أمان Linux BPF LSM: فرض التحكم الإلزامي في الوصول لخدمات VPN في النواة

يتطلب تأمين بوابات الشبكات الافتراضية الخاصة (VPN) عالية السعة ضد اختراق الخوادم المستضيفة والتحركات الجانبية الخبيثة وهجمات تصعيد الصلاحيات، طبقات دفاعية تعمل عند مستويات أعمق من آليات التحكم الاختياري في الوصول (DAC) المعتادة. وغالباً ما تصبح منظومة الصلاحيات التقليدية في لينكس — القائمة على معرفات المستخدمين (UID) والمجموعات (GID) وصلاحيات POSIX — عاجزة عن الصمود عندما ينجح المهاجم في الحصول على امتيازات المستخدم الجذري root داخل حاوية مجاورة أو تطبيق خدمي يعمل على الخادم ذاته.

وعلى مر السنين، لجأ مهندسو أمن النظم إلى أطر التحكم الإلزامي في الوصول (Mandatory Access Control - MAC) مثل SELinux وAppArmor. ورغم فعاليتها الأمنية المشهودة، تعاني هذه الحلول الكلاسيكية من صعوبات تشغيلية بالغة: سياسات صارمة معقدة، وصعوبة التعديل على ملفات التكوين، والحاجة الدائمة لإعادة بناء السياسات أو إعادة تشغيل الخدمات مع كل تغيير.

ومع تقديم ميزة BPF LSM في نواة لينكس 5.7 (دمج eBPF في وحدات أمان لينكس)، ظهر نموذج أمني مرن وفعال. فمن خلال ربط خطافات الأمان الأصلية (security hooks) في النواة مع موثوقية وقدرات برامج eBPF الفائقة، يستطيع مهندسو الأمن فرض سياسات تحكم إلزامي دقيقة وفورية على خدمات VPN مباشرة داخل النواة، ودون الحاجة لتعديل شفرة التطبيقات أو تعطيل الأنفاق النشطة.

نطاق التهديدات: حدود آليات العزل التقليدية

تتولى مراكز تركيز شبكات VPN وبوابات الثقة الصفرية التعامل مع أثمن أصول البنية التحتية للشبكة: البيانات المنقولة غير المشفرة والمفاتيح السرية الدائمة (مثل أزواج مفاتيح Curve25519 الثابتة في WireGuard).

وفي بيئات التشغيل السحابية المشتركة، تعمل على الخادم الطرفي خدمات مساعدة عديدة بجانب محرك VPN — مثل برمجيات جمع بيانات القياس وعملاء إدارة الحاويات. وتترك آليات النظام التقليدية ثغرات خطيرة يمكن استغلالها:

[مسارات التهديد المحتملة ضد خدمات VPN من العمليات المخترقة]
عملية مخترقة على الخادم (بحيازة صلاحيات root UID 0)
        │
        ├─► المسار 1: ptrace() / process_vm_readv() ──► استخراج المفاتيح من الذاكرة
        │
        ├─► المسار 2: قراءة ملف /proc/$PID/mem ────────► الوصول لمفاتيح الجلسات المؤقتة
        │
        ├─► المسار 3: ربط المقبس عبر SO_REUSEPORT ─────► التنصت على مصافحات UDP المشفرة
        │
        └─► المسار 4: sendmsg() عبر SCM_RIGHTS ────────► تهريب واصفات الملفات خارج النطاق

1. فحص الذاكرة الحية عبر Ptrace: إذا حازت عملية مشبوهة على امتياز CAP_SYS_PTRACE أو صلاحيات root، يمكنها الارتباط بخدمة VPN بواسطة ptrace(2) أو استعراض /proc/$PID/mem واستخراج المفاتيح الحساسة مباشرة من الذاكرة العشوائية.
2. انتحال واختطاف المقابس: عبر تهيئة مقبس بالرايات SO_REUSEADDR أو SO_REUSEPORT، قد تحاول برمجية خبيثة الارتباط بمنفذ UDP المخصص للـ VPN لسرقة بيانات المصافحة الأولى.
3. تسريب واصفات الملفات عبر نطاقات الأسماء: يمكن لواصفات ملفات النفق (مثل بطاقات TUN/TAP الافتراضية أو المقابس الشبكية) أن تتسرب عبر مقابس UNIX (SCM_RIGHTS) إلى عمليات أخرى، كاسرةً العزل المفروض على نطاقات الأسماء الشبكية (network namespaces).

بنية BPF LSM وآلية عملها في النواة

يوفر إطار وحدات أمان لينكس (LSM) نقاط تفتيش ثابتة — خطافات hooks — منتشرة عبر الأنظمة الفرعية للنواة: تتبع العمليات، وقراءة وكتابة الملفات، وإدارة المقابس الشبكية.

وقبل ظهور BPF LSM، كانت هذه النقاط حكراً على وحدات النواة المترجمة مسبقاً. ومع نمط برامج BPF_PROG_TYPE_LSM، بات بمقدور النواة استضافة برامج eBPF تم التحقق من سلامتها وتنفيذها مباشرة عند هذه الخطافات.

[آلية اتخاذ القرار الأمني في BPF LSM]
إجراء من تطبيق: مثل sys_ptrace(PTRACE_ATTACH, vpn_pid)
                                │
                                ▼
                       الأنظمة الفرعية للنواة
                                │
                                ▼
                 خطاف LSM: security_ptrace_access_check()
                                │
                 ┌──────────────┴──────────────┐
                 ▼                             ▼
        وحدات LSM التقليدية             محرك BPF LSM
       (SELinux / AppArmor)          (فاحص eBPF ومترجم JIT)
                 │                             │
                 ▼                             ▼
         [فحص الملصقات]               [منطق برمجيات eBPF]
                 │                    • فحص Inode للملف التنفيذي
                 │                    • التحقق من مسار Cgroup
                 │                    • مطابقة جداول eBPF Map
                 │                             │
                 └──────────────┬──────────────┘
                                │
            إرجاع 0 (السماح) أو رموز الخطأ مثل -EPERM (المنع)

وعندما يطلق أي إجراء في النظام خطافاً أمنياً (مثل security_socket_bind أو security_file_open)، تعلق النواة التنفيذ لحظياً وتمرر السياق إلى برنامج eBPF المعني. فإذا أعاد البرنامج القيمة 0، يمضي الإجراء قدماً. أما إذا أعاد قيمة سالبة (مثل -EPERM)، توقف النواة الإجراء فوراً وتبلغ التطبيق برفض الصلاحية.

وخلافاً للأدوات التي تكتفي بالمراقبة، تتخذ برمجيات BPF LSM قرارات المنع الفعلية بسرعة فائقة، مضيفة كلفة تشغيلية تقل عن 15 نانوثانية لكل استدعاء.

تطبيق عملي: كتابة برمجية BPF LSM للوقاية

يوضح الكود التالي بلغة C المخصصة لـ eBPF كيفية تطبيق قاعدتين أمنيتين حاسمتين: حظر ارتباط العمليات غير المعتمدة بمنفذ UDP، ومنع محاولات قراءة ذاكرة خدمة VPN:

#include <vmlinux.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>
#include <bpf/bpf_core_read.h>

char LICENSE[] SEC("license") = "GPL";

#define EPERM 1
#define VPN_LISTENING_PORT 51820
#define VPN_BINARY_INODE 14829104

/* جدول تجزئة eBPF لتسجيل المعرفات المعتمدة لعمليات VPN */
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 64);
    __type(key, u32);
    __type(value, u8);
} authorized_vpn_pids SEC(".maps");

/* القاعدة 1: حصر ربط منفذ UDP بالملف التنفيذي الرسمي المعتمد */
SEC("lsm/socket_bind")
int BPF_PROG(restrict_vpn_bind, struct socket *sock, struct sockaddr *address, int addrlen)
{
    struct sockaddr_in *addr = (struct sockaddr_in *)address;
    
    if (addr->sin_family == AF_INET) {
        u16 port = __builtin_bswap16(addr->sin_port);
        
        if (port == VPN_LISTENING_PORT) {
            struct task_struct *task = (struct task_struct *)bpf_get_current_task();
            u64 inode = BPF_CORE_READ(task, mm, exe_file, f_inode, i_ino);
            
            /* منع الربط إذا لم يتطابق رقم Inode مع الملف التنفيذي للـ VPN */
            if (inode != VPN_BINARY_INODE) {
                bpf_printk("BPF LSM: تم حظر عملية غير مصرح بها (inode %lu) من ربط المنفذ %d\n", 
                           inode, port);
                return -EPERM;
            }
        }
    }
    return 0;
}

/* القاعدة 2: حماية ذاكرة خادم VPN من الفحص البرمجي وأدوات ptrace */
SEC("lsm/ptrace_access_check")
int BPF_PROG(protect_vpn_memory, struct task_struct *child, unsigned int mode)
{
    u32 target_pid = BPF_CORE_READ(child, tgid);
    
    /* التحقق مما إذا كانت العملية المستهدفة تخص خادم VPN مسجلاً */
    u8 *is_vpn = bpf_map_lookup_elem(&authorized_vpn_pids, &target_pid);
    if (is_vpn) {
        struct task_struct *caller = (struct task_struct *)bpf_get_current_task();
        u32 caller_pid = BPF_CORE_READ(caller, tgid);
        
        /* رفض محاولات التدخل الخارجي حتى لو امتلكت العملية صلاحيات root UID 0 */
        if (caller_pid != target_pid) {
            bpf_printk("BPF LSM: حماية العملية %d ضد محاولة تتبع ptrace من المعرف %d\n", 
                       target_pid, caller_pid);
            return -EPERM;
        }
    }
    return 0;
}

يعمل هذا الملف البرمجي بعد تحميله كحصن متين يمنع تسريب المفاتيح السرية حتى وإن تمكن المهاجم من السيطرة على حساب المستخدم الجذري في الخادم.

مقارنة نماذج التحكم في الوصول

توضح الفروق الجوهرية بين BPF LSM والأنظمة القديمة أسباب تحول البنى التحتية الحديثة نحو هذا النموذج البرمجي:

وبفضل قدرتها على الإحاطة بالسياق وتحديث السياسات بلا انقطاع عبر جداول eBPF Map، تقضي BPF LSM على الصعوبات الإدارية التي كانت تعرقل تطبيق سياسات الأمان الإلزامية في السابق.

التطبيق الميداني في بوابات شبكة RiceGuard Anycast

تطبق منصة RiceGuard سياسات BPF LSM عبر خوادم Anycast الطرفية المنتشرة عالمياً لضمان سلامة العزل بين الأنفاق:

• ملاذات حصينة لمفاتيح التشفير: يتم ربط خطافات BPF LSM على دوال security_file_open وsecurity_ptrace_access_check، ما يحصر قراءة مفاتيح Curve25519 بالملفات الموثقة، مانعاً هجمات سحب محتويات الذاكرة.
• تأمين منافذ الشبكة من الاستحواذ: تخصص قواعد BPF LSM منافذ UDP على الواجهات كافة، مسقطة فوراً طلبات الربط المشبوهة الصادرة من الخدمات المتزامنة.
• منع اختراق نطاقات الأسماء: يتحقق التدقيق الديناميكي للمقابس من عدم تسريب واصفات الأنفاق خارج الحاويات المعزولة، مما يحافظ على العزل الصارم بين بيئات العملاء.

إن الدمج بين سلامة كود eBPF والقدرة السيادية لوحدات أمان لينكس يمنح شبكات VPN الحديثة دفاعاً حصيناً ومتعدد المستويات ينطلق مباشرة من صميم نظام التشغيل.