كشف تقرير أمني جديد عن ثغرة المفاتيح الرقمية التي تؤثر على أنظمة التشغيل الحديثة وطرق المصادقة الرقمية. ووفقاً لتقرير نشره موقع آرس تيكنيكا (Ars Technica)، فقد استعرض الباحث آري أولشتاين من شركة بالو ألتو نتوركس (Palo Alto Networks) طريقة يمكن من خلالها للبرمجيات الخبيثة استخراج البيانات من تطبيق جوجل باسوورد مانجر (Google Password Manager) على نظام ويندوز (Windows). ويستهدف هذا الهجوم، الذي أُطلق عليه اسم “Pass-ta-key”، آليات التخزين المحلية بدلاً من شريحة الأمان المخصصة.
تفاصيل هجوم Pass-ta-key الجديد
يعمل هجوم “Pass-ta-key” من خلال استغلال الأجهزة المصابة بالفعل بالبرمجيات الخبيثة بشكل مباشر. وبناءً على ذلك، تستخدم البرمجية الخبيثة وصولها إلى حساب جوجل (Google) الخاص بالمستخدم للحصول على المفاتيح السرية المخزنة. وفي إحدى الحالات، يقوم نظام ويندوز المصاب بمحاكاة جهاز آيفون (iPhone) لتنشيط ميزة مزامنة البيانات. ونتيجة لذلك، يتمكن المهاجم من نقل جميع المفاتيح الرقمية إلى جهازه الخاص بسهولة.
وكان العديد من المستخدمين يعتقدون أن جميع المفاتيح الرقمية تظل مخزنة بشكل آمن داخل وحدة النظام الأساسي الموثوقة (TPM). ومع ذلك، فإن مواصفات “FIDO2” التي يديرها تحالف فيدو (FIDO Alliance) لا تفرض تخزين المفاتيح في هذه الوحدات الصلبة. وبدلاً من ذلك، تختار معظم المنصات تخزين المفاتيح محلياً لتسهيل عملية المزامنة بين أجهزة المستخدم المتعددة.
تحليل ثغرة المفاتيح الرقمية
أدى هذا التصميم البرمجي إلى ظهور ثغرة المفاتيح الرقمية في بعض أنظمة التشغيل التي تفتقر إلى العزل التام. وبينما تقوم أنظمة مثل ماك أو إس (macOS) وآي أو إس (iOS) وأندرويد (Android) بعزل بيانات التطبيقات بشكل صارم، فإن تطبيقات ويندوز تعمل بصلاحيات مستخدم واسعة. وبالتالي، يمكن للبرمجيات الخبيثة على ويندوز الوصول إلى بيانات التطبيقات الأخرى دون قيود كبيرة. وتوضح هذه الحالة كيف يمكن أن تؤدي طرق التخزين المحلية إلى إبراز ثغرة المفاتيح الرقمية عند تعرض الجهاز للاختراق.
كيف يتعامل نظام ويندوز مع المصادقة
ولمواجهة هذه المخاطر الأمنية، اتجه مطورو التطبيقات الخارجية إلى اعتماد تصميمات بديلة لنظام التشغيل ويندوز. على سبيل المثال، تقوم تطبيقات مثل 1 باسوورد (1Password) وداشلاين (Dashlane) بتخزين المفاتيح في ملفات مشفرة بالكامل داخل السحابة. وعندما يرغب المستخدم في تسجيل الدخول، يسترد الجهاز المحلي مفتاحاً من وحدة “TPM” للتحقق من الهوية عبر الخادم السحابي. وتضمن هذه الطريقة بقاء المفتاح الخاص آمناً على الخادم بدلاً من تخزينه محلياً على أجهزة الكمبيوتر والمحمول.
التخزين السحابي ومستقبل الأمان الرقمي
ويؤكد خبراء الأمن السيبراني أنه لا توجد تقنية مصادقة يمكنها الصمود أمام اختراق كامل للجهاز المحلي. فإذا تمكنت البرمجيات الخبيثة من السيطرة على النظام، فإن المهاجمين سيتمكنون غالباً من الوصول إلى الحسابات النشطة. ولذلك، فإن الهدف الأساسي من المفاتيح الرقمية هو منع هجمات التصيد الاحتيالي واختراق الخوادم، وليس الحماية من الهجمات المادية على الأجهزة. ويجب على المستخدمين اتباع ممارسات أمنية قوية لحماية أجهزتهم من البرمجيات الضارة عبر التطبيقات والبرمجيات الموثوقة.
وفي النهاية، يوضح هذا البحث الأمني كيفية تعامل أنظمة التشغيل المختلفة مع تخزين بيانات الاعتماد الرقمية. ورغم أن الهجوم لا يمثل عيباً جوهرياً في معيار “FIDO2″، إلا أنه يبرز أهمية الإعدادات الأمنية الخاصة بكل منصة. ومع تطور تقنيات التحول الرقمي، سيستمر المطورون في تحسين طرق عزل البيانات الحساسة لحماية المستخدمين.
