هجمات Wi-Fi FragAttacks: ثغرات تجميع الإطارات وحلول VPN في الطبقة الثالثة

تعتمد الشبكات اللاسلكية على التشفير في طبقة ربط البيانات لعزل البث الإذاعي وحمايته من التنصت. وعند الاتصال بشبكة واي فاي محمية ببروتوكول WPA2 أو WPA3، يفترض المستخدمون أن حركة المرور معزولة تماما عن الأجهزة المجاورة. ودون الحصول على بيانات الاعتماد الخاصة بالشبكة، لا يمكن للمهاجم الموجود ضمن النطاق اللاسلكي قراءة حزم البيانات أو حقنها.

في عام 2021، أثبت الباحث الأمني ماثي فانهوف عدم دقة هذا الافتراض عند الكشف عن هجمات FragAttacks (هجمات التجزئة والتجميع). وتغطي هذه الثغرات المسجلة تحت CVE-2020-24586 و CVE-2020-24587 و CVE-2020-24588 عيوبا معمارية وتطبيقية أثرت في مختلف أجيال معايير الواي فاي منذ عام 1997.

من خلال استغلال أوجه القصور في كيفية قيام معيار IEEE 802.11 بتجميع الإطارات وتجزئتها، يستطيع المهاجم حقن حزم بيانات عشوائية في الشبكات المحمية دون الحاجة إلى المصادقة مع نقطة الوصول. ولمستخدمي الشبكات العامة أو شبكات المؤسسات، تتطلب مواجهة هذه الثغرات خط دفاع تشفيري مستقل عن بروتوكولات الراديو المحلية.

فرضية الثقة في معيار IEEE 802.11: تشفير الإطارات وتجميع البيانات

لتحسين معدل نقل البيانات، قدم معيار IEEE 802.11n تقنية تجميع الإطارات. قبل هذه الخطوة، كان إرسال حزم IP صغيرة يولد نفقات تشغيلية عالية في طبقة MAC بسبب فترات التنازع والفواصل الزمنية بين الإطارات ورؤوس الإشارات الفيزيائية.

تجمع هذه التقنية الحزم المتعددة ضمن إرسال لاسلكي واحد:

• A-MSDU (Aggregated MAC Service Data Unit): تجميع عدة إطارات Ethernet داخل رأس MAC واحد لمعيار 802.11.
• A-MPDU (Aggregated MAC Protocol Data Unit): دمج إطارات 802.11 متعددة في إرسال فيزيائي موحد.

في ظل WPA2 أو WPA3، يتم تشفير حمولة A-MSDU ككتلة متكاملة باستخدام CCMP أو GCMP. وتتولى شريحة الواي فاي المستقبلة فك تشفير الإطار، والتحقق من علامة السلامة، وتحليل رؤوس الإطارات الفرعية قبل تمرير حزم Ethernet إلى نواة نظام التشغيل.

تكمن الثغرة المعمارية في رأس MAC الخاص بمعيار 802.11. يحدد بت واحد يسمى علامة A-MSDU Present في حقل QoS Control ما إذا كانت الحمولة المفكوكة تحتوي على إطار Ethernet قياسي أم تسلسل من الإطارات المجمعة. ولم يشترط المعيار التحقق تشفيريا من صحة هذا البت المحدد في رأس الإطار.

آليات تجزئة حزم واي فاي: أرقام الأجزاء وإعادة استخدام Nonce وإعادة التجميع

إلى جانب تجميع الإطارات، يحدد معيار 802.11 آلية التجزئة للحفاظ على موثوقية الاتصال في القنوات اللاسلكية كثيرة التشويش. عندما يتجاوز حجم حزمة IP الحد المسموح به للتجزئة، يقسم المرسل الإطار إلى أجزاء أصغر.

يحصل كل جزء على المعرفات التالية:

1. رقم تسلسلي (Sequence Number) مشترك بطول 12 بت لتحديد الإطار الأصلي.
2. رقم الجزء (Fragment Number) متسلسل بطول 4 بت (من 0 إلى 15).
3. علامة أجزاء إضافية (More Fragments flag) مفعلة في جميع الأجزاء باستثناء الجزء الأخير.

+-------------------------------------------------------------------------+
|                  802.11 MAC Frame Fragment Processing                   |
+-------------------------------------------------------------------------+
| [802.11 Header] | Fragment 0 (Seq=104, Frag=0, More=1) -> Validated    |
| [802.11 Header] | Fragment 1 (Seq=104, Frag=1, More=0) -> Reassembled  |
+-------------------------------------------------------------------------+
                                    |
                                    v (Missing Key ID / Session Context Verification)
+-------------------------------------------------------------------------+
| Vulnerability: Nonce reuse & mixed cryptographic contexts in cache      |
+-------------------------------------------------------------------------+

عند استقبال الأجزاء، يخزن جهاز الاستقبال الأجزاء المفكوكة تشفيريا في ذاكرة تخزين مؤقت لإعادة التجميع. وهنا يظهر الخلل التطبيقي: لا تتحقق العديد من بطاقات الشبكة من مطابقة مفتاح التشفير المستخدم لكل الأجزاء، ولا تقوم بمسح الأجزاء غير المكتملة عند انقطاع الاتصال أو تبديل الجلسات.

مسارات التهديد: كيف تبطل هجمات FragAttacks حماية WPA2 و WPA3

تتفرع هجمات FragAttacks إلى عدة مسارات استغلال تستهدف طبقة الربط، وتسمح باختراق دفاعات الشبكات اللاسلكية المشفرة.

حقن الإطارات المجمعة عبر علامة رأس A-MSDU

تعد هذه الثغرة المعمارية (المسجلة برمز CVE-2020-24586) الأخطر تأثيرا. نظرا لعدم حماية علامة A-MSDU Present بالتشفير، يمكن للمهاجم اعتراض إطار مشفر نظامي تم إرساله من خادم ويب خارجي (مثل إشعار TCP أو استجابة ICMP)، وتعديل بت رأس الإطار ليصبح مجدولاً كـ A-MSDU أثناء النقل اللاسلكي دون إفساد علامة التحقق MIC في WPA2.

عندما يستقبل جهاز الضحية الإطار، يفك تشفيره بنجاح. وبعد فك التشفير، يقرأ مشغل البطاقة علامة A-MSDU المعدلة، فيفسر محتوى البيانات المفكوكة كرأس إطار فرعي، مما يسمح بحقن حزمة Ethernet مفبركة بالكامل مباشرة داخل نظام التشغيل.

تسميم ذاكرة التخزين المؤقت للأجزاء بمفاتيح مختلطة بين الجلسات

تستغل ثغرة CVE-2020-24587 إهمال مشغلات بطاقات الشبكة في تنظيف ذاكرة إعادة التجميع المؤقتة. يرسل المهاجم جزءا مفبركا إلى نقطة الوصول أو جهاز العميل، فيظل معلقا في الذاكرة.

وعندما يتصل عميل شرعي لاحقا ويرسل إطارا مجزأ يحمل نفس الرقم التسلسلي، تجمع الشريحة الجزء الخبيث القديم مع أجزاء العميل الجديدة. يؤدي هذا الدمج بين مفاتيح جلسات مختلفة إلى تشويه البيانات وحقن أوامر غير مصرح بها.

حقن الإطارات النصية الصريحة: استغلال استثناءات المصافحة غير المحمية

كشفت أبحاث FragAttacks عن ثغرة حرجة أخرى (CVE-2020-24588) ناتجة عن معالجة استثناءات المصافحة الأمنية. لتسهيل الاتصال الأولي قبل تفعيل التشفير، تسمح معايير واي فاي لبعض الحزم بالمرور كنص صريح، مثل إطارات المصادقة وحزم بروتوكول EAPOL المستخدمة في تبادل مفاتيح 4-Way Handshake.

+-------------------------------------------------------------------------+
|           Insecure Plaintext Frame Acceptance Flaw                    |
+-------------------------------------------------------------------------+
| Attacker Radio ---> Injected Raw Plaintext Frame (EtherType=0x0800)     |
| Vulnerable Driver: Fails to drop unencrypted data in secured state      |
| Result: Malicious packet traverses MAC layer & reaches Kernel IP Stack   |
+-------------------------------------------------------------------------+

أظهر التحليل العملي أن العديد من أنظمة التشغيل ومشغلات الأجهزة تقبل إطارات بيانات غير مشفرة حتى بعد اكتمال الاتصال الآمن وتفعيل مفاتيح التشفير، متى ما كانت الحزم تشبه هياكل إطارات المصافحة. يتيح هذا القصور للمهاجم غير المصرح له إرسال حزم IPv4 أو IPv6 مباشرة إلى الجهاز المستهدف دون كسر مفاتيح WPA.

سيناريوهات الهجوم العملية: تزييف DNS واختراق NAT والوصول إلى أجهزة التوجيه

لا تقتصر هذه الثغرات على الجانب النظري، بل تفتح الباب أمام هجمات خطيرة على مستوى بروتوكول الإنترنت:

1. تزييف استجابات DNS: عبر حقن حزمة UDP تحمل استجابة DNS مزورة، يستطيع المهاجم تحويل اتصالات الضحية من خوادم البنوك أو البريد الإلكتروني إلى خوادم تصيد احتيالي دون أن يلحظ المستخدم أي تغيير في اتصال الواي فاي.
2. اختراق جدران NAT والوصول إلى الخدمات المحلية: يستطيع المهاجم إرسال حزمة TCP SYN مفبركة موجهة إلى منفذ محلي غير محمي، أو حزمة تفتح ثغرة في جدار الحماية المنزلي، مما يتيح له الوصول إلى لوحة تحكم جهاز التوجيه وتعديل خوادم DNS الافتراضية.
3. توجيه حركة المرور عبر رسائل ICMP Redirect: يستغل المهاجم حقن حزم ICMP لتعديل جدول التوجيه لدى الضحية، جاعلا جهازه بوابة وسيطة لاعتراض حركة البيانات. لمزيد من التفاصيل حول مخاطر التوجيه المحلي، راجع دراستنا حول الكشف عن تزييف ARP وتسميم الذاكرة المؤقتة.

قيود التحديثات البرمجية وبرامج التشغيل: إرث أجهزة إنترنت الأشياء غير المحدثة

أصدرت مؤسسة Wi-Fi Alliance وشركات التقنية الكبرى تحديثات برمجية لمعالجة عيوب التجميع والتجزئة فور نشر الثغرة. ومع ذلك، بقيت فجوة الأمان واسعة لعدة أسباب:

• أجهزة إنترنت الأشياء (IoT): ملايين الكاميرات الذكية والمقابس والأجهزة المنزلية تعمل بمتحكمات دقيقة متواضعة لا تتلقى تحديثات برمجية، وتظل عرضة لحقن الحزم إلى أجل غير مسمى.
• إهمال مشغلات البطاقات القديمة: توقفت الشركات المصنعة عن تحديث شرائح Wi-Fi للأجهزة المحمولة والحواسيب المحمولة القديمة، مما يتركها مكشوفة عند الاتصال بالشبكات العامة.
• التوافق العكسي: يتطلب معيار 802.11 الحفاظ على التوافق مع الأجهزة القديمة، مما يمنع نقاط الوصول من فرض قيود صارمة على مستوى الترددات اللاسلكية دون تعطيل خدمات المستخدمين.

بنية شبكات VPN في الطبقة الثالثة: تغليف حزم البيانات بتشفير AEAD

نظرا لأن عيوب FragAttacks تحدث في الطبقة الثانية (طبقة ربط البيانات MAC)، فإن حماية حركة المرور تتطلب نقلا معزولا في الطبقة الثالثة عبر تشفير الحزم بالكامل قبل وصولها إلى بطاقة الواي فاي الفيزيائية.

+------------------------------------------------------------------------+
|                          Application Payload                           |
|                  HTTP/3, TLS 1.3, Encrypted Application            |
+------------------------------------------------------------------------+
                                    |
                                    v (Layer 3 Virtual Adapter)
+------------------------------------------------------------------------+
|             WireGuard / RiceGuard Outer Encapsulation                  |
|   Authenticated Encryption: ChaCha20-Poly1305 (RFC 7539 / RFC 5116)   |
|   [ 16-byte Poly1305 MAC Tag covers entire inner IP packet & header ]  |
+------------------------------------------------------------------------+
                                    |
                                    v (Physical Wi-Fi Interface wlan0)
+------------------------------------------------------------------------+
|                     Wi-Fi Layer 2 Vulnerable Link                      |
|   A-MSDU / Fragmentation Flaws: Injected Frames Lack Valid AEAD Tag     |
+------------------------------------------------------------------------+

عند تمرير حركة البيانات عبر نفق VPN الآمن، تصبح حزم IP الأصلية غير مرئية لمشغل بطاقة الواي فاي:

1. يتم تغليف كل حزمة داخل داتاجرام UDP موثق باستخدام خوارزمية ChaCha20-Poly1305.
2. تغطي علامة التوثيق Poly1305 النص المشفر ورؤوس الحزمة الخارجية بالكامل.
3. إذا قام المهاجم بحقن إطار مفبرك عبر ثغرات FragAttacks، يصل الإطار إلى نظام التشغيل خارج سياق نفق VPN الافتراضي.

بفضل قواعد التوجيه الصارمة في نظام التشغيل، لا تتمكن الحزم المحقونة من التسلل إلى الجلسات المحمية ضمن واجهة VPN الافتراضية.

منظومة الدفاع RiceGuard: تحييد الإطارات الفرعية الخبيثة في نواة النظام

تعتمد VPNRice على بروتوكول RiceGuard المطور عن بروتوكول WireGuard لتوفير حماية متقدمة ضد ثغرات الطبقة الثانية:

1. التحقق المشفر من علامات التوثيق: يتطلب كل داتاجرام في RiceGuard علامة توثيق Poly1305 بطول 16 بايت محسوبة بمفاتيح جلسة مؤقتة. وتسقط نواة النظام الإطارات المحقونة فورا لعدم احتوائها على علامة تشفير صحيحة.
2. عزل المقابس البرمجية والواجهات: يربط RiceGuard استعلامات DNS ومقابس الاتصال مباشرة بالواجهة الافتراضية rg0، مما يمنع الحزم المحقونة عبر الواجهة الفيزيائية wlan0 من التلاعب بخدمات DNS أو الجلسات النشطة.
3. جداول توجيه سيادية ومعزولة: من خلال إدارة جدول توجيه منفصل (مثل الجدول 51820)، يمنع RiceGuard تسرب الحزم غير المشفرة عبر الواجهة الفيزيائية، محيدا المخاطر المشابهة الموضحة في هجمات تسريب المسارات عبر خيار DHCP 121.

يمكن للمستخدمين فحص إعدادات التوجيه وسلامة الاتصال الخارجي عبر أداة معرفة عنوان IP.

قياس سلامة الحزم: نفقات التجزئة والتذبذب ومعدلات رفض الإطارات

أجرينا تقييما دقيقا لقدرة الصمود في بيئة اختبار لاسلكية معزولة تحت هجوم حقن فعلي لثغرات FragAttacks. استخدمنا أجهزة راديو معرفة برمجيا (SDR) لبث إطارات A-MSDU مجزأة بهدف حقن استجابات DNS كاذبة وإرسال حزم TCP RST لقطع الاتصالات.

قارنا بين ثلاث حالات: اتصال WPA2 قياسي دون حماية، وشبكة مفتوحة، ونفق مشفر عبر بروتوكول RiceGuard.

في الاتصال العادي عبر WPA2، قبلت المشغلات الضعيفة الإطارات المحقونة، مما أسفر عن تسميم ذاكرة DNS وتخريب جلسات TCP.

في المقابل، أسقطت نواة النظام جميع الحزم غير الموثقة عند حدود مرشح الحزم في RiceGuard، محافظة على استقرار البيانات مع زيادة طفيفة لا تكاد تذكر في زمن الاستجابة.

خطوات عملية للتحصين: فحص إعادة تجميع الإطارات وتأمين الأجهزة المحمولة

يمكن للمستخدمين ومسؤولي الأنظمة اتخاذ تدابير عملية لتعزيز أمان الأجهزة الطرفية ضد هجمات حقن الإطارات.

تدقيق إعدادات مشغل بطاقة الواي فاي على نظام لينكس

على أنظمة لينكس، يمكن التحقق من قدرات الواجهة اللاسلكية وإعدادات تجزئة الحزم:

# فحص خصائص الواجهة اللاسلكية وإعدادات التجزئة
iw dev wlan0 info

# مراقبة عدادات الحزم المسقطة بسبب أخطاء الهيكلة
ip -s link show wlan0

# تتبع إطارات الواي فاي لرصد علامات التجميع المشبوهة
sudo tcpdump -ni wlan0 -e -s 0 "type data and subtype qos-data" -v

تعطيل تجميع الإطارات في الشبكات غير الموثوقة

في البيئات عالية المخاطر أو عند استخدام أجهزة قديمة غير محدثة، يمكن للمسؤولين تعطيل تجميع A-MSDU مؤقتا:

# مثال لمشغلات إنتل اللاسلكية: تعطيل تجميع الحزم على مستوى العتاد
sudo modprobe -r iwlwifi
sudo modprobe iwlwifi 11n_disable=1

ورغم أن تعطيل تجميع الإطارات يخفض السرعة القصوى للاتصال اللاسلكي، فإنه يسد ثغرات التجميع الفيزيائية. وعند تشغيل الاتصال المشفر عبر تطبيق VPNRice الرسمي، تعمل آليات الحماية في الطبقة الثالثة بصورة متواصلة وتلقائية في الخلفية.

من خلال فرض التشفير والتوثيق الصارم في الطبقة الثالثة، تحافظ الأجهزة الحديثة على سرية البيانات وسلامتها حتى عبر أكثر الشبكات اللاسلكية عرضة للاختراق.