Static Detection of Post-Quantum Cryptographic Algorithms in Stripped Binaries for Digital Forensic Examination and Migration Assurance
تقدم هذه الورقة Kestrel، وهي أداة للتحليل الساكن تكتشف بموثوقية خوارزميات التشفير القياسية لما بعد الكوانتوم (ML-KEM و ML-DSA) في الملفات الثنائية المجردة والمُحسّنة من خلال تحديد جداول ثوابت تحويل نظرية الأعداد الفريدة، مما يتيح إجراء الفحص الجنائي الفعال، وفحص سلاسل التوريد، وضمان الهجرة حتى عندما تكون إشارات الكشف التقليدية محجوبة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم الأمن الرقمي، ثمة ثورة هادئة تجري الآن. لعقود من الزمن، اعتمدت الأقفال التي تحمي بياناتنا الأكثر حساسية — السجلات المصرفية، أسرار الدولة، الرسائل الخاصة — على ألغاز رياضية يسهل إنشاؤها ولكن يكاد يكون من المستحيل حلها بدون مفتاح محدد. هذه الألغاز، المعروفة باسم التشفير بالمفتاح العام، هي أساس الثقة على الإنترنت. ومع ذلك، فقد توقع العلماء منذ زمن طويل أن نوعًا جديدًا من الحواسيب، وهو النوع الذي يسخر القوانين الغريبة للفيزياء الكمومية، سيكون قويًا بما يكفي لكسر هذه الأقفال فورًا. وعندما يحدث ذلك، ستصبح الأقفل القديمة عديمة الفائدة. وللاستعداد، يقوم الخبراء بتصميم أقفال جديدة تعتمد على رياضيات مختلفة لا يمكن حتى للحاسوب الكمومي كسرها بسهولة. تُسمى هذه الأنظمة الجديدة بالتشفير لما بعد الكم. التحدي الآن ليس فقط في بناء هذه الأقفال الجديدة، بل في العثور عليها. وبينما تسارع المؤسسات لاستبدال أنظمتها القديمة، فإنها تحتاج إلى معرفة مكان اختباء الأنظمة الجديدة بدقة داخل البرمجيات المعقدة التي تدير عالمها. ولكن هناك مشكلة: بمجرد تجميع البرمجيات (compilation) في برنامج نهائي للاستخدام، غالبًا ما يتم تجريد التسميات والأسماء التي تخبرنا عادةً بما يوجد بداخلها لجعل البرنامج أصغر حجمًا وأسرع أداءً. وبدون تلك الأسماء، أصبح البحث عن قفل جديد محدد داخل كومة من الأكواد يشبه محاولة العث find حبة رمل معينة على الشاطئ دون معرفة شكل تلك الحبة.
لقد طور باحث يدعى محمد شهير بن جنيد طريقة جديدة لحل هذه المشكلة. فقد ابتكر أداة تسمى "كيستريل" (Kestrel) يمكنها تحديد هذه الأقفال الجديدة الآمنة كموميًا داخل البرمجيات المجردة (stripped software)، حتى عندما تُزال جميع القرائن المعتادة. تعتمد الطريقة على ملاحظة بسيطة ولكنها قوية: بينما يمكن مسح أسماء الأكواد، لا يمكن مسح الأرقام الخام التي يحتاجها الكود ليعمل. فالأنظمة التشفيرية الجديدة، وتحديدًا تلك القائمة على بنية تسمى "الشبكة" (lattice)، يجب أن تستخدم مجموعة ثابتة من الأرقام المحسوبة مسبقًا لأداء حساباتها. تعمل هذه الأرقام مثل بصمة أصبع دائمة؛ فمهما تم تحسين البرمجيات أو ضغطها أو إعادة تسميتها، يجب أن تظل هذه الأرقام المحددة موجودة في الملف لكي يعمل البرنامج. إذا فُقدت هذه الأرقام، فلن يعمل البرنامج ببساطة. تقوم "كيستريل" بمسح البيانات الخام للبرنامج، بحثًا عن هذه الأنماط المحددة من الأرقام. وهي لا تهتم بأسماء الدوال أو المكتبات التي يستخدمها البرنامج، بل تهتم فقط بوجود هذه الثوابت الرياضية الأساسية.
اختبر الباحث هذا النهج على مجموعة واسعة من البرمجيات، بما في ذلك البرامج المبنية بأدوات مختلفة والتي خضعت لكل أنواع المعالجة القياسية التي تجعل تحليلها أكثر صعوبة. ووجد أن الأداة عملت بشكل مثالي. ففي اختبارات شملت 128 نسخة مختلفة من البرمجيات، حددت "كيستريل" خوارزميات التشفير الجديدة في كل حالة من الحالات، حتى عندما جُردت البرامج من جميع أسمائها وربطت مع بعضها بطرق معقدة. والأهم من ذلك، أن الأداة لم ترتكب أي أخطاء. فعندما قام الباحث بمسح أكثر من 6,000 برنامج من برامج العالم الحقيقي من نظام كمبيوتر قياسي، لم تجد الأداة أي إنذارات خاطئة؛ إذ لم تخلط بين البرمجيات العادية والأنظمة التشفيرية الجديدة. وهذا المستوى من الدقة حيوي للغاية في مجال الأدلة الجنائية الرقمية، حيث يجب على الخبير أن يكون متأكدًا تمامًا مما يجده قبل تقديمه في سياق قانوني.
ولعل الاكتشاف الأكثر إثارة للدهشة جاء عند تطبيق الأداة على نظام كمبيوتر حي. فقد كشف المسح عن اثني عشر برنامجًا مختلفًا تحتوي على هذه الأقفال الجديدة الآمنة كموميًا، ومع ذلك لم يكن أحد يعلم بوجودها. وشمل ذلك البرامج التي تدير اتصالات الإنترنت لتسجيلات الدخول الآمنة والأنظمة التي تشغل التطبيقات المعبأة (containerized applications). وفي كثير من الحالات، دخل التشفير الجديد إلى هذه البرامج تلقائيًا من خلال لغات البرمجة المستخدمة في بنائها، دون أن يدرك مطورو تلك البرامج ذلك حتى. يسلط هذا الاكتشاف الضوء على فجوة كبيرة في ممارسات الأمن الحالية: قد تعتقد المؤسسات أنها تستخدم أنظمة قديمة وعرضة للاختراق، أو قد تظن أنها قامت بالترقية، ولكن بدون وسيلة لفحص الكود الفعلي، لا يمكنها التأكد. توفر "كيستريل" تلك اليقين؛ فهي تستطيع التمييز بين برنامج يستخدم الأقفل الجديدة حقًا وبين برنامج يدعي القيام بذلك فحسب. وفي أحد الاختبارات، ادعى برنامج ما امتلاكه لحماية آمنة لما بعد الكم، لكن الأداة لم تجد أي دليل على ذلك، وحددت الادعاء بشكل صحيح على أنه زائف.
كما أثبتت الأداة قيمتها في بيئة جنائية، من خلال محاكاة استعادة البيانات من ملف تالف أو محذوف. فعند حذف ملف، غالبًا ما يحدد نظام التشغيل المساحة كمتوفرة لبيانات جديدة، لكن البيانات القديمة تظل موجودة على القرص حتى يتم الكتابة فوقها. تحاول أدوات الاستعادة القياسية إعادة بناء هيكل الملف، وهو ما يفشل غالبًا إذا كان رأس الملف (file header) تالفًا. ومع ذلك، نظرًا لأن "كيستريل" تبحث عن الأرقام المحددة داخل البيانات وليس عن هيكل الملف، فقد تمكنت من العثور على البصمة التشفيرية حتى في المساحة الخام غير المنظمة لصورة القرص. لقد نجحت في تحديد وجود الخوارزمية الجديدة في ملف لم تتمكن الأدوات الأخرى من استعادته. وتعني هذه القدرة أن المحققين يمكنهم تأكيد استخدام طرق تشفير محددة حتى عندما تكون الملفات الأصلية مفقودة أو تالفة.
كما أوضح البحث ما لا تستطيع الأداة القيام به. فهي مصممة للعثور على الأنواع المحددة من الأقفال الجديدة التي تعتمد على جداول الأرقام الثابتة هذه. ولا يمكنها العثور على أنواع أخرى من الأقفال الجديدة التي لا تستخدم هذه الطريقة، كما لا يمكنها العثور على برنامج يحسب هذه الأرقام "على الطاير" (on the fly) في كل مرة يعمل فيها، بدلًا من تخزينها. ومع ذلك، أشار الباحث إلى أنه لا يوجد برنامج معروف حاليًا يستخدم طريقة "على الطاير" هذه لأنها غير فعالة وغير ضرورية. إن الأداة مبنية لتناسب واقع كيفية صنع وتوزيع البرمجيات اليوم. ومن خلال التركيز على الأرقام غير القابلة للتغيير التي يتطلبها الكود ليعمل، تقدم "كيستريل" وسيلة موثوقة للتحقق من وجود هذه الأنظمة الأمنية الجديدة. إنها تحول غير المرئي إلى مرئي، مما يسم يسمح للمدققين والمحققين برؤية ما يوجد داخل البرنامج بدقة، وضمان أن الانتقال إلى مستقبل آمن كموميًا يقوم على الحقائق لا على الافتراضات.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.