معمارية وايرغارد الصامتة: دفاع بدون استجابة ضد فحص المنافذ

تعتمد بروتوكولات أمان الشبكات التقليدية في جوهرها على مبدأ التفاعل والمحادثة الثنائية. فعندما تستقبل خوادم الشبكة حزمة نقل تحتوي على أخطاء في الصياغة، أو معلمات جلسة غير مصرح بها، أو ترويسات تشفير غير صالحة، يرسل مكدس الشبكة في الخادم استجابة تشخيصية واضحة. يرسل مكدس بروتوكول TCP علامة إعادة الضبط (RST)، وتطلق منافذ UDP المغلقة رسالة تعذر الوصول إلى الوجهة (ICMP Type 3, Code 3)، في حين ترسل بروتوكولات التشفير تنبيهات برفض المصافحة.

على الرغم من أن ردود الفعل التشخيصية تساعد مهندسي الشبكات في استكشاف الأخطاء، إلا أنها تنشئ ثغرة غير متماثلة تستغلها جدران الحماية وأنظمة المسح التلقائي. تستغل أدوات المسح الشامل، مثل ZMap وMasscan، رموز استجابات الأخطاء لتحديد الخدمات النشطة عبر فضاء عناوين IPv4 بالكامل خلال دقائق معدودة. وتعتمد جدران فحص الحزم العميقة (DPI) على أسلوب الاستكشاف النشط (active probing)؛ فبمجرد اعتراض تدفق مشفر مشبوه، يقوم جدار الحماية بنسخ الحزمة أو إرسال نسخة معدلة إلى الخادم الهدف. وإذا استجاب الخادم برسالة خطأ مميزة للبروتوكول، تتأكد المنظومة من وجود الخدمة وتغلق مسار الاتصال فوراً.

يتصدى بروتوكول وايرغارد لهذا التهديد عبر مبدأ معماري صارم: الحزم غير المصادق عليها لا تتلقى أي استجابة على الإطلاق (Zero-Response). فبدلاً من إرسال تنبيهات الخطأ، يقوم برنامج التشغيل في نواة النظام بإسقاط الحزمة في فراغ التشفير دون إرسال بت واحد.

+-----------------------------------------------------------------------------+
|               مقارنة الاستجابة للاستكشاف: البروتوكولات التقليدية ووايرغارد   |
|                                                                             |
| [ جدار الحماية أو مجس المسح النشط ]                                          |
|           |                                                                 |
|           | 1. إرسال حزمة مصافحة مشوهة أو غير مصادق عليها                   |
|           v                                                                 |
|   +-------------------+                     +---------------------------+   |
|   |  الأنفاق التقليدية |                     |    وايرغارد / رايس غارد   |   |
|   | (OpenVPN / IPsec) |                     |    (مسار النواة receive.c)|   |
|   +-------------------+                     +---------------------------+   |
|           |                                               |                 |
|           | يرسل رسالة خطأ صريحة                          | إسقاط صامت تماماً |
|           | (تنبيه TLS أو رسالة ICMP)                     | (أمر goto drop) |
|           v                                               v                 |
| [ تأكيد وجود الخدمة ونشاطها ]               [ لا يمكن تمييزه عن منفذ UDP    |
|   => حظر الخادم على الفور                     مغلق أو جدار حماية صامت]      |
+-----------------------------------------------------------------------------+

فخ التشخيص: كيف تكشف البروتوكولات التقليدية عن هويتها

قدمت حلول الأنفاق السابقة أولوية التوافق واستكشاف الأخطاء على حساب إخفاء معالم الاتصال. في بروتوكول IPsec IKEv2 (RFC 7296)، إذا اقترح العميل معلمات تشفير لا يدعمها الخادم، يعود الخادم بحزمة NOTIFY غير مشفرة تتضمن الرمز NO_PROPOSAL_CHOSEN. توضح هذه الحزمة سبب فشل الاتصال، لكنها تثبت في الوقت نفسه لأجهزة المراقبة وجود خدمة IKEv2 نشطة تستمع على المنفذ UDP 500 أو 4500.

وينطبق الأمر نفسه على OpenVPN. فعلى الرغم من دعمه لتوقيع اختياري لحماية المصافحة (tls-auth أو tls-crypt)، إلا أن الإعدادات القياسية تبدأ مفاوضات TLS بمجرد تلقي أول حزمة. وفي حال حدوث خلل، يرسل محرك OpenSSL رسالة تنبيه TLS Alert: Handshake Failure قبل إغلاق الجلسة. وتستغل أنظمة المراقبة ذلك من خلال محاكاة المصافحة ومراقبة تنبيهات TLS المرتدة.

كما تعتمد خدمات UDP العادية في مساحة المستخدم على استدعاء النظام recvfrom(). وإذا تلقى منفذ غير مستخدم حزمة استكشافية، يصدر النظام رسالة ICMP Port Unreachable، مما يسمح لأجهزة التحليل بقياس زمن الاستجابة والتأكد من وجود خادم نشط.

معالجة الحزم داخل النواة: مسار التحقق في receive.c

يحقق وايرغارد الصمت التام عبر اندماجه المباشر في البنية التحتية لشبكات نواة لينكس (drivers/net/wireguard/receive.c). وتتم معالجة حزم UDP مباشرة داخل ذاكرة التخزين المؤقت لبطاقة الشبكة في النواة دون الحاجة لنسخ البيانات إلى مساحة المستخدم.

+-----------------------------------------------------------------------------+
|                مراحل التحقق والإسقاط الصامت للحزم داخل نواة لينكس           |
|                                                                             |
| الحزمة الواردة (بنية sk_buff)                                                |
|           |                                                                 |
|           v                                                                 |
|   +-----------------------+   حجم غير مطابق                                 |
|   |   فحص طول الحزمة      | -------------------> [ إسقاط صامت في النواة ]   |
|   +-----------------------+                                                 |
|           | الطول متطابق                                                    |
|           v                                                                 |
|   +-----------------------+   رمز التحقق غير صالح                           |
|   |  التحقق من حقل MAC1   | -------------------> [ إسقاط صامت في النواة ]   |
|   +-----------------------+                                                 |
|           | رمز MAC1 صالح                                                   |
|           v                                                                 |
|   +-----------------------+   حزمة مكررة أو قديمة                           |
|   | فحص الختم الزمني TAI  | -------------------> [ إسقاط صامت في النواة ]   |
|   +-----------------------+                                                 |
|           | تزايد زمني مستمر                                                |
|           v                                                                 |
|   +-----------------------+   نقطة غير صالحة بالمنحنى                       |
|   | حسابات المنحنى Curve  | -------------------> [ إسقاط صامت في النواة ]   |
|   +-----------------------+                                                 |
|           | نجاح تبادل المفاتيح                                             |
|           v                                                                 |
|        إنشاء مفاتيح الجلسة وإرسال رد المصافحة المشروع                       |
+-----------------------------------------------------------------------------+

عند وصول الحزمة إلى دالة wg_receive()، تخضع الحزمة لأربع بوابات تصفية دقيقة:

1. التحقق الصارم من الحجم ونوع الرسالة: يفرض وايرغارد أحجاماً ثابتة للرسائل؛ فحزمة بدء المصافحة تبلغ 148 بايت بالضبط، وحزمة الرد تبلغ 92 بايت، وحزمة كعكة الحماية تبلغ 64 بايت. وإذا لم تتطابق الحزمة مع هذه المعايير المحددة، ينتقل التنفيذ فوراً إلى أمر goto drop لتحرير الذاكرة دون إرسال أي رد.

2. التحقق من رمز المصادقة الأول (mac1): تحتوي كل رسالة مصافحة على رمز مصادقة بطول 16 بايت محسوب باستخدام دالة التجزئة BLAKE2s والمفتاح العام الثابت للخادم. وإذا أرسل مجس الفحص حزمة دون امتلاك المفتاح العام الصحيح، تفشل عملية التحقق وينتقل المعالج فوراً إلى goto drop دون حجز ذاكرة للجلسة ودون تعديل جداول التتبع.

3. التحقق من التزايد المستمر للختم الزمني TAI64N: لمنع هجمات إعادة التشغيل، التي يرسل فيها المهاجم حزمة مصافحة سابقة لحث الخادم على الرد، يفحص وايرغارد ختماً زمنياً مشفراً بطول 12 بايت. ويشترط الخادم أن يكون الختم الزمني أكبر حصراً من أعلى ختم مسجل لذلك النظير، مما يؤدي إلى إسقاط الحزم المكررة بصمت تام.

4. عمليات الضرب القياسي بزمن ثابت: تخضع الحزم المقبولة لعمليات تبادل المفاتيح وفق منحنى Curve25519. وإذا أرسل المهاجم نقطة ملتوية غير صالحة لاختبار القنوات الجانبية، تكتشف الخوارزمية الخلل وتنهي المعالجة دون ترك أي أثر تشخيصي.

ونتيجة لذلك، عند استخدام أداة مثل nmap -sU -p 51820 <الهدف>، لا يتلقى الفاحص أي رد UDP ولا أي رسالة ICMP، وتُصنف حالة المنفذ بأنها open|filtered، وهي حالة لا تختلف عن عنوان IP غير موجود أو محمي بحظر تام.

توحيد أحجام الحزم وضبط إنتروبيا البيانات

يمنع الصمت التام نجاح عمليات المسح النشط، غير أن التصدي للمراقبة السلبية يتطلب إخفاء الخصائص الإحصائية للحزم. وتقوم أنظمة فحص الحزم العميقة بدراسة توزيع أطوال الحزم وإنتروبيا شانون (Shannon Entropy) لتصنيف البيانات.

في وايرغارد، تحدد البايتات الأربعة الأولى نوع الرسالة، تليها معرفات عشوائية وحمولة مشفرة ذات إنتروبيا فائقة تشبه الضوضاء العشوائية. وتدعم حزم النقل حقل حشو اختياري (padding)، مما يتيح محاذاة حزم التطبيقات التفاعلية إلى كتل ثابتة لإحباط محاولات التعرف على البيانات استناداً إلى الحجم.

تحصين جدار حماية الخادم لضمان الصمت المطبق

يتطلب تشغيل بروتوكول صامت ضبط نظام تشغيل الخادم بحيث لا تطلق المنافذ الأخرى رسائل تشخيصية غير مقصودة. ترسل نواة لينكس افتراضياً رسائل ICMP Destination Unreachable عند وصول حزم إلى منافذ غير مخصصة. وإذا تم رفض الحزم بقاعدة الرفض الصريح (-j REJECT)، ترسل النواة رسالة ICMP تكشف عن نشاط الخادم.

للحفاظ على التخفي التام، يجب ضبط nftables أو iptables لإسقاط الحزم غير المطابقة بصمت (drop).

# إعدادات nftables للحفاظ على الوضع الصامت للخادم
nft add table inet stealth_filter
nft add chain inet stealth_filter input { type filter hook input priority 0 \; policy drop \; }

# السماح بالاتصالات القائمة والمرتبطة
nft add rule inet stealth_filter input ct state established,related accept

# السماح بحركة مرور الواجهة المحلية loopback
nft add rule inet stealth_filter input iif lo accept

# السماح بمنفذ استماع وايرغارد بروتوكول UDP
nft add rule inet stealth_filter input udp dport 51820 accept

# إسقاط الحزم غير المطابقة بصمت ودون إرسال ICMP
nft add rule inet stealth_filter input drop

وفي جدران الحماية التقليدية iptables:

# إعدادات iptables لتجاهل حزم الفحص بصمت
iptables -A INPUT -p udp --dport 51820 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -p udp --dport 51820 -j DROP
iptables -P INPUT DROP

كما يوصى بضبط معلمات النواة للحد من توليد رسائل ICMP عند التعرض لموجات مسح مكثفة:

# تقييد معدل إرسال رسائل ICMP في نواة لينكس
sysctl -w net.ipv4.icmp_ratelimit=1000
sysctl -w net.ipv4.icmp_ratemask=6168

الحماية المتقدمة في البنية التحتية لشبكة VPNRice

تتطلب حماية الخصوصية في بيئات الشبكات الحديثة الجمع بين صمت النواة والتحوير الديناميكي لطبقة النقل. وتطبق VPNRice هذه المعايير عبر شبكتها العالمية:

1. بوابات رايس غارد الصامتة في النواة: تعمل خوادم VPNRice عبر محرك توجيه مخصص داخل النواة مستند إلى وايرغارد. ويتم إسقاط الحزم غير المصادق عليها ومحاولات الفحص فوراً داخل ذاكرة العتاد دون إرسال أي رد، مما يجعل الخوادم غير مرئية لأدوات المسح العالمية.

2. التنقل الديناميكي بين المنافذ (Dynamic Port Hopping): لإحباط التحليلات الإحصائية طويلة الأمد التي تستهدف أزواج العناوين والمنافذ الثابتة، تعتمد تقنية رايس غارد على تبديل المنافذ بسلاسة؛ حيث ينتقل الاتصال بين منافذ عشوائية دون التأثير على استقرار الجلسة المشفرة.

3. تمويه الحزم قبل المصافحة: لتجاوز مرشحات DPI التي تبحث عن ترويسات المصافحة الثابتة، يغلف رايس غارد الحزم الأولية بأغلفة ضوضاء تشفيرية مؤقتة. وترى أجهزة الرصد تدفقاً عشوائياً غير مصنف، في حين تتلاشى محاولات الاستكشاف النشطة داخل نواة النظام دون ترك أي أثر.

يوفر التناغم بين معمارية الصمت داخل النواة وتقنيات التمويه الديناميكي درعاً متيناً لحماية البيانات والاتصالات ضد أكثر تقنيات الفحص والمراقبة تطوراً.