راهنمای ایمنی دارک وب ۲۰۲۶ — OPSEC کامل

قبل از صحبت درباره دفاع، باید تهدیدات را بشناسید. در دارک وب چهار دسته اصلی تهدید وجود دارد:

• فیشینگ: کلون‌های جعلی از سایت‌های محبوب (ProtonMail، Hidden Wiki) که برای سرقت رمز عبور یا کریپتو ساخته شده‌اند. آدرس‌های .onion تفاوت کمی دارند اما هویت کاملاً متفاوت.
• بدافزار (Malware): فایل‌های مشکوک، exploit های JavaScript، و تروجان‌ها که می‌توانند Tor Browser را دور بزنند و IP واقعی شما را فاش کنند.
• De-anonymization: حملاتی که سعی می‌کنند با تحلیل ترافیک، timing، یا browser fingerprinting هویت شما را شناسایی کنند. این حملات معمولاً توسط نهادهای دولتی انجام می‌شوند.
• Honeypot ها: سایت‌های .onion که توسط FBI، NSA، یا سرویس‌های اطلاعاتی ایرانی اداره می‌شوند برای شناسایی کاربران. فروم‌های مشکوک، ابزارهای «رایگان»، یا سایت‌های هک — محتاط باشید.
• مهندسی اجتماعی: کاربران دیگری که ادعا می‌کنند دوست، همکار، یا فعال هستند اما در واقع عامل نهاد امنیتی هستند.

هر یک از این تهدیدات می‌تواند به طور کامل امنیت شما را از بین ببرد، حتی اگر از Tor Browser استفاده می‌کنید.

OPSEC بر پنج اصل پایه استوار است:

1. Compartmentalization (جداسازی): هویت آنلاین شما باید از هویت واقعی شما کاملاً جدا باشد. از ایمیل متفاوت، username متفاوت، حتی سبک نوشتاری متفاوت استفاده کنید. هرگز دو هویت را با هم مخلوط نکنید.
2. Minimum Information (حداقل اطلاعات): هرگز اطلاعاتی بیش از آنچه کاملاً لازم است فاش نکنید. حتی اگر با دوست «مورد اعتماد» در یک فروم چت می‌کنید، هیچ‌چیز شخصی را به اشتراک نگذارید.
3. Assume Compromise (فرض نفوذ): همیشه فرض کنید که هر فروم، هر سرویس، هر کاربر ممکن است نظارت شود. این فرض شما را محافظه‌کار نگه می‌دارد.
4. Verify Everything (همه چیز را تأیید کنید): هر آدرس .onion، هر فایل دانلود شده، هر ادعا — باید از چندین منبع مستقل تأیید شود. اعتماد کور = مرگ OPSEC.
5. Consistency (ثبات): OPSEC فقط زمانی کار می‌کند که همیشه اعمال شود. یک بار «فقط برای سرعت» اطلاعات شخصی را فاش کردن می‌تواند سال‌ها کار OPSEC را نابود کند.

سطح دفاع فنی شما باید متناسب با سطح تهدید شما باشد:

• Tor Browser استاندارد (سطح اول): برای کاربران معمولی که می‌خواهند اخبار بدون سانسور بخوانند. تنظیم امنیتی را روی «Safest» قرار دهید، جاوااسکریپت را غیرفعال کنید، از extensions اضافی اجتناب کنید.
• Tor Browser + VPN (سطح دوم): اضافه کردن VPN قبل از Tor یک لایه حفاظتی اضافه می‌کند. ISP شما نمی‌تواند ببیند که از Tor استفاده می‌کنید — فقط می‌بیند که به VPN متصل هستید. برای کاربران ایرانی ضروری است.
• Tails OS (سطح سوم): یک سیستم عامل لینوکس روی USB که تمام ترافیک را از طریق Tor می‌فرستد. هیچ چیزی روی هارد دیسک ذخیره نمی‌شود. پس از reboot، هیچ اثری باقی نمی‌ماند. توصیه برای روزنامه‌نگاران و فعالان.
• Whonix (سطح چهارم): دو ماشین مجازی — یکی Gateway (فقط Tor) و دیگری Workstation (برنامه‌های شما). حتی اگر Workstation آلوده شود، IP واقعی شما فاش نمی‌شود. مناسب برای کاربران با تهدیدات بالا.
• Qubes OS + Whonix (سطح پنجم): هر برنامه در یک VM جداگانه اجرا می‌شود. بالاترین سطح امنیت ممکن برای کاربران عادی. ادوارد اسنودن از این ترکیب استفاده می‌کند.

برای اکثر کاربران ایرانی، Tails OS بهترین تعادل بین امنیت و قابلیت استفاده است.

این اشتباهات را مرتکب نشوید — آن‌ها علت اصلی de-anonymization هستند:

• ورود به حساب‌های شخصی: هرگز به Gmail، Facebook، Instagram، یا هر حساب مرتبط با هویت واقعی از Tor وارد نشوید. حتی یک بار می‌تواند تمام فعالیت Tor شما را به هویت واقعی شما پیوند دهد.
• استفاده از همان username: اگر username شما در reddit «Ali_Tehran_1990» است، از آن در Tor استفاده نکنید. از چیزی کاملاً متفاوت استفاده کنید.
• اشتراک‌گذاری عکس: عکس‌ها metadata EXIF دارند (موقعیت GPS، مدل دوربین، زمان). قبل از اشتراک‌گذاری، metadata را با MAT2 یا ExifTool پاک کنید.
• پرداخت با کریپتو ردیابی‌شونده: Bitcoin روی blockchain عمومی است. اگر از صرافی KYC کریپتو خریدید، آن کریپتو به هویت شما مرتبط است. از Monero استفاده کنید یا Bitcoin را از طریق mixer/coinjoin عبور دهید.
• استفاده از فارسی در پروفایل‌ها: اگر هویت جعلی شما «Alex from London» است، اما به فارسی می‌نویسید، هویت شما لو رفته است.
• Timing patterns: اگر همیشه بین ساعت ۱۰ شب تا ۲ بامداد وقت تهران فعال هستید، این الگو می‌تواند شما را به ایران پیوند دهد.
• افشای کسب‌وکار واقعی: «من در یک شرکت نرم‌افزاری کار می‌کنم» + «در تهران زندگی می‌کنم» = لیست بسیار محدود شرکت‌ها = هویت تقریباً شناسایی شده.

فیشینگ یکی از خطرناک‌ترین تهدیدات در دارک وب است. یک آدرس .onion جعلی می‌تواند درست مثل آدرس واقعی به نظر برسد. این روش‌ها را رعایت کنید:

1. هرگز آدرس را از فروم‌های تصادفی کپی نکنید: همیشه از منبع رسمی سایت استفاده کنید. برای ProtonMail، به protonmail.com (روی Tor) بروید و از آنجا لینک .onion را بگیرید.
2. کل آدرس ۵۶ کاراکتری را بررسی کنید: آدرس‌های .onion نسخه ۳ همه ۵۶ کاراکتر دارند. چند کاراکتر اول و آخر را مقایسه کنید — مهاجمان سعی می‌کنند آدرس‌های مشابه بسازند.
3. Onion Service Authentication استفاده کنید: برخی سایت‌های .onion از احراز هویت client استفاده می‌کنند. این مانع بازدید افراد غیرمجاز می‌شود و تأیید می‌کند که سایت واقعی است.
4. HTTPS روی .onion: برخی سایت‌های .onion گواهینامه SSL دارند (مانند facebookwkhpilnemxj7asaniu7vnjjbiltxjqhye3mhbshg7kx5tfyd.onion با گواهی معتبر Facebook). این یک لایه تأیید اضافی است.
5. bookmark کنید: وقتی یک آدرس .onion را تأیید کردید، آن را در Tor Browser bookmark کنید. هرگز دوباره از جستجو یا لینک خارجی استفاده نکنید.
6. از Directory های قابل اعتماد استفاده کنید: Ahmia.fi لیست سایت‌های .onion معتبر را حفظ می‌کند.

اگر نیاز به خرید سرویس‌هایی دارید که حریم خصوصی شما را حفظ کنند، پرداخت ناشناس ضروری است:

• Monero (XMR) — بهترین گزینه: Monero تراکنش‌ها را به‌طور پیش‌فرض رمزنگاری می‌کند. آدرس فرستنده، گیرنده، و مقدار همگی مخفی هستند. قابل ردیابی نیست.
• Bitcoin + Mixer: اگر Monero در دسترس نیست، Bitcoin را از صرافی‌های no-KYC بخرید (Bisq، HodlHodl) و از mixer/coinjoin (Wasabi Wallet، Samourai) استفاده کنید.
• اجتناب از صرافی‌های KYC: Binance، Coinbase، Nobitex — همه KYC دارند. کریپتوی خریداری شده از آن‌ها به هویت شما مرتبط است.
• صرافی‌های P2P: برای کاربران ایرانی، خرید کریپتو از طریق LocalBitcoins، Hodlhodl یا AgoraDesk با پرداخت نقدی یا شبا امکان‌پذیر است.
• استفاده از wallet های خود: هرگز کریپتو را روی صرافی نگه ندارید. از wallet های غیرحضانتی (non-custodial) مانند Electrum، Sparrow، یا Monero GUI استفاده کنید.

AnubizHost پرداخت با Bitcoin، Monero، Litecoin را می‌پذیرد — بدون KYC. این یعنی می‌توانید هاستینگ .onion یا VPS offshore را بدون فاش کردن هویت خود تهیه کنید. همراه با OPSEC مناسب، شما می‌توانید زیرساخت کاملاً ناشناس خود را بسازید.