حراسة الأمن: يمكنك أن تبقي جوجل من جوجل الخاص بك؟

أتابع هذا الأسبوع رسالة من قارئ كتب سابقًا حول كيفية عدم قفل حساباتك عند استخدام مصادقة ثنائية أو 2FA. كتب Jeremy من Capetown أيضًا السؤال عما إذا كان من الممكن استخدام 2FA لإبعاد Google عن Gmail. تم تحرير رسالته من أجل الإيجاز.

هل هناك نوع من الأمان تم إعداده يمكن أن ينفّذ ويمكن أن يمنع Google نفسها من الوصول إلى Gmail؟

ما هي المصادقة الثنائية؟

للمراجعة: المصادقة الثنائية هي عندما تستخدم عاملين للمصادقة من قائمة ثلاثة محتملة: شيء تعرفه أو شيء لديك أو شيء أنت. كلمة المرور ، على سبيل المثال ، هي شيء تعرفه وبصمات الأصابع هي شيء تعرفه. عندما تستخدم الاثنين معًا ، فأنت تستخدم 2FA.

من الناحية العملية ، تتضمن 2FA خطوة إضافية تتخذها بعد إدخال كلمة المرور لإثبات أنك الشخص الذي تقوله. يتضمن هذا غالبًا استخدام رمز لمرة واحدة يتم إنشاؤه من تطبيق ما أو يتم إرساله عبر الرسائل القصيرة ، ولكن هناك العديد من الخيارات الأخرى ، بما في ذلك تطبيقات النقر لتسجيل الدخول مثل Duo أو مفاتيح أمان الأجهزة مثل تلك الموجودة في Yubico والمصنعين الآخرين.

2FA هو جيد. يجب عليك استخدامه. إنها طريقة رائعة لإبعاد الأشرار عن حساباتك ، لكن لا يبدو أن ذلك سيؤدي إلى إبعاد Google.

من يرى ماذا؟

بشكل عام ، يبدو أن Google تتمتع بحق الوصول إلى محتوى رسائل البريد الإلكتروني الخاصة بك. كتب كريستوفر كونج نجوين ، الذي يسرد نفسه كموظف سابق في Google ، على Quora في عام 2010 أنه يمكن لعدد صغير جدًا من الموظفين الوصول إلى محتوى البريد الإلكتروني ، وأنه يوجد مسار منظم للغاية لاسترجاع المعلومات. الآن ، يبلغ عمر هذه المعلومات ما يقرب من عقد من الزمان في هذه المرحلة ، لكنها توضح أنه نعم ، في مرحلة ما كان هناك أشخاص يمكنهم الوصول إلى حساب Gmail الخاص بك.

كشركة تلتزم بالقانون ، تقول Google إنها مطالبة بالامتثال للطلبات القانونية للحصول على معلومات من الحكومات وإنفاذ القانون. يمكن أن يشمل ذلك محتويات رسائل البريد الإلكتروني الخاصة بك ، على الرغم من أن Google تشير إلى أنها تسعى جاهدة لتضييق نطاق الطلبات التي تتلقاها وتتطلب مذكرة بحث قبل تسليم الصور والمستندات ورسائل البريد الإلكتروني وغيرها.

هناك طرق أخرى تستخدمها Google لمعلومات Gmail الخاصة بك. على الرغم من أن الشركة لم تعد تفحص الرسائل لإنشاء محتوى إعلان مخصص ، إلا أنها كانت معروفة منذ سنوات. حتى الآن ، يوزع Gmail رسائلك بما يكفي لسحب معلومات السفر وتسليط الضوء عليها ، وإنشاء اقتراحات كتابة عند كتابة الرسائل. اعتمادًا على مستوى راحتك ، قد يكون هذا جيدًا تمامًا أو غير مباشر.

يبدو أن Google تقوم بتشفير رسائل البريد الإلكتروني الخاصة بك ، ولكن في المقام الأول أثناء نقل هذه الرسائل. حتى إذا كانت تلك الرسائل مشفرة أثناء استراحةها على خوادم Google ، فإذا كانت Google تدير مفاتيح التشفير - وما رأيته يدل على ذلك - لا يزال بإمكان Google الوصول إلى رسائلك بشكل يمكن تصوره.

2FA ليس هو الحل

أستطيع أن أرى من أين يأتي جيريمي بسؤاله. نظرًا لأنني أتحكم في Yubikey ، ولا تتحكم Google ، إذا قمت بتمكين 2FA ، فلن تتمكن Google من الوصول إلى حساب Gmail الخاص بي. ومع ذلك ، يمكن لـ Google التأثير على التغييرات التي تم إجراؤها على الحسابات المضمونة باستخدام 2FA.

عند تشغيل أحد حسابات Gmail التي لا تعمل ، نقرت فوق خيار نسيت كلمة المرور الخاصة بي. لقد قفزت فورًا إلى خيارات بديلة لتسجيل الدخول: إرسال رسالة نصية إلى هاتفي ، واستخدام Yubikey ، والضغط على تنبيه على هاتف تم التحقق منه ، وإرسال بريد إلكتروني إلى عنوان بريدي الإلكتروني المخصص للطوارئ ، والإجابة على سؤال أمان ، وإدخال التاريخ الذي قمت بإنشائه في Gmail الحساب ، ثم أخيرًا ترك عنوان بريد إلكتروني حيث يمكن الوصول إلي بواسطة Google لمعالجة مشكلتي مباشرةً. إذا كان بإمكان Google منحني حق الوصول إلى حسابي الخاص دون أن يكون لديّ بالضرورة كلمة المرور الخاصة بي أو العامل الثاني ، فهذا يعني أن Google يمكنها القيام بذلك بنفسها.

حتى برنامج الحماية المتقدمة من Google لـ Gmail لديه نوع من خيار الاسترداد. عند التمكين ، تتطلب Advanced Protection تسجيل اثنين من مفاتيح أمان الأجهزة المختلفة - أحدهما لتسجيل الدخول والآخر كنسخة احتياطية. إذا فقدت كلا المفتاحين ، فستقول Google ذلك حول استعادة السيطرة على حساب برنامج الحماية المتقدمة الخاص بك:

إذا كنت لا تزال تتمتع بحق الوصول إلى جلسة تسجيل دخول ، فيمكنك زيارة account.google.com وتسجيل مفاتيح الاستبدال بدلاً من المفاتيح المفقودة. إذا فقدت كلتا المفتاحين ولم يكن لديك حق الوصول إلى جلسة تسجيل الدخول ، فستحتاج إلى إرسال طلب لاسترداد حسابك. سيستغرق الأمر بضعة أيام حتى تتحقق Google من أنت وتسمح لك بالوصول إلى حسابك.

بشكل عام ، يبدو أن الإصدار 2FA - حتى النسخة القصوى منه المستخدمة في الحماية المتقدمة - لا يكفي لإبعاد Google عن بريدك الإلكتروني. بالنسبة لمعظم الناس ، هذا شيء جيد على الأرجح. تعد حسابات البريد الإلكتروني جزءًا مهمًا للغاية من البنية الأساسية للأمان الخاصة بالفرد. إذا فقدت كلمة المرور أو اضطررت إلى تغيير كلمة المرور ، فعادة ما يكون البريد الإلكتروني المرسل إلى حساب تم التحقق منه جزءًا من العملية. إذا تمكن المهاجم من الوصول إلى حساب بريدك الإلكتروني ، فيمكنه استخدام خيار استرداد الحساب على مواقع الويب للوصول إلى المزيد من الحسابات. من المهم أن يكون لدى المستخدمين وسيلة لاستعادة السيطرة على حساباتهم.

رسائل خاصة حقا

عندما نتحدث عن ما يمكن وما لا يمكن رؤيته في أنظمة المراسلة ، فإننا نتحدث عن التشفير وليس المصادقة. تستخدم معظم الخدمات التشفير في نقاط مختلفة في عملية إرسال رسالة وتخزينها. يستخدم Gmail ، على سبيل المثال ، TLS عند إرسال رسالة للتأكد من عدم اعتراضها. عندما تحتفظ خدمة مراسلة من أي نوع بالمفاتيح المستخدمة لتشفير رسائلك عندما تستقر على الخادم ، فمن الافتراض الآمن أن الشركة يمكنها الوصول إلى تلك الرسائل بأنفسها.

إذا كنت تريد الاحتفاظ بحساب Gmail الخاص بك ، ولكنك ترغب في جعل رسائلك غير قابلة للقراءة ، فيمكنك تشفير تلك الرسائل بنفسك. هناك العديد من المكونات الإضافية للتشفير في Chrome ، أو يمكنك تكوين Thunderbird لتشفير رسائلك باستخدام PGP ، وهو نظام تشفير شائع الاستخدام للبريد الإلكتروني. يمكن أيضًا تكوين طرازات Yubico الأغلى سعراً لإخراج مفتاح PGP ، عند الحاجة.

سأكون صادقًا وأقول أنه على الرغم من أنني متأكد من أن بعض هذه الأعمال ، لم أتمكن مطلقًا من فهمها بشكل كافٍ. قال مبتكر PGP أنه حتى يجد العملية معقدة للغاية بحيث يتعذر فهمها.

ما قد يكون أسهل هو استخدام أدوات التشفير لتشفير الرسائل ، ثم إرفاق أو لصق الإخراج المشفر في Gmail. يجب عليك تنسيق عملية فك التشفير على الطرف الآخر ، ولكن محتوى البريد الإلكتروني لن يكون قابلاً للقراءة لـ Google ، أو لأي شخص آخر في هذا الشأن. Keybase.io هي خدمة أخرى يمكنها تشفير أو فك تشفير أو توقيع نص يمكن استخدامه في رسالة بريد إلكتروني.

إذا كنت متأكدًا تمامًا من أنه لا يوجد أحد غيرك لديه حق الوصول إلى بريدك الإلكتروني ، فهناك بعض الخيارات. أولاً وقبل كل شيء سيكون التخلي عن Gmail. ProtonMail ، من منشئي ProtonVPN ، هي خدمة تهدف إلى احترام خصوصيتك ، وتقوم بذلك عن طريق تشفير جميع رسائل البريد الإلكتروني الخاصة بك - بما في ذلك تلك التي ترسلها وتتلقاها من أشخاص يستخدمون مزودي خدمات البريد الإلكتروني الآخرين. إليك كيفية وصف ProtonMail لعملياتها:

يتم تخزين جميع الرسائل الموجودة في صندوق الوارد ProtonMail الخاص بك من طرف إلى آخر. هذا يعني أنه لا يمكننا قراءة أي من رسائلك أو تسليمها إلى جهات خارجية. يتضمن ذلك الرسائل المرسلة إليك من قِبل المستخدمين من غير ProtonMail ، على الرغم من أن تضع في اعتبارك إذا تم إرسال بريد إلكتروني إليك من Gmail ، فمن المحتمل أن يحتفظ Gmail بنسخة من هذه الرسالة أيضًا.

• مصادقة ثنائية العامل: من يملكها وكيفية إعدادها مصادقة ثنائية العامل: من يملكها وكيفية إعدادها
• جوجل تيتان الأمن مفتاح حزمة جوجل تيتان الأمن مفتاح حزمة
• SecurityWatch: كيفية عدم الحصول على تأمين مع مصادقة ثنائية العامل SecurityWatch: كيفية عدم الحصول على تأمين مع مصادقة ثنائية العامل

خيار آخر هو أن ننظر إلى أبعد من البريد الإلكتروني. جلبت أواخر عام 2010 مجموعة كبيرة من خدمات المراسلة التي تستخدم اتصال البيانات بدلاً من خطة الرسائل القصيرة لإرسال الرسائل بين الأجهزة. في السنوات الأخيرة ، تبنت العديد من هذه الخدمات التشفير من طرف إلى طرف ، مما يعني أنه أنت وحدك المستلم المقصود ، يمكنه قراءة رسائلك. Signal هو التطبيق الأكثر شهرة ، وهو تطبيق ممتاز بحد ذاته. اعتمد WhatsApp بروتوكول الإشارة ، ويقوم الآن بتشفير رسائله من النهاية إلى النهاية. من المفارقات إلى حد ما أن Facebook Messenger يستخدم بروتوكول Signal لوضع الرسائل السرية.

ربما تكون منصة الرسائل من Apple معروفة على الأرجح بالملصقات وكاريوكي animoji ، ولكنها أيضًا نظام رسائل آمن بشكل ملحوظ. كما أنها ملحوظة لأنه بخلاف خدمات المراسلة الأخرى ، يمكنك إرسال واستقبال الرسائل على هاتفك أو جهاز الكمبيوتر الخاص بك دون منح Apple حق الوصول إلى محتوى رسائلك.

عندما يتعلق الأمر باستخدام Gmail ، أوصي الأشخاص بالاستماع إلى أحشائهم. إذا كنت قلقًا للغاية بشأن قراءة رسائلك من قِبل البشر أو برامج الروبوت ، فحاول استخدام بديل. إذا كان Gmail مناسبًا لك حقًا ، وكنت تحب الميزات التي يقدمها ، فالتزم بها. من المحتمل بالتأكيد محاولة ثني Gmail نحو الأمان تمامًا ، ولكن هناك الكثير من البدائل الأسهل. أخيرًا ، يعتبر 2FA حلاً رائعًا لإبعاد الأشرار عن حساباتك ، وهذا هو الأمر. لن أعتمد عليها لإغلاق صاحب الخدمة.