Haris Shield چگونه کار می‌کند
اینکه برنامه چه چیزی را از گوشی شما می‌خواند، چگونه تشخیص می‌دهد چه چیزی تهدید است، همه‌ی ارتباط‌هایی که برقرار می‌کند — و اینکه چگونه همه‌ی این‌ها را بدون اکتفا به حرف ما بررسی کنید.
این صفحه نسخه‌ی فعلی، 1.0.13، را توضیح می‌دهد.
آنچه برنامه از طریق کابل می‌خواند
گوشی شما با کابل USB به کامپیوترتان وصل است. Haris Shield آن را با libimobiledevice (برای iPhone) و adb اندروید می‌خواند — همان ابزارهای متن‌بازی که پژوهشگران فارنزیک استفاده می‌کنند. هیچ چیزی روی گوشی نصب نمی‌شود و اسکن فقط می‌خواند: هیچ چیزی را روی گوشی حذف، جابه‌جا یا تغییر نمی‌دهد. هر چه کپی می‌کند در پوشه‌ی برنامه روی کامپیوتر شما می‌ماند.
iPhone
اطلاعات دستگاه
مدل، نسخه و بیلد iOS، شماره‌ی سریال، اینکه رمز عبور (passcode) تنظیم شده یا نه، وضعیت فعال‌سازی، نام دستگاه و منطقه‌ی زمانی.
گزارش‌های خرابی
روی کامپیوتر شما کپی و همان‌جا خوانده می‌شوند. نسخه‌های اصلی روی گوشی می‌مانند — برنامه فقط کپی می‌کند و هرگز آن‌ها را جابه‌جا یا حذف نمی‌کند.
پروفایل‌های پیکربندی
پروفایل‌های نصب‌شده، ثبت‌نام در MDM، حالت نظارت (supervision) و پروفایل‌های VPN — راه‌هایی که می‌توان گوشی را مدیریت کرد یا ترافیک آن را به مسیر دیگری برد.
پروفایل‌های تأمین (provisioning)
اینکه چه کسی برنامه‌های توسعه‌دهنده و سازمانی روی گوشی را امضا کرده است، در مقایسه با نام فروشندگان شناخته‌شده‌ی جاسوس‌افزار.
وضعیت امنیتی
Lockdown Mode، حالت توسعه‌دهنده (developer mode) و اینکه آیا نسخه‌ی iOS از نسخه‌هایی است که شناخته‌شده است مورد سوءاستفاده قرار گرفته.
یک sysdiagnose که وارد می‌کنید (اختیاری)
اگر روی گوشی یک sysdiagnose بسازید و فایل فشرده‌ی آن را وارد کنید، برنامه پایگاه‌های داده‌ی مصرف شبکه، تاریخچه‌ی اجرای فرایندها، پایگاه‌های داده‌ی استفاده از برنامه‌ها و مجوزها، و لاگ‌های شبکه و فرایندهای آن را هم می‌خواند.
Android
اطلاعات دستگاه
مدل، برند، نسخه‌ی Android، سطح وصله‌ی امنیتی و شماره‌ی سریال.
برنامه‌های نصب‌شده
نام بسته‌ها در مقایسه با استاکرورهای شناخته‌شده، برنامه‌هایی که از لانچر پنهان شده‌اند و اینکه هر برنامه از کجا نصب شده است (Play Store یا نصب دستی خارج از فروشگاه).
مجوزها
اینکه کدام برنامه‌ها مجوزهای نظارتی دارند — پیامک، سوابق تماس، موقعیت مکانی، دوربین، میکروفون — و ترکیب‌های خطرناک این مجوزها، به‌علاوه‌ی برنامه‌هایی که اجازه دارند برنامه‌های دیگر نصب کنند.
دسترس‌پذیری، مدیران دستگاه، شنونده‌های اعلان
سه راه نفوذی که استاکرورها معمولاً برای خواندن صفحه، مقاومت در برابر حذف و کپی کردن اعلان‌ها به آن‌ها نیاز دارند.
فرایندها و شبکه
فرایندهای در حال اجرا، اتصال‌هایی که همین حالا باز هستند و حافظه‌ی موقت DNS، در مقایسه با سرورها و نشانی‌های IP شناخته‌شده‌ی جاسوس‌افزار.
گواهی‌ها
گواهی‌های ریشه‌ای که کاربر نصب کرده و می‌توان از آن‌ها برای خواندن ترافیک رمزگذاری‌شده استفاده کرد، و برنامه‌هایی که با گواهی‌های debug یا آزمایشی امضا شده‌اند.
مصرف باتری، داده و حسگرها
برنامه‌هایی که شب‌ها بیدار می‌شوند، در پس‌زمینه حجم زیادی داده جابه‌جا می‌کنند یا بدون اینکه روی صفحه باشند از دوربین و میکروفون استفاده می‌کنند.
تنظیمات و لاگ‌های سیستم
اشکال‌زدایی USB و بی‌سیم، منابع ناشناس، Play Protect و چند مورد مشخص در لاگ‌های سیستم که با جاسوس‌افزارهای شناخته‌شده مرتبط‌اند.
اسکن کامل همچنین یک بررسی حریم خصوصی، عیب‌یابی سخت‌افزار و، روی iPhone، بررسی اصالت قطعات را اجرا می‌کند. تحلیل نسخه‌های پشتیبان رمزگذاری‌شده‌ی iPhone و تطبیق اثر انگشت فایل‌های برنامه‌های Android در حال ساخت هستند؛ این‌ها بخشی از نسخه‌ی فعلی نیستند.
یافته‌ها چگونه ارزیابی می‌شوند
هر اسکن با یکی از سه نتیجه تمام می‌شود. تفاوت این نتیجه‌ها مهم است، پس دقیقاً توضیح می‌دهیم که هر کدام به چه چیزی نیاز دارد.
جاسوس‌افزار شناسایی شد
فقط وقتی که ردپای مشخصی وجود داشته باشد: یک فرایند جاسوس‌افزار شناخته‌شده در تاریخچه‌ی اجرا، یک اتصال یا درخواست DNS به یک سرور شناخته‌شده‌ی جاسوس‌افزار، یک استاکرور شناخته‌شده که به آن دسترسی داده شده، یا پروفایلی از یک فروشنده‌ی شناخته‌شده‌ی جاسوس‌افزار.
فعالیت مشکوک
چیزهایی که ارزش بررسی دقیق‌تر دارند اما مدرک نیستند. این شامل آسیب‌پذیری هم می‌شود: نسخه‌ی قدیمی iOS یا نبود وصله‌های امنیتی، حمله به گوشی را آسان‌تر می‌کند، به همین دلیل در اینجا گزارش می‌شوند — و هرگز به‌عنوان آلودگی. پیش از نسخه‌ی 1.0.11، نسخه‌ی قدیمی iOS به اشتباه آلوده گزارش می‌شد؛ این مشکل برطرف شده است.
هیچ تهدیدی پیدا نشد
هیچ‌یک از ردپاهایی که برنامه می‌شناسد پیدا نشد. این به معنای تضمین پاک بودن گوشی نیست — بخش «آنچه هیچ ابزاری نمی‌تواند قول بدهد» را در پایین ببینید.
برنامه با چه چیزی مقایسه می‌کند
برنامه همراه با یک فهرست داخلی از نام فرایندهای جاسوس‌افزار، سرورها، نشانی‌های IP و برنامه‌های استاکرور ارائه می‌شود. علاوه بر آن، از نشانه‌های پروژه‌ی MVT استفاده می‌کند که Amnesty International، Citizen Lab و پژوهشگران دیگری که Pegasus، Predator و ابزارهای مشابه را بررسی می‌کنند منتشر کرده‌اند.
یک نام فقط زمانی به حساب می‌آید که به‌صورت یک نام کامل در لاگ آمده باشد. نام‌های کوتاه فرایندهای Pegasus مانند «bh» قبلاً با واژه‌هایی مثل «github» تطبیق داده می‌شدند؛ دیگر این‌طور نیست. نام‌هایی که فرایندهای عادی سیستم iOS هم هستند کنار گذاشته می‌شوند، چون پیدا کردن آن‌ها چیزی را ثابت نمی‌کند.
چرا فهرست نشانه‌ها قابل دستکاری نیست
- 1. سرور ما هر شب از روی فهرست نشانه‌های MVT یک بسته می‌سازد.
- 2. این بسته را با یک کلید خصوصی Ed25519 امضا می‌کند که فقط روی سرور وجود دارد.
- 3. برنامه امضا را با کلید عمومی‌ای که در خودش تعبیه شده بررسی می‌کند و فقط در صورت تطابق از بسته استفاده می‌کند. اگر تطابق نداشته باشد، آخرین مجموعه‌ای را که تطابق داشته نگه می‌دارد.
بنابراین یک بسته‌ی جعلی — چه از یک شبکه‌ی آلوده و چه از هر کس دیگری — نمی‌تواند نشانه‌ای اضافه یا حذف کند. یافته‌ها هم هرگز در یک فهرست مشترک بارگذاری نمی‌شوند: گزارش‌های تأییدنشده‌ی کاربران همان راهی است که فهرست‌های تهدید با آن مسموم می‌شوند.
آنچه از کامپیوتر شما خارج می‌شود
همه‌ی ارتباط‌هایی که برنامه می‌تواند برقرار کند، برگرفته از کد خود برنامه. اگر ترافیک آن را زیر نظر بگیرید (بخش «خودتان ما را بررسی کنید» را در پایین ببینید)، باید بتوانید تک‌تک موارد این فهرست را تطبیق دهید.
هر زمان که برنامه آنلاین باشد
بررسی لایسنس و موجودی
harisshield.com
کلید لایسنس شما و یک شناسه‌ی کامپیوتر — یک هش کوتاه که از نام کامپیوتر، نام کاربری، پردازنده، معماری و میزان حافظه ساخته می‌شود. پاسخ، یک گواهی موجودی است که سرور ما امضا کرده و به برنامه اجازه می‌دهد تا ۱۴ روز به‌صورت آفلاین به اسکن ادامه دهد.
شمارش اسکن پس از هر اسکن
harisshield.com
کلید لایسنس، شناسه‌ی کامپیوتر، iOS یا Android، تعداد یافته‌ها، یک شناسه‌ی تصادفی اسکن و زمان. اسکن‌ها به این ترتیب از موجودی شما کم می‌شوند. نه اینکه چه چیزی پیدا شده و نه هیچ چیزی از گوشی. اگر اتصال نباشد، گزارش منتظر می‌ماند و بعداً فرستاده می‌شود.
بسته‌ی امضاشده‌ی نشانه‌ها
harisshield.com
دانلود جدیدترین نشانه‌های جاسوس‌افزار (بالا را ببینید). هیچ چیزی درباره‌ی شما یا گوشی‌تان همراه آن فرستاده نمی‌شود.
بررسی به‌روزرسانی‌ها
harisshield.com
وقتی کلید لایسنس فعال باشد، برنامه هنگام اجرا و هر چهار ساعت یک بار به‌روزرسانی‌ها را بررسی می‌کند و نسخه‌های جدید را دانلود می‌کند و کلید لایسنس را می‌فرستد تا سرور فایل را در اختیارش بگذارد.
اتصال یک کامپیوتر به لایسنس شما
harisshield.com
وقتی یک کامپیوتر جدید را متصل می‌کنید: شناسه و نام کامپیوتر، تا ایمیل تأیید بتواند به شما بگوید کدام کامپیوتر درخواست داده است.
فقط وقتی از یک قابلیت استفاده می‌کنید
بررسی اصالت قطعات (بخشی از اسکن کامل iPhone)
checkcoverage.apple.com, support-sp.apple.com
شماره‌ی سریال iPhone، برای استعلام مدل و وضعیت گارانتی از Apple.
بررسی گواهی‌ها در طول اسکن Android
سرورهایی که گوشی Android با آن‌ها ارتباط دارد
برنامه از کامپیوتر شما دست‌دهی‌های (handshake) کوتاه TLS با برخی از سرورهای عمومی‌ای برقرار می‌کند که گوشی با آن‌ها اتصال HTTPS باز دارد (حداکثر ۱۸ دست‌دهی در هر اسکن)، تا گواهی‌هایشان را بررسی کند. این سرورها نشانی IP کامپیوتر شما را می‌بینند. در یک ابزار پایش شبکه، این ارتباط به‌صورت فرایند openssl نمایش داده می‌شود.
پایش زنده‌ی شبکه
ipinfo.io
نشانی‌های IP که گوشی شما در مدت اجرای پایش به آن‌ها وصل می‌شود — نشانی سرورها، نه نشانی شما — تا کشور و مالک آن‌ها نمایش داده شود. اگر توکن ipinfo شخصی خود را وارد کرده باشید، آن هم فرستاده می‌شود.
بررسی نشت اطلاعات
haveibeenpwned.com
نشانی ایمیلی که وارد می‌کنید. این بررسی به کلید API شخصی شما برای Have I Been Pwned نیاز دارد؛ بدون آن، درخواست باز هم فرستاده می‌شود اما نتیجه‌ای برنمی‌گرداند.
گزارش خطا — خاموش، مگر اینکه گزینه را علامت بزنید
harisshield.com
فقط از یک فهرست ثابت از فیلدها: نسخه‌ی برنامه، سیستم‌عامل، معماری، مرحله‌ای که شکست خورده، نوع و کد خطا، نام تابع، iOS یا Android، و یک هش ۸ نویسه‌ای از کلید لایسنس. هرگز پیام‌های خطا، مسیر فایل‌ها، مشخصات گوشی، یافته‌ها، کلید لایسنس یا ایمیل شما.
فقط کلیدهای لایسنس قدیمی‌تر
api.lemonsqueezy.com
کلیدهایی که با HRS- شروع نمی‌شوند از طریق Lemon Squeezy فروخته شده‌اند و همان‌جا، با کلید و شناسه‌ی کامپیوتر، فعال و بررسی می‌شوند.
پس از فعال‌سازی‌های ناموفق مکرر
harisshield.com
شناسه‌ی کامپیوتر و تعداد تلاش‌های ناموفق، تا نتوان کلید را به روش آزمون و خطا (brute force) حدس زد.
هرگز فرستاده نمی‌شود
- پیام‌ها، عکس‌ها، مخاطبان، سوابق تماس یا ایمیل
- فهرست برنامه‌های روی گوشی
- گزارش‌های خرابی یا sysdiagnose شما
- آنچه اسکن پیدا کرده، یا خود گزارش اسکن
نتایج و گزارش‌های اسکن در پوشه‌ی برنامه روی کامپیوتر شما می‌مانند تا وقتی که آن‌ها را حذف کنید یا خودتان تصمیم بگیرید یک PDF را به اشتراک بگذارید.
حالت آفلاین و آنچه شامل آن نمی‌شود
حالت آفلاین در تنظیمات برنامه، دانلود نشانه‌ها، استعلام نشانی‌های IP در پایش شبکه و بررسی نشت اطلاعات را متوقف می‌کند. اما بررسی لایسنس و موجودی، بررسی به‌روزرسانی‌ها، استعلام شماره‌ی سریال و بررسی گواهی‌ها در Android را متوقف نمی‌کند.
برای اسکنی بدون هیچ اتصالی، اتصال کامپیوتر به اینترنت را قطع کنید. برنامه پس از اینکه یک بار آنلاین شده باشد، تا ۱۴ روز بر پایه‌ی آخرین گواهی امضاشده‌ی موجودی و با نشانه‌هایی که از قبل دارد به اسکن ادامه می‌دهد. شمار اسکن‌ها وقتی دوباره وصل شوید فرستاده می‌شود.
آنچه هیچ ابزاری نمی‌تواند قول بدهد
هیچ ابزاری نمی‌تواند پاک بودن گوشی را ثابت کند
Haris Shield ردپاهایی را پیدا می‌کند که شناخته‌شده‌اند. پروژه‌ی MVT هم درباره‌ی ابزار خودش همین را می‌گوید: نشانه‌های عمومی برای اعلام پاک بودن یک دستگاه کافی نیستند.
پیشرفته‌ترین جاسوس‌افزارها می‌توانند پنهان بمانند
ابزارهایی در سطح Pegasus طوری ساخته شده‌اند که کمترین ردپای ممکن را به جا بگذارند، و نسخه‌های جدیدشان پیش از آنکه کسی نشانه‌ای برایشان منتشر کند به کار گرفته می‌شوند. این ابزارها می‌توانند از این اسکن، و از هر اسکن دیگری، فرار کنند.
«هیچ تهدیدی پیدا نشد» به معنای «امن» نیست
یعنی هیچ‌یک از ردپاهای شناخته‌شده پیدا نشد. اگر وضعیت شما واقعاً شما را در معرض خطر قرار می‌دهد، صرف‌نظر از نتیجه‌ی ما، از متخصصانی که در پایین فهرست شده‌اند نظر دوم بگیرید.
وضعیت امروز ما
برخی چیزها هنوز تمام نشده‌اند. باید بدانید کدام‌ها.
هنوز توسط Apple تأیید (notarise) نشده است
به همین دلیل macOS می‌گوید توسعه‌دهنده قابل تأیید نیست و بار اول باید Open Anyway را انتخاب کنید. امضای Apple Developer ID و فرایند تأیید اپل در حال راه‌اندازی است.
هنوز برای Windows امضای کد ندارد
به همین دلیل Windows پیام «Windows protected your PC» را نشان می‌دهد. امضای کد در حال راه‌اندازی است. تا وقتی هر دو آماده نشده‌اند، سیستم‌عامل نمی‌تواند تأیید کند که یک فایل از طرف ما آمده است — اما چک‌سام‌های زیر می‌توانند.
نسخه‌ها
نسخه‌ی Mac فقط روی Apple Silicon و نسخه‌ی Linux فقط روی x86-64 اجرا می‌شود. صفحه‌ی دانلود را ببینید.
خودتان ما را بررسی کنید
یک ابزار امنیتی اعتماد زیادی می‌طلبد. این‌ها راه‌های واقعی و مستقلی هستند برای بررسی اینکه Haris Shield همان کاری را می‌کند که این صفحه می‌گوید — و برای اینکه گوشی‌تان را با کسی غیر از ما هم بررسی کنید.
۱. نصب‌کننده را بررسی کنید
آن را در VirusTotal بارگذاری کنید. فایلی را که دانلود کرده‌اید در virustotal.com رها کنید تا حدود ۷۰ موتور آنتی‌ویروس آن را اسکن کنند. بخوانید کدام موتورها چیزی را علامت زده‌اند و آن را چه نامیده‌اند، نه فقط تعدادشان را.
چک‌سام SHA-512 را مقایسه کنید. اگر چک‌سام فایل شما با چک‌سام زیر یکی باشد، دقیقاً همان فایلی است که ما منتشر کرده‌ایم. این‌ها همان مقادیری هستند که به‌روزرسان برنامه بررسی می‌کند.
نسخه‌ی 1.0.13:
macOS · Haris Shield-1.0.13-arm64.dmg
128 مگابایت
4fe86b6fddb00fe3292be6dcb5facba1c18fc325e3a794005c083b01453593f4a92cf6e7531e3e2bf35e60fa5108f9ed7b5cb2422a3655741ca0043bf7c889e9
Windows · Haris Shield Setup 1.0.13.exe
110 مگابایت
8108d8091be32424877d796e99ac522a3ce7cf0599b6bb5d87ef175630ee811ee3d4921ea00ddad6b93fbf73bb064cdffc414fca9c4df310493b9e391e0278c1
Linux · Haris Shield-1.0.13.AppImage
124 مگابایت
2072f0f85bf1a9a013e9dbbced8b3184d6050fe86963808a831fa6f43e656ae1d29026f78ca2a9186eddad5ecf9d6ffc744b571ea576fa83db2ffc8666e51b7c
Linux · phoneguard_1.0.13_amd64.deb
98 مگابایت
e5e344a628c9e47ca6204c6493d05763eefff336c679675c9800646f7ba699edab9548d7fb7089c83983d3c1e9673f25d07ce9462391a547516767acdb7ab3cf
Mac (Terminal)
shasum -a 512 <نام فایل>
Linux (ترمینال)
sha512sum <نام فایل>
Windows (PowerShell)
Get-FileHash -Algorithm SHA512 <نام فایل>
هنگام مقایسه، بزرگی یا کوچکی حروف اهمیتی ندارد.
۲. ترافیک شبکه‌ی برنامه را زیر نظر بگیرید
هنگام اسکن یکی از این ابزارها را اجرا کنید. باید ببینید که Haris Shield با harisshield.com ارتباط دارد و فقط وقتی از آن قابلیت‌ها استفاده می‌کنید، با سرویس‌های فهرست بالا. اتصال به خود گوشی از طریق USB انجام می‌شود و به‌عنوان ترافیک اینترنت نمایش داده نمی‌شود.
Mac
- LuLu
رایگان و متن‌باز، از Objective-See. پیش از آنکه هر برنامه‌ای اتصال خروجی جدیدی برقرار کند از شما می‌پرسد و نشان می‌دهد که به کجا می‌رود.
- Little Snitch
پولی، از Objective Development. همه‌ی اتصال‌ها را به تفکیک برنامه، به‌صورت زنده و روی نقشه نشان می‌دهد.
Windows
- TCPView
رایگان، از Microsoft Sysinternals. همه‌ی اتصال‌های باز را همراه با فرایندی که مالک آن‌هاست فهرست می‌کند.
- GlassWire
نسخه‌ی رایگان دارد. نشان می‌دهد هر برنامه به کدام میزبان‌ها وصل می‌شود.
- Windows Defender Firewall
داخلی و همراه سیستم‌عامل. اگر می‌خواهید مطمئن شوید که اسکن بدون شبکه هم کار می‌کند، دسترسی Haris Shield را به‌طور کامل مسدود کنید.
Linux
- OpenSnitch
رایگان و متن‌باز. مانند LuLu، برای اتصال‌های خروجی هر برنامه از شما اجازه می‌گیرد.
۳. برای گوشی‌تان نظر دوم بگیرید
هیچ‌یک از این‌ها با ما ارتباطی ندارند. اگر روزنامه‌نگار، فعال یا هر کس دیگری هستید که ممکن است هدف قرار بگیرد، مستقیماً با خطوط کمک تماس بگیرید — آن‌ها هر روز همین کار را انجام می‌دهند.
- Mobile Verification Toolkit (MVT)
Amnesty International Security Lab
ابزار فارنزیک رایگان و متن‌باز برای iPhone و Android که در جریان پروژه‌ی Pegasus ساخته شد. از خط فرمان اجرا می‌شود و برای متخصصان فنی و پژوهشگران در نظر گرفته شده، نه برای یک بررسی سریع توسط خود کاربر. Haris Shield از همان نشانه‌های عمومی استفاده می‌کند.
- iVerify Basic
iVerify
برنامه‌ای برای iPhone و Android از یک شرکت مستقل امنیت موبایل. این برنامه از روی خود گوشی، نشانه‌های جاسوس‌افزارهای از نوع Pegasus را بررسی می‌کند — یک دید دوم مفید از زاویه‌ای متفاوت.
- خط کمک امنیت دیجیتال (Digital Security Helpline)
Access Now
کمک رایگان در تمام ساعات شبانه‌روز و به چند زبان، برای روزنامه‌نگاران، فعالان، مدافعان حقوق بشر و گروه‌های جامعه‌ی مدنی که فکر می‌کنند هدف قرار گرفته‌اند.
- Security Lab — دریافت کمک
Amnesty International
پشتیبانی از روزنامه‌نگاران، فعالان و سازمان‌های جامعه‌ی مدنی که در معرض حملات دیجیتال هدفمند مانند Pegasus هستند.
- ائتلاف علیه استاکرور (Coalition Against Stalkerware)
stopstalkerware.org
فهرستی از خطوط کمک و سازمان‌های حمایتی به تفکیک کشور، برای کسانی که نگرانند شریک زندگی یا یکی از نزدیکانشان گوشی آن‌ها را زیر نظر دارد. این فهرست را از دستگاهی ببینید که آن شخص هرگز به آن دسترسی نداشته است.
در این صفحه چیزی پیدا کرده‌اید که با کار برنامه مطابقت ندارد؟ به ما در support@harisshield.com خبر دهید. همچنین سیاست حریم خصوصی ما را ببینید.