اینترنت میان دو دیوار؛ فیلتر از داخل، محدودیت از بیرون

به گزارش پیوست، کاربر ایرانی برای رسیدن به بخشی از اینترنت جهانی فقط با فیلترینگ داخل کشور روبه‌رو نیست. حتی اگر از سد محدودیت داخلی عبور کند، ممکن است در مقصد با پیام«Forbidden»، خطای 403 یا محدودیت جغرافیایی دیگری مواجه شود. بررسی ۱۰۰ وب‌سایت و سرویس بین‌المللی در مرداد ۱۴۰۵ نشان می‌دهد دسترسی کاربران ایرانی به اینترنت جهانی دست‌کم از دو سمت محدود می‌شود. بخشی از سرویس‌ها در شبکه ایران مسدود شده‌اند و بخشی دیگر درخواست رسیده از ایران را در سمت سرویس خارجی نمی‌پذیرند.

این آزمایش روی ۱۰۰ سرویس و وب‌سایت منتخب، یک‌بار از اتصال داخل ایران و یک‌بار از یک VPS در آلمان به‌عنوان نقطه کنترل انجام شد. نتیجه اولیه این بود که صفحه اصلی ۶۴ سرویس از ایران پاسخ داد، در ۱۳ مورد شواهد قوی از فیلترینگ در سطح DNS مشاهده شد، ۱۲ سرویس از ایران با 403 پاسخ دادند در حالی که همان درخواست از آلمان با این خطا مواجه نشد، در هفت مورد اتصال از ایران به نتیجه پایدار نرسید و منشا اختلال مشخص نشد و چهار سرویس نیز از هر دو نقطه 403 برگرداندند. این آزمایش دسترسی به صفحه اصلی را می‌سنجد به همین دلیل بازشدن یک وب‌سایت لزوما به معنای امکان استفاده از آن نیست. برخی سرویس‌ها هم نام ایران را در لیست خود ندارند.

فهرست مورد بررسی از دو بخش تشکیل شده است. ۵۰ وب‌سایت و سرویس جریان‌اصلی و پربازدید جهانی که با اتکا به رتبه‌بندی‌های عمومی وب و سرویس‌های اینترنتی انتخاب شدند و ۵۰ سرویس دیگر که به دلیل اهمیت آنها برای کاربران حرفه‌ای و اقتصاد دیجیتال در حوزه‌هایی مانند رایانش ابری، هوش مصنوعی، توسعه نرم‌افزار، ابزارهای کاری، طراحی و زیرساخت اینترنت به نمونه اضافه شدند. هدف این نمونه‌گیری ارائه تصویری از هر دو سوی مساله بود. هم اینترنت عمومی که کاربران روزمره با آن مواجه‌اند و هم خدماتی که برای فعالیت حرفه‌ای و کسب‌وکارهای دیجیتال اهمیت دارند.

یک آدرس برای ۱۳ سایت متفاوت

روشن‌ترین الگوی محدودیت داخلی در DNS دیده شد. هنگام درخواست از ایران، دامنه ۱۳ سرویس نامرتبط به یکدیگر به آدرس خصوصی 10.10.34.36 هدایت شدند. یوتیوب، فیسبوک، اینستاگرام، ردیت، X، تیک‌تاک، نت‌فلیکس، توئیچ، VK، تلگرام، دیسکورد، وردپرس (.com) و Quora در این گروه قرار گرفتند.

این بخش تقریبا  همان چهره آشنای محدودیت اینترنت برای کاربران ایرانی است. تصمیم در سمت شبکه داخلی گرفته شده و درخواست پیش از رسیدن به سرویس مقصد منحرف یا متوقف می‌شود.

اما آزمایش در گروه دیگری از سایت‌ها الگوی متفاوتی نشان داد. DNS درست کار می‌کرد، درخواست از شبکه ایران به زیرساخت خارجی می‌رسید و آنجا با پاسخ 403 مواجه می‌شد. در حالی که همان سرویس از آلمان پاسخ دیگری می‌داد.

این تفاوت، دیوار دوم را نشان می‌دهد.

۱۲ پاسخ 403 فقط برای ایران

آنالیتیکس، vmware، Booking.com، PayPal، eBay، گوگل‌کلاود، Atlassian، Notion، Miro، Gemini، Replit و Sentry در آزمایش از ایران 403 برگرداندند، در حالی که درخواست نقطه کنترل آلمان با پاسخ غیر403 مواجه شد. در این موارد برخلاف گروه اول، درخواست تا لایه HTTP پیش رفت.

اما 403 در HTTP فقط به این معناست که سرور درخواست را دریافت کرده و از پاسخ‌دادن به آن خودداری کرده است. این کد به‌تنهایی نمی‌گوید چرا درخواست رد شده، چه کسی تصمیم را گرفته یا آیا علت آن تحریم، سیاست تجاری، مدیریت ریسک، کنترل صادرات یا تنظیمات یک سامانه امنیتی بوده است. به همین دلیل بررسی اسناد رسمی شرکت‌ها برای این ۱۲ سرویس نتیجه یکسانی نداشت. بانک شواهد نیز 403 را بدون سند تکمیلی «تحریم» تلقی نکرده است.

در برخی موارد پاسخ نسبتا روشن است. Google Cloud ایران را در اسناد رسمی خود در میان مناطقی قرار داده که دسترسی به برخی خدمات آن محدود است. در آزمایش نیز cloud.google.com از ایران 403 و از آلمان 200 برگرداند. اینجا رفتار فنی مشاهده‌شده با سیاست اعلام‌شده شرکت سازگار است.

eBay نمونه روشن دیگری است. سیاست رسمی این شرکت محدودیت‌هایی را برای اشخاص و سازمان‌های مستقر در ایران تعیین کرده است. در آزمایش نیز درخواست از ایران با 403 مواجه شد و کنترل خارجی پاسخ عادی داشت. در این مورد، برخلاف بسیاری از 403های اینترنت، هم شاهد فنی و هم سند عمومی شرکت وجود دارد.

در مجموعه محصولات Atlassian نیز اسناد رسمی برخی خدمات مانند Trello و Loom مستقیما  محدودیت ایران را با الزامات تحریمی و تجاری مرتبط می‌کنند. دامنه اصلی Atlassian نیز در آزمایش از ایران 403 و از آلمان 200 داد. با این حال حتی در این مورد نمی‌توان از سیاست چند محصول نتیجه گرفت که همه محصولات شرکت دقیقا  با یک قاعده اداره می‌شوند.

Miro نیز در شرایط استفاده و اسناد مربوط به کنترل صادرات محدودیت‌هایی برای ایران دارد. بنابراین 403 مشاهده‌شده از ایران با سیاست عمومی این شرکت سازگار است. اما در Notion و Sentry، با وجود تفاوت آشکار میان نتیجه ایران و آلمان، در بررسی اسناد عمومی شرکت‌ها سیاست روشنی که ممنوعیت ایران را توضیح دهد پیدا نشد. درباره این دو سرویس آنچه فعلا  می‌توان گفت فقط این است که درخواست ایران 403 گرفته و علت عمومی این تفاوت روشن نیست.

این تفاوت اهمیت دارد. عبارت «سرویس‌های تحریم‌شده» همه این وضعیت‌ها را زیر یک عنوان قرار می‌دهد، در حالی که شواهد نشان می‌دهد با چند نوع تصمیم متفاوت روبه‌رو هستیم.

آیا AWS و Google ایران را در سطح زیرساخت می‌بندند؟

یکی از توضیح‌های محتمل برای فراوانی خطای 403 این است که مسدودسازی نه در خود سرویس، بلکه در زیرساخت ابری یا شبکه توزیع محتوا اتفاق بیفتد. بسیاری از وب‌سایت‌های جهان پشت CloudFront آمازون، کلادفلر، آکامای، فستکی یا زیرساخت گوگل قرار دارند و پاسخ 403 نیز ممکن است از همین لایه‌ها تولید شود.

داده‌های این آزمایش اما از فرض «مسدودسازی سراسری ایران توسط یک دیتاسنتر یا CDN» پشتیبانی نمی‌کند.

در میان سایت‌هایی که نشانه‌های AWS CloudFront در مسیر آنها مشاهده شد، رفتار یکسان نبود. آمازون، AWS، IMDb و JetBrains از ایران پاسخ دادند، در حالی که Booking.com و Atlassian روی زیرساخت مشابه از ایران 403 گرفتند. درباره کلادفلر نیز همین تفاوت دیده شد. برخی سرویس‌ها روی این زیرساخت از ایران باز بودند، برخی 403 دادند و برخی دیگر اساسا  پیش از رسیدن به آن در شبکه ایران فیلتر شده بودند.

این نتیجه یک تمایز مهم ایجاد می‌کند، زیرساختی که پاسخ 403 را اجرا می‌کند الزاما نهادی نیست که تصمیم مسدودسازی را گرفته است. صاحب یک وب‌سایت می‌تواند روی CDN یا WAF خود قاعده جغرافیایی تعریف کند و همان زیرساخت درخواست ایران را رد کند. بنابراین مشاهده عبارت CloudFront، کلادفلر یا گوگل در پاسخ فنی نمی‌تواند به‌تنهایی مسئولیت تصمیم را به AWS، کلادفلر یا گوگل نسبت دهد. این قاعده از ابتدا در روش تحقیق لحاظ شده است.

نمونه گوگل نیز همین پیچیدگی را نشان می‌دهد. صفحه اصلی گوگل در آزمایش از ایران 200 گرفت، یوتیوب در ایران در سطح DNS به آدرس خصوصی هدایت شد و Google Cloud و جمنای پس از رسیدن درخواست به سمت خارجی 403 دادند. یک شرکت و زیرساخت‌های مرتبط با آن، سه وضعیت کاملا  متفاوت ایجاد کرده‌اند.

هر محدودیتی تحریم نیست

لایه حقوقی ماجرا نیز به‌اندازه لایه فنی پیچیده است. تحریم‌های آمریکا علیه ایران گسترده‌اند، اما این گزاره که «شرکت آمریکایی حق ارائه هیچ سرویس اینترنتی به ایران ندارد» درست نیست. وزارت خزانه‌داری آمریکا در ۲۳ سپتامبر ۲۰۲۲ با صدور مجوز عمومی ایران D-2 دامنه خدمات و فناوری‌هایی را که می‌توانستند با وجود تحریم‌ها در اختیار کاربران ایرانی قرار گیرند گسترش داد.

هدف اعلام‌شده OFAC در ظاهر حمایت از دسترسی مردم ایران به ابزارهای ارتباطی بود. این مجوز طیفی از خدمات و نرم‌افزارهای مرتبط با ارتباطات اینترنتی، از پیام‌رسانی، ایمیل و شبکه‌های اجتماعی تا اشتراک عکس و ویدئو، مرور وب، پلتفرم‌های همکاری و ویدئوکنفرانس، آموزش آنلاین، ترجمه، نقشه و احراز هویت را دربر می‌گرفت و ارائه برخی خدمات ابری رایگان یا پولی پشتیبان این فعالیت‌ها را نیز مجاز می‌کرد.

OFAC حتی در برخی موارد تصریح کرده بود ارائه‌دهندگان خدمات ابری لازم نیست تک‌تک کاربران نهایی ایرانی را جداگانه بررسی کنند، مشروط بر اینکه سرویس ارائه‌شده در محدوده فعالیت‌های مجاز قرار داشته باشد.

D-2 البته مجوزی برای ارائه هر نوع محصول فناوری به ایران نبود. نوع نرم‌افزار و خدمت، کاربرد آن، طبقه‌بندی صادراتی، شیوه پرداخت و هویت طرف معامله همچنان می‌تواند وضعیت حقوقی را تغییر دهد؛ برای مثال نمی‌توان یک سرویس پرداخت مانند PayPal را با شبکه اجتماعی یا ابزار همکاری آنلاین یکسان ارزیابی کرد. از ۱۷ می ۲۰۲۴ نیز OFAC مفاد D-2 را با اصلاحاتی مستقیما وارد مقررات تحریم ایران در 31 CFR §560.540 کرد و این ماده جایگزین مجوز مستقل D-2 شد. بنابراین در وضعیت فعلی، §560.540 مرجع دقیق‌تری برای بررسی خدمات اینترنتی مجاز به ایران است.

همین چارچوب حقوقی مشخص نمی‌کند چه مقدار از محدودیت کاربران ایرانی مستقیما ناشی از الزام قانونی و چه مقدار نتیجه سیاست محافظه‌کارانه شرکت‌ها برای کاهش ریسک تحریم و کنترل صادرات است؟ داده‌های این گزارش پاسخ حقوقی قطعی به این سؤال نمی‌دهند، اما نشان می‌دهند نمی‌توان همه محدودیت‌ها را صرفا با عبارت «تحریم آمریکا» توضیح داد.

بعضی شرکت‌ها ایران را صریحا در سیاست‌های خود منع کرده‌اند، بعضی فقط برخی محصولات یا خدمات پولی را محدود می‌کنند، در برخی دیگر ایران در فهرست کشورهای پشتیبانی‌شده نیست و در مواردی مانند Notion و Sentry کاربر ایرانی با خطای 403 مواجه می‌شود، بدون آنکه در اسناد عمومی بررسی‌شده توضیح روشنی برای مبنای این محدودیت وجود داشته باشد. وجود §560.540 نیز نشان می‌دهد تحریم‌های آمریکا به‌خودی‌خود به این معنا نیست که همه خدمات اینترنتی و ابری باید برای کاربران ایرانی مسدود باشند.

بازشدن سایت به معنای دسترسی به سرویس نیست

۶۴ سایت از ۱۰۰ مورد بررسی‌شده در آزمایش HTTP از ایران پاسخ دادند؛ اما این عدد را نباید به این معنا گرفت که ۶۴ سرویس بدون محدودیت در اختیار کاربر ایرانی هستند.

برای نمونه، بازشدن chatgpt.com فقط نشان می‌دهد صفحه اصلی از IP آزمایش‌شده پاسخ داده است. این آزمایش درباره امکان ورود به حساب، API، پرداخت یا ادامه استفاده از محصول مبهم است. همین وضعیت می‌تواند درباره Adobe، گیت‌هاب، اسپاتیفای، فیگما، سرویس‌های ابری و ده‌ها محصول دیگر نیز وجود داشته باشد.

به همین دلیل اعداد این گزارش بیش از آنکه اندازه «اینترنت قابل استفاده» را نشان دهند، تصویری از اولین لایه برخورد سرویس‌های جهانی با یک درخواست اینترنتی از ایران ارائه می‌کنند.

اینترنت میان دو دروازه

آنچه از این ۱۰۰ سایت مورد آزمایش بیرون می‌آید یک فهرست ساده از سایت‌های باز و بسته نیست. کاربر ایرانی در اینترنت جهانی با زنجیره‌ای از دروازه‌ها روبه‌روست.

یک درخواست ممکن است پیش از خروج از کشور در DNS منحرف شود. ممکن است از شبکه ایران عبور کند اما در CDN یا WAF مقصد متوقف شود. ممکن است صفحه اصلی باز شود ولی هنگام ساخت حساب، ورود، استفاده از API یا پرداخت محدودیت ظاهر شود. در هر مرحله نیز تصمیم‌گیرنده می‌تواند متفاوت باشد مثلا دولت ایران، خود شرکت خارجی، سیاست compliance آن شرکت یا سامانه‌ای که قواعد تعیین‌شده را اجرا می‌کند.

از سوی دیگر، تفاوت سیاست شرکت‌ها و مجوزهای موجود در مقررات آمریکا نشان می‌دهد همه محدودیت‌های خارجی را نیز نمی‌توان به‌سادگی «الزام تحریم» نامید.

نتیجه، اینترنتی است که دسترسی کاربر ایرانی در هر دو سوی مسیر می‌تواند متوقف شود؛ یک بار در داخل مرز و بار دیگر پس از رسیدن به مقصد. تفاوت اینجاست که درباره دیوار اول معمولا می‌دانیم چه نهادی آن را ساخته است، اما در دیوار دوم حتی دلیل ظاهرشدن یک صفحه 403 نیز در بسیاری موارد برای کاربر توضیح داده نمی‌شود.