راهنمای فهرست ابزارهای ارتباط و همکاری

برای ارتباط و همکاری، اول نیازتان را مشخص کنید و بعد ببینید ابزار هنوز نگهداری می‌شود، چه چیزی را رمزگذاری می‌کند و بازیابی‌اش چطور است. نصب همهٔ نام‌های معروف یک راهکار واحد نیست. نامه، پیام فوری، تماس گروهی و کار روی سند مشترک چهار کار جدا هستند و یک برنامه معمولاً هر چهار را به یک شکل انجام نمی‌دهد.

برای پیام حساس، حالت گفت‌وگو باید سرتاسری باشد. چارچوب انتخاب در پیام‌رسانی امن‌تر و ارتباط خصوصی آمده است. این صفحه به‌جای تکرار آن راهنماها، نشان می‌دهد هنگام مقایسهٔ چند نام به چه چیزی نگاه کنید و برنامه را از کجا بگیرید.

اول کار را بنویسید، بعد نام را

1. بگویید مخاطب کیست: یک نفر، گروه کوچک، یا جمع بزرگ.
2. بگویید متن باید نزد خدمت نماند، یا همگام روی چند دستگاه برایتان مهم‌تر است.
3. بگویید اگر گوشی گم شود سابقه باید برگردد یا عمداً نباید جایی باشد.
4. بگویید تماس تصویری و اشتراک پرونده لازم است یا نه؛ خیلی از ابزارهای جلسه متن و ضبط را روی سرور نگه می‌دارند.

اگر این چهار پاسخ روشن نباشد، معمولاً چند برنامه نصب می‌شود و هیچ‌کدام درست تنظیم نمی‌شود.

پنج پرسش برای هر ابزار

1. چه کسی آن را نگه می‌دارد و آخرین به‌روزرسانی رسمی کی بوده است؟ برنامهٔ رهاشده را با نام آشنا عوضی نگیرید.
2. رمزگذاری شامل چه چیزی است: متن گپ، پیوست، پشتیبان ابری، نمایه، یا فقط مسیر تا سرور؟
3. داده کجا می‌ماند و در کدام حوزهٔ قضایی؟
4. اگر دستگاه یا رمز را از دست بدهید، بازیابی رسمی چیست و چه چیزی همراهش برمی‌گردد؟
5. نصب از کدام نشانی رسمی است؟ پروندهٔ داخل پیام یا نسخهٔ «پلاس» را کنار بگذارید.

پیام فوری

برای متنی که باید بین دو نفر یا یک گروه کوچک بماند، ابزاری را ترجیح دهید که همان حالت گفت‌وگو به‌طور پیش‌فرض سرتاسری باشد، نه این‌که فقط در تبلیغش واژهٔ رمزگذاری آمده باشد.

سیگنال نمونه‌ای است که بسیاری برای این کار به کار می‌برند: متن روی سرور به شکل خوانا نمی‌ماند و نصب رسمی از signal.org یا فروشگاه همان سازنده است. تنظیم حساب، قفل ثبت، دستگاه مرتبط و پشتیبان در استفادهٔ امن از سیگنال آمده است.

واتساپ هم پیام شخصی را سرتاسری می‌کند، اما حساب به شماره وابسته است و پشتیبان ابری فقط با تنظیم جدا رمزگذاری می‌شود. جزئیات در واتساپ و مقایسه در سیگنال و واتساپ است. تلگرام گپ ابری را سرتاسری نمی‌کند؛ برای همان متن باید گفت‌وگوی مخفی را جدا شروع کنید. شرح در تلگرام آمده است.

1. قبل از انتخاب، یک گفت‌وگوی آزمایشی بسازید و ببینید رمزگذاری در همان گپ اعلام شده یا نه.
2. ببینید پشتیبان کجاست و آیا کلیدش را خودتان نگه می‌دارید.
3. دستگاه‌های مرتبط را بعد از نصب مرور کنید.
4. اگر گروه بزرگ و کانال پخش دارید، آن را با گپ محرمانه یکی نکنید.

نامه

اول خودِ حساب را محکم کنید: رمز یکتا، تأیید دومرحله‌ای، مرور نشست و هدایت نامه. این کار در حساب ایمیل امن‌تر آمده است و مستقل از این است که بعداً OpenPGP بگذارید یا نه.

رمزگذاری سرتاسری نامه با OpenPGP یا صندوق‌هایی مثل Proton Mail فقط وقتی محتوای نامه را از فراهم‌کننده پنهان‌تر می‌کند که طرف مقابل هم همان روش را داشته باشد. اگر او از صندوق معمولی بدون کلید یا بدون همان خدمت بنویسد، آن نامه مثل نامهٔ عادی است.

1. تاندربird را از thunderbird.net بگیرید، نه از اولین نتیجهٔ جست‌وجو.
2. برای نامهٔ OpenPGP روی رایانه می‌توان از قابلیت OpenPGP خود تاندربird یا افزونهٔ رسمی مرتبط استفاده کرد؛ روی اندروید OpenKeychain از مسیر رسمی‌اش شناخته شده است و Mailvelope افزونه‌ای برای وب‌میل است. هر کدام را از سایت یا فروشگاه اعلام‌شده بگیرند.
3. کلید خصوصی را در گپ نفرستید و نسخه‌ای قابل بازیابی بیرون از همان رایانه نگه دارید.
4. اگر صندوق را نزد فراهم‌کنندهٔ دیگری می‌خواهید، Proton Mail را از proton.me باز کنید. Riseup برای گروهی با فرایند دسترسی خودش است، نه جایگزینی همگانی و فوری برای هر کس.
5. حالت «محرمانه» بعضی وب‌میل‌ها سرتاسری نیست؛ آن را با OpenPGP عوضی نگیرید.

جلسه و تماس گروهی

جیتسی نمونه‌ای رایج برای جلسه بدون حساب اجباری است. نسخهٔ عمومی meet.jit.si یا نرم‌افزار رسمی را از jitsi.org باز کنید. بسیاری از پیکربندی‌ها ضبط و گفت‌وگوی همراه جلسه را روی سرور نگه می‌دارند. رمزگذاری سرتاسری در جیتسی اختیاری است و پیش‌فرض همهٔ اتاق‌ها نیست.

1. پیوند جلسه را در کانال عمومی نگذارید اگر جمع باید محدود بماند.
2. بعد از جلسه فرض نکنید نسخهٔ ضبط‌شده وجود ندارد؛ بپرسید چه کسی ضبط کرده و کجا ذخیره شده است.
3. اتاق را با گپ سیگنال عوضی نگیرید. هماهنگی محرمانه را پیش از ورود به جلسه، در کانال مناسب رد و بدل کنید.
4. ابزار جلسهٔ سازمانی را که کارفرما فراهم کرده با صندوق شخصی مخلوط نکنید؛ مدیر آن خدمت معمولاً به ضبط و حضور دسترسی دارد.

همکاری روی سند

بیشتر ابزارهای سند مشترک—از جمله امکانات اداری شناخته‌شدهٔ ابری—متن را نزد خدمت نگه می‌دارند تا چند نفر همزمان ویرایش کنند. این برای کار روزمره راحت است و برای پیش‌نویس محرمانه کافی نیست. اشتراک «هر کس دارای پیوند» را در راهنمای حساب گوگل جدا ببینید.

1. اگر سند نباید نزد خدمت بماند، آن را آنجا ننویسید یا از ابزاری استفاده کنید که هر دو طرف رمزگذاری سرتاسری سند را پشتیبانی کنند و آن را عمداً روشن کرده باشید.
2. پیوند ویرایشگر را در گروه بزرگ نگذارید.
3. پس از اتمام پروژه دسترسی افراد را ببندید؛ باز ماندن پیوند از خودِ ابزار خطرناک‌تر است.

نصب فقط از مسیر رسمی

1. سیگنال: signal.org یا فروشگاه رسمی همان سازنده.
2. تاندربird: thunderbird.net.
3. جیتسی: jitsi.org.
4. Proton Mail: proton.me.
5. افزونه‌های نامه را از سایت خود پروژه یا فروشگاه مرورگر همان افزونه بگیرید، نه از فایل پیوست.
6. بعد از نصب، به‌روزرسانی را از همان مسیر ادامه دهید و نسخهٔ متفرقه با وعدهٔ امکانات بیشتر را حذف کنید.

بازیابی را قبل از روز حادثه ببینید

1. برای هر ابزاری که انتخاب می‌کنید بنویسید: اگر گوشی گم شود چه می‌شود؟ اگر رمز عبور ابری را از یاد ببرید چه می‌شود؟
2. کد پشتیبان، کلید بازیابی یا عبارت عبور را بیرون از خود برنامه نگه دارید.
3. پشتیبان همگام ابری را با نسخهٔ آزمایش‌شده عوضی نگیرید. شرح کلی در پشتیبان‌هایی که می‌توان بازیابی کرد آمده است.

اشتباه‌های رایج

• نصب همزمان چند پیام‌رسان «برای احتیاط» بدون تنظیم هیچ‌کدام.
• فرض اینکه هر خدمتی که در نامش واژهٔ امن یا خصوصی دارد سرتاسری است.
• رمزگذاری نامه بدون اینکه طرف مقابل همان روش را داشته باشد.
• گذاشتن مطلب محرمانه در جلسهٔ سازمانی یا سند ابری مشترک.
• گرفتن برنامه از فایل داخل گروه.
• نادیده گرفتن بازیابی تا روز گم شدن گوشی.

نگهداری را از کجا بفهمید

1. تاریخ آخرین نسخهٔ رسمی را در سایت خود پروژه یا فروشگاه رسمی ببینید، نه در تبلیغ یک کانال.
2. اگر پروژه می‌گوید دیگر نگه داشته نمی‌شود، حتی اگر نامش آشناست آن را کنار بگذارید.
3. دامنهٔ دانلود را با نشانی نوشته‌شده در راهنمای رسمی همان پروژه تطبیق دهید. یک حرف جابه‌جا در نشانی کافی است تا پروندهٔ دیگری نصب شود.
4. به‌روزرسانی خودکار فروشگاه رسمی معمولاً از نصب دستی پروندهٔ هر چند هفته یک‌بار امن‌تر است، به شرطی که همان برنامهٔ رسمی باشد.

فراداده را با متن عوضی نگیرید

حتی وقتی متن گپ سرتاسری است، خدمت ممکن است ببیند چه حساب‌هایی با هم حرف می‌زنند، از چه نشانی وارد شده‌اند و عضو کدام گروه‌اند. اگر هدف پنهان ماندن از خودِ خدمت است، عوض کردن پیام‌رسان کافی نیست؛ محدودیت‌ها در راهنمای ناشناسی ارتباطات آمده است.

1. شماره، نام کاربری عمومی و تصویر نمایه را بخشی از انتخاب ابزار بدانید.
2. گروه خیلی بزرگ را کانال محرمانه حساب نکنید، حتی اگر برنامه سرتاسری باشد؛ عضو تازه و اسکرین‌شات دایره را بزرگ می‌کنند.

با مخاطب یک‌بار آزمایش کنید

1. قبل از تکیه برای کار واقعی، یک پیام آزمایشی بفرستید و ببینید هر دو طرف همان حالت رمزگذاری را می‌بینند.
2. کد ایمنی یا کلید را اگر ابزار دارد از کانال دیگری مقایسه کنید.
3. ببینید آیا پیام روی دستگاه دوم همان حساب هم ظاهر می‌شود و این با نیازتان می‌خواند یا نه.
4. اگر یکی از دو طرف نمی‌تواند برنامه را نصب کند، همان ابتدا کانال جایگزین توافق کنید؛ وسط حادثه دیر است.

چند ابزار را با هم قاطی نکنید

داشتن سیگنال برای متن حساس و یک ابزار جلسه برای جمع عمومی اشکالی ندارد، به شرطی که هر کدام همان کار خودش را بکند. اشکال این است که مطلب حساس از روی عادت به جلسه، سند ابری یا گپ ابری برگردد. پیش‌نمایش اعلان روی صفحهٔ قفل را هم برای همان برنامه‌ای که انتخاب کرده‌اید محدود کنید؛ انتخاب ابزار خوب با گوشی باز و اعلان خوانا روی صفحهٔ قفل بی‌اثر می‌شود. قفل صفحه را روشن نگه دارید و برنامهٔ پیام حساس را روی رایانه یا گوشی مشترک باز نگذارید. پس از پایان کار حتماً از حساب خارج شوید و خود همان صفحه یا همان دستگاه را فوری قفل کنید.

از همین امروز چه کار کنید

1. یک کار اصلی انتخاب کنید — پیام، نامه یا جلسه — و برای همان یک ابزار را از مسیر رسمی نصب و درست تنظیم کنید.
2. ببینید پشتیبان و بازیابی آن ابزار کجاست و کلیدش را بیرون از برنامه بگذارید.
3. ابزارهای بلااستفاده را حذف کنید تا سطح حمله کوچک‌تر شود.
4. با مخاطب اصلی‌تان توافق کنید از این به بعد برای مطلب حساس از کدام کانال استفاده می‌کنید و یک پیام آزمایشی بفرستید.
5. یک‌بار بازیابی یا ورود روی دستگاه دوم را آزمایش کنید، نه در روز حادثه.
6. پیش‌نمایش اعلان همان برنامه را روی صفحهٔ قفل محدود کنید.