Sequence-, Epoch-, and Integrity-Aware Detection of Replay and Peer-Spoofing Attacks in Decentralized UAV Mesh Networks: A Software-Validated Security Framework
تقدم هذه الورقة وتتحقق من صحة إطار عمل أمني مُنفذ برمجياً لأسراب الطائرات بدون طيار اللامركزية، والذي يمنع هجمات إعادة الإرسال وانتحال هوية الأقران من خلال سلسلة صارمة لقبول الحزم تجمع بين مصادقة HMAC-SHA256، والتحقق من الحقبة الزمنية، وفحص التسلسل التصاعدي، مع قياس عبء الأداء وتحديد اختراق السر المشترك كخطر متبقٍ رئيسي.
في أعالي السماء، يتشكل نوع جديد من الأسراب. هذه ليست طيوراً، بل هي أسراب من المركبات الجوية غير المأهولة، أو ما يُعرف بالدرونز، التي تطير معاً دون وجود قائد مركزي يملي عليها ما تفعله. بدلاً من ذلك، تتواصل فيما بينها مباشرة، حيث تتبادل المعلومات حول مواقعها، وحالتها الصحية، والعقبات التي تعترض طريقها. تتيح هذه القدرة على التواصل من نظير إلى نظير (peer-to-peer) لهذه الدرونز أن تتحرك كوحدة واحدة ذكية، حتى في الأماكن التي تكون فيها إشارات الأقمار الصناعية محجوبة أو غير موجودة. ومع ذلك، فإن هذه الحرية تأتي مع ثغرة أمنية كبيرة؛ فبما أن هذه الرسائل تنتقل عبر موجات لاسلكية مفتوحة، يمكن لأي شخص قريب أن يتنصت، أو يتظاهر بأنه أحد الدرونز، أو يرسل رسائل قديمة تم التقاطها سابقاً. وإذا صدقت إحدى الدرونز رسالة مزيفة، فقد تصطدم بمبنى، أو تطير نحو جدار، أو تتخلى عن مهمتها بناءً على كذبة. ويتمثل التحدي الذي يواجه المهندسين في بناء نظام يمكنه التمييز فوراً بين الرسالة الحقيقية القادمة من صديق موثوق وبين خدعة ذكية من عدو، كل ذلك بينما تتحرك الدرونز بسرعة عالية.
لقد طور الباحث "محمد شانوير إسلام شاغور" واختبر مجموعة محددة من القواعد المصممة لحل هذه المشكلة لأسراب الدرونز اللامركزية هذه. يركز العمل على "حارس بوابة رقمي" يستقر داخل كل درون، يقوم بفحص كل رسالة تصل قبل أن يُسمح للدرون بالتصرف بناءً عليها. لا يعتمد هذا الحارس على حيلة واحدة لكشف الرسائل المزيفة، بل يستخدم مزيجاً من أربعة فحوصات مختلفة يجب أن تجتازها جميعاً ليتم قبول الرسالة. أولاً، يتحقق من عمر الرسالة، لضمان أنها أُرسلت مؤخراً بما يكفي لتكون ذات صلة. ثانياً، يتحقق من أن الرسالة تنتمي إلى "حقبة الثقة" الحالية، وهو مفهوم يشبه رمز الجلسة (session code) الذي يتغير عندما يتم تحديث الإعدادات الأمنية للمجموعة، مما يضمن تجاهل الرسائل القديمة من دورة أمنية سابقة. ثالثاً، يتحقق من رقم تسلسلي فريد يجب أن يكون دائماً أعلى من الرقم الأخير المستلم من ذلك المرسل تحديداً، مما يمنع المهاجم من مجرد تسجيل رسالة صالحة وإعادة تشغيلها لاحقاً. وأخيراً، يجري فحصاً تشفيرياً، وهو ختم رياضي يثبت أن الرسالة لم يتم التلاعب بها وأنها جاءت حقاً من عضو في المجموعة.
قام الباحث بدمج هذا النظام في منصة برمجية مفتوحة المصدر تُستخدم لأبحاث الدرونز، ثم أخضعها لاختبارات صارمة لمعرفة مدى صمودها أمام أنواع مختلفة من الهجمات. حاكت الاختبارات سيناريوهات حاول فيها المهاجم تغيير هوية المرسل، أو التلاعب ببيانات الحمولة، أو إعادة تشغيل رسائل قديمة. وفي كل حالة لم يكن فيها المهاجم يمتلك المفتاح السري للمجموعة، نجح النظام في رفض الرسالة الخبيثة. وأثبت البرنامج أنه من خلال الجمع بين هذه الفحوصات، يمكن للدرون رفض تحديث حالتها الداخلية أو اتخاذ إجراءات حرجة تتعلق بالسلامة، مثل فتح ممر طيران، ما لم تجتز الرسالة كل بوابة. كما قيست المدة التي استغرقتها هذه العملية، حيث وُجد أن متوسط وقت التحقق من صحة الرسالة كان حوالي 12 ميلي ثانية، بمتوسط يبلغ حوالي 23 ميلي ثانية. وبينما يعد هذا سريعاً بما يكفي للعديد من العمليات، لاحظ الباحث أن القياس تضمن الوقت المستغرق لبدء تشغيل البرنامج، مما يعني أن العمل التشفيري الفعلي أسرع من ذلك على الأرج de.
وعلى الرغم من هذه النجاحات، فإن الورقة البحثية حريصة على تحديد أين تنتهي الحماية بالضبط. يعتمد النظام على سر مشترك، وهو كلمة مرور واحدة يعرفها جميع الدرونز في السرب. إذا تمكن مهاجم من الاستيلاء على درون واحدة وسرقة هذه الكلمة، فيمكنه إنشاء رسائل صالحة تبدو تماماً كما لو كانت قادمة من أي درون أخرى في المجموعة. لا يمكن للنظام الحالي التمييز بين درون حقيقية وبين درون مخترقة تستخدم الكلمة السرية المسروقة للكذب. وهذا يعني أن الإطار ممتاز في إيقاف الغرباء الذين لا يملكون المفتاح، لكنه لا يستطيع إيقاف "خائن" من داخل المجموعة يمتلك السر بالفعل. كما سلط الباحث الضوء على أن القاعدة الصارمة التي تتطلب وصول الرسائل بترتيب مثالي قد تسبب مشاكل إذا كانت الشبكة اللاسلكية تعيد ترتيب الحزم بشكل طبيعي، مما قد يؤدي إلى رفض رسائل صالحة تصل بترتيب غير متسلسل قليلاً.
تخلص الدراسة إلى أن هذا الإطار يوفر أساساً متيناً وقائماً على الأدلة لحماية أسراب الدرونز من الهجمات الخارجية الشائعة مثل إعادة تشغيل الرسائل القديمة أو تزييف الهويات. وتوضح أن الجمع بين فحوصات الوقت، وتتبع التسلسل، والأختام التشفيرية يمكن أن يخلق حاجزاً موثوقاً قبل أن تتصرف الدرون بناءً على معلومات جديدة. ومع ذلك، فقد رسم العمل مساراً واضحاً للمستقبل، مشيراً إلى أنه لكي تحمي الأنظمة ضد تهديدات الداخل حقاً، يجب أن يتطور النظام لمنح كل درون هوية ومفتاحاً فريداً خاصاً بها، بدلاً من الاعتماد على كلمة مرور مشتركة واحدة. وحتى يحدث ذلك، يظل التصميم الحالي طريقة قوية، تم التحقق منها برمجياً، للحفاظ على سلامة أسراب الدرونز من أكثر أشكال الخداع الرقمي شيوعاً، وضمان أن يظل السلوك الجماعي للسرب قائماً على الحقيقة بدلاً من الخديعة.
ملخص تقني: الكشف القائم على التسلسل، والحقبة الزمنية، وسلامة البيانات لمواجهة هجمات إعادة التشغيل وانتحال الهوية في شبكات الطائرات بدون طيار (UAV) اللامركزية
بيان المشكلة تعمل أسراب الطائرات بدون طيار (UAV) اللامركزية عبر روابط لاسلكية ديناميكية من نظير إلى نظير (P2P)، حيث تُعد حداثة الرسائل وهوية النظراء خصائص بالغة الأهمية لأنظمة التحكم. وخلافًا لهياكل العميل والخادم، تواجه الشبكات الجوية المتنقلة (FANOMs) تهديدات فريدة حيث يمكن لحزمة بيانات صالحة تشفيريًا ولكنها قديمة (إعادة تشغيل/Replay)، أو حزمة ذات هوية مرسل مزورة (انتحال هوية النظراء/Peer-spoofing)، أو رسالة طوارئ غير موثقة، أن تفسد السلوك الجماعي قبل إمكانية التدخل المركزي. تحدد الأدبيات الحالية التزييف، وإعادة التشغيل، وحقن البيانات الكاذبة كتهديدات مستمرة، ومع ذلك تظل هناك ثلاث فجوات محددة على مستوى التنفيذ للأسراب محدودة الموارد:
موثوقية الوقت: لا يمكن الاعتماد في حداثة البيانات على وقت الساعة الحائطية فقط بسبب انحراف التزامن والتلاعب المحتمل بأنظمة الملاحة العالمية (GNSS).
ربط السياق: يجب أن يربط التوثيق ليس فقط الحمولة (Payload)، بل أيضًا هوية المرسل، والحقبة الزمنية للثقة (Trust epoch)، وبيانات التسلسل (Sequence metadata) لمنع هجمات تبديل السياق.
ترتيب التحقق: يجب أن يتم التوثيق قبل أي تغيير في الحالة أو إجراء ذي صلة بالسلامة؛ إذ إن التحقق من رسالة بعد أن قامت بالفعل بتغيير حالة النظام لا يوفر أي حدود أمنية.
المنهجية يحلل هذا البحث إطار عمل محدد لقبول الحزم تم تنفيذه في منصة بحثية مفتوحة للطائرات بدون طيار تعمل في بيئة خالية من نظام تحديد المواقع العالمي (GPS-denied) (الالتزام c040073969a6111f4c652d08e8de8629d70b2317). تعزل الدراسة بوابة القبول من جهة المستلم، وتحدد نموذجًا رسميًا حيث تكون كل حزمة p عبارة عن صف (Tuple) يحتوي على النوع، معرف المرسل، الطابع الزمني، مدة البقاء (TTL)، حقبة الثقة، رقم التسلسل، علامة المصدر، الحمولة، وخطاف التوثيق (Authentication hook).
تستخدم المنهجية مسند قبول مركبA(p) يتطلب الوفاء المتزامن بخمس بوابات قبل قبول الحزمة في ذاكرة التخزين المؤقت لحالة النظير:
النمذجة القياسية والسلامة (Canonicalization & Integrity): يتم تسلسل الحزمة كـ (Canonical CBOR) (مع إزالة خطاف التوثيق). يتم حساب علامة HMAC-SHA256 كاملة بطول 32 بايت على هذا التمثيل القياسي. يقوم المستلم بالتحقق من العلامة باستخدام مقارنة ثابتة الوقت (Constant-time comparison). هذا يربط هوية المرسل وجميع البيانات الوصفية بالحمولة.
حداثة الوقت (Ftime): يتم التحقق من العمر المطلق للحزمة مقابل أقصى انحراف ساعة مُعد مسبقًا (Δ) بالإضافة إلى مدة البقاء (TTL) الخاصة بالحزمة.
عزل حقبة الثقة (Fepoch): يجب أن تطابق حقبة ثقة الحزمة تمامًا حقبة المستلم المُعدة؛ ويعمل هذا كحدود جيل خشنة، مما يؤدي لرفض الحزم من سياقات المفاتيح أو العضوية السابقة.
رتابة التسلسل الصارمة (Fseq): يجب أن يكون رقم التسلسل أكبر صراحةً من آخر تسلسل موثق من ذلك النظير المحدد. هذا يفرض حالة منع إعادة التشغيل الصارمة، ويرفض أي حزمة ليست أحدث بشكل صريح.
سياسة ملف التعريف أثناء التشغيل (Fprofile): تُرفض الحزم غير الموقعة في وضع "السراب الحوافي" (Edge-swarm mode)، مع استثناءات فقط لملفات تعريف المحاكاة المُعدة صراحةً.
يتم التحقق من إطار العمل من خلال اختبارات الوحدة على مستوى المصدر تغطي التحقق الصحيح، والتلاعب بالحمولة/المرسل، وفقدان التوقيعات، وحقب زمنية قديمة، وفحوصات السلامة قبل الإجراء. يتم تقييم الأداء عبر اختبار قياسي للمستودع، والذي يُعامل كمؤشر تقريبي لمسار البرمجيات بدلاً من كونه قياسًا معزولًا لزمن انتقال التشفير.
المساهمات الرئيسية
نموذج الخصم الرسمي: يحدد فئات هجوم محددة تشمل إعادة تشغيل من خارج الشبكة، التلاعب بالحمولة، انتحال هوية المرسل، إعادة استخدام الحقبة، واختراق مفتاح الداخل.
المسند الأمني المركب: يعبر عن سلسلة القبول المنفذة كاقتران رياضي لفحوصات الوقت، الحقبة، التسلسل، السياسة، والسلامة، مما يثبت أن الفشل في أي بوابة واحدة يؤدي إلى رفض الحزمة.
خاصية سلامة ما قبل الإجراء: يوضح من خلال رسم خرائط المصدر أن فشل التوثيق يمنع تعديل ذاكرة تخزين الحالة ويحجب الإجراءات ذات الصلة بالسلامة (مثل قبول ممر الطوارى).
تحليل المقايضة التشغيلية: يحدد تكلفة التسلسل الرتيب الصارم، مشيرًا إلى أنه بينما يوفر ثابت سلامة نظيف، فإنه يؤدي إلى رفض الحزم التي تمت إعادة ترتيبها بشكل مشروع. كما يحلل زمن نفاذ عدادات التسلسل بـ 32 بت عند معدلات إرسال الحزم المختلفة.
توصيف المخاطر المتبقية: يحدد صراحةً أن تصميم السر المشترك لا يمكنه منع النظير المصرح له والمخترق بالكامل من إنشاء علامات HMAC صالحة وانتحال شخصيات عقد أخرى.
النتائج
الخصائص الأمنية: نجح إطار العمل في رفض الحزم المعاد تشغيلها (حتى مع وجود طوابع زمنية صالحة)، والحمولات المتلاعب بها، وهويات المرسلين المزورة، والحزم من حقب زمنية غير متطابقة. يضمن تصميم "الفشل المغلق" (Fail-closed) عدم تغيير حالة السرب بواسطة أي حزمة غير موثقة.
الأداء: يسجل الاختبار القياسي للمستودع وسيط زمن انتقال مسار توثيق السرب بـ 12.219 مللي ثانية ومتوسط 22.603 مللي ثانية. يوضح المؤلف أن هذه الأرقام تشمل زمن إطلاق العمليات وتمثل مؤشرًا تقريبيًا لمسار البرمجيات، وليس أداء التشففر المعزول.
تغطية الاختبار: أكدت الاختبارات على مستوى المصدر أن التلاعب بمعرف المرسل أو الحمولة يؤدي إلى INVALID_SIGNATURE (توقيع غير صالح)، بينما تؤدي الحقبات والتسلسلات القديمة إلى STALE_EPOCH (حقبة قديمة) و REPLAY_DETECTED (اكتشاف إعادة التشغيل) على التوالي. كما تُرفض الحزم غير الموقعة في الوضع الحوافي.
القيود: يؤكد التحليل أن التصميم الحالي لا يوفر أي حماية ضد الداخل الذي يمتلك السر المشترك. بالإضافة إلى ذلك، فإن قاعدة التسلسل الصارمة تخلق احتمالية "رفض خاطئ" للحزم التي خرجت عن الترتيب بشكل مشروع، ويمكن لعدادات 32 بت أن تنفد في غضٍ من ~50 يومًا عند إرسال 1,000 حزمة في الثانية.
الأهمية والادعاءات يدعي البحث توفير أساس محدود بالأدلة للحماية من إعادة التشغيل وانتحال هوية النظراء في الشبكات اللامركزية للطائرات بدون طيار. تكمن أهميته في:
التأسيس التنفيذي: على عكس المقترحات النظرية، يحلل هذا العمل تنفيذًا برمجيًا فعليًا، حيث يربط المسندات الرياضية مباشرة بمسارات الكود وحالات الاختبار.
تحديد الحدود بوضوح: يحدد بوضوح ما يمكن للتصميم الحالي القائم على السر المشترك إثباته (السلامة وعضوية المجموعة) وما لا يمكنه إثباته (عدم الإنكار لكل عقدة أو تحديد هوية الداخل).
مسار الانتقال: يعمل إطار العمل كأساس للتطور المستقبلي نحو مفاتيح لكل عقدة، وهوية مرتبطة بالأجهزة، ونوافذ إعادة تشغيل محدودة، وتوثيق ما بعد الكوانتوم.
يتسم المؤلف بالتواضع في نطاق عمله، حيث يصرح بأنه لا يدعي الحماية ضد كل هجمات العقد المخترقة أو استخراج المفاتيح الفيزيائية. بدلاً من ذلك، يحدد العمل بالضبط ما يمكن إثباته من التصميم الحالي وما هي متطلبات التصميم المحددة اللازمة لاحتواء تهديد الداخل. وتخلص الدراسة إلى أنه بينما يعد بوابة القبول الحتمية الحالية أساسًا أمنيًا مدمجًا، فإن التطور للإنتاج يتطلب الانتقال من السر المشترك إلى اعتماد هوية لكل عقدة وتحقق أكثر صلابة من مصدر الوقت.