Cleaning the NTP Pool: Detecting and Mitigating NTP-Sourced IPv6 Scanning
تقدم هذه الورقة منهجية للكشف عن خوادم "NTP Pool" وتوصيفها التي تقوم بحصاد عناوين عملاء IPv6 النشطة لأغراض الاستطلاع والمسح، مما أدى إلى تحديد 22 خادماً خبيثاً وتغييرات لاحقة في السياسات من قبل الكيانات المعنية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة وصاخبة حيث لكل جهاز عنوان فريد، مثل رقم المنزل. في النسخة القديمة من هذه المدينة (IPv4)، كانت الشوارع مزدحمة، وكان من السهل على أي شخص أن يمشي في كل شارع، ويطرق كل باب، ليرى من بالداخل. أما في التوسع الهائل الجديد للمدينة (IPv6)، فقد أصبحت الشوارع طويلة جداً وأرقام المنازل عشوائية ومتغيرة باستمرار، مما يجعل من المستحيل تقريباً العثور على أي شخص بمجرد التخمين؛ ستحتاج إلى خريطة تُحدث نفسها كل ثانية.
وللحفاظ على تزامن ساعاتهم، لا تكتفي معظم الأجهزة في هذه المدينة بالتخمين، بل تسأل "مؤقتاً" مركزياً يسمى NTP Pool. فكر في الـ NTP Pool كبرج ساعة ضخم يديره متطوعون، حيث يمكن لأي شخص إعداد ساعة وتقديم الوقت للجيران. ولأن هذا الأمر شائع جداً، فإن ملايين الأجهزة تسأل هذه الساعات عن الوقت يومياً. لكن العقبة هي أنه عندما يسأل جهاز ما عن الوقت، يجب عليه إظهار "رقم منزله" (عنوان IP الخاص به) لكي تعرف الساعة أين ترسل الإجابة. تستكشف هذه الورقة حيلة مخادعة يستخدمها بعض الأشخاص في استخدام هذه الساعات التطوعية، ليس فقط لإخبار الوقت، بل لكتابة أرقام المنازل سراً لكل من يمر بها، ثم استخدام تلك القائمة للطرق على الأبواب التي لم يكن بإمكانهم العثور عليها بطريقة أخرى.
سرقة برج الساعة
في هذه الدراسة، قرر الباحثان إريك راي وروبرت بيفيرلي التحقيق في ظاهرة غريبة أسمياها "المسح العكسي" (back-scanning). اشتبها في أن بعض الساعات التطوعية في الـ NTP Pool تعمل كجواسيس. وإليك كيف تعمل الحيلة: يطلب جهاز ما الوقت من ساعة ما. ترى الساعة عنوان الجهاز، وتكتبه، ثم — بدلاً من مجرد إرسال الوقت — تبدأ في إرسال عمليات فحص (probes) إلى ذلك العنوان لمعرفة الخدمات التي تعمل عليه. الأمر يشبه خبازاً ودوداً، بعد أن تسأله عن الوقت، يبدأ سراً في التحقق مما إذا كان منزلك يحتوي على باب مقفل، أو كاميرا مراقبة، أو خزنة مخفية، وكل ذلك لمجرد أنك دخلت متجره.
ولإيقاع هؤلاء الجواسيس، أعد الباحثون فخاً ذكياً. لقد أنشأوا حاسوباً خاصاً "للفحص" (prober) أرسل آلاف الطلبات إلى ساعات الـ NTP Pool. ولكن، إليك السحر: كل طلب جاء من رقم منزل جديد، وهمي، ويستخدم لمرة واحدة فقط (يسمى "nonce"). كانت هذه الأرقام عشوائية ولم تُستخدم مرة أخرى أبداً. ثم انتظر الباحثون ليروا ما إذا كان أي شخص سيطرق باب هذه المنازل الوهمية.
إذا كانت الساعة تقوم بعملها فحسب، فسترد بالوقت وتنسى رقم المنزل الوهمي. ولكن إذا كانت الساعة جاسوسة، فستكتب هذا الرقم الوهمي ولاحقاً ترسل عملية فحص إلى ذلك العنوان. وبما أن المنزل الوهمي لم يكن موجوداً في الواقع، فإن الطريقة الوحيدة لوصول عملية الفحص إليه هي إذا كانت الساعة (أو شخص متصل بها) قد حفظت الرقم وكانت تبحث عنه بنشاط.
ما وجدوه
على مدار عام كامل، أرسل الباحثون حوالي 2.45 مليون من هذه الطلبات الوهمية إلى 2,335 خادماً مختلفاً من خوادم NTP. ووجدوا أن 22 من تلك الخوادم كانت تعمل بالفعل كجواسيس. تم تجميع هذه الخوادعة الـ 22 في أربع مجموعات متميزة من السلوك:
- اللمسات الخفيفة: مجموعة من الخوادم اكتفت غالباً بإرسال "ping" واحد (فحص أساسي لمعرفة ما إذا كان الجهاز حياً) إلى العناوين الوهمية. كانوا فضوليين لكنهم لم يتعمقوا.
- اللاعبون الكبار: المجموعة الأكثر نشاطاً، والتي أطلق عليها الباحثون اسم المجموعة 2 (Cluster 2)، كانت عملية ضخمة. استخدمت 8 خوادم NTP لجمع العناوين، ثم شنت حملة مسح واسعة باستخدام أكثر من 3,000 عنوان IP مختلف للطرق على الأبواب. لم يكتفوا بالتحقق مما إذا كان الباب مفتوحاً أم لا، بل جربوا 572 نوعاً مختلفاً من الأقفال (منافذ TCP) و 9 أنواع مختلفة من المفات keys (منافذ UDP). كانوا يبحثون عن أشياء محددة مثل خوادم الويب، وأدوات التحكم عن بعد، وقواعد البيانات.
- الذئاب المنفردة: مجموعتان أخريان كانتا أصغر بكثير، بخادم واحد لكل منهما، لكنهما كانتا تقومان بالمسح أيضاً. أحدهما أرسل "pings"، والآخر حاول الوصول إلى منفذ تصحيح أخطاء أندرويد (Android debugging port) محدد.
لاحظ الباحثون شيئاً مثيراً للاهتمام بخصوص التوقيت. بالنسبة لـ "اللمسات الخفيفة"، استغرق الأمر حوالي 14 ساعة في المتوسط للبدء في المسح بعد رؤية عنوان جديد. أما "اللاعبون الكبار"، فقد استغرقوا وقتاً أطول قليلاً، حوالي 22 ساعة، ولكن بمجرد أن بدأوا، لم يتوقفوا. استمرت بعض عمليات المسح هذه لأكثر من شهر، حيث كانت تتحقق بشكل متكرر من نفس العناوين.
"لماذا" و "من"
تتبع الباحثون مالك أكبر مجموعة مسح (المجموعة 2). وتبين أنها شركة تأمين سيبراني. وعندما سأل الباحثون الشركة عن ذلك، كانت صريحة: اعترفت بأنها تستخدم الـ NTP Pool خصيصاً لمعرفة عناوين IPv6 النشطة بغرض المسح العكسي. وزعموا أنهم فعلوا ذلك لأغراض "دفاعية"، وتحديداً للمساعدة في حساب المخاطر لعملائهم في التأمين. وجادلوا بأن معرفة الأجهزة الموجودة تساعدهم في فهم مشهد التهديدات.
ومع ذلك، أشار الباحثون إلى مشكلة رئيسية: الأشخاص الذين يتم مسح أجهزتهم لم يكونوا يعلمون بحدوث ذلك. معظم هذه الأجهزة هي أدوات صغيرة مدمجة (مثل أجهزة تنظيم الحرارة الذكية أو مستشعرات إنترنت الأشياء IoT) والتي تسأل الـ NTP Pool تلقائياً عن الوقت. لم يوافقوا أبداً على أن يتم مسحهم. علاوة على ذلك، استخدمت شركة المسح مزيجاً من الخوادم السحابية التي يصعب تحديد هويتها. وبينما اعترفت الشركة بأن حوالي 40% من بنيتها التحتية للمسح تفتقر إلى سجلات التعريف (rDNS)، وزعمت أنها أصلحت تلك المدخلات المحددة، إلا أنها لم تضف سجلات تعريف لخوادم الـ NTP الخاصة بها. بالإضافة إلى ذلك، لا تستضيف خوادم الـ NTP الخاصة بهم ولا خوادم المسح صفحة ويب تشرح هويتهم أو كيفية إلغاء الاشتراك، رغم أن إعادة التوجيه في نطاقهم (domain) توفر بعض المعلومات.
التبعات
سلط هذا الاكتشاف الضوء على "منطقة رمادية" في أخلاقيات الإنترنت. فبينما لا يعد الطرق على الباب لمعرفة ما إذا كان هناك أحد بالداخل جريمة في العادة، فإن القيام بذلك سراً باستخدام حيلة للعثور على عناوين كان من المفترض أن تكون مخفية هو أمر مشكوك فيه أخلاقياً. لم يكتفِ الباحثون بالإشارة إلى المشكلة فحسب، بل بدأوا العمل مع مديري الـ NTP Pool لإصلاحها.
يعملون حالياً على بناء نظام لدمج طريقة الكشف الخاصة بهم مباشرة في نظام التقييم الخاص بالـ NTP Pool. في المستقبل، إذا تم ضبط خادم ساعة تطوعي وهو يقوم بـ "المسح العكسي"، فسيقوم النظام تلقائياً بخفض تقييمه، مما يعني أنه سيتوقف عن تلقي حركة المرور وسيتم طرده في النهاية من الـ Pool. كما شارك الباحثون قائمة بالجهات السيئة مع الـ NTP Pool، ووافقت شركة التأمين المعنية على جعل عملياتها أكثر شفافية من خلال تصحيح سجلات التعريف المفقودة في خوادم المسح الخاصة بها، رغم أن خوادم الـ NTP نفسها لا تزال غير محددة الهوية.
الخلاصة
تظهر هذه الورقة أنه حتى في عالم يُفترض فيه أن العثور على الأجهزة صعب، توجد طرق ذكية للغش في النظام. من خلال استخدام الثقة الموضوعة في خدمة توقيت تطوعية، تمكنت بعض الكيانات من بناء خريطة لأكثر أجهزة الإنترنت توارياً عن الأنظار. تشير الدراسة إلى أنه بينما قد تكون عمليات المسح هذه تهدف إلى الأمن أو التأمين، إلا أنها تتجاوز موافقة مالكي الأجهزة. الحل ليس في إغلاق الـ NTP Pool، بل في جعله أكثر ذكاءً، لضمان أن تظل الساعات التطوعية مجرد — ساعات — وليس جواسيس سريين.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.