ساعتان وأربع عشرة دقيقة: الجميع رأى الاختطاف، وشركة واحدة فقط أنهته

الخلاصة

• عند الساعة 18:47 بتوقيت UTC من يوم الأحد 24 فبراير 2008، بدأت AS17557 Pakistan Telecom بإعلان 208.65.153.0/24؛ نشرت AS3491 PCCW Global ذلك الإعلان، فاستقبلته موجّهات في أنحاء العالم، وتحوّلت حركة المرور المتجهة إلى YouTube نحو باكستان.
• انتهت الحادثة عند الساعة 21:01 بتوقيت UTC عندما سحبت AS3491 كل البادئات الصادرة عن AS17557 — ساعتان وأربع عشرة دقيقة من البداية، وعبر العلاقة التجارية نفسها التي حملت المسار غير المصرّح به إلى العالم.

الجَدول الزمني قصير بما يكفي لتحمله في يد واحدة. بحسب دراسة الحالة التي نشرها RIPE NCC، تبدأ AS17557 Pakistan Telecom عند الساعة 18:47 بتوقيت UTC بإعلان 208.65.153.0/24. تنشر AS3491 PCCW Global الإعلان، وتقبله الموجّهات حول العالم، فتذهب الطلبات الموجّهة إلى YouTube إلى باكستان بدلاً من وجهتها.

بعد ثمانين دقيقة تأتي إجابة الطرف المتضرر. عند الساعة 20:07 بتوقيت UTC تعلن AS36561، النظام المستقل الخاص بـ YouTube، البادئة نفسها 208.65.153.0/24. وعند الساعة 20:18 بتوقيت UTC تعلن النصفين الأكثر تحديداً: 208.65.153.128/25 و208.65.153.0/25.

تستحق هذه الخطوة احتراماً أكبر مما تلقاه عادة، ورصيداً أقل مما يُنسب إليها عادة. فوفق قاعدة أطول بادئة، يتفوّق /25 على /24 في كل شبكة تقبله — وهنا بالضبط ينتهي مفعول الحيلة. نجحت لأن الـ /24 غير المصرّح به بقي في الجدول، أقل تحديداً من الدواء. كانت مساعدة ذاتية داخل قاعدة يستطيع المهاجم استخدامها أيضاً: لم تُزل المصدر غير المصرّح به، ولم تُلزم أي شبكة أخرى بتفضيل نسخة YouTube. استطاع الطرف المتضرر أن ينافس الاختطاف، لكنه لم يستطع إنهاءه.

الذي أنهاه كان سحباً. عند الساعة 21:01 بتوقيت UTC سحبت AS3491 PCCW Global كل البادئات الصادرة عن AS17557 Pakistan Telecom، فتوقّف الاختطاف. ساعتان وأربع عشرة دقيقة من الإعلان الأول.

الطرف الذي نشر المسار السيّئ هو نفسه الذي سحبه. هذه هي الحقيقة التي لا يكفّ هذا الملف عن تعليمها ولا تكفّ الروايات عن الالتفاف حولها. النشر والإنهاء مرّا عبر علاقة تجارية واحدة: عميل يعلن، ومزوّد نقل يصدّر، ثم المزوّد نفسه يتوقّف عن التصدير. لم يُراجَع أي سجلّ ليقرّر ما إذا كان الإعلان سيسافر. ولم تُصدر أي جهة تنظيمية أمراً خلال تلك الساعتين. وتؤكّد عرض تقديمي من NANOG 42 في فبراير 2008 التسلسل نفسه — مزوّد نقل ينشر المسار عالمياً، ثم انتهاء الحادثة بالسحب بعد ضغط وتنسيق بين مشغّلي الشبكات. ومن الأمانة القول بوضوح: هذا تأكيد للأدوار، وليس اقتباساً للتوقيتات.

أنتجت تلك الليلة نوعين من القوة، في يدين مختلفتين. مراقبة التوجيه جعلت العطل مقروءاً وهو جارٍ؛ ويسجّل RIPE NCC أن خدمته Routing Information Service وأدوات مثل BGPlay استُخدمت لرصد الحادثة وتحليلها، ويصف الإعلان الأصلي بأنه غير مصرّح به. قابلية القراءة قيمة كبيرة. بها يتحوّل الحادث إلى واقعة موثّقة بدل أن يبقى إشاعة، وبها يستطيع المتضرر إثبات الضرر، وبها يصبح سلوك المشغّل مسؤولاً أمام سجلّ. لكن المراقب حسّاس. والحسّاسات لا ترفض المسارات.

أما الفعل فقد جاء من قرار تشغيلي لمزوّد نقل. جملة غير مريحة لمن يفضّل أن تُدار سلامة التوجيه من سلطة تملك مفتاحاً. الأمر ليس كذلك. سجلات العناوين تصف من يحوز كتلة، ولا تتحكّم في المسارات التي تقبلها شبكات أخرى. هذه الفجوة ليست فضيحة، بل هي المعمار نفسه: التوجيه ترابط طوعي بين شبكات تُدار باستقلال، وليس لأي منها أن تأمر أخرى بالتوقّف عن حمل بادئة. في فبراير 2008 كانت الرافعة الموجودة في جانب النقل، داخل علاقة تجارية، وسحبتها الشركة التي تملكها.

المسؤولية هنا موزّعة، ويجب وصفها على هذا النحو. المصدر أعلن كتلة لا يملك تصريحاً بها. ومزوّد النقل قبِل الإعلان وصدّره إلى العالم. وشبكات الاستقبال قبلته. كل خطوة من هذه الثلاث كان موضعاً يمكن أن يبقى فيه الحادث أصغر. وحصر الاتهام في الخطوة الأولى، كما تفعل معظم الروايات، يحوّل خللاً في المنظومة إلى إحراج وطني ويترك الآلية كما كانت تماماً.

ومن هنا السؤال الباقي. الإصلاح الذي يعتمد على تقدير وسيط، يمارَس بعد ساعتين من بدء الانقطاع، ليس ضبطاً بل حظاً مصحوباً برواية معقولة. الإصلاح المتين يسبق الحادثة وهو موزّع: تصريح مُوقَّع للبادئة، وتصفية بادئات العملاء عند حدود المزوّد، والتحقّق من المصدر في جانب المشغّل، وإنذارات موصولة بمسار تصعيد متّفق عليه مسبقاً، وإجراء سحب طارئ جرى التدريب عليه قبل الحاجة إليه. هذه ضوابط مرشّحة، وليست وصفاً لما كان منشوراً في 2008. المهم هو الاتجاه: تقديم القرار، وتوزيعه على أيدٍ أكثر، وجعله قابلاً للتدقيق، حتى لا يبقى تقدير شركة واحدة هو الشيء الوحيد بين خطأ في الإعداد وانقطاع عالمي.

وحدّ واحد بشأن المواد المراجَعة هنا. لا تتضمّن الوثائق التي قُرئت لهذا التقرير أي حالة موثّقة لسجلّ أو جهة تنظيمية أو نظام تحقّق آلي أوقف الإعلان، ولا تتضمّن مخرجات خاماً لأجهزة القياس، ولا مراسلات بين الأطراف، ولا عقد النقل. الفعل الحاسم الذي تسمّيه هو سحب مزوّد النقل. وحيث يتوقّف السؤال على وثائق لم تشملها هذه المراجعة، فالجواب الأمين أنها ما زالت مفتوحة — لا أن الأطراف كانت ساكنة.