کوتاه بود و جالب توجه، «همکاری جوان سمنانی با مايکروسافت». خبری که هفته گذشته در چند نوبت از اخبار سراسری تلويزيون ايران پخش شد. براي پيگيری اين خبر به سراغ آرمان نيّری می‌رويم تا ماجرا را از زبان خودش بشنويم. پيدا کردن آرمان زياد سخت نيست، اما حرف کشيدن از او مشکل است!

+ خودت را کمی معرفی کن.

- آرمان نيّری هستم، ۱۹ سال سن دارم. يکي از فعاليت‌هايم در ماه‌های اخير پيدا کردن حفره‌های امنيتی در نرم‌افزارهای مختلف بوده است. تا به ‌حال هم ۸ حفره در برنامه‌های مختلفی که اکثرا مربوط به شرکت مايکروسافت است پيدا کرده‌ام.

+ ۸ حفره را فقط در محصولات مايکروسافت پيدا کردی؟ چون وقتی اسمت را در گوگل جستجو می‌کردم مطالبی در مورد وجود حفره در برنامه‌هاي ديگري مثل Acrobat هم بود. توضيح می‌دهی در مورد هر کدام از اين حفره‌ها.

- حفره‌هايی که پيدا کردم همه از مايکروسافت نبود البته. اولين حفره‌ای که پيدا کردم و مدت زيادی - حدود يک ماه - هم وقت من را گرفت، در برنامه Internet Explorer شرکت مايکروسافت بود و مهمترين حفره‌ای بود که پيدا کردم. اين حفره باعث می‌شود که يک هکر بتواند از آن استفاده کند و وقتی کاربر از يک سايت بازديد می‌کند، کدی را که هکر می‌خواهد روي کامپيوتر کاربر ايجاد کند و بدون اينکه کاربر دخالتی داشته باشد آن کد اجرا می‌شود.
بعدی مربوط به برنامه Adobe acrobat reader بود که در آن هم يک حالت freeze شدن کامپيوتر بوجود می‌آيد و وقتی فايل pdf را باز می‌کنيد کامپيوتر freeze می‌شود و بايد معمولا آنرا restart کنيد.
بعدی در برنامه Real Player بود. بخاطر حفره آن برنامه هم وقتی کاربر داخل يک سايتی می‌رود بوسيله آن يک فايلي اجرا می‌شود و باعث می‌شود اسکريپتی را که هکر نوشته است روی کامپيوتر کاربر اجرا شود. و در نهايت هکر می‌تواند کامپيوتر کاربر را در اختيار بگيرد.
يک حفره هم در برنامه Outlook پيدا کردم. اين حفره باعث می‌شود وقتی يک نفر برای شما ايميلی می‌فرستد و شما آنرا باز می‌کنيد، کامپيوتر شما freeze شود و قفل شود و شما هر بار که Outlook را باز می‌کنيد دوباره close می‌شود.
بقيه هم بيشتر به IE مربوط است که در امکانات مختلف آن حفره‌های گوناگونی وجود دارد.

+ اصلا هدفت از پيدا کردن اين حفره‌ها چيست؟ بعد از اين‌که حفره‌ها را پيدا کردی، چکار می‌کنی؟

- علاقه شخصی خودم است، يعنی دوست دارم بگردم و داخل يک برنامه يک اشکالی پيدا کنم!
اوايل‌ که يک حفره پيدا می‌کردم، می‌رفتم و داخل اينترنت با استفاده از mailing listها خبرش را پخش می‌کردم. داخل چند تا از mailing listهای معروف می‌رفتم و يک post می‌زدم و خبر پخش می‌شد که در فلان برنامه اين حفره وجود دارد. اما الان اول به شرکت سازنده برنامه خبر می‌دهم که شرکت patch هايی را برای آن در نظر بگيرد و بعد از اينکه برنامه ترميمی را بيرون داد آن‌وقت خبر را بصورت عمومی بخش می‌کنم.

+ خب، حالا توضيح می‌دهی که آن خبر «همکاری جوان سمنانی با مايکروسافت» که از تلويزيون پخش شد جريانش چه بود؟

- همانطور که گفتم حفره‌های اولی را که من پيدا می‌کردم به شرکت سازنده اطلاع نمی‌دادم. قضيه به اين صورت بود که اولين حفره‌ای که من در IE پيدا کردم به مايکروسافت اطلاع ندادم و خبر را پخش کردم. اين باعث شد که مايکروسافت به من ايميل بزند و از من درخواست کردند از اين به بعد حفره‌هايی را که پيدا می‌کنم اول به مايکروسافت اطلاع دهم تا قبل از اينکه کاربران در معرض خطر قرار بگيرند آنها يک patchی مربوط به برنامه بيرون بدهند. و به اين‌صورت با آن‌ها همکاری کنم.

+ خب، حالا در ازاي اين آن‌ها چه چيزي را به تو می‌دهند؟ چه خدماتی به تو ارائه مي‌دهند؟ چه فايده‌ای برای تو دارد که بخواهی قضيه را زودتر به آنها خبر بدهی؟

- البته قضيه بيشتر جنبه اخلاقی دارد.

+ يعنی مايکروسافت بخاطر مسائل اخلاقی توقع دارد که تو اين‌کار را بکنی؟ هيچ پيشنهاد مالی يا خدماتی خاصی ندارد در ازای کاری که برای‌شان انجام می‌دهی؟

- نه، به اين‌صورت نيست. مايکروسافت اين‌طور عمل نمی‌کند. قبل از من کسان ديگري از کشورهای ديگر اين‌کارها را انجام داده‌اند، اما مايکروسافت نيامده آنها را مثلا استخدام کند که برايش حفره پيدا کنند. ولی مثلا اگر اطلاعاتی در مورد برنامه‌های مايکروسافت بخواهم می‌توانم آن اطلاعات را از آنها بگيرم. مثلا وقتی خبر پيدا کردن حفره را به آنها می‌دهم، يک اطلاعاتی را از آنها درخواست می‌کنم تا برنامه‌نويسانی که آنجا هستند به من جواب بدهند. يعني اطلاعاتی که هيچ‌جا نمی‌شود پيدا کرد را از آنها می‌گيرم.

+ خب، حالا پيدا کردن حفره مثلا در IE کار خيلی مشکلی است؟ يعنی کاری را که تو انجام دادی کار بی‌سابقه‌ای بوده؟ يا يک کار عادی و متداول که ممکن است بارها اتفاق بيفتد.

- حفره‌هايی که در IE پيدا می‌شوند اين‌روزها زياد شده‌اند. چون مايکروسافت هم هنوز پوشش نداده است. اما هنوز بصورتی نيست که خيلی متداول و پشت‌سر هم باشد. مثلا معمولا بطور متوسط هر يک‌ماه يک حفره در IE پيدا می‌شود.

+ اين خبرهايی که اين روزها شنيده مي‌شود که می‌گويند بايد IE را کنار گذاشت و دوران IE تمام شده، بيشتر بخاطر حفره‌های زيادی است که در اين مدت در IE پيدا شده است. چقدر از اين حفره‌ها، همان حفره‌هايی است که تو پيدا کردی و کار تو چقدر تاثير داشته است؟

- حفره‌هايی که من پيدا کردم هم بودند. ۲-۳ حفره‌ من در IE پيدا کردم که باعث می‌شد برخی مشکلات در IE برای کاربران بوجود بيايد. يک چينی به نام نيو دای‌يو هم بود که در عرض دو هفته ۹ حفره در IE پيدا کرد. و چند نفر ديگر هم بودند که معمولا هر چند وقت يک‌بار در IE حفره پيدا می‌کنند. همه اين‌ها باعث شده که الان IE يک مرورگر نامطمئن و از لحاظ security در سطح پايين برای کاربران باشد.

+ حفره‌هايی که تو پيدا کردی مربوط به چه زمانی است؟ چند وقت پيش موفق به اين‌کار شدی؟
- اولين حفره‌ای را که پيدا کردم در ماه آذر بود. بعدی‌ها هم هر چند هفته يک‌بار بعد از اولی. يک مدتی اين‌کار را می‌کردم و البته بعدا ديگر ادامه ندادم و اين‌روزها بيشتر در زمينه برنامه‌نويسی کار می‌کنم و کمتر فرصتی برای اين‌کار دارم. الان چند تا هم هست که به مايکروسافت گزارش داده‌ام و بعدا خبرش را پخش می‌کنم.

+ پس خبر مربوط به چند ماه پيش است. چطور خبر الان و بعد از چند ماه در اين سطح پخش می‌شود؟
- نمی‌دانم!

+ خب! اصلا چطور شد که اين خبر پخش شد و در تلويزيون هم مطرح شد. فکر کنم يک هفته قبل از آن خبر از طريق ايرنا پخش شده بود که يک ايرانی در IE چند حفره پيدا کرده است.
- بله. يکی از خبرنگاران ايرنا چون در اينترنت با چند هکر گفتگو و رابطه داشت از آنها شنيده بود که من اولين ايرانی هستم که اين‌کار را کرده‌ام. اينطوری شد که به سراغ من آمدند، بعد از آن هم تلويزيون به سراغم آمد و اين خبر را پخش کرد. در واقع من اولين ايرانی بودم که در IE حفره پيدا کردم. البته بعد از من چند نفر ديگر هم اين‌کار را انجام داده‌اند

+ الان داری چکار می‌کنی؟

- الان دارم در برنامه‌نويسی مطالعه می‌کنم. يک طرحی را دارم پيگيری مي‌کنم که ابتکاری است و اگر موفق شود و جواب دهد ممکن است خيلی سر و صدا کند و فکر کنم چيز جالبی بشود.
الان الگوريتم آن را نوشته‌ام و روی اين طرح کار می‌کنم که در مورد AntiVirusها است.
( آرمان جزئيات طرحش را شرح می‌دهد، خيلی هيجان‌انگيز به نظر می‌رسد! اما از ما می‌خواهد که در مورد جزئيات طرح جديدش تا زمانی که به نتيجه نرسيده چيزی ننويسيم.)

+ يک کمی بيشتر در مورد خودت و نحوه کارت توضيح بده.

- برای حفره پيدا کردن که زمينه تخصصی خاصي وجود ندارد. اطلاعات کلی کامپيوتر می‌خواهد و پشتکار. مثلا من اولين حفره‌ای را که پيدا کردم حدود ۴۰۰ بار حالت‌های محتلف را امتحان کردم تا موفق شدم.
خودم هم در دبيرستان در رشته رياضی فيزيک تحصيل می‌کردم که البته درسم را رها کردم و تا سوم دبيرستان بيشتر درس نخواندم و بعد درس را کنار گذاشتم! تصميم گرفتم بروم و چيزي را که مي‌خواهم خودم ياد بگيرم. اولش هم رفتم و مدرک‌های مايکروسافت را گرفتم. ديدم اينطوری بيشتر به صرفه هم هست.
در واقع فکر می‌کردم وقت تلف کردن است که حالا ديپلم بگيرم و چند سال هم بروم دانشگاه و ... . فکر کردم چيزی را که می‌خواهم، خودم ياد بگيرم. اينطوری هم می‌توانم کار و در آمد خوبی داشته باشم، هم يک‌سری مدرک بين‌المللی داشته باشم که همه جا معتبر است و هم زودتر ياد بگيرم.

+ جالب است! صحبت خاص ديگری هم که نداری؟

- نه!