چرا ارسال فایل ZIP رمزدار با ایمیل امن نیست (و به جای آن چه کنیم)

«فایل را به‌صورت ZIP رمزدار فشرده کن، با ایمیل بفرست و بعد رمز عبور را در ایمیل بعدی بفرست.» این روش در بسیاری از سازمان‌ها رویه‌ای استاندارد است — و از اساس معیوب است.

در ژاپن این روش آن‌قدر رایج است که نام خودش را دارد: PPAP. دولت ژاپن در سال ۲۰۲۰ رسماً کنارش گذاشت. در ادامه توضیح می‌دهیم چرا هر سازمانی باید همین کار را بکند.

چرا این روش کار نمی‌کند

۱. رمز عبور از همان مسیر فایل عبور می‌کند

فایل ZIP و رمز عبور را از یک حساب ایمیل و برای یک گیرنده می‌فرستید. اگر ایمیل رهگیری شود، مهاجم هر دو را به دست می‌آورد. مثل این است که در را قفل کنید و کلید را با چسب کنار آن بچسبانید.

۲. نرم‌افزارهای امنیتی نمی‌توانند داخل فایل را اسکن کنند

بیشتر درگاه‌های امنیتی ایمیل نمی‌توانند محتوای فایل‌های ZIP رمزدار را بررسی کنند. این روش به جای بهبود امنیت، در عمل راهی برای بدافزارها باز می‌کند تا از سد دفاعی شما عبور کنند.

کارزار بدافزار Emotet دقیقاً از همین ضعف سوءاستفاده کرد و خود را از طریق فایل‌های ZIP رمزدار پخش کرد.

۳. رمزنگاری ZIP ضعیف است

رمزنگاری استاندارد ZIP (ZipCrypto) آسیب‌پذیری‌های شناخته‌شده‌ای دارد. با ابزار مناسب، این فایل‌ها را می‌توان در عرض چند دقیقه شکست.

۴. جلوی ایمیل‌های اشتباهی را نمی‌گیرد

اگر ایمیل اول را برای شخص اشتباهی بفرستید، تقریباً به‌طور قطع ایمیل دوم را هم برای همان شخص اشتباه می‌فرستید. این روش هیچ محافظتی در برابر خطای انسانی ندارد.

۵. تجربه کاربری افتضاح

• گیرندگان باید بین ایمیل‌ها بگردند تا رمز عبور را پیدا کنند
• باز کردن فایل‌های ZIP روی دستگاه‌های موبایل دشوار است
• وارد کردن مکرر رمز عبور آزاردهنده است

جایگزین‌های بهتر

گزینه ۱: لینک‌های اشتراک‌گذاری فضای ابری

از Google Drive، OneDrive، Dropbox یا فضاهای ابری مشابه برای اشتراک‌گذاری فایل با لینک استفاده کنید.

مزایا:

• مجوزهای دسترسی جزئی و دقیق
• ردیابی دانلودها
• امکان لغو دسترسی
• اسکن بدافزار کار می‌کند
• کنترل نسخه

معایب:

• همه سرویس‌ها اجازه نمی‌دهند برای تک‌تک لینک‌ها رمز عبور بگذارید
• سیاست‌های فناوری اطلاعات سازمان ممکن است اشتراک‌گذاری خارجی را محدود کند

گزینه ۲: لینک‌های محافظت‌شده با رمز عبور

لینک اشتراک‌گذاری فضای ابری خود را با رمز عبور محافظت کنید. LOCK.PUB به شما امکان می‌دهد روی هر URL رمز عبور بگذارید — از جمله لینک‌های Google Drive، لینک‌های Dropbox یا هر لینک دانلود دیگری.

مقایسه	ZIP + ایمیل	LOCK.PUB + فضای ابری
مسیر رمز عبور	یکسان (ایمیل)	می‌تواند جدا باشد
اسکن بدافزار	مسدود	به‌طور عادی کار می‌کند
گزارش دسترسی	ندارد	موجود است
لغو دسترسی	غیرممکن	حذف لینک
جبران ایمیل اشتباهی	ندارد	حذف فوری لینک

گزینه ۳: اشتراک فایل در چت‌های کاری

فایل‌ها را مستقیماً از طریق Slack، Microsoft Teams یا دیگر پلتفرم‌های پیام‌رسان کاری به اشتراک بگذارید. این‌ها امنیت بهتری از پیوست‌های ایمیل دارند، هرچند باید به سیاست‌های نگهداری داده و تنظیمات امنیتی‌شان توجه کرد.

گزینه ۴: راهکارهای سازمانی انتقال فایل

برای سازمان‌هایی با الزامات سخت‌گیرانه انطباق (compliance):

• Box — کنترل دسترسی دقیق و گزارش‌های حسابرسی
• SharePoint — یکپارچه با Microsoft 365
• Citrix ShareFile — انتقال امن در سطح سازمانی

چگونه از روش ZIP + ایمیل فاصله بگیریم

گام ۱: وضعیت فعلی را ارزیابی کنید

• بررسی کنید این روش در سازمان شما تا چه حد رایج است
• مشخص کنید کدام شرکای خارجی انتظار این روش را دارند

گام ۲: جایگزین‌ها را انتخاب کنید

• ابزارهایی را انتخاب کنید که با زیرساخت فناوری اطلاعات شما سازگارند
• هزینه‌ها و بار عملیاتی را مقایسه کنید

گام ۳: مهاجرت تدریجی

• ابتدا از داخل سازمان شروع کنید
• شرکای خارجی را از این تغییر مطلع کنید
• یک دوره گذار در نظر بگیرید

گام ۴: رسمی‌سازی و آموزش

• سیاست‌های جدید اشتراک‌گذاری فایل را مستند کنید
• همه کارکنان را با روال‌های جدید آموزش دهید

اصل اساسی: رمز عبور را از فایل جدا کنید

قانون بنیادین این است: هرگز رمز عبور را از همان کانالی که فایل را می‌فرستید ارسال نکنید.

فایل (یا لینک) را با ایمیل بفرستید و رمز عبور را از طریق WhatsApp یا تماس تلفنی. بهتر از آن، از LOCK.PUB استفاده کنید که رمز عبور در خود لینک تعبیه شده است — گیرنده هنگام باز کردن لینک آن را وارد می‌کند، پس اصلاً نیازی به ارسال رمز عبور نیست.

جمع‌بندی

ارسال فایل‌های ZIP رمزدار با ایمیل فقط توهم امنیت ایجاد می‌کند و با مسدود کردن تشخیص بدافزار، در عمل اوضاع را بدتر می‌کند.

چک‌لیست اشتراک‌گذاری امن فایل:

• به لینک‌های اشتراک‌گذاری فضای ابری مهاجرت کنید
• روی لینک‌های اشتراکی رمز عبور بگذارید
• ثبت گزارش دسترسی را پیاده‌سازی کنید
• سیاست‌های جدید اشتراک‌گذاری فایل را تدوین کنید
• تیم خود را با روش‌های امن آموزش دهید

→ با LOCK.PUB یک لینک محافظت‌شده با رمز عبور بسازید