اختراق خادم المراسلة لا يعني بالضرورة قراءة جميع الرسائل. فالنتيجة تعتمد على البيانات المخزّنة ومكان المفاتيح ومستوى وصول المهاجم. وحتى عندما يُشفّر نص الدردشة من طرف إلى طرف بصورة صحيحة، فقد تظل معلومات الحساب والأوقات وعضوية المجموعات ومسار التسليم معلومات حساسة.
لتقييم حادثة، اسأل أولًا عمّا أصبح في حوزة المهاجم: نسخة من قاعدة البيانات، أم مفاتيح البنية التحتية، أم خادم نشط، أم نظام نشر البرمجيات؟ هذه السيناريوهات ليست متساوية في آثارها.
سرقة قاعدة البيانات تختلف عن السيطرة على الخادم
المهاجم الذي يملك نسخة قديمة من قاعدة البيانات فقط يظل محدودًا بالبيانات المسجّلة فيها. أما التحكم في الخدمة الحية فقد يتيح تسجيل بيانات جديدة أو سرقة الجلسات أو تغيير الردود أو محاولة استبدال مفتاح جهة الاتصال. والوصول إلى سلسلة نشر البرمجيات يمثل خطرًا آخر: فقد يرى كود خبيث على نقطة النهاية النص قبل تشفيره أو بعد فك تشفيره.
لذلك فإن القول «قاعدة البيانات لا تحتوي على مفتاح نص الرسائل» مهم، لكنه ليس إجابة كاملة عن كل أنواع الاختراق.
مقارنة خمسة أنماط معمارية
هذه أنماط تعليمية، وليست ترتيبًا لخمسة منتجات. وقد تستخدم خدمة واحدة عدة أنماط لميزات مختلفة.
| النمط | البيانات المتاحة من قاعدة البيانات | الحد المهم |
|---|---|---|
| رسائل وكلمات مرور بنص واضح | يمكن قراءة المحتوى وبيانات الاعتماد مباشرة | غياب الحماية المناسبة لنوعي البيانات |
| كلمات مرور مجزّأة ورسائل بنص واضح | المحتوى مقروء؛ وقد يكون اختبار تخمينات كلمات المرور ممكنًا | جودة تخزين كلمة المرور لا تحمي نص الدردشة |
| محتوى مشفّر بمفتاح الخادم | نص مشفّر؛ وقراءته تعتمد على الوصول إلى المفتاح | الفصل الفعلي بين المفتاح والبيانات مهم |
| دردشة E2EE مع نسخة احتياطية يستطيع المزوّد الوصول إليها | قد تكون الدردشة الحية محمية، لكن نسخة السجل لها مسار إفشاء مستقل | يجب فحص سياسة النسخ الاحتياطي ومفتاحه |
| دردشة E2EE مع استرداد مشفّر ومفتاح مستقل | نص مشفّر وبيانات تشغيلية؛ وحماية المحتوى تعتمد على التصميم وحماية المفتاح | يظل الجهاز وعبارة الاسترداد والتحقق من هوية جهة الاتصال مهمًا |
تشفير قرص الخادم مفيد في مواجهة سرقة القرص الخام. لكن عندما تكون الخدمة النشطة أو مفتاح فك التشفير أيضًا في حوزة المهاجم، فلا ينبغي افتراض الحماية نفسها. هدف E2EE هو ألا تملك الخدمة الوسيطة المفتاح اللازم لقراءة المحتوى المحمي.
ماذا تكشف البيانات الوصفية؟
قد تُظهر البيانات الوصفية الحسابات التي تواصلت، وأوقات نشاطها، والمجموعات التي تنتمي إليها، وحجم البيانات المتبادلة. هذه المعلومات ليست نص الرسالة، لكنها ذات قيمة لفهم شبكة العلاقات أو أنماط النشاط.
توضح صفحة أمان Livara صراحةً تخزين البيانات التشغيلية ومعالجتها، ومنها التوجيه والعضوية والأوقات وحجم النص المشفّر وحالة التسليم. ولا ينبغي تفسير سرية المحتوى الخاص بأنها إخفاء كامل للهوية أو انعدام أي بيانات على الخادم.
SRP لا يعفي بيانات الحساب من خطر التخمين
SRP طريقة لإثبات معرفة كلمة المرور دون إرسالها مباشرة. ولا يزال الخادم يحتفظ ببيانات تحقق تسمى verifier. يوضح قسم الأمان في RFC 5054 أن سرقة verifier قد تتيح هجوم قاموس لتخمين كلمة المرور.
إذن، «كلمة المرور لا تُرسل عبر الشبكة» تختلف عن «لا توجد بيانات مرتبطة بكلمة المرور يمكن سرقتها». تظل كلمة المرور الفريدة والقوية وحماية الجهاز والاستجابة المناسبة للحادثة ضرورية. كما أن SRP لا يحل محل تشفير المحتوى أو حماية جلسة تسجيل الدخول.
ما الحدود المعلنة بشأن Livara؟
تصف وثيقة أمان Livara LVR1 للرسائل المباشرة وLGS1 للمجموعات المحمية. وتعتمد حماية المجموعة على حالتها الفعلية؛ فلا ينبغي منح مجموعة قديمة غير متوافقة وصف E2EE. وتقع القنوات العامة خارج حد السرية هذا.
وتقدّم الوثيقة نفسها استرداد v7 بوصفه حزمة هوية مشفّرة تُحمى قبل رفعها. هذه العملية تستعيد الهوية التشفيرية، لا سجل الدردشة. وانكشاف عبارة الاسترداد أو الجهاز الذي يحتفظ بالمفاتيح سيناريو مختلف عن سرقة قاعدة البيانات وحدها.
هذه أوصاف منشورة للمنتج، وليست نتيجة تدقيق مستقل أجراه هذا المقال. وذكر AES أو ML-KEM وحده لا يثبت صحة إدارة المفاتيح وتنفيذ التطبيق.
ما الأسئلة التي ينبغي طرحها عند الإعلان عن حادثة؟
- ما الفترة الزمنية والأنظمة المتأثرة؟ عبارة «معلومات المستخدمين» المبهمة لا تكفي.
- هل كان النص الواضح أو الملفات أو المفاتيح أو verifier أو جلسات الدخول متاحًا، أم النص المشفّر فقط؟
- هل كان المهاجم قادرًا على تغيير الخدمة أو البرمجيات التي تصل إلى المستخدمين؟
- ما الإجراءات اللازمة عبر المسار الرسمي: إنهاء الجلسات، أم تغيير كلمة المرور، أم التحديث، أم التحقق من هوية جهة الاتصال؟
- هل قد تؤدي توصية الاسترداد إلى فقدان السجل المحلي؟ اقرأ القيود قبل حذف التطبيق.
لا تستخدم رابطًا في رسالة مجهولة لإجراء «تحقق عاجل من الحساب». افتح الإعلان بنفسك من العنوان الرسمي. يفيد نموذج تهديدات Livara في فهم الحدود العامة؛ أما نطاق الحادثة الفعلية فيجب تحديده بأدلة تلك الحادثة نفسها.
