دراسة حالة: موجّه شبكي شُحن بالمفتاح الخاص نفسه للجميع

أنا جو. العمل على البرامج الثابتة أقل أجزاء عملي بريقًا، وهو الجزء الذي ينتج باستمرار النتائج الأوسع أثرًا، لأن قرارًا سيئًا واحدًا داخل صورة موجّه يُشحن إلى كل من اشترى ذلك الطراز. هذه خلاصة مركّبة من عمليات تدقيق أجريتها لموجّهات استهلاكية، مكتوبة بحيث يكون المنهج قابلًا لإعادة الاستخدام. أما التفاصيل التي تحدد جهازًا بعينه لم يُرقَّع بعد فمحذوفة عمدًا؛ فالنمط هو المقصود.

1. لماذا أواصل النظر في الموجّهات الاستهلاكية

   الموجّه المنزلي أو موجّه المكتب الصغير هو أكثر جهاز يملكه معظم الناس امتيازًا. فهو يرى كل استعلام DNS، وينهي كل اتصال، ولا يكاد يُرقَّع بعد السنة الأولى. وهو رخيص أيضًا، ما يعني أن برنامجه الثابت بُني وفق موعد نهائي ضاغط. وحين أدقّق واحدًا، لا أبحث عن فساد ذاكرة غريب — بل عن الاختصارات التي تُتخذ حين يجب أن يُشحن المنتج، لأن تلك هي العلل التي تنتهي في ملايين المنازل دفعة واحدة.

2. تفكيك صورة البرنامج الثابت

   سير العمل غير براق وهو نفسه دائمًا. نزّل البرنامج الثابت الرسمي من صفحة دعم المصنّع، وشغّل binwalk لتحديد الأقسام واستخراجها، وثبّت نظام ملفات الجذر SquashFS، ثم اقرأ فحسب. وقبل أي تحليل ذكي، أبحث في نظام الملفات عن الأشياء المملة: ملفات تحمل اسم key أو pem، وكتل base64 في نصوص الإقلاع، وسلاسل مضمّنة تبدو ككلمات مرور، وكل ملف تنفيذي ينصت على منفذ. معظم ما أبلغت عنه عبر السنين خرج من تلك الجولة الأولى، لا من مصحّح أخطاء.

3. مفتاح خاص واحد، في كل وحدة

   احتوى نظام الملفات على مفتاح RSA خاص بنص واضح. ليس عنصرًا نائبًا، ولا أثرًا من بيئة التطوير — بل المفتاح الذي يستخدمه الجهاز فعليًا، ومتطابق في كل وحدة تُشحن بذلك البرنامج الثابت. هذه الحقيقة وحدها تُسقط نموذج الثقة كله. فكل من ينزّل صورة البرنامج الثابت العامة يملك المفتاح، أي يستطيع انتحال شخصية الجهاز، وفك تشفير كل ما يحميه، وتوقيع أشياء سيقبلها الجهاز. ولا يوجد إجراء من المستخدم يصلح ذلك؛ إذ يجب توليد المفتاح على الجهاز عند أول إقلاع، وهذا تغيير في البرنامج الثابت لا يملكه إلا المصنّع.

4. إدارة بنص واضح وبروتوكول بلا مصادقة

   تراكمت نتيجتان أخريان فوق ذلك. فواجهة الإدارة كانت تُقدَّم دون تشفير للنقل على الشبكة المحلية، أي أن بيانات اعتماد المسؤول كانت تعبر السلك بصيغة يقرأها أي شخص على الشبكة اللاسلكية نفسها. وبشكل منفصل، كان بروتوكول تصحيح خاص بالمصنّع ينصت ويقبل الأوامر دون أي مصادقة إطلاقًا. كل واحدة منهما سيئة على حدة. وحين تُسلسَلان، فإنهما تعنيان أن مهاجمًا يصل إلى الشبكة المحلية — ضيف، أو حاسوب مخترق، أو جار على كلمة مرور لاسلكية ضعيفة — لا يحتاج إلى تخمين أي شيء ليمتلك البوابة.

5. الإفصاح: المصنّع أولًا، ثم الجهة الحكومية

   العملية لا تقل أهمية عن النتيجة. ذهب كل شيء أولًا إلى فريق PSIRT لدى المصنّع، مع الإصدار الدقيق للبرنامج الثابت، ومسارات الملفات، وخطوات إعادة الإنتاج، ومعالجة مقترحة لكل مشكلة. وحين يكون المنتج واسع الانتشار أو يتباطأ المصنّع في الرد، أصعّد إلى برنامج الإفصاح المنسّق عن الثغرات لدى وكالة CISA، وهي الطريقة التي انتهت بها نتيجة أخرى لي — جهاز تلفزيون يُشحن بجسر تصحيح أندرويد مكشوفًا على الشبكة — إلى النشر تحت المعرّف CVE-2026-58378 ضمن إرشاد CISA رقم VA-26-190-03. ولا تُنشر أي تفصيلة تقنية قبل وجود إصلاح.

6. ما الذي يستطيع المالكون فعله هذا الأسبوع

   لا يمكنك إعادة توليد مفتاح خبزه المصنّع في الجهاز، لكن يمكنك تقليص قيمته. ثبّت أحدث برنامج ثابت وتحقق من وجود جديد كل ثلاثة أشهر. أطفئ الإدارة عن بُعد وخاصية UPnP ما لم تكن تستخدمهما فعلًا. غيّر كلمة مرور المسؤول الافتراضية وكلمة مرور الشبكة اللاسلكية، وضع الضيوف وأجهزة إنترنت الأشياء على شبكة منفصلة كي لا يجلس قابس ذكي مخترق على الشبكة المحلية نفسها التي تضم واجهة الإدارة. وإن كان الطراز خارج الدعم وتوقف المصنّع عن إصدار الإصلاحات، فاستبدله — فالبوابة غير المرقّعة ليست جهازًا يمكنك تعويضه في مكان آخر.

7. ما الذي ينبغي أن يغيّره المصنّعون

   ولّد مفاتيح الجهاز عند أول إقلاع، لا في عملية البناء أبدًا. وشفّر حركة الإدارة حتى على الشبكة المحلية، لأن «الشبكة المحلية» كفّت منذ زمن طويل عن أن تعني «الموثوقة». واشحن واجهات التصحيح والتصنيع معطّلة في صور الإنتاج، لا مجرد غير موثّقة. وانشر جهة اتصال أمنية تردّ فعلًا — فأبطأ جزء في معظم عمليات الإفصاح التي أديرها ليس كتابة التقرير، بل العثور على إنسان لدى المصنّع مخوّل باستلامه.