«جوجل» تقف في وجه الهجمات الإلكترونية.. تقنية جديدة لحماية الشبكات الداخلية

جوجل تختبر ميزة جديدة لمنع المواقع العامة الخبيثة من التحول عبر متصفح المستخدم لمهاجمة الأجهزة والخدمات على الشبكات الداخلية والخاصة.

وتخطط جوجل لمنع المواقع السيئة على الإنترنت من مهاجمة أجهزة الزوار (مثل الطابعات أو الموجهات) في منزلك أو على جهاز الكمبيوتر الخاص بك. يعتبر الناس عادة هذه الأجهزة آمنة لأنها ليست متصلة مباشرة بالإنترنت ومحمية بواسطة الموجه.

وصفت جوجل الفكرة في وثيقة دعم قائلة “لمنع المواقع الخبيثة من التحول عبر موقع الشبكة لوكيل المستخدم لمهاجمة الأجهزة والخدمات التي افترض بمنطقية أنها غير قابلة للوصول من الإنترنت العام، بسبب وجودها على شبكة الإنترانت المحلية للمستخدم أو جهاز المستخدم”.

قفل الطلبات غير الآمنة إلى الشبكات الداخلية

تقوم الميزة المقترحة “حماية الوصول للشبكة الخاصة”، والتي ستكون في وضع “تحذير فقط” في Chrome 123، بإجراء فحوصات قبل أن توجه موقع عام (المشار إليه بـ “الموقع أ”) متصفحًا لزيارة موقع آخر (المشار إليه بـ “الموقع ب”) ضمن شبكة المستخدم الخاصة.

تشمل الفحوصات التحقق مما إذا كان الطلب قادمًا من سياق آمن وإرسال طلب مبدئي لرؤية ما إذا كان الموقع ب (على سبيل المثال، خادم HTTP يعمل على عنوان الإرجاع الذاتي أو لوحة التوجيه الويب) يسمح بالوصول من موقع عام من خلال طلبات محددة تُسمى طلبات قبل المسبقة للمراجعة المتقدمة عبر نشر الخدمة (CORS).

على عكس الحماية الموجودة حاليًا للموارد الفرعية والعاملين، تركز هذه الميزة بشكل خاص على طلبات التنقل. الهدف الرئيسي منها هو حماية شبكات المستخدمين الخاصة من التهديدات المحتملة.

في مثال قدمته جوجل، يوضح المطورون إطارًا HTML على موقع عام يقوم بهجوم CSRF يغير تكوين DNS لموجه زائر على شبكته المحلية.

بموجب هذا الاقتراح الجديد، عندما يكتشف المتصفح أن موقعًا عامًا يحاول الاتصال بجهاز داخلي، سيقوم المتصفح أولاً بإرسال طلب مسبق للجهاز.

إذا لم يتلق الجهاز استجابة، سيتم حظر الاتصال. ومع ذلك، إذا استجاب الجهاز الداخلي، يمكنه إبلاغ المتصفح ما إذا كان يجب السماح بالطلب باستخدام رأس “Access-Control-Request-Private-Network”.

يسمح هذا بحظر الطلبات إلى الأجهزة على الشبكة الداخلية تلقائيًا ما لم يسمح الجهاز صراحة بالاتصال من المواقع العامة.

في حين أن الميزة ما زالت في مرحلة التحذير، حتى لو فشلت الفحوصات، فإن الميزة لن تحظر الطلبات. بدلاً من ذلك، سيُرى المطورون تحذيرًا في وحدة التحكم DevTools، مما يمنحهم الوقت للتكيف قبل بدء التنفيذ الأشد صرامة.

ومع ذلك، تحذر جوجل من أنه حتى لو تم حظر الطلب، فإن إعادة التحميل التلقائي من قبل المتصفح سيسمح بمرور الطلب، حيث سيتم اعتبارها اتصالًا داخليًا => داخليًا.

“لن تنطبق حماية الوصول للشبكة الخاصة في هذه الحالة لأن الميزة تم تصميمها لحماية شبكة المستخدمين الخاصة من الصفحات الويب الأكثر عمومية”، تحذر جوجل.

لمنع هذا، تقترح جوجل حظر إعادة تحميل الصفحة تلقائيًا إذا حظرت ميزة الوصول للشبكة الخاصة الطلب مسبقًا.

عندما يحدث ذلك، سيعرض متصفح الويب رسالة خطأ تفيد بأنه يمكنك السماح بالطلب بالمرور بتحديث الصفحة يدويًا، كما هو موضح أدناه.

فكرة الترقية الأمنية وراء ذلك

الدافع وراء هذا التطوير هو منع المواقع الخبيثة على الإنترنت من استغلال الثغرات في الأجهزة والخوادم في شبكات المستخدمين الداخلية، التي كان يفترض أنها آمنة من التهديدات المستندة إلى الإنترنت.

يشمل ذلك الحماية من الوصول غير المصرح به إلى موجهات المستخدمين وواجهات البرمجيات العاملة على الأجهزة المحلية – وهو اهتمام متزايد مع نشر تطبيقات أكثر تطلبًا للواجهات الويب مع افتراض وجود حمايات غير موجودة.

وفقًا لوثيقة دعم، بدأت جوجل استكشاف هذه الفكرة في عام 2021 لمنع المواقع الخارجية من إجراء طلبات ضارة إلى موارد داخل الشبكة الخاصة بالمستخدم (localhost أو عنوان IP خاص).

في حين أن الهدف الفوري هو التخفيف من المخاطر مثل تلك من هجمات “SOHO Pharming” وثغرات CSRF (Cross-Site Request Forgery)، إلا أن المواصفة لا تهدف إلى تأمين اتصالات HTTPS للخدمات المحلية – خطوة ضرورية لدمج الموارد العامة وغير العامة بشكل آمن ولكن خارج نطاق المواصفة الحالية.