الخلاصة

  • أثبتت Sharon Goldberg وAanchal Malhotra وIsaac E. Cohen وErik Brakke أن عملاء ntpd قدامى كانوا يقبلون رسالة Kiss-o’-Death حتى عندما لا يطابق طابع المنشأ الزمني أي طلب أرسله العميل.
  • كان في وسع حزمة مزورة لكل خادم مضبوط أن تسحب كل مصادر التصحيح مدة يختارها المهاجم؛ أما العلاج الدائم فيربط الرفض بطلب حقيقي ويضع سقفاً محلياً للتراجع.

في هجمات الحرمان المعروفة، يواصل المهاجم الإرسال كي يواصل الأثر. أما في الحالة التي درسها أربعة باحثين عام 2015، فقد أصبح العميل هو من يحافظ على الانقطاع. تصل حزمة قصيرة، ثم يطبق المستقبل الذي طلبته: لا مزيد من الأسئلة إلى خادم الوقت.

الحزمة هي Kiss-o’-Death، أو KoD. صُممت لحماية خوادم NTP العامة من العملاء المفرطين في الطلب. تأخذ شكل استجابة بالنمط 4، ومؤشر ثانية كبيسة يساوي 3، وطبقة صفر، وتحمل في معرّف المرجع رمزاً من أربعة أحرف. يطلب RATE إطالة الفاصل، فيما يعني DENY وRSTR رفض الخدمة.

الحاجة إلى الحماية حقيقية. لكن السلطة التي منحها العميل للرسالة كانت أوسع مما ينبغي. اختبر Aanchal Malhotra وIsaac E. Cohen وErik Brakke وSharon Goldberg الإصدارين 4.2.6 و4.2.8 من ntpd. قبلا KoD حتى مع طابع منشأ زمني لا يعود إلى طلب قائم. وهكذا استطاع مهاجم خارج مسار الاتصال، إذا زوّر عنوان الخادم، أن يصدر الأمر من دون أن يرى المحادثة.

كان إثبات الارتباط موجوداً بالفعل

يحمل طلب NTP العادي بالنمط 3 طابع الإرسال الزمني. يعيده الخادم في خانة طابع المنشأ ضمن استجابته بالنمط 4. تقارن آلية TEST2 هذه القيمة بالطلب المفتوح. ليست مصادقة تشفيرية لهوية الخادم، لكنها تعمل كقيمة فريدة تربط الجواب بالسؤال الذي ولّده.

لم يكن مسار KoD القديم يفرض هذا الاختبار. لذلك اكتسبت رسالة بلا تاريخ مثبت سلطة على الطلبات المقبلة. عنوان المصدر الظاهري يقول بمن يشبه المرسل، لكنه لا يثبت أن الرد عرف السؤال الذي يدعي الإجابة عنه.

يمثل حقل poll الانتظار بقوة للعدد اثنين. القيمة 17 تعني 2^17 ثانية على الأقل، أي نحو 36 ساعة. ووجد الباحثون أن العملاء يقبلون قيماً أعلى من المجال المتصور؛ فقيمة 25 تقارب سنة. زمن إرسال الحزمة لحظة، لكن الحالة التي تزرعها قد تتجاوز مناوبات التشغيل وفترات حفظ السجلات.

يقصد RFC 5905 من RATE زيادة المسافة بين الحزم، وقد صحح تنقيح منشور كلمة معاكسة وردت في النص الأصلي. غير أن المعنى السليم للأمر لا يحميه وحده: يلزم أيضاً إثبات سياقه وضبط أقصى أثر له.

إزالة مصادر الوقت واحداً بعد آخر

احتاج الهجوم المباشر إلى عنوان العميل وخادم يستخدمه. وقدمت الورقة طريقة لمعرفة الخادم النشط: إرسال استعلام بالنمط 3 إلى العميل. إذا كان عميلاً متزامناً عبر IPv4، فقد تكشف استجابته بالنمط 4 عنوان الخادم الحالي في معرّف المرجع.

بعد ذلك يرسل المهاجم KoD مزورة تبدو آتية من ذلك الخادم. وإذا انتقل العميل إلى خادم احتياطي، تتكرر العملية. لم تكن وحدة الكلفة حزماً في الثانية، بل أمراً مقبولاً لكل مصدر توقيت. وحين تنفد القائمة، لا يبقى للساعة من تسأله.

في تجربة المختبر، ضُبط ntpd 4.2.8p2 على ثلاثة خوادم عامة. وصل الفريق إلى KoD الثالثة خلال نحو ساعة ونصف. ثم أوقف الباحثون التجربة، إلا أن العميل ظل بلا طلبات خمسين ساعة إضافية، بينما كان الحد الأدنى المطلوب للصمت نحو 36 ساعة.

يمكن لحزم دورية أن تطيل الحالة، لكن الجولة الأولى تكشف عدم التوازن: يدفع المرسل كلفة آنية، ويتحمل المستقبل لدى المستقبل كلفة دائمة. أدوات تراقب معدل الحزم وحده قد لا ترى الانتقال المسيطر على الخدمة.

قدّر مسح عام 2015 وجود أكثر من 13 مليون عنوان IPv4 يستجيب للاستعلام المفيد للخطوة الأولى. هذا قياس تاريخي لشرط واحد، وليس تعداداً حالياً للأجهزة الضعيفة. كان يلزم أيضاً أن يتفاعل العميل مع KoD وأن يكشف خادماً متزامناً عبر IPv4.

وقف التصحيح لا يعني اختيار الوقت

لم تكتب KoD المزورة وقتاً يختاره المهاجم في الساعة. بل أوقفت العينات الخارجية، فواصل العميل العمل بساعته المحلية. وتعتمد سرعة الانحراف على المذبذب والمحاكاة الافتراضية وحمل المعالج والتنفيذ البرمجي.

قد تنحرف آلة مادية مستقرة ببطء، بينما تتسع لايقينية آلة افتراضية تحت الضغط أسرع. كما تختلف حساسية السجلات والشهادات والمصادقة وقواعد البيانات الموزعة والمهام المجدولة. الدليل يثبت سحب التصحيح، ولا يَعِد بخطأ زمني متطابق عند كل هدف.

لهذا يحتاج التحقيق إلى آخر مزامنة صالحة، والمرسل الظاهري ورمز KoD، ونتيجة اختبار طابع المنشأ، وقيمة poll المطلوبة والمطبقة، وعدد المصادر الباقية، ولايقينية التشغيل المحلي. إذا ظهر الصمت باسم «لا بيانات» فقط، تختفي معه علة الانقطاع.

رفع الإصلاح ثمن قول «لا»

يضع إشعار NTP Project للثغرة Bug 2901 الإصدارات السابقة لـ4.2.8p4 ضمن نطاق الهجوم المباشر، وكذلك إصدارات التطوير السابقة لـ4.3.77. بدأ p4 التحقق من طابع المنشأ في KoD، فأصبحت الاستجابة المقبولة مطالبة بإعادة قيمة من طلب حقيقي.

لم يتحول ذلك إلى مصادقة تشفيرية، لكنه منع مهاجماً خارج المسار من اختراع الرد بلا كلفة. وصفت الورقة طريقاً متبقياً أعلى ثمناً باسم «priming pump»: يرسل المهاجم إلى الخادم الحقيقي طلبات كثيرة تنتحل عنوان الضحية، فيحد الخادم المعدل ويولد بنفسه KoD مرتبطة بصورة صحيحة. يحتاج الأسلوب إلى حركة أكبر ويعطي عادة تراجعاً أقصر، مثل poll 10 أو نحو 15 دقيقة، لا سنة اعتباطية.

أضاف RFC 8633 عام 2019 الحد الثاني. لا تُقبل KoD إلا بطابع منشأ صالح. وحتى عند القبول، ينبغي للعميل وضع حد أقصى معقول لـRATE لا يتجاوز poll 13، أي ساعتين. وقد يكون طلب واحد ذو قيمة poll هائلة دليلاً على هجوم.

الربط يجيب: لأي طلب يعود الرد؟ والمصادقة تجيب: من يتكلم؟ والسقف المحلي يجيب: كم يمكن لكلام الغير أن يحكم المستقبل؟ هي ضوابط متكاملة، لا أسماء مختلفة للشيء نفسه.

منهج Goldberg عبر طبقات الدليل

يصف ملف Goldberg الرسمي في Boston University بحثها بأنه يجمع التشفير ونظرية الألعاب والخوارزميات مع قياس الشبكات ونمذجتها ومحاكاتها. سلكت دراسة NTP المسار نفسه: أعطت المواصفة المعنى المقصود، وكشفت اختبارات التنفيذ شرط القبول الفعلي، وقاس المختبر عمر الحالة، وقدّر المسح الشروط المرئية آنذاك.

التأليف مشترك بين Malhotra وCohen وBrakke وGoldberg. وتذكر صفحة المشروع أن الإفصاح المسؤول بدأ في 20 أغسطس 2015. أصدرت Network Time Foundation وNTPsec وCisco وRed Hat إصلاحات قبل النشر العام في 21 أكتوبر. اتخاذ Goldberg محوراً للشخصية لا يحول العمل الجماعي إلى اختراع فردي.

ويمتد السؤال التشغيلي إلى كل رسالة تقول «أعد المحاولة لاحقاً» أو «توقف» أو «ارفض» أو «اعزل» أو «ألغِ الاشتراك»: ما الطلب الذي يمنحها الحق؟ ما الهوية التي تحملها؟ من يختار مدتها؟ وما مسار التعافي الذي يبقى مرئياً أثناء الطاعة؟

الرد السلبي ليس وصفاً لخطأ حاضر وحسب؛ إنه يدير المستقبل. كانت KoD رخيصة التزوير غالية الانتظار. يعكس التصميم الآمن هذه المعادلة: يطلب السياق، ويحد التراجع، ويسجل اللحظة التي تتوقف فيها الساعة عن السؤال.

المصادر