🔬 applied physics

Reflecthernet: Exfiltrating 100BASE-TX Ethernet Traffic Using a Retroreflector Hardware Trojan

تثبت هذه الورقة جدوى تسريب حركة مرور شبكات "فاست إيثرنت" من نوع 100BASE-TX عبر تصميم وتنفيذ حصان طروادة عتادي مدمج وسلبي يستخدم الارتداد اللاسلكي لتقنين واستعادة إشارات ترميز MLT-3 دون إصدار إشارات خاصة به.

المؤلفون الأصليون: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

نُشر 2026-05-05

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة "Reflectethernet" باستخدام لغة بسيطة وتشبيهات من الحياة اليومية.

الفكرة الكبرى: "الجاسوس الصامت" في كابل الشبكة الخاص بك

تخيل أن هناك محادثة سرية تجري داخل غرفة. عادةً، للاستماع إليها، تحتاج إلى أن تكون قريباً جداً، وأن تمتلك ميكروفوناً فائق الحساسية، وأن تأمل أن تكون الجدران رقيقة بما يكفي لسماع الصوت. هكذا يعمل "التنصت" التقليدي على شبكات الكمبيوتر: يحاول المخترقون التقاط الموجات الراديوية الضعيفة والعرضية التي تتسرب من الكابلات.

ولكن ماذا لو استطعت تثبيت جهاز صغير غير مرئي داخل الكابل، جهاز لا يتحدث على الإطلاق؟ بدلاً من ذلك، يعمل كأنه مرآة.

تقدم هذه الورقة نوعاً جديداً من أدوات التجسس يسمى Hardware Trojan (جاسوس العتاد من نوع العاكس الارتدادي). فكر فيه ليس كجهاز إرسال راديوي، بل كـ مرآة ذكية مخبأة داخل كابل الإيثرنت الخاص بك.

كيف يعمل الهجوم: المصباح والمرآة

تصف الورقة لعبة من ثلاثة أجزاء تشبه لعبة "صيد الضوء" (Flashlight Tag) بين المهاجم والهدف:

المصباح (المهاجم): يقف المهاجم خارج الغرفة ومعه "مصباح" راديوي قوي (مولد إشارات). يسلط هذا الضوء غير المرئي على كابل كمبيوتر الهدف.
المرآة الذكية (الجهاز المزروع): يوجد داخل الكابل جهاز صغير لا يحتاج لبطارية (Trojan)، يتكون فقط من صمامين ثنائيين (diodes) وعدة مقاومات. هو صغير جداً لدرجة أنه يمكن أن يوضع داخل عزل الكابل دون أن يلاحظه أحد.
- عندما يرسل الكمبيوتر "0" أو "1" عبر الكابل، يقوم هذا الجهاز فوراً بتغيير كيفية عكس "مصباح" المهاجم.
- الأمر يشبه مرآة تميل قلياً لليسار عند إرسال "0" وتميل قليلاً لليمين عند إرسال "1". الجهاز لا يصدر ضجيجاً خاصاً به؛ هو فقط يعكس ضوء المهاجم بنمط يطابق البيانات السرية.
التقاط الإشارة (المستقبل): يلتقط المهاجم الضوء المنعكس باستخدام مستقبل خاص. ومن خلال تحليل كيفية ارتداد الضوء، يمكنه إعادة بناء البيانات السرية التي كانت تمر عبر الكابل.

التحدي: تسريع حركة المرآة

النسخ السابقة من هجوم "المرآة" هذا كانت تعمل بشكل جيد مع الأشياء البطيئة مثل لوحات المفاتيح القديمة أو كابلات الفيديو. لكن هذه الورقة تتعامل مع Fast Ethernet (100BASE-TX)، وهو أسرع بكثير ويستخدم لغة معقدة تسمى MLT-3.

التشبيه: تخيل أن الكابل العادي يستخدم مفتاح ضوء بسيط "تشغيل/إيقاف" (مثل نقاط أو شرطات شفرة مورس). المرايا القديمة كانت تستطيع نسخ ذلك بسهولة.
المشكلة: يستخدم الـ Fast Ethernet رقصة ثلاثية الخطوات: عالي، متوسط، منخفض. الأمر يشبه تغير ألوان إشارة المرور. إذا وضعت مرآة بسيطة فقط، فستصاب بالارتباك وتفقد الرسالة.
الحل: بنى الباحثون "مرآة" جديدة تنظر إلى الفرق بين الأسلاك. هي تقوم فعلياً بتحويل تلك الرقصة المعقدة ثلاثية الخطوات إلى إشارة بسيطة: "هل هناك حركة أم لا؟"، مما يسمح للمرآة بمواكبة هذه السرعة العالية.

وحدة فك التشفير: إصلاح التشويش

بما أن الإشارة يجب أن تسافر عبر الهواء، وتصطدم بمرآة صغيرة، ثم تعود، فإنها تصبح مشوشة (مثل محاولة سماع همس في عاصفة رعدية). تصف الورقة مسار برمجياً متطوراً لتنظيف الضجيج:

إيجاد النمط: يعرف البرنامج أن أجهزة الكمبيوتر ترسل أنماط "خاملة" (idle) محددة عندما لا تكون في حالة حديث. يستخدم البرنامج هذه الأنماط المعروفة لمزامنة ساعته، تماماً مثل قائد الأوركسترا الذي يجد إيقاع الأغنية.
خريطة "البقعة الساخنة" (Hotspot Map): ينظر البرنامج إلى الإشارة الواردة ويقسم نقاط البيانات إلى "جمهورين" (واحد للـ 0 والآخر للـ 1). حتى لو كانت البيانات ضبابية، يمكنه معرفة الجمهور الذي تنتمي إليه كل نقطة.
تصحيح الأخطاء: يعرف النظام قواعد لغة الإيثرنت (ترميز 4B/5B). إذا رأى كلمة غير موجودة في القاموس (كود غير صالح)، فإنه يخمن الكلمة الصحيحة الأكثر احتمالاً بناءً على البيانات المحيطة، تماماً مثل خاصية التصحيح التلقائي التي تصلح الأخطاء الإملائية.

النتائج: إلى أي مدى يمكنهم الرؤية؟

اختبر الباحثون هذا في مكانين:

غرفة معزولة صوتياً (Anechoic Chamber): هنا، أثبتوا أن المفهوم يعمل بشكل مثالي مع طاقة عالية.
مكتب حقيقي: قاموا بإعداد جهاز لاب توب وجهاز Raspberry Pi على طاولات مكتبية. ومن مسافة 3 أمتار (حوالي 10 أقدام)، نجحوا في اعتراض البيانات المتدفقة بينهما.

وقد حسبوا أنه إذا استخدموا "مصباحاً" أقوى بكثير (طاقة أكبر)، فمن المرجح أن يتمكنوا من زيادة هذا المدى بشكل كبير، رغم أنهم أشاروا إلى أن الطاقة الزائدة قد تؤدي إلى "إعماء" مستقبلهم الخاص.

لماذا هذا مهم (وفقاً للورقة)

تجادل الورقة بأنه بينما نقوم بتشفير حركة مرور الإنترنت الخاصة بنا (مثل استخدام HTTPS)، فإن العديد من الشبكات الداخلية (مثل تلك الموجودة في المكاتب أو المصانع) لا تزال ترسل بيانات غير مشفرة. يثبت هذا الهجوم أنه حتى لو بدا الكابل آمناً ومعزولاً، يمكن زرع "مرآة" صغيرة وغير مرئية داخله لسرقة البيانات من مسافة بعيدة، دون الحاجة أبداً إلى الاتصال بالشبكة أو تشغيل الجهاز.

باختة القول: لقد صنعوا مرآة سلبية صغيرة يمكن إخفاؤها داخل كابل الشبكة، مما يسمح للمهاجم بـ "قراءة" البيانات المتدفقة عبره من خلال تسليط شعاع راديوي عليه من مسافة بضعة أمتار، حتى في الاتصالات عالية السرعة.

ملخص تقني: Reflectthernet

بيان المشكلة
يُعد التجسس الكهرومغناطيسي (TEMPEST) تهديداً معروفاً، ومع ذلك غالباً ما تكون الهجمات السلبية محدودة بسبب الإشارات الضعيفة والضوضاء والاعتماد على الظروف البيئية. وبينما توفر أحجار التروجان للأجهزة (Hardware Trojans - HTs) ناقل استخراج بيانات أكثر تحكماً، إلا أن الغرسات النشطة تتطلب طاقة ويسهل اكتشافها. تعالج هجمات العاكسات اللاسلكية (Radio Frequency Retroreflector Attacks - RFRAs) هذه المشكلة باستخدام غرسات سلبية غير مزودة بالطاقة تقوم بتعديل تشتت الإشارة الخارجية بناءً على البيانات المستهدفة. ومع ذلك، فإن العروض الأكاديمية السابقة لهجمات RFRAs كانت مقتصرة على الواجهات التناظرية (مثل VGA) أو الروابط الرقمية منخفضة السرعة (مثل USB، وPS/2، و10BASE-T) مع ترميز ثنائي بسيط ومعدلات رموز تقل عموماً عن 50 ميجا باود (MBd). أما الروابط الرقمية عالية السرعة، وتحديداً 100BASE-TX Ethernet، التي تستخدم ترميز MLT-3 متعدد المستويات والمعقد ومعدلات رموز أعلى، فلم يتم استهدافها بنجاح بهذه التقنية من قبل.

المنهجية
يقدم المؤلفون "Reflectthernet"، وهو إطار عمل مصمم لاستخراج حركة مرور بيانات 100BASE-TX Ethernet باستخدام حجر تروجان عاكس مخصص ومسار استجواب عالي السرعة.

بنية الغرسة:

حجر التروجان (HT) هو غرسة سلبية مدمجة داخل الزوج التفاضلي لكابل Cat-5 (أو أعلى) من نوع Ethernet.
على عكس الغرسات السابقة التي تستهدف الإشارات الثنائية، يعالج هذا التصميم ترميز MLT-3 ثلاثي المستويات (–1، 0، +1). فهو يستخدم ثنائيين من نوع شوتكي (Schottky diodes) من قطبية متعاكسة (BAT63-02V) متصلين بالخطوط التفاضلية ( $D+$ و $D-$ ) عبر مقاومات تسلسلية (620 $\Omega$ ).
يسمح هذا التكوين للغرسة بالتوصيل عندما تكون $|D+ - D-| \neq 0$ ، مما يحول إشارة MLT-3 ثلاثية المستويات فعلياً إلى تغيير ثنائي في الممانعة (توصيل مقابل عدم توصيل)، وهو ما يعدل معامل الانعكاس لدرع الكابل (المستخدم كديبول هوائي مرتجل).
الغرسة صغيرة الحجم فيزيائياً (حوالي 2 مم × 0.9 مم × 1.25 مم لحزمة الثنائي) ويمكن إخفاؤها داخل درع الكابل.

إعداد الاستجواب:

يستخدم الهجوم لوحة تقييم بنظام RFSoC (وهي ZCU111) قادرة على معدلات جيجا عينة في الثانية (GSa/s)، مما يتغلب على قيود النطاق الترددي لأجهزة الراديو المعرفة برمجياً (SDRs) القياسية.
يتضمن الإعداد مسار إرسال عالي القدرة (يصل إلى ~17 ديسيبل مللي) ومسار استقبال حساس مع مضخمات منخفضة الضجيج (LNAs) وفلترة تمرير عالٍ لقمع تسرب الموجة الحاملة.
يحدث الإضاءة والاستقبال عند ترددات تتراوح بين 300 ميجاهرتز و1 جيجاهرتز، مع معدل أخذ عينات يبلغ 1.6 جيجا عينة في الثانية لالتقاط معدل رموز 125 ميجا باود الخاص بالرابط المستهدف.

مسار استعادة البيانات:

فك التعديل (Demodulation): يستعيد النظام الجهد التفاضلي المطلق $|D+ - D-|$ من خلال تحليل مسافة العينات المستلمة إلى "النقاط الساخنة" في المستوى المعقد (باستخدام تقدير كثافة النواة الغاوسية Gaussian Kernel Density Estimation) أو عبر مصنف متجه الدعم (SVC) مدرب.
المزامنة (Synchronization): يُستخدم تسلسل سجل الإزاحة ذو التغذية الراجعة الخطية (LFSR) (متعدد الحدود $x^{11} - x^9 - 1$ ) لعمل التشفير (scrambling). يقوم المستقبل بالمزامنة من خلال استغلال حالة "IDLE" المعروفة (واحدات مستمرة) المرسلة خلال فجوات الحزم البينية (IPG) لإعادة بناء حالة المشفّر.
فك الترميز (Decoding): يعكس المسار ترميز MLT-3، ثم يفك تشفير المشفّر، ويطبق فك ترميز 4B/5B.
تصحيح الأخطاء: يقوم مسار مخصص باكتشاف أكواد 4B/5B غير الصالحة (التي تحدث بسبب ضوضاء القناة اللاسلكية) ويحاول تصحيحها عبر ربطها بأقرب جار صالح بناءً على مقاييس الثقة المستمدة من مسافات العينات.

المساهمات الرئيسية

أول هجوم RFRA على Ethernet: يثبت هذا العمل أول هجوم ناجح للعاكس اللاسلكي على رابط 100BASE-TX Ethernet، مما يوسع نطاق تطبيق هجمات RFRA إلى معدل رموز يبلغ 125 ميجا باود—وهو أعلى بمقدار عشرة أضعاف من هجمات الروابط الرقمية السابقة.
بنية مبتكرة لحجر التروجان (HT): التصميم عبارة عن هيكل ثنائي الثنائي قادر على التمييز وتعديل إشارات MLT-3 دون الحاجة إلى طاقة أو منطق معقد.
استجواب عالي النطاق الترددي: استخدام منصة RFSoC لدعم معدلات أخذ العينات العالية المطلوبة لـ Fast Ethernet، متجاوزاً قدرات أجهزة SDR المستخدمة في الأدبيات السابقة.
تصحيح أخطاء مدرك للبروتوكول: تطوير مسار لفك التعديل وفك الترميز يستفيد من البنية المحددة لبروتوكول 100BASE-TX (ترميز 4B/5B وأنماط IDLE) لإعادة بناء حالة المشفّر وتصحيح أخطاء البتات، مما يتيح استعادة البيانات بشكل موثوق رغم ضوضاء القناة اللاسلكية.

النتائج

الأداء: في بيئة غرفة خالية من الصدى (anechoic chamber) محكومة، حقق النظام استعادة كاملة تقريباً للبيانات على مسافة 4 أمتار مع قدرات إرسال تصل إلى 17 ديسيبل مللي.
التحقق في العالم الحقيقي: تم تكرار الهجوم بنجاح في بيئة مكتبية قياسية على مسافة 3 أمتار مع قدرة إضاءة تبلغ 13 ديسيبل مللي. في ظل هذه الظروف، تم الحفاظ على معدل خطأ البتات (BER) تحت 0.1.
استعادة البيانات: نجح مسار المعالجة في إعادة بناء إطارات Ethernet كاملة على مستوى طبقة MAC، بما في ذلك رؤوس IP والحمولات (تم إثبات ذلك باستخدام طلبات ICMP echo مع حشوة محددة). وبينما ظلت بعض أخطاء البايتات قائمة، إلا أن المعلومات الأساسية مثل عناوين MAC وعناوين IP وأنماط الحمولة كانت مقروءة بوضوح.
تقدير المدى: باستخدام معادلة الرادار، يقدر المؤلفون أن مضاعفة المدى من 3 أمتار إلى 6 أمتار سيتطلب زيادة قدرها 12 ديسيبل في قدرة الإرسال (حوالي 25 ديسيبل مللي)، وهي محدودة أساساً بالمدى الديناميكي للمستقبل والتشبع.

الأهمية
تؤكد الورقة أن "Reflectthernet" يثبت جدوى هجمات العاكس اللاسلكي ضد الروابط الرقمية عالية السرعة والمعقدة التي كانت تُعتبر سابقاً مقاومة لمثل هذه التقنيات. ومن خلال استهداف 100BASE-TX بنجاح، يسلط هذا العمل الضوء على أنه حتى واجهات الشبكة الحديثة وعالية السرعة معرضة لغرسات الأجهزة السلبية وغير المزودة بالطاقة إذا كان الوصول المادي (مثل اختراق سلسلة التوريد أو هجمات "الخادم الشرير" Evil Maid) ممكناً. ويشير المؤلفون إلى أنه بينما يحمي التشفير (TLS, MACsec) محتوى الحمولة، فإن البروتوكولات القديمة غير المشفرة (مثل HTTP, NFS, DNS) والبيانات الوصفية ذات الطبقات الدنيا تظل مكشوفة. وتخلص الدراسة إلى أن الجمع بين الانتشار الواسع لـ Ethernet والقدرة على استخراج البيانات بمعدل 125 ميجا باود يوسع بشكل كبير سطح الهجوم لـ RFRA، مما يستدعي إعادة تقييم الافتراضات المتعلقة بالأمن المادي للبنية التحتية للشبكات.