بروتوكولات النص الصريح: ما يراه المهاجمون

ينقل HTTP جميع البيانات كنص ASCII عادي من دون تشفير. وعند إرسال نموذج تسجيل دخول عبر HTTP، يرسل المتصفح طلب POST يحتوي على اسم المستخدم وكلمة المرور بنص واضح. ويمكن لأي شخص موجود في مقطع الشبكة نفسه، أو لأي موجّه بينكم وبين الخادم، قراءة الطلب كاملًا، بما في ذلك بيانات الاعتماد وملفات تعريف ارتباط الجلسة وأي بيانات حساسة في النموذج.

كان Telnet بروتوكول الطرفية القياسي للوصول عن بُعد قبل ظهور SSH. تنتقل كل ضغطة مفتاح تُكتب في جلسة Telnet إلى الخادم على شكل حزمة TCP واحدة غير مشفّرة. ولا يرى المهاجم الذي يلتقط حركة مرور الشبكة اسم المستخدم وكلمة المرور عند تسجيل الدخول فحسب، بل يرى أيضًا كل أمر تتم كتابته وكل سطر من المخرجات المعروضة، مما يتيح اختطاف الجلسة بالكامل من دون أي حواجز تشفيرية.

يصادق FTP على المستخدم باستخدام الأمر USER متبوعًا بالأمر PASS، ويُرسل كلاهما كنص واضح عبر منفذ TCP 21. ويُظهر التقاط حزم تسجيل الدخول إلى FTP بيانات الاعتماد الدقيقة. وحتى إذا كانت قناة نقل الملفات مشفّرة باستخدام FTPS، فإن تبادل المصادقة الأولي يكشف كلمة المرور لأي جهة تتنصت. وتوجد خوادم FTP قديمة عادةً في بيئات الشركات، وتمثل أهدافًا سهلة لجمع بيانات الاعتماد.

يرسل كل من POP3 (المنفذ 110) وIMAP (المنفذ 143) من دون TLS بيانات اعتماد البريد الإلكتروني ومحتوى الرسائل بالكامل بنص واضح. عندما يفتح المستخدم عميل البريد الإلكتروني على شبكة Wi-Fi في مقهى، مع إعداد خادم بريد غير مشفّر، تصبح كل رسالة بريد إلكتروني ينزّلها قابلة للقراءة أمام أي جهاز آخر على الشبكة. ويستخدم الانتقال إلى POP3S (المنفذ 995) وIMAPS (المنفذ 993) بروتوكول TLS منذ بدء الاتصال.

تدعم خوادم قواعد البيانات مثل MySQL (المنفذ 3306) وPostgreSQL (المنفذ 5432) الاتصالات غير المشفّرة افتراضيًا. وترسل خوادم التطبيقات التي تتصل بقاعدة البيانات من دون فرض استخدام SSL الاستعلامات ونتائجها، بما في ذلك البيانات الشخصية الحساسة، كنص واضح عبر الشبكة. وغالبًا ما تُعتبر الشبكات الداخلية موثوقة، لكن المهاجمين الذين ينجحون في الوصول إلى أي نقطة داخلها يمكنهم البدء فورًا في التنصت على حركة مرور قاعدة البيانات.

ينقل LDAP (بروتوكول الوصول إلى الدليل خفيف الوزن) على المنفذ 389 استعلامات الدليل والمصادقة بنص واضح. وقد تتضمن البيئات المؤسسية التي تستخدم Active Directory للمصادقة عمليات ربط LDAP تكشف أسماء المستخدمين وكلمات المرور على الشبكة الداخلية. ويستخدم LDAPS على المنفذ 636 بروتوكول TLS، كما يمكن لـ STARTTLS على المنفذ 389 ترقية الاتصال، لكن لا يُفرض استخدام أي منهما دائمًا.

يستمع Redis افتراضيًا على المنفذ 6379 من دون مصادقة ومن دون TLS. ويتيح مثيل Redis المكشوف على الشبكة من دون كلمة مرور لأي عميل قراءة جميع المفاتيح المخزّنة وتنفيذ أوامر عشوائية، وربما كتابة ملفات الإعداد. وقبل أن يضيف Redis 6.0 (عام 2020) دعم TLS، كانت جميع حركة مرور Redis، بما في ذلك بيانات التخزين المؤقت ورموز الجلسات، مكشوفة بالكامل أثناء النقل.

لا تملك Memcached، وهي طبقة تخزين مؤقت واسعة الاستخدام، آلية مصادقة مضمّنة، وترسل جميع البيانات بنص ASCII واضح عبر منفذ TCP 11211. ويعتمد المطورون عادةً على جدران حماية الشبكة لتقييد الوصول، لكن مثيلات Memcached التي أُسيء إعدادها وكُشفت على الإنترنت استُخدمت في هجمات DDoS بالتضخيم وسرقة البيانات. ويكون كل المحتوى المخزّن مؤقتًا، بما في ذلك بيانات الجلسات واستجابات API، مرئيًا لأي جهة يمكنها الوصول إلى المنفذ.

يستخدم Syslog التقليدي منفذ UDP 514 من دون مصادقة أو تشفير. ويمكن لأي جهة على مسار الاتصال قراءة سجلات النظام المرسلة عبر الشبكة أو تعديلها أو تزويرها. ويستطيع المهاجم الذي يعترض حركة مرور Syslog قراءة الأحداث الأمنية في الوقت الفعلي أو حقن إدخالات سجلات زائفة للتغطية على آثاره. ويحدد RFC 5425 استخدام Syslog عبر TLS، لكن العديد من الأنظمة لا تزال تستخدم البروتوكول القديم ذي النص الواضح.

من نقطة مراقبة واحدة على الشبكة، يكتسب المهاجم الذي يلتقط حركة مرور البروتوكولات ذات النص الواضح رؤية شاملة للبيئة. فهو يرى أسماء المستخدمين وكلمات المرور لخدمات متعددة، ورموز الجلسات التي يمكن إعادة استخدامها من دون كلمة المرور الأصلية، والبيانات الحساسة التي يجري نقلها، وبنية الشبكة الداخلية. ويمكن جمع هذه المعلومات بشكل سلبي من دون أي تفاعل مع الأنظمة المستهدفة.

رغم المعرفة المتراكمة على مدى عقود بمخاطر النص الواضح، تستمر البروتوكولات غير المشفّرة بسبب الأنظمة القديمة التي لا يمكن ترقيتها، وتعقيد الإعداد في البيئات الكبيرة، ومخاوف الأداء في الوصلات الداخلية ذات معدل النقل العالي، وافتراض أن الشبكات الداخلية موثوقة. وتواجه تجزئة الشبكة ومبادئ بنية انعدام الثقة هذا الافتراض، إذ تتعامل مع حركة المرور الداخلية بدرجة التدقيق نفسها المطبقة على حركة المرور الخارجية.

أي من تركيبات البروتوكول والمنفذ التالية ينقل بيانات اعتماد المصادقة بنص واضح افتراضيًا؟

ينقل كل من HTTP وTelnet وFTP وPOP3 وIMAP واتصالات قواعد البيانات الأولية وLDAP وRedis وMemcached وSyslog البيانات من دون تشفير افتراضيًا. ويمكن لأي جهة تراقب مسار الشبكة قراءة بيانات الاعتماد ورموز الجلسات والبيانات الحساسة. وتوجد بدائل مؤمّنة باستخدام TLS لجميع هذه البروتوكولات. وتُعد افتراضات الثقة في الشبكة الداخلية خطرة؛ إذ تتعامل مبادئ انعدام الثقة مع كل حركة مرور على أنها قابلة للمراقبة.