اختراق بوابة دعم DigiCert: سرقة 27 شهادة توقيع رمز
أثار اختراق إحدى أكثر جهات إصدار الشهادات موثوقية على الإنترنت تساؤلات جدية حول أمن سلسلة توريد البرمجيات. أكدت DigiCert، أحد كبار مزودي الشهادات الرقمية المستخدمة للتحقق من صحة البرامج والمواقع الإلكترونية، أن المهاجمين استخدموا الهندسة الاجتماعية لاختراق اثنين من موظفي الدعم الفني لديها، مما أتاح لهم الوصول إلى الأنظمة الخلفية وسرقة 27 شهادة توقيع رمز. وقد استُخدمت تلك الشهادات لاحقاً لتوقيع برمجيات خبيثة قبل أن تقوم DigiCert بإلغائها.
يُذكّرنا هذا الحادث بأن المنظمات المسؤولة عن صون الثقة الرقمية ليست بمنأى عن الهجمات التي تستهدف العنصر البشري.
ما هي شهادات توقيع الرمز ولماذا تكتسب هذا الأهمية؟
عند تنزيل برنامج ما، يتحقق نظام التشغيل في الغالب من وجود توقيع رقمي صالح عليه. يُفترض أن هذا التوقيع، الصادر عن جهة إصدار شهادات موثوقة كـ DigiCert، يؤكد أن البرنامج صادر من مصدر شرعي ولم يتعرض لأي تلاعب. وهو جزء محوري من الآلية التي تعتمدها أنظمة التشغيل الحديثة، من Windows إلى macOS، لمساعدة المستخدمين على التمييز بين البرامج الموثوقة والمحتالين الخبيثين.
حين يحصل المهاجمون على شهادات توقيع رمز شرعية، يستطيعون تغليف البرمجيات الخبيثة في رداء من المصداقية. فقد تتعامل أدوات الأمان، وتحذيرات نظام التشغيل، بل وبعض أنظمة الحماية على مستوى المؤسسات، مع البرامج الموقّعة على أنها موثوقة بشكل افتراضي. ويصبح المستخدم الذي يُنزّل تطبيقاً يبدو موقّعاً ومعتمداً في وضع يفتقر فيه إلى الإشارات البصرية التي تنبّهه إلى وجود خطأ ما.
في هذه الحالة، استُخدمت 27 شهادة مسروقة بشكل فعلي لتوقيع برمجيات خبيثة قبل أن تكتشف DigiCert الاختراق وتُلغي تلك الشهادات. يُعدّ الإلغاء الاستجابةَ الصحيحة، غير أنه لا يوفر حماية فورية. إذ لا يُطبَّق التحقق من الإلغاء دائماً في الوقت الفعلي، وقد لا تدرك بعض الأنظمة أو التكوينات فوراً أن شهادة كانت صالحة في السابق لم تعد جديرة بالثقة.
كيف وقع الهجوم: الهندسة الاجتماعية على مكتب المساعدة
تستحق الطريقة المستخدمة للحصول على هذا الوصول اهتماماً بالغاً. لم يستغل المهاجمون ثغرة برمجية غير مُرقَّعة، ولم يشنّوا هجوم قوة غاشمة على جدار حماية. بل استهدفوا البشر. إذ تمكّنوا من التلاعب باثنين من موظفي الدعم الفني لدفعهم إلى منح الوصول إلى الأنظمة الخلفية، وهي تقنية تُعرف على نطاق واسع بالهندسة الاجتماعية.
يُستهدف موظفو مكتب المساعدة والدعم بهذه الطريقة كثيراً، لأن طبيعة عملهم تستلزم منهم أن يكونوا متعاونين ومتجاوبين. وكثيراً ما ينتحل المهاجمون صفة زملاء أو موردين، أو يتذرعون بطلبات داخلية عاجلة، لإرغام موظفي الدعم على تجاوز إجراءات التحقق المعتادة.
يتبع هذا الهجوم نمطاً راسخاً شهدناه في اختراقات طالت مؤسسات كبرى عبر مختلف القطاعات. والعبرة ليست أن DigiCert كانت مهملة بشكل استثنائي، بل إن الهندسة الاجتماعية لا تزال من أكثر ناقلات الهجوم فعالية، بصرف النظر عن مدى تطور الدفاعات التقنية للهدف.
ما الذي يعنيه هذا بالنسبة لك
إن كنت تُنزّل برامج أمنية، أو عملاء VPN، أو أي تطبيق من الإنترنت، فإن لهذا الحادث صلة مباشرة بممارساتك الأمنية الشخصية.
أولاً، أصبح تنزيل البرامج من المصادر الرسمية والأساسية فحسب أكثر أهمية من أي وقت مضى. فتوقيع الشهادة إشارة مفيدة، لكنها ليست معصومة من الخطأ كما يُثبت هذا الاختراق. تجنّب تنزيل البرامج من متاجر التطبيقات التابعة لجهات خارجية، أو المواقع المرآة، أو الروابط المشتركة عبر وسائل التواصل الاجتماعي أو البريد الإلكتروني، ما لم تتحقق من المصدر بصورة مستقلة.
ثانياً، يضمن لك الحفاظ على تحديث نظام التشغيل وبرامج الأمان لديك الاعتراف بالشهادات الملغاة باعتبارها غير صالحة على جهازك. تُوزَّع قوائم إلغاء الشهادات وتحديثات OCSP (بروتوكول حالة الشهادة عبر الإنترنت) من خلال تحديثات النظام والمتصفح. وقد يستمر نظام قديم في الوثوق بشهادة سبق إلغاؤها.
ثالثاً، بالنسبة لمستخدمي برامج VPN أو برامج الأمان تحديداً، يستحق الأمر مراجعة دورية لمصادر تثبيتاتك، وما إذا كان المورد قد أصدر أي إشعارات أمنية. إذ تفصح الجهات الموثوقة عادةً عن المشكلات التي تطال خط توزيع برامجها.
أما على صعيد المؤسسات، فيعزز هذا الحادث الحجج الداعية إلى فرض المصادقة متعددة العوامل على جميع موظفي الدعم والإدارة، وتطبيق إجراءات تحقق صارمة قبل منح أي وصول، ومراجعة الموظفين القادرين على الوصول إلى أنظمة إدارة الشهادات الحساسة.
إجراءات عملية قابلة للتطبيق
- نزّل البرامج من المواقع الرسمية للموردين فحسب. تجنّب مجمّعات التنزيل التابعة لجهات خارجية، حتى فيما يتعلق بالتطبيقات المعروفة.
- حافظ على تحديث نظام التشغيل والمتصفحات. تُوصَّل بيانات الإلغاء عبر التحديثات. وقد لا يتعرّف نظام قديم على الشهادات المخترقة.
- تحقق من التنبيهات الأمنية الصادرة عن الموردين. إن كنت تستخدم برامج موقّعة من DigiCert، فتفقّد الصفحة الأمنية الرسمية للمورد للتأكد من عدم تأثر أي من برامجك المثبّتة.
- كن متشككاً في تحديثات البرامج غير المتوقعة. إن تلقّيت طلباً غير مُبادَر به لتحديث تطبيق ما، فتحقق من خلال التطبيق نفسه بدلاً من النقر على رابط خارجي.
- على المؤسسات مراجعة مخازن ثقة الشهادات. ينبغي لفرق الأمان مراجعة الشهادات الموثوق بها في بيئاتها والتأكد من تطبيق التحقق من الإلغاء.
تُعدّ استجابة DigiCert، بما تضمّنته من إلغاء الشهادات المتأثرة، استجابةً ملائمة ومتوقعة. لكن الدرس الأشمل هو أن البنية التحتية للثقة التي يقوم عليها توزيع البرامج تعتمد على العمليات البشرية بقدر ما تعتمد على العمليات التقنية. وإن فهمت من أين تنبثق هذه الثقة وأين يمكن أن تنهار، كنت في وضع أفضل لحماية نفسك.
