حماية نفسك

عند تسجيل مفتاح، فإنه يخزّن سرًا مرتبطًا بـالنطاق الحقيقي للموقع. عند تسجيل الدخول يرسل الموقع تحديًا ويوقّع عليه المفتاح، لكن فقط بعد التحقق من أن النطاق الطالب يطابق النطاق الذي سُجّل به.

على نطاق مشابه يرفض المفتاح ببساطة. ليس لأنه لاحظ شيئًا مريبًا، بل لأن الحسابات لا تنتج توقيعًا صالحًا للنطاق الخاطئ. لا يوجد شيء يمكن للمهاجم سرقته وإعادة استخدامه.

هذه الحماية بنيوية. لا تعتمد على ملاحظتك لعنوان مكتوب خطأً وأنت متعب. لهذا السبب بالضبط هي الأولى في هذه الصفحة.

سجّل كلا المفتاحين على كل حساب واحفظ الثاني في مكان آخر — درج في المنزل، شخص موثوق، خزنة. الحساب المؤمّن بمفتاح واحد دون نسخة احتياطية هو حساب يمكن أن تفقده نهائيًا.

احفظ رموز الاسترداد لكل خدمة في مدير كلمات المرور أثناء ذلك، وأوقف SMS كخيار احتياطي بعدها — وإلا فستكون قد تركت الباب الضعيف مفتوحًا بجانب الباب القوي.

حيث لا يدعم الموقع المفاتيح، استخدم Aegis (Android، مفتوح المصدر، نسخ احتياطي مشفّر) بدلًا من SMS.

نمط شائع بعد تصيّد ناجح: لا يغيّر المهاجم شيئاً قد تلاحظه. يضيف مرشحاً يعيد توجيه نسخة من كل رسالة بصمت، أو فقط تلك التي تطابق "password" أو "invoice" أو "verify"، إلى عنوان يملكه، ثم يرحل.

تقوم بتغيير كلمة المرور الخاصة بك. تقوم بتفعيل المصادقة الثنائية. القاعدة لا تزال موجودة، ولا تزال تعمل. بعد أي اشتباه في اختراق الحساب، تحقق من القواعد قبل أي شيء آخر.

Proton Mail و Tuta يقومان بتشفير صندوق بريدك بحيث لا يستطيع مزود الخدمة قراءته، وكلاهما لديه خطط مجانية. لا شيء منهما سحري — فالبريد المرسل من وإلى العناوين العادية لا يزال قابلاً للقراءة في الطرف الآخر، لكنه يزيل مزود الخدمة الخاص بك كموقع واحد يمكن فيه المطالبة بكل شيء أو اختراقه.

SimpleLogin يمنح كل خدمة اسمًا مستعارًا مختلفًا، بحيث لا يمكن ربط تسريب بالآخرين، ويمكنك معرفة الشركة التي سرّبته.

ما الذي تحصل عليه:

• لا خدمات Google إلا إذا أضفتها، وعندما تفعل، فإنها تعمل داخل بيئة معزولة كتطبيقات عادية بلا امتيازات خاصة.
• أذونات لا يوفرها Android: امنع تطبيقًا من الوصول إلى الشبكة كليًا، واحجب المستشعرات.
• مخصّص ذاكرة مُحصّن ودفاعات أخرى موجّهة مباشرة إلى أدوات الاستغلال التي تُباع للحكومات.
• إعادة تشغيل تلقائية بعد فترة خمول محددة، لإعادة هاتف مصادَر إلى الحالة التي لا تكون فيها مفاتيح تشفيره في الذاكرة.
• رمز PIN للإكراه يمحو الجهاز.

ما تكلفته: لا يُثبَّت إلا على هواتف Google Pixel، وهي مفارقة تستحق الذكر، والسبب أن هواتف Pixel تأتي بميزات الأمان العتادية وتسمح بنظام تشغيل مخصص موثّق. تتوقف هواتف Pixel الأقدم عن تلقي تحديثات العتاد، لذا اشترِ واحدًا لا يزال مدعومًا. بعض تطبيقات البنوك والجهات الحكومية ترفض العمل.

يتم التثبيت من حاسوب عبر USB ويستغرق نحو نصف ساعة. مثبّت الويب مناسب للمبتدئين.

تم اعتقال الصحفي Richard Medhurst في مطار هيثرو في 15 أغسطس 2024 بموجب المادة 12 من قانون مكافحة الإرهاب البريطاني لعام 2000، وصُودرت أجهزته. وأفاد بأن طلباته المتكررة لتقديم رمز المرور قد رُفضت، وأن هاتفه الذي يعمل بنظام GrapheneOS حمى محتوياته بفضل ميزة إعادة التشغيل التلقائي: فالجهاز الذي يُترك دون رمز المرور الصحيح لفترة محددة يعيد تشغيل نفسه، عائداً إلى الحالة قبل أول فتح، حيث لا تكون مفاتيح التشفير في الذاكرة.

في تقريره عن القضية في Computer Weekly، أشار البروفيسور Steven Murdoch من كلية لندن الجامعية إلى أن حتى أدوات الطب الشرعي التجارية الرائدة قد فشلت في بعض الأحيان في استخراج البيانات من أجهزة GrapheneOS دون كلمة المرور، خاصة عندما يكون الهاتف قد أعيد تشغيله مؤخراً.

هذا ما يعنيه "مُختبَر ميدانياً" هنا. ليس ادعاءً تسويقياً، بل حالة موثقة لهاتف صحفي في أيدي دولة أرادت ما كان عليه، ولم تحصل عليه.

Computer Weekly، الرواية الكاملة  ·  نسخة مؤرشفة

الأشخاص الذين يتجادلون حول هذا المشروع على الإنترنت يتجادلون في الغالب حول الشخصيات. السؤال المطروح أمامك أضيق: هل يجعل هذا البرنامج اختراق الهاتف أصعب من الهاتف الذي تحمله الآن.

بناءً على الأدلة المنشورة، وفي حالة واحدة على الأقل جُرّب فيها الأمر فعلياً، فإنه يفعل ذلك.

يفترض معظم الناس أن Linux يعني أمانًا أكبر. على الهواتف، هذا غير صحيح، ويستحق معرفته قبل أن تنفق المال.

GrapheneOS أفضل في مقاومة الهجمات. إقلاع موثّق، وعزل قوي لكل تطبيق، ومخصص ذاكرة مُحصّن، ودفاعات موجهة مباشرة ضد أدوات الاستغلال التي تُباع للحكومات. هاتف Linux النموذجي يفتقر إلى كل ذلك: لا إقلاع موثّق، وبرمجيات بنمط سطح المكتب بسطح هجوم أكبر بكثير، وعزل تطبيقات ضعيف بالمقارنة.

هاتف Linux أفضل في التحكم. لا وجود لـ Google في أي مكان، ونظام يمكنك فعليًا فحصه وتعديله، وفي بعض الطرازات مفاتيح مادية — وهي الطريقة الوحيدة للتأكد من أن الميكروفون مطفأ، وأقوى من أي وعد برمجي.

نماذج تهديد مختلفة. إذا كنت قلقًا بشأن برامج تجسس موجهة، فاختر GrapheneOS. إذا كنت قلقًا بشأن ما يفعله الجهاز routinely، وتريد أن تكون قادرًا على إثبات أن الكاميرا مفصولة، فهاتف Linux يجيب على ذلك بشكل أفضل.

التطبيقات. تطبيقات البنوك وطلب السيارات ومعظم التطبيقات اليومية يمكن أن تعمل بشكل طبيعي على GrapheneOS. ثبّت Google Play المعزول حيث يحتاجه تطبيق ما، ثم اسمح فقط بالأذونات والإعدادات التي يحتاجها فعلًا، مثل الموقع أو الإشعارات. لا تزال أقلية من تطبيقات البنوك أو الحكومة أو التطبيقات المعتمدة على DRM ترفض فحوصات سلامة الجهاز، لذا اختبر التطبيق المحدد قبل الاعتماد عليه.

الكاميرا أسوأ بشكل ملحوظ من أي هاتف حديث، وهذا مهم جدًا إذا كنت تصوّر.

البطارية والإتقان. تتحسن البرمجيات شهريًا ويمكن أن تظل الوظائف الأساسية غير موثوقة. صياغة Pine64 نفسها عن أجهزتها هي أن الوظائف "قد تكون متقطعة".

والمودم لا يزال مملوكًا. الهاتف الذي يعمل بنظام Linux لا يزيل النطاق الأساسي الذي لا يمكنك فحصه، فهو معالج منفصل في كل هاتف صُنع على الإطلاق. تتعامل طرازات مفتاح الإيقاف معه بقطع الطاقة عنه، وهذا هو الحل الصادق.

إذا كان ما تريده فعلاً هو Android بدون Google، وليس Linux تحديدًا، فإن CalyxOS و/e/OS يقعان بين الاثنين: منزوعا Google، وأسهل بكثير في الاستخدام اليومي من هاتف Linux، وأضعف من GrapheneOS في التحصين الأكثر أهمية.

بالنسبة لمعظم الناس الذين يعترضون على GrapheneOS من حيث المبدأ وليس من حيث نموذج التهديد، فهذا هو الجواب العملي.

استخدم المولّد المدمج (أيقونة النرد) لكل موقع، ولا تخترع واحدة بنفسك أبدًا. ينتج البشر كلمات مرور متوقعة حتى عندما يحاولون عدم ذلك.

• للمواقع الإلكترونية: 20 حرفًا أو أكثر، من حروف وأرقام ورموز. لن تكتبها يدويًا أبدًا، فالطول لا يكلفك شيئًا. إذا رفضها موقع، فقصّرها إلى ما يسمح به، مع بقائها عشوائية.
• لعبارة المرور الرئيسية: بدّل المولّد إلى وضع عبارة المرور واختر ست كلمات أو أكثر. شيء مثل correct-battery-staple-ocean-tiger-mint سهل التذكّر وصعب كسره هائلًا مقارنةً بكلمة مرور قصيرة مع استبدالات رموز.
• لا تعد استخدام عبارة المرور الرئيسية في أي مكان آخر أبدًا. فهي تحمي كل شيء.

إذا كنت تفضّل توليد عبارة المرور الرئيسية بزهر النرد الفيزيائي بدلًا من الوثوق بأي برنامج، فإن EFF تنشر قائمة كلمات لهذا الغرض تحديدًا: عبارات المرور المولّدة بزهر EFF.

• رموز المصادقة الثنائية. يمكنه تخزين أسرار TOTP وتوليد الرموز، ليحل محل تطبيق المصادقة. مريح، لكن افهم المقايضة: كلمة المرور والعامل الثاني يصبحان في الملف نفسه. لحساباتك الأكثر حساسية، احتفظ بالعامل الثاني على جهاز منفصل أو مفتاح عتادي.
• المرفقات. خزّن رموز الاسترداد وملفات المفاتيح الاحتياطية ومفاتيح التراخيص داخل قاعدة البيانات المشفرة بدلاً من تركها مبعثرة على قرصك.
• سلامة كلمات المرور. ينبّه إلى المدخلات الضعيفة والمعاد استخدامها والمنتهية الصلاحية، ويمكنه فحصها مقابل الاختراقات المعروفة.
• الكتابة التلقائية. يملأ بيانات الاعتماد في تطبيقات سطح المكتب، وليس في المتصفحات فقط.
• الحقول المخصصة. أسئلة الأمان، وأرقام الحسابات، وأي شيء لا ينبغي أن يبقى في تطبيق ملاحظات.

قاعدة البيانات ملف واحد، لذا أي شيء ينقل الملفات يمكنه مزامنتها. الملف مشفر بالفعل، لذا حتى مزود السحابة الذي يحتفظ به لا يمكنه قراءة المحتويات، لكن يمكنك تجنب تسليمه أصلاً:

• Syncthing — يزامن مباشرة بين أجهزتك، دون خادم في المنتصف.
• Cryptomator، إذا كنت تستخدم مجلداً سحابياً، فشفّره مرة أخرى أولاً.

لا تزامنها على جهازين وتحرّر كليهما دون اتصال، ستُنشئ نسخة متعارضة ودمجها مُضجر. اجعل جهازاً واحداً هو الذي تضيف عليه المدخلات.

إذا بدا كل هذا أكثر مما تريد إدارته، فإن Bitwarden يتولى المزامنة عنك وهو خيار جيد تماماً. مدير تستخدمه أفضل من مدير أفضل تتخلى عنه.

لا تستطيع الإدارة الآلية التمييز بين جريمة حرب والاحتفاء بها. المشاهد الأكثر أهمية، ضربة، جثة، إصابة، سلاح — هي بالضبط المشاهد الأرجح لتصنيفها كعنف صريح وإزالتها.

تم قياس هذا في أماكن أخرى. وجد تقييم مستقل لحقوق الإنسان بتكليف ونشر من Meta أن تعاملها مع المحتوى الفلسطيني كان له أثر سلبي على حقوق المستخدمين في حرية التعبير. ينطبق الديناميكية نفسها على منصات التخزين والفيديو؛ لكنها أقل وضوحاً هناك، لأن الملف المحذوف لا يتصدر.

التخزين المشفّر من الطرف إلى الطرف يعني أن المزوّد يحتفظ ببايتات لا يستطيع قراءتها. لا يستطيع فحصها، فلا يستطيع الإبلاغ عنها، وبذلك تختفي إلى حد كبير مشكلة الحذف المذكورة أعلاه. وهذا هو السبب الكامل للانتقال.

لكنه لا يضعك خارج نطاق الإجراءات القانونية. فشركة Proton شركة سويسرية وتخضع للمحاكم السويسرية: في عام 2021 امتثلت لأمر بتسجيل عنوان IP لمستخدم في قضية فرنسية. لم تستطع تسليم محتوى الرسائل، لأنها لا تملكه، لكن هذا التمييز مهم وينبغي أن تعرفه بدلاً من أن تكتشفه لاحقاً.

وإذا نسيت كلمة المرور على حساب مشفّر من الطرف إلى الطرف، فإن البيانات تضيع. لا يمكن لأحد إعادة تعيينها لك. ضعها في مدير كلمات المرور الخاص بك.

1. أخرج المواد التي لا يمكن تعويضها أولًا. التسجيلات، المستندات، أي شيء لا يمكن إعادة إنشائه. إلى تخزين مشفّر وإلى قرص تملكه، قبل أن يتغير أي شيء آخر.

2. ثم انقل بريدك الإلكتروني، لأنه مسار الاستعادة لكل حساب آخر وهو الشيء الذي لا تريد فقدان الوصول إليه بأي ثمن.

3. ثم الأشياء الصغيرة — البحث، المتصفح، الخرائط، التي لا تكلف شيئًا ويمكن أن تحدث في أي وقت.

4. لا تحذف حساب Google. اتركه، فارغًا، كعنوان لإعادة التوجيه وخيار للاستعادة. حذفه دفعة واحدة هو كيف يفقد الناس الحساب الذي لا تزال الخدمات الأخرى تشير إليه.

لا مجلدات مشتركة. الميزة المريحة التي تتيح للجهاز الافتراضي رؤية مستنداتك الحقيقية هي بالضبط الجسر الذي تستخدمه البرمجيات الخبيثة. انقل الملفات عن قصد، واحدًا تلو الآخر.

الشبكة معطّلة افتراضيًا. معظم ما تحمي نفسك منه يريد الاتصال بالخارج أو جلب مرحلة ثانية.

خُذ لقطة للجهاز الافتراضي النظيف بعد إعداده، وارجع إليها بدلًا من الوثوق بأنك نظّفته. الجهاز الافتراضي حدّ قوي، وليس حدًّا مثاليًا — توجد طرق للهروب منه، وهي نادرة ومكلفة. أما المخاطر العادية فهو أكثر من كافٍ لها.

عندما تُحمّل صفحة، يجيب متصفحك عن أسئلة صغيرة كثيرة دون أن يُسأل: حجم الشاشة وعمق الألوان، المنطقة الزمنية، اللغة، نظام التشغيل، عدد أنوية المعالج، الخطوط المثبتة، بطاقة الرسوميات.

تقنيتان تذهبان أبعد من ذلك. بصمة Canvas تطلب من متصفحك رسم صورة غير مرئية؛ الفروق الدقيقة في عتاد الرسوميات والتعريفات تجعل النتيجة خاصة بك بشكل قابل للقياس. بصمة الصوت تفعل الشيء نفسه بصوت لا يُشغَّل أبدًا.

لا شيء منها يحدد الهوية بمفرده. لكنها معًا تفعل: «Firefox 141 على Linux، 2560×1440، Europe/Athens، هذه الـ94 خطًا، هذه بطاقة الرسوميات» قد تصف شخصًا واحدًا من بين عدة ملايين. لا حاجة لأي ملف تعريف ارتباط، لذا مسحها لا يغيّر شيئًا.

الجزء غير البديهي: جعل متصفحك غير معتاد يزيد الأمر سوءًا. إضافة نادرة، خط مخصص، نافذة مُعاد تحجيمها، كلها تجعلك أكثر تميزًا. الدفاع ليس الاختباء، بل أن تبدو مطابقًا لحشد كبير.

Mullvad Browser، الخيار الافتراضي الأفضل لمعظم الناس. بناه مشروع Tor مع Mullvad: متصفح Tor مع إزالة شبكة Tor، بحيث يعرض كل مستخدم البصمة نفسها. مجاني، ولا يحتاج اشتراك Mullvad.

Tor Browser، عندما تحتاج إلى إخفاء الهوية، لا الخصوصية فقط. أبطأ؛ وبعض المواقع تحجبه.

Firefox مع arkenfox، متصفح يومي جيد، مُحصَّن. جهد أكبر.

Brave — يعشوِّش الإشارات بدلاً من توحيدها. رهان مختلف ومعقول.

أضف uBlock Origin إلى Firefox أو Brave. لا تضف إضافات إلى Mullvad أو Tor Browser — فستخرج بذلك من الحشد الذي يحميك.

Chrome هو ما يجب الابتعاد عنه: صنعته أكبر شركة إعلانات في العالم، وهو المتصفح الذي تزدهر فيه هذه التقنيات أكثر من غيره.

لماذا Mullvad: حسابك رقم عشوائي من 16 خانة. لا بريد إلكتروني، لا اسم، لا كلمة مرور. يمكنك الدفع نقداً. لا يوجد في سجلاتهم ما يربط حساباً بشخص، وهذا ضمان أقوى من وعد بعدم الاحتفاظ بالسجلات.

ما لا يفعله: VPN ليس إخفاءً للهوية. لا يمنع موقعاً من أخذ بصمة متصفحك، ولا يوقف التتبع أثناء تسجيل دخولك إلى حساباتك الخاصة، ولا يخفيك عن خدمة تسجّل الدخول إليها. تقريباً كل VPN يُروَّج له على الإنترنت يبيع هذه الانطباع الخاطئ تحديداً.

إذا كنت تحتاج إلى إخفاء الهوية بدلاً من الخصوصية من مزوّد خدمة الإنترنت، فأنت تريد Tor، لا VPN.

• كلا الشركتين وُصفتا كمشاركتين في PRISM في وثائق سنودن لعام 2013 — Microsoft أولًا، في 2007؛ وApple في 2012. Guardian، يونيو 2013
• عملت Microsoft مع NSA على الوصول إلى خدماتها، بما في ذلك المساعدة في التحايل على تشفيرها الخاص على Outlook.com. Guardian، يوليو 2013
• وُجدت ترتيبات وصول سرية في مكان آخر من صناعة الأمن. امتلكت CIA وBND الألمانية سرًا شركة Crypto AG، التي كانت آلات التشفير الخاصة بها تُباع للحكومات بينما كان المالكون قادرين على قراءة حركة البيانات. هذه التاريخ يفسّر الحذر؛ لكنه لا يثبت شيئًا عن نظام تشغيل مكتبي حديث. National Security Archive

تُثبت وثائق سنودن وصول الحكومة إلى خدمات الشركات وبياناتها. لكنها لا تُثبت وجود آلية وصول خفية في Windows أو macOS. كما أن المصدر المغلق لا يُثبت وجود مثل هذه الآلية؛ بل يعني أن الغرباء لديهم طرق أقل للتحقق من الادعاء بأي من الاتجاهين.

هذا الغموض هو أحد أسباب تفضيلنا للبرمجيات التي يمكن فحص مصدرها. إنه خيار لإدارة المخاطر، وليس نتيجة يجب على كل قارئ أن يتوصل إليها.

المصدر المفتوح ليس آمنًا تلقائيًا؛ فالكثير منه غير مُدقَّق، وقد مرت عيوب خطيرة دون أن يلاحظها أحد لسنوات. لكنه يمكن فحصه، من قبلك أو من قبل أي شخص، كما أن البنيات القابلة لإعادة الإنتاج تتيح لك التحقق من أن البرنامج الذي تلقيته بُني من المصدر الذي قرأته. هذا الاحتمال غير موجود في Windows أو macOS على الإطلاق، وهذا، أكثر من أي كشف منفرد، هو سبب انتقالنا.

بعض الأشياء لا تعمل حقًا: حزمة Adobe، وبعض الألعاب، وبعض أدوات المؤتمرات المؤسسية، والأجهزة التي تعمل ببرامج تشغيل خاصة بـ Windows فقط. تحقق مما تعتمد عليه فعليًا قبل الالتزام.

Linux ليس أكثر أمانًا تلقائيًا. جهاز Linux سيئ الإعداد أسوأ من جهاز Windows جيد الإعداد. ما يمنحك إياه هو القدرة على التحقق والتحكم، وهو موضوع القسم التالي.

مسار وسط معقول: احتفظ بجهازك الحالي، وضع Linux على حاسوب محمول احتياطي، وانقل العمل الحساس إليه أولًا.

لا تلصق أبدًا أمرًا لا تستطيع شرحه بكلماتك الخاصة، ولا تشغّل أبدًا نصًا برمجيًا يفعل عشرين شيئًا دفعة واحدة. سينتج لك مساعد بثقة تامة شيئًا يحذف ما كنت تقصد نقله، وsudo يمنح كل شيء.

اسأل أولًا عمّا يفعله الأمر. سيخبرك بسرور، وهذه العادة تساوي أكثر من أي إصلاح واحد يمنحك إياه.

يشغّل Steam نسبة كبيرة من كتالوج Windows على Linux عبر طبقة التوافق الخاصة به، ومعظم الألعاب الفردية تُثبَّت وتُلعَب ببساطة. الاستثناء الحقيقي هو اللعب الجماعي التنافسي مع مكافحة الغش على مستوى النواة، والذي يرفض في الغالب العمل ومن غير المرجح أن يتغير.

لذا الإقلاع المزدوج. أبقِ Windows على الجهاز فقط لتلك الألعاب، وافعل كل شيء آخر، حساباتك، بريدك الإلكتروني، ملفاتك، عملك، على جانب Linux. يعرض المثبّت هذا أثناء الإعداد ولا يكلّف جهدًا إضافيًا.

ليس الجواب النقي، بما أن Windows لا يزال على القرص. لكنه الجواب الذي يجعل الناس يتحولون فعليًا، ومن يقوم بعمله الحقيقي على Linux يساوي أكثر بكثير ممن قرأ هذا ولم يغيّر شيئًا.

مع الإعداد الافتراضي، لا يُفرج TPM عن المفتاح إلا عندما تطابق حالة الإقلاع المقيسة ما يتوقعه BitLocker. هذا يمنع قراءة القرص في جهاز آخر ويمنع عادةً سلسلة إقلاع معدّلة. لكنه يحمّل المفتاح قبل تسجيل الدخول إلى Windows، مما يمنح مهاجماً مجهزاً بوصول مادي مطوّل منافذ أكثر من إعداد يتطلب أيضاً رقم PIN.

إضافة رقم PIN قبل الإقلاع تسدّ هذه الثغرة. في إصدارات Pro يكون ذلك عبر إعداد نهج المجموعة — Require additional authentication at startup، وبعدها يمكن لـ manage-bde إضافة رقم PIN إلى القرص. إنه التغيير الأكثر قيمة في هذا القسم لمستخدم Windows.

BitLocker الكامل ميزة في Pro وEnterprise. أما Windows Home فيقدم بدلاً منه تشفير الجهاز على العتاد الذي يدعمه، وهو التقنية الأساسية نفسها مع ضوابط أقل، ويودع مفتاح الاسترداد في حساب Microsoft الخاص بك تلقائياً، دون خيار محلي فقط.

إذا كان ذلك غير مقبول بالنسبة لما تقوم به، فالإجابتان الصادقتان هما الترقية إلى إصدار أعلى، أو نقل العمل إلى Linux، حيث يكون المفتاح ملكك وحدك دائماً.

التثبيت القياسي يشفر كل شيء باستثناء قسم إقلاع صغير وقسم EFI، اللذين يجب أن يبقيا قابلين للقراءة حتى يبدأ الجهاز. لا توجد مستندات هناك، لكن النواة وملفات الإقلاع الأولية موجودة، وهذا ما يجعل هجوم العبث أدناه ممكناً.

لمعظم الناس هذه مقايضة مقبولة. إذا لم تكن كذلك، يمكن لبعض التوزيعات تشفير /boot أيضاً، وSecure Boot مع كلمة مرور للبرنامج الثابت يرفعان العائق كثيراً دون تلك التعقيدات.

يمكن ضبط LUKS ليفتح بمفتاح عتاد بدلاً من عبارة مرور مكتوبة، أو بالإضافة إليها، وهو الجهاز نفسه من المستوى 1.

احتفظ دائماً بعبارة مرور في خانة مفتاح ثانية عند فعل ذلك. مفتاح مفقود أو تالف دون بديل يعني أن القرص غير قابل للاسترداد، وهذا الفشل دائم.

في Apple Silicon تكون الأمان مدمجًا في الشريحة ولا توجد كلمة مرور منفصلة للبرنامج الثابت لتعيينها، وعملية الإقلاع مقفلة بحكم التصميم، وتُدار أمان بدء التشغيل عبر Recovery.

في أجهزة Mac القديمة بمعالج Intel، تُعد كلمة مرور البرنامج الثابت خطوة منفصلة وجديرة بالاهتمام: فهي تمنع الإقلاع من الوسائط الخارجية وتمنع المهاجم من الدخول إلى Recovery للالتفاف عليك.

الهجوم الذي يحمي منه هذا بسيط: شخص لديه وصول مادي قصير — غرفة فندق، مكتب طوال الليل، حقيبة بعيدة عن الأنظار عند حدود — يقلع جهازك من وسائطه الخاصة ويعدّل ملفات الإقلاع غير المشفّرة بحيث تُلتقط عبارة المرور في المرة التالية التي تكتبها فيها.

كان قرصك مشفّرًا طوال الوقت. لم يفد ذلك، لأنك أنت من فتحه لاحقًا.

كن واضحًا بشأن الحدود، مع ذلك: كلمة مرور البرنامج الثابت مطبّ سرعة، وليست قفلًا. في كثير من الأجهزة يمكن إزالتها بفتح العلبة، ولدى بعض الشركات تجاوزات رئيسية. إنها تُحبط العبث الانتهازي وتشتري الوقت؛ لكنها لا تهزم خصمًا مصممًا ومجهّزًا لديه حاسوبك المحمول في غرفة خلفية.

معظم أجهزة التوجيه توفر وضع WPA2/WPA3 الانتقالي، مما يسمح للأجهزة الجديدة باستخدام WPA3 بينما تعود الأجهزة الأقدم. إنه أضعف من WPA3 فقط، يمكن للمهاجم محاولة فرض العودة، لكنه أفضل بكثير من WPA2 وحده.

تحقق أولاً مما يحتاجها. عادةً ما تكون طابعة قديمة أو قابساً ذكياً، وهذه ينبغي أن تكون على شبكة الضيوف على أي حال.

غالبًا ما تكون أجهزة التوجيه الموردة من مزود خدمة الإنترنت هي الأسوأ بينها جميعًا: إدارة عن بُعد مفعّلة لصالح المزود، وحسابات غير موثقة، وبرامج ثابتة تُحدَّث وفقًا لما يناسب المزود بدلًا من تحديثها عند اكتشاف ثغرة.

يمكنك عادةً شراء جهاز التوجيه الخاص بك وتحويل جهازهم إلى وضع المودم فقط أو وضع الجسر. إذا أردت المضي قدمًا، فإن OpenWrt هو برنامج ثابت مفتوح المصدر لأجهزة التوجيه يتمتع بعمر دعم طويل، ويعمل على الكثير من الأجهزة العادية.

للحصول على قائمة تحقق شاملة ومُحدَّثة باستمرار، لا يوجد أفضل من routersecurity.org.

كان لـ Tails سمعة بأنه صعب الاستخدام: التحقق من التنزيل، وكتابته على ذاكرة USB بشكل صحيح، وجعل الجهاز يقلع منه، ثم إعداد التخزين الدائم دون فقدان أي شيء. استسلم كثيرون في منتصف الطريق.

بالنسبة لشخص غير تقني، كان ذلك يجعل Tails غير عملي. هذا الحاجز أصبح أقل بكثير الآن. يمكن لمساعد ذكاء اصطناعي أن يرشدك خلال العملية بأكملها على جهازك الخاص — التحقق من التوقيع حتى تعرف أن الصورة لم يتم التلاعب بها، وكتابة العصا، والعثور على مفتاح الإقلاع لجهازك المحمول تحديداً، وشرح ما ستحتفظ به الذاكرة الدائمة وما لن تحتفظ به. إنه يحوّل عملية شاقة وموثّقة جيداً إلى سلسلة يمكنك إنجازها دون أن تكون على دراية مسبقة بالمصطلحات.

استخدمه عندما تريد أن لا تترك جلسة أي أثر خلفها: على جهاز كمبيوتر مشترك أو مستعار، أو عندما يكون الخطر أن يفحص شخص ما الجهاز لاحقًا. يعمل على أي حاسوب محمول تقريبًا ويكلف سعر ذاكرة USB فقط.

لا يحميك إذا سجّلت الدخول إلى حساباتك الخاصة داخله، فهذا يعرّف عنك بغض النظر عن Tor. وفقدان الذاكرة يقطع في الاتجاهين: أي شيء تريد الاحتفاظ به يجب أن يوضع عمدًا في مساحة التخزين الدائم المشفّرة الاختيارية.

Qubes هو أقوى أمان عملي متاح لسطح المكتب، وهو يتطلب الكثير: عتادًا محددًا، وذاكرة حقيقية، وتغييرًا في طريقة عملك، إذ تقرر إلى أي قسم ينتمي كل مهمة. فتح ملف في جهاز افتراضي يُتخلّص منه بنقرة واحدة، ما يجعل المستوى 6 شبه تلقائي هنا.

كان ذلك يضع الأمر خارج نطاق معظم غير التقنيين. يمكن لمساعد ذكاء اصطناعي الآن مساعدتك في التحقق مما إذا كانت أجهزتك مناسبة، واتباع برنامج التثبيت، وإنشاء المقصورات الأولى وشرح الخيارات أثناء اتخاذها. إنه لا يزيل متطلبات Qubes’ العتادية أو منحنى التعلم الخاص به، لكنه يجعل الإعداد أكثر سهولة بكثير مما كان عليه.

إنه موجّه إلى أشخاص لديهم سبب محدد وخطير. إذا كنت تقرأ هذا لتقليل التتبع اليومي، فإن المستويين 1 و2 سيفيدانك أكثر بكثير.

يعني أن عنوانك ليس في اختراق أصبح علنيًا ومعروفًا. هذا ادعاء أضيق مما يبدو. فالكثير من الاختراقات لا يُفصح عنها أبدًا، أو يُتاجر بها بشكل خاص لسنوات، أو يُفصح عنها دون أن تُنشر البيانات قط.

لذا اعتبر نتيجة نظيفة خبرًا سارًا عن قائمة محددة، وليس تصريحًا عن حساباتك. فالإجراءات المذكورة في مواضع أخرى من هذه الصفحة هي ما يحميها فعليًا.

يتحقق كل من Chrome وSafari من كلمات المرور المحفوظة مقابل الاختراقات المعروفة، ويستحق التشغيل مرة واحدة: Google Password Checkup، أو كلمات المرور → توصيات الأمان على أجهزة Apple.

لكن انتبه لما يُقال لك. مخازن كلمات المرور في المتصفح هي أول ما يسرقه سارق المعلومات، لذا فإن تقرير اختراق هناك هو سبب لنقلها إلى مدير كلمات مرور حقيقي، وليس سبباً للشعور بأنك محمي.

يقوم متصفحك بتجزئة كلمة المرور محليًا ويرسل فقط أول خمسة أحرف من تلك التجزئة. يعيد الخادم كل تجزئة مسربة تبدأ بهذه الأحرف الخمسة، وغالبًا ما تكون عدة مئات، ويتحقق متصفحك بنفسه من القائمة.

لا تغادر كلمة المرور جهازك أبدًا، ولا يستطيع الخادم معرفة أي من الإجابات التي أرسلها كانت هي التي تسأل عنها. تُسمى هذه الخاصية عدم الكشف عن الهوية k-anonymity، وهي السبب في أن هذا عرض مختلف عن موقع يطلب منك ببساطة لصق كلمة مرور.

المحادثات اليومية مع أشخاص لن يثبّتوا أي شيء غير معتاد. المكالمات الصوتية والمرئية. أي شيء يكون فيه البديل هو عودة الشخص إلى الرسائل النصية القصيرة أو واتساب، وهو نمط الفشل الحقيقي.

أضعف ما يكون في: إخفاء أنك تستخدمه، وإخفاء رقم هاتفك عن المنظمة نفسها.

التواصل الأول مع شخص لا تريد تبادل أرقام الهواتف معه. المصادر. أي شخص لا يستطيع أو لا يريد تسجيل هوية. الحالات التي لا ينبغي فيها ربط حقيقة امتلاكك لحساب بك أصلاً.

أضعف ما فيه: الأرشيف طويل الأمد للمحادثات الحساسة، حتى صدور الإصدار V2. فعّل الرسائل المختفية وستزول هذه المشكلة إلى حد كبير.

محتوى الرسائل مشفّر؛ لكن قدراً كبيراً من البيانات الوصفية ليس كذلك. ولأن الغرف تُنسخ على كل خادم يوجد عليه مستخدمون منها، يستطيع مشغلو تلك الخوادم رؤية من يوجد في الغرفة ومتى يكونون نشطين. على خادم عام، هذا تعرّض حقيقي، وهو السبب وراء استضافة خادمك الخاص.

إدارة مفاتيح التشفير عبر عدة أجهزة هي أيضاً أكثر تعقيداً من الخيارين الآخرين، وفقدانها يعني فقدان الوصول إلى الرسائل القديمة.

فريق، أو غرفة أخبار، أو مجموعة تعمل معاً على مر الوقت وتريد بنيتها التحتية الخاصة. جسور إلى شبكات أخرى. أي شيء كنت ستستخدم فيه Slack أو Discord ولولا ذلك لما كان ينبغي.

الأضعف في: المحادثة الفردية مع شخص غير تقني، حيث يتفوق Signal في المقياس الوحيد المهم، وهو ما إذا كانوا سيستخدمونه.

Frigate — يسجّل ويجري كشف الأجسام محليًا، على جهازك الخاص، دون حساب سحابي. يعمل مع الكاميرات العادية التي تدعم RTSP.

Home Assistant — يشغّل كاميراتك وأجهزتك الذكية محليًا ويمكنه إبقاءها معزولة عن الإنترنت تمامًا.

عند الشراء، ابحث عن كاميرا تدعم RTSP أو ONVIF. هذا يعني أنها تستطيع التغذية إلى مسجّل محلي ولا تعتمد على استمرار وجود السحابة الخاصة بالشركة المصنّعة.