رفع خطای اتصال شما خصوصی نیست (Your Connection Is Not Private)

در بسیاری از سایت‌ها با کلیک روی «Advanced» می‌توانید گزینه «Proceed to site (unsafe)» را ببینید و علی‌رغم خطر، وارد سایت شوید. اما در برخی موارد این گزینه اصلاً ظاهر نمی‌شود و کاربر با بن‌بست مواجه می‌شود. علت این موضوع سازوکاری به نام HSTS یا HTTP Strict Transport Security است.

HSTS یک هدر امنیتی است که سایت‌ها برای مرورگر ارسال می‌کنند تا مرورگر را مجبور کنند همیشه از طریق HTTPS به آن سایت متصل شود و هیچ استثنایی برای گواهی نامعتبر نپذیرد. مرورگر این دستور را برای مدتی مشخص (گاهی تا یک سال) در حافظه خود ذخیره می‌کند.

نتیجه عملی این است که اگر گواهی سایتی که HSTS فعال دارد منقضی یا نامعتبر شود، کاربر هیچ راهی برای دور زدن هشدار امنیتی از طریق مرورگر ندارد و باید منتظر رفع مشکل توسط مدیر سایت بماند.

این طراحی عمدی است تا کاربران عادی سایت‌های حساس مانند بانک‌ها فریب داده نشوند.

برای کاربران فنی، راه دیگری برای عبور موقت از این محدودیت وجود دارد که معمولاً به آن «badidea» گفته می‌شود؛ در کروم کافی است در همان صفحه خطا، بدون کلیک روی چیزی، عبارت thisisunsafe را تایپ کنید تا مرورگر به‌طور خودکار وارد سایت شود.

این روش صرفاً باید برای سایت‌های شناخته‌شده و در محیط توسعه یا تست استفاده شود، نه سایت‌های ناشناس.

اگر خودتان مدیر یک وب‌سایت هستید و HSTS را فعال کرده‌اید، باید دقت ویژه‌ای در تمدید به‌موقع گواهی SSL داشته باشید، زیرا حتی چند ساعت تأخیر در تمدید می‌تواند بازدیدکنندگان را به‌طور کامل از دسترسی به سایت محروم کند.

همچنین توصیه می‌شود پیش از فعال‌سازی HSTS با max-age طولانی، از پایداری زیرساخت گواهی خود مطمئن شوید.

در نهایت اگر با چنین وضعیتی روبه‌رو شدید و سایت متعلق به شما نیست، بهترین کار این است که صبر کنید و به سایت با روش‌های دیگر (مثل اپلیکیشن موبایل یا تماس تلفنی) دسترسی پیدا کنید، چرا که دور زدن HSTS برای سایت‌های ناآشنا می‌تواند امنیت اطلاعات شما را در معرض خطر جدی قرار دهد.

خطای «اتصال شما خصوصی نیست» عبارتی است که مخصوص مرورگر گوگل کروم و مرورگرهای مبتنی بر Chromium مانند Brave و Opera است. سایر مرورگرها همین مشکل را با پیام‌ها و رابط کاربری متفاوتی نمایش می‌دهند که شناخت آن‌ها به کاربران کمک می‌کند.

در مرورگر فایرفاکس، به‌جای این عبارت، پیام «اتصال شما امن نیست» (Your connection is not secure) یا «این ارتباط قابل اعتماد نیست» نمایش داده می‌شود. فایرفاکس معمولاً کد خطا را با پیشوند SEC_ERROR یا MOZILLA_PKIX_ERROR در پایین صفحه نشان می‌دهد که با کدهای NET::ERR کروم متفاوت است.

مرورگر مایکروسافت اج که خود بر پایه Chromium ساخته شده، رفتار بسیار مشابه کروم دارد و همان کدهای NET::ERR_CERT را نمایش می‌دهد، اما طراحی صفحه خطا و رنگ‌بندی آن کمی متفاوت است و دکمه بازگشت به‌جای «Back to safety» عبارت «Go back» را دارد.

در مرورگر سافاری روی مک و آیفون، پیام خطا به‌صورت «این ارتباط خصوصی نیست» (This Connection Is Not Private) نمایش داده می‌شود که شباهت زیادی به عبارت کروم دارد، اما جزئیات فنی گواهی از مسیر متفاوتی در تنظیمات سافاری قابل مشاهده است.

این تفاوت‌ها گاهی باعث سردرگمی کاربرانی می‌شود که راهنمای رفع مشکل را برای یک مرورگر خوانده‌اند اما از مرورگر دیگری استفاده می‌کنند.

اگر مطمئن نیستید مشکل از سایت است یا از مرورگر شما، بهترین راه تست سریع، باز کردن همان آدرس در یک مرورگر دیگر (مثلاً فایرفاکس در کنار کروم) روی همان دستگاه است.

اگر خطا فقط در یک مرورگر خاص دیده شود و در بقیه مرورگرها سایت به‌درستی باز شود، مشکل احتمالاً به تنظیمات محلی همان مرورگر (مانند کش گواهی یا افزونه‌ها) مربوط است، نه به گواهی واقعی سایت.

یکی از موقعیت‌های رایجی که کاربران با خطای «اتصال شما خصوصی نیست» مواجه می‌شوند، لحظه اتصال به شبکه‌های وای‌فای رایگان در کافه‌ها، فرودگاه‌ها، هتل‌ها یا مراکز خرید است. این حالت معمولاً دلیلی کاملاً متفاوت از مشکلات گواهی واقعی سایت دارد.

بسیاری از این شبکه‌ها از یک «پورتال ورود» یا Captive Portal استفاده می‌کنند که پیش از اجازه دسترسی به اینترنت، کاربر را به صفحه‌ای برای وارد کردن شماره موبایل، پذیرش قوانین یا پرداخت هزینه هدایت می‌کند. این پورتال‌ها گاهی سعی می‌کنند یک سایت HTTPS معتبر مانند گوگل را رهگیری کنند.

وقتی مرورگر یا سیستم عامل شما سعی می‌کند به یک سایت HTTPS متصل شود اما روتر وای‌فای اتصال را به پورتال ورود خودش هدایت می‌کند، از آنجا که پورتال گواهی معتبر برای آن دامنه خاص ندارد، مرورگر بلافاصله هشدار «اتصال شما خصوصی نیست» را نمایش می‌دهد.

راه‌حل در این شرایط ساده است: به‌جای تلاش مجدد برای باز کردن سایت HTTPS، ابتدا یک آدرس HTTP ساده (بدون s) یا آدرس‌های مخصوص تشخیص پورتال مانند captive.apple.com را در مرورگر تایپ کنید تا صفحه ورود وای‌فای به‌درستی باز شود.

پس از تکمیل مراحل پورتال ورود و برقراری کامل اتصال اینترنت، خطای گواهی به‌طور خودکار برطرف می‌شود و می‌توانید بدون مشکل به سایت‌های HTTPS دسترسی داشته باشید.

اگر پس از این مرحله همچنان خطا باقی ماند، ممکن است شبکه وای‌فای از یک پروکسی شفاف با گواهی جعلی استفاده کند که در این صورت اتصال به آن شبکه از نظر امنیتی توصیه نمی‌شود.

به‌طور کلی روی شبکه‌های وای‌فای عمومی و ناشناس، بهتر است تا پیش از اطمینان از امنیت شبکه، از وارد کردن اطلاعات حساس مانند رمز عبور بانکی یا اطلاعات کارت خودداری کنید، حتی اگر خطای گواهی برطرف شده باشد.

یکی از منابع پنهان و کمتر شناخته‌شده بروز خطای گواهی، افزونه‌های نصب‌شده روی مرورگر است. برخی افزونه‌ها به‌ویژه ابزارهای تبلیغاتی، فیلترشکن‌های رایگان یا افزونه‌های تغییردهنده ترافیک، ترافیک HTTPS را رهگیری و با گواهی خودشان جایگزین می‌کنند.

برای تشخیص اینکه آیا افزونه‌ای عامل بروز این خطاست، ساده‌ترین روش استفاده از حالت ناشناس یا Incognito مرورگر است. در این حالت، به‌طور پیش‌فرض اکثر افزونه‌ها غیرفعال هستند مگر اینکه کاربر صراحتاً اجازه اجرا در حالت ناشناس را به آن‌ها داده باشد.

کافی است با کلید ترکیبی Ctrl+Shift+N (یا Cmd+Shift+N در مک) یک پنجره ناشناس باز کنید و همان آدرس سایت را امتحان کنید. اگر سایت در این حالت بدون خطا باز شد، تقریباً مطمئن هستید که یکی از افزونه‌های نصب‌شده در حالت عادی مرورگر مسئول این مشکل است.

برای پیدا کردن افزونه مقصر، به آدرس chrome://extensions بروید و افزونه‌ها را یک‌به‌یک غیرفعال کنید، سپس مرورگر را در حالت عادی دوباره تست کنید. این روش هرچند کمی زمان‌بر است، اما دقیق‌ترین راه شناسایی افزونه مشکل‌ساز است.

افزونه‌هایی که ادعا می‌کنند سرعت اینترنت را افزایش می‌دهند، تبلیغات را حذف می‌کنند یا VPN رایگان ارائه می‌دهند، بیشترین احتمال دخالت در گواهی‌های SSL را دارند، چرا که برای انجام کارشان نیاز به رهگیری ترافیک رمزنگاری‌شده شما دارند.

پس از شناسایی افزونه مشکل‌ساز، توصیه می‌شود آن را به‌طور کامل حذف کنید نه فقط غیرفعال، زیرا برخی افزونه‌های مخرب حتی در حالت غیرفعال نیز می‌توانند تنظیمات شبکه سیستم را تغییر داده باشند که برای رفع کامل آن باید تنظیمات پراکسی سیستم‌عامل را نیز بررسی کنید.

کارمندانی که از شبکه داخلی یک شرکت یا سازمان استفاده می‌کنند، گاهی با خطای «اتصال شما خصوصی نیست» مواجه می‌شوند در حالی که همان سایت در خانه بدون مشکل باز می‌شود. علت این تفاوت معمولاً به تجهیزات امنیتی شبکه سازمانی برمی‌گردد.

بسیاری از سازمان‌ها برای نظارت بر ترافیک کارمندان و جلوگیری از نشت اطلاعات، از فایروال‌هایی با قابلیت «SSL Inspection» یا «HTTPS Interception» استفاده می‌کنند. این تجهیزات ترافیک رمزنگاری‌شده را باز کرده، بررسی می‌کنند و سپس با گواهی داخلی سازمان دوباره رمزنگاری می‌کنند.

اگر گواهی ریشه (Root Certificate) این فایروال روی سیستم کارمند نصب و مورد اعتماد قرار نگرفته باشد، مرورگر این تغییر گواهی را به‌عنوان یک حمله مرد میانی (Man-in-the-Middle) تشخیص داده و بلافاصله هشدار امنیتی نمایش می‌دهد.

راه‌حل این مشکل معمولاً در اختیار کاربر عادی نیست و باید توسط واحد فناوری اطلاعات سازمان انجام شود؛ یعنی نصب و اعتمادسازی گواهی ریشه سازمانی روی تمام سیستم‌های کارمندان از طریق Group Policy یا ابزارهای مدیریت متمرکز دستگاه.

اگر شما مدیر فناوری اطلاعات یک سازمان هستید، توصیه می‌شود پیش از فعال‌سازی SSL Inspection، گواهی ریشه سفارشی را از طریق سیاست‌های گروهی به‌طور خودکار روی تمام دستگاه‌ها توزیع کنید تا کارمندان با این هشدارهای مکرر مواجه نشوند.

همچنین لازم است سایت‌های حساس مانند درگاه‌های بانکی و پرداخت را در فهرست استثناهای فایروال (Bypass List) قرار دهید، زیرا رهگیری ترافیک این سایت‌ها هم از نظر امنیتی و هم از نظر قانونی می‌تواند مشکل‌ساز باشد و برخی استانداردهای امنیتی صراحتاً آن را منع کرده‌اند.

گاهی با وجود پاک کردن کش عادی مرورگر، خطای گواهی همچنان باقی می‌ماند. علت این است که مرورگرها علاوه بر کش صفحات، یک حافظه جداگانه برای وضعیت گواهی‌های SSL نگه می‌دارند که با پاکسازی معمولی کش پاک نمی‌شود.

در گوگل کروم، برای پاک کردن این حافظه باید به تنظیمات سیستم‌عامل مراجعه کرد، چرا که کروم از فروشگاه گواهی خود سیستم‌عامل (نه حافظه داخلی مرورگر) استفاده می‌کند. در ویندوز این کار از طریق Internet Options و تب Content با گزینه «Clear SSL state» انجام می‌شود.

در سیستم‌عامل مک، مدیریت گواهی‌ها از طریق برنامه Keychain Access صورت می‌گیرد؛ کاربر می‌تواند گواهی‌های مشکوک یا منقضی را جست‌وجو کرده و حذف کند، هرچند این کار نیاز به دقت دارد تا گواهی‌های معتبر سیستم حذف نشوند.

روش دیگر و ساده‌تر، استفاده از پرچم‌های داخلی کروم است؛ با وارد کردن آدرس chrome://net-internals/#hsts می‌توان دامنه خاصی را از فهرست HSTS حذف کرد، یا با chrome://restart مرورگر را بدون بستن کامل، ریست نرم کرد.

اگر مشکل پس از این اقدامات ادامه داشت، ریست کامل تنظیمات شبکه سیستم‌عامل (Network Reset در ویندوز) می‌تواند مفید باشد، چرا که گاهی درایورهای شبکه یا تنظیمات آداپتور به‌درستی با پروتکل TLS جدید سازگار نیستند.

به‌عنوان آخرین راه‌حل، حذف کامل و نصب مجدد مرورگر (نه فقط آپدیت) پروفایل و تمام داده‌های ذخیره‌شده گواهی را از صفر بازسازی می‌کند و در مواردی که مشکل از فساد فایل‌های داخلی پروفایل مرورگر است، مؤثرترین راه‌حل خواهد بود.

بسیاری از وب‌سایت‌ها به‌جای خرید گواهی SSL تجاری، از سرویس رایگان Let's Encrypt استفاده می‌کنند که گواهی‌های آن تنها ۹۰ روز اعتبار دارند، در حالی که گواهی‌های تجاری معمولاً بین یک تا دو سال معتبرند. این تفاوت دلیل اصلی بروز مکرر خطای گواهی در برخی سایت‌هاست.

دلیل کوتاه بودن عمر این گواهی‌ها، سیاست امنیتی سازمان Let's Encrypt است؛ عمر کوتاه‌تر یعنی در صورت افشای کلید خصوصی، پنجره زمانی سوءاستفاده محدودتر می‌شود و کل اکوسیستم امن‌تر باقی می‌ماند.

مشکل زمانی رخ می‌دهد که مدیر سایت فرآیند تمدید خودکار گواهی (معمولاً از طریق ابزاری به نام Certbot) را به‌درستی پیکربندی نکرده باشد. اگر Cron Job مربوط به تمدید به هر دلیلی متوقف شود، گواهی بدون هشدار قبلی منقضی شده و بازدیدکنندگان با خطای NET::ERR_CERT_DATE_INVALID مواجه می‌شوند.

برای کاربران عادی، تشخیص این نوع خطا معمولاً از طریق بررسی تاریخ انقضای نمایش‌داده‌شده در جزئیات گواهی امکان‌پذیر است؛ اگر تاریخ انقضا در گذشته نزدیک باشد (مثلاً چند روز قبل)، احتمالاً مشکل از عدم تمدید گواهی توسط سایت است، نه از سیستم کاربر.

اگر شما مالک یا مدیر یک وب‌سایت هستید و از Let's Encrypt استفاده می‌کنید، توصیه اکید این است که یک سیستم هشدار (مثلاً از طریق ایمیل یا مانیتورینگ) برای اطلاع از انقضای نزدیک گواهی راه‌اندازی کنید، حتی اگر تمدید خودکار فعال باشد.

همچنین بهتر است فرآیند تمدید را حداقل هر چند ماه یک‌بار به‌صورت دستی تست کنید تا از سالم بودن مسیر تمدید خودکار مطمئن شوید، زیرا خطاهایی مانند تغییر پیکربندی سرور وب یا انقضای دسترسی DNS می‌تواند این فرآیند خودکار را بدون اطلاع مدیر متوقف کند.