الخلاصة

  • جذبت إعلانات BGP أكثر تحديداً جزءاً من حركة عناوين Route 53، فوصلت بعض المحللات التكرارية إلى خادم موثوق مزيف أعاد إجابة مستهدفة لـmyetherwallet.com.
  • لا تكفي جهة مركزية واحدة لحماية السلسلة؛ المطلوب مالك واضح لكل طبقة، وحق رفض محلي، وربط سريع للأدلة قبل أن تتحول الخدعة المؤقتة إلى معاملة غير قابلة للعكس.

سلطة مؤقتة بلا نقل للحق

في 24 أبريل 2018 لم يتغير الاسم الذي كتبه المستخدم. الذي تغير في بعض المسارات هو المكان الذي وصلت إليه حزم المحلل التكراري. قبل أن يرى المستخدم الصفحة، كانت شبكة أخرى قد قبلت طريقاً أكثر تحديداً إلى عناوين Amazon Route 53.

رصدت Cloudflare بين نحو 11:05 و12:55 بالتوقيت العالمي إعلانات /24 داخل أربع كتل /23 تابعة لـAmazon. كان الأصل المشروع مرتبطاً بـAS16509، بينما ظهر AS10297 التابع لـeNet كأصل مرصود، ومر جزء من الانتشار عبر Hurricane Electric AS6939.

لا تثبت هذه الملاحظة أن eNet نفذت الهجوم. ذكرت Cloudflare احتمال أن يكون أحد عملائها قد أعلن المسارات. يسجل BGP أصلاً تقنياً ظاهراً، ولا يسجل الشخص أو النية.

استفادت الإعلانات من قاعدة البادئة الأطول. لم يكن على المهاجم إزالة مسارات Amazon المجمعة؛ كان يكفي أن تقبل بعض الشبكات /24 الأكثر تحديداً. ويبدو أن مزودين آخرين لم ينشروها، لذلك لم يكن الأثر عالمياً أو متزامناً.

المحلل التكراري نقل قراراً اتخذ في مكان آخر

أبلغت Cloudflare عن تأثر عقد 1.1.1.1 في شيكاغو ومدن في أستراليا وآسيا ومسقط وجيبوتي، فيما بقيت عقد أخرى طبيعية. كان مستخدم ما معرضاً للخطر إذا كان محلله يسلك الطريق المزيف، حتى لو لم تقبله شبكة المستخدم نفسها.

أجاب الخادم المزيف عن myetherwallet.com وفشل في أسماء أخرى. لم ينسخ Route 53؛ بل استخدم نافذة قصيرة لهدف محدد. هذا السلوك الانتقائي إشارة مهمة: إجابة ناجحة لهدف مالي وسط SERVFAIL لخدمات أخرى لا تشبه عطلاً عادياً.

ولا تظهر الأدلة اختراق حساب AWS أو تعديل المنطقة المستضافة أو نقل النطاق أو اختراق شيفرة MyEtherWallet. اكتسب المهاجم قدرة تقنية على استقبال بعض الحزم، لا سلطة مشروعة على العناوين أو الاسم.

بقي للمتصفح حق الرفض

وفق Cloudflare، قدم الموقع المزيف شهادة موقعة ذاتياً. استطاع المتصفح اكتشاف أن جهة الإصدار غير موثوقة وإظهار تحذير. لم تكن إجابة DNS الكاذبة إذناً نهائياً.

تقول الروايات العامة إن الضرر وقع عندما تجاوز بعض المستخدمين التحذير وتفاعلوا مع الصفحة. وقدرت MyEtherWallet لاحقاً ما سُرق بنحو 150 ألف دولار من Ether. يبقى هذا تقدير المؤسسة المتضررة، لا حصيلة تدقيق مستقل كامل.

لا يجوز اختزال السببية في نقرة المستخدم. ظهر التحذير بعد أن مرت الحالة العدائية عبر الإعلان والانتشار واختيار الطريق والاستعلام التكراري والإجابة المزيفة. كان قرار المستخدم آخر نقطة مرئية، لا نقطة الفشل الوحيدة.

خمس طبقات لا تعطي الحقيقة نفسها

يعرض BGP قابلية الوصول، وتقرر الشبكات قبول الطريق. يعرض DNS بيانات اسم، ويقرر المحلل التحقق منها. يختبر TLS الشهادة وسلسلة الثقة. وتقرر المحفظة أو المستخدم الفعل المالي.

قابلية الوصول ليست ملكية. وإجابة DNS ليست شهادة. والشهادة ليست نزاهة تجارية. والصفحة الصحيحة ليست دليلاً على نية المعاملة. نجح الهجوم عندما ورثت كل إجابة ضيقة سلطة أوسع في الطبقة التالية.

RPKI وDNSSEC يحميان شيئين مختلفين

يحدد RFC 6811 التحقق من أصل الطريق. تستطيع شبكة تتحقق من ROA محددة النطاق وتطبق ROV وترفض Invalid إيقاف إعلان أكثر تحديداً من أصل مختلف قبل أن يؤثر في المحلل.

لكن RPKI لا يتحقق من المسار الكامل ولا يلزم كل شبكة. قد يحاول مهاجم تزوير الأصل المصرح به، كما أن maxLength الواسع يقلل الحماية.

أما DNSSEC فيوثق منشأ بيانات DNS وسلامتها. يحدد RFC 4033 ذلك، ويصف RFC 9364 استخدام DNSSEC بأنه أفضل ممارسة حالية. يستطيع المحلل المتحقق رفض جواب لا يحمل التوقيع الصحيح حتى لو قاده BGP إلى الخادم الخطأ.

أعلنت AWS دعم توقيع مناطق Route 53 العامة والتحقق في Resolver في ديسمبر 2020. يثبت التاريخ قدرة لاحقة، ولا يثبت إعداد منطقة MyEtherWallet عام 2018، ولا يجعل DNSSEC مرشحاً للمسارات أو إذناً للمعاملات.

تفكيك قائمة العلاج

أعلنت MyEtherWallet أقفال السجل والمسجل، وHSTS والتحميل المسبق، وCAA، وDNSSEC، وCDN، وحماية DDoS. لكل أداة آلية مختلفة.

تحمي الأقفال تغييرات حساب النطاق ولا توقف BGP. يقيد CAA جهات إصدار الشهادات، لكن الشهادة الذاتية كانت مرفوضة أصلاً. يمنع HSTS preload تجاوز تحذير TLS. يوثق DNSSEC البيانات. تقيد ROA وROV أصل الطريق. ويربط الرصد الموزع الأدلة.

لا تصبح القائمة هندسة أمنية إلا إذا عُرف لكل عنصر: الشرط الذي يوقفه، ومن يديره، وكيف يظهر فشله، وما الذي يبقى بعد التعافي.

أولوية الشيفرة وحدود الشرعية

تساعد Running-Code Primacy لدى Heng Lu في فصل السجل عن الأثر. صار الطريق قوة عملية حيث قبلته الشبكات العاملة، وبقي بلا أثر حيث رفضته. اكتسب الجواب المزيف أثراً حيث خدمه المحلل. وظل تحذير TLS قراراً محلياً.

لا تضمن اللامركزية الحقيقة، لكنها تحفظ مواقع متعددة للرفض. كما لا تتحول القدرة التقنية إلى حق قانوني: جذب الحزم لا ينقل البادئة، والإجابة عن الاسم لا تنقل النطاق، واستدراج التفاعل لا يصنع موافقة.

الخاتمة

لا تحدد الأدلة العامة المنفذ، ولا كل المحللات والضحايا، ولا مدة كل ذاكرة مؤقتة، ولا خسارة مدققة. ولم يكن الحادث استيلاءً عالمياً على AWS أو MyEtherWallet.

لكنه يثبت أن مساراً مؤقتاً يستطيع استعارة اسم ومحاولة تحويل المظهر إلى نتيجة دائمة. تمنع البنية القوية الدليل الضيق من اكتساب سلطة لم يمنحها له بروتوكوله.

المصادر