اختطاف ASN: لماذا تتأخر بيانات تحديد موقع IP
اختطاف ASN، وبدقة أكبر اختطاف مسارات BGP، يحدث عندما تعلن شبكة عن بادئات IP غير مخوَّلة بإصدارها، أو تعلنها بطريقة تجعل الشبكات الأخرى ترسل الحركة نحوها. ولأن مجموعات بيانات تحديد موقع IP وASN مبنية على لقطات دورية، فإنها لا تُظهر الاختطاف عادةً أثناء حدوثه.
كيف يعمل اختطاف BGP
تُعرَّف كل شبكة على الإنترنت برقم النظام المستقل (ASN) وتستخدم بروتوكول البوابة الحدودية (BGP) لإبلاغ جيرانها بالبادئات التي تستطيع الوصول إليها. صُمّم BGP على أساس الثقة: فالجار الذي يتلقى إعلاناً لا يملك افتراضياً وسيلة مدمجة للتحقق من أن الشبكة المعلِنة تملك البادئة فعلاً. ثم تختار الموجِّهات أفضل مسار وفق قواعد مثل أقصر مسار AS، وفوق ذلك كله، أطول تطابق للبادئة.
وهذه القاعدة الأخيرة هي ما يستغله المهاجمون وأخطاء الإعداد. فإذا أعلنت شبكة مشروعة بادئة /22، وأعلن طرف آخر بادئة /24 أكثر تحديداً داخلها، فإن الموجِّهات التي تقبل /24 ستفضّلها لأن المسار الأكثر تحديداً هو الذي يفوز. فتتجه الحركة المخصصة لتلك العناوين الـ 256 إلى الشبكة الخطأ. ومن الصور الأخرى إصدار بادئة شخص آخر مباشرةً، وتزوير جزء من مسار AS، وتسريب مسارات كان ينبغي أن تبقى داخلية. وكثير من الحوادث الحقيقية عرضية، كأن يسرّب عميل جدولاً كاملاً إلى مزوده، لكن أثرها على الحركة واحد.
ماذا يحدث للحركة
يستطيع المهاجم الذي يستقطب الحركة أن يُسقطها (ثقب أسود)، أو يفحصها، أو يمرّرها إلى وجهتها الحقيقية فلا يلاحظ المستخدمون سوى تأخر طفيف. ويحدّ التشفير من الضرر للمحتوى المحمي بـ TLS، رغم أن الاختطاف استُخدم أيضاً للحصول على شهادات باعتراض حركة التحقق من النطاق، ولاعتراض DNS. وتتراوح المدة من دقائق إلى ساعات، ولهذا تحديداً تهم سرعة الكشف.
لماذا تتأخر بيانات تحديد الموقع وASN
تُجمَّع مجموعات بيانات تحديد الموقع وربط ASN بالبادئات من بيانات السجلات ولقطات التوجيه ومصادر أخرى، ثم تُنشر في إصدارات. وهي تجيب عن سؤال «من يحوز هذا النطاق عادةً» لا «من يعلنه في هذه الدقيقة». في ipto تُحدَّث بيانات IP وASN يومياً ومصادر التهديدات كل 6 ساعات، لذا فاختطاف يستمر ساعة سيكون في الغالب قد بدأ وانتهى بين تحديثين. وخلال الحادثة، سيظهر البحث عن عنوان متأثر على الأرجح المالك الشرعي، وهذه هي الإجابة الصحيحة عن السؤال الذي صُممت له مجموعة البيانات.
ويضيف أثران آخران إلى التأخر. فسجلات التسجيل تتغير ببطء، فلا تنتقل كتلة عناوين إلى منظمة أخرى بسبب حدث توجيه. وقاعدة بيانات تحديد الموقع التي تستنتج مدينة من بادئة لا تعيد الاستنتاج كلما تغير المسار. بل إن البيانات المستقرة مفيدة كخط أساس: فهي تخبرك من ينبغي أن يُصدر البادئة، وهذا ما تقارنه ببيانات التوجيه الحية.
كيف تتحقق من التوجيه المشبوه
- اعرف الأصل المتوقع. يعرض بحث ASN المالك المسجَّل والمنظمة والدولة وعدد النطاقات لرقم AS، ويتيح دليل نطاقات IP تصفح الشبكات التي تحوز كتلة /8 أو /16 معينة.
- تحقق من التسجيل. يعيد بحث whois لعناوين IP سجل الجهة المسجِّلة عبر RDAP، بما فيه جهة الاتصال للإبلاغ عن الإساءة التي ستخطرها.
- تحقق من أصل المسار. يتحقق بحث RPKI مباشرةً، عبر RIPEstat، مما إذا كان المسار المُعلَن حالياً لعنوان IP مشمولاً بتفويض أصل مسار (ROA) صالح. وتُعرض النتيجة: صالح أو غير صالح أو غير مشمول.
فسّر نتيجة RPKI بحذر. فنتيجة «غير صالح» تعني أن AS الأصل أو طول البادئة لا يطابق ما فوّضه المالك، وهذا يستحق التحقيق. أما «غير مشمول» فتعني فقط عدم وجود ROA، وهو شائع وليس دليلاً على اختطاف. كما أن RPKI لا يحمي من كل هجوم، مثل مسارات AS المزوّرة التي تُبقي الأصل صحيحاً. والمشغّلون الذين ينشرون ROA ويرشّحون بناءً عليها يقلّلون تعرّضهم، وخدمات المراقبة التي تنبّه إلى أصول غير متوقعة لبادئاتك تعطيك إشعاراً أسرع من أي تحديث لمجموعة بيانات.
ما معنى هذا للتطبيقات
إذا كان تطبيقك يستخدم بيانات ASN أو تحديد الموقع في قرارات مثل تقييم الاحتيال أو قواعد المناطق، فتعامل معها بوصفها سياقاً بطيء التغير لا دليلاً على المكان الذي ينتهي فيه الاتصال فعلياً. يعيد بحث IP في ipto الحقلين asn وorg، ويمكنك الاطلاع على صيغة الاستجابة في وثائق API. والتغير المفاجئ في الشبكة التي يتصل منها عميل معروف إشارة مفيدة، لكن الاختطاف تفسير واحد من عدة تفسيرات ممكنة، ومعظم هذه التغيرات عادية: مزود خدمة إنترنت جديد، أو انتقال بين شبكات الجوال، أو VPN.