبری بیشتر از آن می‌ترسند: یک &ldquo;سوپر کوکی&rdquo; که در سطح شبکه عمل می‌کند.</p> <h2 id="یوتیک-چیست-و-چگونه-کار-میکند">یوتیک چیست و چگونه کار می‌کند؟</h2> <p>به طور سنتی، ردیابی تبلیغات (کوکی‌ها) توسط مرورگر وب شما (<a href="https://www.google.com/chrome/">Chrome</a> ، <a href="https://www.mozilla.org/firefox/">Firefox</a> ، <a href="https://www.apple.com/safari/">Safari</a> ) مدیریت می‌شود. شما می‌توانستید آن را با استفاده از افزونه‌ها (مانند <a href="https://ublockorigin.com/">uBlock Origin</a> ) یا یک مرورگر متمرکز بر حریم خصوصی (مانند <a href="https://brave.com/">Brave</a> ) مسدود کنید.</p> <p><strong>یوتیک مشکل را یک قدم به عقب می‌برد: به سطح اتصال شبکه شما.</strong></p> <p>در اینجا نحوه بسته شدن تله آمده است:</p> <ol> <li><strong>رهگیری شبکه:</strong> هنگامی که از طریق اتصال تلفن همراه خود (4G/5G) یا جعبه فیبر خود در اینترنت مرور می‌کنید، یوتیک از آدرس IP و داده‌های اشتراک مخابراتی شما برای شناسایی شما استفاده می‌کند.</li> <li><strong>رضایت (انتخاب نادرست):</strong> با ورود به یک سایت شریک، یک پنجره پاپ‌آپ از شما می‌خواهد که یوتیک را بپذیرید. با خستگی ناشی از بنرهای کوکی (<em>Consent Fatigue</em>)، میلیون‌ها کاربر بدون خواندن روی &ldquo;پذیرش&rdquo; کلیک می‌کنند.</li> <li><strong>&ldquo;Network Signal&rdquo; (سیگنال شبکه):</strong> پس از رضایت، یوتیک مستقیماً با اپراتور مخابراتی شما تماس می‌گیرد. این اپراتور یک توکن شناسایی منحصر به فرد و نام مستعار (سیگنال شبکه) تولید می‌کند که آن را به تبلیغ‌کنندگان منتقل می‌کند.</li> </ol> <p>شما اکنون از سایتی به سایت دیگر قابل ردیابی هستید، نه با فایلی که در رایانه شما ذخیره شده است، بلکه توسط <strong>همان زیرساختی که اینترنت را در اختیار شما قرار می‌دهد</strong>.</p> <h2 id="چرا-یوتیک-یک-کابوس-برای-حریم-خصوصی-است-opsec">چرا یوتیک یک کابوس برای حریم خصوصی است (OPSEC)</h2> <p>این ابتکار مشکلات جدی برای حاکمیت دیجیتال و محرمانه بودن داده‌های شما ایجاد می‌کند:</p> <ul> <li><strong>ردیابی در منبع:</strong> برخلاف کوکی‌های کلاسیک، نمی‌توانید برای خلاص شدن از شر یوتیک، به سادگی &ldquo;تاریخچه خود را پاک کنید&rdquo; یا &ldquo;حافظه پنهان خود را خالی کنید&rdquo;. توکن شناسایی توسط ISP شما تولید می‌شود.</li> <li><strong>تمرکز پروفایل‌ها:</strong> اپراتورهای مخابراتی از قبل نام، آدرس فیزیکی، جزئیات بانکی و موقعیت مکانی شما را در زمان واقعی می‌دانند. با پیوند دادن تاریخچه مرور وب شما از طریق یوتیک به این اطلاعات، آنها یک پروفایل رفتاری با دقت دلهره‌آور ایجاد می‌کنند.</li> <li><strong>نقص نام مستعار:</strong> یوتیک با به اشتراک نگذاشتن نام شما در متن ساده از خود دفاع می‌کند و ادعا می‌کند که از توکن‌های &ldquo;رمزنگاری شده&rdquo; استفاده می‌کند. با این حال، در دنیای امنیت سایبری، ثابت شده است که نام مستعار برگشت‌پذیر است. تقاطع این توکن‌ها با پایگاه‌های داده دیگر، امکان شناسایی مجدد افراد را به راحتی فراهم می‌کند.</li> </ul> <h2 id="کدام-اپراتورها-از-یوتیک-استفاده-میکنند">کدام اپراتورها از یوتیک استفاده می‌کنند؟</h2> <p>یوتیک توسط اتحادی از چهار اپراتور بزرگ اروپایی تأسیس شد. اگر مشتری یکی از آنها (یا یکی از شرکت‌های تابعه ارزان قیمت آنها) هستید، اتصال شما احتمالاً از قبل با این ردیابی &ldquo;سازگار&rdquo; است.</p> <p>در اینجا بنیانگذاران و پیوندهایی به سیاست‌های حفظ حریم خصوصی مربوطه آنها آمده است:</p> <ul> <li><strong><a href="https://www.orange.fr/portail/politique-de-confidentialite">Orange</a> </strong> (فرانسه، اسپانیا، لهستان، و غیره)</li> <li><strong><a href="https://www.vodafone.com/privacy-center">Vodafone</a> </strong> (آلمان، اسپانیا، بریتانیا، و غیره)</li> <li><strong><a href="https://www.telefonica.com/en/privacy-policy/">Telefónica / O2 / Movistar</a> </strong> (اسپانیا، آلمان، و غیره)</li> <li><strong><a href="https://www.telekom.com/en/company/data-privacy-and-security">Deutsche Telekom</a> </strong> (آلمان، اروپای مرکزی)</li> </ul> <blockquote> <p><strong>نکته OPSEC:</strong> اگرچه یوتیک یک پورتال مدیریت رضایت متمرکز (<a href="https://consenthub.utiq.com/">consenthub.utiq.com</a> ) را برای لغو دسترسی ارائه می‌دهد، اما بهترین دفاع همچنان فناوری است.</p> </blockquote> <h2 id="رویکرد-zero-trust-برای-مقابله-با-یوتیک">رویکرد Zero-Trust برای مقابله با یوتیک</h2> <p>فلسفه حاکمیت دیجیتال که توسط اکوسیستم‌هایی مانند <strong>Arpokrat</strong> هدایت می‌شود، بر یک اصل ساده استوار است: هرگز به زیرساخت شبکه اعتماد نکنید.</p> <p>برای خنثی کردن فنی سیستم‌هایی مانند یوتیک، راه‌حل این است که ترافیک خود را از ارائه‌دهنده اینترنت خود پنهان کنید:</p> <ol> <li><strong>استفاده از یک VPN حاکم:</strong> با رمزگذاری ترافیک خود به محض خروج از دستگاه، ISP شما فقط یک جریان غیرقابل خواندن از داده‌های هدایت شده به سمت سرور VPN را می‌بیند. دیگر نمی‌تواند توکن‌های یوتیک را تزریق یا بخواند.</li> <li><strong>شبکه Tor (<a href="https://orbot.app/">Orbot</a> ):</strong> مسیریابی پیازی از هرگونه شناسایی انتها به انتها جلوگیری می‌کند.</li> <li><strong>رمزگذاری DNS (DoH/DoT):</strong> از اینکه اپراتور شما بداند چه وب‌سایت‌هایی را برای بازدید درخواست می‌کنید، جلوگیری می‌کند.</li> </ol> <p>به طور خلاصه، یوتیک اثبات این است که ارائه‌دهندگان خدمات اینترنت دیگر به بودن &ldquo;لوله&rdquo; راضی نیستند. آنها می‌خواهند به دلالان داده تبدیل شوند. بیش از هر زمان دیگری، رمزگذاری ترافیک شما دیگر یک گزینه امنیتی نیست، بلکه یک ضرورت مطلق برای حفظ سکوت دیجیتال شماست.</p> https://arpokrat.com/fa/blog/illusion-of-sovereignty-cloud-act-fisa/ Thu, 21 May 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/illusion-of-sovereignty-cloud-act-fisa/ <p>این اعلامیه مانند یک «فریاد استقلال» واقعی در راهروهای پاریس طنین‌انداز شد: نخست‌وزیر دستور داد دولت استفاده از WhatsApp و Signal را کنار بگذارد و به Olvid، یک برنامه پیام‌رسان که به عنوان «بومی» معرفی شده، روی بیاورد. هدف اعلام شده روشن بود: محافظت از اسرار دولتی در برابر دسترسی آژانس‌های اطلاعاتی خارجی.</p> <p>با این حال، یک طنز تلخ به سرعت آشکار شد: قلب Olvid — یعنی زیرساخت سرورهای آن — در درون خدمات وب آمازون (AWS)، یک غول آمریکایی، می‌تپد.</p> <p>برای عموم مردم، این ممکن است تنها یک مسئله فنی ساده میزبانی به نظر برسد. اما برای <a href="https://arpokrat.com/fa/infrastructure">معماران امنیت سایبری حاکمیتی</a> و کسانی که ژئوپلیتیک داده‌ها را دنبال می‌کنند، این یک آسیب‌پذیری سیاسی درجه اول است.</p> <h2 id="فراقلمرویی-و-تضاد-حاکمیتها">فراقلمرویی و تضاد حاکمیت‌ها</h2> <p>با تکیه بر زیرساخت آمازون، Olvid به طور خودکار وارد مدار <a href="https://wikipedia.org/wiki/CLOUD_Act">قانون CLOUD</a> ایالات متحده می‌شود.</p> <p>تحلیل حقوقی این پرونده، سناریویی از ناامنی قضایی را آشکار می‌کند که پذیرش صرف یک «برنامه» ملی به هیچ وجه آن را حل نمی‌کند. نقطه عطف در مفهوم «کنترل» در برابر «بومی‌سازی» نهفته است.</p> <p>قانون CLOUD با تصریح این که مکان فیزیکی سرور اهمیتی ندارد، پارادایم قانونی را اساساً تغییر داد. تعهد ارائه‌دهنده خدمات (در اینجا AWS) به همکاری، تنها ناشی از پیوند قضایی آن با ایالات متحده است. بنابراین، واشنگتن می‌تواند از شرکت‌های تحت صلاحیت خود داده‌ها را مطالبه کند، حتی زمانی که آن داده‌ها از نظر فیزیکی در خاک اروپا ذخیره شده باشند.</p> <p>از نظر قانونی، این یک تضاد مستقیم با مقررات عمومی حفاظت از داده‌ها (GDPR) ایجاد می‌کند. دیوان دادگستری اتحادیه اروپا (از طریق <a href="https://wikipedia.org/wiki/Max_Schrems">احکام معروف Schrems I و II</a> ) پیش از این ثابت کرده است که قوانین نظارتی آمریکا سطح حمایتی معادل اروپا را ارائه نمی‌دهند.</p> <blockquote> <p>حاکمیت دیجیتال ویژگی نرم‌افزار نیست، بلکه ویژگی یکپارچگی زنجیره نگهداری است.</p> </blockquote> <h2 id="سایه-fisa-و-وعده-دروغین-رمزگذاری">سایه FISA و وعده دروغین رمزگذاری</h2> <p>بدتر از آن، این وابستگی به زیرساخت‌های آمریکایی، این داده‌ها را زیر سایه <a href="https://wikipedia.org/wiki/Foreign_Intelligence_Surveillance_Act">قانون نظارت بر اطلاعات خارجی (FISA)</a> قرار می‌دهد که نظارت الکترونیکی را برای مقاصد «اطلاعات خارجی» با هدف قرار دادن اهداف خارج از ایالات متحده مجاز می‌داند.</p> <p>در مواجهه با این تهدیدها، Olvid ادعا می‌کند که رمزگذاری سرتاسری آن یک سپر کافی است. از دیدگاه مهندسی حریم خصوصی، این دفاع به طور خطرناکی ناقص است.</p> <p>رد اخیر درهای پشتی توسط مجلس ملی فرانسه نشان‌دهنده مقاومت قانون‌گذاری در برابر آسیب‌پذیری در طراحی است. با این حال، حتی اگر محتوای یک پیام رمزگذاری شده باشد، زیرساخت متمرکز AWS <strong>فراداده‌ها</strong> (Metadata) را در معرض دید قرار می‌دهد. دانستن اینکه <em>چه کسی</em> با <em>چه کسی</em>، <em>چه زمانی</em>، <em>چند وقت یکبار</em> و <em>از کجا</em> صحبت می‌کند، اغلب برای اطلاعات خارجی بسیار ارزشمندتر از محتوای خود پیام است.</p> <p>رمزگذاری از متن محافظت می‌کند، اما سرور متمرکز شبکه مخاطبین را فاش می‌کند.</p> <h2 id="خطر-واقعی-هنوز-در-راه-است">خطر واقعی هنوز در راه است</h2> <p>تا زمانی که زیرساخت‌های اروپایی به نهادهای مشمول قوانین فراقلمرویی وابسته باشند، امنیت حقوقی ارتباطات ما کاملاً موقتی و توهم‌آمیز باقی خواهد ماند.</p> <p>امنیت ملی در قرن بیست و یکم به چیزی بسیار بیشتر از نیت‌های خوب قانون‌گذاری یا سپرهای نرم‌افزاری سطحی نیاز دارد: این نیازمند <a href="https://arpokrat.com/fa/os">استقلال کامل زیرساخت و سخت‌افزار</a> است. زیرا در حالی که رهگیری این فراداده‌ها و بسته‌های رمزگذاری شده امروز بی‌ضرر به نظر می‌رسد، در واقع مخرب‌ترین تهدید دهه آینده را تغذیه می‌کند: استراتژی <em>«اکنون جمع‌آوری کن، بعداً رمزگشایی کن»</em>.</p> <p>یک راز دولتی که امروز رهگیری شود، چیزی جز یک بمب ساعتی ریاضی نیست.</p> <p><em>(بقیه تحلیل ما را در قسمت 2 بخوانید: <a href="https://arpokrat.com/fa/blog/harvest-now-decrypt-later-hndl-zero-knowledge/">بمب ساعتی و ضرورت دانش صفر</a> )</em></p>