أحدث الانتقال إلى بروتوكول IPv6 تحولاً جذرياً في كيفية استكشاف أنظمة تشغيل الأجهزة الطرفية لهيكل الشبكة المحلية. فبينما كانت شبكات IPv4 التقليدية تعتمد على طلبات البث العام عبر بروتوكول ARP وخوادم DHCP المركزية لإدارة العناوين، قدم بروتوكول IPv6 معياراً جديداً يُعرف باسم بروتوكول اكتشاف الجوار (Neighbor Discovery Protocol — NDP). يعمل هذا البروتوكول، المحدد في وثيقة RFC 4861، فوق بروتوكول ICMPv6 لإدارة مطابقة عناوين طبقة الربط، واكتشاف الموجهات، وتحديد بادئات الشبكة، والتكوين التلقائي للعنوان عديم الحالة (SLAAC).

ورغم أن بروتوكول NDP سهل انضمام الأجهزة للشبكات، إلا أنه انطوى على فرضية محفوفة بالمخاطر: افتراض الثقة التامة والمتبادلة بين كافة الأجهزة داخل نطاق البث العام للطبقة الثانية. ونتيجة لذلك، يمتلك أي جهاز متصل بالشبكة المحلية القدرة على بث رسائل إعلانات الموجه (Router Advertisement — RA) غير المرغوب فيها دون الخضوع لتدقيق مسبق.

عندما يقوم مهاجم ببث حزم RA مصممة بخبث، تعتمد الأجهزة المتصلة المهاجم تلقائياً كبوابة افتراضية لحركة المرور. وإذا كانت الأجهزة تفتقر إلى سياسات توجيه صارمة على مستوى النواة، فإن حركة بيانات IPv6 غير المشفرة تتدفق عبر جهاز المهاجم، مما يعرض البيانات الحساسة للتنصت والاعتراض.

التكوين التلقائي عديم الحالة ونموذج الثقة في بروتوكول اكتشاف الجوار IPv6

تتطلب إدارة العناوين في شبكات IPv4 تتبعاً مستمراً للحالة؛ حيث يحتفظ خادم DHCP بجدول الإيجارات ويفحص عناوين MAC الخاصة بالأجهزة. وقد ألغت آلية SLAAC في IPv6 هذه التبعية المركزية، مما أتاح للأجهزة توليد عناوينها الفريدة المكونة من 128 بت بصورة مستقلة.

عندما تتصل واجهة شبكة تدعم IPv6 برابط سلكي أو لاسلكي، تقوم بتوليد عنوان محلي للرابط (link-local) ضمن النطاق fe80::/10. ولتحديد مسارات الخروج للإنترنت، يرسل الجهاز رسالة التماس الموجه (ICMPv6 نوع 133) إلى عنوان البث المتعدد الخاص بكافة الموجهات ff02::2. وترد الموجهات الشرعية بإرسال رسالة إعلان الموجه (ICMPv6 نوع 134) إلى عنوان البث المتعدد لجميع العقد ff02::1.

صيغت وثيقة RFC 4861 بافتراض أن الطبقة المادية توفر حماية ذاتية، ولذلك خلت المواصفات القياسية من آليات التوثيق الرقمي الإلزامي أو التوقيعات المشفرة. وتبعاً لذلك، يمكن لأي جهاز متصل بشبكة Wi-Fi عامة أو شبكة مكتبية أن يعلن عن نفسه كموجه صاعد. وتعالج نواة نظام التشغيل حزم نوع 134 فور استلامها، وتعدل جداول التوجيه دون طلب تأكيد من المستخدم.

تشريح حزم إعلانات الموجه ICMPv6: الرايات والبادئات والمؤقتات

تتكون حزمة إعلان الموجه ICMPv6 من حقل النوع بحجم 8 بت وقيمته 134، وحقل الكود (0)، والمجموع الاختباري بحجم 16 بت، وحد القفزات الحالية (Cur Hop Limit) بحجم 8 بت. كما يحتوي الترويسة الأساسية على رايات محددة توجه سلوك الجهاز المستقبل:

  • راية التكوين المدار (M): تطلب من الجهاز الحصول على عنوان محدد الحالة عبر بروتوكول DHCPv6.
  • راية التكوين الآخر (O): توجه الجهاز لاستعلام خادم DHCPv6 للحصول على معلمات إضافية كعناوين خوادم الوقت NTP.
  • أفضلية الموجه الافتراضي (بتات Prf): محددة وفق RFC 4191 عبر حقل من بتين لتحديد مستوى الأولوية: منخفض (11)، متوسط (00)، أو مرتفع (01).
  • فترة بقاء الموجه (Router Lifetime): حقل بحجم 16 بت يحدد بالثواني (من 0 إلى 9000) مدة اعتماد الموجه كبوابة افتراضية، وتؤدي القيمة 0 لحذفه من جدول التوجيه.

وعقب الترويسة الثابتة المكونة من 16 بايت، تحمل الرسالة خيارات إضافية متنوعة:

رمز الخيار اسم الحقل التأثير التقني على حزمة شبكة الجهاز
نوع 3 خيار معلومات البادئة (PIO) يعلن عن بادئات الشبكة (مثل /64) وفترات صلاحيتها؛ ويتحكم بالتوليد التلقائي (راية A) والاتصال المباشر (راية L).
نوع 24 خيار معلومات المسار (RIO) يدرج مسارات شبكات IPv6 فرعية محددة بأولويات قياس مخصصة وفق RFC 4191.
نوع 25 خيار خادم DNS المتكرر (RDNSS) يحدد حتى ثلاثة عناوين لمحللات DNS استناداً لـ RFC 8106، وتُعالج قبل طلبات التطبيقات.
نوع 31 خيار قائمة البحث عن النطاقات (DNSSL) يحدد اللواحق المستخدمة للبحث التلقائي عن أسماء النطاقات المحلية.

يتيح التلاعب الدقيق بهذه المعلمات للمهاجمين التحكم الكامل بتوجيه البيانات وهيكل تحليل النطاقات لكافة الأجهزة المتصلة بالشبكة المحلية.

متجهات التهديد: كيف تستحوذ إعلانات الموجه الزائفة على جداول التوجيه

تنشأ إعلانات الموجه الزائفة إما نتيجة أخطاء تكوين داخلية (مثل تكوين جسور افتراضية خاطئة) أو من خلال هجمات متعمدة. وباستخدام أدوات مفتوحة المصدر مثل scapy أو radvd، يبث المهاجم حزم RA ذات أولوية عليا، منفذاً مسارين رئيسيين للهجوم.

فرض إعادة العنونة عبر SLAAC والاستيلاء على البوابة الافتراضية

يبث المهاجم حزمة RA تتضمن المعايير التالية:

  1. تعيين أولوية الموجه على الدرجة العالية (Prf = 01).
  2. تحديد فترة بقاء الموجه بـ 1800 ثانية.
  3. إضافة خيار PIO للبادئة /64 مع تفعيل الراية التلقائية (A) وراية الرابط المباشر (L).

تقوم نواة نظام التشغيل في الجهاز المستهدف فوراً بتسجيل عنوان الرابط المحلي للمهاجم (fe80::dead:beef:cafe) كبوابة افتراضية ذات أسبقية مطلقة. وفي الوقت نفسه، يولد الجهاز لنفسه عنوان IPv6 عالمي جديد ضمن نطاق البادئة الخبيثة.

ونظراً لأن الأنظمة الحديثة تفضل مسارات IPv6 وفق خوارزمية Happy Eyeballs (RFC 8305)، فإن جلسات HTTPS والاتصالات السحابية الخارجية تتحول مباشرة عبر بوابة المهاجم. ومع تفعيل إعادة توجيه الحزم في نواة جهاز المهاجم (sysctl -w net.ipv6.conf.all.forwarding=1)، يصبح قادراً على تسجيل بيانات ترويسات SNI وتتبع العناوين والبيانات غير المشفرة.

الحقن الخبيث لخوادم RDNSS: اعتراض استعلامات DNS قبل تشفير النقل

يتيح خيار RDNSS بموجب RFC 8106 تكوين خوادم DNS مباشرة في النظام عبر رسائل RA. ويستغل المهاجم ذلك بحقن عنوان خادم DNS خاضع لسيطرته.

وعندما يستعلم الجهاز عن أسماء النطاقات، يزوده الخادم المزيف بعناوين محرفة. وبما أن هذا التعديل يقع في مرحلة التكوين الأولي للواجهة في النواة، فإنه قد يتجاوز إعدادات DNS الثابتة لـ IPv4.

وفي حال لم يكن الجهاز مؤمناً بنفق طبقة ثالثة صارم، تتسرب طلبات DNS الأولية مكشوفة في الأثير اللاسلكي. وللاطلاع على تفاصيل الهجمات المحلية المشابهة، راجع دليل التصدي لهجمات تزوير ARP وتسميم الذاكرة المؤقتة.

تسميم ذاكرة التخزين المؤقت لبروتوكول NDP: استغلال إعلانات الجوار وفترة البقاء

لا يقتصر الهجوم على البوابة الافتراضية، بل يمتد للتلاعب برسائل إعلانات الجوار (Neighbor Advertisements — NA). يعتمد بروتوكول NDP على رسائل التماس الجار (نوع 135) وإعلانات الجار (نوع 136) لمطابقة عناوين IPv6 مع عناوين MAC المادية لشبكة الإيثرنت.

يرسل المهاجم حزم NA غير مطلوبة نحو الأجهزة المستهدفة مع تفعيل راية الاستبدال (O = 1). وتستجيب نواة النظام بتحديث جدول LLA لديها، مستبدلة عنوان MAC الحقيقي للبوابة بعنوان MAC الخاص بالمهاجم.

[البوابة الشرعية]                  [الجهاز المستهدف]               [جهاز المهاجم]
  2001:db8::1                          fe80::100                   2001:db8::666
       |                                    |                            |
       |                                    |<--- حزمة NA مزورة (O=1) ---|
       |                                    |    ربط 2001:db8::1 بـ      |
       |                                    |    عنوان MAC للمهاجم       |
       |                                    |                            |
       |<-- تحويل مسار بيانات IPv6 ---------|--------------------------->|
       |    (اعتراض البيانات وتسجيلها بواسطة وكيل المهاجم)               |

علاوة على ذلك، يؤدي إرسال حزم RA تحمل فترة بقاء تساوي 0 إلى قيام نواة الجهاز بحذف مسارات التوجيه الافتراضية فوراً، مما يتسبب بانقطاع مفاجئ في الاتصال وحدوث حرمان من الخدمة (DoS).

تسريب البيانات عند استخدام الأنفاق المقسمة وتطبيقات الحزمة المزدوجة

تتفاقم خطورة إعلانات RA الزائفة عند الاعتماد على تطبيقات VPN تفتقر للدعم الكامل لحزمة بروتوكول IPv6.

تكتفي العديد من التطبيقات التجارية بإنشاء مسارات مشفرة لحركة IPv4 فقط عبر واجهات وهمية (tun0 أو utun3)، مقسمة النطاقات:

# الإعداد الشائع لتوجيه حركة IPv4 فقط
ip route add 0.0.0.0/1 dev tun0
ip route add 128.0.0.0/1 dev tun0

يترك هذا الإعداد جدول توجيه IPv6 الخاص بالواجهة المادية (wlan0 أو eth0) مكشوفاً تماماً. وعند وصول حزمة RA زائفة، يضيف نظام التشغيل مسار IPv6 افتراضي يشير نحو المهاجم.

وعند اتصال المتصفح بمواقع تدعم البروتوكولين، تختار خوارزمية Happy Eyeballs مسار IPv6 تلقائياً. وبسبب غياب مسار IPv6 داخل النفق المشفر، تغادر البيانات عبر الواجهة الفيزيائية نحو بوابة المهاجم مباشرة. يعتقد المستخدم أن اتصاله محمي، بينما تتسرب بياناته الفعلية خارج نطاق التشفير. وتتشابه هذه الثغرة مع ما وثقناه في تحليل مخاطر حقن المسارات عبر خيار DHCP 121.

آليات الدفاع في الطبقة الثانية: قيود تقنية RA-Guard ومعيار SEND وأمان المنافذ

وضع مهندسو الشبكات تدابير على مستوى الطبقة الثانية للحد من رسائل RA الزائفة:

تقنية IPv6 RA-Guard (RFC 6105)

تقوم مبدلات الشبكة المؤسسية المزودة بـ RA-Guard بتصنيف المنافذ إلى منافذ موثوقة وغير موثوقة. وتتولى معالجات العتاد ASIC فحص حزم ICMPv6 نوع 134 وإسقاط أي إعلانات واردة من منافذ المستخدمين.

بروتوكول الاكتشاف الآمن للجوار (SEND, RFC 3971)

يعتمد معيار SEND على العناوين المولدة تشفيراً (CGA) والتوقيعات الرقمية للتحقق من هوية مرسلي رسائل NDP.

القيود الواقعية

نادراً ما تنجح هذه الحلول في حماية المستخدمين أثناء التنقل:

  • انعدامها في الشبكات العامة: تفتقر نقاط الاتصال في المقاهي والفنادق والموجهات المنزلية لتقنية RA-Guard.
  • صعوبة تطبيق معيار SEND: لم تدعم أنظمة التشغيل المكتبية والهواتف معيار RFC 3971 لتعقيد متطلبات البنية التحتية للشهادات الرقمية PKI.
  • تجاوز مرشحات المبدلات: يستطيع المهاجمون تغليف حزم RA داخل وسمين لشبكات VLAN (Q-in-Q) أو تجزئة حزم ICMPv6 لتفادي الفحص البسيط.

ولأن إجراءات الطبقة الثانية خارجة عن سيطرة المستخدم، يجب ترسيخ الدفاعات داخل نظام الجهاز الطرفي نفسه.

بنية الشبكات الافتراضية في الطبقة الثالثة: تغليف الحزمة المزدوجة وتثبيت المسارات

لتحقيق حماية تامة ضد إعلانات RA الزائفة، يتعين على شبكة VPN في الطبقة الثالثة فرض سيطرتها الكاملة على جدول التوجيه في نواة النظام عبر تغليف الحزمة المزدوجة وتثبيت القواعد في قاعدة بيانات التوجيه (RPDB).

+------------------------------------------------------------------------+
|                          تطبيقات مساحة المستخدم                        |
+------------------------------------------------------------------------+
                                    |
                                    v (مقابس الحزمة المزدوجة: AF_INET / AF_INET6)
+------------------------------------------------------------------------+
|                        قواعد RPDB في نواة النظام                       |
|   القاعدة 100: البيانات المتجهة نحو <IP-خادم-VPN> تفحص جدول main       |
|   القاعدة 200: كافة البيانات الأخرى تفحص جدول 51820 (نفق VPN)          |
|   القاعدة 32766: الحالات المتبقية تعود لجدول main (الواجهة المادية)    |
+------------------------------------------------------------------------+
                                    |
                                    v
+-----------------------------------+------------------------------------+
|   جدول 51820 (WireGuard / RiceGuard) | جدول Main (الواجهة المادية wlan0)|
|   المسار الافتراضي :: عبر الواجهة rg0 | المسار الافتراضي fe80::dead:beef |
|   المسار الافتراضي 0.0.0.0 عبر rg0    | (المسار الخبيث معزول هنا دون أثر)|
+-----------------------------------+------------------------------------+

ينشئ تطبيق VPN جدول توجيه معزول (مثل جدول 51820) يغطي البادئات الشاملة:

  • 0.0.0.0/0 عبر الواجهة الافتراضية rg0
  • ::/0 عبر الواجهة الافتراضية rg0

ثم يطبق قواعد النواة بأسبقية تنفيذ صارمة:

# تثبيت كافة حركة IPv6 في جدول التوجيه المشفر
ip -6 rule add pref 200 lookup 51820
ip -6 rule add pref 201 unreachable

وحتى لو أرسل المهاجم حزم RA بأعلى أولوية على الواجهة wlan0، فإن النواة تعالج جدول 51820 عند الأولوية 200 قبل الوصول لجدول main، مما يبقي المسار الخبيث مهملاً دون تفعيل.

فرض جدول توجيه RiceGuard: إسقاط حزم ICMPv6 الدخيلة على مستوى المقابس

تعتمد خدمة VPNRice على بروتوكول النقل المتطور RiceGuard المرتكز على بنية WireGuard لتوفير حماية متعددة المراحل ضد تهديدات الطبقة الثانية:

  1. تخصيص الحزمة المزدوجة الإلزامي: يخصص RiceGuard تلقائياً عنوان IPv4 داخلي (10.64.0.0/10) وعنوان IPv6 محلي فريد (fd00::/8) لكل جلسة، مانعاً خوارزمية Happy Eyeballs من اتخاذ مسارات مادية غير محمية.
  2. تصفية الحزم على مستوى النواة: في الأنظمة التي تدعم nftables أو pf، يدرج RiceGuard قواعد جدار ناري مؤقتة تسقط حزم ICMPv6 نوع 134 المستلمة على الواجهات المادية:
table inet vpnrice_defense {
    chain prerouting {
        type filter hook prerouting priority -100; policy accept;
        iifname != "rg0" icmpv6 type { nd-router-advert, nd-redirect } counter drop
    }
}
  1. إغلاق محلل DNS المحلي: يوجه RiceGuard طلبات النطاق نحو محلل استماع داخلي على العناوين 127.0.0.1:53 و [::1]:53، مع تجاهل أية معايير RDNSS واردة من شبكة Wi-Fi المحلية.

يمكن للمستخدمين فحص عناوينهم العامة والتحقق من سلامة مسارات الاتصال باستخدام أداة التحقق من عنوان IP.

قياس مرونة الشبكة: أولويات القياسات وزمن التحويل ونسبة فقدان الحزم

أجرينا اختبارات عملية داخل مختبر لاسلكي خاضع للرقابة تحت وطأة بث مكثف لحزم RA الزائفة. أرسلت عقدة هجومية حزم نوع 134 كل ثانيتين باستخدام أداة scapy، معلنة أولوية High وبيانات DNS محرفة.

شمل الاختبار ثلاثة سيناريوهات: اتصال مباشر دون حماية، تطبيق VPN تجاري لحزم IPv4 فقط، ونفق RiceGuard مزدوج الحزمة.

المؤشر المقاس الاتصال المباشر غير المحمي تطبيق VPN محدود بـ IPv4 نفق RiceGuard مزدوج الحزمة
زمن الاستيلاء على مسار IPv6 أقل من 120 مللي ثانية (فوري) أقل من 180 مللي ثانية (فوري) 0 مللي ثانية (حماية تامة)
نسبة اعتراض استعلامات DNS 100% تم اعتراضها 84.6% تم اعتراضها 0% (خلو تام من التسريب)
انقطاع اتصالات TCP وQUIC 42% (إعادة ضبط الاتصال) 68% (تذبذب المسارات) 0% (اتصال مستقر ومغلف)
زمن الاستجابة أثناء الهجوم تحول كامل لحركة المرور 480 مللي ثانية (توقف الذاكرة) 14 مللي ثانية (معالجة بالـ RPDB)

في حالة الشبكات الافتراضية المحدودة بـ IPv4، دخلت حزمة التوجيه في النظام في حالة تنازع بين بوابتين، مما أسفر عن ضياع الحزم وتعطل التطبيقات.

أما مع تقنية RiceGuard، فقد حافظت سياسة RPDB على أولوية جدول 51820. وتم استبعاد رسائل ICMPv6 الدخيلة عبر الجدار الناري، مما حافظ على سرعة التدفق واستمرارية الحماية.

الإرشادات العملية: تحصين الأجهزة الطرفية وتدقيق الجوار في شبكات IPv6

يمكن لمديري الأنظمة والمستخدمين المتقدمين تطبيق الخطوات التالية لتعزيز أمان أجهزتهم:

فحص الموجهات النشطة وجدول الجوار

في بيئات لينكس، يمكن مراجعة المسارات وجدول مطابقة العناوين لاكتشاف الأجهزة الدخيلة:

# استعراض مسارات IPv6 الافتراضية وأولوياتها
ip -6 route show default

# فحص عناوين الأجهزة المجاورة المسجلة في الذاكرة
ip -6 neighbor show

# مراقبة إعلانات ICMPv6 النشطة في الوقت الفعلي
sudo tcpdump -ni any "icmp6 and (ip6[40] == 134 or ip6[40] == 135)" -v

تعطيل قبول إعلانات الموجه على الواجهات المادية

في محطات العمل التي تفتقر لحماية تلقائية، يمكن إيقاف معالجة إعلانات الموجه على الواجهة اللاسلكية:

# تعطيل معالجة إعلانات الموجه على البطاقة wlan0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_defrtr=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_pinfo=0
sudo sysctl -w net.ipv6.conf.wlan0.accept_ra_rtr_pref=0

يؤدي تعيين accept_ra=0 إلى تجاهل النواة لكافة حزم نوع 134 على الواجهة wlan0. وعند تفعيل الاتصال عبر تطبيق VPNRice الرسمي، تُطبق إجراءات الحماية في نواة النظام تلقائياً بالتزامن مع تقنيات تشفير WireGuard.

إن تكامل سياسات التوجيه الصارمة في نواة النظام مع ترشيح الحزم يضمن حماية البيانات وسلامة الاتصال في كافة بيئات الشبكات المحلية غير الموثوقة.