ماکسی مارلینسپایک

ماکسی مارلینسپایک، (نام شایعه تولد: متیو روزنفلد یا مایک بنهام) یک کارآفرین، رمزنگار، و محقق در زمینهٔ امنیت رایانهٔ آمریکایی است. مارلینسپایک خالق سیگنال، یکی از بنیانگذاران بنیاد فناوری سیگنال، و اولین مدیر عامل Signal Messenger LLC بوده‌است. او همچنین یکی از نویسندگان رمزگذاری پروتکل سیگنال است که مورد استفادهٔ سیگنال، واتس‌اپ، فیسبوک مسنجر، و اسکایپ است.

مارلینسپایک رئیس سابق تیم امنیتی توییتر و مؤلف یک سامانهٔ احراز هویت SSL پیشنهادی به نام Convergence است. او قبلاً یک سرویس کرک دسترسی حفاظت شده به WiFi مبتنی بر ابر و یک سرویس ناشناس هدفمند به نام GoogleSharing داشت.

حرفه 
مارلینسپایک که در اصل اهل ایالت جورجیا بود، در اواخر دهه ۱۹۹۰ در سن ۱۸ سالگی به سانفرانسیسکو نقل مکان کرد. او سپس برای چندین شرکت فناوری، از جمله سازندهٔ نرم‌افزار زیرساخت‌های سازمانی BEA Systems Inc. کار کرد. در سال ۲۰۰۴، مارلینسپایک یک قایق بادبانی متروکه خرید و به همراه سه دوستش، آن را بازسازی کرد و در حوالی باهاما قایقرانی کرد، در حالی که یک «ولاگ» دربارهٔ سفر خود به نام Hold Fast ساخت.

در سال ۲۰۱۰، مارلینسپایک مدیر ارشد فناوری و یکی از بنیانگذاران Whisper Systems، یک شرکت راه‌اندازی امنیت تلفن همراه سازمانی بود. در می ۲۰۱۰، Whisper Systems TextSecure و RedPhone را راه‌اندازی کرد. این‌ها برنامه‌هایی بودند که به ترتیب پیامک رمزگذاری شده و تماس صوتی را ارائه می‌کردند. توییتر در اواخر سال ۲۰۱۱ شرکت را به مبلغی نامشخص تصاحب کرد. این خرید «در درجهٔ اول به این دلیل انجام شد که آقای مارلینسپایک بتواند به استارت‌آپ آن زمان کمک کند تا امنیت خود را بهبود بخشد». در زمان او به عنوان رئیس امنیت سایبری توییتر، این شرکت برنامه‌های Whisper Systems را منبع باز ساخت.

مارلینسپایک در اوایل سال ۲۰۱۳ توییتر را ترک کرد و Open Whisper Systems را به عنوان یک پروژهٔ منبع باز مشترک برای توسعه مداوم TextSecure و RedPhone تأسیس کرد. در آن زمان، مارلینسپایک و Trevor Perrin شروع به توسعهٔ پروتکل سیگنال کردند، نسخه اولیه آن برای اولین بار در برنامه TextSecure در فوریه ۲۰۱۴ معرفی. در نوامبر ۲۰۱۵، Open Whisper Systems برنامه‌های TextSecure و RedPhone را به عنوان سیگنال یکسان کرد. بین سال‌های ۲۰۱۴ تا ۲۰۱۶، مارلینسپایک با واتس‌اپ، فیس‌بوک و گوگل همکاری کرد تا پروتکل سیگنال را در سرویس‌های پیام‌رسانی خود ادغام کند.

در ۲۱ فوریه ۲۰۱۸، برایان اکتون، یکی از بنیان‌گذاران مارلینسپایک و واتساپ، تشکیل بنیاد فناوری سیگنال و زیرمجموعه آن، سیگنال مسنجر LLC را اعلام کرد. مارلینسپایک تا زمانی که در ۱۰ ژانویه ۲۰۲۲ کناره‌گیری کرد، به عنوان اولین مدیر عامل پیام رسان سیگنال خدمت کرد.

پژوهش

حذف SSL 
در مقاله‌ای در سال ۲۰۰۹، مارلینسپایک مفهوم SSL stripping را معرفی کرد، حمله‌ای که در آن یک مهاجم شبکه می‌تواند از ارتقاء یک مرورگر وب به یک اتصال SSL به روشی جلوگیری کند که احتمالاً مورد توجه کاربر قرار نگیرد. او همچنین از انتشار ابزاری به نام sslstrip خبر داد که به‌طور خودکار این نوع حملات انسان در میان را انجام می‌دهد. مشخصاتHTTP Strict Transport Security (HSTS) متعاقباً برای مبارزه با این حملات توسعه یافت.

حملات پیاده‌سازی SSL 
مارلینسپایک تعدادی آسیب‌پذیری مختلف را در پیاده‌سازی‌های SSL محبوب کشف کرده‌است. قابل ذکر است، او مقاله ای در سال 2002 در مورد بهره‌برداری از پیاده‌سازی‌های SSL/TLS منتشر کرد که به درستی پسوند X.509 v3 "BasicConstraints" را در زنجیره‌های گواهی کلید عمومی تأیید نکرد. این به هر کسی که یک گواهی معتبر امضا شده با CA برای هر نام دامنه ای داشته باشد، اجازه می‌دهد تا گواهینامه‌های معتبر امضا شده با CA را برای هر دامنه دیگری ایجاد کند. پیاده‌سازی‌های آسیب‌پذیر SSL/TLS شامل Microsoft CryptoAPI می‌شد که اینترنت اکسپلورر و سایر نرم‌افزارهای ویندوز را که بر اتصالات SSL/TLS متکی بودند، در برابر حمله مرد میانی آسیب‌پذیر می‌کرد. در سال ۲۰۱۱، همان آسیب‌پذیری کشف شد که در اجرای SSL/TLS در iOS شرکت اپل باقی مانده‌است. همچنین، مارلینسپایک مقاله‌ای در سال ۲۰۰۹ ارائه کرد که در آن مفهوم حمله با پیشوند تهی به گواهی‌های SSL را معرفی کرد. او فاش کرد که همه پیاده‌سازی‌های اصلی SSL نتوانستند به درستی مقدار Common Name یک گواهی را تأیید کنند، به طوری که می‌توان آن‌ها را فریب داد تا گواهی‌های جعلی را با جاسازی کاراکترهای تهی در فیلد CN بپذیرند.

راه حل‌هایی برای مشکل مرجع صدور گواهی 
در سال ۲۰۱۱، مارلینسپایک در کنفرانس امنیتی کلاه سیاه در لاس وگاس سخنرانی با عنوان «SSL و آینده اصالت» ارائه کرد. او بسیاری از مشکلات مربوط به مراجع صدور گواهی را بیان کرد و از عرضه یک پروژه نرم‌افزاری به نام Convergence برای جایگزینی آنها خبر داد. در سال ۲۰۱۲، مارلینسپایک و پرین یک پیش نویس اینترنتی برای TACK, که برای ارائه پین کردن گواهینامه SSL و کمک به حل مشکل CA طراحی شده بود، به کارگروه مهندسی اینترنت ارائه کردند.

کرک کردن MS-CHAPv2 
در سال ۲۰۱۲، مارلینسپایک و David Hulton تحقیقاتی را ارائه کردند که امکان کاهش امنیت دست دادن MS-CHAPv2 را به یک رمزگذاری DES فراهم می‌کند. هالتن سخت‌افزاری ساخت که قادر بود رمزگذاری باقیمانده DES را در کمتر از ۲۴ ساعت شکست دهد و این دو سخت‌افزار را در دسترس همگان قرار دادند تا به عنوان یک سرویس اینترنتی از آن استفاده کنند.

جنجال نظارت Mobily 
در سال ۲۰۱۳، مارلینسپایک ایمیل‌هایی را در وبلاگ خود منتشر کرد که ادعا می‌کرد از طرف سرویس مخابراتی عربستان سعودی Mobily است و از او برای نظارت بر مشتریانشان، از جمله رهگیری ارتباطاتی که از طریق برنامه‌های کاربردی مختلف انجام می‌شود، کمک می‌خواست. مارلینسپایک از کمک خودداری کرد و در عوض ایمیل‌ها را عمومی کرد. موبیلی این اتهامات را رد کرد. این شرکت گفت: «ما هرگز با هکرها ارتباط برقرار نمی‌کنیم.»

مسافرت کردن 
مارلینسپایک می‌گوید زمانی که در داخل ایالات متحده پرواز می‌کند، نمی‌تواند کارت پرواز خود را چاپ کند، برای صدور آن باید از نمایندگان فروش بلیط هواپیما تماس تلفنی برقرار کند و در پست‌های بازرسی امنیتی TSA تحت غربالگری ثانویه قرار می‌گیرد.

مارلینسپایک در حالی که در سال ۲۰۱۰ با یک پرواز از جمهوری دومینیکن وارد ایالات متحده می‌شد، توسط مأموران فدرال به مدت نزدیک به پنج ساعت بازداشت شد، تمام دستگاه‌های الکترونیکی او مصادره شد و در ابتدا مأموران ادعا کردند که او تنها در صورتی آنها را پس می‌گیرد که رمز عبور خود را ارائه دهد تا آنها بتوانند پسوردهای خود را ارائه دهند. می‌تواند داده‌ها را رمزگشایی کند. مارلینسپایک از انجام این کار امتناع کرد و دستگاه‌ها در نهایت بازگردانده شدند، اگرچه او خاطرنشان کرد که دیگر نمی‌تواند به آن‌ها اعتماد کند، و گفت: «آنها می‌توانستند سخت‌افزار را اصلاح کنند یا سیستم عامل صفحه‌کلید جدیدی را نصب کنند».

سخنرانی‌ها 
 DEF CON 17: "ترفندهای بیشتر برای شکست دادن SSL"
 DEF CON 18 و Black Hat 2010: "تغییر تهدیدات به حریم خصوصی"
 DEF CON 19 و Black Hat 2011: "SSL و آینده اصالت"
 DEF CON 20: "شکست PPTP VPN و WPA2 با MS-CHAPv2"
 Webstock '15: "ساده کردن ارتباطات خصوصی"
 36C3: "اکوسیستم در حال حرکت است"

به رسمیت شناخته شدن 
 در سال‌های ۲۰۱۳ و ۲۰۱۴، بنیاد شاتل‌ورث مجموعاً ۲۸۹,۴۸۷.۱۸ دلار به مارلینسپایک برای Open Whisper Systems کمک مالی کرد.
 در سال ۲۰۱۶، مجله فورچون مارلینسپایک را در میان ۴۰ نفر زیر ۴۰ سال خود به دلیل مؤسس Open Whisper Systems و «[رمزگذاری] ارتباطات بیش از یک میلیارد نفر در سراسر جهان» معرفی کرد. Wired همچنین مارلینسپایک را به عنوان یکی از ۲۵ نابغه ای که آینده کسب و کار را خلق می‌کنند، به "لیست بعدی ۲۰۱۶" خود معرفی کرد.
 در سال ۲۰۱۷، مارلینسپایک و پرین جایزه Levchin را برای رمزنگاری دنیای واقعی «برای توسعه و استقرار گسترده پروتکل سیگنال» دریافت کردند.

منابع 
افراد زنده
زادگان دهه ۱۹۸۰ (میلادی)
کارآفرینان اهل جورجیا

رمزنگاران اهل ایالات متحده آمریکا
سایفرپانک‌ها