https://arpokrat.com/fa/blog/tags/metadata/ Recent content in فراداده on Arpokrat Hugo -- gohugo.iofaThu, 10 Sep 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/encrypted-messaging-apps-comparison-2026/ Thu, 10 Sep 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/encrypted-messaging-apps-comparison-2026/ <p>‏WhatsApp، Telegram، Signal، Messenger و Google Messages را باز کنید. امروز همه این برنامه‌ها جایی در رابط کاربری خود همان وعده واحد را نشان می‌دهند: رمزگذاری سرتاسری. این عبارت به یک استدلال فروش استاندارد تبدیل شده است، درست مانند «بدون تعهد» در تبلیغ یک اپراتور تلفن همراه. دیگر هیچ چیزی را از هم جدا نمی‌کند، و دقیقاً به این دلیل که تقریباً همه‌جا درست شده است.</p> <p>با این حال این برنامه‌ها هیچ شباهتی به هم ندارند. یکی شماره تلفن شما را می‌خواهد و فهرست کسانی را که شما را در دفترچه مخاطبان خود دارند به دستگاه قضایی تحویل می‌دهد. دیگری به معنای واقعی کلمه هیچ چیزی درباره شما نمی‌داند، حتی اینکه حسابی وجود دارد. میان این دو، حدود پانزده پروژه انتخاب‌های بسیار متفاوتی می‌کنند و هیچ‌کدام آن‌ها را در صفحه نخست خود روشن توضیح نمی‌دهد.</p> <p><strong>رمزگذاری سرتاسری</strong> یعنی محتوای پیام‌های شما برای واسطه‌ای که آن‌ها را جابه‌جا می‌کند ناخواناست. این دستاورد مهمی است و کم‌اهمیت جلوه دادنش نامعقول خواهد بود. اما این عبارت هیچ نمی‌گوید که همان واسطه بیرون از محتوا چه چیزی می‌فهمد: اینکه شما نوشته‌اید، به چه کسی، در چه ساعتی، از کدام نشانی IP، با چه بسامدی، در کدام گروه‌ها، و با کدام شماره تلفن که به هویت رسمی شما گره خورده است.</p> <blockquote> <p>رمزگذاری از آنچه می‌گویید محافظت می‌کند. از این واقعیت که آن را گفته‌اید محافظت نمی‌کند، نه از اینکه به چه کسی، نه از اینکه کِی، و نه از اینکه از کجا.</p> </blockquote> <p>این مقاله رتبه‌بندی نمی‌کند. بهترین پیام‌رسان به معنای مطلق وجود ندارد، چون دشمنِ عمومی وجود ندارد. آنچه این نوشته پیش می‌گذارد نخست یک چارچوب هفت‌معیاره است که با آن می‌توان هر برنامه‌ای را سنجید، حتی برنامه‌هایی که هنوز ساخته نشده‌اند؛ سپس یک شناسنامه صادقانه برای هر یک از چهارده برنامه برگزیده؛ و سرانجام توصیه‌هایی بر پایه الگوی تهدید. هر شناسنامه بخشی دارد که به آنچه برنامه از آن محافظت نمی‌کند اختصاص یافته است، بی‌استثنا، از جمله برنامه خودمان.</p> <h2 id="فهرست-مطالب">فهرست مطالب</h2> <ul> <li><a href="#criteres">هفت معیاری که جای رمزگذاری را می‌گیرند</a> <ul> <li><a href="#critere-chiffrement">رمزگذاری سرتاسری، دستاوردی که دیگر تمایز نمی‌آفریند</a></li> <li><a href="#critere-metadonnees">فراداده، یعنی آنچه سرویس بی‌آنکه پیام‌های شما را بخواند می‌داند</a></li> <li><a href="#critere-identifiant">شناسه‌ای که خواسته می‌شود: شماره، نشانی، یا هیچ</a></li> <li><a href="#critere-audit">متن‌باز و ممیزی مستقل، دو مفهوم که باید از خلط کردنشان دست کشید</a></li> <li><a href="#critere-juridiction">حوزه قضایی و CLOUD Act</a></li> <li><a href="#critere-perennite">دوام پروژه، معیاری که کسی به آن نگاه نمی‌کند</a></li> <li><a href="#critere-pratique">کاربردی بودن، یک معیار امنیتی تمام‌عیار</a></li> </ul> </li> <li><a href="#grand-public">پیام‌رسان‌های همگانی</a> <ul> <li><a href="#whatsapp">WhatsApp</a></li> <li><a href="#telegram">Telegram</a></li> </ul> </li> <li><a href="#standard">استاندارد عملی</a> <ul> <li><a href="#signal">Signal</a></li> <li><a href="#molly">Molly</a></li> </ul> </li> <li><a href="#sans-numero">پیام‌رسان‌های بدون شماره تلفن</a> <ul> <li><a href="#session">Session</a></li> <li><a href="#threema">Threema</a></li> <li><a href="#wire">Wire</a></li> <li><a href="#element-matrix">Element و پروتکل Matrix</a></li> </ul> </li> <li><a href="#sans-identifiant">پیام‌رسان‌های بدون هیچ شناسه</a> <ul> <li><a href="#simplex">SimpleX Chat</a></li> <li><a href="#arpokrat">Arpokrat Messenger</a></li> <li><a href="#briar">Briar</a></li> <li><a href="#cwtch">Cwtch</a></li> </ul> </li> <li><a href="#convergence">هم‌گرایی ۲۰۲۶: پیام‌رسان به کیف پول تبدیل می‌شود</a> <ul> <li><a href="#radar">Radar</a></li> <li><a href="#zerion">Zerion</a></li> </ul> </li> <li><a href="#tableau">جدول جمع‌بندی</a></li> <li><a href="#profils">کدام پیام‌رسان برای کدام نیمرخ</a></li> <li><a href="#choix-arpokrat">در Arpokrat چه انتخاب کردیم و چرا</a></li> <li><a href="#conclusion">جمع‌بندی</a></li> <li><a href="#sources">منابع</a></li> </ul> <h2 id="criteres">هفت معیاری که جای رمزگذاری را می‌گیرند</h2> <p>این بخش مهم‌ترین بخش مقاله است. اگر تنها یک بخش می‌خوانید، همین را بخوانید: به شما امکان می‌دهد خودتان هر پیام‌رسانی را بسنجید، از جمله آن‌هایی که پس از انتشار این متن بیرون می‌آیند.</p> <h3 id="critere-chiffrement">رمزگذاری سرتاسری، دستاوردی که دیگر تمایز نمی‌آفریند</h3> <p>پروتکل Signal که در ۲۰۱۳ منتشر شد و از آن پس پژوهشگران رمزنگاری آن را به شکل صوری تحلیل کرده‌اند، به استاندارد عملی بدل شده است. ‏WhatsApp از ۲۰۱۶ از آن استفاده می‌کند، Google Messages از آن استفاده می‌کند، Messenger هم همین‌طور. بحث رمزنگارانه درباره محتوای گفت‌وگوهای دونفره تا حد زیادی بسته شده است.</p> <p>پرسش‌هایی که هنوز به کار می‌آیند دیگر درباره وجود رمزگذاری نیستند، بلکه درباره شیوه آن‌اند. آیا به‌صورت پیش‌فرض فعال است یا باید آن را درخواست کرد؟ آیا گروه‌ها را هم دربر می‌گیرد یا فقط گفت‌وگوی دونفره را؟ آیا پشتیبان‌گیری‌ها را دربر می‌گیرد، یا آن‌ها بدون رمز به سوی Google و Apple می‌روند؟ آیا <strong>رازداری پیشرو</strong> وجود دارد، یعنی چرخش منظم کلیدها که تضمین کند لو رفتن یک کلید امروز دسترسی به پیام‌های دیروز را باز نمی‌کند؟</p> <p>این پرسش‌ها هنوز تمایز می‌آفرینند. وجود واژه «رمزگذاری‌شده» در یک صفحه بازاریابی چنین نمی‌کند.</p> <h3 id="critere-metadonnees">فراداده، یعنی آنچه سرویس بی‌آنکه پیام‌های شما را بخواند می‌داند</h3> <p>در ماه مه ۲۰۱۴، در مناظره‌ای عمومی در دانشگاه جانز هاپکینز رو در روی دیوید کول حقوق‌دان، مایکل هیدن، رئیس پیشین NSA و CIA، جمله‌ای بر زبان آورد که مشهور شد. کول همان لحظه از استیوارت بیکر، مشاور حقوقی پیشین NSA، نقل کرده بود که «فراداده مطلقاً همه چیز را درباره زندگی یک نفر به شما می‌گوید، و اگر به اندازه کافی داشته باشید واقعاً به محتوا نیازی ندارید». هیدن با تأیید پاسخ داد: «ما بر پایه فراداده آدم می‌کشیم.» او بی‌درنگ افزود که برنامه‌های جمع‌آوری داخلی آمریکا چنین کاری نمی‌کنند، و برای انصاف باید این توضیح را هم آورد. این چیزی از اصل ماجرا کم نمی‌کند: بالاترین مقام اطلاعاتی آمریکا آشکارا تأیید کرد که فراداده برای تصمیم‌های مرگبار کافی است.</p> <p><strong>فراداده</strong> در یک پیام‌رسان هر چیزی است که محتوا نیست: چه کسی به چه کسی می‌نویسد، در چه ساعتی، از کدام نشانی IP، با چه بسامدی، در کدام گروه‌ها، با چه اندازه فایلی. برای بازسازی پیوند میان یک روزنامه‌نگار و یک منبع، خواندن پیام‌هایشان لازم نیست. کافی است دیده شود که آن دو سه روز پیش از انتشار یک گزارش تحقیقی شروع به نوشتن به یکدیگر کرده‌اند. همین استدلال درباره وکیل و موکل، پزشک و بیمار، کارمند و اتحادیه، و دو نفری که نمی‌خواهند رابطه‌شان دانسته شود نیز صادق است.</p> <p>پس یک سرویس می‌تواند در رمزگذاری محتوا بی‌عیب و در باقی همه چیز کاملاً شفاف باشد. این حتی رایج‌ترین وضعیت است. جای دیگری به تفصیل نوشته‌ایم که همین استدلال درباره دیگر سیگنال‌های منفعل زندگی روزمره چگونه صدق می‌کند، به‌ویژه در مقاله‌مان درباره <a href="https://arpokrat.com/fa/blog/how-your-phone-tracks-your-location/">ردیابی دائمی موقعیت تلفن</a> و در تحلیل‌مان از سامانه <a href="https://arpokrat.com/fa/blog/signaltrace-leonardo-bluetooth-surveillance/">SignalTrace شرکت Leonardo</a> که مسیرها و روابط را تنها از روی شناسه‌های بلوتوثی که در گذر شکار می‌شوند بازسازی می‌کند.</p> <p>پرسش خوبی که می‌توان از هر سازنده‌ای پرسید: اگر فردا صبح قاضی سرورهایتان را توقیف کند، چه چیزی روی آن‌ها می‌ماند؟</p> <h3 id="critere-identifiant">شناسه‌ای که خواسته می‌شود: شماره، نشانی، یا هیچ</h3> <p>این عینی‌ترین و دست‌کم‌گرفته‌شده‌ترین معیار است. سه الگو در کنار هم وجود دارند.</p> <p><strong>شماره تلفن.</strong> در بیشتر کشورها به یک سند هویتی گره خورده است. یکتاست، پایدار است، و پیشاپیش در دفترچه مخاطبان صدها نفر هست. خواستن شماره یعنی گره زدن هر حساب به یک هویت رسمی و آسان کردن کشف گراف اجتماعی تا حد بدیهی بودن: کافی است دفترچه‌ها را با هم مقایسه کنید. شماره همچنین نقطه ضعف شناخته‌شده احراز هویت است، چنان‌که در مقاله‌مان درباره <a href="https://arpokrat.com/fa/blog/2fa-sms-vs-yubikey-hardware-keys/">احراز هویت دومرحله‌ای با پیامک</a> نشان دادیم: یک جابه‌جایی موفق سیم‌کارت تنها یک کد را نمی‌دزدد، یک هویت در پیام‌رسان را می‌دزدد.</p> <p><strong>نشانی رایانامه یا یک شناسه تصادفی.</strong> بهتر است، چون یک نشانی یک‌بارمصرف چند ثانیه وقت می‌برد و شناسه تصادفی به‌خودی‌خود چیزی نمی‌گوید. با این حال در سمت سرور همچنان یک شناسه پایدار می‌ماند، یعنی دستاویزی برای هم‌بسته کردن نشست‌ها در گذر زمان.</p> <p><strong>هیچ شناسه‌ای.</strong> این تازه‌ترین و کمیاب‌ترین الگوست. اصلاً حسابی وجود ندارد، نه فهرستی، نه نشانی دائمی. شما همچون مجموعه‌ای از کلیدهای رمزنگاری روی دستگاهتان وجود دارید و از راه یک پیوند دعوت یک‌بارمصرف به شما می‌رسند. چیزی برای وارد کردن نیست، چیزی برای نشت کردن نیست، چیزی برای هم‌بسته کردن نیست.</p> <h3 id="critere-audit">متن‌باز و ممیزی مستقل، دو مفهوم که باید از خلط کردنشان دست کشید</h3> <p>این‌ها دو چیز متفاوت‌اند و باید از عرضه کردنشان در کنار هم دست کشید.</p> <p><strong>متن‌باز</strong> یعنی کد خواندنی است. این شرط لازمِ اعتماد است، نه اثبات امنیت. جز به تصادف، کسی کد را نمی‌خواند. رخنه‌های جدی سال‌ها در پروژه‌های آزادِ بسیار پرمخاطب زنده مانده‌اند.</p> <p><strong>ممیزی مستقل</strong> یعنی شخص ثالثی که برای یافتن رخنه پول گرفته واقعاً جست‌وجو کرده و آنچه یافته را منتشر کرده است. این بی‌اندازه نیرومندتر و بی‌اندازه کمیاب‌تر است، چون گران تمام می‌شود.</p> <p>سپس باید دو گونه ممیزی را از هم جدا کرد. <strong>بازبینی طراحی رمزنگارانه</strong> می‌سنجد که آیا پروتکل روی کاغذ خوب اندیشیده شده است. <strong>ممیزی پیاده‌سازی</strong> می‌سنجد که آیا کد واقعاً همان کاری را می‌کند که پروتکل ادعا می‌کند. هر دو سودمندند، هر دو یک چیز را ثابت نمی‌کنند، و یک پروژه می‌تواند اولی را داشته باشد و دومی را نه.</p> <p>نمونه Threema سودمندی این رویکرد را به‌خوبی نشان می‌دهد. در ۲۰۲۲ سه پژوهشگر ETH زوریخ هفت حمله بر ضد پروتکل آن، در سه الگوی تهدید متفاوت، یافتند و به شرکت اطلاع دادند. ‏Threema با پروتکل تازه‌ای به نام Ibex پاسخ داد که در پایان نوامبر ۲۰۲۲ منتشر شد. یک برنامه بسته و ممیزی‌نشده هرگز این ماجرا را از سر نمی‌گذراند، و این به معنای امن‌تر بودن آن نبود.</p> <h3 id="critere-juridiction">حوزه قضایی و CLOUD Act</h3> <p>محل ثبت یک شرکت تعیین می‌کند کدام دولت‌ها می‌توانند آن را وادار کنند. این معیاری حقوقی است، نه فنی، و تعیین‌کننده است.</p> <p><strong>CLOUD Act</strong> که در ۲۰۱۸ در ایالات متحده تصویب شد، پرسشی را که پرونده مایکروسافت ایرلند پیش کشیده بود فیصله می‌دهد: آیا یک شرکت آمریکایی می‌تواند از تحویل رایانامه‌های ذخیره‌شده روی سروری در ایرلند سر باز زند؟ پاسخ قانون‌گذار نه است. این متن ارائه‌دهندگان تابع حوزه قضایی آمریکا را وادار می‌کند داده‌هایی را که در اختیار دارند تحویل دهند، صرف‌نظر از محل ذخیره‌سازی. سروری در فرانکفورت که شرکتی آمریکایی می‌گرداند همچنان در دسترس یک درخواست آمریکایی می‌ماند. ارائه‌دهنده می‌تواند اعتراض کند اگر درخواست با قانون خارجی در تعارض باشد، اما اعتراض یک رویه است، نه سپر.</p> <p>نتیجه عملی ساده است: میزبانی در اروپا کافی نیست اگر شرکت میزبان، شرکت مادر یا هلدینگ تابع قانون آمریکا باشد. پرسشی که باید مطرح کرد این نیست که «سرورهایتان کجاست»، بلکه این است که «چه کسی می‌تواند از نظر قانونی شما را وادار کند، و بر چه مبنایی».</p> <p>باید دو نکته افزود. نخست، یک حوزه قضایی محافظ به هیچ کار نمی‌آید اگر سرویس با این حال داده‌های قابل بهره‌برداری نگه دارد: بهترین دفاع همچنان این است که چیزی برای تحویل دادن نداشته باشی. دوم، یک حوزه قضایی خصمانه سرویسی را که ساختاراً هیچ نمی‌داند محکوم نمی‌کند. ‏Signal آمریکایی است و هرگز نتوانسته چیزی جز دو مُهر زمانی تحویل دهد.</p> <h3 id="critere-perennite">دوام پروژه، معیاری که کسی به آن نگاه نمی‌کند</h3> <p>پیام‌رسانی که بسیار خوب طراحی شده اما در هجده ماه ناپدید می‌شود، شما را با دفترچه‌ای بی‌مصرف و اغلب با تاریخچه‌ای از دست رفته تنها می‌گذارد. این معیار هرگز در مقایسه‌ها نمی‌آید. سال ۲۰۲۶ آن را ناگزیر کرد.</p> <p>در آوریل ۲۰۲۶، بنیاد Session Technology Foundation آشکارا اعلام کرد که تنها حدود ۶۵٬۰۰۰ دلار کمک مالی گرد آورده، برای کار کردن سالانه نزدیک به یک میلیون دلار نیاز دارد، و موجودی‌اش فراتر از ژوئیه دوام نمی‌آورد. همه کارکنان کنار گذاشته شدند و توسعه متوقف شد. ‏Session بیش از یک میلیون کاربر فعال ماهانه دارد. در ژوئن، بنیاد اعلام کرد که پروژه با کمک‌های هزاران کاربر، بیشترشان مبالغ خرد، نجات یافته و با تیمی سه‌نفره از توسعه‌دهندگان به سرپرستی جیسون راینلندر، معمار نرم‌افزار، دوباره راه افتاده است.</p> <p>سه هفته بعد، در ۹ ژوئیه ۲۰۲۶، پروژه Briar پیامی مشابه منتشر کرد: پس از آنکه توقف را سنجید، به حالت نگهداری می‌رود، یعنی تنها رفع اشکال‌های امنیتی و خطاها، بدون توسعه قابلیت‌های تازه، به سبب نبود تأمین مالی پایدار.</p> <p>دو پروژه نمادین، دو الگوی اقتصادی متفاوت، همان سال، همان بن‌بست. پس پرسشی که باید پیش از برگزیدن یک پیام‌رسان طرح کرد اکنون این است: چه کسی می‌پردازد، چقدر، و تا کِی؟ بنیادی که از کمک مالی زندگی می‌کند، شرکتی که پروانه می‌فروشد، پروژه‌ای دانشگاهی که یارانه می‌گیرد و نرم‌افزاری اجتماعی که داوطلبان می‌سازند، امید به زندگی یکسانی ندارند، و این هیچ ربطی به کیفیت رمزنگاری آن‌ها ندارد.</p> <h3 id="critere-pratique">کاربردی بودن، یک معیار امنیتی تمام‌عیار</h3> <p>این معیار آخر را سخت‌گیران اغلب با تحقیر می‌نگرند. این خطاست.</p> <p>پیام‌رسانی که مخاطبانتان از نصبش سر باز می‌زنند از کسی محافظت نمی‌کند، چون گفت‌وگو جای دیگری و بدون رمز انجام خواهد شد. پیام‌رسانی که اعلان‌هایش نمی‌رسد، کاربرانش را برای کارهای فوری به WhatsApp بازمی‌گرداند. پیام‌رسانی که می‌خواهد هر دو نفر در یک لحظه متصل باشند برای نامه‌نگاری عادی میان دو منطقه زمانی مناسب نیست.</p> <p>امنیت واقعی یک سامانه، امنیت کاربرد واقعی آن است، نه امنیت برگه مشخصات فنی‌اش. الگویی اندکی کم‌خالص‌تر که مخاطبان شما واقعاً از آن استفاده می‌کنند بیش از الگویی بی‌نقص که تنها خودتان از آن استفاده می‌کنید محافظت می‌کند.</p> <h2 id="grand-public">پیام‌رسان‌های همگانی</h2> <h3 id="whatsapp">WhatsApp</h3> <p>‏<a href="https://www.whatsapp.com">WhatsApp</a> پرکاربردترین پیام‌رسان جهان است. متعلق به Meta است، رایگان است، و الگوی اقتصادی‌اش بر زیست‌بوم تبلیغاتی این گروه و بر خدمات به کسب‌وکارها استوار است.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از محتوای پیام‌ها، با پروتکل Signal، از ۲۰۱۶. این پیاده‌سازی جدی است و باید روشن گفت: محتوای گفت‌وگوهای شما در WhatsApp برای Meta خواندنی نیست. پشتیبان‌های رمزگذاری‌شده سرتاسری وجود دارند و ارزش فعال کردن دارند، چون به‌صورت پیش‌فرض خاموش‌اند. برنامه بسیار قابل اتکاست، همه‌جا در دسترس است، و مخاطبانتان پیشاپیش آن را دارند.</p> <p><strong>از چه محافظت نمی‌کند.</strong> از باقی همه چیز. با یک درخواست ساده، Meta داده‌های مشترک را می‌دهد: نام حساب، تاریخ ایجاد، آخرین اتصال، نشانی IP، نشانی رایانامه. با حکم تفتیش، شرکت دفترچه مخاطبان فرد هدف را می‌دهد و همچنین فهرست دیگر کاربران WhatsApp را که آن فرد را در مخاطبانشان دارند. به بیان دیگر، گراف اجتماعی در هر دو جهت قابل تحویل است. فراداده‌های نگهداری‌شده شامل مُهرهای زمانی، شناسه‌های فرستنده و گیرنده، وضعیت‌های تحویل، ترکیب گروه‌ها و تغییرات آن است. بنا بر سندی از FBI که عمومی شده، WhatsApp می‌تواند در چارچوب یک پایش هم‌زمان، برخی فراداده‌های کاربر هدف را هر پانزده دقیقه تولید کند. سرانجام، شماره تلفن اجباری است و Meta مشمول CLOUD Act است.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای همه، به‌عنوان یک کانال ارتباطی عادی که در آن می‌پذیرید گراف روابطتان برای Meta شناخته باشد و به یک مرجع قضایی قابل تحویل باشد.</p> <h3 id="telegram">Telegram</h3> <p>‏<a href="https://telegram.org">Telegram</a> را اغلب در شمار پیام‌رسان‌های امن می‌آورند. این سوءتفاهمی است که باید بدون پرخاش برطرف کرد، چون Telegram در آنچه واقعاً انجام می‌دهد بسیار خوب است.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> برای کاربرد روزمره، از چیزی بیش از یک سرویس آنلاین معمولی محافظت نمی‌کند. گفت‌وگوهای عادی که به آن‌ها گپ ابری می‌گویند میان کارخواه و سرور رمزگذاری می‌شوند و سپس در سمت Telegram رمزگذاری‌شده ذخیره می‌شوند، در حالی که Telegram ابزار خواندن آن‌ها را دارد. رمزگذاری سرتاسری تنها در <strong>گپ‌های محرمانه</strong> موجود است که به‌صورت پیش‌فرض فعال نیستند، به گفت‌وگوی دونفره محدودند، به دستگاه اولیه گره می‌خورند و همگام‌سازی نمی‌شوند. در مقابل، آنچه Telegram عالی انجام می‌دهد گروه‌های عظیم، کانال‌های انتشار، اشتراک فایل‌های حجیم و حضور روی چند دستگاه است. این یک شبکه انتشار درخشان است و باید با همین معیار سنجیده شود.</p> <p><strong>از چه محافظت نمی‌کند.</strong> از محتوای گفت‌وگوهای عادی در برابر خود شرکت، از شماره تلفن، از نشانی IP. موضع شرکت در سپتامبر ۲۰۲۴، پس از بازداشت پاول دوروف در فرانسه، تغییر کرد: Telegram اکنون در پاسخ به درخواست‌های قانونی معتبر شماره‌ها و نشانی‌های IP کاربران گزارش‌شده را می‌دهد، حال آنکه تعهد پیشین این انتقال‌ها را به پرونده‌های تروریسم محدود می‌کرد. ارقام منتشرشده برای ۲۰۲۴ تغییر مقیاس را نشان می‌دهد: حدود ۹۰۰ درخواست اجابت‌شده در ایالات متحده درباره ۲٬۲۵۳ کاربر، ۱۴٬۶۴۱ درخواست در هند درباره ۲۳٬۵۳۵ کاربر، و ۱۴۲ درخواست در بریتانیا. این گروه افزون بر این در جزایر ویرجین بریتانیا ثبت شده و از دوبی اداره می‌شود، و ناشفافی این ساختار خود یک داده تحلیلی است.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای انتشار عمومی، اجتماع‌های گسترده و رصد خبری. نه برای گفت‌وگویی که باید در برابر خود شرکت محرمانه بماند.</p> <h2 id="standard">استاندارد عملی</h2> <h3 id="signal">Signal</h3> <p>‏<a href="https://signal.org">Signal</a> معیار سنجش است و این مقاله نیز با آن چنین رفتار می‌کند. ناشرش بنیاد Signal Foundation است، سازمانی غیرانتفاعی در آمریکا که از کمک‌های مالی و از موقوفه اولیه Brian Acton تأمین می‌شود.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از محتوا، با پروتکلی که خودش ابداع کرده و مرجع صنعت شده است. اما بیش از همه، و همین آن را متمایز می‌کند، از باقی چیزها: کشف محرمانه مخاطبان، فرستنده مُهرشده، کمینه‌سازی نظام‌مند داده‌های نگهداری‌شده. دلیل، اظهاری نیست بلکه قضایی است. ‏Signal پاسخ‌هایش به درخواست‌های قانونی را در صفحه‌ای ویژه منتشر می‌کند و این پاسخ‌ها همه شبیه هم‌اند: سازمان تنها می‌تواند مُهر زمانی ایجاد حساب و تاریخ آخرین اتصال را بدهد. در پرونده‌ای که به دادگاه ناحیه کلمبیا رفت، دستگاه قضایی اطلاعات مشترک برای سی‌وهفت شماره تلفن خواست. پاسخ همان بود. این تنها سابقه عمومی ایستادگی در برابر درخواست‌ها با این کیفیت در کل این مقایسه است و از هر وعده بازاریابی ارزشمندتر است.</p> <p><strong>از چه محافظت نمی‌کند.</strong> شماره تلفن در ۲۰۲۶ هنوز هنگام ثبت‌نام اجباری است. نام‌های کاربری که در ۲۰۲۴ آمدند این امکان را می‌دهند که دیگر شماره‌تان را به مخاطبانتان ندهید، و این پیشرفتی واقعی است، اما الزام هنگام ایجاد حساب را برنمی‌دارند. کارهای منتشرشده نشان می‌دهد Signal ثبت‌نام بدون شماره را بررسی می‌کند، شاید همراه با یک پرداخت یک‌باره برای مهار سوءاستفاده، اما در زمان نگارش این سطرها در دسترس نیست. ‏Signal افزون بر این تابع قانون آمریکا و در نتیجه CLOUD Act است: محافظت از حوزه قضایی نمی‌آید، از این واقعیت می‌آید که چیزی برای تحویل دادن نیست. سرانجام، زیرساخت متمرکز است و زیست‌بوم به کارخواه‌های شخص ثالث بسته است، نکته‌ای که در ادامه به آن بازمی‌گردیم.</p> <p><strong>برای چه کسی ساخته شده.</strong> تقریباً برای همه. این بهترین نسبت میان محافظت و پذیرش واقعی در بازار است و توصیه پیش‌فرض است هرگاه شماره تلفن در الگوی تهدید شما مسئله نباشد.</p> <h3 id="molly">Molly</h3> <p>‏<a href="https://molly.im">Molly</a> انشعابی سخت‌شده از Signal برای اندروید است. نه پروتکل را عوض می‌کند، نه شبکه را، نه الگوی شناسه را: کارخواه را سخت می‌کند.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از آنچه Signal در سمت دستگاه از آن محافظت نمی‌کند. ‏Molly پایگاه داده محلی را پشت یک عبارت عبور رمزگذاری می‌کند و به این ترتیب کل برنامه را قفل می‌کند، و هنگام قفل شدن حافظه را با داده‌های تصادفی پاک می‌کند تا در برابر تحلیل قانونی پس از توقیف مقاومت کند. همچنین امکان می‌دهد ترافیک از یک پراکسی SOCKS یا از Tor عبور کند. گونه Molly-FOSS اجزای اختصاصی Google را حذف می‌کند. همه این‌ها کارهایی است که کارخواه رسمی نمی‌کند.</p> <p><strong>از چه محافظت نمی‌کند.</strong> از هر چه به سرور مربوط است. ‏Molly از سرورهای Signal استفاده می‌کند، پس شماره تلفن می‌خواهد و دقیقاً همان نیمرخ فراداده و همان حوزه قضایی را به ارث می‌برد. تنها روی اندروید هست. و روی شبکه Signal با تحمل بنیاد کار می‌کند، نه با اجازه رسمی آن، و این وضع سال‌هاست بی‌حادثه ادامه دارد.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای کاربر Signal روی اندروید که الگوی تهدیدش شامل توقیف فیزیکی تلفن است: روزنامه‌نگار در سفر، کنشگر، وکیلی که از مرز می‌گذرد.</p> <h2 id="sans-numero">پیام‌رسان‌های بدون شماره تلفن</h2> <h3 id="session">Session</h3> <p>‏<a href="https://getsession.org">Session</a> شرطی رادیکال بست: حذف شماره و رایانامه. هنگام ثبت‌نام، برنامه یک شناسه حساب تصادفی می‌سازد و چیز دیگری نمی‌پرسد. پروژه را بنیاد Session Technology Foundation پیش می‌برد، بنیادی بر پایه قانون سوئیس.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از هویت هنگام ثبت‌نام، و از نشانی IP. پیام‌ها از شبکه‌ای غیرمتمرکز از گره‌ها با مسیریابی پیازی می‌گذرند، به‌گونه‌ای که هیچ سروری هم‌زمان مبدأ و مقصد را نمی‌داند. کد کارخواه‌های اندروید، iOS و رومیزی موضوع ممیزی‌ای بود که شرکت فرانسوی Quarkslab منتشر کرد و در آن هفت مسئله روی اندروید، هفت مسئله روی iOS و دو مسئله در کارخواه رومیزی گزارش شد که بیشترشان از آن پس رفع شده‌اند. برنامه روی همه سکوها موجود است و شبیه یک پیام‌رسان عادی به نظر می‌رسد، و این در این دسته چیز کمی نیست.</p> <p><strong>از چه محافظت نمی‌کند.</strong> ‏Session در ۲۰۲۱ رازداری پیشرو را برداشت و به مشکلات پایداری در معماری غیرمتمرکزش استناد کرد. به‌طور مشخص، لو رفتن یک کلید بلندمدت پیام‌های گذشته را آشکار می‌کند. بنیاد در دسامبر ۲۰۲۵ از پروتکل V2 خبر داد که رازداری پیشرو را بازمی‌گرداند و تبادل کلید پساکوانتومی بر پایه ML-KEM را می‌افزاید، اما این پروتکل در زمان نگارش نهایی نشده بود. و بیش از همه، معیار دوام اینجا سنگینی می‌کند: این پروژه در ۲۰۲۶ چند هفته با توقف فاصله داشت و اکنون با سه توسعه‌دهنده برای بیش از یک میلیون کاربر کار می‌کند.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای کسی که می‌خواهد بدون تغییر عادت‌هایش از شماره تلفن بی‌نیاز شود و نبود کنونی رازداری پیشرو را می‌پذیرد.</p> <h3 id="threema">Threema</h3> <p>‏<a href="https://threema.ch">Threema</a> شرکتی سوئیسی است که برنامه‌اش را می‌فروشد. تنها بازیگر پولی این مقایسه است و دقیقاً همین الگوی آن را خوانا می‌کند.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از هویت و از حوزه قضایی. هنگام نصب، برنامه یک Threema ID تصادفی می‌سازد. شماره تلفن و نشانی رایانامه اختیاری‌اند و تنها به کار پیدا شدن شما توسط مخاطبانتان می‌آیند، و هیچ چیز به فعال کردنشان وادار نمی‌کند. سرورها از آنِ شرکت‌اند و در مرکز داده‌ای با گواهی ISO 27001 در زوریخ، زیر قانون سوئیس و بیرون از CLOUD Act قرار دارند. کد منبع منتشر شده و ساخت‌های بازتولیدپذیر روی اندروید در دسترس‌اند، که امکان می‌دهد بررسی شود برنامه توزیع‌شده با کد هم‌خوانی دارد. ‏Threema در اکتبر ۲۰۲۰ برنامه‌های موبایلش و در ژانویه ۲۰۲۴ برنامه رومیزی‌اش را به Cure53 سپرد تا ممیزی شود. درباره پروتکل Ibex که در پایان ۲۰۲۲ پذیرفته شد، پژوهشگران آلمانی در ۲۰۲۳ اثباتی صوری از امنیت منتشر کردند.</p> <p><strong>از چه محافظت نمی‌کند.</strong> قیمت، حدود شش یورو خرید یک‌باره، مانعی واقعی برای پذیرش آن از سوی نزدیکان شماست و بازدارنده عملی اصلی است. ماجرای ETH زوریخ در ۲۰۲۲ افزون بر این یادآوری می‌کند که حتی یک بازیگر جدی هم ممکن است سال‌ها پروتکلی آسیب‌پذیر داشته باشد: هفت حمله یافته شد، پروتکل یکسره از نو ساخته شد. سرانجام، شناسه Threema در سمت سرور یک شناسه پایدار می‌ماند و این الگوی «بدون هیچ شناسه» نیست.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای یک شرکت اروپایی، یک دفتر حقوقی، یک نهاد اداری، یا فردی که ترجیح می‌دهد بهای یک محصول را بپردازد تا به کمک‌های مالی وابسته باشد، و حوزه قضایی سوئیسی روشنی می‌خواهد.</p> <h3 id="wire">Wire</h3> <p>‏<a href="https://wire.com">Wire</a> ماهیتش را بسیار تغییر داده است. همچون یک پیام‌رسان همگانی زاده شد و سپس به سوی سازمان‌ها، شرکت‌ها و بخش عمومی چرخید.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از محتوا، با پروتکل Proteus و سپس با MLS، استاندارد پیام‌رسانی گروهی IETF که Wire از نخستین پیاده‌سازان جدی آن بود. ثبت‌نام با رایانامه انجام می‌شود و این شماره تلفن را کنار می‌گذارد. ممیزی‌ها عمومی‌اند: Kudelski Security و X41 D-Sec در ۲۰۱۷ بازبینی پیاده‌سازی پروتکل و سپس در ۲۰۱۸ ممیزی‌های کاربردی کارخواه‌های iOS، اندروید و وب را منتشر کردند.</p> <p><strong>از چه محافظت نمی‌کند.</strong> از فراداده‌ها که Wire آن‌ها را در سمت سرور بدون رمز نگه می‌دارد، نکته‌ای که شرکت هرگز پنهانش نکرده و مرتب مورد انتقاد بوده است. ساختار حقوقی نیز پیچیده است: عملیات زیر نظر Wire Swiss GmbH در سوئیس است، هلدینگ گروه در برلین مستقر است، و شرکت می‌گوید بیش از ۹۰ ٪ سرمایه در دست سرمایه‌گذاران نهادی اروپایی است، اما در ۲۰۱۹ یک نهاد آمریکایی در دلاور تأسیس شد. پیش از برگزیدن Wire برای کاربرد حساس، فهم این پیچیدگی ارزش دارد.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای سازمانی که به همکاری رمزگذاری‌شده و منطبق با مقررات، با پشتیبانی تجاری و مدیریت متمرکز نیاز دارد، بیش از آنکه برای فردی باشد که در پی گمنامی است.</p> <h3 id="element-matrix">Element و پروتکل Matrix</h3> <p>‏<a href="https://element.io">Element</a> کارخواه اصلی <strong>Matrix</strong> است، پروتکلی باز و فدرالی. الگو با همه دیگر موارد این مقایسه فرق دارد: هر کس می‌تواند سرور خودش را میزبانی کند و سرورها همان‌گونه با هم گفت‌وگو می‌کنند که سرورهای رایانامه.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از خودمختاری. یک سازمان می‌تواند سرورش را میزبانی کند، زیرساختش را در دست بگیرد، به هیچ شرکتی وابسته نباشد و در عین حال از باقی شبکه در دسترس بماند. این تنها الگوی این مقایسه است که چنین ترکیبی را عرضه می‌کند و به همین دلیل چند نهاد اداری اروپایی آن را برگزیده‌اند. رمزگذاری سرتاسری پیام‌ها برقرار است.</p> <p><strong>از چه محافظت نمی‌کند.</strong> از فراداده‌ها، و این ساختاری است. مدیر سرور شما می‌بیند چه کسی با چه کسی، کِی و در کدام اتاق‌ها حرف می‌زند. فراداده اتاق، یعنی نام، موضوع و دیگر رویدادهای وضعیت، بدون رمز روی سرور ذخیره می‌شود. ‏Element روی رمزگذاری این رویدادهای وضعیت کار می‌کند، اما در سپتامبر ۲۰۲۵ این قابلیت هنوز آزمایشی و محدود به گزینه‌های آزمایشگاهی بود. فدراسیون مسئله را بدتر می‌کند: تاریخچه یک اتاق روی سرورهای مشارکت‌کننده تکثیر می‌شود و آن‌ها آن را نگه می‌دارند. شرکت افزون بر این دروازه‌ای می‌فروشد برای پالایش فدراسیون تا این نشت‌ها را محدود کند، و این اعترافی سودمند است.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای سازمانی که حاکمیت بر زیرساخت خود می‌خواهد و دشمنش مدیر سامانه خودش نیست. نه برای فردی که می‌خواهد روابطش را پنهان کند.</p> <h2 id="sans-identifiant">پیام‌رسان‌های بدون هیچ شناسه</h2> <p>این تازه‌ترین دسته است. اصل بر پنهان کردن شناسه نیست، بر نساختن هیچ شناسه است.</p> <h3 id="simplex">SimpleX Chat</h3> <p>‏<a href="https://simplex.chat">SimpleX Chat</a> نخستین شبکه پیام‌رسانی بدون شناسه کاربر است، حتی بدون شناسه تصادفی. این پیشرفتی مفهومی و واقعی است و باید همین‌گونه معرفی شود.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از گراف اجتماعی، به حکم ساختار. نه حسابی هست، نه فهرستی، نه نشانی دائمی. هر گفت‌وگو بر صف‌های یک‌سویه‌ای استوار است که روی بازپخش‌کننده‌های متفاوت میزبانی می‌شوند: آنچه می‌فرستید از صفی روی یک بازپخش‌کننده می‌گذرد، پاسخ‌ها از صفی دیگر روی بازپخش‌کننده‌ای دیگر بازمی‌گردند، چنان‌که هیچ بازپخش‌کننده‌ای دو سر را با هم نمی‌بیند. بازپخش‌کننده‌ها کورند، نه فرستنده را می‌شناسند نه گیرنده را. پروژه دو ممیزی مستقل به دست Trail of Bits منتشر کرده است: ارزیابی امنیتی پیاده‌سازی در نوامبر ۲۰۲۲، و سپس بازبینی طراحی رمزنگارانه پروتکل‌ها در اکتبر ۲۰۲۴ که شامل وارسی صوری پروتکل مذاکره صف‌ها بود و به سه مسئله با شدت متوسط و یک مسئله با شدت پایین رسید، همه دشوارِ بهره‌برداری. پروتکل لایه‌ای پساکوانتومی به چرخ‌دنده دوگانه می‌افزاید. بازپخش‌کننده‌ها را می‌توان خود میزبانی کرد، کارخواه‌ها روی اندروید، iOS و رومیزی هستند، و شرکت، SimpleX Chat Ltd، شرکتی بریتانیایی است که از اکتبر ۲۰۲۱ ثبت شده است.</p> <p><strong>از چه محافظت نمی‌کند.</strong> دو نکته گفتنی است. نخست میزبانی پیش‌فرض: بازپخش‌کننده‌هایی که پروژه می‌گرداند روی یک ارائه‌دهنده واحد کار می‌کنند، Linode، زیرمجموعه Akamai آمریکایی، در مراکز داده اروپایی‌اش در لندن، فرانکفورت و استکهلم. پس کاربری که Tor را فعال نمی‌کند و بازپخش‌کننده‌ها را عوض نمی‌کند به زیرساختی وابسته است که شرکتی آمریکایی می‌گرداند، و این CLOUD Act را دوباره به تصویر بازمی‌گرداند. این موضوع در مخزن پروژه به‌طور عمومی مستند شده است. دوم، تجربه کاربری همچنان سخت‌گیرانه است: برقراری اتصال به تبادل یک پیوند یا کد QR نیاز دارد، قابلیت اتکای اعلان‌ها روی iOS مدت‌ها نقطه ضعف بود، و بزرگ‌مقیاس شدن گروه‌های بزرگ هنوز کارگاهی باز است. سرانجام، تأمین مالی اکنون بر یک تأمین مالی جمعی سهامی استوار است که در اوت ۲۰۲۶ آغاز شد.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای کسی که الگوی بدون شناسه را با بهترین سطح وارسی بیرونیِ امروز در دسترس می‌خواهد و کاربردی فنی‌تر را می‌پذیرد.</p> <h3 id="arpokrat">Arpokrat Messenger</h3> <p>‏<a href="https://arpokrat.com/messenger">Arpokrat Messenger</a> محصول ماست و این شناسنامه از همان چارچوب بقیه پیروی می‌کند. باید با گفتن بی‌پرده این نکته آغاز کرد: <strong>Arpokrat Messenger انشعابی از SimpleX است</strong>. معماری‌ای که در بالا توصیف شد، یعنی نبود شناسه، صف‌های یک‌سویه و بازپخش‌کننده‌های کور، از آنِ ما نیست، از آنِ SimpleX است. ادعا نمی‌کنیم آن را از نظر رمزنگاری بهبود داده‌ایم؛ اعتبارش را به خودش می‌دهیم، درست همان‌گونه که <a href="https://arpokrat.com/fa/protocol/">صفحه پروتکل ما</a> صریحاً چنین می‌کند. همین موضع را درباره ArpokratOS در برابر GrapheneOS داریم.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از هر آنچه SimpleX از آن محافظت می‌کند، به‌علاوه مجموعه‌ای از انتخاب‌های عملیاتی و محصولی. بازپخش‌کننده‌هایی که می‌گردانیم در پنج حوزه قضایی پخش شده‌اند که به سبب قانونشان برگزیده شده‌اند: سوئیس، ایسلند، پاناما، مالزی و موریس، هیچ‌کدام آمریکایی نیستند، و زیرساخت بر هیچ ابرارائه‌دهنده آمریکایی تکیه ندارد، نه Amazon Web Services، نه Google Cloud، نه Microsoft Azure، نه Cloudflare. پیام‌های در انتظار تنها در حافظه زنده‌اند، حافظه مبادله خاموش است، قطع برق همه چیز را پاک می‌کند، و مانیفست‌های انتشار روی ماشینی با Qubes OS که از شبکه جداست امضا می‌شوند. ‏Tor با یک دکمه فعال می‌شود، بدون برنامه شخص ثالث، و به‌صورت پیش‌فرض خاموش می‌ماند. حالت ناشناس برای هر مخاطب نمایه‌ای متفاوت اختصاص می‌دهد، شامل نام نمایشی و بازپخش‌کننده، و بدین‌سان پیوند دادن زندگی حرفه‌ای و زندگی خصوصی ناممکن می‌شود. چون نرم‌افزار باز است، هر کسی می‌تواند بازپخش‌کننده‌ها را خود میزبانی کند. کارخواه‌ها زیر پروانه AGPLv3 منتشر می‌شوند. کیف پول غیرامانی Bitcoin، Ethereum، Monero، Polygon، Solana و Tron را مدیریت می‌کند و کلیدها هرگز از دستگاه بیرون نمی‌روند؛ پشتیبانی از Zcash اعلام شده اما تا امروز در دسترس نیست. ‏Swap توکار یک تجمیع‌گر است که پیشنهادهای ارائه‌دهندگان مستقل را مقایسه می‌کند و به هر یک بر پایه سطح احراز هویت خواسته‌شده نمره‌ای از A تا D می‌دهد، از A برای نبود KYC تا D برای KYC اجباری، در حالی که وجوه مستقیماً میان کاربر و ارائه‌دهنده برگزیده جابه‌جا می‌شود. تا آنجا که می‌دانیم هیچ پیام‌رسان دیگری چنین نمره‌دهی‌ای عرضه نمی‌کند. سرانجام، ناشر یک نهاد تجاری شناسایی‌پذیر است، Arpokrat GmbH، مستقر در تسوگ سوئیس، با نشانی پستی عمومی، یک warrant canary امضاشده با PGP که در پنجره اعتبار شصت‌روزه تمدید می‌شود، و تعهد پاسخ پشتیبانی در کمتر از ۲۴ ساعت. برنامه رایگان و بدون تبلیغات است.</p> <p><strong>از چه محافظت نمی‌کند.</strong> و اینجاست که باید دقیق بود، چون تنها راه معتبر ماندن در باقی موارد همین است.</p> <p>‏Arpokrat Messenger تا امروز <strong>هیچ ممیزی رمزنگارانه مستقلی که به نام خودش منتشر شده باشد</strong> ندارد. ‏SimpleX دو تا دارد. پس پروتکل زیرین ممیزی شده، اما پیاده‌سازی و بهره‌برداری ما نه، و این یکی نیست، چنان‌که بالاتر در همین مقاله توضیح داده شد.</p> <p>‏Arpokrat <strong>هیچ سابقه عمومی‌ای از ایستادگی در برابر درخواست‌های قضایی</strong> ندارد. ‏Signal یکی دارد، وارسی‌پذیر و گسترده در طول سال‌ها. ‏warrant canary تعهدی جدی است، اما رویه قضایی نیست.</p> <p>برنامه امروز تنها روی <strong>اندروید</strong> هست. نسخه‌های iOS، لینوکس، macOS و ویندوز اعلام شده‌اند اما در دسترس نیستند. برای کسی که با کاربران iPhone پیام رد و بدل می‌کند، این مانعی همین‌اکنونی است و راه دور زدنی ندارد.</p> <p>سرانجام، شبکه جوان و کوچک است. شمار کاربران امنیت نمی‌سازد، اما در دسترس بودن مخاطبان شما را می‌سازد، و این معیاری بجاست که خودمان بالاتر از آن دفاع کردیم.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای کسی که معماری بدون شناسه را می‌خواهد بی‌آنکه از کاربرد روزمره چشم بپوشد، و یک نهاد تجاری شناسایی‌پذیر را بر پروژه‌ای اجتماعی که تأمین مالی‌اش ممکن است قطع شود ترجیح می‌دهد. جایگاهی که از آن دفاع می‌کنیم «خصوصی‌ترین» نیست، تنگ‌تر و صادقانه‌تر است: کاربردی‌ترین در میان معماری‌های بدون شناسه، با الگویی ناهمگام که معماری‌های همتا به همتا عرضه نمی‌کنند، و با یک زیست‌بوم و پشتیبانی تجاری.</p> <h3 id="briar">Briar</h3> <p>‏<a href="https://briarproject.org">Briar</a> احتمالاً سازش‌ناپذیرترین پروژه این فهرست است. اصلاً سروری در کار نیست: پیام‌ها مستقیماً از دستگاهی به دستگاه دیگر از راه Tor می‌روند، و در نبود اتصال، از راه Wi-Fi یا بلوتوث میان دستگاه‌های نزدیک.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از هر آنچه به زیرساخت وابسته است، چون زیرساختی نیست. چیزی برای توقیف نیست، چیزی برای درخواست نیست، اپراتوری نیست که وادار شود. حالت مشبک برون‌خط هنگام قطع اینترنت واقعاً کار می‌کند و همین Briar را به ابزار مرجع برای خاموشی‌ها و تظاهرات بدل می‌کند. کد در مارس ۲۰۱۷ به دست Cure53 ممیزی شد و دوازده مسئله در آن یافته و رفع شد. پروژه آزاد است و طراحی‌اش مرجع به شمار می‌رود. ‏Briar Mailbox، برنامه‌ای جداگانه که روی یک دستگاه اندرویدی یدکی و روشن نصب می‌شود، امکان می‌دهد در حالی که تلفن اصلی برون‌خط است پیام دریافت کنید، و این پاسخی جزئی به محدودیت اصلی الگوی همتا به همتاست.</p> <p><strong>از چه محافظت نمی‌کند.</strong> از راحتی کاربرد، و از این پس از مسیر خود پروژه. مصرف باتری بالاست، اجرا در پس‌زمینه روی اندروید نامنظم است، پشتیبان‌گیری حساب و پیوست‌ها نیست، و افزودن مخاطب پرزحمت است. نسخه iOS وجود ندارد. نسخه رومیزی همچنان بتاست، آخرینش 0.6.5-beta که در ۲۰ فوریه ۲۰۲۶ منتشر شد. و بیش از همه، اعلان ۹ ژوئیه ۲۰۲۶ پروژه را به حالت نگهداری می‌برد: رفع اشکال‌های امنیتی و خطاها، بدون توسعه قابلیت. پروژه روشن می‌کند که شایعه‌های توقف کامل کهنه شده‌اند، اما بلندپروازی به‌روشنی معلق است.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای منطقه‌ای با قطع اینترنت، یک تظاهرات، بستری سانسوری، یا گروهی کوچک که در ازای نبود کامل زیرساخت محدودیت را می‌پذیرد.</p> <h3 id="cwtch">Cwtch</h3> <p>‏<a href="https://cwtch.im">Cwtch</a> را Open Privacy Research Society می‌سازد، انجمنی غیرانتفاعی کانادایی مستقر در ونکوور. پروژه صریحاً پیام‌رسانی گروهی مقاوم در برابر فراداده را هدف گرفته است.</p> <p><strong>واقعاً از چه محافظت می‌کند.</strong> از فراداده‌ها، حتی در گروه، و همین مسئله دشوار است. اتصال‌ها از سرویس‌های onion روی Tor v3 می‌گذرند، و سرورهایی که گفت‌وگوهای گروهی را بازپخش می‌کنند بنا به اصل، نامعتمد طراحی شده‌اند: نباید چیزی بیاموزند. نسخه 1.13 که در سپتامبر ۲۰۲۳ منتشر شد پایان دوره طولانی آلفا و بتا را نشان داد و پروژه تا نسخه 1.15 ادامه یافت.</p> <p><strong>از چه محافظت نمی‌کند.</strong> از دوام، یک بار دیگر. سازمان اساساً از کمک‌های مالی فردی زندگی می‌کند و این را بارها آشکارا تکرار کرده است. نسخه iOS وجود ندارد. آهنگ توسعه، آهنگ یک تیم کوچک است و زیست‌بوم کاربران بسیار محدود. ممیزی بیرونی منتشرشده‌ای همتراز با ممیزی‌های SimpleX یا Briar نیافتیم.</p> <p><strong>برای چه کسی ساخته شده.</strong> برای گروهی کنشگر یا پژوهشی که به گفت‌وگوهای جمعی مقاوم در برابر فراداده نیاز دارد و اعضایش از نظر فنی راحت‌اند.</p> <h2 id="convergence">هم‌گرایی ۲۰۲۶: پیام‌رسان به کیف پول تبدیل می‌شود</h2> <p>جالب‌ترین مشاهده امسال همین است، و تا آنجا که می‌دانیم هنوز کسی آن را چنین صورت‌بندی نکرده است.</p> <p>در ۲۰۲۶، سه انشعاب از سه پروتکل متفاوت، ساخته سه تیم بی‌ارتباط با یکدیگر، در یک لحظه به یک شهود واحد رسیدند: گنجاندن یک کیف پول غیرامانی در یک پیام‌رسان رمزگذاری‌شده. ‏Radar انشعابی از Signal است با Bitcoin روی Lightning. ‏Zerion برگرفته از Briar است با Bitcoin و Monero. ‏Arpokrat Messenger انشعابی از SimpleX است با کیف پول چندزنجیره‌ای و تجمیع‌گر تبادل.</p> <p>سه پایه فنی متضاد، یک نتیجه واحد. این تصادفی نیست، نشانه آن است که دو نیاز که تا کنون جدا از هم رسیدگی می‌شدند به هم نزدیک می‌شوند. فرستادن پول و فرستادن پیام همان مسئله را پیش می‌کشند: واسطه‌ای که دو سر را می‌شناسد. پاسخی که برای پیام‌ها ساخته شده، یعنی رمزگذاری محتوا و کمینه‌سازی فراداده، دقیقاً همان چیزی است که کاربران رمزارز در پی آن‌اند. و پیام‌رسان تنها جایی است که در آن پیشاپیش گیرنده‌تان را می‌شناسید.</p> <p>با این حال این سه رویکرد بسیار متفاوت‌اند و مقایسه‌شان آموزنده است.</p> <h3 id="radar">Radar</h3> <p>‏<a href="https://radar.chat">Radar</a> در ۷ ژوئیه ۲۰۲۶ به دست تیم Cake Wallet، زیر نهادی جداگانه به نام Radar Chat, Inc. به سرپرستی بنیان‌گذارش Vikrant Sharma، عرضه شد. انشعابی از Signal است، رایگان، متن‌باز، در دسترس روی iOS و اندروید. کیف پول غیرامانی است، با عبارت بازیابی دوازده‌کلمه‌ای و پشتیبان‌های رمزگذاری‌شده. لایه پرداخت به توضیح نیاز دارد، چون منابع یک چیز نمی‌گویند. تارنمای Radar کیف پولی Bitcoin توصیف می‌کند که بر شبکه Lightning تکیه دارد، به هر حساب یک نشانی Lightning می‌دهد، و چیز دیگری نمی‌گوید. در مقابل، چند مقاله منتشرشده در ژوئیه ۲۰۲۶ می‌گویند سازوکار زیرین بر Spark استوار است، شبکه‌ای Bitcoin از لایه ۲ که از راه Breez SDK یکپارچه شده، و آنگاه انتقال میان دو کاربر Radar از Spark به Spark در کمتر از یک ثانیه تسویه می‌شود. این دو روایت یکدیگر را نفی نمی‌کنند، چون مستندات Breez از یک SDK سخن می‌گوید که Spark و Lightning را با هم پشتیبانی می‌کند، از جمله نشانی‌های Lightning و صورت‌حساب‌های bolt11. در نبود تأیید عمومی از سوی خود شرکت، به آنچه در تارنمای خودش وارسی‌پذیر است پایبند می‌مانیم: پرداخت‌های Bitcoin غیرامانی که از راه شبکه Lightning در دسترس‌اند.</p> <p>برجسته‌ترین انتخاب جای دیگری است. ‏Radar شبکه‌ای جداگانه نیست: با <strong>حساب Signal موجود خودتان</strong> به آن وصل می‌شوید، و مخاطبان، گفت‌وگوها، گروه‌ها و نام کاربری همراهتان می‌آیند. این برتری رقابتی Radar است و در عین حال پرسش باز اصلی آن.</p> <p>این هم‌کارکردی به این معناست که Radar الگوی Signal را تمام و کمال به ارث می‌برد: شماره تلفن همچنان شناسه است، کد PIN مربوط به Signal بازیابی حساب و در نتیجه به‌طور پیش‌فرض دسترسی به کلیدهای کیف پولی را که Radar درون حساب Signal رمزگذاری می‌کند در اختیار دارد، و زیرساخت به‌کاررفته از آنِ Signal Foundation است، زیر حوزه قضایی آمریکا.</p> <p>سپس باید پرسش دوام این چیدمان را طرح کرد، بی‌آنکه آن را همچون واقعیتی مسلم بیان کنیم. ‏Signal تاریخاً نپذیرفته که کارخواه‌های شخص ثالث از سرورهایش استفاده کنند: در ۲۰۱۶ پروژه LibreSignal رها شد پس از آنکه Moxie Marlinspike اعلام کرد نمی‌خواهد نه نام Signal و نه سرورهایش را انشعابی به کار ببرد، و افزون بر آن هر گونه فدراسیون آینده را رد کرد. بنیاد توان فنی مسدود کردن یک کارخواه شخص ثالث را بر پایه امضایش نگه داشته است. تا امروز چنین نکرده و Molly سال‌هاست بی‌حادثه از این شبکه استفاده می‌کند، و تیم Radar صریحاً به همین سابقه استناد می‌کند. ‏Radar افزون بر این ماهانه سهمی به Signal Foundation می‌پردازد و در نظر دارد با رشد خود آن را افزایش دهد. پس هیچ نشانه‌ای نیست که Radar مسدود شود. اما محصولی که دسترسی‌اش به شبکه به تحمل مستمر یک شخص ثالث بسته است خطری ساختاری دارد که نه SimpleX دارد نه Briar، و کاربر شایسته است پیش از گذاشتن پول در آن از این خطر آگاه باشد.</p> <h3 id="zerion">Zerion</h3> <p>‏<a href="https://zerion.chat">Zerion</a> برگرفته از Briar است، بر پروتکل انتقال Bramble ساخته شده، زیر GPL v3 منتشر شده، و پروژه به‌روشنی می‌گوید که نه وابسته به پروژه Briar است و نه مورد تأیید آن. تنها روی اندروید هست.</p> <p>باید حقش را ادا کرد، چون چند کار را به‌طرز چشمگیری خوب انجام می‌دهد. همه ترافیک بی‌استثنا از Tor می‌گذرد: دستگاه شما مداری با سه پرش می‌سازد، دستگاه مخاطبتان مدار دیگری می‌سازد، و این دو در یک بازپخش‌کننده ملاقات به هم می‌رسند، یعنی مجموعاً شش پرش و بدون هیچ افشای نشانی IP. هر پیام با تبادل کلید پساکوانتومی بر پایه ML-KEM-768 محافظت می‌شود. نسخه 3.0 یک شبکه مشبک برون‌خط با بلوتوث افزود که پیام‌های فردی و گروهی را از راه تلفن‌های همسایه بازپخش می‌کند و هر بازپخش تنها محتوای رمزگذاری‌شده می‌برد، و همچنین یک انتقال I2P اختیاری. یک حالت سخت‌شده از راه‌اندازی روی دستگاه به‌خطرافتاده، زیر اشکال‌زدا، یا با چارچوب‌های قلاب‌گذاری سر باز می‌زند. از نسخه 3.0.4 یک گاوصندوق رمزگذاری‌شده می‌تواند کیف پول‌های غیرامانی Bitcoin و Monero را در خود جای دهد، که کلیدهایشان روی دستگاه ساخته می‌شود، با گذرواژه‌ای جداگانه محافظت می‌شود، و ساخت‌های بازتولیدپذیر از منابع منجمد و اثرانگشت‌های منتشرشده دارد.</p> <p>محدودیت ساختاری است و پروژه آن را پنهان نمی‌کند: مستنداتش سیاه روی سفید می‌گوید که پیام تنها زمانی تحویل می‌شود که هر دو دستگاه آنلاین و به Tor متصل باشند، و اینکه در این میان هیچ سروری آن را برای دوره‌های طولانی برون‌خط نگه نمی‌دارد. به بیان دیگر، معادلی برای Briar Mailbox وجود ندارد. این همان نقطه فنی تعیین‌کننده است و همان چیزی است که الگوی همتا به همتا را از الگوی <strong>ذخیره و ارسال</strong> جدا می‌کند، الگویی که در آن بازپخش‌کننده‌ای کور پیام رمزگذاری‌شده را نگه می‌دارد تا گیرنده بیاید و آن را بردارد. برای نامه‌نگاری عادی میان دو نفر که هم‌زمان متصل نیستند، این تفاوت نظری نیست، تعیین می‌کند که آیا اصلاً می‌شود از آن استفاده کرد.</p> <p>پرسشی دوم باز می‌ماند و ما آن را به شکل پرسش طرح می‌کنیم چون هیچ اندازه‌گیری عمومی نیافتیم: کیفیت واقعی تماس‌های صوتی و تصویری همتا به همتا روی معماری‌ای با شش پرش Tor چقدر است؟ انتخاب‌های فنی اعلام‌شده جدی‌اند، یعنی Opus، H.264، رمزگذاری AES-256-GCM و فریم‌های لایه‌گذاری‌شده، و تماس‌ها به‌صورت پیش‌فرض خاموش‌اند. اما Tor برای تأخیر کم طراحی نشده، و در نبود اندازه‌گیری منتشرشده نه شرکت و نه ما نمی‌توانیم بگوییم تجربه با یک تماس معمولی سنجیدنی است.</p> <p>سرانجام، برای Zerion ممیزی مستقل منتشرشده‌ای نیافتیم.</p> <p>در مقایسه، این سه رویکرد سه مصالحه روشن ترسیم می‌کنند. ‏Radar پذیرش فوری را به بهای وابستگی به شخص ثالث و حفظ شماره تلفن برمی‌گزیند. ‏Zerion بیشترین مقاومت شبکه‌ای را به بهای تحویل‌پذیری و نبودن روی iPhone برمی‌گزیند. ‏Arpokrat الگوی ناهمگام و پخش شدن میان حوزه‌های قضایی را به بهای سابقه و ممیزی‌ای که هنوز وجود ندارند برمی‌گزیند. هیچ‌یک از این سه مصالحه بی‌معنا نیست، و هیچ‌یک رایگان نیست.</p> <h2 id="tableau">جدول جمع‌بندی</h2> <table> <thead> <tr> <th>برنامه</th> <th>شناسه خواسته‌شده</th> <th>حوزه قضایی و میزبانی</th> <th>فراداده در سمت سرور</th> <th>ممیزی بیرونی منتشرشده</th> <th>تحویل برون‌خط</th> <th>کد</th> </tr> </thead> <tbody> <tr> <td>WhatsApp</td> <td>شماره تلفن</td> <td>ایالات متحده (Meta)، CLOUD Act</td> <td>گسترده، گراف مخاطبان با حکم قابل تحویل</td> <td>برای سرویس نه</td> <td>بله</td> <td>کارخواه بسته</td> </tr> <tr> <td>Telegram</td> <td>شماره تلفن</td> <td>جزایر ویرجین بریتانیا، مدیریت از دوبی</td> <td>گسترده، گپ‌های ابری برای شرکت خوانا</td> <td>نه</td> <td>بله</td> <td>کارخواه باز، سرور بسته</td> </tr> <tr> <td>Signal</td> <td>شماره تلفن</td> <td>ایالات متحده، CLOUD Act</td> <td>دو مُهر زمانی، سابقه قضایی عمومی</td> <td>پروتکل به‌طور صوری تحلیل شده</td> <td>بله</td> <td>باز</td> </tr> <tr> <td>Molly</td> <td>شماره (حساب Signal)</td> <td>سرورهای Signal، ایالات متحده</td> <td>همانند Signal</td> <td>ارث‌برده از Signal</td> <td>بله</td> <td>باز</td> </tr> <tr> <td>Session</td> <td>هیچ، شناسه تصادفی</td> <td>سوئیس، شبکه گره‌های غیرمتمرکز</td> <td>کمینه، تا امروز بدون رازداری پیشرو</td> <td>بله، Quarkslab</td> <td>بله</td> <td>باز</td> </tr> <tr> <td>Threema</td> <td>هیچ، Threema ID</td> <td>سوئیس، سرورها در زوریخ</td> <td>کمینه</td> <td>بله، Cure53 و ETH زوریخ</td> <td>بله</td> <td>باز، پولی</td> </tr> <tr> <td>Wire</td> <td>رایانامه یا شماره</td> <td>سوئیس و آلمان، نهاد آمریکایی در دلاور</td> <td>بدون رمز نگهداری می‌شود</td> <td>بله، Kudelski و X41</td> <td>بله</td> <td>باز</td> </tr> <tr> <td>Element / Matrix</td> <td>بسته به سرور، اغلب رایانامه</td> <td>حوزه میزبان شما</td> <td>برای سرور آشکار، وضعیت اتاق‌ها بدون رمز</td> <td>ممیزی‌های منتشرشده درباره پروتکل</td> <td>بله</td> <td>باز</td> </tr> <tr> <td>SimpleX Chat</td> <td>هیچ، بدون شناسه</td> <td>بریتانیا، بازپخش‌کننده‌های پیش‌فرض روی Linode و Akamai</td> <td>هم‌بستگی با یک بازپخش‌کننده ممکن نیست</td> <td>بله، دو ممیزی Trail of Bits</td> <td>بله</td> <td>باز</td> </tr> <tr> <td>Arpokrat Messenger</td> <td>هیچ، بدون شناسه</td> <td>سوئیس (تسوگ)، بازپخش‌کننده در پنج حوزه غیرآمریکایی</td> <td>بازپخش‌کننده‌های کور، تنها حافظه</td> <td>تا امروز نه</td> <td>بله</td> <td>باز، AGPLv3</td> </tr> <tr> <td>Briar</td> <td>هیچ، بدون شناسه</td> <td>هیچ، بدون سرور</td> <td>هیچ، چیزی برای توقیف نیست</td> <td>بله، Cure53 در ۲۰۱۷</td> <td>از راه Briar Mailbox</td> <td>باز</td> </tr> <tr> <td>Cwtch</td> <td>هیچ، بدون شناسه</td> <td>کانادا برای انجمن، سرورها بنا به طراحی نامعتمد</td> <td>مقاومت در برابر فراداده گروهی</td> <td>شناسایی نشد</td> <td>جزئی</td> <td>باز</td> </tr> <tr> <td>Radar</td> <td>شماره (حساب Signal)</td> <td>سرورهای Signal، ایالات متحده</td> <td>همانند Signal</td> <td>شناسایی نشد</td> <td>بله</td> <td>باز</td> </tr> <tr> <td>Zerion</td> <td>هیچ، بدون شناسه</td> <td>هیچ، بدون سرور</td> <td>هیچ، همه چیز از Tor می‌گذرد</td> <td>شناسایی نشد</td> <td>نه، هر دو دستگاه باید آنلاین باشند</td> <td>باز، GPL v3</td> </tr> </tbody> </table> <h2 id="profils">کدام پیام‌رسان برای کدام نیمرخ</h2> <p>برنده‌ای در کار نیست، وضعیت‌ها در کارند.</p> <p><strong>برای خانواده و نزدیکان.</strong> ‏Signal، بی‌درنگ. تنها گزینه‌ای است که محافظت جدی را با شانس واقعی نصب شدن به دست مخاطبانتان جمع می‌کند. اگر شماره تلفن آزارتان می‌دهد، نام کاربری را فعال کنید تا آن را ندهید. اگر نزدیکانتان به‌هیچ‌وجه حاضر به جابه‌جایی نیستند، دست‌کم پشتیبان‌های رمزگذاری‌شده سرتاسری را در WhatsApp روشن کنید: این همان محافظت نیست، اما پیشرفتی واقعی و رایگان است.</p> <p><strong>برای روزنامه‌نگاری که منبع دارد.</strong> مسئله محتوا نیست، پیوند است. معماری بدون شناسه اینجا تنها پاسخ سازگار است: SimpleX Chat یا Arpokrat Messenger، با Tor فعال و نمایه‌ای متفاوت برای هر منبع. اگر منبع شما پیشاپیش از Signal استفاده می‌کند و حاضر نیست چیز دیگری نصب کند، به‌جای هیچ از Signal استفاده کنید، با شماره‌ای اختصاصی که شما را شناسایی نکند، و با Molly روی اندروید تا در صورت توقیف از خود دستگاه محافظت شود.</p> <p><strong>برای یک مدیر یا مشاور حقوقی.</strong> معیار غالب حوزه قضایی است، نه گمنامی. ‏Threema برای یک دفتر یا ساختاری کوچک، با صورتحساب روشن و سرورهای سوئیسی. ‏Element خودمیزبان برای سازمانی که تیم فنی دارد و حاکمیت بر زیرساختش را می‌خواهد، با در نظر داشتن اینکه مدیر سرور فراداده‌ها را می‌بیند. ‏Wire برای سازمانی که محصولی تجاری برای همکاری می‌خواهد، پس از بررسی ساختار سهامداری‌اش.</p> <p><strong>برای منطقه‌ای با قطع اینترنت یا سانسور.</strong> ‏Briar، چون حالت مشبک با بلوتوث و Wi-Fi بدون هیچ زیرساختی کار می‌کند، و Zerion به همان دلایل با شبکه مشبک برون‌خط تازه‌تری. وقتی خود شبکه دشمن است، تنها دو پاسخ واقعی همین‌هاست. اگر نامه‌نگاری‌تان باید دوره‌های طولانی برون‌خط را تاب بیاورد، Briar Mailbox را هم در نظر بگیرید.</p> <p><strong>برای کسی که هر روز با رمزارز سر و کار دارد.</strong> این تنها نیمرخی است که هم‌گرایی ۲۰۲۶ برایش چیزی را تغییر می‌دهد. ‏Radar اگر کاربردتان Bitcoin است و شبکه ارتباطی‌تان پیشاپیش روی Signal است، با پذیرش وابستگی به زیرساخت Signal و شماره تلفن. ‏Zerion اگر Bitcoin و Monero را با بیشترین مقاومت شبکه‌ای می‌خواهید و مخاطبانتان روی اندرویدند و اغلب آنلاین. ‏Arpokrat Messenger اگر چند زنجیره، در دسترس بودن ناهمگام و امکان مقایسه ارائه‌دهندگان تبادل بر پایه الزام KYC آن‌ها را می‌خواهید.</p> <p><strong>برای کسی که بیشینه را بدون کوتاه آمدن در کاربرد می‌خواهد.</strong> چنین دسته‌ای وجود ندارد، و این نتیجه صادقانه این مقایسه است. بیشینه نظری Briar یا Zerion است، و بهایش را با تحویل‌پذیری، باتری و نبود iPhone می‌پردازید. مساعدترین مصالحه امروز، اگر مخاطبانتان روی اندرویدند، یک معماری بدون شناسه در حالت ذخیره و ارسال است، یعنی SimpleX Chat یا Arpokrat Messenger، با Tor فعال. اگر باید کاربران iPhone را هم دربر بگیرید، امروز تنها عضو این خانواده که هر دو سکو را پوشش می‌دهد SimpleX Chat است. ‏Arpokrat Messenger که روی اندروید در دسترس است، برای iOS و سکوهای رومیزی در دست توسعه است، بی‌آنکه تاریخ عرضه‌ای اعلام شده باشد.</p> <h2 id="choix-arpokrat">در Arpokrat چه انتخاب کردیم و چرا</h2> <p>این بخش یک متن تبلیغی نیست، توضیح مصالحه‌هاست، از جمله آن‌هایی که انجام ندادیم.</p> <p>به‌جای نوشتن یک پروتکل، از SimpleX آغاز کردیم. دلیلش ساده است: یک پروتکل پیام‌رسانی امن تنها زمانی ارزش دارد که بازرسی شده باشد، و پروتکل تازه بنا به تعریف هیچ بازرسی‌ای پشت سر ندارد. ‏SimpleX مشخصات عمومی، کد عمومی و دو ممیزی Trail of Bits دارد. ابداع رمزنگاری خودمان به ما صفحه بازاریابی بهتر و پیام‌رسان بدتری می‌داد.</p> <p>الگوی ذخیره و ارسال را به‌جای همتا به همتا برگزیدیم. این مصالحه‌ای صریح در برابر بیشینه نظری است. بازپخش‌کننده کوری که پیام رمزگذاری‌شده را تا برداشته شدن نگه می‌دارد یک تکه زیرساخت بیشتر است، یعنی یک سطح حمله بیشتر. در عوض، پیام هنگامی که آن را می‌نویسید راه می‌افتد و هنگامی که مخاطبتان وصل می‌شود می‌رسد، و این شرط یک نامه‌نگاری عادی است. معیار کاربردی بودن که در آغاز این مقاله از آن دفاع کردیم آرایه‌ای ادبی نیست: آن را بر خودمان اعمال کردیم.</p> <p>بازپخش‌کننده‌ها را در پنج حوزه قضایی بیرون از ایالات متحده پخش کردیم و ابرارائه‌دهندگان آمریکایی را کنار گذاشتیم، نه از سر ژست بلکه چون CLOUD Act با وادار کردن یک ارائه‌دهنده آمریکایی درباره داده‌هایی که در اختیار دارد کار می‌کند. بازپخش‌کننده کوری که چیزی روی دیسک نگه نمی‌دارد چیز اندکی برای تحویل دادن دارد؛ بازپخش‌کننده کوری که هیچ دستور آمریکایی به آن نمی‌رسد از آن هم کمتر. این دو تدبیر روی هم جمع می‌شوند و هیچ‌کدام جای دیگری را نمی‌گیرد.</p> <p>کیف پول و تجمیع‌گر تبادل را گنجاندیم چون همان کسی که نمی‌خواهد واسطه‌ای مخاطبانش را بشناسد، معمولاً نمی‌خواهد واسطه‌ای تراکنش‌هایش را هم بشناسد. نمره‌دهی A تا D به ارائه‌دهندگان تبادل بر پایه الزام احراز هویتشان از همین منطق می‌آید: ما به‌جای کاربر تصمیم نمی‌گیریم که او بهای چه سطحی از محرمانگی را می‌خواهد بپردازد، اطلاعات را به او می‌دهیم تا خودش بسنجد.</p> <p>سرانجام، آنچه هنوز نکرده‌ایم شایسته است در همین بخش گفته شود. ممیزی مستقلی که به نام ما منتشر شده باشد نداریم. سابقه‌ای از درخواست‌های قضایی منتشرشده نداریم، تنها یک warrant canary داریم. هنوز روی iOS نیستیم. این سه کاستی واقعی‌اند، در شناسنامه ما در بالا مستند شده‌اند، و هیچ‌کدام با یک اطلاعیه مطبوعاتی پر نمی‌شود.</p> <h2 id="conclusion">جمع‌بندی</h2> <p>پرسش درست این نیست که «بهترین پیام‌رسان کدام است». پاسخی ندارد، چون بد طرح شده است. پرسش درست این است: در برابر چه کسی از خود محافظت می‌کنید؟</p> <p>در برابر تبلیغ‌کننده‌ای که می‌خواهد از علاقه‌هایتان نیمرخ بسازد، تقریباً همه برنامه‌های این مقایسه کافی‌اند. در برابر همسری خشن که به تلفن شما دسترسی دارد، مسئله قفل محلی و پاک کردن حافظه است و Molly بهتر از Threema پاسخ می‌دهد. در برابر یک درخواست قضایی در کشور شما، مسئله حوزه قضایی است و اینکه سرویس چه چیزی نگه می‌دارد. در برابر دشمنی که می‌خواهد ثابت کند شما با کسی حرف زده‌اید، تنها پاسخ معماری‌ای است که این اطلاعات را اصلاً نمی‌سازد. و در برابر دشمنی که می‌تواند شبکه را قطع کند، تنها پاسخ این است که به آن وابسته نباشید.</p> <p>هیچ برنامه‌ای هم‌زمان به همه این تهدیدها پاسخ نمی‌دهد، و آن‌هایی که چنین ادعایی دارند نخست از همه شایسته بدگمانی شمایند. آنچه ۲۰۲۶ نشان داد این است که رمزگذاری به بخش آسان ماجرا بدل شده است. آنچه دشوار مانده فراداده، حوزه قضایی و توان یک پروژه برای هستی داشتن دو سال دیگر است. ‏Session چند هفته با ناپدید شدن فاصله داشت، Briar بلندپروازی‌اش را کاهش داد، و این دو رویداد درباره وضع واقعی این حوزه بیش از هر مقایسه‌ای میان اولیه‌های رمزنگارانه سخن می‌گویند.</p> <p>پس بر پایه دشمن خود انتخاب کنید، نه بر پایه یک رتبه‌بندی. و به یاد داشته باشید که بهترین ابزار جهان هیچ ارزشی ندارد اگر گفت‌وگو جای دیگری تمام شود چون مخاطبتان حاضر نشد آن را نصب کند.</p> <h2 id="sources">منابع</h2> <ul> <li><a href="https://signal.org/bigbrother/district-of-columbia/">Signal, Government Requests, District of Columbia</a></li> <li><a href="https://www.justsecurity.org/10311/michael-hayden-kill-people-based-metadata/">Just Security, Michael Hayden, We Kill People Based on Metadata</a></li> <li><a href="https://www.congress.gov/crs-product/R45173">Congressional Research Service, Cross-Border Data Sharing Under the CLOUD Act</a></li> <li><a href="https://cyberinsider.com/session-avoids-shutdown-as-community-donations-save-the-project/">CyberInsider, Session avoids shutdown as community donations save the project</a></li> <li><a href="https://briarproject.org/news/2026-maintenance-mode/">Briar, Briar is in maintenance mode</a></li> <li><a href="https://simplex.chat/blog/20241014-simplex-network-v6-1-security-review-better-calls-user-experience.html">SimpleX, Cryptographic design review by Trail of Bits</a></li> <li><a href="https://simplex.chat/blog/20221108-simplex-chat-v4.2-security-audit-new-website.html">SimpleX, Security assessment by Trail of Bits</a></li> <li><a href="https://getsession.org/blog/session-code-audit">Session, Code audit published by Quarkslab</a></li> <li><a href="https://www.privacyguides.org/news/2025/12/03/session-messenger-adds-pfs-pqe-and-other-improvements/">Privacy Guides, Session messenger adds PFS, PQE and other improvements</a></li> <li><a href="https://inf.ethz.ch/news-and-events/spotlights/infk-news-channel/2023/01/threema.html">ETH Zurich, Vulnerabilities in secure messenger Threema discovered</a></li> <li><a href="https://www.usenix.org/system/files/usenixsecurity23-paterson.pdf">USENIX Security 2023, Three Lessons From Threema</a></li> <li><a href="https://briarproject.org/raw/BRP-01-report.pdf">Cure53, Pentest Report Briar Project App and Protocol</a></li> <li><a href="https://wire.com/en/blog/independent-security-audit-2017/">Wire, Independent security audit of the protocol implementation</a></li> <li><a href="https://element.io/blog/hiding-room-metadata-from-servers/">Element, Hiding room metadata from servers</a></li> <li><a href="https://therecord.media/telegram-shares-ip-addresses-enforcement">The Record, Telegram says it will share phone numbers and IP addresses with authorities</a></li> <li><a href="https://freedom.press/digisec/blog/telegrams-compliance-with-data-requests-skyrockets/">Freedom of the Press Foundation, Telegram&rsquo;s compliance with data requests skyrockets</a></li> <li><a href="https://www.justsecurity.org/79549/we-now-know-what-information-the-fbi-can-obtain-from-encrypted-messaging-apps/">Just Security, We Now Know What Information the FBI Can Obtain from Encrypted Messaging Apps</a></li> <li><a href="https://cryptobriefing.com/radar-chat-signal-fork-bitcoin-lightning/">Crypto Briefing, Radar Chat launches as Signal fork with built-in self-custodial Bitcoin Lightning payments</a></li> <li><a href="https://sdk-doc-spark.breez.technology/">Breez, SDK Spark, documentation</a></li> <li><a href="https://lwn.net/Articles/687294/">LWN, The perils of federated protocols</a></li> <li><a href="https://zerion.chat/faq.html">Zerion, User Guide and FAQ</a></li> </ul> https://arpokrat.com/fa/blog/signaltrace-leonardo-bluetooth-surveillance/ Tue, 01 Sep 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/signaltrace-leonardo-bluetooth-surveillance/ <p>یک سدان خاکستری با سرعت ۱۱۰ کیلومتر بر ساعت از زیر دروازهٔ بزرگراه می‌گذرد. دوربین نصب‌شده بر تیرک پلاک را می‌خواند، زمان را ثبت می‌کند، و آن را ذخیره می‌کند. چیز تازه‌ای در کار نیست: این تجهیزات بیست سال است وجود دارند و ده‌ها هزار نمونه از آن‌ها هم در آمریکای شمالی و هم در اروپا نصب شده است.</p> <p>اما اگر آن دروازه ماژولی را دریافت کرده باشد که گروه ایتالیایی لئوناردو از ژوئن ۲۰۲۶ به بازار عرضه می‌کند، همین حالا چیز دیگری هم ثبت کرده است. آیفون راننده. هدفون بی‌سیم سرنشین. ساعت هوشمند روی داشبورد. رادیوپخش خودرو. جاکلیدی متصل داخل داشبورد. حسگرهای فشار هر چهار لاستیک. کارت ورودی که در جیب کت جا مانده است. و اگر سگی عقب خوابیده باشد، تراشهٔ شناسایی‌اش را هم.</p> <p>ده‌ودوازده شناسه، یک پلاک، یک موقعیت، یک ساعت. این را در هر دروازهٔ شبکه تکرار کنید و دیگر یک خودرو را دنبال نمی‌کنید: آدم‌ها را دنبال می‌کنید و می‌دانید با چه کسی جابه‌جا می‌شوند.</p> <h2 id="این-دستگاه-واقعا-چه-میکند">این دستگاه واقعاً چه می‌کند</h2> <p>نام محصول <strong>SignalTrace</strong> است. Leonardo US Cyber and Security Solutions آن را می‌فروشد و مکمل خانوادهٔ <strong>ELSAG</strong> است، یکی از پرکاربردترین خطوط پلاک‌خوان خودکار در بازار آمریکا. وجود آن را در ۸ ژوئن ۲۰۲۶ جوزف کاکس در <a href="https://www.404media.co/this-company-will-add-phone-airpod-and-smartwatch-trackers-to-license-plate-readers/">404 Media</a> بر پایهٔ برگهٔ محصول سازنده افشا کرد.</p> <p>نکتهٔ تعیین‌کننده در یک جمله جا می‌شود: <strong>بحث بر سر دوربین‌های تازه نیست</strong>. SignalTrace حسگری رادیویی است که به پلاک‌خوان‌های ازپیش‌نصب‌شده افزوده می‌شود. تیرک تغییر نمی‌کند، محل تغییر نمی‌کند، ظاهر تجهیزات کنار جاده تغییر نمی‌کند. آنچه تغییر می‌کند این است که این تجهیزات به چه چیزی گوش می‌دهند.</p> <p>حسگر شناسه‌هایی را ثبت می‌کند که پروتکل‌های بلوتوث، وای‌فای و RFID دستگاه‌های داخل خودرو به‌صورت آشکار پخش می‌کنند. نکتهٔ فنی‌ای که اغلب بد فهمیده می‌شود: هیچ دستگاهی هک نمی‌شود و از هیچ آسیب‌پذیری‌ای سوءاستفاده نمی‌شود. دستگاه بلوتوثی یا وای‌فای پیوسته قاب‌های کشف می‌فرستد، چون این پروتکل‌ها همین‌گونه طراحی شده‌اند. هدفون شما حضورش را اعلام می‌کند تا تلفن پیدایش کند، و خود تلفن هم فضای پیرامون را برای یافتن شبکه‌هایی که می‌شناسد می‌کاود. این ارسال‌ها بنا بر ساختار عمومی‌اند و هر گیرنده‌ای در برد آن‌ها را می‌شنود.</p> <p>لئوناردو خود نیز تصریح می‌کند که این سامانه <a href="https://www.leonardocompany-us.com/lpr/elsag-signaltrace">با پلاک‌خوان یا بدون آن</a> کار می‌کند، از جمله در فضای بسته، و خودرویی را که پلاکش پوشانده یا برداشته شده نیز بازمی‌شناسد.</p> <p>مسئلهٔ سیاسی واقعی همین ارتقای تجهیزات موجود است. نصب یک شبکهٔ دوربین تازه رأی‌گیری، شور و گاه دعوای حقوقی به دنبال دارد. افزودن یک برد الکترونیکی درون جعبه‌ای که پیش‌تر تأیید شده هیچ چیز به دنبال ندارد. توان نظارت بدون بحث عمومی ماهیت خود را عوض می‌کند، چون از نظر مادی چیز تازه‌ای برای دیدن نیست.</p> <h2 id="از-خودرو-به-شخص-و-از-شخص-به-گروه">از خودرو به شخص، و از شخص به گروه</h2> <p>پلاک‌خوان به یک پرسش پاسخ می‌دهد: این خودرو کجا بوده است. SignalTrace دو پرسش دیگر می‌افزاید: چه کسی درون آن بوده، و با چه کسی.</p> <p>لئوناردو این را پنهان نمی‌کند، همین استدلال فروش است. سامانه چیزی می‌سازد که مستندات آن را <strong>اثر انگشت الکترونیکی</strong> می‌نامد، مجموعه‌ای از شناسه‌ها که «غالباً با هم فرستاده می‌شوند». مثال سازنده صریح است: در یک شهر کامل، تنها یک خودرو آیفون 13rev2، رادیوپخش آئودی، هدست بوز، ساعت گارمین، ردیاب کلید و پلاک ABC-1234 را کنار هم خواهد داشت.</p> <blockquote> <p>این محصول تنها خودروها را دنبال نمی‌کند. به‌طور خودکار گرافی از روابط میان اشخاص تولید می‌کند، بی‌آنکه کسی ناچار باشد کوچک‌ترین ظنی را صورت‌بندی کند.</p> </blockquote> <p>جهش کیفی همین‌جا رخ می‌دهد. سامانه با هم‌بسته‌کردن دستگاه‌هایی که مرتب با هم سفر می‌کنند، به‌طور مکانیکی گرافی اجتماعی می‌سازد. دو تلفن که هر صبح در یک خودرو کنار هم می‌آیند یا هم‌سفری‌اند یا رابطه‌ای که هیچ‌کدام نمی‌خواهند علنی شود. پنجاه دستگاه که در یک مکان و یک ساعت ثبت می‌شوند یعنی یک گردهمایی: یک تظاهرات، یک مراسم دینی، یک نشست صنفی یا صفی جلوی یک درمانگاه.</p> <p>هیچ‌یک از این نتیجه‌گیری‌ها نیازمند دسترسی به محتوای یک ارتباط نیست. از جدولی از مجاورت استنتاج می‌شود، به‌طور پیش‌فرض، دربارهٔ کل جمعیت در حال تردد و نه دربارهٔ اهدافی مشخص. این مجرمیت به سبب معاشرت است، تولیدشده در مقیاس صنعتی، پیش از هر تحقیقی. تام باومن، حقوق‌دان <a href="https://cdt.org/staff/tom-bowman/">Center for Democracy &amp; Technology</a>، مسئله را در <a href="https://www.technewsworld.com/story/license-plate-reader-adds-device-snooping-feature-180421.html">TechNewsWorld</a> چنین خلاصه می‌کند: آنچه این ابزار را برای تعقیب یک مظنون واقعی سودمند می‌کند، آن را به همان اندازه توانا می‌سازد که همهٔ رانندگان دیگر را نیز دنبال کند، رانندگانی که هیچ‌یک به ثبت دستگاه‌هایشان رضایت نداده‌اند.</p> <p>لئوناردو دو استدلال در برابر می‌گذارد: سامانه محتوای ارتباطات را نه رمزگشایی می‌کند و نه می‌خواند، و به خودی خود هویت اشخاص را تعیین نمی‌کند. هر دو گزاره درست‌اند و هر دو بی‌ربط. اطلاعاتی که جست‌وجو می‌شود هرگز محتوا نبوده است، در فرادادهٔ موقعیت نهفته است که از یک پیام گویاتر است. دربارهٔ شناسایی هم، خود سازنده می‌پذیرد که بازپرس می‌تواند یک امضای الکترونیکی را به یک پلاک پیوند بزند و سپس از راه سوابق شماره‌گذاری به مالک برسد.</p> <h2 id="حقوقی-آمریکایی-که-برای-چیز-دیگری-نوشته-شده">حقوقی آمریکایی که برای چیز دیگری نوشته شده</h2> <p>در ایالات متحده قوانین ایالتی ناظر بر پلاک‌خوان‌ها وجود دارد و برخی دربارهٔ مدت نگهداری و اهداف دسترسی سخت‌گیرند. اما همه پیرامون یک موضوع دقیق نوشته شده‌اند: <strong>تصویر یک پلاک خودرو</strong>. هیچ‌یک ثبت شناسه‌های دستگاه‌های شخصی توسط همان تجهیزات را پیش‌بینی نمی‌کند.</p> <p>این ناهم‌خوانی نه بی‌قانونی، که منطقه‌ای خاکستری می‌سازد که برای فروشنده راحت‌تر است. یک ادارهٔ پلیس می‌تواند بی‌آنکه دروغ بگوید بگوید برنامهٔ پلاک‌خوانش مجاز و منطبق است، در حالی که از این پس زیر همان رژیم داده‌هایی با ماهیتی کاملاً متفاوت گرد می‌آورد. لئوناردو افزون بر این قراردادهای فدرال دارد، با Special Operations Command و General Services Administration، یعنی مسیر خریدی که تأییدهای محلی را تا حد زیادی دور می‌زند.</p> <p>بحث قانون اساسی هم تازه تکان خورده است، و اینجا باید دقیق بود چون وضع حقوقی این تابستان تغییر کرد. در ژانویهٔ ۲۰۲۶ دادگاهی فدرال در ویرجینیا در پروندهٔ <em>Schmidt v. City of Norfolk</em> رأی داد که شبکهٔ دوربین Flock شهر <a href="https://www.courthousenews.com/judge-holds-norfolks-license-plate-reader-use-constitutional/">تفتیش محسوب نمی‌شود</a> به معنای متمم چهارم، چون همهٔ جابه‌جایی‌های ساکنان را پوشش نمی‌دهد. این رأی در مرحلهٔ تجدیدنظر در حوزهٔ چهارم است، جایی که <a href="https://www.aclu.org/campaigns-initiatives/get-the-flock-out">ACLU</a> وارد شده است.</p> <p>سپس در ۲۹ ژوئن ۲۰۲۶ دیوان عالی رأی <a href="https://www.supremecourt.gov/opinions/25pdf/25-112_0am4.pdf"><em>Chatrie v. United States</em></a> را صادر کرد. با پنج رأی در برابر چهار، به قلم قاضی کیگن، مقرر داشت که تحصیل داده‌های موقعیت یک تلفن توسط پلیس تفتیش است، زیرا فرد انتظار معقول حریم خصوصی نسبت به این داده‌ها را حفظ می‌کند، حتی وقتی نزد شخص ثالث باشد و حتی برای مدتی کوتاه. این رأی <em>Carpenter v. United States</em> سال ۲۰۱۸ را امتداد می‌دهد و دکترین شخص ثالث را تضعیف می‌کند، چنان‌که <a href="https://cdt.org/insights/op-ed-scotuss-signals-in-chatrie-and-on-the-potential-limits-of-location-tracking/">CDT</a> یادآور شده است.</p> <p>دامنهٔ دقیق <em>Chatrie</em> دربارهٔ SignalTrace روشن نیست و ادعای خلاف آن بی‌احتیاطی است: رأی ناظر بر داده‌هایی است که از گوگل خواسته شده، نه بر ثبت مستقیم توسط حسگر پلیس در فضای عمومی. اما استدلالی را مستقر می‌کند که اهمیت دارد، یعنی اینکه حساسیت یک دادهٔ موقعیت به این بستگی ندارد که چه کسی آن را در اختیار دارد.</p> <h2 id="پرسش-اروپایی-که-پرسش-اصلی-است">پرسش اروپایی، که پرسش اصلی است</h2> <p>اینجاست که پرونده برای اروپا آزاردهنده می‌شود. لئوناردو تأمین‌کننده‌ای آمریکایی نیست، بلکه گروهی ایتالیایی است پذیرفته‌شده در بورس میلان که سهام‌دار نخست آن وزارت اقتصاد و دارایی ایتالیا با حدود ۳۰ ٪ سرمایه است و اختیار تعیین اکثریت هیئت‌مدیره را دارد. دولت ایتالیا در این محصول سهام‌داری منفعل نیست.</p> <h3 id="نخست-نکته-فنی">نخست نکتهٔ فنی</h3> <p>در حقوق اروپا، شناسهٔ یک دستگاه دادهٔ شخصی است. این نظری دکترینی نیست بلکه موضع پایدار مقامات است. CNIL نشانی MAC را در دکترین خود دربارهٔ <a href="https://www.cnil.fr/fr/dispositifs-de-mesure-daudience-et-de-frequentation-dans-des-espaces-accessibles-au-public-la-cnil">سامانه‌های سنجش تردد</a> صراحتاً چنین تلقی می‌کند و گردآوری آن در فضای عمومی را تنها با شرایطی تنگ می‌پذیرد: ناشناس‌سازی در چند دقیقه با نرخ برخورد بالا میان افراد، یا نام‌مستعارسازی مطمئن و سپس نابودسازی ظرف بیست‌وچهار ساعت، وگرنه رضایت الزامی می‌شود. همان دکترین تصریح می‌کند که دعوت مردم به خاموش‌کردن وای‌فای شیوهٔ قابل قبولی برای اعتراض نیست.</p> <p>دیوان دادگستری اتحادیهٔ اروپا در ۴ سپتامبر ۲۰۲۵ در پروندهٔ <em>EDPS علیه SRB</em> (C-413/23 P) روشن کرد که شخصی‌بودن یک دادهٔ نام‌مستعارشده در پرتو ابزارهای بازشناسایی‌ای سنجیده می‌شود که به‌طور معقول قابل به‌کارگیری‌اند. حال آنکه اینجا دارنده یک مقام پلیسی است که سوابق شماره‌گذاری را در اختیار دارد. ابزارهای بازشناسایی فرضی نیستند، در اتاق بغلی‌اند.</p> <h3 id="ظرافتی-که-همه-چیز-را-عوض-میکند">ظرافتی که همه چیز را عوض می‌کند</h3> <p>نوشتن اینکه SignalTrace «در اروپا غیرقانونی خواهد بود» نادرست است و خوانندهٔ حقوق‌دان بی‌درنگ متوجه می‌شود. پردازشی که یک مقام صالح برای اهداف پیشگیری و تعقیب کیفری انجام می‌دهد مشمول GDPR نیست. مشمول <a href="https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX%3A32016L0680">دستورالعمل (اتحادیهٔ اروپا) ۲۰۱۶/۶۸۰</a> است، موسوم به دستورالعمل پلیس و دادگستری، که هر کشور عضو جداگانه آن را به حقوق داخلی خود منتقل می‌کند، در فرانسه در باب سوم قانون اطلاعات و آزادی‌ها. <a href="https://www.cnil.fr/fr/directive-police-justice-de-quoi-parle-t">CNIL</a> یادآور می‌شود که این رژیم مستقل است، با مبانی مشروعیت و حقوق ویژهٔ خود.</p> <p>پرسش درست بنابراین پرسش مشروعیت انتزاعی نیست، بلکه پرسش شرایط است. زیر این رژیم، چنین سامانه‌ای مستلزم مبنای قانونی ملی صریح، اهداف معین، ضرورت اثبات‌شده، مدت نگهداری محدود، ارزیابی اثر و نظارت مستقل است. در فرانسه پلاک‌خوان‌ها همین‌گونه تنظیم شده‌اند: مواد L233-1 و L233-1-1 قانون امنیت داخلی فهرستی حصری از جرایمی را تعیین می‌کنند که کاربرد آن‌ها را مجاز می‌سازد، و مدت نگهداری همچنان از کوتاه‌ترین‌ها در اتحادیه است، اصولاً پانزده روز، هرچند طرحی در مجلس سنا در پی افزایش آن است.</p> <p>این تفاوت بنیادی با وضعیت آمریکاست. در ایالات متحده قانون یک موضوع را تنظیم می‌کند، پلاک را، و سکوت دربارهٔ شناسه‌های دستگاه‌ها در حکم اجازه است. در اروپا قانون اهداف و دسته‌های داده را تنظیم می‌کند و این سکوت، در نبود مبنای قانونی صریح، بیشتر در حکم ممنوعیت است. خلائی که آن سوی اقیانوس دیده می‌شود اینجا به همان شکل وجود ندارد. نه از آن رو که اروپا فضیلت‌مندتر است: فن حقوقی‌اش وارونه است.</p> <h3 id="پس-این-حمایت-چه-ارزشی-دارد">پس این حمایت چه ارزشی دارد</h3> <p>پرسشی می‌ماند که این نوشته برای آن است. حمایت مقرراتی اروپایی چه ارزشی دارد وقتی یک شرکت اروپایی، تحت کنترل یک کشور عضو، بیرون از اروپا توانی را می‌فروشد که در خانهٔ خود بدون قانونی تازه نمی‌تواند مستقر کند؟</p> <p>ایرادها شایستهٔ توجه جدی‌اند. یک صنعتگر مسئول چارچوب قانونی مشتری‌اش نیست: تصمیم دربارهٔ آنچه در خاک خود مجاز می‌دانند با مقامات آمریکایی است. محصول به یک دیکتاتوری فروخته نمی‌شود بلکه به یک دولت حقوقی با دیوان عالی فعال، چنان‌که <em>Chatrie</em> همین حالا یادآوری کرد. و استدلال حاکمیت صنعتی مشروع است: اگر گروه‌های اروپایی این بازارها را بر خود ببندند، تأمین‌کنندگان اسرائیلی، آمریکایی یا چینی آن‌ها را می‌گیرند، بی‌آنکه نظارت یک متر عقب بنشیند، و اروپا پایگاه فناورانه‌اش را از دست می‌دهد.</p> <p>این استدلال‌ها پذیرفتنی‌اند. اما به مسئله پاسخ نمی‌دهند.</p> <p>نخست از آن رو که اتحادیه پیشاپیش پذیرفته است که صدور ابزارهای نظارت تجارتی مانند دیگر تجارت‌ها نیست. <a href="https://www.entreprises.gouv.fr/espace-entreprises/s-informer-sur-la-reglementation/le-reglement-europeen-sur-les-biens-double">مقررات (اتحادیهٔ اروپا) ۲۰۲۱/۸۲۱</a> دربارهٔ کالاهای دومنظوره در مادهٔ ۵ خود بندی فراگیر ناظر بر کالاهای نظارت سایبری وارد کرد، چون قانون‌گذار پذیرفت ابزاری که ساختش قانونی است ممکن است در مقصد نامشروع باشد. حد آن آموزنده است: با خطر سرکوب داخلی یا نقض‌های شدید حقوق بشر فعال می‌شود، یعنی دسته‌هایی که برای رژیم‌های اقتدارگرا اندیشیده شده‌اند. فروش به یک پلیس شهرداری آمریکایی در آن نمی‌گنجد. شبکهٔ سنجش اروپایی اخلاق مشتری را می‌سنجد، هرگز ماهیت توانی را که فروخته می‌شود.</p> <p>دوم از آن رو که چنین محصولی انبار کالایی نیست که تخلیه شود، بلکه توانی است که نگه‌داری می‌شود: پژوهش را تأمین مالی می‌کند، مهندس تربیت می‌کند، دانش فنی می‌انبارد و پایگاهی نصب‌شده پدید می‌آورد. روزی که حمله‌ای بزرگ کشوری عضو را به مطالبهٔ این توان وادارد، بحث دیگر بر سر شایستگی ساختن آن نخواهد بود. وجود خواهد داشت، اروپایی خواهد بود، پخته خواهد بود، و تأمین‌کننده‌اش تا حدی دولتی. آنگاه استدلال «ما فقط از بازار پیروی می‌کنیم» دوری می‌شود، چون بازار داخلی را همان صادرات آماده کرده است.</p> <p>ارزش یک حمایت مقرراتی در این سناریو همین است: اروپایی‌ها را در برابر کاربردها حفظ می‌کند، نه در برابر وجود ابزارها. این پرسش را حل می‌کند که چه کسی حق فشردن دکمه را دارد و ساختن، فروختن، بهبوددادن و سپس انتظارکشیدن را به صنعت وامی‌گذارد.</p> <h2 id="چه-میتوان-کرد-بیآنکه-خود-را-فریب-دهیم">چه می‌توان کرد، بی‌آنکه خود را فریب دهیم</h2> <p>نخستین پاسخی که همیشه مطرح می‌شود تصادفی‌سازی نشانی MAC است. سزاوار بررسی صادقانه است، نه تبلیغ و نه تحقیر. واقعی است و کار می‌کند.</p> <p>اندروید از نسخهٔ ۱۰ و iOS از نسخهٔ ۱۴ به‌طور پیش‌فرض نشانی MAC به‌کاررفته در وای‌فای را تصادفی می‌کنند، با نشانی متفاوت برای هر شبکه. در بلوتوث کم‌مصرف، دستگاه‌های امروزی نشانی‌های خصوصی قابل‌تحلیل پخش می‌کنند که به‌طور دوره‌ای عوض می‌شوند و تنها طرفی که کلید تحلیل را دارد می‌تواند آن‌ها را به دستگاه واقعی نسبت دهد.</p> <p>محدودیت‌هایش به همان اندازه واقعی‌اند.</p> <ul> <li><strong>جفت‌شدن دوباره در را باز می‌کند.</strong> کلید تحلیل هنگام جفت‌شدن منتقل می‌شود. دستگاهی که پیش‌تر جفت شده یا صریحاً تأیید شده، هویت پایدار پشت نشانی چرخان را بازمی‌یابد. سازوکار برای همین ساخته شده است.</li> <li><strong>بسیاری از اشیا هیچ چیز را تصادفی نمی‌کنند.</strong> حسگرهای فشار لاستیک، کارت‌های RFID، تراشه‌های شناسایی حیوان، رادیوپخش خودرو و لوازم جانبی ارزان شناسه‌های ثابت می‌فرستند. برگهٔ محصول لئوناردو دقیقاً همین دسته‌ها را نام می‌برد و این تصادفی نیست.</li> <li><strong>تصادفی‌سازی را می‌توان خاموش کرد.</strong> شبکه‌به‌شبکه غیرفعال می‌شود و اغلب برای راحتی خاموش است، برای فیلتر MAC روی روتر خانگی یا به حکم سیاست سازمانی.</li> <li><strong>گروه از چرخش شناسه‌ها جان به در می‌برد.</strong> این کم‌شهودی‌ترین و مهم‌ترین نکته است. SignalTrace دنبال یک شناسه نیست، دنبال مجموعه‌ای از دستگاه‌هاست که با هم سفر می‌کنند. اگر تنها یک عضو گروه شناسه‌ای ثابت بفرستد، کل مجموعه قابل انتساب می‌ماند، هر اندازه هم بقیه منضبط باشند.</li> </ul> <p>مؤثرترین تدبیر همچنان کسل‌کننده‌ترین است: نفرستادن. این یعنی خاموش‌کردن بلوتوث و وای‌فای در سطح سیستم، در تنظیمات، نه از پنل میان‌بر. این تمایز آرایشی نیست، آن را در نوشته‌مان دربارهٔ <a href="https://arpokrat.com/fa/blog/how-your-phone-tracks-your-location/">ردیابی دائمی موقعیت تلفن</a> به تفصیل آورده بودیم: در بیشتر سیستم‌های مصرفی، دکمهٔ پنل سریع جفت‌شدن آشکار را قطع می‌کند اما پشتهٔ نرم‌افزاری را زنده می‌گذارد و تحلیل‌های مجاورت ادامه می‌یابد. آن نوشته پویش بلوتوث را برداری نظری توصیف می‌کرد. SignalTrace محصول تجاری آن است، فهرست‌شده و قابل تحویل.</p> <p>باید دربارهٔ نتیجه صادق ماند: این تدبیرها سطح مواجهه را کم می‌کنند، از میان نمی‌برند. خودرو همچنان یک پلاک است و پلاک همچنان خواندنی. تنها راه هیچ نفرستادن، هیچ همراه نداشتن است، و این سیاست عمومی نیست.</p> <h2 id="این-درباره-انتخابهای-طراحی-ما-چه-میگوید">این دربارهٔ انتخاب‌های طراحی ما چه می‌گوید</h2> <p>در آرپوکرات، همین استدلال ما را به آنجا رساند که بلوتوث را در سطح Core در ArpokratOS مدیریت کنیم نه در سطح تنظیمات. یک کلید در رابط کاربری ترجیح کاربر است: یک به‌روزرسانی، یک برنامهٔ سیستمی یا یک سرویس موقعیت‌یابی می‌تواند آن را دور بزند یا دوباره فعال کند، بی‌آنکه کاربر بداند. پشته‌ای که وجود ندارد دوباره فعال نمی‌شود.</p> <p>در برابر ثبتی مانند SignalTrace، این بدیهی است که دستگاه را غیرقابل‌کشف نمی‌کند و ما هم چنین ادعایی نداریم: تلفن روی شبکهٔ همراه می‌ماند و دیگر اشیای خودرو به حساب خود می‌فرستند. آنچه تضمین می‌کند این است که یک بردار ارسال مشخص بنا بر ساخت غایب است نه اینکه بر پایهٔ اعتماد خاموش شده باشد. این همان نظریه‌ای است که دربارهٔ <a href="https://arpokrat.com/fa/blog/5g-location-data-privacy-law/">۵G و خطای هدف‌گیری حقوق</a> از آن دفاع می‌کردیم: حمایت حقوقی بر دسترسی به داده‌ها متمرکز است حال آنکه باید بر خودِ وجود زیرساختی باشد که آن‌ها را تولید می‌کند. SignalTrace نمونهٔ آن است، با این تفاوت که این زیرساخت در اروپا ساخته می‌شود.</p> <h2 id="نتیجهگیری">نتیجه‌گیری</h2> <p>چشمگیرترین چیز در این پرونده توان فنی نیست، که پژوهشگران سال‌هاست وصفش می‌کنند. شیوهٔ استقرار است.</p> <p>هیچ شبکهٔ دوربین تازه‌ای برای افتتاح نخواهد بود، هیچ مصوبهٔ شهرداری برای اعتراض، هیچ مناقصهٔ عمومی که بتوان آن را تغییری ماهوی شناخت. ماژول‌هایی خواهند بود که به تیرک‌های موجود افزوده می‌شوند، ذیل قراردادهای موجود، در برنامه‌هایی که پیش‌تر مجاز شده‌اند. روزی که بحث عمومی آغاز شود، زیرساخت نصب‌شده، مستهلک‌شده و در رویه‌های تحقیق ادغام‌شده خواهد بود. بحث آنگاه بر سر شرایط دسترسی به پایگاهی خواهد بود که وجود دارد، هرگز بر سر شایستگی تشکیل آن.</p> <p>این ترتیب معمول امور در حوزهٔ نظارت است و تصادفی نیست. می‌ماند اینکه بدانیم آیا اروپا برای خود حرفی می‌بیند وقتی صنعتگران خودش، با تکیه بر دولت‌های خودش، این زیرساخت را برای دیگران می‌سازند. حقوق اروپا پاسخ به این پرسش را که چه کسی می‌تواند نزد ما این داده‌ها را ببیند با دقت سامان داده است. اما هرگز این پرسش را طرح نکرده که چه کسی حق ساختن ماشین را دارد.</p> https://arpokrat.com/fa/blog/how-your-phone-tracks-your-location/ Sun, 02 Aug 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/how-your-phone-tracks-your-location/ <p>در سال ۲۰۲۴، دو پژوهشگر دانشگاه مریلند بارها و بارها از سرویس موقعیت‌یابی وای‌فای اپل پرس‌وجو کردند، بدون هیچ دسترسی ویژه و بدون سخت‌افزار تخصصی، و در یک سال موقعیت دقیق بیش از دو میلیارد نقطه دسترسی وای‌فای در سراسر جهان را بازسازی کردند. مقاله آنان، <a href="https://www.cs.umd.edu/~dml/papers/wifi-surveillance-sp24.pdf">Surveilling the Masses with Wi-Fi-Based Positioning Systems</a>، نشان می‌دهد این نقشه چه چیزی را ممکن می‌کند: ردیابی تجهیزاتی که وارد اوکراین می‌شوند و از آن خارج می‌شوند، مشاهده جابه‌جایی جمعیت پس از آتش‌سوزی‌های مائویی، و تعقیب یک فرد از طریق مودم اینترنت خانه‌اش.</p> <p>هیچ‌کدام از این دستگاه‌ها GPS را فعال نکرده بودند. موقعیت از جای دیگری می‌آمد.</p> <p>این رایج‌ترین نقطه کور در زمینه حریم خصوصی موبایل است: این باور که کلیدی برای موقعیت‌یابی وجود دارد و همین که خاموشش کنی، گوشی دیگر نمی‌داند کجاست. این باور در هفت سطح متفاوت نادرست است.</p> <blockquote> <p>موقعیت‌یابی قابلیتی نیست که گوشی شما آن را روشن کند. خاصیتی است از آنچه گوشی هست.</p> </blockquote> <h2 id="gps-یا-کمدردسرترین-مسیر">GPS، یا کم‌دردسرترین مسیر</h2> <p>تنها سازوکاری که همه نامش را می‌دانند، همان است که باید کمتر از همه نگرانتان کند.</p> <p><strong>GNSS</strong>، اصطلاح کلی که GPS آمریکایی، گالیله، گلوناس و بیدو را در بر می‌گیرد، با شنیدن کار می‌کند. ماهواره‌ها پیوسته سیگنال‌هایی با مهر زمانی می‌فرستند، گیرنده چند تای آن‌ها را می‌گیرد و از اختلاف زمان انتشار، موقعیت خود را حساب می‌کند. دقت معمول در فضای باز: سه تا پنج متر، و در شهر اغلب چند ده متر، چون نمای ساختمان‌ها سیگنال‌ها را بازتاب می‌دهد.</p> <p>نکته تعیین‌کننده این است که این محاسبه <strong>منفعل</strong> است. گوشی چیزی به‌سوی ماهواره‌ها نمی‌فرستد و هیچ اپراتور ماهواره‌ای نمی‌داند شما وجود دارید. اگر تنها GNSS در میان بود، خاموش‌کردن GPS کفایت می‌کرد.</p> <p>با این حال یک نکته باریک هست. برای شتاب‌بخشیدن به نخستین محاسبه، گوشی‌ها از <strong>A-GPS</strong> استفاده می‌کنند: داده‌های مداری ماهواره‌ها را از یک سرور و از طریق پروتکل <a href="https://en.wikipedia.org/wiki/Assisted_GNSS">SUPL</a> دانلود می‌کنند. برای دریافت داده درست، گوشی شناسه سلولی شبکه‌ای را که به آن متصل است به همان سرور می‌فرستد. GNSS خالص شما را لو نمی‌دهد، اما شتاب‌دهنده‌ای که به آن پیوند زده‌اند، می‌دهد.</p> <h2 id="شبکه-همراه-آنچه-اپراتور-بنا-بر-ساختار-میداند">شبکه همراه: آنچه اپراتور بنا بر ساختار می‌داند</h2> <p>برای اینکه تماسی به شما برسد، شبکه باید بداند در کدام محدوده هستید. این گزینه‌ای برای فعال‌کردن نیست، بلکه شرط وجود خود سرویس است. گوشی شما پیوسته خود را به نزدیک‌ترین دکل معرفی می‌کند و این ثبت، نزد اپراتور ردی به‌جا می‌گذارد. هیچ برنامه‌ای نصب نشده، هیچ دسترسی‌ای داده نشده: یک سیم‌کارت فعال کافی است.</p> <p>دقت به روش بستگی دارد:</p> <ul> <li><strong>تنها شناسه سلول</strong>: از ۲۰۰ متر در بافت شهری متراکم تا بیش از ۳۰ کیلومتر در مناطق روستایی، جایی که یک دکل شعاع بسیار وسیعی را پوشش می‌دهد.</li> <li><strong>Cell ID غنی‌شده</strong>، که بخش آنتن (بیشتر سایت‌ها به سه بخش ۱۲۰ درجه تقسیم شده‌اند) و قدرت سیگنال را می‌افزاید: از ۱۰۰ متر تا چند کیلومتر.</li> <li><strong>Timing advance</strong>، که تأخیر رفت و برگشت میان گوشی و دکل را اندازه می‌گیرد: حدود ۵۵۰ متر در GSM و نزدیک ۷۸ متر در LTE.</li> <li><strong>چندفاصله‌سنجی</strong> بر پایه سه دکل یا بیشتر: ۵۰ تا ۳۰۰ متر در LTE شهری.</li> </ul> <p><strong>۵G</strong> به دو دلیل انباشتی، مقیاس را دگرگون می‌کند. نخست تراکم: سلول‌های ۵G شعاع‌های بسیار کوتاه‌تری را پوشش می‌دهند، پس صرفِ اتصال هم خودش اطلاعاتی دقیق است. سپس استانداردسازی: از نسخه Release 16 به بعد، 3GPP سیگنال‌های موقعیت‌یابی بومی را در خود دارد. هدف‌های تجاری کمتر از ۳ متر در فضای بسته و کمتر از ۱۰ متر در فضای باز برای ۸۰ ٪ دستگاه‌هاست، و <a href="https://arxiv.org/pdf/2401.17594">Release 18</a> برای برخی کاربردهای صنعتی تا سطح سانتی‌متر پایین می‌آید.</p> <p>پس زیرساختی که شما را متصل می‌کند، خودش به سامانه‌ای موقعیت‌یاب با کیفیتی همسنگ GPS بدل می‌شود، بی‌آنکه شما چیزی را فعال کرده باشید. این داده بر پایه قواعد ملی نگهداری می‌شود و با رویه‌های گوناگون در دسترس مقامات قرار می‌گیرد. این همان بحث بنیادینی است که درباره <a href="https://arpokrat.com/fa/blog/data-act-vs-cloud-act-digital-sovereignty/">صلاحیت قضایی حاکم بر داده‌های میزبانی‌شده</a> مطرح کردیم: حفاظت فنی و حفاظت حقوقی بر هم منطبق نیستند.</p> <h2 id="وایفای-نقشهای-از-جهان-ساختهشده-از-نشانیهای-سختافزاری">وای‌فای: نقشه‌ای از جهان، ساخته‌شده از نشانی‌های سخت‌افزاری</h2> <p>هر نقطه دسترسی وای‌فای پیوسته یک شناسه سخت‌افزاری یکتا، یعنی <strong>BSSID</strong>، پخش می‌کند. این شناسه‌ها ثابت‌اند و از نظر جغرافیایی پایدار: مودم خانگی سال‌ها در همان نقطه می‌ماند.</p> <p>اپل، گوگل و چند بازیگر تخصصی، پایگاه‌هایی نگه می‌دارند که هر BSSID را به مختصاتی پیوند می‌زند؛ این پایگاه‌ها را گوشی کاربران خودشان می‌سازند، گوشی‌هایی که فهرست نقاط دیده‌شده را همراه با یک موقعیت GNSS گزارش می‌کنند. سپس عملیات وارونه می‌شود: گوشی‌ای که چهار نقطه شناخته‌شده را می‌بیند، دیگر به هیچ ماهواره‌ای نیاز ندارد. در بافت شهری متراکم، دقت معمولاً به چند ده متر می‌رسد و در فضای بسته از آن هم پایین‌تر می‌آید.</p> <p>دو ویژگی، خنثی‌کردن این سازوکار را دشوار می‌کند. نخست اینکه گوشی <strong>حتی وقتی وای‌فای خاموش به‌نظر می‌رسد هم پویش می‌کند</strong>: از اندروید ۴.۳ به بعد، سیستم یک پویش دوره‌ای را برای بهبود موقعیت‌یابی نگه می‌دارد، مستقل از کلید موجود در پنل سریع. این رفتار به تنظیمی جداگانه وابسته است که در دل سرویس‌های موقعیت‌یابی دفن شده و تقریباً هیچ کاربری هرگز آن را باز نکرده است.</p> <p>دوم اینکه می‌توان از بیرون از این پایگاه پرس‌وجو کرد. همین رخنه‌ای است که رای و لوین از آن بهره بردند: رابط‌های موقعیت‌یابی نه‌تنها موقعیت درخواستی، بلکه موقعیت نقاط همسایه را نیز برمی‌گردانند، و همین امکان می‌دهد نقشه را درو کنی بی‌آنکه هرگز از نظر فیزیکی به آن مکان‌ها نزدیک شوی.</p> <h2 id="بلوتوث-و-ble-موقعیتیابی-بهدست-گوشی-دیگران">بلوتوث و BLE: موقعیت‌یابی به‌دست گوشی دیگران</h2> <p><strong>بلوتوث کم‌مصرف (BLE)</strong> لایه‌ای از مجاورت می‌افزاید، با بردی از چند متر تا چند ده متر، یعنی با دانه‌بندی بسیار ریزتر از شبکه همراه. دو کاربرد در کنار هم وجود دارند. <strong>بیکن‌های تجاری</strong>، که در فروشگاه‌ها، فرودگاه‌ها یا مراکز خرید نصب می‌شوند، شناسه‌ای می‌فرستند که برنامه‌های روی گوشی آن را می‌شناسند و بدین‌سان آشکار می‌شود جلوی کدام قفسه و چه مدت ایستاده‌اید. و دیگری <strong>شبکه‌های موقعیت‌یابی مشارکتی</strong>، که Find My اپل الگوی آن‌هاست و از آن پس گوگل و سامسونگ نیز آن را برگرفته‌اند.</p> <p>این سازوکار دوم، فرضی ناگفته را وارونه می‌کند. تحلیل مرجع <a href="https://petsymposium.org/popets/2021/popets-2021-0045.php">Who Can Find My Devices?</a>، که پژوهشگران دانشگاه فنی دارمشتات در مجموعه‌مقالات PETS 2021 منتشر کردند، پروتکل اپل را با مهندسی معکوس بازسازی کرد. دستگاهی که آفلاین است سیگنالی BLE می‌فرستد، هر دستگاه اپلی در آن حوالی آن را می‌گیرد، موقعیت خود را به آن می‌افزاید و رمزگذاری‌شده به سرورهای اپل می‌فرستد، بی‌آنکه نه دارنده‌اش خبردار شود و نه دارنده دستگاهی که موقعیتش پیدا شده است.</p> <p>پیامد، ساختاری است: دستگاهی بدون سیم‌کارت، بدون وای‌فای و بدون هیچ‌گونه اتصال شبکه، همچنان قابل ردیابی می‌ماند، به شرط آنکه ناشناسی با گوشی در جیب از کنارش بگذرد. انزوای شما دیگر به تنظیمات شما بستگی ندارد، بلکه به تنظیمات رهگذران وابسته است.</p> <h2 id="حسگرهای-اینرسی-موقعیتیابی-بدون-مجوز-موقعیت">حسگرهای اینرسی: موقعیت‌یابی بدون مجوز موقعیت</h2> <p>گوشی شتاب‌سنج، ژیروسکوپ، مغناطیس‌سنج و اغلب فشارسنج دارد. این حسگرها در دسته‌ای از مجوزها جای می‌گیرند که از موقعیت جداست: یک برنامه می‌تواند آن‌ها را بخواند بی‌آنکه هرگز پرسیده باشد کجایید.</p> <p>پژوهشگران پرینستون این را با <a href="https://arxiv.org/pdf/1802.01468">PinMe</a> نشان دادند. برنامه آن‌ها برای یک موقعیت خام از نشانی IP و منطقه زمانی آغاز می‌کند و سپس حسگرها را می‌خواند: شتاب‌سنج الگوی شتاب‌گیری و ترمز را می‌دهد، ژیروسکوپ ترتیب پیچ‌ها را، مغناطیس‌سنج جهت حرکت را و فشارسنج تغییرات ارتفاع را. یک شبکه عصبی شیوه جابه‌جایی را تشخیص می‌دهد، پیاده، خودرو، قطار یا هواپیما، و مسیر روی داده‌های عمومی نقشه، ارتفاع و هواشناسی منطبق می‌شود. نتیجه: مسیری با دقتی همسنگ GPS، بدون مجوز موقعیت. این روش محدودیت‌هایی دارد که نویسندگان ثبتشان کرده‌اند، چون در مناطق بدون جاده ناکام می‌ماند و در بافت‌های شطرنجی یکنواخت افت می‌کند، جایی که مسیرهای بسیاری امضای یکسانی می‌سازند. اما همچنان اثباتی است بر اینکه مجوز ردشده، درِ بسته نیست.</p> <p>فشارسنج افزون بر این، بُعدی را فراهم می‌کند که GNSS در آن ضعیف است، یعنی بُعد عمودی. الزامات آمریکا برای تماس‌های اضطراری، دقت در حد طبقه با خطای مثبت و منفی ۳ متر را برای ۸۰ ٪ تماس‌های داخل ساختمان مقرر می‌کند. دانستن اینکه کسی در کدام طبقه است، از جنس دیگری است تا دانستن اینکه در کدام بلوک ساختمانی است.</p> <h2 id="بازار-داده-پیشپاافتادهترین-مسیر">بازار داده: پیش‌پاافتاده‌ترین مسیر</h2> <p>سازوکارهای پیشین توضیح می‌دهند موقعیت چگونه محاسبه می‌شود. می‌ماند اینکه به کجا می‌رود، و بخش عمده خطر روزمره درست همان‌جا رقم می‌خورد.</p> <p>هزاران برنامه <strong>SDK‌های تبلیغاتی</strong> را در خود جای می‌دهند، یعنی قطعه‌های نرم‌افزاری از شرکت‌های ثالث که توسعه‌دهنده برای کسب درآمد از کارش یا سنجش مخاطبش به برنامه می‌افزاید. این قطعه‌ها مجوزهای برنامه میزبان را به ارث می‌برند: برنامه هواشناسی‌ای که به‌حق به موقعیت شما نیاز دارد، آن را به بازیگرانی می‌سپارد که هرگز نامشان را نخوانده‌اید. به این باید <strong>جریان‌های مزایده تبلیغاتی</strong> را افزود، جایی که با هر بار نمایش یک بنر، موقعیت تقریبی شما میان ده‌ها خریدار بالقوه پخش می‌شود، از جمله آنان که چیزی نمی‌خرند و تنها گوش می‌سپارند.</p> <p>این ماده خام، صنعتی را تغذیه می‌کند. بنیاد مرزهای الکترونیک پرونده <a href="https://www.eff.org/deeplinks/2022/08/inside-fog-data-science-secretive-company-selling-mass-surveillance-local-police">Fog Data Science</a> را مستند کرد؛ شرکتی که مدعی میلیاردها نقطه‌داده درباره بیش از ۲۵۰ میلیون دستگاه بود و آن‌ها را به پلیس‌های محلی آمریکا می‌فروخت. برایان کربس <a href="https://krebsonsecurity.com/2024/10/the-global-surveillance-free-for-all-in-mobile-ad-data/">Locate X</a> را توصیف کرد، محصولی که اجازه می‌دهد روی نقشه چندضلعی‌ای بکشی و تاریخچه دستگاه‌هایی را ببینی که وارد آن محدوده شده و از آن خارج شده‌اند.</p> <p>این مسیر به هیچ هنرنمایی فنی نیاز ندارد، تنها کافی است کسی حاضر به پرداخت باشد. بها هم اندک است.</p> <h2 id="دستگاههای-شکار-imsi-موقعیتیابی-فعال">دستگاه‌های شکار IMSI: موقعیت‌یابی فعال</h2> <p>سازوکارهایی که تا اینجا دیدیم از کارکرد عادی بهره می‌برند. موقعیت‌یابی فعالی هم هست که شخص ثالثی با مداخله در شبکه انجامش می‌دهد.</p> <p><strong>دستگاه شکار IMSI</strong>، یا شبیه‌ساز سلول، تجهیزاتی است که خود را به‌جای یک دکل قانونی جا می‌زند. گوشی‌های درون برد به آن متصل می‌شوند و بدین‌سان شناسه مشترک خود و حضورشان در محدوده‌ای تنگ را آشکار می‌کنند.</p> <p>قرار بود ۵G با جایگزین‌کردن شناسه دائمی آشکار با شناسه‌ای رمزگذاری‌شده به نام SUCI این در را ببندد. این بستن ناقص است. پژوهش‌های ارائه‌شده با عنوان <a href="https://dl.acm.org/doi/10.1145/3448300.3467826">5G SUCI-catchers: still catching them all?</a> حمله‌های پیونددهی را مستند می‌کنند که با وجود رمزگذاری، امکان همبسته‌کردن دوباره نشست‌ها را می‌دهند. مهم‌تر آنکه اگر مهاجم دستگاه را وادار کند به نسلی پیشین، به‌ویژه ۲G که احراز هویتش یک‌طرفه است، سقوط کند، حفاظت به‌کلی فرو می‌ریزد. گوشی ۵G همچنان در برابر حمله‌ای که برای شبکه دهه ۱۹۹۰ طراحی شده آسیب‌پذیر می‌ماند، چون هنوز می‌پذیرد به آنجا فرود بیاید.</p> <h2 id="اقدامهای-متقابل-و-کارآمدی-واقعیشان">اقدام‌های متقابل و کارآمدی واقعی‌شان</h2> <p>هر یک از اقدام‌های زیر کاری انجام می‌دهد. هیچ‌کدام همه‌کار را نمی‌کند، و شکاف میان آنچه انجام می‌دهند و آنچه به آن‌ها نسبت داده می‌شود، تصمیم‌های نادرست را می‌سازد.</p> <h3 id="حالت-پرواز">حالت پرواز</h3> <p>حالت پرواز ارسال مودم همراه، وای‌فای و بلوتوث را قطع می‌کند. این اثری واقعی است و بهترین نتیجه در برابر چنین تلاش ناچیزی.</p> <p>آنچه انجام نمی‌دهد: حسگرهای اینرسی را متوقف نمی‌کند، موقعیت‌های ذخیره‌شده در حافظه نهان را پاک نمی‌کند، که با اتصال دوباره ارسال خواهند شد، و در بیشتر دستگاه‌ها اجازه می‌دهد وای‌فای یا بلوتوث را جداگانه دوباره روشن کنید بی‌آنکه از آن خارج شوید. سرانجام اینکه این یک وضعیت نرم‌افزاری است، نه قطع برق: اتکاپذیری‌اش به سلامت سیستمی بستگی دارد که آن را اعمال می‌کند.</p> <p>جزئیاتی که دست‌کم گرفته می‌شود: جداشدن از شبکه و اتصال دوباره به آن، خودشان رویدادهایی با مهر زمانی نزد اپراتورند. گوشی‌ای که ساعت ۲۱ در یک سلول ناپدید می‌شود و ساعت ۲۳ در سلولی دیگر پدیدار، اطلاعات تولید کرده است، نه سکوت.</p> <h3 id="تصادفیسازی-نشانی-mac">تصادفی‌سازی نشانی MAC</h3> <p>سامانه‌های همراه امروز هنگام پویش نشانی‌های MAC تصادفی می‌فرستند تا ردیابی از مکانی به مکان دیگر ناممکن شود. نیت خوب است و نتیجه ناقص. پژوهش‌های مرجع، از جمله <a href="https://papers.mathyvanhoef.com/asiaccs2016.pdf">Why MAC Address Randomization is not Enough</a>، نشان می‌دهند محتوای فریم‌های کشف اغلب برای بازشناسی دستگاه کافی است: شمار عناصر اطلاعاتی، مقادیرشان و ترتیبشان یک اثر انگشت می‌سازد. به این باید شماره‌های ترتیبی را افزود که افزایشی و از این‌رو زنجیره‌پذیرند، و امضای زمانی ویژه هر مدل. برخی مطالعات از ردیابی درست نیمی از دستگاه‌ها دست‌کم به مدت بیست دقیقه خبر می‌دهند.</p> <p>سرانجام یک محدودیت مفهومی: تصادفی‌سازی تنها به مرحله کشف مربوط است. همین که به شبکه‌ای وصل شوید، نشانی به‌کاررفته برای آن شبکه ثابت است، بنا بر طراحی، تا اتصال کار کند. کافه‌ای که هر روز صبح به آن می‌روید شما را می‌شناسد.</p> <h3 id="واقعا-خاموشکردن-پویشها">واقعاً خاموش‌کردن پویش‌ها</h3> <p>این پرصرفه‌ترین و نادیده‌گرفته‌شده‌ترین تنظیم است. در اندروید، جست‌وجوی وای‌فای و جست‌وجوی بلوتوث دو گزینه مجزا هستند، در دل سرویس‌های موقعیت‌یابی، و مستقل از کلیدهای پنل سریع. تا وقتی این‌ها فعال‌اند، خاموش‌کردن وای‌فای از پنل کافی نیست: پویش ادامه دارد.</p> <p>غیرفعال‌کردنشان یک لایه کامل از جمع‌آوری را برمی‌دارد، بی‌هیچ هزینه‌ای جز اینکه نخستین محاسبه موقعیت اندکی کندتر می‌شود. برای بیشتر خوانندگان، این بهترین نسبت میان تلاش صرف‌شده و نتیجه به‌دست‌آمده است.</p> <h3 id="مجوزهای-برنامهها">مجوزهای برنامه‌ها</h3> <p>پس‌گرفتن مجوز موقعیت از برنامه‌هایی که آشکارا به آن نیاز ندارند همچنان سودمند است، و سامانه‌های تازه سه درجه ارائه می‌کنند: اجازه یک‌بار مصرف، اجازه محدود به هنگام استفاده فعال، و <strong>موقعیت تقریبی</strong> که تنها محدوده‌ای در حدود یک کیلومتر را می‌فرستد.</p> <p>در مقابل، این کار نه در برابر SDKهایی که درون برنامه‌ای با دلیل موجه برای دسترسی به موقعیت شما جا خوش کرده‌اند محافظت می‌کند، نه در برابر حسگرهای اینرسی، و نه در برابر لایه‌های شبکه که اصلاً از هیچ مجوزی نمی‌گذرند.</p> <h3 id="آنچه-vpn-از-آن-محافظت-نمیکند">آنچه VPN از آن محافظت نمی‌کند</h3> <p>نکته‌ای که باید روشن شود، چون باور وارونه‌اش بسیار رایج است: <strong>VPN موقعیت شما را پنهان نمی‌کند.</strong> نشانی IP عمومی شما را پنهان می‌کند، پس موقعیت‌یابی بر پایه IP را مختل می‌کند، که به‌هرحال خام‌ترین سازوکار این فهرست است.</p> <p>VPN نه به گیرنده GNSS دست می‌زند، نه به پویش وای‌فای، نه به بلوتوث و نه به حسگرها. چیزی از آنچه اپراتور شما می‌داند تغییر نمی‌دهد، چون تونل رمزگذاری‌شده از دکل‌های همو می‌گذرد و اتصال به سلول برایش دیدنی می‌ماند. جلوی برنامه‌ای را هم که مجوز موقعیت دارد نمی‌گیرد تا مختصات دقیق را درون تونل بفرستد. VPN محتوا و مقصد ارتباطات شما را روی شبکه‌ای نامطمئن حفظ می‌کند، و همین خود بسیار است. موقعیت در قلمرو آن نیست.</p> <h3 id="مرزهای-فیزیکی">مرزهای فیزیکی</h3> <p>کیف فارادی به معنای واقعی کلمه کار می‌کند: ارسال و دریافت را سد می‌کند. برداشتن باتری هم، جایی که هنوز شدنی است. دستگاه اختصاصی، یا اینکه گوشی را جای دیگری بگذارید، همچنان استوارترین اقدام است.</p> <p>این راه‌حل‌ها عیبی مشترک دارند که باید در چشمش نگاه کرد: ناهنجاری می‌سازند. گوشی‌ای که هر سه‌شنبه‌شب دو ساعت خاموشی می‌گیرد، چیزی می‌گوید. در برابر حریفی که به‌جای موقعیت‌های لحظه‌ای الگوها را تحلیل می‌کند، خودِ غیبت یک داده است.</p> <h3 id="سه-حریف-سه-راهبرد">سه حریف، سه راهبرد</h3> <p>این مهم‌ترین تمایز این نوشته است، و همان که کمتر از همه خوانده می‌شود.</p> <p><strong>در برابر یک آگهی‌دهنده یا دلال داده</strong>، این نبرد بردنی است. انضباط در مجوزها، خاموش‌کردن پویش‌ها، سیستمی بدون سرویس‌های موقعیت‌یابی انحصاری، بازنشانی شناسه تبلیغاتی: مجموع این‌ها حجم گردآوری‌شده را به‌شدت پایین می‌آورد. این حریف در پی حجم ارزان است، نه پرونده خاص شما.</p> <p><strong>در برابر اپراتورتان</strong>، هیچ پیکربندی‌ای بسنده نیست. موقعیت‌یابی سلولی شرط خود سرویس است. تنها متغیرهای واقعی حقوقی‌اند، یعنی آنچه قانون اجازه نگهداری و تحویلش را می‌دهد، و مادی: کدام دستگاه، کدام سیم‌کارت، به نام چه کسی، روشن در کجا.</p> <p><strong>در برابر حریف دولتیِ هدفمند</strong>، استدلال باز هم تغییر می‌کند، چون او دسترسی قانونی به داده‌های اپراتور، موقعیت‌یابی فعال با شبیه‌ساز سلول، درخواست از پلتفرم‌ها و در صورت لزوم نفوذ به خود دستگاه را با هم ترکیب می‌کند. اقدام‌های متقابل نرم‌افزاری سطح حمله را کوچک می‌کنند، اما هدف واقع‌بینانه ناپدیدشدن نیست: دانستن دقیق این است که چه چیزی همچنان در معرض می‌ماند.</p> <h2 id="رویکرد-arpokratos">رویکرد ArpokratOS</h2> <p><a href="https://arpokrat.com/fa/os/">ArpokratOS</a> به این چشم‌انداز با انتخابی پاسخ می‌دهد که از همان تمایز بالا برمی‌آید: آنچه باید خنثی شود، در سطح سیستم خنثی می‌شود، نه در یک منو.</p> <p>درباره <strong>GNSS</strong>، درایور سخت‌افزار برداشته شده است. دستگاه چنان رفتار می‌کند که گویی آن تراشه اصلاً وجود ندارد، هم برای برنامه‌ها و هم برای خود سیستم. تفاوت با یک کلید در تنظیمات ظاهری نیست. کلید یک سیاست است: لایه‌ای آن را اعمال می‌کند که مؤلفه‌ای با دسترسی کافی می‌تواند دورش بزند، به‌روزرسانی می‌تواند دوباره فعالش کند، و سیستمی آلوده می‌تواند نادیده‌اش بگیرد. برداشتن مسیر کد، خودِ پرسش را حذف می‌کند، چون دیگر چیزی برای فعال‌کردن نمانده است.</p> <p><strong>بلوتوث</strong> با همین منطق در سطح Core مدیریت می‌شود. بلوتوثی که در تنظیمات خاموش شده، در عمل روی بسیاری از دستگاه‌ها پشته نرم‌افزاری را زنده نگه می‌دارد تا سرویس‌های مجاورت و شبکه‌های موقعیت‌یابی مشارکتی را تغذیه کند. وقتی در سطح سیستم غایب باشد، نه می‌تواند با بیکن فروشگاه گفت‌وگو کند، نه در شبکه‌ای از نوع Find My شرکت کند و نه سطح حمله‌ای بدون تعامل باشد.</p> <p>باید روشن گفت این کار چه چیزی را انجام نمی‌دهد. <strong>ArpokratOS گوشی را غیرقابل‌شناسایی نمی‌کند.</strong> تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و هیچ سیستم‌عاملی این را تغییر نمی‌دهد، حتی با هدایت تمام ترافیک از راه Tor. مسیریابی از محتوا و مقصد محافظت می‌کند، نه از هندسه رادیویی. هرکس نامرئی‌شدن را وعده دهد، افسانه می‌فروشد.</p> <p>آنچه چنین معماری‌ای به ارمغان می‌آورد فروتنانه‌تر است: حذف لایه‌های برنامه‌ای و مجاورتی، که بخش عمده گردآوری واقعی از آن‌ها می‌گذرد، و مدل تهدیدی صریح درباره آنچه باقی می‌ماند. همان استدلالی که در انتخاب یک سیستم رومیزی به کار بستیم و در <a href="https://arpokrat.com/fa/blog/os-comparison-security-privacy-windows-macos-linux-qubes/">مقایسه سیستم‌عامل‌ها</a> شرح دادیم: پرسش سودمند این نیست که آیا ابزاری محافظت می‌کند، بلکه این است که از چه چیزی و به چه بهایی محافظت می‌کند.</p> <h2 id="نتیجهگیری">نتیجه‌گیری</h2> <p>این نوشته روشی برای ناپدیدشدن ارائه نمی‌دهد. چنین روشی وجود ندارد، و متن‌هایی که خلافش را ادعا می‌کنند بیش از هر چیز اعتماد کاذب می‌سازند، که خطرناک‌تر از نبودِ حفاظت است، چون آدم را به خطرکردن وامی‌دارد.</p> <p>هدف این بود که پرسشی دوگانه، یعنی «آیا مرا می‌توان یافت یا نه»، جای خود را به پرسشی سودمند بدهد: به‌دست چه کسی، با چه دقتی، به چه هزینه‌ای برای او، و آیا این برای من مهم است. پاسخ برای روزنامه‌نگاری که از یک منبع محافظت می‌کند، مدیری که در حوزه قضایی حساسی سفر می‌کند، وکیلی که قرارهایش راهبردی را لو می‌دهد، و فردی که تنها از دانستن عادت‌هایش به‌دست یک آگهی‌دهنده آزرده است، متفاوت است.</p> <p>آنچه در واقع باید توجه را جلب کند، کارآمدی هریک از این سازوکارها به‌تنهایی نیست، بلکه این است که با هم هم‌پوشانی دارند. موقعیتی با خطای پنجاه متر چندان جالب نیست. اما موقعیتی با خطای پنجاه متر، هر ربع ساعت، به مدت دو سال، خانه‌ای را ترسیم می‌کند، محل کاری، یک باور دینی، یک وضعیت سلامت، یک رابطه، یک منبع خبری. داده موقعیت همان فراداده‌ای است که همه فراداده‌های دیگر را خواندنی می‌کند، و درست به همین دلیل گران است.</p> <h2 id="منابع">منابع</h2> <ul> <li>Erik Rye, Dave Levin, <a href="https://www.cs.umd.edu/~dml/papers/wifi-surveillance-sp24.pdf">Surveilling the Masses with Wi-Fi-Based Positioning Systems</a>, IEEE Symposium on Security and Privacy, 2024</li> <li>Alexander Heinrich et al., <a href="https://petsymposium.org/popets/2021/popets-2021-0045.php">Who Can Find My Devices? Security and Privacy of Apple&rsquo;s Crowd-Sourced Bluetooth Location Tracking System</a>, PoPETs, 2021</li> <li>Arsalan Mosenia et al., <a href="https://arxiv.org/pdf/1802.01468">PinMe: Tracking a Smartphone User around the World</a>, IEEE Transactions on Multi-Scale Computing Systems</li> <li>Mathy Vanhoef et al., <a href="https://papers.mathyvanhoef.com/asiaccs2016.pdf">Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms</a>, AsiaCCS, 2016</li> <li>Merlin Chlosta et al., <a href="https://dl.acm.org/doi/10.1145/3448300.3467826">5G SUCI-catchers: still catching them all?</a>, ACM WiSec, 2021</li> <li><a href="https://arxiv.org/pdf/2401.17594">5G NR Positioning Enhancements in 3GPP Release-18</a></li> <li>Electronic Frontier Foundation, <a href="https://www.eff.org/deeplinks/2022/08/inside-fog-data-science-secretive-company-selling-mass-surveillance-local-police">Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police</a>, 2022</li> <li>Krebs on Security, <a href="https://krebsonsecurity.com/2024/10/the-global-surveillance-free-for-all-in-mobile-ad-data/">The Global Surveillance Free-for-All in Mobile Ad Data</a>, 2024</li> <li>Electronic Frontier Foundation, <a href="https://ssd.eff.org/module/mobile-phones-location-tracking">Mobile Phones: Location Tracking</a>, Surveillance Self-Defense</li> </ul> https://arpokrat.com/fa/blog/illusion-of-sovereignty-cloud-act-fisa/ Thu, 21 May 2026 00:00:00 +0000 https://arpokrat.com/fa/blog/illusion-of-sovereignty-cloud-act-fisa/ <p>این اعلامیه مانند یک «فریاد استقلال» واقعی در راهروهای پاریس طنین‌انداز شد: نخست‌وزیر دستور داد دولت استفاده از WhatsApp و Signal را کنار بگذارد و به Olvid، یک برنامه پیام‌رسان که به عنوان «بومی» معرفی شده، روی بیاورد. هدف اعلام شده روشن بود: محافظت از اسرار دولتی در برابر دسترسی آژانس‌های اطلاعاتی خارجی.</p> <p>با این حال، یک طنز تلخ به سرعت آشکار شد: قلب Olvid — یعنی زیرساخت سرورهای آن — در درون خدمات وب آمازون (AWS)، یک غول آمریکایی، می‌تپد.</p> <p>برای عموم مردم، این ممکن است تنها یک مسئله فنی ساده میزبانی به نظر برسد. اما برای <a href="https://arpokrat.com/fa/infrastructure">معماران امنیت سایبری حاکمیتی</a> و کسانی که ژئوپلیتیک داده‌ها را دنبال می‌کنند، این یک آسیب‌پذیری سیاسی درجه اول است.</p> <h2 id="فراقلمرویی-و-تضاد-حاکمیتها">فراقلمرویی و تضاد حاکمیت‌ها</h2> <p>با تکیه بر زیرساخت آمازون، Olvid به طور خودکار وارد مدار <a href="https://wikipedia.org/wiki/CLOUD_Act">قانون CLOUD</a> ایالات متحده می‌شود.</p> <p>تحلیل حقوقی این پرونده، سناریویی از ناامنی قضایی را آشکار می‌کند که پذیرش صرف یک «برنامه» ملی به هیچ وجه آن را حل نمی‌کند. نقطه عطف در مفهوم «کنترل» در برابر «بومی‌سازی» نهفته است.</p> <p>قانون CLOUD با تصریح این که مکان فیزیکی سرور اهمیتی ندارد، پارادایم قانونی را اساساً تغییر داد. تعهد ارائه‌دهنده خدمات (در اینجا AWS) به همکاری، تنها ناشی از پیوند قضایی آن با ایالات متحده است. بنابراین، واشنگتن می‌تواند از شرکت‌های تحت صلاحیت خود داده‌ها را مطالبه کند، حتی زمانی که آن داده‌ها از نظر فیزیکی در خاک اروپا ذخیره شده باشند.</p> <p>از نظر قانونی، این یک تضاد مستقیم با مقررات عمومی حفاظت از داده‌ها (GDPR) ایجاد می‌کند. دیوان دادگستری اتحادیه اروپا (از طریق <a href="https://wikipedia.org/wiki/Max_Schrems">احکام معروف Schrems I و II</a>) پیش از این ثابت کرده است که قوانین نظارتی آمریکا سطح حمایتی معادل اروپا را ارائه نمی‌دهند.</p> <blockquote> <p>حاکمیت دیجیتال ویژگی نرم‌افزار نیست، بلکه ویژگی یکپارچگی زنجیره نگهداری است.</p> </blockquote> <h2 id="سایه-fisa-و-وعده-دروغین-رمزگذاری">سایه FISA و وعده دروغین رمزگذاری</h2> <p>بدتر از آن، این وابستگی به زیرساخت‌های آمریکایی، این داده‌ها را زیر سایه <a href="https://wikipedia.org/wiki/Foreign_Intelligence_Surveillance_Act">قانون نظارت بر اطلاعات خارجی (FISA)</a> قرار می‌دهد که نظارت الکترونیکی را برای مقاصد «اطلاعات خارجی» با هدف قرار دادن اهداف خارج از ایالات متحده مجاز می‌داند.</p> <p>در مواجهه با این تهدیدها، Olvid ادعا می‌کند که رمزگذاری سرتاسری آن یک سپر کافی است. از دیدگاه مهندسی حریم خصوصی، این دفاع به طور خطرناکی ناقص است.</p> <p>رد اخیر درهای پشتی توسط مجلس ملی فرانسه نشان‌دهنده مقاومت قانون‌گذاری در برابر آسیب‌پذیری در طراحی است. با این حال، حتی اگر محتوای یک پیام رمزگذاری شده باشد، زیرساخت متمرکز AWS <strong>فراداده‌ها</strong> (Metadata) را در معرض دید قرار می‌دهد. دانستن اینکه <em>چه کسی</em> با <em>چه کسی</em>، <em>چه زمانی</em>، <em>چند وقت یکبار</em> و <em>از کجا</em> صحبت می‌کند، اغلب برای اطلاعات خارجی بسیار ارزشمندتر از محتوای خود پیام است.</p> <p>رمزگذاری از متن محافظت می‌کند، اما سرور متمرکز شبکه مخاطبین را فاش می‌کند.</p> <h2 id="خطر-واقعی-هنوز-در-راه-است">خطر واقعی هنوز در راه است</h2> <p>تا زمانی که زیرساخت‌های اروپایی به نهادهای مشمول قوانین فراقلمرویی وابسته باشند، امنیت حقوقی ارتباطات ما کاملاً موقتی و توهم‌آمیز باقی خواهد ماند.</p> <p>امنیت ملی در قرن بیست و یکم به چیزی بسیار بیشتر از نیت‌های خوب قانون‌گذاری یا سپرهای نرم‌افزاری سطحی نیاز دارد: این نیازمند <a href="https://arpokrat.com/fa/os">استقلال کامل زیرساخت و سخت‌افزار</a> است. زیرا در حالی که رهگیری این فراداده‌ها و بسته‌های رمزگذاری شده امروز بی‌ضرر به نظر می‌رسد، در واقع مخرب‌ترین تهدید دهه آینده را تغذیه می‌کند: استراتژی <em>«اکنون جمع‌آوری کن، بعداً رمزگشایی کن»</em>.</p> <p>یک راز دولتی که امروز رهگیری شود، چیزی جز یک بمب ساعتی ریاضی نیست.</p> <p><em>(بقیه تحلیل ما را در قسمت 2 بخوانید: <a href="https://arpokrat.com/fa/blog/harvest-now-decrypt-later-hndl-zero-knowledge/">بمب ساعتی و ضرورت دانش صفر</a>)</em></p>