SSHafe: A Real-Time SSH Brute Force Attack Detection and Novel Credential Rotation Standard
تقدم هذه الورقة نظام SSHafe، وهو نظام يعمل في الوقت الفعلي يستخدم الكشف القائم على LightGBM لهجمات التخمين (brute-force) على بروتوكول SSH وسير عمل مفتاح مرور مرتبط تشفيرياً ومبتكر لحظر التهديدات تلقائياً وتدوير بيانات الاعتماد دون الاعتماد على طرق الاسترداد التقليدية الضعيفة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة وصاخبة حيث كل مبنى فيها هو خادم كمبيوتر (Server)، والباب الأمامي هو بروتوكول خاص يسمى SSH. هذه هي الطريقة الرئيسية التي يدخل بها مسؤولو الأنظمة إلى مبانيهم لإصلاح الأشياء، أو تفقد البريد، أو تشغيل الأضواء. معظم هذه الأبواب لها طريقتان للفتح: مفتاح عالي التقنية (المفتاح العام - Public Key) أو كلمة سر (Password). كلمة السر أسهل في الاستخدام لأن يمكنك كتابتها من أي مكان، ولكن لها نقطة ضعف فادحة: إذا تمكن شخص ما من تخمين الكلمة، فسيتمكن من الدخول.
هنا يأتي هجوم "القوة الغاشمة" (Brute Force). تخيل روبوتاً مشاغباً يقف عند بابك، يحاول أن يهمس بآلاف كلمات المرور المختلفة كل ثانية، آملاً أن تتطابق إحداها مع سرك. إذا حالفه الحظ، فسيدخل مباشرة. لمنع ذلك، يستخدم العديد من المباني حارساً يسمى Fail2Ban. هذا الحارس ذكي ولكنه بسيط: "إذا فشلت في تخمين كلمة السر ثلاث مرات، سأطردك". لكن الروبوتات مخادعة؛ يمكنها إبطاء وتيرة همسها أو توزيع نفسها عبر المدينة، بمحاولة واحدة فقط من ألف باب مختلف. الحارس البسيط لا يلاحظهم لأنهم لا يكسرون قاعدة "الثلاث محاولات". هذا يترك فجوة يمكن للروبوتات التسلل منها، ويترك الناس بالداخل عرضة للخطر.
هنا يأتي فريق جديد من الباحثين بمشروع يسمى SSHafe. لقد بنوا حارساً فائق الذكاء لا يكتفي فقط بعدّ المحاولات الفاشلة، بل يراقب "إيقاع" الطرق على الباب. لقد أدركوا أن الشخص الحقيقي الذي يكتب كلمة مرور لديه نبض طبيعي وبطيء، بينما الروبوت الذي يحاول التخمين لديه نبض محموم يشبه ضربات الرشاش. ومن خلال استخدام نوع خاص من الرياضيات (تعلم الآلة) للاستماع إلى هذه النبضات في سجلات المبنى، يستطيع SSHafe رصد الروبوت فوراً، حتى لو كان يحاول التسلل بخفاء.
لكن رصد الروبوت ليس سوى نصف المعركة. ماذا يحدث عندما يتم ضبط الروبوت؟ عادةً، يتعين على مالك المبنى إعادة تعيين كلمة المرور، وهو ما يتطلب غالباً إرسال رابط عبر البريد الإلكتروني أو رسالة نصية. وجد الباحثون أن طرق الاستردة هذه تشبه تسليم الروبوت مفتاحاً احتياطياً بينما أنت مشتت الذهن؛ إذ يمكن سرقتها أو خداعك بها. لذا، يقدم SSHaf طريقة جديدة لتغيير كلمة المرور. بدلاً من إرسال رابط، فإنه يستخدم "مفتاح مرور" (Passkey) — وهو مصافحة رقمية تثبت أنك أنت دون الحاجة إلى كلمة مرور على الإطلاق. إنه يجمع بين عملية إثبات هويتك وتغيير كلمة المرور في حركة واحدة لا يمكن كسرها.
الحارس الجديد والمصافحة السحرية
تقدم الورقة البحثية نظام SSHafe، وهو نظام مصمم للإمساك بروبوتات تخمين كلمات المرور الماكرة في الوقت الفعلي، ثم مساعدة المالكين الحقيقيين على إغلاق أبوابهم بإحكام أكبر. بنى الباحثون هذا النظام باستخدام نموذج تعلم آلة "خفيف الوزن" يسمى LightGBM. فكر في هذا النموذج كشرطي كشف يقرأ ملايين السجلات وتعلم التعرف على "بصمة" الهجوم المحددة.
بدلاً من مجرد النظر في عدد المرات التي كانت فيها كلمة المرور خاطئة، ينظر SSHafe إلى "التوقيت". إنه يستخدم تقنية "النافذة المنزلقة" (Sliding Window)، وهي تشبه مشاهدة مقطع فيديو لآخر 30 أو 60 أو 300 ثانية. ويسأل أسئلة مثل: "كم مرة حاول هذا الشخص في الدقيقة الأخيرة؟" "كم عدد أسماء المستخدمين المختلفة التي جربها؟" و"ما مدى سرعة كتابته؟". وجد الباحثون أنه بينما قد يحاول الإنسان الطبيعي كلمة المرور مرة أو مرتين في الثانية، يحاول الروبوت من 3 إلى 5 مرات في الثانية، أو أكثر. هذه السرعة المحمومة هي ما يفضح الروبوت.
عندما يكتشف النظام هذا الإيقاع المحموم، فإنه لا ينتظر فحسب، بل يتحرك فوراً. في غضون 10 ثوانٍ، يقوم بحظر حساب المستخدم المستهدف. ولكن الجزء الذكي هنا هو أنه بدلاً من مجرد إغلاق الباب وترك المستخدم عالقاً، يضع SSHafe لافتة رقمية (SSH banner) تقول: "مهلاً، هناك شخص يحاول الاختراق! لقد أغلقنا الباب. انقر هنا لتغيير كلمة مرورك بأمان".
"الخطوة الواحدة" لإعادة تعيين كلمة المرور
الجزء الأكثر إثارة في الورقة هو الطريقة الجديدة التي يتعامل بها مع تغيير كلمة المرور. عادةً، تكون إعادة تعيين كلمة المرور عبارة عن رقصة من خطوتين: أولاً، تثبت من أنت (ربما عبر رابط بريد إلكتروني أو رمز مرسل إلى هاتفك)، ثم في خطوة منفصلة، تكتب كلمة مرور جديدة. يجادل الباحثون بأن هذه العملية محفوفة بالمخاطر لأن خطوة "الإثبات" يمكن سرقتها أو التلاعب بها (مثل التصيد الاحتيالي).
يقترح SSHafe معياراً مبتكراً لتدوير بيانات الاعتماد يدمج هاتين الخطوتين في خطوة واحدة. إنه يستخدم تقنية FIDO2 Passkeys (وهي تشبه مفتاحاً رقمياً مخزناً على هاتفك أو حاسوبك). عندما تحتاج إلى تغيير كلمة مرورك، لا يطلب منك النظام كلمة مرورك القديمة أو يرسل لك بريداً إلكترونياً، بل يطلب من جهازك إجراء "مصافحة سحرية".
إليك كيف تعمل هذه المصافحة، وفقاً للورقة البحثية:
- يرسل الخادم تحدياً (Challenge) إلى جهازك.
- يستخدم جهازك مفتاحاً سرياً (Passkey) لتوقيع رسالة تتضمن كلمة مرورك الجديدة، مشفرة بحيث لا يمكن لأحد قراءتها.
- يتحقق الخادم من التوقيع. إذا تطابق، فإنه يعرف أنك المالك الحقيقي ويتلقى كلمة المرور الجديدة في نفس الوقت.
يحدث هذا في تدفق واحد. لا توجد ملفات تعريف ارتباط (Cookies)، ولا جلسات طويلة الأمد، ولا روابط بريد إلكتروني يمكن سرقتها. وتدعي الورقة أن هذه الطريقة مقاومة للتصيد الاحتيالي، واختطاف الجلسات، وهجمات "إعادة التشغيل" (Replay attacks) (حيث يسجل شخص سيء الرسالة ويعيد تشغيلها لاحقاً).
النتائج: سريعة، دقيقة، وقوية
اختبر الباحثون نظام SSHafe في بيئة واقعية باستخدام كمبيوتر سحابي (Azure VM) كان مفتوحاً على الإنترنت. كما قاموا بمحاكاة الهجمات باستخدام أداة تسمى Hydra وقائمة تضم 14.3 مليون كلمة مرور شائعة.
كانت النتائج مبهرة. في بيانات الاختبار الخاصة بهم، حقق النظام دقة اكتشاف بلغت 99.96%. وهذا يعني أنه رصد كل محاولات الهجوم تقريباً. وفي اختباراتهم المباشرة، حدد النظام المهاجمين وحظرهم في أقل من 10 ثوانٍ. وحتى عندما كانت كلمة مرور المستخدم ضعيفة، لم يتمكن المهاجمون من الدخل لأن النظام أغلق الحساب قبل أن يتمكن الروبوت من التخمين.
كما قارنت الورقة بين SSHafe والطرق الأخرى. وبينما تعتمد الأنظمة القديمة مثل Fail2Ban على قواعد بسيطة (مثل "3 محاولات خاطئة وتخرج")، يستخدم SSHafe الإيقاع المعقد للهجمات للإمساك بها. وجد الباحثون أن طريقتهم حققت دقة (Precision) بنسبة 100% في اختباراتهم، مما يعني أنهم لم يغلقوا حساب أي مستخدم بريء عن طريق الخطأ (لا توجد إنذارات كاذبة).
لماذا هذا مهم؟
تجادل الورقة بأننا بحاجة إلى تجاوز القواعد البسيطة وطرق الاسترداد القديمة. إن "الطريقة القديمة" المتمثلة في حظر عناوين الـ IP أو إرسال روابط البريد الإلكتروني تشبه استخدام درع خشبي ضد سيف ليزر؛ فهي لا تعمل جيداً ضد الروبوتات المؤتمتة الحديثة. يقدم SSHafe حلاً من جزأين: حارس ذكي يستمع إلى إيقاع الهجوم، وطريقة جديدة وآمنة لتغيير كلمات المرور لا تعتمد على الروابط أو الرموز الضعيفة.
اختبر الباحثون هذا على كمبيوتر سحابي متواضع يحتوي على 2 وحدة معالجة مركزية (vCPUs) و1 جيجابايت من الذاكرة فقط، مما أثبت أن هذا الحل عالي التقنية لا يحتاج إلى كمبيوتر خارق لتشغيله. حتى أنهم تركوا النظام يعمل لمدة أسبوعين، حيث تم اكتشافه ومهاجمته بشكل طبيعي من قبل هكرز حقيقيين على الإنترنت. نجح النظام في الدفاع ضد هذه الهجمات الواقعية، محافظاً على سلامة الحسابات حتى عندما كانت بيانات الاعتماد ضعيفة.
باختصار، يظهر SSHafe أنه من خلال الجمع بين كاشف ذكي يستشعر الإيقاع وبين تغيير كلمة مرور آمن بخطوة واحدة، يمكننا بناء دفاع أقوى لأبوابنا الرقمية. إنها خطوة نحو مستقبل لا تكتفي فيه خوادمنا بالاستجابة للهجمات، بل تتفوق عليها بذكاء قبل أن تتمكن حتى من وضع قدم لها في الداخل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.