TENET: Telegram Mini App (in)security

في العالم الرقمي، يعتمد الكثير من الناس على تطبيقات المراسلة ليس فقط للتواصل، بل لإدارة أموالهم أيضًا. لقد تطورت هذه التطبيقات لتصبح أنظمة بيئية تضم برامج صغيرة متخصصة تعيش داخل التطبيق الرئيسي، مما يسمح للمستخدمين بتداول العملات المشفرة، أو لعب الألعاب، أو إدارة الاستثاتمارات دون الحاجة لمغادرة واجهة الدردشة. هذه البرامج، المعروفة باسم "التطبيقات المصغرة" (Mini Apps)، تعمل مثل مواقع ويب صغيرة تعمل مباشرة داخل برنامج المراسلة. وبينما يوفر هذا التكامل راحة كبيرة، فإنه يخلق أيضًا تحديًا أمنيًا معقدًا. فتمامًا كما يحتاج المحفظة المادية إلى قفل للحفاظ على سلامة النقود، تحتاج المحافظ الرقمية إلى تشفير قوي لحماية الرموز السرية التي تمنح حق الوصول إلى الأموال. وإذا خُزنت هذه الرموز بطريقة يسهل قراءتها أو نسخها، فإن أمن النظام بأكم له يصبح في خطر. والسؤال الذي يطرحه الباحثون هو ما إذا كانت هذه الأدوات المتكاملة والمريحة تحافظ بالفعل على أموال المستخدمين، أم أنها تترك مفاتيح الخزنة ملقاة على الشرفة الأمامية.

قام فريق من الباحثين من جامعة الملك عبد الله للعلوم والتقنية وشركة سويسرية تدعى "Artificialy" بالتحقيق في هذه المشكلة تحديدًا داخل منصة التليجرام (Telegram). وتليجرام، التي تضم أكثر من 450 مليون مستخدم نشط يوميًا، أصبحت مركزًا رئيسيًا لهذه التطبيقات المصغرة. ركز الباحثون على كيفية تخزين هذه التطبيقات للمعلومات الحساسة على جهاز المستخدم. وكان اهتمامهم منصبًا بشكل خاص على البيانات المالية، مثل العبارات السرية المستخدمة لاسترداد محافظ العملات المشفرة والرموز الرقمية (tokens) التي تبقي المستخدم مسجل الدخول. وكشف تحقيقهم عن نمط واسع النطاق وخطير: العديد من هذه التطبيقات كانت تحفظ أسرارًا أمنية بالغة الأهمية بنصوص صريحة (plain text)، مما يعني أن البيانات كانت تُخزن تمامًا كما كُتبت، دون أي تشفير وقائي. وتترك هذه الممارسة المعلومات عرضة لأي شخص يمكنه الوصول إلى جهاز المستخدم، سواء من خلال حاسوب محمول مسروق، أو برنامج ضار، أو حتى تسليم الهاتف لفترة مؤقتة.

وللكشف عن مدى خطورة هذه المشكلة، طور الباحثون أداة تدقيق متخصصة تسمى "TENET". صُممت هذه الأداة لفحص التخزين المحلي للجهاز، بحثًا عن أنماط محددة تشير إلى وجود أسرار مثل كلمات المرور، أو المفاتيح الرقمية، أو رموز الجلسات. وقد بُنيت الأداة بفهم عميق لكيفية هيكلة هذه الأسرار، مما سمح لها بالتمييز بين النصوص غير الضارة والبيانات الخطيرة. استخدم الباحثون "TENET" لفحص عينة كبيرة من التطبيقات المصغرة، واختاروها بناءً على شعبيتها وتركيزها على الأنشطة المالية. قاموا بفحص 61 تطبيقًا مختلفًا، تتراوح من الألعاب إلى الأدوات المالية المعقدة، ونجحوا في تحليل 3টি منها. وكانت النتائج صارخة: 30 تطبيقًا من أصل 37 تطبيقًا قاموا بتحليلها احتوت على ثغرات أمنية جسيمة.

وقعت هذه الثغرات في ثلاث فئات متميزة من حيث الخطورة. تمثلت القضايا الأكثر خطورة في التطبيقات التي تخزن عبارات الاسترداد السرية أو المفاتيح الخاصة بنصوص صريحة. في هذه الحالات، يمكن للمهاجم الذي يصل إلى الجهاز ببساطة نسخ الملف والسيطرة فورًا على أصول العملات المشفرة الخاصة بالمستخدم. وتضمنت الفئة الثانية تطبيقات استخدمت التشفير بالفعل، لكنها خزنت المفاتيح اللازمة لفك ذلك التشفير بجانب البيانات المقفلة مباشرة؛ وهذا يشبه قفل خزنة مع ترك الرقم السري مكتوبًا على الباب؛ فالحماية هنا مجرد وهم لأن المفتاح متاح بسهل. أما الفئة الثالثة، فقد شملت التطبيقات التي تخزن رموز الجلسات (session tokens)، وهي شارات رقمية تثبت أن المستخدم مسجل دخوله. وإذا سرق المهاجم هذه الرموز، يمكنه انتحال صفة المستخدم والاستيلاء على حسابه، حتى دون معرفة كلمة المرور الخاصة به.

ولعل الاكتشاف الأكثر إثارة للقلق هو أن تطبيق "المحفظة" (Wallet) الرسمي التابع لتليجرام نفسه، والذي يستخدمه أكثر من 100 مليون شخص، وُجد أنه يخزن عبارة استرداد حرجة بنص صريح. وهذا يعني أن الهوية المالية الكاملة للمستخدم يمكن أن تتعرض للخطر بمجرد الوصول إلى ملفات تخزين جهازه. وقد أثبت الباحثون أن هذه الثغرة يمكن استغلالها في سيناريوهات واقعية. فعلى سبيل المثال، يمكن للبرامج الضارة الشائعة التي تسرق البيانات من أجهزة الكمبيوتر أن تلتقط هذه الملفات غير المشفرة بسهولة. كما أظهروا أن مستندًا ضارًا، مثل جدول بيانات مرسل عبر البريد الإلكتروني، يمكن أن يخدع المستخدم لتشغيل كود يقوم بصمت بنسخ مجلد التخزين بالكامل وإرساله إلى خادم بعيد، وكل ذلك دون أن يعلم المستخدم أبدًا.

لم يكتفِ الباحثون بتحديد المشكلات فحسب، بل أثبتوا أيضًا كيف يمكن إصلاحها. فبعد إبلاغهم بنتائجهم بمسؤولية إلى تليجرام ومطوري التطبيقات المتضررة، استجابت المنصة من خلال تقديم ميزتين أمنيتين جديدتين. تسمح هذه الأدوات الجديدة للمطورين بتخزين البيانات الحساسة بطريقة مشفرة بواسطة نظام التشغيل نفسه، مما يجعلها غير قابلة للوصة من قبل البرامج غير المصرح لها. وقد تحقق الباحثون من أن محفظة تليجرام الرسمية قد تم تحديثها لاستخدام هذه الطرق الآمنة الجديدة، ولم تعد عبارة الاسترداد تُخزن بطريقة يمكن قراءتها بسهولة. وقد أكد هذا أن الثغرة كانت حقيقية وأن هناك حلاً عمليًا موجودًا.

يسلط البحث الضوء على فجوة حرجة في أمن أنظمة المراسلة الحديثة. فبينما قد تكون منصة المراسلة نفسها آمنة، إلا أن التطبيقات التي تعمل بداخلها غالبًا ما تعتمد على المطورين لتنفيذ تدابير السلامة الخاصة بهم، وقد فشل الكثير منهم في القيام بذلك. ووجد الباحثون أن غالبية التطبيقات الضعيفة التي اختبروها مرتبطة بالعملات المشفرة، وهو قطاع تكون فيه الخسارة المالية دائمة وغير قابلة للاسترداد. فخلافًا للحساب البنكي حيث يمكن إلغاء بطاقة الائتمان المسروقة، فإن محفظة العملات المشفرة المسروقة تعني غالبًا أن الأموال قد ضاعت للأبد. ويعد هذا العمل بمثابة تحذير واضح من أن الراحة لا ينبغي أن تأتي على حساب الأمن، وأن الأدوات المستخدمة لإدارة الثروات الرقمية يجب أن تخضع لأعلى معايير الحماية. ومن خلال كشف هذه نقاط الضعف وتوفير مسار لإصلاحها، ساعد الباحثون في تأمين الأصول الرقمية لملايين المستخدمين الذين يعتمدون على هذه التطبيقات المتكاملة كل يوم.