الملخص

  • في هجمات RFC 10027 ينجح التحقق الحقيقي من المستخدم، لكنه يوافق على تدفق بدأه المهاجم في جهاز آخر. الحلقة الناقصة هي الدليل الذي يربط الجهاز البادئ بقرار التفويض.
  • قد يكون رمز QR أو رمز المستخدم صحيحاً وفريداً وغير منتهٍ، لكنه لا يثبت من عرضه، ولا أن المستخدم توقع الطلب، ولا الجهاز الذي ستصل إليه الرموز الأمنية.
  • شارك Daniel Fett في كتابة أفضل الممارسات مع Pieter Kasselman وFilip Skokan. وتعامل الوثيقة القرب واختيار البروتوكول والأجهزة الموثوقة وتقليل الصلاحيات والكشف والاسترداد كطبقات ذات حدود، لا كضمان منفرد.

صُممت التدفقات عبر الأجهزة لتسهيل المصادقة عندما تكون لوحة المفاتيح ضعيفة أو غير موثوقة. يعرض التلفاز أو الكشك أو شاشة الاجتماع رمزاً، بينما يتولى الهاتف الشخصي كلمة المرور والعوامل الإضافية. تبدو الخطوات كأنها معاملة واحدة، لكنها في الحقيقة تربط دورين مختلفين.

جهاز الاستهلاك يبدأ الطلب ويتلقى القدرة. جهاز التفويض يثبت هوية المستخدم ويجمع قراره. وبينهما ينقل الإنسان رمز QR أو رقماً قصيراً أو معنى إشعار. تقول RFC 10027 إن هذه القناة السياقية تكون في كثير من التطبيقات غير موثقة.

يمكن للمهاجم أن يبدأ الطلب على حاسوبه، ويحصل من الخادم الحقيقي على رمز صالح، ثم يرسله إلى الضحية مع قصة دعم فني أو تفعيل عاجل. يمسح المستخدم الرمز، ويدخل إلى مزود الهوية الصحيح، ويكمل MFA، ويضغط الموافقة. يعرف الخادم من هو المستخدم، لكنه لا يعرف بالضرورة الشاشة التي يظن المستخدم أنه يفعّلها.

نجحت المصادقة وأخطأ توزيع السلطة

وصف الواقعة بأنها تجاوز لـMFA يوجّه الإصلاح إلى المكان الخطأ. ربما أدت العوامل وظيفتها كاملة وأثبتت صاحب الحساب. ما لم يُربط هو هوية الجهاز البادئ والغرض المفهوم والعميل الذي سينال النتيجة.

تسمي الوثيقة حالة منح الصلاحية Cross-Device Consent Phishing. وفي Cross-Device Session Phishing يُقنع المهاجم المستخدم بتسليم أثر ينقل جلسة سبق توثيقها. الغنيمة قد تكون رمز وصول أو رمز تحديث أو جلسة قابلة للاستخدام، لا كلمة المرور. لذلك لا يكفي تغيير كلمة المرور لإثبات انتهاء الحادث.

للرمز قيمة دليل محدودة. يمكنه إثبات أن خادم التفويض أنشأ معاملة معلقة وأن المرجع لم ينتهِ. لكنه لا يثبت وحده من قدم الرمز، أو نية المستخدم، أو قرب الجهازين، أو تناسب النطاق، أو هوية المستفيد. يمكن لمعلومة أصلية أن تعمل داخل رواية كاذبة.

منهج Daniel Fett: لا توسّع معنى الإثبات

يعرّف Fett نفسه في موقعه مستشاراً أمنياً متخصصاً في الهوية وبروتوكولات الويب، ويساهم في OAuth وOpenID Connect ضمن OpenID Foundation وIETF. ويربطه سجل IETF بوثائق عن تعريف الجهة المصدرة وإثبات الحيازة وأمن OAuth. أما RFC 10027 فهي عمل مشترك لثلاثة مؤلفين، ولا تمنحه سلطة على أي منتج أو نشر فعلي.

أهمية هذا المسار منهجية. يستطيع التحليل الصوري استبعاد هجمات داخل نموذج يحدد طبقات البروتوكول وقدرات الخصم والأهداف الأمنية. ولا يضمن التفاصيل التي استبعدها النموذج أو أخطاء التنفيذ. نجاح خطوة تشفيرية لا يثبت علاقة لم تدخل في تلك الخطوة.

لذلك تحتاج كلمة «موثَّق» إلى تحديد: من وُثّق، أمام من، ولأي معاملة؟ هوية المستخدم والجهاز البادئ وسياق الطلب والنية والمنح ومستلم الرمز والوصول إلى المورد ادعاءات منفصلة. قد يكون الخادم حقيقياً والطلب من المهاجم. وقد يكون الرمز مقيداً بمفتاح، لكن المفتاح يخص جهاز المهاجم نفسه.

ضوابط تقلل الخطر ولا تثبت النية

تقلص الرموز القصيرة وأحادية الاستخدام والفريدة فرص إعادة الاستخدام، لكن المهاجم التفاعلي قد ينتظر تجاوب الضحية قبل توليد الرمز. يبطئ تحديد المعدل الحملات الواسعة أكثر من الهجوم المحدد. ويساعد التثقيف، إلا أن الطلب الخبيث المبني على صفحة رسمية قد يشبه الاستخدام العادي حتى للمستخدم الحذر.

يرفع إثبات القرب عبر BLE أو NFC أو UWB أو الشبكة المشتركة أو الموقع تكلفة الاستبدال عن بعد. لكن VPN وتزييف الموقع وNAT والبيانات الخلوية والموافقات البعيدة المشروعة تمنع مساواة القرب بالنية. يتحقق الخادم من إشارات؛ ولا يقيس المسافة المادية أو رغبة الإنسان مباشرة.

قصر البدء على أجهزة مدارة أو شبكات موثوقة يضيق السطح، لكنه يحتاج إلى تسجيل وإثبات حالة وتحديث وإلغاء ثقة. ويبقى الجهاز الموثوق خطراً إذا اختُرق. تقلل النطاقات الضيقة والرموز القصيرة الضرر بعد التفويض الخاطئ. ويصعّب ربط الرمز بالمرسل نقله، لكنه لا يمنع جهاز المهاجم من استعمال مفتاحه.

لهذا يصبح اختيار البروتوكول قراراً أمنياً. تفضّل RFC 10027 مصادقة FIDO عبر الأجهزة عندما تتوافر قدرة ربط المصدر والقرب. ويعد CIBA بديلاً إذا كان للخادم قناة قائمة إلى المستخدم، مع ضرورة ضبط الطلبات غير المتوقعة. أما OAuth Device Authorization Grant فيعمل مع أقل قدرات الأجهزة، وينبغي حصره حين لا تصلح الخيارات الأقوى وتجنب الموارد الحساسة أو عالية القيمة بلا ضوابط إضافية.

سجل يتجاوز علامة الموافقة

يوفر مبدأ Running-Code Primacy لدى Heng Lu اختباراً عملياً: إعلان الواجهة ليس النتيجة التشغيلية. عبارة «تمت الموافقة» لا تقول أي جهاز تسلم أي قدرة وكيف استخدمها.

يجب أن يصل السجل بين هوية العميل البادئ وحالته، وجهاز التفويض وطريقته، والسياق المعروض في الجانبين، والنطاق، وأدلة القرب أو ربط الجهاز، وقرار المستخدم، ومستلم الرمز وقيوده، وأول استعمال، والإشارات الشاذة، والإلغاء، ونتيجة الاسترداد. تتطلب الخصوصية تقليل البيانات وحمايتها، لكن علامة خضراء لا تحل محلها.

وتتبع المسؤولية أدوات التحكم. يقرر فريق المنتج ما إذا كانت الراحة تستحق التدفق. يختار فريق الهوية البروتوكول والصلاحيات. تدير فرق الأجهزة والشبكات الثقة والقرب. يكشف فريق الاحتيال أنماط البدء والموافقة. تفرض خوادم الموارد القيود، ويلغي الدعم والاستجابة المنح والجلسات. لا يجوز تحميل المستخدم وحده مسؤولية توثيق قناة اختارت البنية ألا توثقها.

لا تقول الخلاصة إن رمز QR خطر بطبيعته. بل تقول إن نقل مرجع مرئي ليس علاقة موثقة تلقائياً.

المصادر