واتس‌اپ دو باگ امنیتی مهم را افشا کرد

📢 واتس‌‌اپ چند روز پیش دو آسیب‌پذیری امنیتی مهم را افشا کرد که روی نسخه‌های ویندوز، اندروید و آیفون اثر می‌گذاشتند. یکی از این آسیب‌پذیری‌ها مخصوص نسخه ویندوز واتس‌اپ بود که مهاجم می‌توانست فایلی بفرستد که در ظاهرا شبیه فایل پی‌دی‌اف یا عکس بود، اما در واقع فایل اجرایی و مخرب باشد.

🔍 مشکل از جایی می‌آمد که #واتس‌اپ بعضی کاراکترهای مخفی داخل نام فایل را درست پردازش نمی‌کرد و همین باعث می‌شد ظاهر فایل اشتباه به‌نظر برسد. یعنی کاربر ممکن بود فایلی را با ظاهر یک سند معمولی ببیند، اما با باز کردن آن، در عمل فایل نصبی اجرا شود.

📱 بخش جالب‌تر ماجرا مربوط به آسیب‌پذیری دوم است؛ ضعفی در نحوه پردازش بعضی پیام‌های رسانه‌ای و لینک‌های مرتبط با ریل #اینستاگرام.

🛡️ در حالت عادی، وقتی داخل واتس‌اپ روی یک لینک یا محتوای رسانه‌ای کلیک می‌کنید، برنامه باید مطمئن شود که: محتوا واقعا از منبع معتبر آمده، لینک به مقصد مشکوک نیست و اجازه ندارد بخش داخلی سیستم‌عامل یا اپ‌های دیگر را بدون محدودیت باز کند.

🎭 اما در این آسیب‌پذیری، مهاجم می‌توانست یک پیام دستکاری‌شده بسازد که واتس‌اپ را فریب دهد تا محتوایی را از یک آدرس دلخواه تحت کنترل مهاجم بارگذاری کند. پیام مخرب می‌توانست واتس‌اپ را وادار کند بعضی از مسیرها را بدون اعتبارسنجی کافی رد کند.

🕵️‍♂️ از این طریق مهاجم می‌تواند کاربر را به صفحه لاگین جعلی هدایت کند و اپ خاصی را با پارامتر مخرب باز کند و محتوایی را از سرور خودش تزریق کند. این نوع ضعف‌ها برای فیشینگ و نصب ناخواسته جاسوس‌افزارها ارزش زیادی دارند.

✅ واتس‌اپ می‌گوید فعلا نشانه‌ای از سوءاستفاده گسترده از این دو آسیب‌پذیری دیده نشد. می‌دانیم که در این شرایط، دسترسی به اینترنت چقدر دشوار و محدود است، اما با توجه به حساسیت موضوع، اگر امکانش را دارید، واتس‌اپ خود را به آخرین نسخه به‌روزرسانی کنید.
@PaskoochehBot
@Paskoocheh

هوش مصنوعی اینستاگرام
کاربران باید مراقب چه باشند؟
💫متا به تازگی از مدل هوش مصنوعی تولید تصویر خود پرده برداری کرده است. در حال حاضر Muse Image در اپ Meta AI و سایت meta.ai فعال شده و در استوری #اینستاگرام برای کاربران آمریکا در دسترس است و در #واتس‌اپ هم به‌صورت محدود در برخی کشورها ارائه می‌شود.
📍مهم‌ترین قابلیت Muse Image تولید تصویر از متن است؛ یعنی کاربر با یک دستور ساده می‌تواند تصویر بسازد. متا می‌گوید که تفاوت اصلی آن با بسیاری از ابزارهای مشابه، «فهم بهتر پرامپت‌های پیچیده» و امکان ترکیب چند عکس مرجع است. برای مثال کاربر می‌تواند یک سلفی، یک عکس سفر و یک سبک گرافیکی مشخص را با هم ترکیب کند و خروجی نهایی بگیرد.
🔖قابلیت دیگر، ویرایش مستقیم عکس با دستور متنی یا علامت‌گذاری روی تصویر است. کاربر می‌تواند روی بخش خاصی از تصویر خط بکشد یا توضیح بدهد چه چیزی تغییر کند.

🖼متا می‌گوید این مدل فقط پرامپت را مستقیم به تصویر تبدیل نمی‌کند، بلکه می‌تواند قبل از تولید تصویر چند مرحله پردازش انجام دهد، برنامه‌ریزی کند، از ابزار جست‌وجو برای اطلاعات واقعی یا به‌روز کمک بگیرد، از ابزار کدنویسی برای ساخت چیزهایی مثل نمودار استفاده کند و سپس خروجی را بازبینی و اصلاح کند.

🔎قابلیت بحث‌برانگیز این ابزار، استفاده از محتوای عمومی اینستاگرام در ساخت تصویر است. متا می‌گوید کاربران می‌توانند در Meta AI یک حساب اینستاگرامی را منشن کنند تا Muse Image از عکس‌های عمومی آن پروفایل برای ساخت تصویر استفاده کند. این یعنی اگر اکانت شما عمومی باشد، محتوای شما ممکن است در ساخت تصاویر هوش مصنوعی دیگران استفاده شود؛ مگر اینکه تنظیمات مربوط را خاموش کنید.

🛎حساب‌های عمومی اینستاگرام به‌صورت پیش‌فرض اجازه می‌دهند پست‌ها، ریلزها و حتی عکس پروفایل آنها در قابلیت‌های هوش مصنوعی متا استفاده شوند، مگر اینکه کاربر دستی آن را غیرفعال کند. همچنین طبق گزارش «بیزینس اینسایدر»، اگر محتوای شما قبلا برای ساخت تصویر استفاده شده باشد، با خاموش‌کردن تنظیمات، تصاویر ساخته‌شده قبلی حذف نمی‌شوند و اینستاگرام هم به کاربر اطلاع نمی‌دهد که محتوایش در یک خروجی هوش مصنوعی استفاده شده است.

📌کاربران اکانت عمومی که به حریم خصوصی خود اهمیت می‌دهند، باید وارد تنظیمات اینستاگرام شوند و در بخش Sharing and reuse گزینه‌های مربوط به استفاده مجدد از پست‌ها و ریلزها در قابلیت‌های هوش مصنوعی متا را بررسی و خاموش کنند.
🔦متا می‌گوید برای تشخیص تصاویر ساخته‌شده با Muse Image یک واترمارک نامرئی داخل تصویر قرار می‌دهد که این سیگنال حتی بعد از کراپ، فشرده‌سازی، تغییر اندازه یا اسکرین‌شات هم تا حدی باقی می‌ماند.
@PaskoochehBot
@Paskoocheh

🤔#سین‌جیم یا گزیده‌ای از سوال‌های پرسیده شده از #پس‌کوچه👇

❓چرا با وجود روشن بودن #فیلترشکن، #اینستاگرام، یوتیوب و هوش مصنوعی هنوز کند و مختل هستند؟

🖼جواب را در تصویر ببینید.

@PaskoochehBot
@Paskoocheh

⁉️چگونه بفهمیم کسی ما را در اینستاگرام بلاک کرده است؟

❓تنها راه کاملاً قطعی، پرسش مستقیم از خود آن شخص است؛ اما اگر نمی‌خواهید مستقیماً بپرسید، بررسی این چند نشانه می‌تواند موضوع را روشن کند:

🔍نام کاربری فرد از لیست Following شما حذف می‌شود. اگر در حالت Log out یا تب ناشناس (Incognito) مرورگر آیدی را سرچ کردید و پروفایلش پیدا شد، اما در حساب اصلی خودتان بالا نیامد، نشانه‌ قویِ بلاک شدن است.

💬اگر قبلاً با هم چت کرده‌اید، سابقه گفتگو باقی می‌ماند. اگر نام و عکس فرد سر جایش باشد، #بلاک نشده‌اید؛ اما اگر عکس حذف شده، نام کاربری به یک آواتار عمومی تغییر کرده و دیگر امکان ارسال پیام ندارید، احتمالاً بلاک شده‌اید.

❤️وقتی کسی شما را بلاک می‌کند، #اینستاگرام تمامی لایک‌ها و کامنت‌های قبلی او را روی پست‌های شما پاک می‌کند.

🚫اگر می‌توانید اکانت را پیدا کنید و دکمه Follow را بزنید، آن شخص فقط شما را از لیست دنبا‌ل‌کنندگانش (Followers) حذف کرده و بلاک نکرده است.

👥از شخصی که هر دو او را دنبال می‌کنید بپرسید آیا هنوز اکانت آن فرد برایش قابل مشاهده و پیام دادن هست یا خیر. اگر برای او باز می‌شود ولی برای شما نه، بلاک شده‌اید.

@PaskoochehBot
@Paskoocheh

🔴 در شرایطی که کاربران ایرانی با #فیلترینگ، طرح‌های محدودکننده مثل #نفوذ، تهدیدهای امنیتی و حملات سایبری روبه‌رو هستند، فرستادن اطلاعات حساس در #اینستاگرام که رمزنگاری سرتاسری پیش‌فرض ندارد، ریسک زیادی دارد. به‌خصوص برای کسانی که درباره مسائل سیاسی، اعتراضات، فعالیت‌های مدنی یا کارهای حساس صحبت می‌کنند.

🔐رمزنگاری سرتاسری یعنی پیام از لحظه‌ای که از گوشی شما خارج می‌شود تا وقتی به گوشی طرف مقابل می‌رسد، طوری #رمزنگاری شده که فقط شما و گیرنده بتوانید محتوایش را بخوانید؛ حتی خود سرویس هم نباید بتواند محتوای آن را ببیند.

⚠️ پس در دایرکت اینستاگرام نباید اطلاعات حساس را بفرستیم.

🛡️ بهتر است از پیام‌رسان‌هایی با رمزنگاری سرتاسری مثل سیگنال استفاده کنید. برای تلگرام هم اگر می‌خواهید از قابلیت‌های رمزنگاری سرتاسری استفاده کنید، باید سکرت‌چت را انتخاب کنید؛ رمزنگاری سرتاسری در تلگرام برای چت‌های عادی به‌صورت پیش‌فرض فعال نیست.

🔔 با کمپین #امن_بمان، کاری از پس‌کوچه و فیلتربان همراه باشید.

@Paskoocheh
@Filter_watch

قبل از پیوستن به Add Yours اینستاگرام فکر کنید!

⚠️ اگر یک Add Yours در #اینستاگرام می‌بینید، قبل از اضافه‌کردن استوری خود یک نکته مهم را بدانید: شما فقط به یک استوری پاسخ نمی‌دهید؛ بلکه وارد یک زنجیره عمومی می‌شوید.

🔗 در موارد حساس مثل وقتی که مربوط به حرکتی اعتراضی یا سیاسی است، این سازوکار می‌تواند ناخواسته مجموعه‌ای از حساب‌ها بسازد که خودشان عملا ارتباطشان با یک اعتراض یا موضوع حساس را اعلام کرده‌اند.

🕵️ یک حساب نفوذی یا هر فرد که به بخشی از این کمپین دسترسی دارد، ممکن است از نام کاربری، تصویر پروفایل، فهرست دنبال‌کنندگان، دنبال‌شوندگان، تگ‌ها، هایلایت‌ها و زمان انتشار برای به دست آوردن یک سرنخ استفاده کند.

🇮🇷 در #ایران این تهدید را نباید فرضی در نظر گرفت. گزارش‌های حقوق بشری در سال‌های اخیر موارد متعددی از شناسایی معترضان از طریق تصاویر، فعالیت در شبکه‌های اجتماعی و ردپای انتشار محتوای آنلاین را مستند کرده‌اند.

🔍 قبل از ورود به کمپین‌های Add Yours، این بررسی چهار مرحله‌ای را انجام دهید:

۱. ریسک موضوع را مشخص کنید. این تصمیم را بر اساس بدترین سناریوی معقول بگیرید، نه بر اساس اینکه «احتمالا کسی نمی‌بیند».

۲. زنجیره را بررسی کنید. روی Add Yours بزنید و ببینید چه حساب‌هایی پاسخ داده‌اند، آیا حساب‌های مشکوک حضور دارند، آیا پاسخ‌ها قابل بازنشرند و آیا محتوای کمپین، اطلاعات مکانی، چهره یا ارتباطات افراد را آشکار می‌کند.

۳. محتوای پاسخ را از نظر نشانه‌های هویتی پاک‌سازی کنید. چهره، صدا، پلاک، تابلو، شماره تلفن، محل کار و سکونت، انعکاس آینه و پنجره، موقعیت مکانی را بررسی کنید.
۴. اتصال حساب‌ها را کاهش دهید. پیش از انتشار، تگ‌کردن مکان را خاموش کنید، منشن و تگ خودکار را محدود کنید، حساب‌های متصل و اطلاعات تماس قابل جست‌وجو را بررسی کنید و از افزودن دوستان، همکاران یا اعضای خانواده به همان زنجیره خودداری کنید.

🛡️ لازم است بدانید که Add Yours ابزار ناشناس اعلام همبستگی نیست؛ ابزاری برای وصل‌کردن آدم‌ها و پاسخ‌هایشان به یکدیگر است. در فضای پرریسک ایران، همین «وصل‌شدن» می‌تواند تهدید باشد.

💸 این مثال به درک اهمیت موضوع کمک می‌کند: یک کاربر خارجی گفته از این طریق نزدیک به ۲ هزار دلار از دست داده است. او عنوان کرده است که یک نفر خود را از اعضای خانواده او جا زده است و او را با نام مستعاری که خانواده‌اش برای صدا کردن او استفاده می‌کردند، می‌شناخته است. شخص کلاهبردار از این طریق او را مجاب به پرداخت ۲ هزار دلار کرده است. او بعدا متوجه شده که در یک چالش Add Yours نام مستعار خود را منتشر کرده بود.

@Paskoocheh
@Filter_watch