قم بتعطيل WPAD الآن أو اجعل حساباتك وبياناتك الخاصة عرضة للاختراق

بروتوكول اكتشاف تلقائي لبروكسي الويب (WPAD) ، يتم تمكينه افتراضيًا على نظام Windows وبدعم من أنظمة تشغيل أخرى ، يمكن أن يعرض حسابات مستخدمي الكمبيوتر على الإنترنت وعمليات البحث على شبكة الإنترنت وغيرها من البيانات الخاصة ، يحذر الباحثون الأمنيون.

يمكن للمهاجمين في منتصف العمر إساءة استخدام بروتوكول WPAD لاختطاف حسابات الأشخاص عبر الإنترنت وسرقة معلوماتهم الحساسة حتى عند دخولهم إلى مواقع الويب يقول أليكس تشابمان وبول ستون ، الباحثان في مجال أمن المعلومات المستندة إلى المملكة المتحدة ، خلال مؤتمر الأمن في مؤتمر نزع السلاح CONCE هذا الأسبوع.

WPAD هو بروتوكول تم تطويره في عام 1 بواسطة p يوبلي من Microsoft وشركات التكنولوجيا الأخرى ، التي تسمح لأجهزة الكمبيوتر بالكشف تلقائيًا عن وكيل الويب الذي يجب عليه استخدامه. يتم تعريف البروكسي في ملف JavaScript يسمى ملف التهيئة التلقائية للوكيل (PAC).

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows]

يمكن اكتشاف موقع ملفات PAC من خلال WPAD في العديد من الطرق: من خلال خيار بروتوكول التكوين الديناميكي للمضيف (DHCP) الخاص ، من خلال عمليات البحث في نظام اسم المجال المحلي (DNS) ، أو من خلال تحليل أسماء الارتباط المتعدد المحلي (LLMNR).

يمكن للمهاجمين إساءة استخدام هذه الخيارات لتزويد أجهزة الكمبيوتر المحلية شبكة مع ملف PAC يحدد بروكسي ويب خادع تحت سيطرتها. يمكن القيام بذلك على شبكة لاسلكية مفتوحة أو إذا قام المهاجمون بتهديد جهاز توجيه أو نقطة وصول.

يعد امتلاك الشبكة الأصلية للكمبيوتر أمرًا اختياريًا لأن أجهزة الكمبيوتر ستظل تحاول استخدام WPAD لاكتشاف البروكسي عندما يتم إخراجها وتوصيلها إلى الشبكات الأخرى ، مثل النقاط الفعالة العامة اللاسلكية. وعلى الرغم من أن WPAD يتم استخدامه في معظم بيئات الشركات ، إلا أنه يتم تمكينه افتراضيًا على جميع أجهزة الكمبيوتر التي تعمل بنظام Windows ، حتى تلك التي تعمل بإصدارات منزلية.

Lucian Constantin

في نظام التشغيل Windows ، يتم استخدام WPAD عندما يكون خيار "اكتشاف الإعدادات تلقائيًا" فحص في لوحة التكوين هذه.

بروكسي الويب المارق سيسمح للمهاجمين باعتراض وتعديل حركة مرور HTTP غير المشفرة ، والتي لن تكون عادة صفقة كبيرة لأن معظم المواقع الرئيسية اليوم تستخدم HTTPS (HTTP Secure).

ومع ذلك ، نظرًا لأن ملفات PAC تسمح بتحديد بروكسيات مختلفة لعناوين URL معينة ويمكنها أيضًا فرض البحث عن عناوين URL لعناوين URL هذه ، أنشأ تشابمان آند ستون برنامجًا نصيًا يسرب جميع عناوين URL لبروتوكول HTTPS عبر عمليات بحث نظام أسماء النطاقات إلى خادم خادع يتحكم فيه.

عناوين URL الكاملة لبروتوكول HTTPS من المفترض أن تكون مخفية لأنها يمكن أن تحتوي على رموز المصادقة وغيرها من البيانات الحساسة كمعلمات. على سبيل المثال ، يمكن تسريب عنوان URL //example.com/login؟authtoken=ABC1234 من خلال طلب DNS لـ https.example.com.login.authtoken.ABC1234.leak وإعادة بنائه على خادم المهاجم.

أظهر الباحثون أنه باستخدام طريقة تسرب HTTPS URL القائمة على PAC ، يمكن للمهاجمين سرقة مصطلحات بحث Google أو الاطلاع على المقالات التي شاهدها المستخدم على Wikipedia. هذا سيئ بما فيه الكفاية من منظور الخصوصية ، لكن المخاطر التي تطرحها ملفات WPAD وملف PAC لا تنتهي عند هذا الحد.

ابتكر الباحثون أيضًا هجومًا آخر يستخدمون فيه البروكسي المارق لإعادة توجيه المستخدم إلى صفحة بوابة مزيفة مقيدة ، مثل تلك المستخدمة من قبل العديد من الشبكات اللاسلكية لجمع معلومات حول المستخدمين قبل السماح لهم على الإنترنت.

تجبر هذه البوابة المقيدة المزيفة المتصفحات على تحميل مواقع ويب شائعة مثل Facebook أو Google في الخلفية ثم تقوم بإجراء إعادة توجيه 302 HTTP إلى عناوين URL التي يمكنها يمكن الوصول إليها فقط بعد مصادقة المستخدم. إذا تمت مصادقة المستخدم بالفعل - ومعظم الأشخاص لديهم جلسات مصادقة في المتصفحات الخاصة بهم - سيتمكن المهاجمون من جمع المعلومات من حساباتهم.

يمكن لهذا الهجوم كشف أسماء حسابات الضحايا على مواقع ويب مختلفة ، بما في ذلك الصور الخاصة من حساباتهم التي يمكن الوصول إليها عن طريق الروابط المباشرة. على سبيل المثال ، يتم استضافة صور الأشخاص الخاصة على Facebook فعليًا على شبكة تسليم المحتوى الخاصة بالموقع ويمكن الوصول إليها مباشرةً من قبل المستخدمين الآخرين إذا كانوا يعرفون عنوان URL الكامل لموقعهم على شبكة CDN.

علاوة على ذلك ، يمكن للمهاجمين سرقة الرموز المميزة للمصادقة لبروتوكول OAuth الشهير ، والذي يسمح للمستخدمين بتسجيل الدخول إلى مواقع أطراف ثالثة باستخدام حساباتهم على Facebook أو Google أو Twitter. باستخدام proxy المارقة ، وعمليات إعادة التوجيه 302 ، ووظيفة العرض المسبق لصفحة المستعرض ، يمكنهم اختطاف حسابات الوسائط الاجتماعية وفي بعض الحالات الوصول الكامل إليها.

في العرض ، أظهر الباحثون كيف يمكنهم سرقة الصور ، سجل المواقع ، وملخصات البريد الإلكتروني ، والتذكيرات ، وتفاصيل الاتصال بحساب Google ، بالإضافة إلى جميع المستندات التي يستضيفها هذا المستخدم في Google Drive.

تجدر الإشارة إلى أن هذه الهجمات لا تؤدي إلى كسر التشفير HTTPS بأي طريقة ، بل العمل حوله والاستفادة من كيفية عمل الويب والمتصفحات. وهي تُظهر أنه إذا تم تشغيل WPAD ، فإن HTTPS أقل فعالية في حماية المعلومات الحساسة مما كان يُعتقد سابقًا.

ولكن ماذا عن الأشخاص الذين يستخدمون شبكات خاصة افتراضية (VPN) لتشفير حركة مرور الإنترنت بالكامل عند اتصالهم بعموم أو شبكة غير موثوق بها؟ يبدو أن WPAD يكسر هذه الروابط أيضًا.

أظهر الباحثان أن بعض عملاء VPN على نطاق واسع ، مثل OpenVPN ، لا يقومون بمسح إعدادات بروكسي الإنترنت التي تم ضبطها عبر WPAD. وهذا يعني أنه إذا تمكن المهاجمون بالفعل من تسميم إعدادات الخادم الوكيل للكمبيوتر من خلال PAC ضار قبل أن يتصل هذا الكمبيوتر بشبكة ظاهرية خاصة ، فسيظل توجيه حركة المرور من خلال الوكيل الخبيث بعد المرور عبر VPN. يتيح ذلك جميع الهجمات المذكورة أعلاه.

معظم أنظمة التشغيل والمتصفحات لديها تطبيقات WPAD ضعيفة عندما اكتشف الباحثون هذه المشكلات في وقت سابق من هذا العام ، ولكن Windows فقط كان WPAD مفعلًا بشكل افتراضي.

منذ ذلك الحين ، تم إصدار تصحيحات لنظام التشغيل OS X و iOS و Apple TV و Android و Google Chrome. وما زالت مايكروسوفت وموزيلا تعملان على البقع حتى يوم الأحد.

أوصى الباحثون مستخدمي الكمبيوتر بتعطيل البروتوكول. "لا جدية ، أوقف WPAD!" وقال أحد شرائح العرض التقديمي. "إذا كنت لا تزال بحاجة إلى استخدام ملفات PAC ، فأوقف تشغيل WPAD وقم بتكوين عنوان URL صريح لنصوص PAC الخاصة بك ؛ وقم بتقديمه عبر HTTPS أو من ملف محلي."

لم يكن تشابمان وستون هم الباحثين الوحيدين الذين يسلطون الضوء على المخاطر الأمنية مع WPAD. قبل بضعة أيام من العرض التقديمي ، قام باحثان آخران باسم ايتسيك كوتلر وأميت كلاين بشكل مستقل بعرض نفس عنوان HTTPS للتسرب عبر PACs الخبيثة في عرض تقديمي في مؤتمر أمان Black Hat. أجرى باحث ثالث ، مكسيم غونتشاروف ، حديثاً مستقلاً عن "بلاك هات" حول المخاطر الأمنية لـ WPAD ، بعنوان BadWPAD.

في مايو ، أظهر باحثون من Verisign وجامعة Michigan أن عشرات الملايين من طلبات WPAD تتسرب على الإنترنت كل واحد يوم يتم فيه اقتياد أجهزة الكمبيوتر المحمولة خارج شبكات المؤسسات. تبحث أجهزة الكمبيوتر هذه عن نطاقات WPAD داخلية تنتهي بملحقات مثل .global و .ads و .group و .network و .dev و .office و .prod و .hsbc و .win و .world و .wan و .sap و .site.

تكمن المشكلة في أن بعض امتدادات النطاقات هذه أصبحت TLDs عامة عامة ويمكن تسجيلها على الإنترنت. يمكن أن يسمح ذلك للمهاجمين باختراق طلبات WPAD ودفع ملفات PAC المارقة إلى أجهزة الكمبيوتر حتى وإن لم يكونوا على نفس الشبكة معهم.