Replay-Resistant Admission and Permissioned Quorum Consensus in Connected Vehicle Networks: A Fail-Closed, Implementation-Grounded Security Study

تخيل مدينة حيث يمكن لكل سيارة، وإشارة مرور، ولوحة إرشادية أن تتحدث مع بعضها البعض فوراً، وتشارك المعلومات حول الحوادث، والطقس، والازدحامات المرورية للحفاظ على سلامة الجميع. هذا هو الوعد الذي تقدمه شبكات المركبات المتصلة، وهي تقنية تعتمد على تدفق مستمر من الرسائل الرقمية التي تطير عبر الهواء. ومع ذلك، فإن هذه البيئة اللاسلكية المفتوحة معرضة للاختراق. إذ يمكن لفاعل سيئ أن يتظاهر بأنه سيارة، أو يرسل نفس الرسالة مراراً وتكراراً لإحداث ارتباك، أو يخدع النظام لقبول تقرير كاذب. ولجعل هذه التكنولوجيا تعمل، يجب على المهندسين حل ثلاثة مشكلات محددة: تحديد من يُسمح له بالانضمام إلى المحادثة، والتأكد من أن الرسالة جديدة وليست رسالة قديمة معاد تدويرها، والتحقق من أن الأشخاص الذين يصوتون على ما يجب فعله لاحقاً هم بالفعل المسؤولون المعتمدون.

تتناول دراسة جديدة أجراها محمد شاهنور إسلام شاغور من جامعة فوروني عزت لعلوم الغابات والتقنيات هذه التحديات بدقة. يركز البحث على نظام أمني محدد يسمى "OmniGuard"، المصمم لإدارة كيفية انضمام المركبات إلى الشبكة وكيفية توصلهم لاتفاقات بشأن المعلومات المشتركة. وبدلاً من محاولة بناء نظام مثالي غير قابل للكسر يعمل في كل سيناريو كارثي يمكن تخيله، قام الباحثون ببناء بيئة عملية ومتحكم بها. لقد صمموا نظاماً يعتمد مبدأ "الإغلاق عند الخطأ" (fail-closed)، مما يعني أنه إذا ارتبك النظام أو تعرض لضغط شديد، فإنه يتوقف ببساطة عن قبول مدخلات جديدة بدلاً من اتخاذ تخمين محفوف بالمخاطر. تختبر الدراسة ما إذا كان هذا النهج يمكنه بنجاح حظر الهويات المزيفة، وإيقاف الرسائل المعاد إرسالها، وضمان أن الأشخاص المناسبين فقط هم من يصوتون على القرارات الحاسمة، كل ذلك مع الشفافية بشأن حدود النظام.

بدأ الباحثون بفصل فكرة "كون الشيء حقيقياً" عن "كون الشيء مسموحاً به". في العديد من الأنظمة، إذا أثبتت السيارة امتلاكها لهوية رقمية صالحة، يتم السماح لها بالدخول فوراً. أما هنا، فيتبع النظام نهجاً أكثر صرامة؛ فحتى لو امتلكت السيارة هوية رقمية مثالية، فسيتم رفض دخولها ما لم تكن ضمن قائمة محددة ومسبقة الاعتماد يديرها سجل خاص. يعمل هذا السجل كحارس بوابة يتحقق من قائمة رئيسية للمركبات المصرح لها. وإذا حاولت سيارة الانضمام دون أن تكون مدرجة في تلك القائمة، أو إذا كانت القائمة مفقودة، يرفض النظام الاتصال تلقائياً. وهذا يمنع حدوث موقف يفتح فيه نظام غير مهيأ الباب لأي شخص عن طريق الخطأ. وبمجرد قبول السيارة، يقوم النظام بربط اتصالها بهويتها المحددة، مما يعني أن السيارة لا يمكنها استعارة بيانات اعتماد مركبة أخرى للتسلل إلى جلسة تصويت.

بعد ذلك، عالى الفريق مشكلة "هجمات إعادة الإرسال" (replay attacks)، حيث يلتقط المخترق رسالة صالحة ويعيد إرسالها لاحقاً لخداع النظام. ولمنع ذلك، يحتفظ النظام بذاكرة لكل رسالة رآها مؤخراً، وتُعرف برمز فريد يسمى "nonce". إذا وصلت رسالة تحمل رمزاً رآه النظام بالفعل، يتم رفضها باعتبارها مكررة. وقد صمم الباحثون النظام للتعامل مع تدفق هذه الرموز الفريدة بطريقة محددة للغاية؛ حيث أن الذاكرة المخصصة لهذه الرموز ذات حجم ثابت، مثل دلو يمكنه حمل كمية معينة فقط من الماء. فإذا حاول مخترق ملء الدلو بآلاف الرموز الجديدة والفريدة لإجبار النظام على نسيان الرموز القديمة، فإن النظام لا يرمي أي شيء. بدلاً من ذلك، عندما يمتلئ الدلو، يتوقف ببساطة عن قبول أي رموز جديدة حتى تنتهي صلاحية الرموز القديمة بشكل طبيعي. وهذا يضمن أن الرسالة الصالحة الموجودة بالفعل في النظام تظل آمنة من إعادة الإرسال، حتى لو كان النظام تحت هجوم كثيف، رغم أن هذا يعني أن حركة المرور الجديدة المشروعة قد تُحجب مؤقتاً أثناء التدفق.

يتضمن جوهر الدراسة كيفية توصل هذه المركبات إلى قرار. يستخدم النظام مجموعة من المصدقين المعتمدين للتصويت على المقترحات، مثل تغيير قاعدة مرورية أو تأكيد تنبيه سلامة. وضع الباحثون قاعدة مفادها أن المقترح لا يُقبل إلا إذا صوتت أغلبية محددة من المصدقين بـ "نعم". في إعداد الاختبار الخاص بهم مع ثلاثة مصدقين، كانت هناك حاجة لصوتين لتمرير القرار. يتحقق النظام من أن كل صوت يأتي من مصدق مدرج حالياً في القائمة، وأن التصويت يخص الفترة الزمنية الصحيحة، وأن الصوت لم يُدلى به مرتين. ولضمان أن الأصوات حقيقية، يتم توقيع كل صوت بمفتاح سري لا يعرفه إلا ذلك المصدق. إذا حاول مخترق تغيير محتوى صوت ما أو التظاهر بأنه مصدق آخر، فلن يتطابق التوقيع، وسيرفض النظام التصويت.

لإثبات نجاح هذا التصميم، أجرى الباحثون سلسلة من الاختبارات الصارمة. حيث أنشأوا سيناريو يعمل فيه جهاز كمبيوتر كـ "مهاجم"، يحاول كسر النظام بـ 192 طريقة مختلفة. حاول المهاجم تغيير "الهاش" (hash) الخاص بالمقترح، أو تبديل الفترة الزمنية، أو استخدام هوية مزيفة، أو إفساد التوقيع الرقمي، أو إرسال رسالة من مصدق قد أدلى بصوته بالفعل. وفي كل واحدة من هذه المحاولات الـ 192، حدد النظام الخطأ بشكل صحيح ورفض التصويت. ثم اختبر الباحثون النظام باستخدام أصوات صالحة؛ فعندما أدلى مصدقان معتمدان بأصوات صحيحة، قبل النظام الأصوات وأتم القرار. وعندما تمت محاولة تقديم صوت ثالث بعد اتخاذ القرار، رفضه النظام بشكل صحيح، مما منع تغيير النتيجة. كما أكد اختبار منفصل أنه عندما امتلأت ذاكرة رموز الرسائل، رفض النظام حركة المرور الجديدة دون حذف الأدلة على الرسائل القديمة والصالحة، مما حافظ على سلامة الحماية من إعادة الإرسال.

كما أوضحت الدراسة ما لا يستطيع هذا النظام القيام به. فهو ليس مصمماً لمنع مجموعة من المصدقين المعتمدين من العمل معاً بشكل ضار. فإذا قررت أغلبية كافية من المصدقين المعتمدين التصويت لصالح فكرة سيئة، فسوف يقبلها النظام، لأنه يثق في أغلبية أعضائه المعتمدين. ويذكر الباحثون صراحة أن هذا ليس نظاماً "متحملاً للأخطاء البيزنطية" (Byzantine fault-tolerant)، وهو مصطلح يستخدم للبروتوكولات التي يمكنها الصمود أمام عدد معين من الخونة داخل المجموعة. بدلاً من ذلك، يعتمد هذا النظام على افتراض أن الأشخاص الذين يديرون قائمة المصدقين المعتمدين جديرون بالثقة وأن القائمة نفسها آمنة. فإذا تم اختراق السجل، فإن أمن الشبكة بأكملها يصبح مهدداً.

تظهر النتائج أنه بالنسبة لشبكة خاضعة للرقابة ومصرح بها للمركبات المتصلة، فإن هذا النهج يوفر طبقة أمنية قوية وقابلة للاختبار. فهو ينجح في فصل مهام الانضمام إلى الشبكة، وإثبات الحداثة، والتصويت، مما يضمن أن الفشل في أحد المجالات لا يؤدي إلى انهيار كامل. تم تصميم النظام ليكون شفافاً بشأن حدوده: سيحظر الغرباء، ويوقف إعادة إرسال الرسائل، ويمنع التصويت المزدوج، لكنه يتطلب إشرافاً بشرياً لإدارة قائمة من يُسمح لهم بالتصويت. ومن خلال اختبار النظام مع حجم كبير من الهجمات المحاكية وتسجيل صفر من حالات الفشل غير المتوقعة، أثبت الباحثون أن تصميمهم قوي ضد التهديدات المحددة التي بُني للتعامل معها. يقدم هذا العمل مخططاً واضحاً وقابلاً للتكرار لكيفية إدارة شبكات المركبات المتصلة للثقة والتنسيق دون الاعتماد على نظريات معقدة وغير مثبتة، مما يوفر مساراً عملياً نحو طرق أكثر أماناً وحماية.