کوتاه بود و جالب توجه، «همکاری جوان سمنانی با مایکروسافت». خبری که هفته گذشته در چند نوبت از اخبار سراسری تلویزیون ایران پخش شد. برای پیگیری این خبر به سراغ آرمان نیری میرویم تا ماجرا را از زبان خودش بشنویم. پیدا کردن آرمان زیاد سخت نیست، اما حرف کشیدن از او مشکل است!
+ خودت را کمی معرفی کن.
- آرمان نیری هستم، ۱۹ سال سن دارم. یکی از فعالیتهایم در ماههای اخیر پیدا کردن حفرههای امنیتی در نرمافزارهای مختلف بوده است. تا به حال هم ۸ حفره در برنامههای مختلفی که اکثرا مربوط به شرکت مایکروسافت است پیدا کردهام.
+ ۸ حفره را فقط در محصولات مایکروسافت پیدا کردی؟ چون وقتی اسمت را در گوگل جستجو میکردم مطالبی در مورد وجود حفره در برنامههای دیگری مثل Acrobat هم بود. توضیح میدهی در مورد هر کدام از این حفرهها.
- حفرههایی که پیدا کردم همه از مایکروسافت نبود البته. اولین حفرهای که پیدا کردم و مدت زیادی - حدود یک ماه - هم وقت من را گرفت، در برنامه Internet Explorer شرکت مایکروسافت بود و مهمترین حفرهای بود که پیدا کردم. این حفره باعث میشود که یک هکر بتواند از آن استفاده کند و وقتی کاربر از یک سایت بازدید میکند، کدی را که هکر میخواهد روی کامپیوتر کاربر ایجاد کند و بدون اینکه کاربر دخالتی داشته باشد آن کد اجرا میشود.
بعدی مربوط به برنامه Adobe acrobat reader بود که در آن هم یک حالت freeze شدن کامپیوتر بوجود میآید و وقتی فایل pdf را باز میکنید کامپیوتر freeze میشود و باید معمولا آنرا restart کنید.
بعدی در برنامه Real Player بود. بخاطر حفره آن برنامه هم وقتی کاربر داخل یک سایتی میرود بوسیله آن یک فایلی اجرا میشود و باعث میشود اسکریپتی را که هکر نوشته است روی کامپیوتر کاربر اجرا شود. و در نهایت هکر میتواند کامپیوتر کاربر را در اختیار بگیرد.
یک حفره هم در برنامه Outlook پیدا کردم. این حفره باعث میشود وقتی یک نفر برای شما ایمیلی میفرستد و شما آنرا باز میکنید، کامپیوتر شما freeze شود و قفل شود و شما هر بار که Outlook را باز میکنید دوباره close میشود.
بقیه هم بیشتر به IE مربوط است که در امکانات مختلف آن حفرههای گوناگونی وجود دارد.
+ اصلا هدفت از پیدا کردن این حفرهها چیست؟ بعد از اینکه حفرهها را پیدا کردی، چکار میکنی؟
- علاقه شخصی خودم است، یعنی دوست دارم بگردم و داخل یک برنامه یک اشکالی پیدا کنم!
اوایل که یک حفره پیدا میکردم، میرفتم و داخل اینترنت با استفاده از mailing listها خبرش را پخش میکردم. داخل چند تا از mailing listهای معروف میرفتم و یک post میزدم و خبر پخش میشد که در فلان برنامه این حفره وجود دارد. اما الان اول به شرکت سازنده برنامه خبر میدهم که شرکت patch هایی را برای آن در نظر بگیرد و بعد از اینکه برنامه ترمیمی را بیرون داد آنوقت خبر را بصورت عمومی بخش میکنم.
+ خب، حالا توضیح میدهی که آن خبر «همکاری جوان سمنانی با مایکروسافت» که از تلویزیون پخش شد جریانش چه بود؟
- همانطور که گفتم حفرههای اولی را که من پیدا میکردم به شرکت سازنده اطلاع نمیدادم. قضیه به این صورت بود که اولین حفرهای که من در IE پیدا کردم به مایکروسافت اطلاع ندادم و خبر را پخش کردم. این باعث شد که مایکروسافت به من ایمیل بزند و از من درخواست کردند از این به بعد حفرههایی را که پیدا میکنم اول به مایکروسافت اطلاع دهم تا قبل از اینکه کاربران در معرض خطر قرار بگیرند آنها یک patchی مربوط به برنامه بیرون بدهند. و به اینصورت با آنها همکاری کنم.
+ خب، حالا در ازای این آنها چه چیزی را به تو میدهند؟ چه خدماتی به تو ارائه میدهند؟ چه فایدهای برای تو دارد که بخواهی قضیه را زودتر به آنها خبر بدهی؟
- البته قضیه بیشتر جنبه اخلاقی دارد.
+ یعنی مایکروسافت بخاطر مسائل اخلاقی توقع دارد که تو اینکار را بکنی؟ هیچ پیشنهاد مالی یا خدماتی خاصی ندارد در ازای کاری که برایشان انجام میدهی؟
- نه، به اینصورت نیست. مایکروسافت اینطور عمل نمیکند. قبل از من کسان دیگری از کشورهای دیگر اینکارها را انجام دادهاند، اما مایکروسافت نیامده آنها را مثلا استخدام کند که برایش حفره پیدا کنند. ولی مثلا اگر اطلاعاتی در مورد برنامههای مایکروسافت بخواهم میتوانم آن اطلاعات را از آنها بگیرم. مثلا وقتی خبر پیدا کردن حفره را به آنها میدهم، یک اطلاعاتی را از آنها درخواست میکنم تا برنامهنویسانی که آنجا هستند به من جواب بدهند. یعنی اطلاعاتی که هیچجا نمیشود پیدا کرد را از آنها میگیرم.
+ خب، حالا پیدا کردن حفره مثلا در IE کار خیلی مشکلی است؟ یعنی کاری را که تو انجام دادی کار بیسابقهای بوده؟ یا یک کار عادی و متداول که ممکن است بارها اتفاق بیفتد.
- حفرههایی که در IE پیدا میشوند اینروزها زیاد شدهاند. چون مایکروسافت هم هنوز پوشش نداده است. اما هنوز بصورتی نیست که خیلی متداول و پشتسر هم باشد. مثلا معمولا بطور متوسط هر یکماه یک حفره در IE پیدا میشود.
+ این خبرهایی که این روزها شنیده میشود که میگویند باید IE را کنار گذاشت و دوران IE تمام شده، بیشتر بخاطر حفرههای زیادی است که در این مدت در IE پیدا شده است. چقدر از این حفرهها، همان حفرههایی است که تو پیدا کردی و کار تو چقدر تاثیر داشته است؟
- حفرههایی که من پیدا کردم هم بودند. ۲-۳ حفره من در IE پیدا کردم که باعث میشد برخی مشکلات در IE برای کاربران بوجود بیاید. یک چینی به نام نیو داییو هم بود که در عرض دو هفته ۹ حفره در IE پیدا کرد. و چند نفر دیگر هم بودند که معمولا هر چند وقت یکبار در IE حفره پیدا میکنند. همه اینها باعث شده که الان IE یک مرورگر نامطمئن و از لحاظ security در سطح پایین برای کاربران باشد.
+ حفرههایی که تو پیدا کردی مربوط به چه زمانی است؟ چند وقت پیش موفق به اینکار شدی؟
- اولین حفرهای را که پیدا کردم در ماه آذر بود. بعدیها هم هر چند هفته یکبار بعد از اولی. یک مدتی اینکار را میکردم و البته بعدا دیگر ادامه ندادم و اینروزها بیشتر در زمینه برنامهنویسی کار میکنم و کمتر فرصتی برای اینکار دارم. الان چند تا هم هست که به مایکروسافت گزارش دادهام و بعدا خبرش را پخش میکنم.
+ پس خبر مربوط به چند ماه پیش است. چطور خبر الان و بعد از چند ماه در این سطح پخش میشود؟
- نمیدانم!
+ خب! اصلا چطور شد که این خبر پخش شد و در تلویزیون هم مطرح شد. فکر کنم یک هفته قبل از آن خبر از طریق ایرنا پخش شده بود که یک ایرانی در IE چند حفره پیدا کرده است.
- بله. یکی از خبرنگاران ایرنا چون در اینترنت با چند هکر گفتگو و رابطه داشت از آنها شنیده بود که من اولین ایرانی هستم که اینکار را کردهام. اینطوری شد که به سراغ من آمدند، بعد از آن هم تلویزیون به سراغم آمد و این خبر را پخش کرد. در واقع من اولین ایرانی بودم که در IE حفره پیدا کردم. البته بعد از من چند نفر دیگر هم اینکار را انجام دادهاند
+ الان داری چکار میکنی؟
- الان دارم در برنامهنویسی مطالعه میکنم. یک طرحی را دارم پیگیری میکنم که ابتکاری است و اگر موفق شود و جواب دهد ممکن است خیلی سر و صدا کند و فکر کنم چیز جالبی بشود.
الان الگوریتم آن را نوشتهام و روی این طرح کار میکنم که در مورد AntiVirusها است.
( آرمان جزئیات طرحش را شرح میدهد، خیلی هیجانانگیز به نظر میرسد! اما از ما میخواهد که در مورد جزئیات طرح جدیدش تا زمانی که به نتیجه نرسیده چیزی ننویسیم.)
+ یک کمی بیشتر در مورد خودت و نحوه کارت توضیح بده.
- برای حفره پیدا کردن که زمینه تخصصی خاصی وجود ندارد. اطلاعات کلی کامپیوتر میخواهد و پشتکار. مثلا من اولین حفرهای را که پیدا کردم حدود ۴۰۰ بار حالتهای محتلف را امتحان کردم تا موفق شدم.
خودم هم در دبیرستان در رشته ریاضی فیزیک تحصیل میکردم که البته درسم را رها کردم و تا سوم دبیرستان بیشتر درس نخواندم و بعد درس را کنار گذاشتم! تصمیم گرفتم بروم و چیزی را که میخواهم خودم یاد بگیرم. اولش هم رفتم و مدرکهای مایکروسافت را گرفتم. دیدم اینطوری بیشتر به صرفه هم هست.
در واقع فکر میکردم وقت تلف کردن است که حالا دیپلم بگیرم و چند سال هم بروم دانشگاه و ... . فکر کردم چیزی را که میخواهم، خودم یاد بگیرم. اینطوری هم میتوانم کار و در آمد خوبی داشته باشم، هم یکسری مدرک بینالمللی داشته باشم که همه جا معتبر است و هم زودتر یاد بگیرم.
+ جالب است! صحبت خاص دیگری هم که نداری؟
- نه!
