14740
نوشدارویی برای شناخت بهتر کلاهبرداری‌‌های اینترنتی، ارتقای امنیت دیجیتال و حفظ حریم خصوصی شما. وب‌سایت: nooshdaroo.ir اینستاگرام: instagram.com/NooshDaroo_web ایکس: x.com/nooshdaroo_web
💡 آیا هوش مصنوعی می‌تواند خلبان شود؟ روایت یک پرواز پرخطر
یک برنامه‌نویس کنجکاو، در یک آزمایش شخصی و غیررسمی، هوش مصنوعی «کلود» (Claude) را به شبیه‌ساز پرواز X-Plane 12 وصل کرد تا ببیند یک مدل زبانی چطور با هدایت هواپیما کنار می‌آید. این آزمایش پروژه رسمی شرکت Anthropic یا معیار علمی برای سنجش خلبانی هوش مصنوعی نبود؛ بلکه تجربه‌ای بود برای دیدن اینکه کلود می‌تواند ابزار بسازد، از خطاهای خود درس بگیرد و در شرایط لحظه‌ای تصمیم بگیرد یا نه.
کلود با کمک اسکرین‌شات‌های کابین و نوشتن کدهای پایتون، فرمان‌های هواپیما را اجرا می‌کرد. در شروع، توانست هواپیمای «سسنا ۱۷۲» را از روی باند بلند کند؛ اما وقتی سرعت صعود بیش از حد بالا رفت، به جای اصلاح نرم مسیر، فرمان را با شدت به سمت پایین داد. هواپیما شیرجه رفت، تعادلش را از دست داد و چند ثانیه بعد با سر به زمین خورد.
مشکل اصلی این نبود که کلود هیچ تحلیلی از وضعیت نداشت؛ کنترلر اولیه‌اش بیش از حد خشن عمل می‌کرد و تأخیر در دریافت داده‌ها باعث می‌شد واکنش‌هایش دیر و شدید باشند. کلود بعد از سقوط، گزارش عملکرد خودش را خواند، اشتباهاتش را تحلیل کرد و کدهایش را بازنویسی کرد. در تلاش بعدی پرواز پایدارتر شد و حتی گردش به چپ را انجام داد، اما هنگام فرود، چرخه کند دریافت اطلاعات و اجرای فرمان دوباره دردسرساز شد و هواپیما پیش از رسیدن به باند سقوط کرد.
پس آیا هوش مصنوعی می‌تواند خلبان خوبی باشد؟ فعلاً نه. کلود در این آزمایش نتوانست هواپیما را سالم فرود بیاورد، اما نشان داد که می‌تواند برای یک کار ناشناخته ابزار بسازد، خطاهایش را تحلیل کند و در تلاش بعدی بهتر عمل کند. تا اطلاع ثانوی، بهتر است هوش مصنوعی را کمک‌خلبانی باهوش بدانیم که هنوز در حال آزمون و خطاست، نه جایگزینی برای خلبان یا اتوپایلوت‌های حرفه‌ای.
🔗 مشاهده کامل مطلب در نوشدارو
🔗 مشاهده کامل مطلب در تلگرام
✍️ یونس مرادی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 نفوذ به حدود ۳۸۰۰ مخزن داخلی گیت‌هاب؛ ماجرای افزونه آلوده «وی اس کد» چیست؟
تا حالا پیش آمده نرم‌افزاری را برای راحت‌تر شدن کارتان نصب کنید، اما همان برنامه بلای جان سیستم شما شود؟ این همان اتفاقی است که برای بزرگترین پلتفرم میزبان کدهای نرم‌افزاری دنیا یعنی «گیت‌هاب» (GitHub) رخ داده؛ اتفاقی که نشان می‌دهد حتی غول‌های فناوری هم از اشتباهات انسانی در امان نیستند.
▪️ سرقت کدهای گیت‌هاب با یک اشتباه ساده
گیت‌هاب تأیید کرده که به دلیل نصب یک افزونه‌ی آلوده روی ویرایشگر VS Code توسط یکی از کارمندانش، حدود ۳۸۰۰ مخزن کد (Repository) داخلی این شرکت در معرض دسترسی غیرمجاز و استخراج داده قرار گرفته‌اند.
💡 نکته: اهمیت موضوع آنجا مشخص می‌شود که بدانیم بیش از ۱۸۰ میلیون برنامه‌نویس و ۴ میلیون سازمان از این سرویس استفاده می‌کنند و در مجموع بیش از ۴۲۰ میلیون مخزن کد روی آن قرار دارد. حتی ۹۰ درصد شرکت‌های فهرست Fortune 100 نیز از این پلتفرم استفاده می‌کنند.
▪️ هکرها به دنبال ۵۰ هزار دلار
گروه هکری TeamPCP با انتشار پستی در انجمن سایبری جرایم رایانه‌ای (Breached) مسئولیت این حمله را بر عهده گرفته است. آن‌ها کدهای سرقت‌شده را حداقل ۵۰ هزار دلار قیمت‌گذاری کرده‌اند. این گروه مدعی تأکید کرده است که قصد باج‌گیری از خود گیت‌هاب را ندارد و اگر خریدار واحدی پیدا نشود، داده‌ها را به صورت رایگان در اینترنت منتشر خواهد کرد.
گیت‌هاب هنوز این حادثه را به گروه مشخصی نسبت نداده، اما گفته عدد اعلام‌شده درباره حدود ۳۸۰۰ مخزن با بررسی فعلی شرکت هم‌خوانی نسبی دارد.
گیت‌هاب همچنین می‌گوید بلافاصله پس از شناسایی مشکل، نسخه مخرب این افزونه را از فروشگاه افزونه‌های VS Code حذف کرده و دستگاه آلوده را از شبکه جدا کرده است. همچنین تیم امنیتی شرکت روند بررسی حادثه را آغاز کرده است.
▪️ افزونه‌ها؛ دروازه‌ی پنهان ورود هکرها
افزونه‌های VS Code برای برنامه‌نویسان بسیار کاربردی‌اند، اما همین محبوبیت آن‌ها را به هدف جذابی برای مهاجمان تبدیل می‌کند. یک افزونه می‌تواند به فایل‌های پروژه، توکن‌ها، تنظیمات گیت، کلیدهای دسترسی یا محیط توسعه کاربر نزدیک شود؛ بنابراین نصب افزونه ناشناس در محیط برنامه‌نویسی، فقط اضافه کردن یک ابزار ساده نیست، بلکه دادن سطحی از اعتماد به کدی است که روی دستگاه اجرا می‌شود.
این اولین بار نیست که فروشگاه افزونه‌های VS Code میزبان برنامه‌های مخرب می‌شود. پیش از این نیز افزونه‌هایی با «بیش از ۹ میلیون نصب» به دلیل سرقت اطلاعات برنامه‌نویسان از این فروشگاه حذف شده بودند. دو افزونه دیگر هم با عنوان «دستیار هوش مصنوعی برای برنامه‌نویسی» با ۱.۵ میلیون نصب اطلاعات توسعه‌دهندگان را به سرورهایی در چین ارسال می‌کردند.
➕ نوشدارو پلاس: پیش از نصب افزونه، فقط به تعداد نصب و امتیاز کاربران اعتماد نکنید. سازنده، تاریخچه انتشار، مجوزها، دسترسی‌های لازم، تغییرات نسخه‌های اخیر و نیاز واقعی خودتان به آن افزونه را بررسی کنید. افزونه‌های بلااستفاده را حذف کنید و هنگام باز کردن پروژه‌های ناشناس، از قابلیت Workspace Trust وی‌اس کد استفاده کنید تا اجرای کد و رفتار افزونه‌ها در پروژه‌های نامطمئن محدودتر شود.
▪️ در آخر
ماجرای گیت‌هاب یادآوری می‌کند که حمله‌های زنجیره تأمین همیشه از مسیرهای پیچیده شروع نمی‌شوند؛ گاهی یک افزونه آلوده روی دستگاه یک کارمند یا توسعه‌دهنده کافی است تا مهاجم به مخازن داخلی، توکن‌ها یا فایل‌های حساس نزدیک شود. برای کاربران عادی شاید این خبر مستقیماً به معنای خطر فوری نباشد، اما برای توسعه‌دهندگان و تیم‌های فنی یک هشدار جدی است: هر افزونه‌ای که در محیط کدنویسی نصب می‌شود، باید مثل یک نرم‌افزار حساس بررسی شود، نه یک ابزار بی‌خطر.
✍️ یونس مرادی
#ابزارها_و_افزونه‌ها
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 سلطه هوش مصنوعی گوگل بر نتایج جست‌وجو : جنگ گوگل با «وب»؟
تا امروز وقتی چیزی را در گوگل جست‌وجو می‌کردید، معمولاً با فهرستی از لینک‌ها روبه‌رو می‌شدید؛ منابع مختلف را می‌خواندید و در نهایت خودتان تصمیم می‌گرفتید کدام پاسخ معتبرتر است. این تجربه آشنا حالا در آستانه تغییری بزرگ قرار گرفته است.
حالا گوگل در رویداد پریشب اعلام کرد که می‌خواهد جست‌وجو را به سمت پاسخهای تولیدشده توسط هوش مصنوعی ببرد؛ همان رویکردی که با قابلیت «AI Overviews» آغاز شده بود. این ویژگی به ظاهر باعث صرفه‌جویی در وقت می‌شود، اما بی‌خطا نیست. در برخی بررسی‌های مستقل، حدود ۱۰ درصد پاسخهای AI Overviews نادرست گزارش شده‌اند؛ بنابراین نباید پاسخ تولیدشده توسط هوش مصنوعی را جایگزین بررسی منبع اصلی دانست.
▪️ انحصار اطلاعات پشت دیوارهای گوگل
با جذاب‌تر شدن پاسخهای آماده هوش مصنوعی، یک نگرانی جدی هم شکل می‌گیرد: کاربر ممکن است کمتر به منبع اصلی سر بزند و بیشتر به خلاصه‌ای اعتماد کند که توسط یک پلتفرم ساخته و چیده شده است.
منتقدان می‌گویند اگر پاسخهای هوش مصنوعی بیش از حد جای لینک‌ها را بگیرند، نوشته‌ها، گزارش‌ها و آثار سازندگان محتوا ممکن است کمتر به‌عنوان منبع مستقل دیده شوند و بیشتر به مواد اولیه‌ای برای تولید پاسخهای خلاصه‌شده تبدیل شوند.
پرسش بزرگ‌تر این است: چه کسی تصمیم می‌گیرد کدام پاسخ دیده شود؟ اگر کاربران به‌جای گردش در وب، فقط پاسخهای خلاصه‌شده یک شرکت را ببینند، دسترسی به اطلاعات کاملاً متمرکز می‌شود.
▪️ چگونه اسیر پاسخهای آماده نشویم؟
با وجود این تغییرات باید آگاهانه‌تر با فناوری برخورد کنیم و کنترل اطلاعات دریافتی را به دست یک یا دو اپلیکیشن محدود نسپاریم:
• از جست‌وجو گرهای جایگزین هم استفاده کنید: به یک موتور جست‌وجو وابسته نمانید. ابزارهای دیگری را امتحان کنید که هنوز به نمایش لینک‌های مستقیم و احترام به منابع اصلی پایبند هستند.
• به یک مرورگر محدود نشوید: اگر تمام زندگی دیجیتال شما روی «مرورگر کروم» متمرکز شده است، بد نیست به گزینه‌های مستقل‌تر و امن‌تری فکر کنید که اطلاعات شما را کمتر ردیابی می‌کنند.
• اطلاعات را اعتبارسنجی کنید: پاسخهای تولیدشده توسط هوش مصنوعی را قطعی و بدون نقص ندانید. برای تصمیم‌های مهم مالی، سلامت، حریم خصوصی و امنیتی، حتماً خودتان به سایت‌های معتبر سر بزنید و اطلاعات را مستقیماً از منبع بخوانید.
در دنیایی که غول‌های فناوری می‌خواهند تنها راویِ حقیقت باشند، «پرسشگری»، «تنوع در استفاده از ابزارها» و «بررسی منابع»، مهم‌ترین سلاح شما برای تصمیم‌گیری امن و هوشمندانه است.
✍️ یونس مرادی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 پایان ارسال رمز پیامکی برای حساب‌های مایکروسافت؛ Passkey جایگزین می‌شود
مایکروسافت اعلام کرده که به‌تدریج استفاده از کدهای پیامکی را برای ورود و بازیابی حساب‌های شخصی مایکروسافت کنار می‌گذارد؛ چون به گفته این شرکت، احراز هویت پیامکی حالا به یکی از «منابع اصلی کلاهبرداری» تبدیل شده است. این تغییر قرار نیست در یک تاریخ مشخص و یک‌باره برای همه اجرا شود، اما مسیر کلی روشن است: مایکروسافت می‌خواهد کاربران را به سمت روش‌های بدون رمز عبور، مثل «پَس‌کی» (Passkey) سوق دهد.
اهمیت این تصمیم فقط در حذف یک روش قدیمی نیست؛ کد پیامکی می‌تواند با فیشینگ، سرقت شماره تلفن، یا ربایش سیم‌کارت به دست مهاجم بیفتد. اما تکنولوژی ایمن‌تر Passkey با یک جفت کلید رمزنگاری کار می‌کند: یک بخش روی دستگاه شما می‌ماند و بخش دیگر در سرورهای سرویس ذخیره می‌شود. هنگام ورود، دستگاه با اثر انگشت، تشخیص چهره یا PIN ثابت می‌کند که شما صاحب حساب هستید، بدون اینکه کلید اصلی از دستگاه خارج شود و به دست کسی دیگر بیفتد.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 هک گیت‌هاب گرافانا: وقتی یک «کلید فراموش‌شده» راه هکرها را باز می‌کند
طی چند هفته‌ی اخیر در نوشدارو زیاد در این مورد صحبت کرده‌ایم که هکرها اخیراً توسعه‌دهندگان را زیاد هدف می‌گیرند تا به نرم‌افزارهای رسمی و محبوب نفوذ کنند. حالا این موضوع به نرم‌افزار گرافانا هم رسیده است.
گرافانا (Grafana) ابزاری بسیار محبوب و حیاتی در دنیای فناوری است که به برنامه‌نویسان و مدیران سیستم کمک می‌کند داده‌های مختلف سرورها و سیستم‌های خود را پایش کرده و آن‌ها را به‌صورت نمودارهای زنده و قابل‌فهم تماشا کنند.
هکرها، توانسته‌اند با نفوذ به زنجیره تأمین نرم‌افزاری این شرکت (از طریق ابزار واسطه TanStack)، به مخازن گیت‌هاب گرافانا دست پیدا کنند.
بررسی‌های گرافانا نشان می‌دهد که ریشه این نفوذ به یک اشتباه به‌ظاهر کوچک بازمی‌گردد. تیم امنیتی گرافانا پس از شناسایی اولیه حمله، اقدام به تعویض «توکن‌های امنیتی» (کلیدهای دیجیتالی ورود) کرد تا دسترسی هکرها را قطع کند، اما یک توکن در این میان فراموش شد.
هکرها از همین یک درِ بازمانده استفاده کردند و به نفوذ خود ادامه دادند. اگرچه هکرها بعد از سرقت اطلاعات تلاش کردند تا با تهدید به انتشار فایل‌های مسروقه از گرافانا باج‌گیری کنند، این شرکت اعلام کرده که هیچ باجی پرداخت نخواهد کرد.
اگر توسعه‌دهنده هستید یا سازمان شما از این ابزار استفاده می‌کند، باید هشیار باشید. نشت اطلاعات تماس و ایمیل‌های تجاری به این معنی است که احتمالاً هکرها در روزهای آینده تلاش خواهند کرد با کمپین‌های فیشینگ هدفمند (ارسال ایمیل‌های جعلی اما بسیار شبیه به واقعیت به نام گرافانا) به اهداف بعدی خود آسیب برسانند.
بررسی مجدد دسترسی‌ها و هشیاری در مواجهه با ایمیل‌های مشکوک، اولین سد دفاعی شما در برابر این موج جدید خواهد بود.
این هشدار را برای همکاران فنی و توسعه‌دهنده خود بفرستید تا مراقب زنجیره امنیت‌شان باشند.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 توصیه به مدیران سایت: به‌روزرسانی ۳۰ اردیبهشت پلتفرم Drupal را حتماً دریافت کنید
اگر مدیر وب‌سایت، طراح وب یا توسعه‌دهنده‌ای هستید که سایت خود را با پلتفرم مدیریت محتوای دروپال (Drupal) ساخته‌اید، فردا (۳۰ اردیبهشت) روزی مهم برای مراقبت از امنیت اطلاعات‌تان خواهد بود. سازندگان این پلتفرم هشدار امنیتی مهمی صادر کرده‌اند و قرار است در تاریخ ۳۰ اردیبهشت (۲۰ مِی)، بین ساعات ۲۰:۳۰ تا ۰۰:۳۰ بامداد به وقت ایران، یک به‌روزرسانی امنیتی حیاتی برای برطرف سازی نقصی در هسته سیستم خود منتشر کنند.
ماهیت دقیق این آسیب‌پذیری هنوز فاش نشده تا هکرها نتوانند پیش از انتشار راهکار امنیتی از آن سوءاستفاده کنند. اما حساسیت مشکل به حدی بالاست که تیم دروپال به مدیران سایت‌ها توصیه کرده وقت‌شان را خالی کنند و در ساعت مقرر برای نصب وصله امنیتی آماده باشند! علاوه بر این، وصله‌ی امنیتی حتی برای نسخه‌های قدیمی‌تری که دیگر پشتیبانی رسمی نمی‌شوند هم ارائه خواهد شد.
هرچند ممکن است تنظیمات و پیکربندی همه سایت‌ها تحت‌تاثیر این مشکل قرار نگیرد، اما ضروری است در زمان اعلام‌شده وضعیت سایت‌تان را بررسی کنید تا در صورت نیاز فوراً برای آپدیت اقدام کنید.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 بنیان‌گذار لینوکس: سیل باگ‌یابی با هوش مصنوعی، مدیریت امنیت سیستم‌عامل را دشوار کرده است!
سیستم‌عامل لینوکس زیرساخت بسیاری از سایت‌ها، سرورهای بانکی و حتی گوشی‌های اندرویدی است و ایمنی آن برای حفظ حریم خصوصی و اطلاعات کاربران در سراسر جهان حیاتی به حساب می‌آید. اما به تازگی لینوس توروالدز، بنیان‌گذار و مهندس ارشد این سیستم‌عامل، هشدار داده که استفاده مداوم از ابزارهای هوش مصنوعی یکسان، روند بررسی‌های امنیتی را مختل کرده است.
ماجرا از این قرار است که برخی پژوهشگران و شکارچیان باگ، با استفاده از ابزارهای هوش مصنوعی، روزانه صدها گزارش از آسیب‌پذیری‌های احتمالی برای تیم برنامه‌نویسان لینوکس ارسال می‌کنند. مشکل اینجاست که این ابزارها مدام خطاهای تکراری، پیش‌پاافتاده و غیرمحرمانه را پیدا می‌کنند. در نتیجه، صندوق پیام‌های امنیتی لینوکس پر از هرزنامه‌هایی شده که ارزش فنی ندارند و مدیریت‌شان هم «تقریباً غیرممکن» است!
وقتی متخصصان امنیتی سیستم‌عامل‌های پایه، زمان خود را صرف خواندن و رد کردن گزارش‌های بی‌فایده می‌کنند، ممکن است خطرات امنیتی واقعی و جدی در لابه‌لای این شلوغی گم شوند. اگر یک آسیب‌پذیری واقعی در هسته سیستم‌عاملی مانند لینوکس به موقع برطرف نشود، اطلاعات شخصی ما در سایت‌ها و سرویس‌هایی که روزانه از آن‌ها استفاده می‌کنیم، در خطر نشت یا نفوذ قرار می‌گیرند.
توروالدز از افرادی که با هوش مصنوعی گزارش‌های انبوه تولید می‌کنند انتقاد کرده و از آن‌ها خواسته رویه خود را تغییر دهند:
«اگر واقعاً می‌خواهید کمک کنید، مستندات نرم‌افزار را بخوانید، یک راه‌حل یا وصله امنیتی بسازید و ارزشی واقعی به آنچه هوش مصنوعی پیدا کرده اضافه کنید. از آن دسته افرادی نباشید که بدون درک واقعی مشکل، صرفاً یک گزارش تصادفی می‌فرستند.»
جالب است بدانید پدیده گزارش‌های بی‌فایده و تکراری فقط به لینوکس محدود نمی‌شود. اوایل سال میلادی جاری، توسعه‌دهندگان ابزار شبکه کرل (Curl) هم اعلام کردند که به دلیل دریافت سیل عظیمی از گزارش‌های بی‌ارزش و تولیدشده با هوش مصنوعی، برنامه جایزه‌دهی برای کشف باگ خود را متوقف می‌کنند!
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 پایان یک باور قدیمی: تغییر دوره‌ای رمز عبور همیشه امنیت را بیشتر نمی‌کند!
شاید این پرسش ذهن شما را هم درگیر کرده باشد که آیا باید رمزها را هرچند وقت یک‌بار تغییر داد و یا بهتر است به رمزهای قدیمی دست نزنیم؟ «موسسه‌ی ملی استاندارد و فناوری آمریکا» (NIST) در دستورالعمل‌های خود می‌گوید که شرکت‌ها و سازمان‌ها دیگر نباید کاربران یا کارمندان را مجبور به تغییر دوره‌ای رمز عبور کنند.
این توصیه مبتنی بر چندین دهه تحقیق علمی است که نشان می‌دهند تغییر اجباری و دوره‌ای رمز عبور، وقتی هیچ نشانه‌ای از افشای رمز یا نفوذ وجود ندارد، معمولاً امنیت را بهتر نمی‌کند و حتی می‌تواند کاربران را به سمت رمزهای قابل حدس‌تر ببرد.
▪️ چرا تغییر مداوم رمز عبور آنقدرها مفید نیست؟
وقتی کاربران مجبور می‌شوند در بازه‌های زمانی کوتاه (مثلاً هر ۹۰ روز یک‌بار) رمز عبور خود را تغییر دهند، به دلیل ترس از فراموشی یا دشواری در به خاطر سپردن رمز جدید، تغییرات جزئی و قابل حدس در رمز قبلی ایجاد می‌کنند؛ برای مثال:
۱. افزودن اعداد پشت سر هم مثل password1 و password2 و password3؛
۲. اضافه کردن علامت‌های ساده مثل ! یا @ به انتهای رمز قبلی.
این الگوهای تکراری کار را برای هکرها آسان‌تر و حس «امنیت کاذب» ایجاد می‌کنند، در حالی که لایه‌ی محافظتی چندان موثری به حساب نمی‌آیند.
▪️ پس رمز عبور را چه زمانی عوض کنیم؟
به‌جای تغییر دادن رمز در بازه‌های ثابت، بهتر است رمز را در این شرایط عوض کنید:
• وقتی سرویس اعلام کرده اطلاعات کاربرانش لو رفته است.
• وقتی رمزتان را در سایت مشکوک وارد کرده‌اید.
• وقتی روی لینک فیشینگ کلیک کرده‌اید و احتمال می‌دهید رمزتان لو رفته باشد.
• وقتی یک رمز را در چند حساب استفاده کرده‌اید.
• وقتی دستگاه‌تان آلوده به بدافزار یا سرقت‌کننده اطلاعات شده است.
• وقتی حساب شما ورود مشکوک، پیام هشدار یا فعالیت غیرعادی نشان می‌دهد.
▪️ توصیه‌های جدید برای امنیت بالاتر
دستورالعمل جدید NIST به جای این رویکرد قدیمی، راهکارهای مدرن و کارآمدتری را پیشنهاد می‌کند که تمرکز آن‌ها بر ایجاد لایه‌های امنیتی متعدد است. مهم‌ترین توصیه‌ها این‌ها هستند:
• رمز عبور فقط زمانی تغییر کند که نشانه‌ای از نفوذ دیده می‌شوند.
• قوانین انتخاب رمز ترکیبی پیچیده (الزام به استفاده از حروف بزرگ، اعداد و نمادها) از ابزارها حذف شوند.
• اگر رمز عبور تنها لایه ورود است، حداقل طول آن بهتر است ۱۵ کاراکتر باشد و اگر کنار احراز هویت چندمرحله‌ای استفاده می‌شود، حداقل ۸ کاراکتر پذیرفته است.
• از ابزارهای مدیریت رمز عبور (مانند بیت‌واردن) استفاده شود.
• احراز هویت دو مرحله‌ای فعال شود.
• رمزهای عبور با پایگاه‌ها و فهرست رمزهای لو رفته مقایسه شوند و کاربر مجاز به انتخاب رمزهای ناامن نباشد.
▪️ در آخر: راه‌حل مناسب چیست؟
«مرکز امنیت سایبری بریتانیا» (NCSC) هم از سال ۲۰۱۸ به بعد هشدار داده که تغییر منظم رمز عبور، به جای بهبود امنیت، به آسیب‌پذیری بیشتر دامن می‌زند. کارشناسان امنیت سایبری هشدار می‌دهند که تکیه‌ی صرف بر رمز عبور ایده مناسبی نیست و بهترین رویکرد استفاده از رمزهای پیچیده، احراز هویت دو مرحله‌ای و همینطور تکنولوژی Passkey است.
✍️ یونس مرادی
#مبانی_امنیت
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 استفاده‌ی زیاد از هوش مصنوعی چه اثری بر حافظه و خلاقیت ما می‌گذارد؟
برای همه ما پیش آمده که برای نوشتن متن، خلاصه‌سازی مقاله یا حتی پیدا کردن پاسخ یک پرسش ساده، سراغ چت‌بات هوش مصنوعی برویم و در چند ثانیه جواب بگیریم. این سرعت و راحتی وسوسه‌کننده است؛ غافل از اینکه داریم برای آن بهای سنگینی می‌پردازیم.
وقتی مدام کارهایی مثل نوشتن، خلاصه‌کردن، تحلیل و ایده‌پردازی را به چت‌بات‌ها می‌سپاریم، ممکن است کم‌کم کمتر درگیر فرایند فکر کردن شویم؛ همان چیزی که برای حافظه، خلاقیت و یادگیری به آن نیاز داریم.
⛓ مشاهده ادامه مطلب در نوشدارو
✍️ یونس مرادی
#سواد_دیجیتال
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 چت‌جی‌پی‌تی می‌خواهد به حساب بانکی کاربران وصل شود؛ راحتی بیشتر یا ریسک‌های تازه؟
شرکت اوپن ای‌آی (OpenAI) در اقدامی جسورانه، پای هوش مصنوعی را به یکی از حساس‌ترین بخش‌های زندگی کاربران، یعنی حساب‌های بانکی باز کرده است. این شرکت به‌تازگی قابلیت جدیدی برای مدیریت امور مالی شخصی در چت‌جی‌پی‌تی (ChatGPT) معرفی کرده که در حال حاضر به‌صورت آزمایشی برای مشترکین نسخه Pro در آمریکا فعال است.
به کمک این ویژگی، کاربران می‌توانند حساب‌های مالی پشتیبانی‌شده را به ChatGPT وصل کنند تا هزینه‌ها، قبض‌ها، اشتراک‌ها، دارایی خالص، سرمایه‌گذاری‌ها و هدف‌های مالی را در یک محیط ببینند و درباره آن‌ها سوال بپرسند.
پس از اتصال حساب‌ها، ChatGPT می‌تواند نمایی از وضعیت مالی کاربر، هزینه‌ها، اشتراک‌ها، پرداخت‌های پیش‌ِ رو و تغییرات مالی در طول زمان نشان دهد تا دقیقاً مشخص شود پول از کجا می‌آید و کجا خرج می‌شود. بعد می‌توانید از این چت‌بات سوالات متنوع بپرسید؛ مثلاً اینکه در ماه چقدر هزینه اشتراک اینترنت و نرم‌افزارها کرده‌اید یا بهترین روش پس‌انداز برای خرید خانه چیست!
💡 نکته: این سرویس جدید از قدرت پردازشی مدل پیشرفته «GPT-5.5 Thinking» بهره می‌برد
محدودیت مهم این است که ChatGPT فعلاً برای تحلیل و برنامه‌ریزی طراحی شده و نمی‌تواند پول جابه‌جا کند، قبض پرداخت کند، معامله انجام دهد، حساب باز یا بسته کند، مالیات ثبت کند یا نقش مشاور مالی، حقوقی، مالیاتی یا سرمایه‌گذاری را برعهده بگیرد.
➕ نوشدارو پلاس: طبق راهنمای OpenAI، گفت‌وگوهای بخش مالی از همان تنظیمات آموزش مدلی پیروی می‌کنند که کاربر برای چت‌جی‌پی‌تی انتخاب کرده است؛ یعنی کاربر باید از بخش Data controls بررسی کند آیا گفت‌وگوهایش برای بهبود مدل‌ها استفاده می‌شود یا نه. همچنین در صورت قطع اتصال، داده‌های همگام‌سازی‌شده از سیستم‌های OpenAI ظرف ۳۰ روز حذف می‌شود، اما اطلاعات مالی داخل تاریخچه گفت‌وگو جداگانه باقی می‌مانند، مگر اینکه خود کاربر آن گفت‌وگوها را حذف کند.
شرکت OpenAI صراحتاً هشدار داده که با توجه به احتمال بروز پدیده «توهم هوش مصنوعی» (Hallucination) و ارائه مشاوره‌های غلط یا سرمایه‌گذاری‌های نامنطقی، این ابزار نباید جایگزین مشاوران مالی واقعی شود. از سوی دیگر، واکنش‌ها در پلتفرم‌هایی مثل انجمن «ردیت» نیز به‌شدت منفی بوده است؛ تا جایی که برخی کاربران اعطای چنین دسترسی‌هایی را «دیوانه‌وار» خوانده و آن را با «بدافزار» مقایسه کرده‌اند.
در مجموع تا زمانی که تضمین‌های محکمی برای حفظ حریم خصوصی و امنیت داده‌ها ارائه نشود، اعتماد به این مشاور مالیِ هوشمند کار آسانی نخواهد بود!
✍️ دانیال طبایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 حفره امنیتی یعنی چی و چرا ضروریه که اینترنت همین امروز وصل بشه؟!
#سواد_دیجیتال
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 شهروندی دیجیتال چیست؟ چرا هر کلیک و هر کُنش ما اهمیت دارد؟
ما در فضای مجازی تقریباً همان‌قدر وقت می‌گذرانیم که در خیابان‌های شهرمان؛ اما گاهی فراموش می‌کنیم که دنیای آنلاین، جدا از زندگی واقعی نیست. یک لایک ساده، فوروارد کردن یک پیام یا کامنتی که می‌نویسیم، هویت ما را در این فضا می‌سازد.
«شهروندی دیجیتال» یعنی بتوانیم در شبکه‌های اجتماعی و پیام‌رسان‌ها، امن، مسئولانه و آگاهانه رفتار کنیم. این مفهوم فقط درباره رعایت ادب نیست؛ بلکه به حریم خصوصی، امنیت حساب‌ها، تشخیص اخبار جعلی و احترام به حقوق دیگران هم گره خورده است.
برای اینکه شهروند دیجیتال بهتری باشیم و از خودمان و دیگران در این فضا مراقبت کنیم، رعایت چند اصل ساده اما مهم ضروری است:
• دسترسی دیجیتال: این ابتدایی‌ترین اصل است. باید تلاش کنیم تا همه افراد جامعه، فارغ از موقعیت مالی یا جغرافیایی، به اینترنت و تجهیزات مناسب دسترسی برابر داشته باشند و در برابر نابرابری‌های دیجیتال بی‌تفاوت نباشیم.
• مکث قبل از واکنش: وقتی با یک خبر شوکه‌کننده یا هیجانی روبه‌رو می‌شوید، بلافاصله آن را باور یا بازنشر نکنید. اخبار جعلی با همین اشتراک‌گذاری‌های شتاب‌زده پخش می‌شوند.
• احترام به حریم خصوصی: عکس دوستان و اطرافیان را بدون اجازه منتشر نکنید و تنظیمات حریم خصوصی حساب‌های خود را به دقت مدیریت کنید.
• امنیت در خرید و ارتباط: خرید آنلاین فقط با دیدن یک نماد اعتماد امن نمی‌شود. آدرس سایت، درگاه پرداخت و اعتبار فروشنده را چک کنید. در برابر پیامک‌های مشکوک و لینک‌های ناشناس هوشیار باشید.
• توقف چرخه آزار: اگر می‌بینید کسی مورد قلدری اینترنتی قرار گرفته، بی‌تفاوت نباشید. اکانت‌های مزاحم و محتوای تنفرآمیز را مسدود و گزارش کنید.
• استفاده هدفمند: اسیر گشت‌وگذار بی‌هدف نشوید. مراقب سلامت جسمی و روانی خود در برابر استفاده مداوم از گوشی باشید.
لازم نیست کار بزرگی انجام دهیم. گاهی کافی است قبل از بازنشر یک خبر مکث کنیم، حریم خصوصی دیگران را رعایت کنیم، در برابر نبود دسترسی دیجیتال عادلانه بی‌تفاوت نباشیم و از حساب‌ها و اطلاعات خودمان بهتر مراقبت کنیم. اینترنت سالم‌تر با همین رفتارهای کوچک شروع می‌شود و نوشدارو هم با همین هدف در کنار شما است.
⛓ خواندن متن کامل مطلب در نوشدارو
✍️ آزاده رمضانی
#سواد_دیجیتال
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 کپچای تقلبی چیست؟ شگردی برای نفوذ به سیستم و راه‌های مقابله با آن
ما کاربران ایرانی به دلیل استفاده‌ی مداوم از ابزارهای تغییر آی‌پی، روزانه بارها با پیام‌های کپچا (انتخاب تصاویر چراغ راهنمایی یا خط عابر) روبه‌رو می‌شویم. همین تکرار باعث شده گاهی بدون دقت، هر درخواستی را برای رد شدن از این مرحله بپذیریم؛ عادتی که هکرها دقیقاً روی آن دست گذاشته‌اند.
اخیراً نوعی «کپچای جعلی» رواج پیدا کرده که به جای پازل تصویری، ادعا می‌کند ترافیک شما غیرعادی است. این صفحات برای «تأیید دستی» از شما می‌خواهند کلیدهای Win + R را بزنید و یک کد را در پنجره Run ویندوز کپی و اجرا کنید.
این یک فریب خطرناک است. اجرای این دستور به ظاهر ساده، بدافزارها و تروجان‌ها را مستقیم روی سیستم شما نصب می‌کند.
قانون طلایی این است: کپچای واقعی هرگز از شما نمی‌خواهد وارد محیط ویندوز شوید یا دستور سیستمی اجرا کنید. تمام فرایند باید داخل همان کادر مرورگر انجام شود. اگر با صفحه‌ای روبه‌رو شدید که فراتر از کلیک روی چند عکس، از شما خواست کدی را کپی کنید، بدون هیچ کلیکی تب مرورگر را ببندید.
⛓ مشاهده ادامه مطلب در نوشدارو
✍️ یونس مرادی
#مبانی_امنیت
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 ریزش کد در عصر هوش مصنوعی: وقتی بخش زیادی از خروجی دوباره بازنویسی می‌شود
دستیارهای کدنویسی هوش مصنوعی می‌توانند در چند دقیقه چیزی را بسازند که قبلاً ساعت‌ها وقت می‌گرفت. همین سرعت باعث شده خیلی از تیم‌ها احساس کنند بهره‌وری‌شان چند برابر شده است؛ اما پژوهش‌های تازه نشان می‌دهد ماجرا همیشه به این سادگی نیست و احتمالا به زودی با مشکلات مهمی مواجه خواهیم شد…
بخشی از کدی که با کمک هوش مصنوعی تولید می‌شود، بعداً باید اصلاح، حذف یا دوباره نوشته شود. یعنی اگر فقط تعداد خط کد، تعداد تغییرات یا سرعت تولید را معیار موفقیت بدانیم، ممکن است پیشرفت واقعی را با حجم کار اشتباه بگیریم.
⛓ مشاهده مطلب در نوشدارو
✍️ یونس مرادی
#کسب‌وکار_آنلاین
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 دستیار هوشمند مایکروسافت حالا می‌تواند به تب‌های باز مرورگر «اج» (Edge) سرک بکشد؛ البته با اجازه شما!
مایکروسافت در به‌روزرسانی تازه مرورگر «اج» (Edge)، قابلیت‌های «کوپایلت» (Copilot) را مستقیم‌تر وارد تجربه وب‌گردی کرده است. کوپایلت حالا می‌تواند با اجازه کاربر، میان برگه‌های باز مرورگر جست‌وجو کند، اطلاعات آن‌ها را با هم مقایسه کند و حتی از تاریخچه مرور و گفت‌وگوهای قبلی برای پاسخهای مرتبط‌تر کمک بگیرد.
این قابلیت‌ها می‌توانند کارهایی مثل برنامه‌ریزی سفر، مقایسه خرید، مطالعه یک موضوع یا نوشتن متن را ساده‌تر کنند؛ اما همین راحتی یک سؤال مهم هم ایجاد می‌کند: وقتی هوش مصنوعی به برگه‌های باز، تاریخچه مرور و زمینه کاری ما نزدیک‌تر می‌شود، چطور باید حریم خصوصی‌مان را کنترل کنیم؟
▪️ وقتی تب‌های باز، بخشی از پاسخ هوش مصنوعی می‌شوند
فرض کنید در حال برنامه‌ریزی برای یک سفر هستید و در چند برگه‌ی مختلف، قیمت بلیت‌ها یا هتل‌های گوناگون را باز کرده‌اید. هوش مصنوعی می‌تواند بدون اینکه لازم باشد بین این صفحات جابه‌جا شوید، اطلاعات آن‌ها را با هم مقایسه کند. تا اینجای کار جذاب به نظر می‌رسد، اما روی دیگر سکه زمانی است که شما هم‌زمان با جستجو برای بلیت، برگه‌ی اینترنت‌بانک خود را باز کرده‌اید یا در یک برگه‌ی دیگر، یک سیستم پیام‌رسان تحت وب (مثل تلگرام یا واتس‌اپ) با اطلاعات شخصی در حال اجراست.
در این حالت مسئله اینجاست که با دادن دسترسی، کوپایلت فقط عنوان برگه‌ها را نمی‌بیند؛ ممکن است از محتوای صفحات باز برای مقایسه، خلاصه‌سازی یا پاسخ دادن استفاده کند. مایکروسافت می‌گوید این دسترسی با اجازه کاربر انجام می‌شود؛ اما برای کاربر عادی، مهم‌ترین نکته این است که پیش از فعال کردن چنین قابلیتی بداند چه تب‌هایی باز هستند و کدام داده‌ها ممکن است در پاسخهای کوپایلت دخیل شوند.
از طرف دیگر کوپایلت می‌تواند با اجازه شما، از «تاریخچه مرور» (Browsing History) و گفت‌وگوهای قبلی هم برای ارائه پاسخهای مرتبط‌تر استفاده کند. این یعنی اگر قبلاً درباره خرید، سفر، کار، سلامت، مسائل مالی یا موضوعات شخصی جست‌وجو کرده باشید، مرورگر می‌تواند از آن زمینه برای کمک به پاسخهای بعدی استفاده کند. چنین چیزی ممکن است تجربه کاربری را بهتر کند، اما از نظر حریم خصوصی حساس‌تر از یک جست‌وجوی ساده است.
💡 نکته: اگر برگه‌های بانکی، ایمیل، پیام‌رسان یا سامانه‌های کاری باز هستند، بهتر است پیش از استفاده از این قابلیت، آن‌ها را ببندید یا در پنجره/پروفایل جداگانه نگه دارید.
❗️ هشدار: دسترسی دادن به هوش‌مصنوعی برای ثبت تاریخچه وب‌گردی، به معنای ساخت یک «ردپای دیجیتال» (Digital Footprint) است که می‌تواند تصویر نسبتاً دقیقی از علایق، خریدها، دغدغه‌ها، پروژه‌ها و حتی مسائل شخصی شما بسازد.
▪️ توصیه‌های امنیتی برای کاربران مایکروسافت اج
اگر از مرورگر مایکروسافت اج استفاده می‌کنید، نیازی به ترس یا پاک کردن این برنامه نیست، اما باید آگاهانه‌تر رفتار کنید:
• در مواجهه با هر پیام جدید در مرورگر که از شما درخواست دسترسی به اطلاعات، تاریخچه یا برگه‌ها را دارد، مکث کنید.
• اگر می‌خواهید از امکانات هوش مصنوعی برای مقایسه‌ی اطلاعات استفاده کنید، مطمئن شوید که در برگه‌های دیگرتان اطلاعات حساس کاری، بانکی یا هویتی باز نباشد.
• می‌توانید با مراجعه به بخش تنظیمات (Settings) مرورگر اج و قسمت حریم شخصی (Privacy)، دسترسی‌های داده شده به کوپایلت را بررسی و محدود کنید.
• هر چند وقت یک‌بار تنظیمات کوپایلت، حریم خصوصی، تاریخچه مرور و مجوزهای سایت‌ها را در اج بررسی کنید و دسترسی‌های غیرضروری را بردارید.
▪️ سخن پایانی
در نهایت، قابلیت‌های تازه کوپایلت در «مایکروسافت اج» (Microsoft Edge) می‌توانند وب‌گردی، مقایسه اطلاعات و نوشتن را ساده‌تر کنند؛ اما این راحتی با دسترسی بیشتر به محتوای مرورگر همراه است. نکته اصلی این نیست که از این ابزارها استفاده نکنیم، بلکه باید بدانیم چه زمانی و به چه داده‌هایی اجازه دسترسی می‌دهیم.
✍️ دانیال طبایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 هشدار امنیتی: درایورهای گرافیک انویدیا را همین حالا آپدیت کنید!
انویدیا (Nvidia) در یک بولتن امنیتی تازه، برای درایورهای گرافیک خود در ویندوز و لینوکس به‌روزرسانی منتشر کرده است. این به‌روزرسانی ۱۳ آسیب‌پذیری را در درایورهای اصلی کارت‌های گرافیک انویدیا و ۲ آسیب‌پذیری دیگر را در نرم‌افزار «کارت گرافیک مجازی» (vGPU) پوشش می‌دهد؛ آسیب‌پذیری‌هایی که در صورت سوءاستفاده موفق می‌توانند به اجرای کد، ارتقای سطح دسترسی، افشای اطلاعات، دستکاری داده یا از کار افتادن سیستم منجر شوند.
▪️ کدام نسخه درایور را باید نصب کنید؟
اگر روی کامپیوتر یا لپ‌تاپ خود از کارت گرافیک انویدیا استفاده می‌کنید، نسخه درایور را بررسی کنید. این به‌روزرسانی می‌تواند شامل کارت‌های جی‌فورس، RTX، کوادرو، NVS و تسلا شود؛ اما نسخه اصلاح‌شده برای همه محصولات یکسان نیست و به مدل کارت، سیستم‌عامل و شاخه درایور بستگی دارد.
اگر مطمئن نیستید، ساده‌ترین راه این است که مدل کارت گرافیک و سیستم‌عامل خود را در صفحه رسمی دانلود انویدیا وارد کنید و آخرین نسخه سازگار را بگیرید. علاوه بر نصب این به‌روزرسانی، کارشناسان توصیه می‌کنند سپر امنیتی سیستم‌عامل خود (مانند ویندوز دیفندر) را همیشه فعال و به‌روز نگه دارید.
⛓ مشاهده کامل مطلب در نوشدارو
✍️ دانیال طبایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 آیا استخراج ارز دیجیتال با گوشی و لپ‌تاپ واقعاً امکان‌پذیر است؟
ایده‌ی استخراج رمزارز در خانه و با وسایل شخصی، برای بسیاری از تازه‌واردان بازار کریپتو جذاب است. خیلی‌ها می‌پرسند آیا می‌شود بدون خرید دستگاه‌های گران‌قیمت و صرفاً با روشن گذاشتن لپ‌تاپ یا گوشی موبایل، درآمد کسب کرد؟ و حداقل روی کاغذ پاسخ ساده به نظر می‌رسد؛ اما استفاده از دستگاه‌های شخصی برای استخراج رمزارز، اشتباهی پرهزینه است که معمولاً به قیمت آسیب دیدن دستگاه و حتی سرقت اطلاعات شخصی تمام می‌شود.
اگر عجله دارید…
• موضوع چیست؟ تبلیغات و برنامه‌هایی که ادعا می‌کنند با روشن گذاشتن گوشی یا لپ‌تاپ می‌توان رمزارز استخراج کرد و پول‌دار شد.
• خطر اصلی چیست؟ درآمد ناچیز، فشار شدید به دستگاه، مصرف برق، استهلاک باتری و احتمال نصب اپلیکیشن‌های مشکوک.
• چه کسی باید نگران باشد؟ کاربرانی که به دنبال کسب درآمد دلاری آسان هستند و برنامه‌های ناشناس روی دستگاه‌های خود نصب می‌کنند.
• چه کاری همین الان بهتر است؟ اگر اپلیکیشن یا رباتی با ادعای استخراج با موبایل نصب کرده‌اید، همین الان آن را پاک کنید.
• چه کاری نباید انجام شود؟ هرگز فریب تبلیغات شبکه‌های اجتماعی که وعده‌ی «درآمد رایگان بدون سخت‌افزار» می‌دهند را نخورید.
⛓ مشاهده ادامه مطلب در نوشدارو
✍️ یونس مرادی
#ارزهای_دیجیتال
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 ورود همه‌جانبه‌ی گوگل به امنیت سایبری با هوش مصنوعی جدید CodeMender
برای خیلی از مشاغل پیش می‌آید که در میانه‌ی یک روز کاری عادی، ناگهان با هشدار به‌روزرسانی فوری برای ابزارها و پلتفرم‌ها روبه‌رو شوند؛ هشدارهایی که پس از کشف یک حفره امنیتی بزرگ صادر می‌شوند و هدف‌شان بستن راه ورود هکرهاست. اما چه می‌شد اگر برنامه‌ها پیش از هک شدن، خودشان را «ترمیم» می‌کردند؟ این ایده‌ای است که گوگل می‌خواهد با ابزار هوش مصنوعی جدید CodeMender عملی کند.
گوگل در رویداد سالانه I/O اعلام کرد که ابزار هوش مصنوعی «کُدمِندِر» (CodeMender) را برای گروه محدودی از متخصصان امنیت سایبری و شرکت‌ها در دسترس قرار می‌دهد. این ابزار، دستیاری هوش مصنوعی برای «تامین امنیت کدهای نرم‌افزاری» است و به برنامه‌نویسان کمک کند رخنه‌های امنیتی را پیش از وقوع فاجعه شناسایی و ترمیم کنند.
▪️ هوش مصنوعی کُدمِندِر چگونه کار می‌کند؟
ابزارهای سنتی کشف باگ مثل یک چراغ‌قوه در انباری تاریک عمل می‌کنند؛ فقط بخشی از مشکل را نشان می‌دهند و رفع خود مشکل هم نیازمند ساعت‌ها کار انسانی است. اما کدمندر مانند یک تیم مهندسی خستگی‌ناپذیر عمل می‌کند. این ابزار از مدل‌های پیشرفته‌ی تفکر عمیق جمنای بهره می‌برد و ۲ وظیفه‌ی اصلی دارد:
• واکنش سریع: به محض شناسایی یک آسیب‌پذیری جدید، فوراً یک وصله‌ی امنیتی (Patch) برای آن می‌نویسد.
• پیشگیری هوشمند: کدهای قدیمی را بازنویسی می‌کند تا از پایه و اساس جلوی بروز انواع خاصی از خطاهای امنیتی را بگیرد.
هوش مصنوعی کدمنِدر تنها در شش ماه گذشته بیش از ۷۲ مشکل امنیتی را در پروژه‌های متن‌باز برطرف کرده است؛ پروژه‌هایی که برخی از آن‌ها بیش از ۴.۵ میلیون خط کد داشته‌اند. برای درک بهتر خوب است بدانید یکی از رخنه‌های خطرناکی که این ابزار رفع کرده، پیش‌تر باعث هک شدن گوشی‌های آیفون شده بود که به امنیت مثال‌زدنی مشهورند.
▪️ رقابت تازه در بازار امنیت هوش مصنوعی
معرفی این ابزار در واقع واکنش سریع گوگل به موفقیت چشمگیر هوش مصنوعی «میتوس» (Mythos) از شرکت آنتروپیک است؛ مدلی که به دلیل توانایی بالا در کشف رخنه‌های امنیتی در سیستم‌های حساس، توجه بسیاری از بانک‌های بزرگ و نهادهای دولتی را به خود جلب کرد.
«سوندار پیچای»، مدیرعامل گوگل، می‌گوید که موفقیت میتوس نشان داد بازار تشنه‌ی مدل‌های بزرگ هوش مصنوعی برای تامین امنیت است و گوگل هم توانایی رقابت قدرتمند را در این عرصه دارد.
▪️ هدف بلندمدت: ایمن‌تر شدن نرم‌افزارهای جهان
گوگل در حال مذاکره با دولت‌ها و شرکت‌های بزرگ است تا استفاده از کدمندر را در فرایند بررسی امنیت سیستم‌های نرم‌افزاری فراگیر کند. البته این شرکت فعلاً رویکردی محتاطانه در پیش گرفته و تمام تغییراتی که هوش مصنوعی پیشنهاد می‌دهد، پیش از اعمال نهایی توسط متخصصان انسانی بررسی می‌شوند تا از بروز خطاهای ناخواسته جلوگیری کنند.
با ورود هوش مصنوعی به عرصه‌ی ترمیم خودکار نرم‌افزارها، به نظر می‌رسد در آستانه‌ی تحولی بزرگ در امنیت دنیای دیجیتال هستیم. پرسش اصلی اینجاست؛ آیا هوش مصنوعی می‌تواند بدون نظارت انسان، امنیت تمام سیستم‌های حیاتی جهان را به تنهایی تامین کند یا خیر؟ نظر شما چیست؟
✍️ یونس مرادی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 همکاری گوگل، انویدیا و OpenAI برای تشخیص آسان‌تر تصاویر واقعی از محتوای هوش مصنوعی
تا همین یک سال پیش، تشخیص عکسی که با هوش مصنوعی ساخته شده بود کار راحتی بود؛ مثلاً دست‌ها شش تا انگشت داشتند یا پس‌زمینه بیش از حد غیرطبیعی به نظر می‌رسید. اما امروز هوش مصنوعی آن‌قدر پیشرفت کرده که برخی تصاویرش حتی به چشم تیزبین‌ترین افراد هم به سختی قابل تشخیص‌اند. همین باعث شده به هرچیزی که در اینترنت می‌بینیم (از اخبار گرفته تا عکس محصولات در فروشگاه‌های آنلاین) کمتر اعتماد کنیم.
خوشبختانه در کنفرانس اخیر Google I/O، یک قابلیت هیجان‌انگیز به نام AI Content Verification معرفی شد که قرار است اعتماد را به اینترنت بازگرداند. نکته مهم این است که گوگل در این مسیر تنها نیست؛ شرکت‌های بزرگی مثل OpenAI (سازنده چت جی‌پی‌تی) و انویدیا (بزرگترین سازنده تراشه‌های هوش مصنوعی) نیز دست به دست گوگل داده‌اند تا در یک همکاری بزرگ، اصالت‌سنجی تصاویر را ساده‌تر کنند.
▪️ این سیستم چطور کار می‌کند؟
شاید بپرسید گوگل و شرکایش چطور می‌خواهند مچ هوش مصنوعی را بگیرند؟ پاسخ در دو ابزار کلیدی نهفته است که مانند یک تیم دونفره با هم همکاری می‌کنند:
• شناسنامه دیجیتال (C2PA): این استاندارد که توسط ائتلافی از شرکت‌های فناوری (مایکروسافت، ادوبی، اینتل و…) پایه‌گذاری شده، بی‌شباهت به متادیتا نیست و مانند یک سند یا شناسنامه، اطلاعات ریز عکس را همراه خود حمل می‌کند؛ به شما می‌گوید این عکس با چه دوربینی گرفته شده و آیا اصلاً با هوش مصنوعی دستکاری شده است یا خیر. مثلاً اگر عکسی واقعی از حیوان خانگی خود گرفته باشید و بعداً با هوش مصنوعی یک کلاه تولد روی سرش گذاشته باشید، این سیستم به شما می‌گوید که عکس اصلی واقعی بوده، اما بخش‌هایی از آن تغییر کرده است.
• واترمارک یا مهر پنهان (SynthID): مشکل شناسنامه‌های دیجیتال این است که اگر کسی از صفحه اسکرین‌شات بگیرد یا عکس را کپی کند، آن اطلاعات از دست می‌روند. اینجاست که ابزار دوم وارد کار می‌شود. این فناوری گوگل، یک مُهر یا نشان کاملاً نامرئی را در تار و پود عکس، ویدیو یا حتی صدا تزریق می‌کند که با چشم غیرمسلح اصلاً دیده نمی‌شود. این مهر آن‌قدر جان‌سخت است که حتی با اسکرین‌شات گرفتن، برش زدن یا تغییر سایز عکس هم از بین نمی‌رود.
به گفته شرکت OpenAI، این دو سیستم مکمل یکدیگرند. شناسنامه دیجیتال اطلاعات دقیق را ارائه می‌دهد و مهر پنهان هم مامور محافظت از اطلاعات است. به این ترتیب، همینطور که تصاویر در اینترنت دست به دست می‌شوند، اطلاعات‌شان گم نمی‌شود و در دسترس می‌ماند.
▪️ چطور از این قابلیت استفاده کنیم؟
گوگل قصد دارد ابزار قدرتمند Verify AI را به بخش‌های مختلف زندگی روزمره ما، مثلاً جستجوگر گوگل و مرورگر کروم بیاورد. به این ترتیب، به زودی تشخیص هوش مصنوعی به راحتیِ یک راست‌کلیک ساده در مرورگر کروم یا یک جستجوی سریع در گوشی‌های اندرویدی خواهد بود.
علاوه بر این، اگر خواستار بررسی تصاویر در دو هوش مصنوعی گوگل جمنای یا چت جی‌پی‌تی شوید، سیستم به شما گزارش می‌دهد که این فایل از کجا آمده و چقدر دستکاری شده است. جالب است بدانید گوگل تا به امروز بیش از ۱۰۰ میلیارد عکس و ویدیو و بیش از ۶۰ هزار سال محتوای صوتی را به این مهر نامرئی مجهز کرده است!
▪️ در آخر: اهمیت این همکاری بزرگ چیست؟
جذاب‌ترین نکته‌ی این پروژه، همکاری سه شرکتِ غولِ فناوریِ گوگل، OpenAI و انویدیا (در کنار شرکت‌های دیگری مثل ElevenLabs و Kakao) است. این یعنی ابزار تشخیص گوگل، فقط مچ تصاویر ساخته شده توسط جمنای را نمی‌گیرد؛ بلکه تصاویر چت جی‌پی‌تی و چند ابزار هوش مصنوعی دیگر هم به از طریق Verify AI قابل تشخیص خواهند بود.
گرچه این بازیِ موش و گربه بین سازندگان هوش مصنوعی و کسانی که می‌خواهند از آن سوءاستفاده کنند همیشه ادامه خواهد داشت، اما این همکاری و استفاده از فناوری‌های پیشرفته امنیتی، کار را برای جعل‌کنندگان و کلاهبرداران اینترنتی بسیار سخت‌تر از قبل خواهد کرد.
✍️ شایان ضیایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 محققانی که می‌خواستند از کودکان برای تعلیم AI فیلم بگیرند، از والدین شکست خوردند!
محققان دانشگاه واشنگتن اخیراً قصد داشتند یک پروژه‌ی تحقیقاتی عجیب در مهدکودک‌ها اجرا کنند. برنامه این بود که مربیان، دوربین‌های کوچکی روی لباس خود نصب کنند و از تمام اتفاقات کلاس، از جمله رفتار و تعامل کودکان خردسال فیلم بگیرند! هدف از این کار هم استفاده از این ویدیوها برای آموزش مدل‌های هوش مصنوعی بود. اما این پروژه با اعتراض و خشم شدید والدین روبه‌رو شد و دانشگاه چاره‌ای جز لغو پروژه خود نداشت!
▪️ داستانی از فریب و بی‌اخلاقی!
یکی از بزرگترین مشکلات این پروژه، نحوه‌ی رضایت گرفتن از والدین بود. محققان از روش «انصراف اجباری» استفاده کرده بودند؛ یعنی اگر شما به‌عنوان پدر یا مادر به‌صورت کتبی مخالفت خود را اعلام نمی‌کردید، فرزندتان به‌طور خودکار وارد این آزمایش و تصویرش ثبت می‌شد.
علاوه بر این، متن رضایت‌نامه‌هایی که به دست والدین رسید هم پر از کلمات مبهم بود. در این فرم‌ها گفته می‌شد که ویدیوها برای بررسی کیفیت تعاملات کلاس استفاده می‌شوند و ممکن است در فضای ابری پردازش شوند. اما هیچ اشاره‌ای نشده بود که دقیقاً کدام مدل‌ها یا کدام شرکت‌های فناوری قرار است به تصویر و صدای کودکان دسترسی داشته باشند.
در واقع پرسش‌های بی‌پاسخ فراوان بود: مثلاً اگر والدین یک کودک رضایت نمی دانند، آیا فقط چهره‌ی او در ویدیو تار می‌شد؟ این کار در عمل چطور انجام می‌شد؟ محققان فقط گفته بودند «تا حد امکان» نام و چهره‌ها را سانسور می‌کنند، اما این یعنی همچنان از کودک خردسال فیلم‌برداری می‌شد و داده‌های او در اختیار شرکت‌های ناشناس قرار می‌گرفت!
این ابهام‌ها باعث ترس و نگرانی والدین شد. همچنین زبان مبهم فرم‌ها باعث شده بود خانواده‌های مهاجری که به زبان انگلیسی تسلط کافی نداشتند، اصلاً متوجه نشوند با چه چیزی موافقت می‌کنند!
▪️ در آخر: خطری بزرگ‌تر در کمین کودکان؟
در نهایت با بالا گرفتن اعتراض‌ها، این پروژه متوقف شد؛ اما یکی دیگر از نشانه‌های این بود که شرکت‌های بزرگ فناوری مانند OpenAI، آنتروپیک و مایکروسافت با صرف هزینه‌های میلیون دلاری در حال نفوذ به دانشگاه‌ها، اتحادیه‌های معلمان و سیستم‌های آموزشی‌اند. آن‌ها برای ساخت مدل‌های تخصصی‌تر به داده‌های واقعی نیاز دارند؛ اما والدین هم می‌توانند با آگاهی، پرسشگری و واکنش به‌موقع، جلوی به خطر افتادن حریم خصوصی فرزندان را بگیرند.
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 آشنایی با حمله‌ی جدید «آدیوهایجک»: وقتی هوش مصنوعی با صدای پنهان فریب می‌خورد
ابزارهای صوتی هوش مصنوعی هر روز بیشتر وارد زندگی‌مان می‌شوند؛ از دستیارهای صوتی و اسپیکرهای هوشمند گرفته تا ربات‌های پشتیبانی، ابزارهای تبدیل گفتار به متن و سرویس‌هایی که جلسه‌ها را خلاصه می‌کنند. این ابزارها فقط «صدا» را نمی‌شنوند؛ بسیاری از آن‌ها می‌توانند فایل صوتی را تحلیل کنند، درباره‌اش پاسخ بدهند، اطلاعات را جستجو کنند و حتی به سرویس‌ها و ابزارهای دیگر وصل شوند.
همین توانایی‌ها، یک نگرانی امنیتی جدی هم به وجود آورده. پژوهشی جدید نشان می‌دهد بعضی از مدل‌های بزرگ صوتی-زبانی می‌توانند با صداهایی فریب بخورند که برای گوش انسان عادی و بی‌خطر به نظر می‌رسند. در این روش، دستور مخرب داخل یک فایل صوتی پنهان می‌شود؛ نه به شکلی که کاربر متوجه شود، بلکه به شکلی که مدل هوش مصنوعی آن را به‌عنوان «فرمان» تشخیص می‌دهد.
▪️ فرمانی که به گوش نمی‌رسد، اما اجرا می‌شود
این حمله که پژوهشگران آن را «آدیوهایجک» (AudioHijack) نامیده‌اند، می‌تواند در قالب فایل موسیقی، ویدیو، پیام صوتی، فایل جلسه یا حتی صدایی در پس‌زمینه پیاده‌سازی شود. کاربر ممکن است صرفاً از هوش مصنوعی بخواهد فایل صوتی را خلاصه کند یا نسخه متنی آن را بنویسد، اما هوش مصنوعی در همان فایل، دستور دیگری هم دریافت کند؛ مثلاً اینکه دست به جستجوی حساس بزند، لینک مشکوک درون پاسخ‌ها بگنجاند، فایلی را از منبعی ناشناس دانلود کند یا حتی اطلاعات کاربر را برای شخصی دیگر ایمیل کند!
این دستورها لزوماً به گوش انسان قابل تشخیص نیستند. یعنی فایل صوتی می‌تواند کاملاً معمولی به نظر برسد، اما برای مدل هوش مصنوعی حامل فرمان‌های پنهان باشد. به زبان ساده، همان‌طور که در حملات متنی می‌توان با یک دستور مخفی رفتار چت‌بات را تغییر داد، در نسل جدید ابزارهای صوتی هم ممکن است چنین دستوری داخل صدا پنهان شود.
▪️ در آخر؛ فعلاً جای نگرانی نیست!
فعلاً این نوع حمله بیشتر در فضای پژوهشی بررسی شده و لازم نیست از این پس از تمام فایل‌های صوتی بترسیم. اما پیام این پژوهش روشن است: هرچه هوش مصنوعی بیشتر به ابزارهای روزمره، حساب‌های شخصی و سرویس‌های کاری ما وصل شود، امنیت ورودی‌ها هم مهم‌تر می‌شود. صدا هم مثل متن و لینک می‌تواند حامل دستور پنهان باشد؛ حتی وقتی ما چیزی نمی‌شنویم.
#انواع_کلاهبرداری
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 محدودیت جدید در پلتفرم ایکس: تیک آبی، صدای بلندتر؟!
شبکه اجتماعی ایکس (توییتر) به شکلی بی‌سر و صدا، محدودیت تازه‌ای برای حساب‌های بدون تیک آبی گذاشته: انتشار روزانه فقط ۵۰ پست اصلی و ۲۰۰ پاسخ (ریپلای).
قبلاً سقف پست‌های روزانه ۲۴۰۰ پست بود، اما حالا کاربران عادی بسیار زودتر به دیوار محدودیت می‌خورند. ایکس احتمالاً این تغییر را با هدف کاهش اسپم و بات‌ها توجیه می‌کند، اما در عمل فشار بیشتری به کاربران واقعی می‌آورد که اشتراک پولی را بخرند!
برای کاربرانی که زیاد می‌نویسند و بحث می‌کنند، این فقط یک محدودیت فنی نیست؛ تغییری است در اینکه چه کسی حق دارد بیشتر حرف بزند! هرچند شاید از برخی نظرها آنقدرها هم محدودیت بدی نباشد؟! نظر شما در این مورد چیست؟
✍️ شایان ضیایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 گوگل قابلیت جدید «سطوح تفکر» (Thinking levels) را برای کاربران جمنای فعال کرده است.
حالا کاربران (حتی در نسخه رایگان) می‌توانند زمان پردازش مدل‌های Fast و Pro را برای دریافت پاسخهای دقیق‌تر در مسائل پیچیده تنظیم کنند.
شما امتحانش کرده‌اید؟ نظرتان در موردش چیست؟
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 ادعای کاشف آسیب‌پذیری YellowKey: مایکروسافت عمداً در بیت‌لاکر «درِ پشتی» گذاشته است؟!
چند روز پیش در نوشدارو خبر از کشف آسیب‌پذیری خطرناکی به نام YellowKey دادیم که امکان دور زدن رمزنگاری بیت‌لاکر (BitLocker) را در ویندوز ۱۱ تنها با یک حافظه‌ی فلش فراهم می‌کرد؛ اکنون ابعاد جدید و جنجالی‌تری از این ماجرا فاش شده است. محقق امنیتی کاشف این باگ اکنون مدعی شده که این نقص یک اشتباه برنامه‌نویسی نبوده، بلکه مایکروسافت عمداً این «درِ پشتی» (Backdoor) را درون سیستم تعبیه کرده است.
▪️ ماجرا چیست؟
این پژوهشگر، YellowKey را یکی از دیوانه‌وارترین نقص‌هایی توصیف کرده که تاکنون با آن روبه‌رو شده است. به گفته‌ی او، این آسیب‌پذیری با کپی کردن پوشه‌ای به نام «FsTx» در یک حافظه فلش (یا مستقیماً در پارتیشن EFI ویندوز) و طی کردن مراحلی در محیط بازیابی ویندوز (WinRE) فعال می‌شود. سپس مستقیماً یک محیط خط فرمان را با دسترسی نامحدود به درایوهای قفل‌شده‌ی بیت‌لاکر، بدون نیاز به هیچ‌گونه پسوردی، در اختیار فرد قرار می‌دهد.
دلیل اصلی این پژوهشگر برای عمدی خواندن این باگ، ماهیت کامپوننتی است که باعث بروز آن می‌شود. این کامپوننت تنها در ایمیج رسمی WinRE مایکروسافت وجود دارد. این پژوهشگر می‌گوید:
«نمی‌توانم هیچ توضیح منطقی دیگری جز عمدی بودن این اتفاق پیدا کنم. نکته‌ی عجیب دیگر این است که به دلایل نامعلوم، تنها ویندوز ۱۱ و ویندوز سرور ۲۰۲۲/۲۰۲۵ تحت تاثیر این باگ هستند و ویندوز ۱۰ آسیب‌پذیر نیست.»
گزارش‌ها حاکی از آن است که محققان شخص ثالث نیز صحت عملکرد YellowKey را تأیید کرده‌اند.
▪️ در آخر: توصیه‌های امنیتی و راهکارهای جایگزین
با مطرح شدن ادعای وجود درِ پشتی در مکانیزم‌های رمزنگاری مایکروسافت، متخصصان امنیتی به کاربرانی که داده‌های بسیار حساس دارند پیشنهاد می‌کنند که بر هیچ سیستم رمزنگاری واحدی اتکای کامل نداشته باشند. در کنار رعایت نکات امنیتی فیزیکی که در مطلب پیشین نوشدارو ذکر شد، استفاده از نرم‌افزارهای رمزنگاری جایگزین، متن‌باز و بررسی‌شده‌ای مانند VeraCrypt می‌تواند انتخاب امن‌تری برای محافظت از اطلاعات مهم باشد.
✍️ دانیال طبایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 چگونه با ابزار ProxyBridge ترافیک برنامه‌های مک را قطره‌چکانی مدیریت کنیم؟
در روزهایی که دسترسی به «اینترنت» هزینه‌ی بسیار بالایی روی دست کاربران می‌گذارد (تازه اگر برای عده‌ی محدودی امکان‌پذیر شود)، مدیریت ترافیک مصرفی دیگر صرفاً یک انتخاب نیست؛ ضرورت است.
در این شرایط محدود، باید پهنای باند را به‌صورت «قطره‌چکانی» مدیریت کرد تا حجم اینترنتی که با قیمت گزاف به دست می‌آید، بی‌دلیل توسط آپدیت‌های پنهان یا برنامه‌های پس‌زمینه هدر نرود.
لطفا توجه کنید که این مطلب ویژه کاربران سیستم عامل مک و محتوای آن کمی تخصصی است.
⛓ مشاهده ادامه مطلب در نوشدارو
✍️ صادق روحانی
#بحران_و_شرایط_اضطراری
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 ماجرای پوپ‌چک: وقتی اپلیکیشن‌های سلامت، اطلاعات بیولوژیک شما را می‌فروشند!
ماجراهای عجیبی در دنیای تکنولوژی سلامت در حال رخ دادن است؛ جایی که حتی تصاویر مدفوع انسان نیز برای آموزش هوش مصنوعی به حراج گذاشته می‌شود. اخیراً مشخص شده که یک اپلیکیشن پایش سلامت گوارش به نام «پوپ‌چک» (PoopCheck) که با وعده تحلیل هوش مصنوعی و ارائه نمره روزانه سلامت روده بیش از ۲۵ هزار کاربر را جذب کرده بود، در حال فروش دیتابیسی از ۱۵۰ هزار تصویر از مدفوع و اطلاعات حساسِ کاربران خود است!
▪️ ماجرا چیست؟
داستان از چند هفته پیش از یک پست عجیب در شبکه اجتماعی ردیت آغاز شد؛ در زیرشاخه‌ای که مخصوص تبادلِ دیتاست‌های بزرگ است، کاربری اعلام کرد: «من یک دیتابیس ارزشمند از چیزی که اصلاً انتظارش را ندارید جمع کرده‌ام… ۱۵۰ هزار تصویر مدفوع!» این کاربر که در واقع توسعه‌دهنده همین اپلیکیشن (PoopCheck) بود، فاش کرد که طی چند سال، تصاویر ارسالیِ بیش از ۲۵ هزار کاربرِ اپلیکیشن خود را جمع‌آوری و حالا به دنبال خریداری برای این «معدن طلای بیولوژیک» می‌گردد.
در حالی که سایر کاربران ردیت از خواندن این پست در شوک و انزجار بودند، یک روزنامه‌نگار فناوری با او ارتباط گرفت. این پیگیریِ ساده به تبادل ایمیل‌هایی ختم شد که در آن هم‌بنیان‌گذار این شرکت، رسماً قیمت‌گذاری این اطلاعات حساس را با قیمت‌های چند هزار دلاری (۳ تا ۵ هزار دلار) برای او ارسال کرد و پرده از مدل درآمدی پنهان‌مانده در پشت یک اپ رایگان برداشت.
عمق فاجعه اینجاست که شعار فریبنده‌ی حریم خصوصی در اپ‌استور، تنها پوششی برای تجارت بود. کاربران با تأیید بندهای طولانی و پنهانِ «شرایط استفاده» (TOS)، ناخواسته حق فروش و تجاری‌سازی اطلاعات خود را برای آموزش هوش مصنوعی به این شرکت واگذار می‌کردند.
ممکن است با خودتان بگویید که مگر عکس مدفوع کاربردی دارد؟ پاسخش مثبت است و از روی شکل، قوام و رنگ آن می‌توان به اطلاعات متعددی در مورد سلامت شخص پی‌برد!
▪️ نتیجه‌گیری
ماجرای پوپ‌چک فقط درباره یک اپ عجیب و چندش‌آور نیست؛ درباره این است که حتی خصوصی‌ترین اطلاعات ما هم می‌تواند در بازار آموزش هوش مصنوعی ارزش تجاری پیدا کند. وقتی یک اپ رایگان از شما عکس، نشانه سلامتی یا اطلاعات حساس می‌خواهد، باید پیش از استفاده از خودتان بپرسید: این اطلاعات کجا ذخیره می‌شوند، برای چه استفاده می‌شوند و آیا واقعاً قابل حذف هستند؟
در دنیای اپ‌های سلامت، «رایگان بودن» همیشه به معنی بی‌هزینه بودن نیست. گاهی هزینه واقعی همان اطلاعاتی است که فکر می‌کنیم هیچ‌کس نباید به آن‌ها دسترسی داشته باشد.
✍️ دانیال طبایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 آزمایش تازه گوگل؛ فضای رایگان بیشتر جیمیل، به شرط ثبت شماره تلفن
گوگل در حال آزمایش سیاست تازه‌ای برای حساب‌های جدید «جیمیل» است. طبق این تغییر، کاربران تازه در برخی مناطق به‌جای ۱۵ گیگابایت فضای رایگان، در ابتدا فقط ۵ گیگابایت دریافت می‌کنند؛ فضایی که مثل قبل میان جیمیل، «گوگل درایو» و «گوگل فوتوز» مشترک است. اگر کاربر شماره تلفن خود را به حساب اضافه کند، فضای رایگان او به همان ۱۵ گیگابایت معمول افزایش پیدا می‌کند.
این تغییر فعلاً فقط یک آزمایش محدود است و شامل حساب‌های قدیمی نمی‌شود؛ یعنی اگر از قبل حساب گوگل دارید، قرار نیست فضای رایگان فعلی شما کاهش پیدا کند. گوگل می‌گوید هدف از این کار، بهبود امنیت حساب و کمک به بازیابی اطلاعات است؛ اما از زاویه حریم خصوصی، این تغییر می‌تواند فشار تازه‌ای برای دادن شماره تلفن به گوگل باشد.
➕ نوشدارو پلاس: هویت‌سنجی مبتنی بر شماره (Phone-based Authentication) روشی است که شناسه دیجیتال (ایمیل) را به یک هویت مخابراتی فیزیکی گره می‌زند تا امکان ساخت اکانت‌های جعلی و حملات اسپم به حداقل برسد.
نکته مهم برای کاربران این است که اضافه کردن شماره تلفن، در این آزمایش اجباری نیست؛ اما بدون آن، حساب جدید فضای کمتری خواهد داشت. بنابراین اگر روزی هنگام ساخت حساب تازه با این محدودیت روبه‌رو شدید، بدانید موضوع بیشتر به سیاست جدید گوگل برای حساب‌های تازه مربوط است، نه حذف فضای رایگان حساب‌های قبلی.
✍️ دانیال طبایی
#خبر_و_تحلیل
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 ضعف امنیتی در بیش از یک میلیون دوربین و مانیتور کودک؛ چشمان غریبه در خانه‌ی شما!
تصور کنید دوربینی که برای مراقبت از کودک یا خانه خریده‌اید، طوری تنظیم شده باشد که فردی خارج از خانه هم بتواند به تصویرهای آن دسترسی پیدا کند. گزارشی تازه نشان می‌دهد بیش از یک میلیون دوربین و مانیتور کودک وابسته به فناوری شرکت «میری تکنولوژی» (Meari Technology) چنین ضعفی داشته‌اند.
یک پژوهشگر امنیتی متوجه شد که با استخراج یک کلید دیجیتال از اپلیکیشن این دوربین‌ها، می‌توان به داده‌های دستگاه‌هایی در ۱۱۸ کشور دسترسی پیدا کرد. او توانست تصویر برخی خانه‌ها، آدرس ایمیل کاربران و موقعیت جغرافیایی آن‌ها را ببیند و ده‌ها هزار عکس ذخیره‌شده را بدون نیاز به رمز عبور، روی سرورهای بدون محافظت این شرکت پیدا کند.
اگر از دوربین کودک یا دوربین خانگی متصل به اینترنت استفاده می‌کنید، آن را مثل یک وسیله حساس امنیتی ببینید:
• رمزهای پیش‌فرض را عوض کنید و برای حساب اپلیکیشن رمز قوی بگذارید.
• اگر اپلیکیشن دوربین از تأیید دومرحله‌ای پشتیبانی می‌کند، آن را فعال کنید.
• دوربین را در مکان‌های خیلی خصوصی خانه قرار ندهید و وقتی لازم نیست، آن را خاموش کنید.
• اگر مدل دستگاه شما از فناوری میری استفاده می‌کند، حتماً بررسی کنید که نسخه فریم‌ور آن ۳.۰.۰ یا بالاتر باشد.
⛓ خواندن متن کامل مطلب در نوشدارو
✍️ آزاده رمضانی
#حفاظت_فیزیکی
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 کشف آسیب‌پذیری جدید در ویندوز ۱۱: دور زدن بیت‌لاکر با یک حافظه‌ی فلش!
یک محقق امنیتی، دو آسیب‌پذیری جدید در ویندوز ۱۱ را منتشر کرده که طبق گزارش‌ها، یکی از آن‌ها می‌تواند به مهاجم اجازه دهد با داشتن دسترسی فیزیکی به دستگاه و استفاده از یک حافظه‌ی فلش، محافظت‌های «بیت‌لاکر» (BitLocker) را دور زده و به فایل‌های رمزنگاری‌شده دسترسی پیدا کند.
این افشا شامل دو نقص امنیتی است. مایکروسافت گفته این ادعاها را بررسی می‌کند و برای محافظت از کاربران، در صورت تأیید، محصولات آسیب‌دیده را به‌روزرسانی خواهد کرد. اما در این مطلب نوشدارو به مورد اول که مهم‌تر است می‌پردازیم:
▪️ آسیب‌پذیری YellowKey: کلید طلایی هکرها برای بیت‌لاکر
این آسیب‌پذیری مستقیماً محیط بازیابی ویندوز (WinRE) را هدف قرار می‌دهد. در حالت استاندارد، بیت‌لاکر هارد دیسک شما را رمزنگاری می‌کند تا بدون رمز عبور، هیچ داده‌ای قابل خواندن نباشد؛ اما این نقص، طبق گزارش‌ها، به مهاجمی که به دستگاه دسترسی فیزیکی دارد اجازه می‌دهد از بخشی از محیط بازیابی ویندوز سوءاستفاده کند و به داده‌های روی درایو محافظت‌شده با بیت‌لاکر دسترسی پیدا کند؛ بدون اینکه الزاماً رمز کاربر یا کلید بازیابی را در اختیار داشته باشد.
در واقع، بخش‌هایی از WinRE در زمان بوت به درایوهای رمزگشایی‌شده دسترسی موقت دارند. هکرها از همین نقطه کور برای ورود بدون نیاز به پسورد استفاده می‌کنند.
▪️ چگونه از داده‌های خود محافظت کنیم؟
چند پژوهشگر امنیتی مستقل کارکرد YellowKey را آزمایش و تأیید کرده‌اند. تا زمانی که وضعیت رسمی‌تر و وصله احتمالی مایکروسافت روشن شود، پیشنهاد می‌شود موارد زیر را اجرا کنید:
• تعریف پین‌کد برای بیت‌لاکر: فقط به رمزنگاری پیش‌فرض اکتفا نکنید؛ فعال‌سازی یک PIN سفارشی قبل از بالا آمدن سیستم عامل، کار را برای اکسپلویت‌های محیط بوت دشوار می‌کند.
• فعال‌سازی رمز عبور بایوس (BIOS Password): قفل کردن محیط بایوس مادربرد باعث می‌شود مهاجم نتواند لپ‌تاپ را از روی فلش USB مخرب یا ابزارهای دور زدن قفل، بوت کند.
• محافظت فیزیکی از دستگاه: به یاد داشته باشید که تمام قدرت بدافزار YellowKey در دسترسی فیزیکی مهاجم به پورت‌های لپ‌تاپ شما نهفته است.
▪️ در نهایت
آسیب‌پذیری جدید یادآوری می‌کند که رمزنگاری دیسک، هرچند ضروری است، اما به‌تنهایی همه سناریوهای حمله را پوشش نمی‌دهد. وقتی مهاجم به خود دستگاه دسترسی فیزیکی داشته باشد، امنیت به تنظیمات بوت، محیط بازیابی، UEFI/BIOS، Secure Boot و سیاست‌های سازمانی هم وابسته می‌شود.
تا زمان روشن شدن نتیجه بررسی مایکروسافت و انتشار راهنمایی یا وصله رسمی، کاربران حساس و مدیران شبکه بهتر است به‌روزرسانی‌ها را دنبال کنند، تنظیمات بیت‌لاکر و بوت را سخت‌گیرانه‌تر بررسی کنند و روی حفاظت فیزیکی از دستگاه‌ها جدی‌تر باشند.
✍️ دانیال طبایی
#حفاظت_فیزیکی
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web
💡 دو حفره امنیتی در افزونه آوادا بیلدر (Avada Builder) وردپرس؛ همین امروز به‌روزرسانی کنید
پژوهشگران امنیتی دو نقص مهم در افزونه پرکاربرد «آوادا بیلدر» برای وردپرس پیدا کرده‌اند. این آسیب‌پذیری‌ها در صورت سوءاستفاده به مهاجمان امکان می‌دهد فایل‌های حساس سرور را بخوانند یا داده‌های پایگاه داده سایت را استخراج کنند.
نقص اول به فردی با یک حساب کاربری ساده اجازه دسترسی به فایل‌های غیرمجاز را می‌دهد.
نقص دوم که خطر بالاتری دارد (تزریق SQL)، نیازی به حساب کاربری ندارد و می‌تواند برای استخراج اطلاعات حساسی مثل هش رمزهای عبور استفاده شود. این خطر به‌ویژه سایت‌هایی را تهدید می‌کند که افزونه ووکامرس را نصب و سپس غیرفعال کرده‌اند.
اگر صاحب سایت یا مدیر فنی هستید، تأخیر در به‌روزرسانی خطرناک است. همین حالا این اقدامات را انجام دهید:
• از سایت و پایگاه داده نسخه پشتیبان بگیرید.
۰ افزونه آوادا بیلدر را به نسخه ۳.۱۵.۳ یا جدیدتر به‌روزرسانی کنید.
• حساب‌های کاربری غیرضروری یا مشکوک را بررسی و حذف کنید.
• اگر دیر آپدیت کرده‌اید، تغییرات غیرعادی و درخواست‌های مشکوک را بررسی کنید.
⛓ خواندن متن کامل مطلب در نوشدارو
#کسب‌وکار_آنلاین
نوشدارو را در تلگرام دنبال کنید:
💡 @NooshDaroo_web