ايتنا - گواهی‌های جعلی، چالش جدید امنیتی در اینترنت

امیر حسین صیرفی*- کمی پیش‌تر هنگامی که وب سایت و پایگاه‌های اطلاعاتی شرکت امریکایی Comodo، به عنوان یکی از بزرگ‌ترین سازمان‌های امنیت اینترنت، برای نخستین بار مورد نفوذ و دسترسی غیر مجاز قرار گرفت، تصور نمی‌شد که اکنون حملات هدف دار و مخرب به قلب مراکز امنیتی اینترنت تا این حد ابعاد گسترده و جدی پیدا کند.

اندکی بعد شرکت‌های امنیتی GlobalSign و Instantssl و سپس در شدید‌ترین و مخرب‌ترین حالت ممکن شرکت هلندی Diginotar هدف نفوذ و سرقت اطلاعات بسیار محرمانه قرار گرفتند.

تمامی این شرکت‌ها صادر کننده گواهی‌های امنیتی دیجیتال برای پایگاه‌های مهم اینترنتی مانند مراکز تجاری، اداری و حتی سیاسی بوده‌اند و به طور فعال به ارائه خدمات امنیت انتقال اطلاعات بر روی اینترنت، فروش پروتکل‌های SSL، امن سازی سرورهای بزرگ، میزبانی امن دامنه‌های اینترنتی و... می‌پردازند.

حالا حتی سازمان‌هایی که اینترنت را امن می‌کنند و نهادهایی که خود ضامن حفاظت از ارتباط‌های آنلاین هستند، هدف حملات شدید افراد نا‌شناس قرار گرفته‌اند و جالب اینجاست که متأسفانه در بسیاری از این حملات، محرمانه‌ترین و ارزشمند‌ترین اطلاعات مربوط به امنیت عمومی اینترنت مورد سرقت و دسترسی غیر مجاز واقع شده است تا جایی که به نظر برخی کار‌شناسان، تجدید نظر و ایجاد تغییر و تحول در زیر ساخت‌های امنیتی اینترنت اجتناب ناپذیر شده است.
هرچند در ظاهر مسئولیت تمامی این حملات را یک هکر ۲۱ ساله ایرانی (!) بر عهده گرفته است و این مسئله به همراه اطلاعات منتشر شده توسط خود این هکر در اینترنت به این شائبه دامن زده که وی از حمایت‌های سازمان یافته دولتی برخوردار بوده است، بازهم هیچ تضمینی وجود ندارد که هویت دقیق فرد یا گروه حمله کننده شامل نام، ملیت، وابستگی سیاسی و یا حتی محل حمله مشخص شود زیرا هکر‌ها می‌توانند با استفاده از ابزار مختلف، تمام ردپاهای موجود در یک عملیات نفوذ را از بین ببرندو یک هویت مجازی و کاملا غیر واقعی برای خود ایجاد کنند، هویتی که به هیچ عنوان قابل استفاده و اتکا نیست.
بنابراین نقش فرد، گروه و یا حتی یک دولت خاص در این حملات به هیچ عنوان قابل تایید نبوده و تمامی اتهامات موجود جنبه قانونی و ارزش حقوقی نخواهد داشت.

جزئیات عملیات «لاله سیاه»
به هر ترتیب حالا عملیات «لاله سیاه» با موفقیت انجام شده و این نگرانی بزرگی برای تمام سازمان‌هایی ست که به نحوی با امنیت اینترنت سر و کار دارند. آینده امنیت در شبکه جهانی وب حالا با یک چالش جدی روبروست: «گواهی‌های امنیتی جعلی»

جدید‌ترین و شدید‌ترین حملات علیه مراکز امنیتی اینترنت، دو ماه پیش و متأسفانه «پس» از موفقیت آمیز بودن این حملات کشف شد.

طی این حملات که به عنوان «عملیات لاله سیاه» و از مدت‌ها قبل کلید خورده بود، یک سازمان معتبر صدور گواهینامه‌های امنیتی دیجیتال در اینترنت به نام Diginotar متعلق به کشور هلند مورد نفوذ و دسترسی قرار گرفت و هکر‌ها با استفاده از بالا‌ترین سطح دسترسی به پایگاه‌های اطلاعاتی و امنیتی این شرکت، موفق شدند تا دست کم برای ۵۰ دامنه مهم اینترنتی که برخی از آن‌ها شریان‌های حیاتی این شبکه جهانی را در دست دارند، گواهی‌های امنیتی جعلی صادر کنند و اطلاعات هزاران یا شاید میلیون‌ها نفر از کاربران این دامنه‌ها را در معرض خطر ربوده شدن قرار دهند.

بر این اساس شرکت‌های Google، AOL، Comodo، Microsoft، Mozilla، Skype، Yahoo و ۹ مرجع مهم صدور تأییدهای امنیتی در اینترنت، در میان مراکز بوده‌اند که برای آن‌ها گواهی جعلی صادر شده.

نظر به اینکه گواهی‌های امنیتی دیجیتال برای امن کردن ارتباط میان کاربران و مراکز مورد بازدید آنان بکار می‌رود، یک گواهی جعلی می‌تواند امکان هک کردن این ارتباط‌های محرمانه، سرقت رمزهای عبور و اطلاعات ارسال و دریافت شده را برای هکر‌ها و مجرمان اینترنتی فراهم کند.

به این دسته از حملات، حملات man-in-the-middle یا «مرد واسطه» گفته می‌شود که طی آن، فرد یا گروه نفوذگر با واسطه قرار گرفتن بین کاربر و پایگاه اطلاعاتی تمامی اطلاعات ارسال و دریافت شده را مورد استراق سمع و در بعضی مواقع مورد تغییر قرار می‌دهد.

از آنجا که این حملات تا حدی رنگ و بوی سیاسی به خود گرفته است، بسیاری از تحلیلگران برای این اتهامات دلایل سیاسی و امنیتی را مطرح می‌کنند.

اما بسیاری از کار‌شناسان فنی با اذعان به وجود حفره‌ها و نقص‌های بی‌شمار امنیتی در پایگاه‌های اطلاعاتی Diginotar و همچنین مورد نفوذ واقع شدن چند باره پایگاه این شرکت طی چند سال اخیر، هک این شرکت را کار بسیار پیچیده و دشواری ندانسته‌اند.

این دسته از کار‌شناسان بر این عقیده‌اند که گذشته از حملات اولیه هک، و در مرحله صدور گواهی نامه‌های امنیتی جعلی برای دامنه‌های مهم اینترنت «بی‌اخلاقی مفرط» موج می‌زند و به هیج عنوان توجیه فنی ندارد.

به بیان دیگر در روند صدور گواهی‌های جعلی دیجیتال و نیاز به ساز و کارهای لازم برای سوء استفاده از آن‌ها بیشتر بی‌اخلاقی حاکم است تا شهرت طلبی و انگیزه‌های مالی.

به هر حال اتفاق مبارکی نبود...
حمله‌های موفقیت آمیز به مراکز امنیتی در اینترنت که خود باید حافظ امنیت این شبکه جهانی باشند، سرآغاز اتفاقات بزرگی ست که نتیجه آن تاثیرات بزرگ بر زیر ساخت‌های امنیت اطلاعات و ارتباطات در اینترنت خواهد بود.

اکنون علاوه بر کاربران خانگی که با خطر نقض حریم خصوصی مواجه شده‌اند، شرکت‌های ارائه دهنده خدمات اینترنتی و به ویژه نهادهای امنیتی در اینترنت با نگرانی بزرگتری دست و پنجه نرم می‌کنند:
از این به بعد آن‌ها باید بیشتر از پیش به افزایش امنیت خودشان نیز فکر کنند.
--------------------------------------------------------------
* شرکت امنیتی Panda Security در ایران