كوميديا الأخطاء التي سمحت للقراصنة المدعومين من الصين بسرقة مفتاح توقيع مايكروسوفت
في مارس 2021، كشفت شركة مايكروسوفت عن هجوم إلكتروني ضخم اخترق برنامج البريد الإلكتروني الخاص بها Exchange Server وأثر على عشرات الآلاف من المؤسسات في جميع أنحاء العالم. وقد استغل الهجوم، الذي نُسب إلى مجموعة قرصنة صينية ترعاها دولة صينية تُعرف باسم Hafnium، أربع ثغرات لم تكن معروفة من قبل في Exchange Server للوصول إلى حسابات البريد الإلكتروني وسرقة البيانات وتثبيت برمجيات خبيثة.
لكن الهجوم كان له أيضًا نتيجة أخرى أكثر إثارة للقلق: فقد تمكن القراصنة من سرقة مفتاح توقيع مايكروسوفت، والذي يُستخدم للتحقق من صحة وسلامة تحديثات البرامج. وهذا يعني أن القراصنة تمكنوا من استخدام المفتاح المسروق لتوقيع شيفرة برمجية خبيثة وتوزيعها على أنها تحديثات شرعية للمستخدمين المطمئنين.
كيف حدث ذلك؟ كيف يمكن لشركة متطورة مثل مايكروسوفت أن تفقد السيطرة على مثل هذا الأصل المهم؟ وماذا يعني هذا بالنسبة لأمن سلاسل توريد البرمجيات؟
تكمن الإجابة في كوميديا الأخطاء التي تنطوي على خطأ بشري وفشل تقني وفشل تنظيمي. هذه بعض العوامل الرئيسية التي ساهمت في هذا الخرق غير المسبوق:
– استخدمت مايكروسوفت شهادة موقعة ذاتيًا لتحديثات خادم Exchange Server، بدلاً من شهادة صادرة عن جهة خارجية موثوق بها. وقد سهّل ذلك على المخترقين انتحال شخصية مايكروسوفت وخداع المستخدمين لتثبيت تحديثات ضارة.
– خزنت مايكروسوفت مفتاح التوقيع الخاص بها على خادم متصل بالإنترنت، بدلاً من عزله في بيئة آمنة غير متصلة بالإنترنت. وقد عرّض ذلك المفتاح لاحتمال اختراقه من قبل أي شخص يمكنه الوصول إلى الخادم.
– فشلت Microsoft في تنفيذ ضوابط أمنية كافية على خادم التوقيع الخاص بها، مثل التشفير والمصادقة والتسجيل والمراقبة. وقد سمح ذلك للقراصنة بالوصول غير المكتشف إلى الخادم وتغيير تكوينه.
– لم تتبع مايكروسوفت مبدأ الحد الأدنى من الامتيازات، وهو ما يعني منح الحد الأدنى من الصلاحيات اللازمة لكل مستخدم أو عملية. وبدلاً من ذلك، منحت خادم التوقيع امتيازات إدارية كاملة، مما سمح للمخترقين بتنفيذ أوامر عشوائية وسرقة المفتاح.
– لم يكن لدى مايكروسوفت خطة قوية للاستجابة للحوادث كان من شأنها أن تساعدها على اكتشاف الهجوم واحتوائه والتخفيف من آثاره. لقد استغرقت مايكروسوفت عدة أسابيع لاكتشاف الاختراق وإخطار عملائها، مما أعطى القراصنة متسعًا من الوقت لاستغلال المفتاح المسروق.
وتوضح هذه الأخطاء كيف يمكن لحلقة ضعيفة واحدة أن تعرض سلسلة توريد البرمجيات بأكملها للخطر وتعرض ملايين المستخدمين للخطر. كما أنها تسلط الضوء على حاجة مطوري البرمجيات والبائعين إلى اعتماد أفضل الممارسات لحماية مفاتيحهم وعمليات التوقيع، مثل:
– استخدم شهادات من جهات معتمدة تطبق سياسات تحقق وإلغاء صارمة.
– تخزين مفاتيح التوقيع في وحدات أمان الأجهزة (HSMs) التي توفر الحماية المادية والمنطقية ضد الوصول غير المصرح به.
– تنفيذ ضوابط الأمان مثل التشفير والمصادقة والتسجيل والمراقبة على خوادم وشبكات التوقيع.
– اتبع مبدأ الامتيازات الأقل وطبق مبدأ الدفاع في العمق، وهو ما يعني استخدام طبقات متعددة من الأمن لحماية الأصول الهامة.
– أن يكون لديك خطة واضحة وشاملة للاستجابة للحوادث، بما في ذلك الاختبار والتحديثات المنتظمة.
كانت سرقة مفتاح التوقيع الخاص بشركة مايكروسوفت بمثابة جرس إنذار لصناعة البرمجيات وتذكير بأهمية حماية سلاسل توريد البرمجيات. ومن خلال التعلم من هذا الحادث وتطبيق أفضل الممارسات هذه، يمكن لمطوري البرمجيات والبائعين منع وقوع هجمات مماثلة في المستقبل وضمان موثوقية منتجاتهم.
