حفاظت از اسناد، حفاظت از انسان‌ها

اما آرشیوی که درباره جان‌باختگان، زندانیان و افراد در معرض اعدام در ایران اطلاعات جمع‌آوری می‌کند، مسئولیت دیگری هم دارد: حفاظت از انسان‌هایی که پشت این اطلاعات قرار دارند.

پشت یک نام ممکن است خانواده‌ای باشد که هنوز در ایران زندگی می‌کند. یک عکس ممکن است اطلاعاتی در خود داشته باشد که فرستنده حتی از وجود آن خبر ندارد. یک اصلاحیه ممکن است از طرف کسی فرستاده شود که نمی‌تواند با امنیت هویت خود را فاش کند. یک سند ممکن است برای تأیید یک پرونده بسیار مهم باشد، اما حاوی اطلاعاتی باشد که هرگز نباید عمومی شود.

به همین دلیل، امنیت و حریم خصوصی برای ما چیزی نیست که بعداً به سایت اضافه شده باشد. این ملاحظات بخشی از شیوهٔ طراحی و ادارهٔ آرشیو هستند.

در عین حال می‌خواهیم درباره محدودیت‌های امنیت نیز کاملاً شفاف باشیم:

هیچ وب‌سایتی نمی‌تواند امنیت یا ناشناس‌ماندن صددرصدی کاربران را تضمین کند.

بنابراین اصل ما این است: اطلاعات شخصی غیرضروری را جمع نکنیم، اطلاعات خصوصی را از آرشیو عمومی جدا نگه داریم، دسترسی به اطلاعات حساس را محدود کنیم و تا جای ممکن اختیار انتشار اطلاعات را در دست خانواده‌ها و ارسال‌کنندگان آن نگه داریم.

برای استفاده از سایت لازم نیست هویت خود را اعلام کنید

برای خواندن «کشتار ایران» نیازی به ساخت حساب کاربری نیست.

برای ارسال نام، مدرک یا اصلاح اطلاعات هم لازم نیست حساب داشته باشید.

نام و اطلاعات تماس ارسال‌کننده اختیاری است. اگر معرفی خودتان ممکن است برای شما خطر ایجاد کند، از وارد کردن این اطلاعات خودداری کنید.

ما از ارسال‌کنندگان نمی‌خواهیم آدرس منزل یا اطلاعات هویتی غیرضروری خود را برای ما بفرستند.

اصل ساده است:

اطلاعاتی را که برای مستندسازی لازم نداریم، نباید جمع‌آوری کنیم.

IP خام بازدیدکنندگان را نگهداری نمی‌کنیم

«کشتار ایران» IP خام بازدیدکنندگان را نگهداری نمی‌کند.

در عین حال، یک وب‌سایت عمومی باید بتواند از فرم‌های خود در برابر حملات خودکار و سوءاستفاده محافظت کند. برای این منظور، سیستم می‌تواند از یک نسخهٔ یک‌طرفه و غیرقابل‌بازگشت از آدرس استفاده کند، بدون اینکه خود IP خام را نگهداری کند.

هدف از این کار مقابله با سوءاستفاده از سایت است، نه شناسایی بازدیدکنندگان.

برای خواندن سایت نیز نیازی به کوکی‌های تبلیغاتی یا ردیابی نیست.

تنظیماتی مانند زبان، حالت نمایش، حالت مصرف کم‌داده و نام‌هایی که کاربر ذخیره کرده، می‌تواند روی دستگاه خود کاربر باقی بماند.

«مدرک ارسالی» با «محتوای عمومی» یکی نیست

این یکی از مهم‌ترین اصول امنیتی آرشیو است.

اگر کسی عکس، سند یا اطلاعاتی برای ما ارسال کند، این به معنی اجازهٔ انتشار خودکار آن نیست.

اطلاعاتی که برای بررسی یک پرونده دریافت می‌کنیم از محتوایی که در سایت عمومی نمایش داده می‌شود جداست.

دسترسی به مطالب خصوصی و ارسالی محدود است و صرفاً داشتن یک مدرک به معنی عمومی‌کردن آن نیست.

ممکن است یک خانواده یا شاهد اطلاعاتی در اختیار ما قرار دهد که به تأیید هویت یا سرنوشت یک فرد کمک کند، اما نخواهد خود آن سند منتشر شود.

ما باید بتوانیم از آن مدرک برای تحقیق استفاده کنیم، بدون اینکه منبع یا خانواده را بی‌دلیل در معرض خطر قرار دهیم.

یک عکس می‌تواند بیشتر از چیزی که دیده می‌شود اطلاعات داشته باشد

فایل‌های عکس ممکن است حاوی اطلاعات پنهانی مانند زمان ثبت تصویر، نوع دستگاه و در بعضی موارد موقعیت جغرافیایی باشند.

در شرایط ایران، چنین اطلاعاتی می‌تواند حساس باشد.

به همین دلیل در فرایند دریافت و آماده‌سازی تصاویر، حذف اطلاعات غیرضروری فایل یکی از اقدامات حفاظتی ماست.

نسخه‌ای که برای انتشار آماده می‌شود نباید اطلاعات پنهانی داشته باشد که بتواند ناخواسته به شناسایی یا موقعیت فردی کمک کند.

در مورد ویدئوها احتیاط بیشتری لازم است. اگر ویدئویی ممکن است اطلاعات حساس درباره فرستنده، محل یا افراد حاضر در تصویر داشته باشد، بهتر است پیش از ارسال بررسی شود.

محتوای شبکه‌های اجتماعی خودکار بارگذاری نمی‌شود

گاهی برای مستندسازی یک پرونده لازم است به ویدئو یا پستی در YouTube، Instagram، TikTok، Telegram یا سرویس‌های دیگر ارجاع بدهیم.

اما بارگذاری مستقیم چنین محتوایی می‌تواند باعث شود مرورگر کاربر با آن سرویس خارجی ارتباط برقرار کند.

به همین دلیل محتوای خارجی صرفاً با باز شدن صفحه به‌صورت خودکار بارگذاری نمی‌شود.

کاربر انتخاب می‌کند که آیا می‌خواهد آن محتوا را باز کند یا نه.

این موضوع مخصوصاً برای افرادی اهمیت دارد که نمی‌خواهند هنگام مطالعه آرشیو، بدون اطلاع خود با سرویس‌های دیگر ارتباط برقرار کنند.

امنیت سایت لایه‌لایه است

امنیت یک دکمه یا یک نرم‌افزار نیست.

برای محافظت از سایت عمومی از HTTPS و مجموعه‌ای از سیاست‌های امنیتی مرورگر و شبکه استفاده می‌کنیم. هدف این لایه‌ها کاهش خطر حملات رایج، محدودکردن اجرای محتوای ناخواسته و جلوگیری از دسترسی‌های غیرضروری است.

Cloudflare نیز یکی از لایه‌های محافظتی سایت عمومی است و به مقابله با بخشی از ترافیک مخرب و حملات خودکار کمک می‌کند.

اما هیچ‌کدام از این اقدامات به این معنی نیست که سایت «غیرقابل هک» است.

امنیت برای ما مجموعه‌ای از لایه‌های دفاعی است، نه ادعای مصونیت کامل.

دسترسی مدیریتی با سایت عمومی یکسان نیست

کسی که از آرشیو عمومی بازدید می‌کند نباید به اطلاعات خصوصی یا ابزارهای مدیریتی دسترسی داشته باشد.

بخش‌های مدیریتی نیازمند احراز هویت هستند و دسترسی اعضای تیم بر اساس مسئولیت آن‌ها محدود می‌شود.

همین اصل درباره سیستم تحقیقاتی و ابزارهای هوش مصنوعی ما هم وجود دارد.

سیستم‌های خودکار می‌توانند یک تطبیق احتمالی پیدا کنند، duplicate احتمالی را علامت بزنند یا یک منبع جدید پیشنهاد کنند.

اما پیشنهاد سیستم به معنی انتشار نیست.

ماشین پیشنهاد می‌دهد؛ انسان بررسی و تصمیم می‌گیرد.

تغییر در سابقهٔ عمومی یک انسان نباید فقط با تصمیم یک الگوریتم انجام شود.

برای افراد زنده، استاندارد متفاوتی داریم

این آرشیو فقط درباره گذشته نیست.

ما پروندهٔ زندانیان و افرادی را که با حکم اعدام یا خطر اعدام روبه‌رو هستند نیز دنبال می‌کنیم.

اینجا انتشار اطلاعات می‌تواند پیامد واقعی و فوری داشته باشد.

قبل از انتشار اطلاعات درباره یک زندانی یا فرد در معرض اعدام، فقط نمی‌پرسیم که «آیا این اطلاعات درست است؟»

می‌پرسیم:

«آیا انتشار این اطلاعات ممکن است به خود فرد، خانواده‌اش یا پروندهٔ حقوقی او آسیب بزند؟»

آدرس منزل، شماره تلفن، شماره‌های شناسایی، محل کار، اطلاعات غیرضروری اعضای خانواده و اطلاعات خصوصی که خانواده یا ارسال‌کننده در اختیار ما گذاشته، نباید صرفاً به دلیل اینکه در اختیار آرشیو قرار گرفته عمومی شود.

در موارد لازم، اطلاعات همچنین می‌تواند از موتورهای جست‌وجو یا بعضی قابلیت‌های انتشار عمومی دور نگه داشته شود.

خانواده‌ها بخشی از فرایند اصلاح هستند

هدف این آرشیو تصاحب روایت قربانیان نیست.

اگر خانواده‌ای اطلاعات دقیق‌تری دارد، اشتباهی می‌بیند، می‌خواهد عکسی اصلاح شود یا درباره انتشار اطلاعاتی نگرانی دارد، باید راهی برای تماس و درخواست بررسی داشته باشد.

اصلاح یک اشتباه برای ما شکست نیست.

اصلاح، بخشی از یک آرشیو مسئولانه است.

همین موضوع درباره duplicateها نیز صدق می‌کند. اگر مشخص شود دو رکورد متعلق به یک نفر بوده‌اند، هدف پاک‌کردن بی‌سر و صدای یکی از آن‌ها نیست؛ باید اطلاعات و منابع بررسی و به‌درستی ادغام شوند.

منبع حکومتی، منبع حقوق‌بشری و AI یک چیز نیستند

حفاظت از آرشیو فقط امنیت فنی نیست. حفاظت از صحت اطلاعات هم بخشی از امنیت این پروژه است.

هیچ دولت، رسانه، سازمان یا سیستم هوش مصنوعی نباید به‌تنهایی تعیین‌کنندهٔ حقیقت در این آرشیو باشد.

ما از روش‌های OSINT یا اطلاعات منبع‌باز استفاده می‌کنیم و تلاش می‌کنیم گزارش سازمان‌های حقوق‌بشری، رسانه‌ها، اطلاعات خانواده‌ها، منابع عمومی، تصاویر، ویدئوها و سایر آرشیوها را اسم‌به‌اسم و منبع‌به‌منبع با یکدیگر تطبیق دهیم.

اطلاعات رسمی حکومت نیز ممکن است برای تطبیق و تحقیق استفاده شود، اما منبع مستقل محسوب نمی‌شود.

هوش مصنوعی هم ممکن است یک سرنخ پیدا کند، اما سرنخ با مدرک یکی نیست.

منبع هر ادعا برای ما اهمیت دارد.

Cloudflare چه کاری می‌کند — و چه کاری نمی‌کند

Cloudflare یکی از لایه‌های زیرساختی سایت عمومی ماست.

این سرویس میان بخش عمومی وب‌سایت و بخشی از ترافیک اینترنت قرار می‌گیرد و می‌تواند به مقابله با حملات خودکار و ترافیک مخرب کمک کند.

اما ما نمی‌گوییم Cloudflare سایت یا اعضای تیم را «ناشناس» می‌کند.

چنین ادعایی دقیق نیست.

هیچ لایهٔ فنی به‌تنهایی نمی‌تواند ناشناس‌ماندن کامل یا امنیت مطلق را تضمین کند.

هدف ما دفاع چندلایه و کاهش ریسک است، نه ایجاد احساس امنیت کاذب.

اگر داخل ایران هستید

این بخش برای ما اهمیت ویژه‌ای دارد.

ما نمی‌توانیم تضمین کنیم استفاده از این سایت از داخل ایران بدون خطر است.

هیچ VPN، مرورگر، HTTPS یا ابزار حریم خصوصی نمی‌تواند چنین تضمینی بدهد.

برای خواندن آرشیو نیازی به حساب کاربری یا ارائه ایمیل ندارید.

اگر اطلاعاتی برای ما ارسال می‌کنید، لازم نیست نام یا اطلاعات تماس خودتان را وارد کنید.

اگر یک لینک عمومی می‌تواند مدرک مورد نیاز را در اختیار ما بگذارد، ارسال همان لینک ممکن است بهتر از ارسال فایل یا اطلاعاتی باشد که هویت شما را آشکار می‌کند.

در مورد عکس و ویدئو نیز باید به اطلاعات پنهان فایل، محل ثبت تصویر و چیزهایی که ممکن است فرستنده یا افراد حاضر در تصویر را شناسایی کند توجه داشت.

و مهم‌تر از همه:

اگر ارسال یک مدرک می‌تواند شما، خانوادهٔ یک قربانی، شاهد یا فرد دیگری را در معرض خطر قرار دهد، آن را برای ما ارسال نکنید.

کامل‌تر شدن این آرشیو هرگز مهم‌تر از امنیت یک انسان نیست.

امنیت یک فرایند ادامه‌دار است

«کشتار ایران» یک آرشیو زنده است و همچنان در حال توسعه است.

با اضافه‌شدن هر قابلیت جدید، باید خطرات جدید آن را هم بررسی کنیم.

نگهداری پروندهٔ یک جان‌باخته با انتشار اطلاعات درباره یک زندانی زنده یکسان نیست. نگهداری یک لینک عمومی با دریافت یک سند خصوصی یکسان نیست. و ابزارهایی که امروز مناسب هستند ممکن است فردا نیاز به تغییر داشته باشند.

بنابراین امنیت این پروژه را یک کار تمام‌شده نمی‌دانیم.

اگر ضعفی پیدا کنیم، مسئولیت ما این نیست که وانمود کنیم وجود نداشته است.

مسئولیت ما این است که آن را بررسی کنیم، اصلاح کنیم و از آن یاد بگیریم.

همان اصلی که در مستندسازی قربانیان داریم، در امنیت هم باید رعایت شود:

بیشتر از چیزی که شواهد اجازه می‌دهد ادعا نکنیم.

«کشتار ایران» برای این ساخته شده که نام‌ها، چهره‌ها و اسناد فراموش نشوند.

اما حفاظت از این اسناد، بدون حفاظت از انسان‌هایی که آن‌ها را در اختیار ما می‌گذارند، کامل نیست.