Firefox
متصفح قوي للخصوصية ويعمل بشكل ممتاز مع إضافات الحماية.
- حماية مدمجة ضد التتبع
- إعدادات خصوصية قوية ومرنة
- دعم ممتاز لإضافة uBlock Origin
- مناسب لتقليل بصمة المتصفح عند ضبط الإعدادات
منظمة لارسا
·
LARSA ORGANIZATION
🔐 تدريب الأمن الرقمي
Digital Security Training
⏱️ 5 ساعات
📚 4 محاور
🔧 30 أداة
🔍 7 أمثلة واقعية
👥 جميع الفئات المستهدفة
نظرة عامة على التدريب
| # | عنوان المحور | المدة | الموضوعات الرئيسية |
|---|---|---|---|
| 1 | الأمن الرقمي والاتصال الآمن بالإنترنت | 80 دقيقة | الهجمات الشبكية · VPN · نمذجة التهديد |
| 2 | حماية البيانات والتصفح الآمن | 75 دقيقة | CIA · التصفح الآمن · السحاب · الحذف الآمن |
| 3 | حماية الحسابات والاتصالات | 70 دقيقة | كلمات المرور · 2FA · التصيّد · الهندسة الاجتماعية |
| 4 | حماية الأجهزة والمصادر | 75 دقيقة | التشفير الكامل · النسخ الاحتياطي · حماية المصادر |
| المجموع الكلي | 5 ساعات | ||
💡 كيف تستخدم هذا الدليل؟
تنقّل بين المحاور من الشريط الجانبي الأيمن · انقر على قوائم الفحص لتتبّع تقدّمك · جرّب الاختبارات التفاعلية في كل محور · في نهاية كل محور، ستجد قائمة مكتملة لما يجب تطبيقه
المحور الأول
اكتشف كيف تعمل الهجمات على الشبكة وابنِ نموذج تهديدك الشخصي
المحور الثاني
صنّف بياناتك، صفِّح بأمان، وتعلّم الحذف الحقيقي للبيانات
المحور الثالث
احمِ حساباتك من التصيّد والهندسة الاجتماعية باحترافية
المحور الرابع
شفّر أجهزتك واحمِ مصادرك في أشد البيئات حساسية
المحور الأول
🌐 الأمن الرقمي والاتصال الآمن بالإنترنت
الأساس النظري والتطبيقي لفهم التهديدات الرقمية
⏱️ 80 دقيقة
1.1 ما هو الأمن الرقمي ولماذا هو مهم؟
تعريف الأمن الرقمي
مجموعة الممارسات والإجراءات التي تهدف إلى حماية معلوماتنا، هويتنا الرقمية، وأجهزتنا من الوصول غير المصرح به أو الاستغلال.
ما الذي نحميه فعلياً؟
الهوية الرقمية
حسابات Facebook، Gmail، WhatsApp — هويتك الإلكترونية أمام العالم
البيانات الشخصية
صور، محادثات، ملفات — ذاكرتك الرقمية الخاصة
البيانات الحساسة
معلومات مالية، بيانات العمل، معلومات الآخرين المرتبطة بك
💡 نقطة أساسية جداً
في كثير من الحالات، أنت لا تُستهدَف بسببك أنت، بل بسبب "ما يمكن الوصول إليه من خلالك" — الوصول إلى شبكة علاقاتك، أو اختراق مصادرك.
لماذا أي اختراق خطير؟
ابتزاز (Blackmail)
استخدام معلوماتك الخاصة ضدك مادياً أو مهنياً
انتحال شخصية
التظاهر بأنك أنت للوصول لأصدقائك أو جمهورك
استهداف شبكتك
الوصول لزملائك ومصادرك من خلال ثقتهم بك
1.2 بيئة الإنترنت: هل هي آمنة بطبيعتها؟
⚠️ الحقيقة الأساسية
الإنترنت ليس بيئة آمنة افتراضياً (Not Secure by Default) — كل بياناتك تمر عبر شبكة خارج سيطرتك
📊 ماذا يحدث عند اتصالك بالإنترنت؟
HTTP مقابل HTTPS — مقارنة مفصّلة
مادة مرجعية
+
كيف تنتقل بياناتك: HTTP مقابل HTTPS — وماذا يرى مزوّد الإنترنت في كل حالة
1.3 كيف تحدث الهجمات على الشبكات؟
هجوم الرجل في الوسط — Man-in-the-Middle
🔒 الوضع الطبيعي — اتصال مباشر بينك وبين الموقع
بياناتك مشفَّرة تذهب مباشرةً للسيرفر — لا أحد يمر بينهما
🕵️ المهاجم — شخص عادي في نفس المقهى يحمل لابتوباً
لا يحتاج أجهزة خاصة — أي لابتوب عادي مع برنامج متاح على الإنترنت يكفي لتنفيذ هذا الهجوم
يجلس في نفس المكان ويبدو مستخدماً عادياً — لا شيء يميّزه من الخارج
⚠ بعد الهجوم — كل بياناتك تمر عبر لابتوب المهاجم
أنت والسيرفر تتواصلان — لكن كل كلمة تمر عبر المهاجم. لا أحد منكما يعلم بوجوده.
HTTPS يشفّر المحتوى — لكن المهاجم لا يزال يرى اسم الموقع الذي تزوره. VPN يخفي حتى هذا.
أنت في مقهى تفتح موقع بنكك (HTTPS). المهاجم ينفّذ هجوم MITM — ماذا يستطيع أن يرى؟
التشفير يحمي المحتوى — كلمة المرور والرصيد مخفيان. لكن اسم الموقع (mybank.com) لا يزال مرئياً. الحل الأكمل: VPN يخفي حتى اسم الموقع.
الشبكة المزيفة — Evil Twin
🛜 مقهى — المهاجم يُشغّل شبكة WiFi مزيفة بنفس اسم شبكة المقهى
لابتوب المهاجم يبثّ شبكة WiFi بنفس اسم شبكة المقهى لكن بإشارة أقوى — جهازك يتصل بها تلقائياً لأنها الأقوى
جهازك لا يتحقق من هوية الشبكة — يثق بالاسم والإشارة فقط
📶 ما يراه جهازك — شبكتان بنفس الاسم تماماً
نفس الاسم حرفاً بحرف — لا يمكنك التمييز بينهما من قائمة الشبكات
جهازك يحفظ أسماء الشبكات التي اتصلت بها سابقاً ويتصل بها تلقائياً دون إذنك — المهاجم يستغل هذا
⚠ بعد الاتصال — مسار بياناتك الفعلي
الإنترنت يعمل بشكل طبيعي تماماً — لهذا لا تشعر بشيء. لكن كل بياناتك تمر عبر لابتوب المهاجم قبل أي موقع.
جهازك اتصل تلقائياً بـ "Airport_WiFi" في المطار. ما الخطوة الفورية الأهم؟
عمل الإنترنت لا يعني الأمان — المهاجم يُمرّر اتصالك عمداً. اسم الشبكة قابل للتزوير. HTTPS وحده لا يكفي. VPN أو بيانات الجوال هو الحل الفوري.
الشبكة المزيفة هي أسلوب الإيقاع — تجعلك تدخل شبكته. وهجوم الرجل في الوسط هو الهجوم الفعلي بعدها. كثيراً ما يُستخدمان معاً.
استهداف نقاط النهاية — Endpoints
كل جهاز متصل بالشبكة = نقطة دخول محتملة للمهاجم. ليس فقط اللابتوب والهاتف — بل التلفزيون الذكي، المكنسة الروبوت، الكاميرا، الطابعة، الثلاجة الذكية.
المهاجم لا يحتاج اختراق لابتوبك مباشرة — يخترق أضعف جهاز في الشبكة ثم يتحرك منه للوصول لبقية الأجهزة
اخترق جهازاً واحداً ضعيفاً ← يفحص الشبكة الداخلية ← يصل لكل الأجهزة الأخرى. هذا يُسمى Lateral Movement.
سؤال: في شبكة منزلك، كاميرا المراقبة متصلة بنفس شبكة لابتوبك. اخترق المهاجم الكاميرا. ما الخطر؟
الحل: عزل الأجهزة الذكية في شبكة منفصلة (Guest Network) — حتى لو اخترق المهاجم المكنسة، لا يصل للابتوب
💡 العلاقة بين الهجمات الثلاثة بكلمة واحدة
Evil Twin = الفخ الذي يجعلك تتصل بشبكة المهاجم أصلاً ·
MITM = ما يفعله بعد أن وقعت في الفخ ·
Packet Sniffing = التنصت الصامت دون تدخل على أي شبكة مشتركة
مقارنة تفصيلية — الهجمات الثلاثة مع HTTPS وVPN
مادة مرجعية
+
مقارنة أساليب الهجوم على الشبكات العامة
| المعيار | Man-in-the-Middle | Evil Twin | Packet Sniffing |
|---|---|---|---|
| ما هو؟ | المهاجم يضع نفسه بين جهازك والموقع — كل بياناتك تمر عبره | المهاجم ينشئ شبكة WiFi مزيفة بنفس اسم الشبكة الحقيقية | المهاجم يراقب كل البيانات المارة في الشبكة دون التدخل بها |
| الفرق الجوهري | أسلوب هجوم — طريقة للتنصت والتعديل تُستخدم بعد الاتصال | فخ الدخول — خطوة أولى تجعلك تتصل بشبكة المهاجم أصلاً | مراقبة صامتة — لا يتدخل، فقط يسجّل ما يمر أمامه |
| العلاقة بينها | Evil Twin غالباً مقدمة لـ MITM — تتصل بالشبكة المزيفة أولاً، ثم يُنفّذ المهاجم هجوم MITM عليك | مستقل — يعمل على أي شبكة مشتركة دون الحاجة لأي خداع مسبق | |
| ماذا يفعل المهاجم؟ | يقرأ · يعدّل · يحقن محتوى مزيف في ردود الموقع | يستقبل كل اتصالاتك — ثم يُمرّرها للإنترنت الحقيقي | يلتقط نسخة من كل حزمة بيانات تمر في الشبكة |
| مع HTTP | خطير جداً يرى ويعدّل كل شيء |
خطير جداً يرى كل شيء يمر عبره |
خطير جداً يقرأ كل البيانات المكشوفة |
| مع HTTPS | مقيَّد جزئياً لا يقرأ المحتوى، لكن يرى الوجهة ويستطيع قطع الاتصال |
مقيَّد جزئياً نفس القيود — لكن قد يحاول تنزيل الاتصال لـ HTTP |
محمي إلى حد بعيد يرى أسماء المواقع فقط، لا المحتوى |
| مع VPN | محمي يرى فقط أنك متصل بـ VPN |
محمي نفس الحماية — حتى الوجهة مخفية |
محمي كل الحزم مشفَّرة لا يفهمها |
الفرق بكلمة واحدة:
Evil Twin = الفخ الذي يجعلك تدخل شبكة المهاجم · MITM = ما يفعله بعد أن دخلت · Packet Sniffing = التنصت الصامت دون تدخل
Evil Twin = الفخ الذي يجعلك تدخل شبكة المهاجم · MITM = ما يفعله بعد أن دخلت · Packet Sniffing = التنصت الصامت دون تدخل
هل HTTPS يحل المشكلة كلياً؟
MITM مع HTTPS
✗ لا يزال يرى الموقع الذي تزوره
✗ يستطيع قطع الاتصال (DoS)
✓ لا يقرأ كلمات المرور
✓ لا يعدّل المحتوى
Evil Twin مع HTTPS
✗ قد يحاول SSL Stripping
✗ يرى المواقع التي تزورها
✓ لا يقرأ المحتوى
✓ المتصفح يُحذّرك إن حدث تلاعب
Packet Sniffing مع HTTPS
✗ يرى أسماء المواقع
✗ يرى أحجام البيانات وتوقيتها
✓ لا يقرأ المحتوى
✓ لا يرى كلمات المرور
1.4 دور VPN: الفهم الصحيح
ما هو VPN؟
Virtual Private Network — أداة تقوم بتشفير الاتصال بين جهازك والإنترنت
✅ ما يفعله VPN
يحمي البيانات أثناء النقل · يمنع الآخرين على الشبكة من قراءتها · يقلّل خطر MITM
❌ ما لا يفعله VPN
لا يحمي جهازك من الفيروسات · لا يجعلك غير قابل للاختراق · لا يحميك من المواقع المزيفة
⚠️ الخلاصة الذهبية
VPN أداة مهمة، لكنه ليس حلاً شاملاً. يقلّل الخطر — لا يلغيه.
🛡️ برامج VPN الموصى بها
| البرنامج | الأمان والموثوقية | الخطة المجانية |
|---|---|---|
ProtonVPN
protonvpn.com
|
مفتوح المصدر بالكامل · مراجعات أمنية مستقلة · مقرّه سويسرا (قوانين خصوصية صارمة) · سياسة No-Log موثّقة |
✅ مجاني للأبد
3 دول · جهاز واحد
|
|
Windscribe
windscribe.com
|
مفتوح المصدر · سياسة No-Log موثّقة · مقرّه كندا · شفاف في نشر تقارير الشفافية |
✅ مجاني
10 GB/شهر · 10+ دول
|
|
Mullvad
mullvad.net
|
الأقوى خصوصيةً · لا يطلب بريداً إلكترونياً أو اسماً · مراجعات أمنية مستقلة · مقرّه السويد |
❌ مدفوع فقط
5€ / شهر · 5 أجهزة
|
💡 أيّها تختار؟
للمبتدئين والطلاب: ProtonVPN أو Windscribe المجاني يكفي تماماً · للأهداف عالية المخاطر والمستخدمين المستهدَفين: Mullvad هو الأقوى خصوصيةً
🧅 VPN مقابل Tor Browser — ما الفرق؟
VPN يُشفّر اتصالك ويُخفيه عن شبكتك المحلية، لكن مزوّد VPN نفسه يرى نشاطك.
أما 
Tor Browser ↗
فيُمرّر الاتصال عبر ثلاث عقد مستقلة — لا أحد منها يرى كاملَ المسار. الفرق الجوهري: VPN يحمي الاتصال، وTor يُخفي الهوية.
1.5 المفاهيم الخاطئة وممارسات الاتصال الآمن
❌ خرافة
"أنا لست هدفاً"
✓ الحقيقة
الهجمات في الشبكات العامة غالباً عشوائية — أي شخص متصل قد يكون ضحية
❌ خرافة
"معلوماتي غير مهمة"
✓ الحقيقة
حساب بسيط يُستخدم للاحتيال أو للوصول لأشخاص آخرين من خلالك
❌ خرافة
"سأعرف إذا تم اختراقي"
✓ الحقيقة
كثير من الهجمات صامتة تماماً — لا تظهر أي إشارات لأسابيع أو أشهر
🚫 تجنّب عند الشبكة العامة
إدخال كلمات المرور · العمليات البنكية · نشر التقارير الحساسة
✅ المفضّل دائماً
استخدام بيانات الهاتف للعمليات الحساسة · VPN موثوق عند الضرورة
🔍 تأكّد دائماً من
وجود HTTPS 🔒 في المتصفح · اسم الشبكة الصحيح من موظف رسمي
🛡️ مبدأ أساسي
تعامل مع أي شبكة عامة على أنها "مراقَبة أو مخترقة" — هذا الموقف يحميك
1.6 دراسة حالة: "ليلى تنشر تقريرها من المقهى" 🆕
📖 السيناريو
ليلى صحفية شابة تعمل على تقرير استقصائي حول تلوّث نهر محلي. تجلس في مقهى وتستخدم شبكة Wi-Fi المجانية "Cafe-Free-WiFi" لرفع المسوّدة إلى Google Drive الخاص بمحرّرها، ثم ترسل رابطاً إلى مصدرها للتأكيد. بعد يومين، ظهرت مقتطفات من تقريرها على صفحة مجهولة قبل نشره، وتعرّض مصدرها لاتصال تهديدي.
1
اتصال بـ Evil Twin
الشبكة "Cafe-Free-WiFi" كانت مزيفة أُعدّت من شخص داخل المقهى أو قربه
2
بدون VPN = بيانات مكشوفة
كل بياناتها مرّت عبر جهاز المهاجم (MITM) بدون أي تشفير
3
Drive مشارَك "لأي شخص"
المسوّدة كانت مشارَكة برابط مفتوح لتسهيل المراجعة
4
بيانات EXIF في الصور
الصور المرفقة تحوي إحداثيات الموقع الدقيق في بياناتها المخفية
- استخدام بيانات الهاتف (Mobile Data) بدل شبكة المقهى، أو VPN موثوق
- التحقق من اسم الشبكة الرسمي عبر موظف المقهى مباشرة
- مشاركة المسوّدة عبر خدمة مشفّرة مع صلاحيات محدّدة (ProtonDrive، SharePoint)
- إرسال الرابط للمصدر عبر Signal أو قناة مشفّرة طرف-لطرف
- إزالة Metadata من الصور قبل الرفع (ExifTool أو Scrambled Exif)
- التأكد من وجود HTTPS في شريط العنوان قبل أي إدخال
💡 الدرس المستفاد
لا يوجد خطأ واحد كارثي في هذه الحالة — بل سلسلة من القرارات الصغيرة، كل واحد منها أضاف نقطة ضعف. الأمن الرقمي سلسلة، والحلقة الأضعف تكسرها كلها.
1.7 تمرين عملي: تقييم بيئتك الرقمية الحالية 🆕
ضع ✅ أمام العنصر المتحقق، أو اتركه فارغاً إذا لم يتحقق. المدة المقترحة: 7 دقائق.
- أعرف اسم الشبكة الرسمي للمكان (وليس تخميناً)
- الشبكة تستخدم كلمة مرور (WPA2/WPA3)، وليست مفتوحة
- أستخدم VPN موثوقاً عند الاتصال بشبكات عامة
- عندما لا يتوفّر VPN، أستخدم بيانات الهاتف للعمليات الحساسة
- شريط العنوان يُظهر HTTPS 🔒 في المواقع التي أُدخل فيها بياناتي
- لا أتجاهل تحذيرات الشهادة (Certificate Warnings)
- متصفّحي محدَّث إلى آخر إصدار
- المصادقة الثنائية (2FA) مفعَّلة على الحسابات المهمة
- لا أستخدم نفس كلمة المرور في أكثر من مكان
- عندي مدير كلمات مرور (Bitwarden / 1Password / KeePass)
- جهازي محمي بقفل (PIN / بصمة / كلمة مرور)
- نظام التشغيل وتطبيقاتي محدَّثة
- التشفير مفعَّل على الجهاز (BitLocker / FileVault)
🧭 كيف تقرأ النتيجة؟
إذا كان عدد العناصر غير المحققة أكثر من 4، فأنت في بيئة عالية المخاطر. المحاور القادمة ستعالج معظم هذه النقاط — لكن ابدأ فوراً بتفعيل 2FA وتحديث متصفحك.
خلاصة المحور
- الإنترنت بيئة مفتوحة — كل بيانات غير مشفّرة عرضة للاعتراض
- معظم الهجمات تستهدف الشبكة قبل الجهاز — الوقاية تبدأ من الاتصال
- VPN يحمي حركة البيانات لكنه لا يحلّ كل مشكلة أمنية
- نموذج التهديد الشخصي هو نقطة انطلاقك — من يستهدفني؟ وبماذا؟
المحور الثاني
🛡️ حماية البيانات والتصفح الآمن
تصنيف البيانات · مبادئ الحماية · التصفح الآمن · التخزين السحابي
⏱️ 75 دقيقة
💡 ربط مع المحور الأول
في المحور الأول فهمنا من هم الخصوم وكيف تحدث الهجمات. الآن: كيف أحمي بياناتي وتصفّحي في حياتي اليومية؟
2.1 مبادئ حماية البيانات — ثلاثية CIA
C
السرّية (Confidentiality)
أن يصل للبيانات فقط من يُسمَح لهم. مثال: رسالة بينك وبين مصدرك يجب ألا يراها طرف ثالث
I
السلامة (Integrity)
أن تبقى البيانات دون تغيير غير مصرّح به. مثال: وثيقة PDF تصلك كدليل — كيف تضمن أنها لم تُعدَّل؟
A
التوفّر (Availability)
أن تكون البيانات متاحة عند الحاجة. مثال: ملف مهم "محذوف" قبل موعد النشر = فشل في التوفّر
💡 تطبيق عملي على Google Drive
السرّية: مَن يستطيع الوصول إلى المجلّد؟ · السلامة: هل أثق بعدم التعديل؟ · التوفّر: ماذا لو تم حظر حسابي اليوم؟
2.2 التصفح الآمن — التتبع والبصمة الرقمية والخصوصية
بصمة المتصفح — يعرفونك حتى بعد حذف الكوكيز
متصفحك يكشف عشرات التفاصيل لكل موقع تزوره — ومجتمعةً تصبح هويتك الرقمية شبه فريدة.
🧬 اضغط على أي عنصر لترى كيف يدخل في البصمة
متصفحك
يرسل هذا تلقائياً لكل موقع
اضغط على أحد المربعات لعرض تأثيره.
تُجمع
←
🔐
بصمتك الفريدة
تركيبة نادرة جداً
MacChrome 124العربية
↓
👁️🗨️
الموقع يعرفك
حتى لو حذفت كل الكوكيز
حتى في وضع التصفح الخاص
🚫
الإعلاناتuBlock Origin يمنع شبكات الإعلانات وسكربتاتها.🍪
الكوكيزيقلل كوكيز التتبع بمنع مصادرها، لكنه ليس مدير كوكيز كامل.🧬
البصمةيمنع سكربتات التتبع وجمع البيانات، لكنه لا يمحو البصمة بالكامل.لماذا التركيبة فريدة؟ ملايين يستخدمون Chrome + Mac، لكن كم منهم لديه نفس إصدار Chrome + نفس الخطوط + نفس الإضافات + نفس المنطقة الزمنية + نفس دقة الشاشة؟ الاحتمال يصبح ضئيلاً جداً، وهذا ما يجعلها "بصمة".
الفرق الجوهري عن الكوكي: الكوكي شيء يزرعه الموقع في متصفحك وتستطيع حذفه. أما البصمة فهي شيء يكتشفه الموقع من خصائص متصفحك تلقائياً — ولا تُحذف بسهولة.
🛡️
الحل العملي: استخدم Firefox مع إضافة uBlock Origin، وقلّل الإضافات غير الضرورية لأنها تزيد تفرّد البصمة.
uBlock Origin
إضافة خفيفة تمنع الإعلانات والمتتبعات وسكربتات جمع البيانات.
- حجب الإعلانات والنوافذ المزعجة
- منع متتبعات الإعلانات والتحليلات
- تقليل جمع بيانات البصمة عبر منع السكربتات
- تقليل كوكيز التتبع من المصدر
أفضل نتيجة عملية: استخدم Firefox مع uBlock Origin، ثم قلّل الإضافات الأخرى لأنها قد تزيد تفرّد بصمة المتصفح.
ما هي بصمة المتصفح؟
هي مجموعة خصائص يقرأها الموقع من جهازك ومتصفحك. كل خاصية وحدها قد تبدو عادية، لكن جمعها معاً ينتج توقيعاً رقمياً يمكن استخدامه لتمييزك بين عدد كبير من المستخدمين، حتى دون الاعتماد على الكوكيز.
⚠️ قاعدة صارمة للإضافات
كل إضافة تضيفها للمتصفح يمكنها قراءة ما تقرأه وإرسال ما تكتبه!
✅ ما يفعله التصفح الخاص
لا يحفظ السجل على جهازك · لا يحفظ الكوكيز بعد الإغلاق
❌ ما لا يفعله
لا يُخفي اتصالك عن مزود الإنترنت · لا يحميك من MITM أو Evil Twin · لا يجعلك مجهولاً
💡 متى يُفيد التصفح الخاص؟
مفيد فقط عند استخدام جهاز عام (مقهى إنترنت، مكتبة) لعدم ترك سجلّ محلّي. لا أكثر.
كيف يتتبعك الإعلان ويظهر لك في كل مكان؟
مادة مرجعية
+
2.3 التخزين السحابي — من يملك مفتاح ملفاتك؟
حفظ الملفات على السحابة يعني نقلها إلى خوادم شركة أخرى — والسؤال الجوهري ليس "هل هي مشفّرة؟" بل "من يملك مفتاح التشفير؟"
⚠️ حادثة حقيقية
في 2014، تسرّبت صور شخصية لعدد من المشاهير من iCloud بسبب ضعف كلمات المرور وغياب المصادقة الثنائية (2FA) — وليس بسبب خلل في تشفير الخادم.
معظم الخدمات الشائعة تملك مفاتيح التشفير — أي أنها تستطيع تقنياً فكّ تشفير ملفاتك إذا طُلب منها قانونياً أو في حالة الاختراق. هذا لا يعني أنها "تقرأ" ملفاتك يومياً، لكنه يعني أن الحماية ليست مطلقة.
| الخدمة | نوع التشفير الافتراضي | من يملك المفتاح؟ | ملاحظة |
|---|---|---|---|
Google Drive
🔗 drive.google.com
|
في النقل + في الراحة | Google تملك المفتاح | Workspace للأعمال يضيف اتفاقيات قانونية لكن التقنية واحدة |
OneDrive / SharePoint
🔗 onedrive.live.com
|
في النقل + في الراحة | Microsoft تملك المفتاح | E2E ممكن عبر Microsoft Purview في خطط المؤسسات |
|
iCloud (افتراضي)
🔗 icloud.com
|
في النقل + في الراحة | Apple تملك المفتاح | — |
|
iCloud + Advanced Data Protection
🔗 طريقة التفعيل
|
End-to-End | أنت فقط تملك المفتاح | يجب تفعيله يدوياً — غير مفعّل افتراضياً |
Proton Drive
🔗 proton.me/drive
|
End-to-End دائماً | أنت فقط تملك المفتاح | مقرّها سويسرا — قوانين خصوصية أقوى |
|
Tresorit
🔗 tresorit.com
|
End-to-End دائماً | أنت فقط تملك المفتاح | مصمّم للمؤسسات والمهنيين والمحترفين |
المخاطر المتقدمة — الطلبات القانونية وبيئات المؤسسات
مادة مرجعية
+
!
الطلبات القانونية
أي حكومة يمكنها طلب ملفاتك بأمر قضائي من الشركة — وهذا ينطبق على Google وMicrosoft وApple جميعاً. الاستثناء: الخدمات ذات E2E حقيقي مثل Proton لا تستطيع تسليم ما لا تملكه.
!
اختراق الشركة
إذا اخترق أحدهم خوادم الشركة، ملفاتك معرّضة مباشرة — لأن الشركة تملك المفتاح. في حالة E2E، حتى لو اخترقوا الخادم، الملفات غير مفهومة بدون مفتاحك.
!
التشفير في SharePoint — هل هو عملي؟
تشفير الملفات يدوياً داخل بيئة SharePoint مشكلة لا حل: يكسر المعاينة والبحث والتحرير المشترك. والأخطر: إذا شفّر موظف ملفاً بمفتاحه الخاص وغادر، الملف يضيع. الحل المؤسسي الصحيح هو Microsoft Purview / Information Protection الذي يشفّر مع إبقاء صلاحيات إدارية.
!
المؤسسات الدولية تستخدمها — إذن هي آمنة؟
كثير من المؤسسات الدولية تستخدم Microsoft 365، لكن بموجب اتفاقيات خاصة (GovCloud، DPA). هذا مناسب لبيانات "حساسة عادية"، أما البيانات شديدة الحساسية فتذهب لبنى تحتية منعزلة تماماً.
الخيار الأنسب يعتمد على طبيعة استخدامك — شخصي أم مؤسسي، وحساسية البيانات.
للاستخدام الشخصي والمهني
E2E حقيقي، مقرّها سويسرا، لا تستطيع Proton قراءة ملفاتك حتى لو أُمرت
مجاني جزئياً
للمؤسسات والمحترفين
E2E حقيقي، مصمّم للتعاون المؤسسي، يستخدمه الفرق والمنظمات غير الحكومية
مدفوع
لمستخدمي Apple
يحوّل iCloud إلى تشفير E2E — لكن يجب تفعيله يدوياً من الإعدادات
مضمّن في iCloud
تشفير محلّي قبل الرفع
يشفّر الملفات على جهازك قبل رفعها — يعمل مع أي خدمة سحابية
مجاني
- اسأل دائماً: من يملك مفتاح التشفير؟ — وليس فقط: هل هي مشفّرة؟
- فعّل "Advanced Data Protection" في iCloud إذا كنت من مستخدمي Apple
- للبيانات الشخصية الحساسة: استخدم Proton Drive أو Tresorit بدلاً من الخدمات التقليدية
- في بيئة العمل المؤسسية: لا تشفّر الملفات يدوياً في SharePoint — استخدم أدوات الحماية المؤسسية المعتمدة
- فعّل 2FA على جميع حسابات السحابة دون استثناء
- لا تُشارك الروابط "لأي شخص" — بل لأشخاص محدّدين بالبريد الإلكتروني
- راجع "آخر نشاط" و"الأجهزة المتّصلة" في حساباتك بشكل دوري
2.4 الحذف الآمن — "المحذوف لا يعني المختفي"
💭 فكّر معنا
هل بعتَ أو منحتَ جهازاً قديماً لأحد مؤخّراً؟ ماذا فعلتَ قبل التخلّص منه؟
Windows
استخدم أدوات الحذف الآمن التي تدعم Shredding أو Wipe Free Space.
Mac
استخدم Disk Utility ثم Erase، واختر الإعدادات المناسبة حسب نوع القرص والإصدار.
iPhone
التشفير مفعّل افتراضيًا. غالبًا يكفي تنفيذ Erase All Content and Settings قبل التسليم.
Android
يفضل التأكد من تفعيل التشفير أولًا، ثم تنفيذ Factory Reset من إعدادات الجهاز.
HDD
استخدم أدوات الكتابة فوق البيانات، لأن هذا النوع من الأقراص مناسب لطرق المسح المتكرر.
SSD
لا تعتمد على الكتابة فوق البيانات فقط. استخدم Secure Erase من أداة الشركة المصنّعة.
USB Flash
يمكن استخدام أدوات الحذف الآمن أو تنفيذ Full Format مع الكتابة فوق البيانات عند الحاجة.
💡 ملاحظة: اختر طريقة الحذف حسب نوع التخزين. طرق HDD تعتمد غالبًا على الكتابة فوق البيانات، بينما SSD يحتاج غالبًا إلى Secure Erase أو أداة الشركة المصنّعة بسبب اختلاف طريقة تخزين البيانات وإدارتها.
2.5 دراسة حالة: اختراق Dropbox — تسريب 68 مليون حساب
📅 الحادثة الحقيقية — 2012 (مكشوفة 2016)
موظف في Dropbox استخدم كلمة المرور ذاتها التي يستخدمها في LinkedIn. اختُرق LinkedIn في 2012، فحصل المهاجمون على كلمة المرور، ودخلوا بها إلى حساب الموظف الداخلي في Dropbox. النتيجة: تسريب بيانات 68 مليون حساب — لم يُكتشَف إلا بعد 4 سنوات.
📖 السيناريو التدريبي
صحفي يحفظ ملفات محادثاته مع مصادره في مجلّد "شخصي" على Dropbox بكلمة مرور قوية من 15 حرفاً. بعد شهر، تظهر محادثاته منشورة في موقع مجهول. كلمة المرور لم تتغيّر، ولم يلاحظ أي نشاط غريب على حسابه.
🔀 رتّب من الأرجح إلى الأقل احتمالاً
ما أكثر سبب محتمل لهذا التسريب؟
🦠 الجهاز مصاب ببرنامج تجسّس يسجّل كلمات المرور
🏢 Dropbox نفسها تعرّضت لاختراق
♻️ كلمة المرور قوية لكنّها مستخدمة في موقع آخر مُخترَق (Credential Stuffing)
👤 المصدر نفسه سرّب المحتوى
2.6 تمرين عملي — فحص ذاتي صامت
أجب بصدق على هذه الأسئلة — لن يعرفها أحد غيرك
- أعرف أين يقع أي ملف حسّاس عندي الآن
- فعّلت 2FA على حسابي السحابي الرئيسي
- لا أستخدم كلمة المرور ذاتها في أكثر من موقع — درس Dropbox 2012
- أعرف كم إضافة مثبَّتة في متصفحي (وما وظيفة كل منها)
- لا أُشارك ملفات العمل بروابط "للكل"
- حذفت الكوكيز خلال الأسبوع الماضي
- فحصت "آخر نشاط" في حساباتي خلال الشهر الماضي
2.7 السيناريو التدريبي التفاعلي 🎬
🎯 الهدف
أن يخرج كل مشارك بقائمة فعلية من 3 تغييرات يطبّقها هذا الأسبوع
1
تنظيف المتصفّح (~4 دقائق)
💬 فكّر معنا:
- كم إضافة (Extension) لديك في متصفّحك الآن؟
- هل تعرف ماذا تفعل كل واحدة منها فعلاً؟
✅ المخرج العملي: كل متدرّب يحذف إضافة واحدة على الأقل خلال هذا التدريب.
2
خيارات مشاركة الملفات (~4 دقائق)
💬 نقاش: لو أردت مشاركة ملف حسّاس مع زميل، أيّ خيار تختار؟
1 — إرساله عبر WhatsApp
2 — رفعه على Google Drive بمشاركة "لأيّ شخص عنده الرابط"
3 — رفعه على Drive ومشاركته بعنوان البريد الإلكتروني للزميل فقط
4 — إرساله كملف مشفَّر عبر ProtonMail
3
محاكاة تسريب بيانات (~6 دقائق)
🎭 سيناريو: تأمّل في هذه الحالة
"أنت صحفي تُغطّي قضية فساد. احتفظتَ بملفات محادثات مع مصدرك في مجلّد 'شخصي' على Dropbox، مع كلمة مرور قوية تتكوّن من 15 حرفاً. بعد شهر، ظهرت محادثاتك منشورة في موقع مجهول."
"أنت صحفي تُغطّي قضية فساد. احتفظتَ بملفات محادثات مع مصدرك في مجلّد 'شخصي' على Dropbox، مع كلمة مرور قوية تتكوّن من 15 حرفاً. بعد شهر، ظهرت محادثاتك منشورة في موقع مجهول."
💬 فكّر: ما الاحتمالات الأربعة؟ رتّبها من الأرجح إلى الأقلّ احتمالاً.
🔀 رتّب من الأرجح إلى الأقل احتمالاً
اختر الاحتمال الأكثر ترجيحاً لتسريب البيانات:
👤 المصدر نفسه سرّب المحتوى
♻️ كلمة المرور قوية لكنّها مستخدمة في موقع آخر مُخترَق (Credential Stuffing)
🏢 Dropbox نفسها تعرّضت لاختراق
🦠 الجهاز الذي يدخل منه مصاب ببرنامج تجسّس
4
قرار تطبيقي شخصي (~4 دقائق)
✏️ خطّتك التطبيقية — اختر ما ستُنفّذه هذا الأسبوع
حدّد على الأقل 3 إجراءات من القائمة أدناه وابدأ بها فور انتهاء هذا التدريب
- أفعّل المصادقة الثنائية (2FA) على بريدي الإلكتروني الرئيسي
- أثبّت مدير كلمات مرور (Bitwarden) وأبدأ بنقل كلماتي إليه
- أراجع الإضافات في متصفّحي وأحذف ما لا أستخدمه
- أوقف مشاركة ملفاتي السحابية بروابط مفتوحة "لأي شخص"
- أتحقق من بريدي على haveibeenpwned.com ↗
- أفعّل التشفير الكامل على حسابي في iCloud / Google Drive
- أُثبّت Firefox مع إضافة uBlock Origin
- أحذف الملفات الحسّاسة القديمة حذفاً آمناً (BleachBit / Eraser)
خلاصة المحور
- تصنيف البيانات هو الخطوة الأولى — ما لا تعرف قيمته لا تستطيع حمايته
- التصفح الآمن يبدأ بالمتصفح والإضافات الصحيحة قبل أي أداة متقدّمة
- التخزين السحابي لا يعني الأمان التلقائي — التشفير والصلاحيات مسؤوليتك
- الحذف الحقيقي للبيانات يختلف عن الحذف العادي ويحتاج أدوات مخصّصة
المحور الثالث
🔑 حماية الحسابات والاتصالات
كلمات المرور · المصادقة الثنائية · التصيّد · الهندسة الاجتماعية
⏱️ 70 دقيقة
💡 ربط مع المحورين السابقين
في المحورين السابقين حدّدنا الخصم وحمينا البيانات. الآن ندخل إلى أضعف حلقة دائماً: الإنسان.
3.1 كلمات المرور — من هشّة إلى منيعة
الأرقام لا تكذب
80% من الاختراقات سببها كلمة مرور ضعيفة أو مُعاد استخدامها · أدوات الكسر تجرِّب ملايين الاحتمالات في الثانية
الطول أهم من التعقيد
جملة من 20 حرفاً أقوى من "P@ssw0rd!" — اختر ما يصعب كسره لا ما يصعب تذكّره
لكل حساب كلمة مختلفة
لا تُعيد استخدام كلمة المرور أبداً — اختراق موقع واحد = اختراق كل حساباتك
تجنّب المعلومات الشخصية
اسم ابنك · تاريخ ميلادك · اسم قطّك — كلها أول ما يجرّبه المهاجم
🔐 Passphrase — الجُملة بدل الكلمة
القطة_الحمراء_تأكل_البرتقال_2024 · MyDogEatsPizzaOnTuesdays! · أحب_قهوة_الصباح_بدون_سكر
⚠️ الأخطاء الأكثر شيوعاً
"123456" و "password" لا تزال ضمن أكثر 10 كلمات مرور استخداماً · استبدال حروف بأرقام مشابهة (a→@) يكشفها الكسر فوراً · استخدام نفس الكلمة مع تغيير رقم في آخرها (Pass1، Pass2)
🔍 اختبر قوة كلمة مرورك
أدخل نمط كلمة مرور (لا تدخل كلمتك الحقيقية!) للتحقق من مستوى قوتها:
3.2 مدير كلمات المرور — تذكّر كلمة واحدة فقط
ما هو مدير كلمات المرور؟
"خزنة رقمية" تحتفظ بكل حساباتك — تحتاج أن تتذكّر كلمة مرور رئيسية واحدة فقط
يُولّد كلمات قوية
يُنشئ كلمات مرور عشوائية من 20+ حرف لكل حساب
يحفظها مشفَّرة
لا أحد يستطيع قراءتها — حتى الشركة المطوّرة
يمنع التصيّد ضمنياً
يملأ البيانات فقط في المواقع الصحيحة — لا يعمل في المزيّفة
ينبّه عن التسريبات
يُخبرك إذا كانت كلمات مرورك مكرّرة أو مسرَّبة
3.3 المصادقة الثنائية (2FA) — درعك الثاني
حتى لو سُرقت كلمة المرور، المصادقة الثنائية تمنع الدخول إلى حسابك من جهاز آخر.
1 — رسالة SMS
✓ متوفرة دائمًا · ✕ أقل أمانًا من الخيارات الأخرى
ضعيف
2 — تطبيق المصادقة الثنائية
مثل Google Authenticator / Authy / Aegis · الرمز يتغير كل 30 ثانية · أكثر أمانًا من الرسائل النصية
متوسط
3 — مفتاح أمني مادي
مثل YubiKey · أعلى مستوى حماية · مقاوم لعمليات التصيد والاختراق · مناسب للحسابات الحساسة
قوي جدًا
⚠️ ماذا لو فقدت جهازك؟
عند تفعيل 2FA تظهر "رموز استرداد" — اطبعها واحفظها في مكان آمن خارج الجهاز · فعّل جهازاً ثانياً إن أمكن · لا تحفظ رموز الاسترداد في نفس الجهاز
🎯 الأولوية للتفعيل الآن
البريد الإلكتروني الرئيسي (مفتاح استرداد كل شيء) · حسابات التواصل المهنية · التخزين السحابي · الحسابات البنكية
3.4 التصيّد (Phishing) — الهجوم الأكثر فعالية
التصيّد ليس اختراقاً تقنياً — بل خداع نفسي. تستلم رسالة تبدو شرعية، تضغط رابطاً، وتُعطي بيديك ما يُريده المهاجم.
1
اسم المُرسِل مألوف لكن مشبوه
"Facebook Security" — لكن الإيميل الفعلي: facebook-security@mail-service.ru
2
شعور بالعجلة
"حسابك سيُغلق خلال 24 ساعة!" — ضغط لدفعك للتصرف دون تفكير
3
رابط مخادع
يبدو صحيحاً في النص لكن يُخفي وجهة مختلفة عند الضغط
4
أخطاء لغوية
صياغة غير طبيعية، أخطاء إملائية، أو تنسيق غريب
تصيّد جماعي (Bulk Phishing)
رسائل عامّة لآلاف الأشخاص — تعتمد على نسبة نجاح صغيرة حتى من بين الجموع
تصيّد موجّه (Spear Phishing)
رسالة مُفصَّلة بمعلوماتك الشخصية — خطير جداً لأصحاب المعلومات الحسّاسة والمستهدَفين
اصطياد الحيتان (Whaling)
تصيّد موجّه لشخصيات قيادية — رؤساء التحرير والمديرين التنفيذيين
Typosquatting
gooogle.com · facebok.com
أخطاء مطبعية متعمَّدة في اسم الموقع
Subdomain
facebook.com.evil-site.ru
"facebook.com" هنا مجرد subdomain — الموقع الحقيقي هو evil-site.ru
Homograph
тwitter.com (بحرف سيريلي)
تبديل حروف لاتينية بحروف مشابهة من لغات أخرى لا تكاد تلاحظها
Short URL
bit.ly/xK9p2m
روابط مختصرة تُخفي الوجهة الحقيقية تماماً
💡 أدوات فحص الروابط والملفات المشبوهة
عند الشك في أي رابط أو ملف، لا تفتحه مباشرة — استخدم إحدى الأدوات أدناه أولاً.
| الأداة | الاستخدام | الرابط |
|---|---|---|
|
|
فحص الروابط والملفات بأكثر من 70 محرك أمني — مجاناً وبدون تثبيت | virustotal.com ↗ |
VT4Browsers + Google TI
|
إضافة متصفح تفحص الروابط والملفات مباشرة أثناء التصفح مع تحليل استخباراتي للتهديدات من Google | Chrome Store ↗ |
⚠️ إذا اضطررت لفتح مرفق مشبوه
لا تفتحه مباشرة على جهازك. استخدم
Dangerzone ↗
— تحوّل المستند إلى نسخة آمنة خالية من أي كود أو عناصر نشطة قبل قراءته.
1
لا تُدخِل أي معلومة
مهما يكن — لا تدخل كلمة مرور أو بيانات شخصية في الصفحة المشبوهة
2
افصل الإنترنت فوراً
إن شككت بتحميل برنامج ضارّ — افصل الاتصال فوراً
3
غيّر كلمة المرور من جهاز آخر
استخدم جهازاً موثوقاً مختلفاً لتغيير كلمة المرور
4
راجع الأجهزة النشطة
تحقق من "آخر الجلسات" و"الأجهزة المتّصلة" في حسابك
🔍 تحليل رسالة تصيّد
كم علامة تصيّد تجد في هذه الرسالة؟
From: Facebook Security <security-team@fb-alerts.net>
Subject: نشاط مشبوه على حسابك — الرجاء التحقّق خلال 24 ساعة
لاحظنا محاولة دخول من دولة أخرى. إن لم تكن أنت، اضغط هنا للتحقّق وإلّا سيُغلَق الحساب نهائياً.
http://facebook-security-alerts.com/verify
Subject: نشاط مشبوه على حسابك — الرجاء التحقّق خلال 24 ساعة
لاحظنا محاولة دخول من دولة أخرى. إن لم تكن أنت، اضغط هنا للتحقّق وإلّا سيُغلَق الحساب نهائياً.
http://facebook-security-alerts.com/verify
3.5 الهندسة الاجتماعية — استغلال الثقة
الهندسة الاجتماعية هي فنّ التلاعب لجعل الشخص يُعطي معلومة أو يؤدّي فعلاً يخدم المهاجم — دون أن يدرك
انتحال شخصية (Pretexting)
"أنا من قسم IT ونحتاج كلمة مرورك للصيانة" — لا أحد شرعي يطلب كلمة مرورك
الإغراء (Baiting)
ذاكرة USB تُترَك في موقع العمل — تحتوي برنامج تجسّس مخفياً
المُلاحقة المادية (Tailgating)
الدخول خلف موظَّف عند الباب المؤمَّن — استغلال الأدب الاجتماعي
استغلال الاستعجال
"مديرك يطلب التحويل الآن!" — ضغط زمني لمنع التفكير المنطقي
⚠️ مؤشّرات تستوجب التوقّف الفوري
ضغط زمني غير معقول · طلب سرّية غير مبرّرة ("لا تخبر أحداً") · طلب معلومات لا علاقة لها بالموقف · تهديد ضمني أو صريح
💡 القاعدة الذهبية
عند أي طلب حسّاس — تحقّق عبر قناة ثانية. اتصل بالشخص بنفسك برقم تعرفه مسبقاً، لا بالرقم الذي أعطاك إياه.
3.6 التطبيقات والبريد الآمن — مقارنة تفصيلية
مادة مرجعية
+
🟢 Signal
الأقوى
- تشفير End-to-End افتراضياً
- لا يحتفظ بـ Metadata
- مفتوح المصدر
- مموّل بمؤسسة غير ربحية
🟡 WhatsApp
مقبول
- تشفير E2E (بروتوكول Signal)
- يحتفظ بـ Metadata (من، متى، كم مرة)
- مملوك لـ Meta
⚠️ Telegram
احذر
- المحادثات العادية غير E2E افتراضياً
- Secret Chats مشفّرة فقط
- تشفير المجموعات محدود
💡 فكرة Metadata الخطيرة
حتى لو كان محتوى رسائلك مشفَّراً، الـ Metadata (من يحادث من، متى، كم مرة) تكشف الكثير. صحفي يتواصل مع محامي حقوق الإنسان 20 مرة في أسبوع = معلومة حسّاسة حتى دون قراءة الرسائل.
3.7 دراسة حالة واقعية: برمجية Emotet — ملف يبدو موثوقاً يخفي برمجية خبيثة
📖 كيف حدث ذلك؟ — 2014 حتى 2021
ظهرت Emotet عام 2014 كحصان طروادة مصرفي، ثم تطوّرت لتصبح أخطر برمجية خبيثة في العالم. آلية العدوى بسيطة ومخادعة: يصل إلى صندوق بريدك ردٌّ على محادثة حقيقية سابقة (Re:) من شخص تعرفه فعلاً — زميل أو عميل — لأن Emotet سرقت سجل مراسلاته مسبقاً. الرسالة تحمل مرفق Word أو ZIP يبدو وثيقة عادية (فاتورة، عقد، تقرير). بمجرد فتحه وتفعيل الماكرو، تنتصب Emotet في الجهاز صامتةً، تسرق بيانات الاعتماد، وتُرسل نفسها لكل جهات اتصالك — مكرِّرةً الدورة من جديد.
🎯 لماذا هذا الأسلوب يخدع حتى المحترفين؟
- الرسالة ردٌّ حقيقي على محادثة فعلية — ليست بريداً عشوائياً مجهولاً
- المُرسِل شخص تعرفه وتثق به — لأن جهازه هو المصدر الحقيقي للإرسال
- المرفق يبدو وثيقة عمل اعتيادية — لا شيء يثير الشك بالنظر إليه
- "تفعيل الماكرو لعرض المحتوى" — يبدو إجراءً تقنياً عادياً لا خطر فيه
💥 حجم الكارثة
1.6M
جهاز مصاب حول العالم
$1B+
خسائر في الولايات المتحدة وحدها
8 دول
شاركت في عملية إيقافها 2021
Ryuk
برنامج فدية ابتزّ مستشفيات عبرها
بريد Emotet الفعلي — ردٌّ على محادثة حقيقية، مرفق ZIP، لا شيء يثير الشك
💬 فكّر: لو وصلك هذا البريد اليوم — ما الذي كان سيوقفك عن فتح المرفق؟
3.8 تطبيق عملي — اختبر نفسك الآن 🎯
ثلاثة تمارين تطبيقية — كل واحد يختبر مهارة مختلفة تعلّمتها في هذا المحور
🔐 تمرين 1 — هل بريدك في خطر؟
haveibeenpwned.com
موقع مجاني أنشأه خبير الأمن Troy Hunt — يتحقق إذا كان بريدك الإلكتروني موجوداً في قواعد بيانات مُسرَّبة من اختراقات حقيقية حول العالم
↗
- فكّر في كلمة مرور تستخدمها حالياً — هل تستخدمها في أكثر من موقع؟
- ادخل على haveibeenpwned.com ↗ وابحث عن بريدك الإلكتروني
- عادةً 60–80% من المستخدمين يجدون بريدهم في تسريب واحد على الأقل
📱 تمرين 2 — اكتشف رسالة التصيّد
📱 مثال: رسالة واتساب مشبوهة — هل تكتشف المؤشرات؟
🧠 ما العلامات التي تكشف أنها رسالة تصيّد؟
📞 تمرين 3 — محاكاة مكالمة هندسة اجتماعية
📖 السيناريو
تلقّيت مكالمة: "ألو؟ أنا محمد من فريق الدعم التقني في Gmail. لاحظنا اختراقاً لحسابك قبل دقائق. نحتاج فقط الكود الذي سنرسله لك الآن على الهاتف للتأكّد أن الحساب ما زال لك."
🧠 ماذا تفعل؟
ما ردّك الصحيح على هذه المكالمة؟
🎯 طبّق الآن
- افتح Gmail أو Facebook → Settings → Security → فعّل المصادقة الثنائية
- اختر تطبيق Authenticator (Aegis أو Raivo) — ليس SMS
- احفظ رموز الاسترداد في مكان آمن
خلاصة المحور
- كلمة المرور القوية وحدها لا تكفي — المصادقة الثنائية خط الدفاع الأساسي
- التصيّد لا يخترق الجهاز بل يخترق الإنسان — التحقق دائماً قبل النقر
- الهندسة الاجتماعية تستغل الثقة والاستعجال — التوقف لحظة يمنع كارثة
- تطبيقات المراسلة ليست متساوية في الأمان — الاختيار الصحيح يحمي محادثاتك
المحور الرابع
💻 حماية الأجهزة والمصادر
التشفير الكامل · النسخ الاحتياطي · أجهزة التجسس · حماية المصادر الحسّاسة
⏱️ 75 دقيقة
💡 ربط مع المحاور السابقة
حمينا الشبكة والبيانات والحسابات. يبقى الجهاز نفسه — وحماية المصادر في أكثر السياقات حساسية.
4.1 تشفير الأجهزة الكامل (Full-Disk Encryption)
إذا فقدت جهازك أو سُرق، التشفير الكامل هو الفرق بين "خسارة الجهاز فقط" و"خسارة كل بياناتك"
ماذا يعني التشفير الكامل؟
كل ملفاتك مشفّرة على القرص تلقائياً — حتى لو فُصِل القرص وأُدخِل في جهاز آخر، البيانات غير قابلة للقراءة بدون كلمة مرورك
1
افتح الإعدادات
Settings → Privacy & Security → Device Encryption / BitLocker
2
احفظ مفتاح الاسترداد
في حساب Microsoft أو اطبعه واحفظه في مكان آمن
3
انتظر اكتمال التشفير
قد يستغرق ساعات لأول مرة — لا تغلق الجهاز خلالها
⚠️ BitLocker متوفر فقط في Windows Pro/Enterprise — للمنزلي استخدم VeraCrypt
1
افتح إعدادات النظام
System Settings → Privacy & Security → FileVault → Turn On
2
احفظ مفتاح الاسترداد
يُعرض مرة واحدة فقط — دوّنه في مكان آمن أو خزّنه في iCloud
التشفير مُفعَّل افتراضياً منذ Android 6 — تحقق من Settings → Security لتأكيد تفعيله
قوّة التشفير مرتبطة بقوّة رمز القفل — استخدم 6+ أرقام أو Alphanumeric
التشفير مُفعَّل تلقائياً عند ضبط Passcode على iPhone
⚠️ 6 أرقام ليست كافية للحسابات الحسّاسة — استخدم Alphanumeric Passcode من Settings → Face ID & Passcode
للأهداف عالية المخاطر وأصحاب المعلومات الحسّاسة: فعّل Lockdown Mode في الإعدادات
⚠️ قاعدة مهمة
التشفير لا يحميك إذا كان الجهاز "مفتوحاً" ومستخدَماً. اضبط القفل التلقائي على 30 ثانية أو أقل.
4.2 النسخ الاحتياطي الآمن
هجمات الفدية (Ransomware) وسرقة الأجهزة تجعل النسخ الاحتياطي ضرورة أمنية — لا ترفاً
نسخة خارج موقعك
نسخة واحدة على الأقل بعيدة جسدياً عنك — للكوارث والسرقة
نوعان مختلفان
قرص خارجي + سحاب مشفَّر — لا تضع كل بيضك في سلة واحدة
ثلاث نُسَخ
من بياناتك المهمّة — لا تعتمد على نسخة واحدة أبداً
⚠️ لا تحفظ كلمة مرور التشفير
على نفس الجهاز الذي يحتوي البيانات — اكتبها وضعها في مكان مادي آمن
حماية المصادر — أدوات وبروتوكولات العمل الحسّاس
مادة مرجعية
+
إذا كنت تعمل في تحقيق حسّاس، حماية مصدرك ليست خياراً — بل واجب مهني وأخلاقي.
📡 قنوات الاتصال الآمن
تطبيق آمن للتواصل الحسّاس
الخيار الأول دولياً — تشفير كامل، لا metadata، ميزة الرسائل المختفية
مجاني
🛠️ الأدوات المتقدّمة
Tor Browser ↗
يُخفي عنوان IP عبر ثلاث طبقات · للوصول لمصادر في بيئات مراقَبة · ⚠️ استخدامه قد يُلفت الانتباه في بعض البلدان
Tails OS ↗
نظام تشغيل من USB، لا يترك أثراً · يوجّه كل الاتصالات عبر Tor · مصمّم للعمل في بيئات عالية الحساسية
Dangerzone ↗
يُعقِّم المستندات المشبوهة (PDF, Word) · يحوّلها لنسخة آمنة · من Freedom of the Press Foundation
📋 القواعد الذهبية
⚠️ خطأ كلاسيكي — البيانات الوصفية (Metadata)
عند نشر صورة أو PDF من مصدرك، قد تحوي معلومات مخفيّة (موقع، وقت، نوع الجهاز). استخدم ExifTool أو Scrambled Exif لمسحها قبل النشر.
4.3 أمن الجوال — الجهاز الذي لا يفارقك
إعدادات الأساس التي يجب تطبيقها على كل جهاز
رمز مرور طويل
6+ أرقام أو Alphanumeric — ليس 4 أرقام أبداً
قفل تلقائي سريع
30 ثانية أو أقل — تأكّد من تعديل هذا الإعداد اليوم
إشعارات الشاشة المقفلة
أوقف إظهار محتوى الإشعارات على الشاشة المقفلة للحسّاس
المساعد الصوتي
عطّل Siri/Assistant على الشاشة المقفلة من الإعدادات
- Settings → Face ID & Passcode → Erase Data بعد 10 محاولات
- Settings → Privacy → App Tracking Transparency — مفعّل
- iCloud: فعّل "Advanced Data Protection" للتشفير الكامل
- للأهداف عالية المخاطر: فعّل Lockdown Mode
4.4 دراسة حالة واقعية: سرقة حواسيب NASA وبيانات غير مشفَّرة
📖 ما الذي حدث؟
في عام 2012، كشف مكتب المفتش العام لـ NASA أن الوكالة فقدت أو سُرقت منها 48 حاسوباً محمولاً خلال عامين — من بينها حاسوب يحتوي على أكواد التحكم في محطة الفضاء الدولية (ISS). الأخطر أن غالبية هذه الأجهزة كانت غير مشفَّرة، مما أتاح الوصول المباشر لكل ما عليها.
NASA — إحدى أكثر المؤسسات تطوراً في العالم، وقعت في خطأ التشفير الأساسي
💥 الأضرار التي ترتّبت
48
حاسوباً مفقوداً أو مسروقاً في عامين
ISS
أكواد التحكم بالمحطة الفضائية الدولية مكشوفة
بيانات موظفين
معلومات شخصية وأبحاث سرية في متناول أي شخص
صفر تشفير
معظم الأجهزة بلا حماية رغم حساسية بياناتها
💬 فكّر: ماذا كان يمكن أن يحدث لو كانت هذه الأجهزة مشفَّرة؟ وما الذي يمنعك من تفعيل التشفير الآن؟
4.5 حقيبة أدواتك الرقمية 🧰
🔐
Aegis / Raivo
مجاني
مصادقة ثنائية
Android: Aegis · iPhone: Raivo — بديل آمن لـ Google Authenticator
خلاصة المحور
- التشفير الكامل للجهاز هو آخر خط دفاع عند السرقة أو المصادرة
- النسخ الاحتياطي المنتظم يحمي من الفقدان — المشفَّر منه يحمي من الاختراق أيضاً
- حماية المعلومات الحسّاسة تبدأ بفصل بيانات العمل عن الاستخدام الشخصي
- أمن الجهاز المحمول بالغ الأهمية — إعدادات بسيطة تصنع فارقاً كبيراً