💻 computer science

Half-Moon Cookie: Private, Similarity-Based Blocklisting with TOCTOU-Attack Resilience

تقدم الورقة البحثية "Half-Moon Cookie"، وهو إطار عمل خاص للقوائم السوداء يُمكّن العملاء من التحقق من العناصر مقابل قائمة سوداء مملوكة للخادم تعتمد على التشابه دون الكشف عن الاستعلامات أو القائمة نفسها، مع توفير آلية مقاومة لهجمات (TOCTOU) لإعادة التحقق بكفاءة من العناصر التي تمت الموافقة عليها مسبقاً.

المؤلفون الأصليون: Xinyuan Zhang, Anrin Chakraborti, Michael K. Reiter

نُشر 2026-04-20

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Xinyuan Zhang, Anrin Chakraborti, Michael K. Reiter

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تعمل في مطار عالي التأمين. لديك "قائمة مطلوبين" ضخمة وسرية للأشخاص الخطيرين (قائمة الحظر - Blocklist). المسافرون (العملاء) يريدون ركوب الطائرة، ولكن لا يمكنك ببساطة السماح لهم بالاطلاع على قائمة المطلوبين الخاصة بك، لأن ذلك من شأنه أن يكشف أسرارك الأمنية. كما لا يمكنك أن تطلب من كل مسافر إظهار هويته وتمريرها عبر نظامك في كل مرة يمر فيها عبر باب، لأن ذلك سيؤدي إلى ازدحام مروري هائل ويبطئ حركة الجميع.

هناك خدعة ماكرة تسمى هجوم TOCTOU (وقت التحقق، وقت الاستخدام - Time-of-Check, Time-of-Use). تخيل أن مسافراً تم فحصه في الساعة 9:00 صباحاً وتم السماح له بالمرور. ولكن في الساعة 9:05 صباحاً، قام باستبدال بطاقة هويته بأخرى مزورة، أو قام المطار بتحديث القائمة لتشمله. إذا اعتمد حارس البوابة فقط على فحص الساعة 9:00 صباحاً، فسوف يمر الشخص السيئ.

"نصف قمر كوكيز" (Half-Moon Cookie) هو نظام أمني جديد وذكي مصمم لحل كل هذه المشكلات دفعة واحدة. إليك كيف يعمل، باستخدام تشبيهات بسيطة:

1. المشكلة: "الوصفة السرية" مقابل "المكون السري"

عادةً، للتحقق مما إذا كان الملف ضاراً، عليك إما:

إظهار الملف للخادم (Server): ولكن الملف قد يكون وثيقة عمل سرية (مثل وصفة تجارية مملوكة لشركة)، ولا تريد للخادم رؤيتها.
إظهار قائمة الخادم لك: ولكن قائمة الخادم هي سر تجاري (مثل قائمة سرية للجواسيس المعروفين)، وهم لا يريدونك أن ترى القائمة.

"نصف قمر كوكيز" يستخدم خدعة سحرية (التشفير) حيث يتحقق الخادم من ملفك مقابل قائمته السرية دون أن يرى ملفك أبداً، ودون أن ترى أنت القائمة أبداً. الأمر يشبه اختبار تذوق أعمى حيث يعرف الحَكَم الوصفة لكنك لا تعرفها، وأنت تعرف النكهة لكن الحَكَم لا يعرفها، ومع ذلك يمكنهما معاً تحديد ما إذا كنت تطبخ الطبق "السيئ".

2. العملية المكونة من خطوتين: "الختم" و"المسح"

عبقرية "نصف قمر كوكيز" تكمن في تقسيم الفحص الأمني إلى جزئين: فحص ثقيل وفحص سريع كالبرق.

الخطوة أ: الفحص الصريح (الختم الثقيل)

من يقوم به؟ الشخص الذي يرسل الملف (المرسل).
ماذا يحدث؟ يرسل المرسل ملفه إلى الخادم. يقوم الخادم بعملية حسابية معقدة وبطيئة ولكنها آمنة.
النتيجة: إذا كان الملف سليماً، يمنح الخادم المرسل ختماً رقمياً خاصاً (يسمى "توكن" أو Token).
التشبيه: تخيل أن المرسل يذهب إلى كاتب عدل. ينظر كاتب العدل إلى المستند (دون قراءة الأجزاء السرية منه) ويختمه بختم حبر سري فريد. يحتفظ كاتب العدل بسجل لهذا الختم في "قائمة آمنة".

الخطوة ب: الفحص الضمني (المسح السريع)

من يقوم به؟ الشخص الذي يستلم الملف (المستقبل).
ماذا يحدث؟ عندما يحصل المستقبل على الملف، لا يحتاج للقيام بالعمليات الحسابية الثقيلة. هو فقط يأخذ الختم الرقمي الذي حصل عليه المرسل سابقاً ويعرضه على الخادم.
النتيجة: يبحث الخادم عن الختم في "القائمة الآمنة" الخاصة به. إذا كان الختم موجوداً، فالملف جيد. إذا لم يكن كذلك، فهو سيئ.
التشبيه: عندما تصل إلى البوابة، لا يعيد الحارس فحص جواز سفرك بالكامل. هو فقط يمسح الختم ذو الحبر السري. إذا كان الختم يطابق "القائمة الآمنة" الخاصة به، يمكنك المرور مباشرة. هذا يستغرق جزءاً من الثانية.

3. حل هجوم "TOCTOU" (مشكلة "الشارة المسروقة")

لماذا يعد هذا أفضل من مجرد فحص القائمة في كل مرة؟

الطريقة القدية: إذا قام المرسل بالفحص في الساعة 9:00 صباحاً، وقام المستقبل بالفحص في الساعة 9:05 صباحاً، فقد يتم استبدال الملف في هذه الأثناء.
طريقة "نصف قمر": "القائمة الآمنة" ديناميكية. إذا قام الخادم بتحديث "قائمة المطلوبين" (على سبيل المثال، اكتشاف فيروس جديد)، فإنه يمسح القائمة الآمنة.
- الآن، يصبح "الختم الرقمي" القديم غير صالح.
- يحاول المستقبل مسح الختم القديم، فيقول الخادم: "عذراً، لقد انتهت صلاحية هذا الختم لأن قواعدنا تغيرت".
- يُجبر المستقبل على العودة إلى المرسل للحصول على ختم جديد بناءً على القواعد الجديدة.
- النتيجة: لا يمكن للشخص السيئ استبدال الملف أو الختم لأن الخادم يعرف فوراً أن الختم لا يتوافق مع القواعد الحالية.

4. لماذا اسم "نصف قمر كوكيز"؟

لماذا "نصف قمر كوكيز" (Half-Moon Cookie)؟

تخيل قطعة كوكيز عليها طبقة كريمة بنكهة الفانيليا على نصف، وطبقة شوكولاتة على النصف الآخر.
نصف الفانيليا (المرسل): يقوم بالعمل الشاق (الفحص الثقيل) مرة واحدة.
نصف الشوكولاتة (المستقبل): يستمتع بالجزء السهل (الفحص السريع) لمرات عديدة.
معاً، يصنعان قطعة كوكيز كاملة وآمنة.

ملخص الفوائد

الخصوصية: الخادم لا يرى ملفك السري أبداً؛ وأنت لا ترى قائمتهم السرية أبداً.
السرعة: العمل الشاق يتم القيام به مرة واحدة من قبل المرسل. الجميع آخرون يحصلون على "فحص ختم" سريع للغاية.
الأمان: يمنع هجمات "وقت التحقق". إذا تغيرت القواعد، تصبح الأختام القديمة عديمة الفائدة، مما يفرض إعادة الفحص.
القابلية للتوسع: يعمل النظام حتى لو كانت "قائمة المطلوبين" تحتوي على ملايين المدخلات، لأن الفحص الثقيل مُحسّن للتعامل مع القوائم الكبيرة بكفاءة.

باختصار، "نصف قمر كوكيز" هو نظام أمني يحافظ على الخصوصية، يسمح لك بالتحقق من الملفات الخطيرة دون الكشف عن الأسرار، ويسمح لك بفعل ذلك بسرعة كافية حتى لا يعلق أحد في الازدحام، مع منع المتسللين الماكرين من استبدال الملفات بعد فحصها.

إليك ملخص تقني مفصل لورقة البحث بعنوان "Half-Moon Cookie: Private, Similarity-Based Blocklisting with TOCTOU-Attack Resilience" (كوكيز نصف القمر: قائمة حظر تعتمد على التشابه، تحافظ على الخصوصية، وتتميز بالقدرة على مقاومة هجمات TOCTOU).

1. بيان المشكلة

تعالج الورقة تحديين حاسمين في أنظمة القوائم السوداء (Blocklisting) الحديثة:

الخصوصية مقابل المنفعة: تتطلب القوائم السوداء التقليدية إما قائمة عامة (مما يؤدي لتسريب استخبارات التهديدات الحساسة) أو تتطلب من العملاء الكشف عن استعلاماتهم للخادم (مما يؤدي لتسريب بيانات المستخدم). وهذا يمثل مشكلة خاصة للقوائم السوداء المملوكة (مثل توقيعات البرمجيات الخبية محددة النوع) والمدخلات الحساسة للعملاء (مثل الملفات التنفيذية المملوكة أو رسائل البريد الإلكتروني الخاصة).
ثغرات TOCTOU: إن فحص أثر ما (Artifact) مقابل قائمة سوداء مباشرة قبل استخدامه غالبًا ما يكون مكلفًا جدًا من الناحية الحسابية بالنسبة لـ "المسار الحرج" (Critical Path) للتنفيذ. ونقل عملية الفحص إلى وقت سابق (على سبيل المثال، من جانب المرسل) يؤدي إلى ثغرات "وقت التحقق مقابل وقت الاستخدام" (Time-of-Check vs. Time-of-Use - TOCTOU)، حيث يمكن للمهاجم استبدال ملف سليم بآخر خبيث بعد عملية الفحص ولكن قبل الاستخدام.

تعتمد الحلول الحالية للقوائم السوداء الخاصة غالبًا على المطابقة التامة (وهي غير فعالة ضد البرمجيات الخبيثة متعددة الأشكال/Polymorphic) أو تتطلب بروتوكولات تشفير مكلفة (مثل الدوائر المغلّفة/Garbled Circuits) لكل عملية فحص، مما يجعلها غير عملية للنشر واسع النطاق.

2. المنهجية: إطار عمل Half-Moon

يقترح المؤلفون Half-Moon Cookie (هالف مون)، وهو بروتوكول يتكون من ثلاثة أطراف: عميل مرسل ( $C_{snd}$ )، عميل مستلم ( $C_{rcv}$ )، وخادم ( $S$ ). يقوم النظام بفصل فحص القائمة السوداء إلى مرحلتين متمايزتين لموازنة الخصوصية والأمن والأداء.

أ. المفهوم الجوهري: الفحص على مرحلتين

الفحص الصريح (من جانب المرسل):
- يقدم $C_{snd}$ أثرًا $w$ إلى $S$ .
- يمتلك $S$ قائمة سوداء مملوكة $U_{blk}$ (ممثلة كمجموعة من التضمينات $L$ في مساحة متريّة).
- يتحقق البروتوكول مما إذا كان $w$ "قريبًا" (ضمن عتبة مسافة $T$ ) من أي عنصر في $L$ باستخدام التجزئة الضبابية (Fuzzy Hashing) (المطابقة القائمة على التشابه).
- الخصوصية: لا يتعلم $S$ شيئًا عن $w$ ؛ ولا يتعلم $C_{snd}$ شيئًا عن $L$ .
- النتيجة: إذا كان $w$ سليمًا، يقوم $S$ بإنشاء رمز إخفاء وترابط ( $\gamma$ ) ويخزنه في قائمة بيضاء (Allowlist). يتلقى $C_{snd}$ رقمًا عشوائيًا (Nonce) ومعلمات الرمز.
الفحص الضمني (من جانب المستلم):
- يتلقى $C_{rcv}$ الأثر $w$ من $C_{snd}$ .
- بدلاً من إعادة تشغيل فحص التشابه المكلف ضد القائمة السوداء الكاملة، يقوم $C_{rcv}$ بعملية تحقق خفيفة الوزن مقابل القائمة البيضاء باستخدام الرمز المقدم من $C_{snd}$ .
- مقاومة TOCTOU: إذا تم تحديث القائمة السوداء، يتم مسح القائمة البيضاء، مما يفرض إجراء فحص صريح جديد. هذا يقلل من نافذة التعرض لهجمات TOCTOU.

ب. الأدوات التشفيرية والتحسينات

لتحقيق الكفاءة والأمن، يستخدم إطار العمل عدة تقنيات متقدمة:

التضمين المتري (Metric Embedding): يتم تضمين القائمة السوداء في مساحة متريّة (تحديدًا مسافة هامينج Hamming distance) باستخدام التجزئة الضبابية (مثل TLSH).
الدوائر المغلّفة القابلة لإعادة الاستخدام (RGC):
- مرحلة "التضمين والخرائط" (Embed-and-Map) (تجزئة الملف) هي عملية مكلفة حسابيًا. يستخدم المؤلفون الدوائر المغلّفة القابلة لإعادة الاستخدام (CRGC) لفصل حجم الدائرة عن حجم ملف المدخلات.
- يتم تقسيم الدائرة إلى أجزاء قابلة لإعادة الاستخدام (تتعامل مع العمليات الخطية مثل مسح الملف) وأجزاء غير قابلة لإعادة الاستخدام (تتعامل مع الفحص النهائي). وهذا يقلل من تكاليف الاتصال والحوسبة بعدة مراتب مقارنة بالدوائر المغلّفة المتجانسة.
التبديل غير المتوقع ثنائي الاتجاه لمرة واحدة (One-Time Pairwise Unpredictable Permutation):
- لمنع المرسل الخبيث من تزوير المدخلات، يطبق النظام تبديلًا $P$ على التجزئة المضمنة.
- يضمن ذلك أنه حتى لو حاول مرسل خبيث تقديم ملف $w'$ مختلف يطابق رمزًا سابقًا، فلن يتمكن من التنبؤ بمخرجات التبديل دون المفتاح السري للخادم.
مقياس الجذور غير المشتركة المتناظرة (SUR Metric):
- لإجراء فحص المسافة بشكل خاص دون الكشف عن المتجهات، يستخدم المؤلفون مقياسًا يعتمد على كثيرات الحدود (SUR) مشتقًا من وظيفة إضافة كثيرات الحدود المزعجة (Fnpa). يسمح هذا للخادم بالتحقق مما إذا كانت مسافة هامينج ضمن العتبة دون معرفة قيم التجزئة الفعلية.
رموز الإخفاء والترابط (Hiding and Binding Tokens):
- يتم بناء الرمز $\gamma$ كالتالي: $\gamma = f(w) + s \times H(w, f(w), k_f, m)$ .
- الإخفاء: تضمن القناع العشوائي $s$ وتابع التجزية العشوائي $H$ أن $S$ لا يمكنه تعلم $w$ من $\gamma$ .
- الترابط: يضمن الهيكل أن $C_{snd}$ الخبيث لا يمكنه العثور على $w'$ مختلفة تنتج نفس $\gamma$ (مقاومة التصادم).

3. المساهمات الرئيسية

التعريف الرسمي لـ Half-Moon: أداة تشفيرية جديدة تدعم كلاً من الفحص الصريح للخصوصية القائم على التشابه وفحص التأكيد الضمني الفعال.
قائمة سوداء قائمة على التشابه وفعالة: إطار عمل يدعم المطابقة التقريبية (التجزئة الضبابية) مع الحفاظ على خصوصية كل من القائمة السوداء ومدخلات العميل.
مقاومة TOCTOU: نمط تصميم حيث يقوم المرسل بالفحص الثقيل، بينما يقوم المستلم بالتحقق من القائمة البيضاء الخفيف، مما يخفف بفعالية من ظروف السباق (Race Conditions) دون التضحية بالخصوصية.
تنفيذ قابل للتوسع:
- دمج الدوائر المغلّفة القابلة لإعادة الاستخدام (RGC) للتعامل مع مدخلات الملفات الكبيرة (مثل الملفات التنفيذية) بكفاءة.
- استخدام تقنيات تقاطع المجموعات الخاص (Fuzzy PSI) المتكيفة مع مسافة هامينج دون افتراضات حول توزيع البيانات.
البراهين الأمنية: براهين رسمية تثبت الأمان ضد:
- المرسلين الخبثاء ( $T_1$ ): لا يمكنهم تزوير الرموز للعناصر المحظورة أو معرفة القائمة السوداء.
- الخوادم النزيهة لكن الفضولية ( $T_2$ ): لا يمكنهم تعلم مدخلات العميل إذا لم يكن العنصر محظورًا.

4. النتائج التجريبية

قام المؤلفون بتنفيذ Half-Moon بلغة C++ وتقييمه في سيناريوهات اكتشاف البرمجيات الخبيثة (باستخدام مجموعة بيانات Ember ومرفقات بريد Enron الإلكتروني).

مكاسب الأداء (الفحص الصريح):
- قللت الدوائر المغلّفة القابلة لإعادة الاستخدام (RGC) حجم الاتصال بأكثر من مرتبتين (أكثر من 100 ضعف) وزمن الاستجابة بأكثر من مرتبة واحدة مقارنة بالدوائر المغلّفة المتجانسة.
- بالنسبة لملف تنفيذي بحجم 5 كيلوبايت، انخفض زمن الاستجابة من حوالي 1000 ثانية (المتجانسة) إلى 4.8 ثانية (RGC) باستخدام TLSH.
الإنتاجية (Throughput):
- يتوسع النظام جيدًا مع حجم القائمة السوداء ( $|L|$ ). وبينما تزيد القوائم السوداء الأكبر من زمن التأخير قليًا، فإن النظام يصل إلى حالة التشبع عند الطلبات المتزامنة العالية (على سبيل المثال، ~250 طلبًا متزامنًا لملف بحجم 10 كيلوبايت).
- التكلفة مستقلة إلى حد كبير عن حجم ملف المدخلات بفضل تحسين RGC.
كفاءة الفحص الضمني:
- الفحص الضمني سريع للغاية (0.19 ثانية) ومنخفض عرض النطاق الترددي (7.2 كيلوبايت)، مقارنة بنماذج Fuzzy PSI الأساسية (مثل Chakraborti et al. [29] التي استغرقت 160 ثانية).
- هو مستقل عن حجم القائمة السوداء، مما يجعله مثاليًا للمستلم.
اختيار دالة التجزئة:
- وُجد أن TLSH هي دالة التجزئة الأكثر كفاءة لهذا الإطار، حيث تفوقت على ssdeep وsdhash في إجمالي زمن الاستجابة.

5. الأهمية

يمثل إطار عمل Half-Moon Cookie تقدمًا مهمًا في البنية التحتية للأمن الحافظ للخصوصية:

الواقعية: يسد الفجوة بين بروتوكولات الخصوصية النظرية (التي غالبًا ما تكون بطيئة جدًا) والاحتياجات الأمنية في العالم الحقيقي (التي تتطلب السرعة والقابلية للتوسع).
الدفاع ضد البرمجيات الخبيثة: يتيح الكشف الفعال عن البرمجيات الخبيبة متعددة الأشكال (عبر تجزئة التشابه) دون الكشف عن استخبارات التهديدات المملوكة أو بيانات المستخدم.
تصميم الأنظمة: يقدم حلاً معمارياً مبتكراً لمشكلة TOCTO عبر نقل العبء الحسابي إلى المرسل مع الحفاظ على ضمانات أمنية قوية للمستلم.
قابلية التطبيق الواسعة: رغم تطبيقه على البرمجيات الخبيثة، إلا أن إطار العمل قابل للتطبيق في أي سيناريو يتطلب فحوصات تشابه خاصة، مثل اكتشاف المحتوى غير القانوني (CSAM)، أو تصفية البريد العشوائي، أو التحقق من اختراق البيانات الاعتمادية.

باختصار، يوفر Half-Moon Cookie آلية قوية وفعالة وتحافظ على الخصوصية للتحقق من الآثار مقابل قوائم سوداء مملوكة، مما يحل المقايضة بين الأمن والخصوصية والأداء التي أعاقت الحلول السابقة.