Hidden Ciphers and Where to Find Them: Static Discovery and Assessment of Cryptographic Assets in Software
تقدم هذه الورقة نهجاً للتحليل الساكن القائم على التصنيف لاكتشاف وتقييم الأصول التشفيرية عبر الأنظمة البرمجية، مما يثبت فعاليتها في تحديد الثغرات الأمنية ومرشحي الهجرة إلى عصر ما بعد الكم لتعزيز حوكمة الأمن والشفافية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
الحصن الخفي والخريطة للوصول إليه
تخيل أن كل برنامج تستخدمه اليوم — لعبتك المفضلة، تطبيقك البنكي، وحتى ثلاجتك الذكية — مبني داخل حصن ضخم وغير مرئي. جدران هذا الحصن مصنوعة من التشفير (Cryptography)، وهو نوع خاص من السحر الرياضي الذي يقفل بياناتك بعيدًا بحيث لا يفتحها إلا الأشخاص المناسبون. هذا هو السبب في أن كلمات مرورك تظل سرية ورسائلك لا يمكن قراءتها من قبل الغرباء. لفترة طويلة، اكتفت الشركات بالأمل في أن تكون هذه الجدران قوية بما يكفي، لكن لم يكن لديهم حقًا خريطة ليروا أين توجد الطوب، أو أين توجد الأبواب، أو ما إذا كان أي منها مصنوعًا من الكرتون بدلًا من الفولاذ.
الآن، هناك تهديد جديد يطرق الباب: الحواسيب الكمومية (Quantum Computers). هذه آلات فائقة القوة، قد تكون قادرة في المستقبل على تحطيم أقفال التشفير الحالية وكأنها مصنوعة من الورق. وللبقاء على قيد الحياة، تحتاج المؤسسات إلى معرفة نوع الأقفال التي تمتلكها الآن بالضبط حتى تتمكن من استبدالها بأخرى "مقاومة للكم" قبل وصول الأشرار. ولكن إليك المشكلة: هذه الأقفال الرقمية مبعثرة في كل مكان. فهي مخبأة داخل أسطر من البرمجيات، ومدفونة في ملفات الإعدادات، ومخبأة في مفاتيح سرية، وممزوجة في المكتبات البرمجية التي تستخدمها البرامج. وبدون وسيلة للعثور عليها جميعًا، لا يمكنك إصلاحها. وهنا يأتي دور ورقة بحثية جديدة، تقدم كشافًا للزوايا المظلمة للبرمجيات.
الورقة البحثية: رحلة البحث عن الكنز للأقفال الرقمية
تقدم الورقة البحثية، بعنوان "التشفيرات المخفية وأين تجدها"، طريقة جديدة وذكية للبحث عن هذه الأصول التشفيرية المخفية. أدرك المؤلفان، كريستيان نايثر وإدوارد هيرش، أن محاولة العثور على هذه الأقفال تشبه محاولة تنظيف غرفة فوضوية دون قائمة بما ينتمي إليها. كان بعض الناس يبحثون عن أنواع محددة من المفاتيح، بينما كان آخرون يكتفون بالتخمين فقط. قرر المؤلفان بناء رحلة بحث عن الكنز منظمة.
أولاً، أنشآ نظام تصنيف، وهو بمثابة مجموعة من ثلاث عدسات مكبرة مختلفة للنظر إلى البرمجيات. لقد أدركا أن "الأشياء" التشفيرية تأتي بثلاث نكهات متميزة:
- المادة التشفيرية (Crypto-Material): هذه هي الأسرار الفعلية، مثل المفاتيح الخاصة وكلمات المرور نفسها. فكر في هذه كأنها العملات الذهبية الفعلية في صندوق الكنز.
- القطع التشفيرية (Crypto-Artifacts): هذه هي الحاويات المهيكلة، مثل الشهادات أو بطاقات الهوية الرقمية التي تحمل معلومات حول من يُسمح له بالدخول. هذه هي الصناديق الفاخرة التي توضع فيها العملات.
- الاستدعاءات التشفيرية (Crypto-Invocations): هذه هي اللحظات التي تستخدم فيها البرمجيات السحر فعليًا. إنه يشبه رؤية شخص يدير مفتاحًا في قفل أو يكتب كلمة مرور. هذا هو فعل استخدام الكنز.
لجعل هذه الرحلة فعالة، بنى المؤلفان أداتين رئيسيتين. الأولى هي مستودع القواعد (Rule Repository) المسمى "كريبيستري" (Crypistry). تخيل هذا ككتاب وصفات ضخم يتحدث باستمرار. بدلًا من برمجة التعليمات داخل روبوت، يسرد الكتاب بالضبط ما يجب البحث عنه (مثل "ابحث عن أي ملف ينتهي بـ .pem" أو "ابحث عن الأمر OpenSSL::Cipher"). وهذا يعني أنه إذا ظهر نوع جديد من الأقفال، فما عليك سوى إضافة وصفة جديدة إلى الكتاب؛ لا تحتاج إلى إعادة بناء الروبوت بالكامل.
الأداة الثانية هي الماسح الضوئي (Scanner)، المسمى "كريبسي" (Crypsy). هذا هو الروبوت الذي يقرأ كتاب الوصفات ويمسح البرمجيات. هو لا يخمن فحسب؛ بل يتبع القواعد للعثور على المادة، والقطع، والاستدعاءات. وبمجرد العثين عليها، لا يكتفي بسردها؛ بل يقيمها. فهو يتحقق مما إذا كان القفل ضعيفًا (مثل مفصلة صدئة) أو إذا كان ثغرة معروفة (مثل باب تم اختراقه من قبل اللصوص من قبل). ثم يخرج بيان المواد التشفيرية (CBOM)، وهو عبارة عن قائمة جرد تفصيلية لكل قفل ومفتاح تم العثور عليه، جاهزة لفرق الأمن لاستخدامها.
ما وجدوه ومدى تأكدهم
اختبر المؤلفان الروبوت الخاص بهما بطريقتين لمعرفة ما إذا كان يعمل بالفعل.
أولاً، بنيا معيارًا اصطناعيًا (Synthetic Benchmark) يسمى "كريبن" (Cryben). كان هذا نظام برمجيات وهميًا صنعاه حيث يعرفان بالضبط أين يختبئ كل قفل ومفتاح. كان الأمر أشبه برحلة بحث عن كنز تجريبية حيث يمتلكان نموذج الإجابة. عندما شغلا "كريبسي" ضد هذا الاختبار، وجد 75% من العناصر المخفية بشكل صحيح (درجة F1 تبلغ 0.75). كان جيدًا جدًا في العث de على الأسرار الفعلية (العملات الذهبية) ولكنه أخطأ أحيانًا في الطرق الأكثر تعقيدًا التي تستخدم بها البرمجيات الأقفال. ومع ذلك، عندما تعلق الأمر بتصنيف المشكلات التي وجدها، فقد كان دقيقًا للغاية، حيث حدد بدقة 91% من نقاط الضعف والثغرات المتوقعة.
بعد ذلك، أخذا الماسح الضوئي إلى العالم الحقيقي. مسحا بنية تحتية حقيقية لتكنولوجيا المعلومات تتكون من عشر خدمات منتشرة (بما في ذلك أشياء مثل GitLab، ومشغل CI/CD، وقاعدة بيانات). مسحا 57,610 ملفًا في أقل من ست دقائق. وفي هذه الفوضى الواقعية، اكتشف الماسح 370 أصلًا تشفريًا. كما وجد ست ثغرات محددة مرتبطة بفتحات أمنية معروفة (CVEs) وحدد 52 عنصرًا سيتعين استبدالها للنجاة من تهديد الحاسوب الكمومي المستقبلي.
المؤلفان واثقان تمامًا في هذه النتائج، لكنهما حذران في ذكر الحدود. فقد اعترفا بأن الماسح الخاص بهما حاليًا بارع في العث على الأشياء في لغتي البرمجة Ruby و Go، ويعتمد على أن يكون "كتاب الوصفات" (Crypistry) محدثًا. إذا كان القفل مخفيًا بطريقة لا يعرفها الكتاب، فقد يفوته الماسح. كما وجدا أنه بينما يعد الماسح رائعًا في العث على المشكلات المحتملة، فإن بعض تلك النتائج تحتاج إلى تدخل بشري للتحقق مما إذا كانت خطيرة حقًا، لأن الماسح لا يمكنه دائمًا معرفة كيفية استخدام قطعة من الكود في السياق الأكبر.
الصورة الكبيرة
لا تدعي هذه الورقة البحثية أنها حلت مشكلة أمن البرمجيات بالكامل. بدلاً من ذلك، هي تقدم طريقة عملية ومنظمة لرؤية ما يختبئ في الظلام أخيرًا. من خلال تصنيف الأنواع المختلفة من الأصول التشفيرية وفصل "القواعد" عن "الماسح"، أنشأ المؤلفان نظامًا يمكن أن ينمو ويتكيف. تشير نتائجهم إلى أنه باستخدام هذا النهج، يمكن للمؤسسات أخيرًا الحصول على رؤية واضحة لمشهدها التشفيري، وهو الخطوة الأساسية قبل أن يتمكنوا من البدء في استبدال الأقفال القديمة بأخرى مقاومة للكم. إنها خريطة لرحلة البحث عن الكنز، وللمرة الأولى، تبدو الخريطة وكأنها تقود بالفعل إلى مكان ما.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.