التقاط الإشارات وإعادة تشغيلها

يُعد هجوم إعادة الإرسال أبسط نقاط ضعف RF وأكثرها شيوعًا: إذ تُلتقط عملية إرسال مشروعة ثم يُعاد إرسالها لاحقًا لإعادة إنتاج تأثيرها. ولا يلزم فك التشفير إذا كان المستقبل يقبل الإشارة نفسها مرتين.

يعمل ذلك ضد أي جهاز يكون أمره إرسالًا ثابتًا:

• أجهزة فتح أبواب المرائب الرخيصة.
• وحدات التحكم عن بعد الأساسية لمفاتيح السيارات التي لا تستخدم رموزًا متغيرة.
• أجراس الأبواب اللاسلكية وحساسات الإنذار والمقابس التي تعمل عن بُعد.
• بعض وحدات التحكم الصناعية عن بُعد للرافعات والبوابات.

إذا ظلت الإشارة الملتقطة تعمل بعد دقائق أو أيام، فالنظام عرضة للخطر بحكم تصميمه.

قبل الالتقاط، حدّد النطاق الذي يرسل فيه الجهاز. تعمل معظم وحدات التحكم عن بعد الاستهلاكية ضمن نطاقات ISM: 315 MHz (أمريكا الشمالية)، و433.92 MHz (أوروبا وأجزاء كبيرة من العالم)، و868 MHz، و915 MHz.

اضبط RTL-SDR عبر هذه النطاقات، واضغط على وحدة التحكم عن بعد، وراقب waterfall بحثًا عن دفقة من الطاقة. وغالبًا ما يكشف FCC ID المطبوع على الجهاز تردده التشغيلي الدقيق من خلال الملفات التنظيمية المتاحة للعامة.

بعد معرفة التردد، سجّل عينات I/Q الخام أثناء إرسال الجهاز. التقط دفقة نظيفة ومعزولة لتسهيل تحليل الإشارة وإعادة إرسالها.

يكفي RTL-SDR مخصص للاستقبال فقط للالتقاط؛ أما الإرسال لاحقًا فيتطلب HackRF أو جهازًا مشابهًا. دوّن دائمًا التردد المركزي الدقيق ومعدل أخذ العينات المستخدمين، لأن إعادة الإرسال تتطلب مطابقة هذه المعلمات.

لإعادة الإرسال، أرسل ملف I/Q الملتقط على التردد نفسه وبمعدل أخذ العينات نفسه، باستخدام عتاد قادر على الإرسال مثل HackRF.

بما أن المستقبل يطابق شكل الموجة الخام، فإن إعادة الإرسال الدقيقة تعيد إنتاج الأمر الأصلي. أعد الإرسال دائمًا داخل حاوية محمية، ما لم تكن لديك موافقة صريحة وتصريح قانوني للإرسال.

تنجح إعادة الإرسال العمياء، لكن فك ترميز الإشارة يعلّمك المزيد ويمكّنك من تنفيذ هجمات أذكى. تتيح لك أدوات مثل Universal Radio Hacker (URH) إزالة تضمين الدفعة واستعادة دفق البتات والتعرّف على بنيتها.

• اعثر على التمهيد وكلمة المزامنة.
• حدّد معدل الرموز والترميز (غالبًا Manchester أو PWM).
• حدّد موضع حمولة الأمر الثابتة.

بعد فك الترميز، يمكنك إنشاء إرسالات جديدة، أو اختبار الحقول بقيم عشوائية، أو التحقق مما إذا كان أي جزء من الرسالة يتغير بين الضغطات.

تمنع وحدات التحكم الحديثة إعادة الإرسال الساذجة باستخدام الرموز المتغيرة (رموز القفز). إذ تستخدم كل ضغطة رمزًا جديدًا مشتقًا من سر مشترك وعداد متزايد.

• يحافظ جهاز الإرسال والمستقبل على تزامنهما عبر العداد.
• يصبح الرمز الملتقط غير صالح بمجرد أن يتجاوزه المستقبل.
• تُرفض إعادة إرسال رمز قديم ببساطة.

شاعت أنظمة مثل KeeLoq هذا الأسلوب. وترفع الرموز المتغيرة مستوى الصعوبة بدرجة كبيرة، لكن كما يوضح المشهد التالي، لا تزال عيوب التنفيذ تفتح المجال للهجمات.

يمكن أن تسقط الرموز المتغيرة أمام تقنية الالتقاط والتشويش المعروفة باسم RollJam:

• يقوم المهاجم بالتشويش على المستقبل، وفي الوقت نفسه يلتقط ضغطة الزر الأولى لوحدة تحكم الضحية على نطاق ضيق لا يغطيه جهاز التشويش.
• لا تعمل وحدة التحكم، فيضغط المستخدم مرة أخرى. يلتقط المهاجم الرمز الثاني ويعيد إرسال الرمز الأول.
• يمتلك المهاجم الآن رمزًا مستقبليًا واحدًا لم يُستخدم بعد وما يزال صالحًا.

بما أن المستقبل لم يرَ الرمز الأول، فإنه يظل صالحًا. ويستغل ذلك نافذة السماح في البروتوكول بدلًا من كسر التشفير.

تقبل بعض مستقبلات الرموز المتغيرة رموزًا تقع ضمن نافذة إعادة المزامنة للسماح بالضغطات العرضية على الزر عندما تكون وحدة التحكم خارج النطاق. وإذا كانت هذه النافذة كبيرة أو غير محددة جيدًا، فقد يتمكن المهاجم الذي يلتقط عدة رموز متتالية من التنبؤ بإعادة المزامنة أو فرضها.

كما عانت تطبيقات KeeLoq الأقدم من استعادة مفتاح الشركة المصنّعة: إذ أتاح استخراج المفتاح الرئيسي من وحدة تحكم واحدة استنساخ خطوط منتجات كاملة. وهذه عيوب في التنفيذ، وليست إخفاقًا في فكرة الرموز المتغيرة نفسها.

يغمر التشويش ترددًا بالضوضاء، بحيث لا تتمكن المستقبلات المشروعة من سماع الإرسالات الصحيحة. وهو مكوّن أساسي في RollJam، كما يمثل تهديدًا مستقلًا لحجب الخدمة.

• يمكن التشويش على حساسات الإنذار اللاسلكية بحيث لا يصل حدث فتح الباب إلى اللوحة.
• يمكن إسكات أنظمة الدخول دون مفتاح ووحدات التحكم عن بعد.

التشويش غير قانوني في كل ولاية قضائية تقريبًا، حتى لأغراض الاختبار. ولا تعرضه إلا في مختبر محمي وبموافقة صريحة. وتكمن أهميته هنا في فهم كيفية جمع المهاجمين بين التشويش والالتقاط، وسبب ضرورة أن تكشف الأنظمة فقدان الإشارة.

يستخدم سير عمل عملي للالتقاط وإعادة الإرسال مجموعة أدوات مدمجة:

• RTL-SDR — المسح والالتقاط (للاستقبال فقط).
• HackRF One — الالتقاط والإرسال لاختبار إعادة الإرسال.
• URH — إزالة التضمين وفك الترميز وإنشاء الإشارات.
• rtl_433 — التعرّف السريع على الأجهزة المعروفة.
• Flipper Zero — الالتقاط الميداني وإعادة إرسال الإشارات البسيطة تحت نطاق GHz.

يحظى Flipper بشعبية في عرض هجمات إعادة الإرسال ضد وحدات التحكم ذات الرموز الثابتة، لكنه لا يعمل مع الرموز المتغيرة المطبقة بصورة صحيحة، وهذه هي النقطة التي تريد من العملاء فهمها بالضبط.

تشمل التوصيات الناتجة عن تقييم هجمات إعادة الإرسال ما يلي:

• استبدال الرموز الثابتة برموز متغيرة موثّقة أو بمصادقة التحدي والاستجابة.
• استخدام نوافذ إعادة مزامنة ضيقة ومحددة ومفاتيح تشفير فريدة لكل جهاز، وعدم استخدام مفتاح رئيسي مشترك مطلقًا.
• إضافة طوابع زمنية أو قيم nonce بحيث لا يكون كل أمر صالحًا إلا مرة واحدة ولمدة قصيرة.
• تنفيذ كشف التشويش: يجب أن تتعامل لوحات الإنذار مع الفقدان المفاجئ لإشارة الحساس باعتباره حدث عبث.
• تفضيل البروتوكولات ثنائية الاتجاه التي يؤكد فيها المستقبل كل أمر.

المبدأ الأساسي هو أن الأمر الذي يمكن تسجيله وإعادة إرساله بصورة مطابقة يُعد نظامًا مخترقًا. يجب أن يكون كل إجراء مصرّح به فريدًا تشفيريًا.

اختبروا مدى فهمكم لهجمات إعادة التشغيل ضد الرموز المتغيرة.

يمكنكم الآن التقاط إشارات الترددات الراديوية وتحليلها وإعادة إرسالها، وفهم وسائل الحماية منها:

• يعيد هجوم إعادة التشغيل إرسال أمر ثابت تم التقاطه، وينجح ضد أجهزة التحكم عن بُعد ذات الرموز الثابتة.
• سير العمل: اعثروا على التردد ضمن نطاقات ISM، والتقطوا إشارات I/Q باستخدام RTL-SDR، وأعيدوا إرسالها باستخدام HackRF، وفكّكوا ترميزها باستخدام URH.
• تمنع الرموز المتغيرة إعادة الإرسال الساذجة، لكن هجوم RollJam (الالتقاط والتشويش)، أو نوافذ إعادة المزامنة الضعيفة، أو مفاتيح المصادقة الرئيسية المشتركة، يعيد فتح المجال أمام الهجوم.
• يُعد التشويش غير قانوني خارج المختبرات المحمية والمصرح بها، ويشكّل أساسًا لهجمات حجب الخدمة وهجمات RollJam.
• تتطلب الحماية أوامر موثقة أحادية الاستخدام، وإعادة مزامنة محدودة، ومفاتيح خاصة بكل جهاز، واكتشاف التشويش.

وبذلك تكتمل دورة اختراق الترددات الراديوية واللاسلكية: من أساسيات SDR مرورًا بالبلوتوث والاتصالات غير التلامسية وإعادة إرسال الإشارات.