How a Payment Lookup Oracle Confirms Predictable Identifiers
تُثبت هذه الورقة أن أوراكل (oracles) تسوية المدفوعات الوطنية، مثل نظام "PromptPay" في تايلاند، تُمكّن من التأكيد الحتمي للمعرفات الوطنية المتوقعة عبر السماح للمهاجمين بالتحقق من التخمينات مقابل البيانات العامة والسجلات المسربة، وهي ثغرة تتفاقم بسبب حقيقة أن أسماء المستلمين تُعاد دون إخفاء رغم جهود إخفاء أجزاء من الأسماء.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم اليوم الذي يتميز بالتحويلات المالية الفورية، أصبح فحص أمان بسيط أداة قوية لانتهاك الخصوصية. فعندما ترسل مالاً إلى صديق باستخدام رقم هاتف أو رقم هوية وطنية بدلاً من رقم حساب بنكي طويل، يقوم تطبيقك المصرفي بعملية بحث سريعة؛ حيث يسأل نظاماً مركزياً: "لمن ينتمي هذا الرقم؟" ويعرض الاسم على شاشتك لتتأكد من أنك ترسل المال إلى الشخص الصحيح. هذه الميزة، المعروفة باسم "أوراكل الحل" (resolution oracle)، مصممة لمنع الأخطاء والاحتيال. ومع ذلك، اكتشف الباحثون أن هذه الآلية نفسها، التي تهدف إلى تأكيد هوية معروفة، يمكن استخدامها أيضاً لاكتشاف هوية شخص غريب. وتنشأ المشكلة عندما يجتمع نظام البحث المفتوح هذا مع حقيقة أن العديد من أرقام الهوية الوطنية ليست عشوائية، بل تتبع نمطاً يمكن التنبؤ به بناءً على تواريخ الميلاد والمواقع. في الماضي، كان خبراء الأمن يعلمون أن هذه الأرقام يمكن تخمينها، لكنهم اعتقدوا أنه لا توجد طريقة لمعرفة ما إذا كان التخمين صحيحاً أم لا. والجديد في هذا الاكتشاف هو أن نظام الدفع نفسه يقدم الإجابة، محولاً التخمين العشوائي إلى حقيقة مؤكدة.
قام باحثان من جامعة كينج مونغكوت التكنولوجية في تايلاند بتحديد مدى الخطورة التي يخلقها هذا الجمع بدقة. وقد ركزا على نظام "PromptPay" التايلاندي، وهو شبكة دفع فورية واسعة الانتشار حيث يسجل الناس أرقام هواتفهم المحمولة أو بطاقات الهوية الوطنية الخاصة بهم لاستلام الأموال. لم يحاول الباحثون سرقة الأموال أو اختراق أي من أنظمة البنوك، بل تعاملوا مع تطبيق الدفع كأداة لطرح الأسئلة وحللوا الإجابات التي يقدمها. بدأوا بالنظر في بنية بطاقة الهوية التايلاندية، وهي رقم مكون من ثلاثة عشر خانة، حيث تشير الخانات الأولى إلى المقاطعة والمنطقة التي تم تسجيل الشخص فيها، بينما الرقم الأخير هو رقم تحقق رياضي يضمن صحة الرقم. وبسبب هذه البنية، فإن العدد الإجمالي لأرقام الهوية الصحيحة الممكنة أصغر بكốt مما يبدو؛ فقد حسب الباحثون أن قواعد النظام تقلص مجموعة المرشحين المحتملين بمعامل قدره مائة وخمسة وثلاثون قبل معرفة أي معلومات محددة عن الشخص.
ثم فحصت الدراسة ما يحدث عندما يمتلك المهاجم بالفعل قائمة بأرقام الهوية المسربة، وهو واقع معروف في العالم الرقمي. فقد كشفت تسريبات عامة مؤخراً عن أكثر من 1.2 مليون رقم هوية تايلاندي. في الماضي، كان امتلاك مثل هذه القائمة يمثل نصف المعركة فقط؛ إذ سيكون لدى المهاجم رقماً ولكن ليس لديه وسيلة لمعرفة الاسم المرتبط به. وأظهر الباحثون أن نظام البحث الخاص بالدفع يحل هذه القطعة المفقودة؛ فبإدخال رقم هوية مسرب في تطبيق مصرفي، يعيد النظام فوراً الاسم الكامل لصاحب الحساب. وهذا يحول قائمة ثابتة من الأرقام إلى دليل حي وموثق للأسماء. كما أظهر الباحثون أنه حتى لو كانت بعض أرقام الهوية مخفية أو محذوفة في مستند ما، فإن القواعد الرياضية لبطاقة الهوية تحد من عدد التشكيلات المفقودة الممكنة إلى مجموعة صغيرة جداً. ويمكن للمستخدم ببساطة تجربة كل هذه الاحتمالات القليلة في تطبيق الدفع، وسيقوم النظام بتأكيد الخيار الصحيح عبر عرض الاسم، بينما يرفض الخيارات الخاطئة.
ولفهم مدى فعالية تدابير الخصوصية الحالية، نظر الباحثون أيضاً في سياسة جديدة اعتمدتها سنغافورة، حيث تقوم تطبيقات الدفع الآن بإخفاء أجزاء من اسم الشخص على الشاشة لمنع المراقبين العابرين من قراءته. وقد اختبروا هذه الفكرة باستخدام قاعدة بيانات تضم آلاف الأسماء التايلاندية، ووجدوا أن الطريقة السنغافورية، التي تخفي النصف الثاني من كل اسم فقط، ضعيفة بشكل مفاجئ. ولأن الألقاب التايلاندية غالباً ما تكون فريدة لعائلة واحدة، ولأن النصف الأول من الاسم غالباً ما يكون كافياً لتحديد هوية الشخص، فإن القناع يترك الاسم مرئياً بشكل فعال في أكثر من نصف الحالات. ووجد الباحثون أنه بالنسبة لجزء كبير من السكان، يكون الاسم المقنع فريداً بما يكفي ليتمكن الشخص من تحديد الفرد. والأهم من ذلك، أظهروا أن هذا النوع من التغطية لا يمنع مهاجماً مصمماً يمتلك بالفعل اسماً مرشحاً لاختباره؛ فإذا اشتبه المهاجم في أن اسماً ما ينتمي إلى رقم هوية معين، يمكنه ببساطة التحقق مما إذا كان النسخة المقنعة تطابق تخمينه، مما يجعل حماية العرض عديمة الفائدة ضد الهجمات المستهدفة.
انتقل الباحثون بعد ذلك إلى البنوك نفسها ليروا ما يحدث فعلياً في تايلاند. استخدموا حساباتهم البنكية وهواتفهم المحمولة الخاصة لاختبار النظام عبر سبعة بنوك مختلفة، بما في ذلك مؤسسات مملوكة للدولة، وخاصة، وأجنبية، وإسلامية. وفي كل حالة، ودون استثناء، عرضت التطبيقات الاسم الكامل غير المقنع لصاحب الحساب. لم يكن هناك أي حذف، أو إخفاء للحروف، ولا أي اختلاف بين البنوك المختلفة. وقد أكد هذا أن النظام موحد في جميع أنحاء البلاد وأن حماية الخصوصية الحالية غير موجودة. كما لاحظ الباحثون أن النظام لم يتباطأ أو يمنعهم عندما طلبوا نفس الاسم بشكل متكرر، مما يشير إلى عدم وجود قيود صارمة على عدد المرات التي يمكن فيها البحث عن رقم هوية في فترة زمنية قصيرة.
الاستنتاج الجوهري لهذا العمل هو أن الخطر لا يكمن في عرض الاسم، بل في القدرة على طرح السؤال. ويجادل الباحثون بأن مجرد إخفاء الاسم على الشاشة هو الحل الخاطئ لأنه لا يوقف عملية التأكيد الأساسية. فإذا كان لدى المهاجم قائمة من الأرقام المسربة، فإن نظام الدفع يعمل كآلة تؤكد أي الأرقام حقيقية ومن يملكها. ويقترح الباحثون أن الحل يجب أن يكون في التحكم في الأسئلة، وليس في الإجابات. وهذا يعني أن النظام يجب أن يحدد عدد المرات التي يمكن للمستخدم الواحد فيها البحث عن أرقام مختلفة في اليوم، أو رصد أنماط البحث غير العادية. ويؤكدون أن هذا ليس خطأ برمجياً يمكن إصلاحه، بل هو ميزة تصميمية لنظام الدفع تخدم غرضاً مفيداً للمستخدمين الصادقين بينما تخلق خطراً على الخصوصية. وتخلص الدراسة إلى أنه لكي تكون أنظمة الدفع الفوري آمنة، يجب على المشغلين تنفيذ قيود صارمة على عدد مرات إجراء عمليات البحث هذه، لضمان بقاء النظام أداة لتأكيد المستلم المعروف بدلاً من كونه دليلاً لاكتشاف الغرباء.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.