أكثر من 11 مليون موقع ومزود لخدمة البريد الإلكتروني محمي بواسطة بروتوكول أمني يدعى ب TLS أصبح معرضا لخطر الاختراق بواسطة نوع جديد ورخيص الثمن من الهجمات. يقوم هذا الهجوم بفك تشفير اتصالات حساسة خلال بضع ساعات لا وبل في بعض الحالات يفك تشفيرها حالا. مما عرض بذلك حوالي 81000 خدمة مصنفة من بين الواحد مليون الأكثر استخداما وشهرة على الانترنت للخطر. ما يميز هذه الخدمات أنها محمية بواسطة ما يعرف ب HTTPS, لعلك شاهدت هذا الرمز عدة مرات أثناء تصفحك لمواقع التواصل الاجتماعي أو مواقع لبيع وشراء سلع معينة. إن هذا الرمز يعني أن عملية تبادل المعلومات مع الموقع الذي تتصفحه محمية من قبل البروتوكول الأمني TLS الذي يضمن خصوصية معلوماتك. فيما إذا شاهدت الرمز HTTP عند تصفحك لأي موقع آخر فإن هذا يعني أن معلوماتك غير محمية من قبل البروتوكول الأمني TLS.
تعتمد الاتصالات المحمية من قبل TLS على نوع من أنظمة التشفير الآمن يدعى RSA. و لكن الهجمة تقوم باستغلال بروتوكول تشفير آخر يدعى بال SSLV2 وهنا يكمن موطن الضعف, إذ يعد SSLV2 أحد أسلاف برتوكول TLS الذي تقاعد منذ زمن بسبب ضعفه. إن موطن الضعف هذا قد يمكن المهاجم من فك تشفير اتصالات TLS المعترضة عن طريق استخدام SSLV2 بشكل متكرر لإنشاء اتصالات مع الخادم. أثناء العملية, يحصل المهاجم على بضعة بيتات من المعلومات حول مفتاح التشفير في كل مرة. لعلك تفكر الآن بمدى نفع هذه الطريقة ما دام بروتوكول SSLV2 قد تقاعد منذ زمن, ولكن للأسف إزالة البروتوكول من المتصفحات وخدمات البريد الالكتروني لم تكن كافية للقضاء عليه, فهناك بعض تطبيقات البروتوكول TLS الغير مُحكمةْ ما زالت تدعم البروتوكول القديم عندما يقوم مستخدم بطلبه هو تحديدا. إن أكثر هذه التطبيقات شهرة والتي توظف بروتوكول TLS الغير مُحكمةْ هي مكتبة التشفير OpenSSL.
كشفت عمليات مسح كبيرة للانترنت مؤخرا بأن هناك أكثر من 5.9 مليون مخدم للانترنت يؤلفون حوالي 17% من كل الأجهزة المحمية بواسطة HTTPS يدعم مباشرة SSLV2. كشفت أيضا عمليات المسح هذه عن حوالي 936000 مزود بريد الكتروني محمي بواسطة TLS ما زال يدعم البروتوكول غير الآمن. تعد هذه الاكتشافات مصدر قلق كبير آخذين بعين الاعتبار التحذيرات الكثيرة التي صدرت سابقا عن ضرورة إيقاف عمل SSLV2. ولكن ومع كل هذه الاكتشافات المقلقة فإن المشاكل لم تتوقف عند هذا الحد, حيث أكد الباحثون أنه ليس من الضروري أن يدعم المخدم SSLV2 حتى يكون عرضة لمثل هذا الهجوم. على سبيل المثال : من الممكن لموقع يمنع التعامل مع SSLV2 أن يكون عرضة للخطر في حال تم إعادة استخدام مفتاح تشفيره مع مخدم بريد الكتروني يسمح بالتعامل مع SSLV2. تبعا لتقديرات الباحثين, تجعل هذه الثغرة حوالي 11.5 مليون موقع محمي بواسطة HTTPS إضافة إلى عدد كبير من مخدمات البريد الالكتروني المحمية بواسطة TLS عرضة للهجوم في أي وقت.
تنضم هذه الهجمة لتصبح واحدة من الأخطاء التقنية القاتلة الكثيرة التي خلال الخمس سنين الماضية منحت المهاجمين فرصة لكسر TLS. أثبتت مثل هذا الثغرات التي أخذت أسماء ك (BEAST, CRIME, BREACH, and FREAK) وجود مشاكل خطيرة في بروتوكول يعد الطريقة الوحيدة لعدد كبير من المواقع ومخدمات الانترنت لتشفير اتصالاتها ومعلوماتها الخاصة ضمن الانترنت والذي للملاحظة لم يصمم أبدا في بداياته ليكون آمنا. تلقى بروتوكول TLS ضربة جديدة في أيار الماضي مع اكتشاف ما يعرف ب (Logjam) – عبارة عن نقطة ضعف مسببة بواسطة إضعاف متعَمَّد للتشفير والذي يسمح للمتنصتين أن يستمعوا و يعدلوا على تراسلات عشرات الآلاف من مخدمات الانترنت. أطلق الباحثون على آخر نقطة ضعف هذه اسم DROWN اختصارا لعبارة “فك تشفير ال RSA بواسطة البروتوكول الضعيف”.
تم تصميم DROWN من قبل باحثين في جامعة تل أبيب, جامعة منستر للعلوم التطبيقية, جامعة رور في ألمانيا, جامعة بنسلفينيا, مشروع Haschat , جامعة ميشغن, غوغل, و مجموعة ال OpenSSL. إلى جانب التأكيد على أخطار “التشفيرالضعيف بشكل متعمد”, يبين لنا DROWN المشاكل التي قد تنتج عن البروتوكولات المنسية التي لم تُمنع نهائيا من الاستخدام بل بدلا من ذلك سُمح باستدعائها في حالات يدعوها المطورون بالحالات الخاصة. قاوم المسؤولون إيقاف تفعيل النسخ القديمة من SSL و TLS وبشكل خاص في ما يرتبط مع مخدمات البريد الالكتروني. انطلاقا من القلق الذي أحدثته تلك الاكتشافات, ستقوم حركة من الخبراء بمحاولة القضاء على المشاكل التي أحدثتها هذه البروتوكولات القديمة من خلال تحديث المخدمات التي لم تحدث مسبقا.
يظهر لنا DROWN بأن أنظمة التشفير منتهية الصلاحية ليست كما التفكير السائد يقول بأنها تقدم شيئا من الحماية على الرغم من انتهاء صلاحيتها, بل تستطيع أن تساهم في عملية تحطيم بروتوكول الحماية TLS الذي اعتقد سابقا بأنه قوي وقادر على الصمود.
” يظهر DROWN أنه في بعض الأحيان, التشفير السيء أسوأ من عدم وجود تشفير على الإطلاق ” قال (Graham Steel) الرئيس التنفيذي لمزود أنظمة التشفير (Cryptosense) و أضاف ” لحسن الحظ, سيقوم DROWN بتقوية الحركة العامة نحو القضاء على التشفير السيء المتواجد في الشبكة العنكبوتية”.
