CDN Tsunami: Exploiting HTTP/3-HTTP/1.1 Conversion for DoS Attacks
تقدم هذه الورقة البحثية ناقل هجوم جديد لحجب الخدمة ضد شبكات توصيل المحتوى يستغل التفاوت في حركة المرور بين بروتوكولي HTTP/3 وHTTP/1.1 لتضخيم أحمال النطاق الترددي والاتصال، حيث حددت أكثر من 42,000 نطاق فرعي معرض للخطر وحفزت الشركات المزودة لخدمات شبكات توصيل المحتوى الكبرى على اتخاذ تدابير تخفيفية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة وصاخبة حيث المواقع الإلكترونية هي متاجر شهيرة والمستخدمون هم المتسوقون. وللحفاظ على سير الأمور بسلاسة، توظف المدينة أسطولاً من شاحنات التوصيل فائقة السرعة تسمى شبكات توصيل المحتوى، أو (CDNs). هذه الشاحنات لا تكتفي بالقيادة إلى المتجر فحسب؛ بل تركن مباشرة أمام منزل العميل، حاملةً نسخاً من السلع الأكثر رواجاً حتى لا يضطر المتسوقون لانتظار رحلة طويلة إلى المستودع الرئيسي. هذا النظام هو العمود الفقري لكيفية تصفحنا للويب اليوم.
مؤخراً، قدمت المدينة بروتوكول توصيل جديداً عالي السرعة يسمى HTTP/3. فكر في هذا كنوع جديد من الشاحنات يمكنه حمل العديد من الطرود المختلفة في آن واحد، داخل حاوية واحدة انسيابية، مما يجعل عملية التوصيل فعالة للغاية. ومع ذلك، فإن ليس كل المتاجر في المدينة قد قامت بتطوير رصيف التحميل الخاص بها بعد؛ فالكثير منها لا يزال يعرف فقط كيفية التعامل مع أسلوب التوصيل القد والبطيء (HTTP/1.1). وهذا يخلق وضعاً غريباً: شاحنة التوصيل فائقة السرعة على الطريق السريع، لكنها تضطر للتوقف وتفريغ كل شيء في تنسيق بطيء وضخم بمجرد وصولها إلى باب المتجر. السؤال الكبير الذي يطرحه الباحثون هو: هل يمكن لمحتال ذكي أن يستغل عملية "التفريغ" هذه لإثارة الفوضى؟ إذا أرسل شخص ما طرداً صغيراً وفعالاً إلى الشاحنة، فهل يمكن أن يجبرها على تفريغ حمولة ضخمة وثقيلة عند المتجر، مما يؤدي إلى إغراق قدرة المتجر على خدمة العملاء الحقيقيين؟
هذه الورقة البحثية، التي تحمل عنوان "تسونامي شبكة توصيل المحتوى" (CDN Tsunami)، تستكشف هذا السيناريو تحديداً. اكتشف الباحثون أن هذا التباين بين شاحنات التوصيل الجديدة والفعالة وركائز التحميل القديمة والبطيئة يمكن استغلاله لشن هجوم "حرمان من الخدمة" (DoS). وجدوا أن المهاجم لا يحتاج إلى جيش من الحواسيب؛ بل يمكنه استخدام حاسوب واحد صغير لخداع شبكة توصيل المحتوى (CDN) للقيام بكل العمل الشاق بدلاً عنه. تفصل الورقة طريقتين محددتين يحدث فيهما ذلك. أولاً، هجوم "تضخيم عرض النطاق الترددي" (HBA): يرسل المهاجم طلباً صغيراً ومضغوطاً باستخدام تنسيق HTTP/3 الجديد. وعلى شبكة الـ CDN، التي تعمل كمترجم، أن تقوم بفك ضغط هذا الطلب الصغير وتحويله إلى طلب HTTP/1.1 ضخم وغير مضغوط لإرساله إلى الموقع الإلكتروني. الأمر يشبه إرسال بطاقة بريدية واحدة إلى مترجم، ليقوم الأخير بطباعة كتاب من 500 صفحة لتسليمه إلى المتجر، مما يسد ممر التوصيل الخاص بالمتجر بالأوراق. ثانياً، هجوم "تضخيم الاتصال" (HCA): يبدأ المهاجم اتصالاً ثم يرسل البيانات ببطء شديد إلى الـ CDN، مما يجبر الـ CDN على إبقاء الباب الموصل إلى المتجر مفتوحاً لفترة طويلة جداً. وبما أن الشاحنات الجديدة يمكنها حمل العديد من المسارات في وقت واحد، يمكن للمهاجم إجبار الـ CDN على فتح مئات من هذه الأبواب البطيئة والمستمرة، مما يملأ مداخل المتجر المحدودة بحيث لا يتمكن أي عميل حقيقي من الدخول.
اختبر الباحثون هذه الأفكاء ضد ست شركات كبرى لتزويد المحتوى (CDNs) في العالم الحقيقي. ووجدوا أن الشركات الست جميعها معرضة لهجوم "البطاقة البريدية إلى الكتاب" (تضخيم عرض النطاق)، وخمس منها معرضة لهجوم "الباب البطيء" (تضخيم الاتصال). ولرؤية مدى حجم المشكلة، قاموا ببناء أداة لفحص أكثر مليون موقع إلكتروني شهرة على الإنترنت. واكتشفوا أنه بينما تستضيف 151,685 من هذه المواقع شبكات CDN معرضة للخطر، فإن هناك 42,330 موقعاً منها تمتلك نظام HTTP/3 الجديد مفعلاً، مما يجعلها أهدافاً محتملة لهذه الهجمات. ويؤكد المؤلفون أن هذا ليس مجرد خلل نظري؛ فقد أثبتوا أن المهاجم يمكنه استنزاف عرض النطاق الترددي للموقع أو حدود الاتصال بجهد ضئيل جداً من جانبه.
والأهم من ذلك، تنفي الورقة البحثية فكرة أن هذه الهجمات تتطلب إعدادات خاصة لدى الضحية أو ملفات كبيرة؛ فالمتطلب الوحيد هو أن يكون الموقع مستضافاً على شبكة CDN تدعم HTTP/3 للعملاء ولكنها لا تزال تستخدم HTTP/1.1 للاتصال بالخادم الفعلي. وهذا إعداد شائع لأن العديد من المواقع لم تقم بالتحديث الكامل بعد. كما جادل الباحثون ضد فكرة أن هذه الهجمات مكلفة أو صعبة التنفيذ؛ فقد أظهروا أن التسجيل في خدمة CDN لا يتطلب أكثر من عنوان بريد إلكتروني، وأن الهجوم نفسه يستخدم عرض نطط ترددي ضئيل جداً من جانب المهاجم — أقل من 500 كيلوبت في الثانية لهجوم عرض النطاق — مما يجعله رخيصاً وسهل التنفيذ.
بعد اكتشافهم، أبلغ المؤلفون عن نتائجهم بمسؤولية لشركات الـ CDN. وقد أقرت شركتان، وهما Baidu وTencent، بوجود الثغرات، ومنحتا الباحثين مكافآت لاكتشاف الثغرات (bug bounties)، وقامتا بالفعل بنشر الإصلاحات. وتتضمن الحلول المقترحة وضع قيود على مدى ضخامة الطلبات "المفرغة"، والتأكد من أن الـ CDN لا يفتح باباً إلى المتجر إلا بعد استلام الطلب كاملاً، بدلاً من الاكتفاء باستلام الكلمات القليلة الأولى منه. وتخلص الورقة إلى أنه بينما يصبح الإنترنت أسرع مع HTTP/3، فإن هذه الفترة الانتقالية قد خلقت نقطة ضعف جديدة وخفية يجب معالجتها للحفاظ على سلامة المدينة الرقمية من "تسونامي" حركة المرور هذه.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.