در حال عبور از سالن شلوغ یک ایستگاه مترو هستید و گوشی هوشمندتان آرام درون جیب پالتویتان قرار دارد. شما قفل صفحه را باز نکرده‌اید، هیچ برنامه‌ای را اجرا ننموده‌اید و به هیچ نقطه اتصال عمومی متصل نشده‌اید. با این حال، هر چند ثانیه یک بار، امواج نامرئی رادیویی از دستگاه شما به تمامی جهات ساطع می‌گردد. ناظری که روی یکی از نیمکت‌های سالن نشسته با یک اسکنر ارزان‌قیمت، فریم‌های مدیریتی بدون رمزی را که در هوا پراکنده می‌شوند ثبت می‌کند: درخواست کاوش (Probe Request): نام شبکه "Home_WiFi_5G"، درخواست کاوش: نام شبکه "Company_Office_Floor4"، درخواست کاوش: نام شبکه "Seaside_Boutique_Hotel".

تنها در عرض چند ثانیه، یک اسکریپت خودکار این ترکیب خاص از نام‌ها را با پایگاه‌های داده جغرافیایی و عمومی مانند WiGLE تطبیق می‌دهد. نتیجه این جستجو محله سکونت، ساختمان محل کار و هتلی را که در سفر گذشته در آن اقامت داشته‌اید آشکار می‌سازد. حتی اگر هرگز به شبکه عمومی وصل نشوید، تلفن همراه شما سوابق رفت‌وآمدتان را در بستر امواج رادیویی منتشر می‌کند.

[گوشی هوشمند کاربر (وای‌فای روشن)]
       │
       │  ۱. ارسال بسته بدون رمز 802.11 Probe Request (اسکن فعال)
       │     محتوا: "Home_WiFi_5G" ، "Company_Office"
       ▼
[اسکنر رادیویی شنودگر / نقطه اتصال جعلی]
       │
       │  ۲. استخراج فهرست نام شبکه‌ها (SSID) از امواج
       ▼
[استعلام از پایگاه‌های داده مکانی جهانی (مانند WiGLE.net)]
       │
       ├─► تطبیق اشتراک شبکه‌ها ➔ شناسایی دقیق نشانی منزل و محل کار
       └─► ارسال پاسخ ساختگی ➔ اتصال اجباری به شبکه مخرب (حمله KARMA)

سازوکار اسکن فعال در استاندارد 802.11 و فهرست شبکه‌های ذخیره‌شده

برای آگاهی از علت پخش نام شبکه‌ها در فضا، باید نحوه یافتن نقاط اتصال توسط تجهیزات همراه را بررسی کرد. بر پایه استاندارد IEEE 802.11، دستگاه‌های کلاینت به دو شیوه شبکه‌های بی‌سیم پیرامون خود را پیدا می‌کنند:

۱. اسکن غیرفعال (Passive Scanning): دستگاه در سکوت فرکانس‌ها را رصد می‌کند و در انتظار فریم‌های نشانگر (Beacon frames) می‌ماند که توسط مودم‌ها حدوداً ۱۰ بار در ثانیه ارسال می‌شوند. این شیوه از حریم خصوصی محافظت می‌نماید اما باتری زیادی مصرف می‌کند و فرآیند اتصال را کند می‌سازد. ۲. اسکن فعال (Active Scanning): برای شتاب بخشیدن به اتصال و صرفه‌جویی در مصرف انرژی، دستگاه فرمانی به نام درخواست کاوش (Probe Request) در کانال رادیویی ارسال می‌کند. نقاط دسترسی حاضر روی آن کانال بی‌درنگ فریم پاسخ کاوش (Probe Response) را بازمی‌گردانند تا فرآیند اتصال ظرف چند میلی‌ثانیه آغاز گردد.

+-------------------------------------------------------------------+
|               ساختار فریم 802.11 Probe Request                    |
+-------------------------------------------------------------------+
| کنترل فریم   | مدت زمان | MAC مقصد       | MAC مبدأ    | BSSID    |
+-------------------------------------------------------------------+
| کنترل توالی  | قابلیت‌های HT | پارامترهای برچسب‌دار (SSID...)     |
+-------------------------------------------------------------------+

آسیب‌پذیری حریم خصوصی در پارامترهای برچسب‌دار نهفته است. سیستم‌عامل دستگاه فهرستی به نام فهرست شبکه‌های ترجیحی (Preferred Network List - PNL) نگهداری می‌کند. این بخش نام تمام شبکه‌هایی را که پیش‌تر به آن‌ها متصل شده‌اید همراه با گذرواژه‌ها ثبت کرده است.

هنگامی که دستگاه می‌خواهد شبکه‌های آشنا را بازیابی کند—به‌ویژه شبکه‌های مخفی (Hidden SSID) که نام خود را به طور عمومی پخش نمی‌کنند—دستگاه اقدام به ارسال درخواست‌های کاوش هدایت‌شده (directed probe requests) می‌نماید. گوشی به جای این که بپرسد "چه شبکه‌هایی در اینجا حضور دارند؟" با صدای بلند فریاد می‌زند: "آیا شبکه 'Home_WiFi_5G' اینجاست؟ آیا شبکه 'Company_Office' اینجاست؟"

از آنجا که فریم‌های مدیریتی پروتکل 802.11 فاقد هرگونه رمزنگاری هستند، هر گیرنده‌ای در محدوده امواج قادر به دریافت و ذخیره این درخواست‌ها خواهد بود.

چرا تصادفی‌سازی آدرس MAC مانع رهگیری نمی‌شود؟

سازندگان سیستم‌عامل برای جلوگیری از ردیابی فیزیکی با شناسه ثابت کارت شبکه، قابلیت تصادفی‌سازی آدرس MAC را اضافه کرده‌اند. دستگاه در زمان جستجوی شبکه‌ها، به صورت دوره‌ای یک آدرس سخت‌افزاری ساختگی تولید می‌کند.

با این وجود، دگرگون ساختن آدرس در لایه پیوند داده، مشکل محتوای بسته را برطرف نمی‌سازد:

سرآیند MAC لایه ۲:    [ تصادفی: 3a:7f:12:9b:04:e1 ]  <-- محافظت سیستم‌عامل
محتوای ارسالی لایه ۷:  [ نام صریح: "Private_Apartment" ] <-- افشای متن آشکار

۱. محتوای بسته بر آدرس ساختگی غلبه می‌کند

حتی اگر دستگاه هر پانزده دقیقه یک بار آدرس MAC جدیدی بسازد، باز هم همان دسته از نام‌های شبکه‌های خصوصی فهرست PNL خود را مخابره می‌نماید. شنودگر به سادگی آدرس متغیر را نادیده گرفته و بسته‌ها را بر اساس امضای نام شبکه‌ها گروه‌بندی می‌کند.

۲. ردپای فیلدهای اطلاعاتی دستگاه

بسته‌های کاوش شامل ویژگی‌های سخت‌افزاری نظیر نرخ تبادل داده و قابلیت‌های چیپست وای‌فای هستند. ترتیب و مقادیر این فیلدها یک هویت سخت‌افزاری ثابت می‌سازند که ارتباطی با تغییر آدرس MAC ندارد.

۳. یکتایی آماری ترکیب شبکه‌ها

نام‌های عمومی ممکن است توسط هزاران نفر استفاده شوند، اما ترکیب دو یا سه شبکه خصوصی منزل و محل کار از نظر محاسباتی کاملاً منحصر‌به‌فرد است. کاربری که هم‌زمان به دنبال وای‌فای یک مدرسه خاص و ساختمانی معین می‌گردد، به آسانی در میان جمعیت حاضر شناسایی می‌شود.

تعیین مختصات مکانی با بهره‌گیری از بانک‌های داده بی‌سیم

خطر اصلی انتشار نام شبکه‌ها، ردیابی موقعیت فیزیکی کاربر است. در طول بیش از دو دهه گذشته، پژوهشگران امنیتی و خودروهای نقشه‌برداری شبکه‌های وای‌فای را در مقیاس جهانی فهرست‌بندی نموده‌اند (War-driving).

سامانه‌هایی نظیر WiGLE صدها میلیون نقطه دسترسی را به همراه مختصات جغرافیایی GPS ثبت کرده‌اند:

+-------------------------------------+      +-------------------------------+
| نام‌های شبکه کشف‌شده:               | ---> | جستجو در بانک اطلاعاتی WiGLE  |
| - "Building_Tehran_No14"            |      | (صدها میلیون موقعیت مکانی)   |
| - "Clinic_Medical_Center"           |      +---------------+---------------+
+-------------------------------------+                      │
                                                             ▼
                                             +-------------------------------+
                                             | مختصات جغرافیایی دقیق:        |
                                             | منزل: 35.6892° N, 51.3890° E  |
                                             | محل کار: 35.7152° N, 51.4043°E|
                                             +-------------------------------+

هنگامی که ناظر شبکه فهرست نام‌های ارسالی گوشی شما را گردآوری می‌کند، آن‌ها را در این سامانه‌ها جستجو می‌نماید. در صورت وجود نام در سامانه، آدرس دقیق خیابان محل زندگی یا دفتر کار شما بدون نیاز به دسترسی به دستگاه آشکار می‌گردد.

حمله KARMA و سوءاستفاده توسط نقاط اتصال جعلی

انتشار این نام‌ها دستگاه را در معرض حملات فعال شبکه‌ای موسوم به حمله KARMA قرار می‌دهد.

[گوشی کاربر هدف] ──► درخواست کاوش: "Hotel_WiFi_Free"
                             │
[نقطه اتصال جعلی مهاجم] ◄────┘
        │
        ├─► پاسخ فوری در امواج: "بله، من دقیقاً 'Hotel_WiFi_Free' هستم!"
        ▼
[اتصال خودکار دستگاه] ──► گوشی فریب خورده و متصل می‌شود
        │
        ▼
[تسلط مهاجم بر درگاه شبکه / دستکاری DNS / تلاش برای سرقت داده‌ها]

هنگامی که یک روتر نفوذگر درخواست کاوش گوشی شما را برای یک شبکه آشنا دریافت می‌کند، فوراً پاسخی با همان نام جعلی می‌فرستد. دستگاه با تصور این که به نقطه اتصال مطمئنی رسیده است، بدون دخالت شما اتصال را برقرار می‌سازد.

پس از ایجاد اتصال، فرد مهاجم کنترل درگاه محلی را در دست می‌گیرد و می‌تواند درخواست‌های DNS را دستکاری کرده یا با صفحات ورودی ساختگی اطلاعات حساب‌های کاربری را برباید.

مقایسه شیوه‌های جستجوی شبکه وای‌فای

شیوه پایش فرکانس میزان افشای داده‌ها مصرف باتری شتاب برقراری ارتباط مقاومت در برابر حمله KARMA
اسکن فعال عمومی متوسط: ارسال درخواست کلی بدون ذکر نام کم سریع مناسب: نام‌های خصوصی اعلام نمی‌شوند
اسکن فعال هدایت‌شده بحرانی: انتشار آشکار نام‌های ذخیره‌شده بسیار ناچیز بسیار سریع بسیار ضعیف: خطر فریب و ردیابی مکانی
صرفاً اسکن غیرفعال امنیت کامل: فقدان هرگونه تشعشع رادیویی زیاد کندتر کامل: پنهان ماندن کامل از اسکنرها
تونل امن RiceGuard ایمنی فراگیر: رمزنگاری ترافیک در شبکه بیگانه خنثی پایدار خطر مهارشده: ناممکن بودن خوانش داده‌ها

ساختار پدافندی: مهار مخاطرات با پروتکل RiceGuard

گرچه توقف ارسال درخواست‌های کاوش به اصلاح رفتار کاربری در تنظیمات نیاز دارد، در امان ماندن از پیامدهای ورود به شبکه‌های جعلی به یک تونل رمزنگاری در لایه شبکه متکی است. اگر تلفن به صورت ناخواسته به روتر متخاصم ملحق شود، رمزنگاری یکپارچه مانع از به سرقت رفتن اطلاعات می‌گردد.

[سیستم‌عامل تلفن همراه]
                 │
                 ▼ (اتصال ناخواسته به روتر جعلی KARMA)
┌─────────────────────────────────────────────────────────────┐
│ مرز رمزنگاری در لایه شبکه با RiceGuard (روی دستگاه شما)     │
│                                                             │
│ ۱. مهار کلیه بسته‌های IP خروجی در کارت شبکه مجازی TUN       │
│ ۲. بسته‌بندی داده‌ها با رمزنگاری ChaCha20-Poly1305          │
│ ۳. قطع اضطراری ترافیک (Kill Switch) در زمان ناپایداری       │
└──────────────────────────────┬──────────────────────────────┘
                               │
                               ▼ (جریان بسته‌های رمزگذاری‌شده وایرگارد)
[روتر متخاصم / مهاجم] ◄── فقط بسته‌های رمزگذاری‌شده را مشاهده می‌کند
                               │  ناتوان در شنود ترافیک یا دستکاری DNS
                               ▼
[سرور واسط امن VPNRice]
                               │
                               ▼ (رمزگشایی و هدایت ترافیک به مقصد وب)
[سرویس اینترنتی مورد نظر]

فناوری VPNRice با اتکا به سازوکار RiceGuard از کاربران در برابر خطرات امواج محافظت می‌کند:

۱. عایق‌سازی مطلق در برابر دروازه‌های مشکوک

وقتی دستگاه در دام یک اکسس‌پوینت جعلی گرفتار می‌شود، روتر مهاجم تلاش می‌کند داده‌های وب را بخواند یا پاسخ‌های نام دامنه را تغییر دهد. فناوری RiceGuard در لایه ۳ (لایه شبکه) از طریق یک رابط مجازی TUN عمل می‌کند.

تمامی بسته‌ها پیش از خروج از درگاه فیزیکی با الگوریتم ChaCha20-Poly1305 یا AES-256-GCM رمزگذاری می‌شوند. دارنده روتر جعلی تنها جریانی از بسته‌های نامفهوم UDP را مشاهده می‌کند و از دستیابی به گذرواژه‌ها یا هدایت مسیرها محروم می‌ماند.

۲. کلید قطع خودکار ارتباط (Kill Switch)

برخی شبکه‌های متخاصم عمداً به پیوند ارتباطی اختلال وارد می‌کنند تا دستگاه را به ارسال بدون رمز وادارند. سامانه VPNRice از مکانیزم Kill Switch در سطح دیواره آتش سیستم‌عامل سود می‌برد. در صورت ناپایداری تونل، سامانه بی‌درنگ مانع ارسال بسته‌ها تا زمان احیای مجدد می‌گردد.

۳. کارگزاری سرورهای نام مستقل و حفاظت‌شده

به جای استفاده از سرورهای DNS ناامن روتر محلی، پروتکل RiceGuard همه درخواست‌های دامنه را از طریق سرورهای اختصاصی خود در درون تونل پردازش می‌کند و دستکاری‌های محلی را بی‌اثر می‌سازد.

راهکارهای کاربردی برای ارتقای امنیت در محیط‌های بی‌سیم

۱. پاکسازی فهرست شبکه‌های ذخیره‌شده: به تنظیمات وای‌فای رفته و شبکه‌های قدیمی اماکن عمومی مانند هتل‌ها و فرودگاه‌ها را حذف نمایید تا انتشار نام آن‌ها متوقف شود. ۲. خاموش کردن قابلیت اتصال خودکار: تنظیمات اتصال را به گونه‌ای قرار دهید که پیوستن به هر شبکه جدید مستلزم تأیید دستی شما باشد. ۳. خاموش کردن وای‌فای در زمان تردد: هنگام رفت‌وآمد در معابر شهری یا وسایل نقلیه عمومی، وای‌فای را به طور موقت خاموش کنید تا اسکن فعال متوقف گردد. ۴. پرهیز از پنهان ساختن نام شبکه (Hidden SSID): در منزل یا محل کار نام شبکه را مخفی نکنید؛ زیرا مخفی‌سازی، دستگاه‌های شما را مجبور به فریاد زدن نام شبکه در فضاهای بیرونی می‌نماید. ۵. حفظ پایداری پروتکل RiceGuard: بیرون از محیط‌های مطمئن، همواره برنامه VPNRice را با ساختار RiceGuard فعال نگاه دارید تا در صورت اتصال ناخواسته به روترهای ناشناس، امنیت داده‌های شما تضمین گردد.

شناخت ظرافت‌های فنی در پروتکل‌های ارتباطی به کاربران امکان می‌دهد روش‌های حفاظتی سنجیده را برگزینند و از حریم خصوصی خود در زندگی دیجیتال پاسداری کنند.