هل يستطيع المخترقون الوصول إلى تخزين صورك السحابي؟

عادة ما يظهر هذا السؤال بعد عنوان إخباري: تسريب، أو مشهور، أو مجلد صور خاصة في مكان لا ينبغي أن يكون فيه. الدافع الأول هو تخيّل أن التشفير قد كُسر. هذا نادرا ما يكون ما حدث فعليا. يُفتح تخزين الصور السحابي بالطرق نفسها القليلة في كل مرة، وجميعها تمر عبر الحساب لا عبر التشفير نفسه. هذا الأمر يستحق المعرفة، لأنه يغيّر ما الذي يحميك فعلا. لا شيء تفعله يجعل AES أضعف أو أقوى، لكن كل ما يتعلق بكيفية الوصول إلى حسابك موجود في يدك أنت.

نعم، لكن ليس عبر كسر التشفير. عمليا، تُفتح حسابات الصور السحابية باستخدام بيانات اعتماد: صفحة تصيّد تشبه شاشة تسجيل الدخول، أو كلمة مرور أُعيد استخدامها من موقع تم اختراقه قبل سنوات، أو مكالمة انتحال دعم فني، أو شخص يعرف رمز جهازك بالفعل. تغلق المصادقة الثنائية معظم المسارات عن بُعد، لأن كلمة المرور وحدها لم تعد كافية. تغلق الحماية المتقدمة للبيانات الجانب الخاص بالخادم، إذ تنقل صور iCloud إلى التشفير التام بين الطرفين بحيث تبقى المفاتيح على أجهزتك ولا تحتفظ Apple بأي شيء يمكن تسليمه أو فقدانه. لا تفيد أي من الميزتين ضد شخص يفتح هاتفك أمامك، ولا تنطبقان على خدمة تحتفظ بالمفاتيح بنفسها، وهذا هو الوضع الافتراضي في Google Photos ومعظم مزودي الخدمة الآخرين. الصور التي سيسبب فقدانها ضررا حقيقيا مكانها خزنة مشفّرة على الجهاز، حيث لا يوجد حساب أصلا يمكن اختراقه.

ماذا يعني الاختراق فعليا هنا

حدثان مختلفان تماما يُطلق عليهما الاسم نفسه. الأول هو اختراق مزود الخدمة، حيث يصل المهاجم إلى الخوادم ويأخذ بيانات تخص عددا كبيرا من الأشخاص دفعة واحدة. والثاني هو استيلاء على حساب، حيث يسجّل شخص ما الدخول باعتباره أنت، من شاشة تسجيل دخول عادية، مستخدما بيانات اعتماد حصل عليها. تقريبا كل حالة ظهرت فيها صور خاصة من التخزين السحابي كانت من النوع الثاني. تسريب صور المشاهير الكبير الذي لا يزال الناس يتذكرونه لم يكن اختراقا لأنظمة Apple نفسها: تم الوصول إلى الحسابات بكلمات مرور تم اصطيادها وإجابات أسئلة أمان تم تخمينها، حسابا تلو الآخر. القضايا القضائية التي تلت ذلك وصفت النمط نفسه، شخص ينتحل صفة الدعم الفني ويطلب كلمة المرور ببساطة.

هذا التمييز مهم لأن لكل منهما دفاعا معاكسا. اختراق مزود الخدمة يُجاب عليه بتصميم التشفير، أي هل تحتفظ الشركة بمفاتيح يمكن أخذها مع الملفات أم لا. أما الاستيلاء على حساب فيُجاب عليه بالمصادقة، أي هل تكفي كلمة مرور وحدها لدخول أي شخص. معظم الناس يقلقون بشأن الأول بينما يتعرضون للخطر من الثاني. مراجعتنا لـما تقوله فعليا سياسات خصوصية تخزين الصور السحابي تغطي مسألة الاحتفاظ بالمفاتيح لدى كل مزود على حدة. هذا الدليل يغطي النصف الآخر، وهو الجزء الذي يحاول فيه شخص في الطرف الآخر من الرابط أن يصبح أنت.

المسارات الأربعة التي تنجح فعليا

التصيّد هو الأول وبفارق كبير. تصل رسالة عن نشاط مشبوه أو حساب مقفل، ويفتح الرابط صفحة تبدو مطابقة تماما لصفحة تسجيل الدخول، وتُكتب كلمة المرور فيها. النسخة الحديثة تُعيد توجيه رمز المصادقة الثنائية في الوقت الفعلي، لذا فإن صفحة تطلب الأرقام الستة مباشرة بعد كلمة المرور ليست دليلا على أن الموقع حقيقي. الثاني هو إعادة استخدام كلمة المرور. كلمة مرور ضبطتها على منتدى عام 2015 وتم اختراقه لاحقا موجودة الآن في قائمة، وتُجرّب هذه القائمة تلقائيا ضد كل خدمة رئيسية. لا يتطلب هذا الهجوم أن يعرف أحد من أنت أو يهتم بذلك.

الثالث هو سلسلة إعادة التعيين. الوصول إلى عنوان البريد الإلكتروني المرتبط بالحساب غالبا ما يكفي لتغيير كلمة المرور، لذا يصبح حساب بريد إلكتروني بكلمة مرور ضعيفة، دون أن يلاحظ أحد، مفتاحا لكل ما هو مرتبط به. الرابع، والأكثر شيوعا في الواقع، هو القرب الجسدي. الشخص الذي يعرف رمز جهازك يمكنه فتح الهاتف، وعلى iOS يمكن استخدام هذا الرمز أيضا لتغيير كلمة مرور الحساب، وهذا بالضبط سبب وجود ميزة حماية الجهاز المسروق، والتي تستحق التفعيل. الفئة نفسها تشمل تطبيقات المراقبة المثبتة على هاتف مفتوح. لا يتضمن أي من هذه الأربعة مهاجمة التشفير، ولا تعالج قوة التشفير أيا منها مهما بلغت.

ما الذي تغطيه المصادقة الثنائية والتشفير التام بين الطرفين، كل على حدة

تجيب المصادقة الثنائية جيدا عن المسارين الأول والثاني. كلمة المرور المسروقة أو المخمّنة لم تعد كافية، لأن تسجيل الدخول يحتاج أيضا إلى رمز يُرسل إلى جهاز موجود بالفعل في محيطك. لكنها لا تجيب عن صفحة إعادة توجيه حية تجمع الرمز في ثوان بعد قراءته، ولا تفعل شيئا ضد شخص يمسك هاتفك المفتوح. تجيب الحماية المتقدمة للبيانات عن سؤال مختلف تماما. عند تفعيلها، تصبح صور iCloud ونسخ iCloud الاحتياطي مشفّرة تماما بين الطرفين، وتبقى المفاتيح على أجهزتك، ولا تحتفظ Apple بأي شيء يمكن تقديمه بموجب طلب قانوني أو أخذه في اختراق خادم. هذا تغيّر حقيقي في مستوى التعرض للخطر، وهو السبب في أن إعداد جهة اتصال الاسترداد إلزامي: فبعد اختفاء المفاتيح من Apple، تصبح كلمة المرور المنسية غير قابلة للاسترداد فعليا. لم تعد Apple تقدّم هذه الميزة للمستخدمين الجدد في المملكة المتحدة.

افتراضيا، بدون تفعيل هذا الإعداد، تُشفَّر صور iCloud أثناء النقل وعلى خوادم Apple بمفاتيح تحتفظ بها Apple أيضا. تعمل Google Photos بالطريقة نفسها، وليس لديها خيار تشفير تام بين الطرفين للمكتبة الرئيسية على الإطلاق. لا يعكس أي من الترتيبين إهمالا، وكلاهما معقول تماما بالنسبة للغالبية العظمى من كاميرا الصور، لكن الوصف الصادق هو أن مزود الخدمة يستطيع قراءة الملفات وأنت تثق بأنه لن يفعل ذلك. شرحنا حول تخزين صور iCloud المشفّر تاما بين الطرفين يوضح ما الذي يغيّره هذا الإعداد، بينما كيفية تشفير نسخ صور iPhone الاحتياطية يغطي جانب النسخ الاحتياطي، وهو المكان الذي غالبا ما تعيش فيه نسخ من الصور المخفية.

الصور التي لا ينبغي أن تكون في الحساب على الإطلاق

كل دفاع مما سبق احتمالي بطبيعته. تجعل المصادقة الثنائية الاستيلاء على الحساب أصعب بكثير لا مستحيلا، ويزيل التشفير التام بين الطرفين الخادم كهدف لكنه يُبقي الجهاز هدفا، ويعتمد كلاهما في النهاية على حساب يمكن لمهاجم مصمم، أو لشخص يعيش معك بالفعل، الوصول إليه في النهاية. الترتيب حسب العواقب أكثر فائدة من الترتيب حسب الاحتمالية. معظم كاميرا الصور مقبول وجودها في السحابة، والراحة التي توفرها حقيقية. لكن جزءا صغيرا منها ليس كذلك: مستندات تحمل أرقاما تعريفية، صور حميمية، أي شيء يمكن استخدامه كوسيلة ضغط. بالنسبة لهذه الصور، الهدف ليس قفلا أقوى على الحساب، بل عدم وجود حساب أصلا في المعادلة.

هذا هو بالضبط ما تفعله خزنة مشفّرة محلية. تشفّر Vaultaire كل ملف بواسطة AES-256-GCM على الجهاز نفسه، ولا تحتاج إلى حساب أو تسجيل دخول لتعمل، وتبقى بعيدة عن iCloud افتراضيا، لذا لا توجد كلمة مرور يمكن اصطيادها، ولا جلسة يمكن اختطافها، ولا نسخة على خادم يمكن اختراقها. التطبيق مجاني حتى خمس خزنات. إذا كنت تفضل فهم هذه الفئة من التطبيقات قبل أن تثق بأي منها، فإن مراجعتنا لـما إذا كانت تطبيقات خزائن الصور آمنة تستعرض ادعاءات التشفير وأيها يصمد أمام الفحص. الصور التي لا تتم مزامنتها أبدا لا يمكن أخذها من خدمة لا تتحكم فيها.

أدلة ذات صلة

• ما تقوله فعليا سياسات خصوصية تخزين الصور السحابي
• كيف يعمل تشفير صور iCloud
• هل يستطيع أي شخص رؤية صورك المخفية على iCloud
• هل تطبيقات خزائن الصور آمنة

الأسئلة الشائعة

هل تم اختراق iCloud نفسه من قبل؟

لم تُخترق خوادم Apple علنا بالطريقة التي يفهمها الناس عادة. الحوادث التي أدت إلى تسريب صور كانت عمليات استيلاء على حسابات: كلمات مرور تم الحصول عليها عبر التصيّد، أو أسئلة أمان تم تخمينها، أو إعادة استخدام كلمات مرور من مواقع أخرى تم اختراقها. هذا تمييز مهم، لأنه يعني أن الحل موجود في جانبك من شاشة تسجيل الدخول لا في جانب Apple.

هل تجعل المصادقة الثنائية صوري آمنة؟

تغلق أكثر المسارات شيوعا عن بُعد، وهذا تحسّن كبير، لكنه ليس مطلقا. صفحة تصيّد مقنعة يمكنها إعادة توجيه رمزك في الوقت الفعلي، ولا تفعل المصادقة الثنائية شيئا ضد شخص يفتح هاتفك أو يعرف رمز جهازك. اعتبرها الحد الأدنى الذي يوقف الهجمات الانتهازية، لا ضمانا كاملا.

هل خدمة Google Photos أقل أمانا من iCloud؟

بالنسبة للمكتبة الرئيسية، تحتفظ Google بالمفاتيح ولا تقدم خيار تشفير تام بين الطرفين، بينما يمكن تحويل iCloud إلى التشفير التام بين الطرفين عبر الحماية المتقدمة للبيانات. عند الإبقاء على الإعدادات الافتراضية، يحتفظ iCloud بالمفاتيح أيضا، لذا يكمن الفرق في الحد الأقصى الممكن لا في نقطة البداية. كلاهما يشفّر البيانات أثناء النقل وأثناء التخزين ضد المهاجمين الخارجيين.

ماذا يجب أن أفعل أولا إن شككت في أن حسابي قد فُتح؟

غيّر كلمة المرور من جهاز تثق به، ثم راجع قائمة الأجهزة تحت اسمك في الإعدادات وأزل أي جهاز غير مألوف، فهذا ينهي تلك الجلسات. تحقق من أن البريد الإلكتروني ورقم الهاتف المرتبطين بالحساب لا يزالان يخصانك، لأن المهاجمين يغيّرونهما للحفاظ على الوصول. ثم تحقق من حساب بريدك الإلكتروني نفسه، لأنه غالبا ما يكون طريق العودة إلى الحساب.