سُرقت الخزنة مرتين… والبضاعة كنتَ أنت

في 22 ديسمبر 2022 — قبل عيد الميلاد بثلاثة أيام، الموسم الأمثل لدفن الأخبار السيئة — حدّثت LastPass العالم بشأن حادث أمني كانت قد كشفت عنه أول مرة في أغسطس. نسخة أغسطس كانت مطمئنة: شخص ما تسلل إلى بيئة التطوير في الشركة وخرج بشيفرة المصدر وبعض المعلومات التقنية. لم تُمسّ بيانات العملاء، قالت الشركة. ولا الخزائن.

نسخة ديسمبر كانت مختلفة. فالمتسللون، كما تبين، استخدموا ما تعلموه في أغسطس للعودة — وهذه المرة نسخوا نسخاً احتياطية من بيانات خزائن العملاء. ليست قائمة بريدية. ولا قاعدة بيانات فواتير. الخزائن نفسها: المنتج الوحيد الذي كان سبب وجوده كله ألا ينتهي أبداً في أيدي شخص آخر.

الاختراق الأول كان استطلاعاً

في أغسطس 2022، حصل مهاجم على بيانات اعتماد أحد المطورين وقضى أياماً داخل بيئة تطوير LastPass، آخذاً أجزاءً من شيفرة المصدر ومعلومات تقنية مملوكة للشركة. استعانت LastPass بمحققين خارجيين، واحتوت الاختراق، وأخبرت العملاء بأن بياناتهم وخزائنهم لم تُمس. وبقدر ما كان بمقدور أي شخص أن يرى، كان ذلك صحيحاً — ولم يكن هو المهم.

مسلحاً بالمعلومات التقنية من الحادث الأول، استهدف المهاجم موظفاً آخر، وحصل على بيانات اعتماده، ووصل إلى خدمة تخزين سحابي خارجية كانت LastPass تحتفظ فيها بالنسخ الاحتياطية. ومن هناك أُخذت نسخ من معلومات حسابات العملاء ونسخ احتياطية للخزائن. لم يكن اختراق أغسطس هو الحدث الحقيقي أبداً. كان الاستطلاع. وكان ديسمبر هو العملية نفسها.

هذه نمطية رأيناها مرات كافية لنسميها بعد وقوعها: الحادث الأول نادراً ما يكون هو الكارثة. إنه رسم الخريطة للحادث الثاني.

شفّروا المحتوى… وتركوا الخريطة مكشوفة

وللإنصاف في حق التشفير: الحقول الحساسة داخل خزنة LastPass — أسماء المستخدمين وكلمات المرور والملاحظات الآمنة وبيانات النماذج — كانت مشفرة بمعيار AES-256، بمفاتيح مشتقة من كلمة المرور الرئيسية لكل مستخدم. لم تكن LastPass نفسها قادرة على قراءتها. ذلك الجزء من التصميم كان سليماً، وبقدر ما وصلت إليه التقارير العلنية، فإن التشفير نفسه لم يُكسر.

لكن النسخ الاحتياطية للخزائن حملت أيضاً بيانات لم تُشفر أبداً. عناوين المواقع المرتبطة بكل بيانات دخول محفوظة كانت مكشوفة بنص صريح، إلى جانب أسماء العملاء وعناوين بريدهم وفواتيرهم وأرقام هواتفهم وعناوين IP التي اتصلوا منها.

تأمل ما يعنيه ذلك. حصل المهاجمون على شيئين: الصناديق المقفلة — وبشكل منفصل، وبوضوح تام — فهرس كامل لما هو مقفل وأين ينتمي. عناوين مواقع خزنة أي شخص هي خريطة حياته: مصرفه، ومزود بريده، وشركة الوساطة ومنصة العملات المشفرة، وأنظمة جهة عمله، وبوابة عيادته، والحسابات التي يفضل ألا يتحدث عنها. لا تحتاج إلى فتح خزنة واحدة لتكون تلك الخريطة ذات قيمة. فهي تخبر المحتال بالضبط أي المؤسسات يستخدمها الهدف، وكيف يجب أن تبدو رسالة البريد المزيفة المقنعة. وحذّرت LastPass نفسها العملاء من توقع محاولات التصيد تلك بالذات.

شفّروا المذكرات. وتركوا الفهرس على الطاولة.

كلمة مرور واحدة… وكل الوقت في العالم

بالنسبة للمحتوى المشفر، كل شيء يرتكز على كلمة المرور الرئيسية — هكذا صُمم النظام. ما غيّره ديسمبر هو مكان التخمين. فالنسخة الاحتياطية المسروقة مشكلة دون اتصال الآن: النسخة تجلس على عتاد المهاجم نفسه. لا صفحة تسجيل دخول تحصي المحاولات الفاشلة، ولا إقفال بعد عشر محاولات، ولا تنبيه يصل إلى بريد أحد. كل تخمين مجاني وصامت وغير مستعجل — إلى الأبد.

كلمة مرور رئيسية طويلة وفريدة على حساب محدّث تجعل الخزنة هدفاً صعباً فعلاً؛ فالحسابات صحيحة. أما القصيرة أو المألوفة أو المعاد استخدامها فقصة أخرى — تصبح مسألة قدرة حاسوبية وصبر. وإعدادات الحسابات تباينت كثيراً: الحسابات القديمة حملت في الغالب إعدادات اشتقاق مفاتيح أضعف بكثير من توصيات الشركة اللاحقة، مما يعني أن عميلين بالكلمة نفسها قد يتمتعان بمستويين مختلفين تماماً من الحماية دون أن يعرفا.

وهكذا صار أمان الأرشيف كله مرهوناً بأشياء لا يستطيع أي عميل فحصها: قوة عبارة محفوظة في الذاكرة، والانضباط التشغيلي لشركة دُخلت بيئة تطويرها مرة ذلك العام. هذا وزن هائل على نقطة واحدة. والنقاط الواحدة هي حيث تفشل الأنظمة.

ما هو فعلاً في يدك

تعود رسائل سينيكا، مراراً، إلى تقسيم بسيط: بعض الأشياء بأيدينا وبعضها ليس كذلك، والعقل المستقر يأتي من معرفة الفرق. لا يمكنك أن تحكم بيئة تطوير مورّد. ولا أن تفحص موظفيه أو تدقق مزودي تخزينه أو تعيد جدولة إفصاحات ديسمبر الخاصة به. فإذا كانت أكثر موادك حساسية تعيش داخل منتج شخص آخر، فجزء من أمانها دالة في كفاءة أناس لن تلتقيهم أبداً، يعملون على أنظمة لن تراها أبداً.

ما يمكنك أن تحكمه هو القرار الذي تحت كل ذلك: ماذا يعيش أين. مدير كلمات المرور أداة معقولة لبيانات دخول الحياة اليومية، ومعظم الحياة اليومية يتحمل الخطر. لكن الأرشيف تحت بيانات الدخول — المذكرات والصور والسجلات التي لا تسلمها لأحد — لا يجب أن يكون ميزة في منصة شخص ما، منسوخاً عبر تخزينه الاحتياطي، منتظراً ديسمبره السيئ.

القرص الذي شفّرته بنفسك لا نسخة له في سحابة مورّد، ولا فهرس له مكشوف. له موقع وختم ومفتاح لا يوجد إلا في رأسك. لقد تعلمنا أن هذا هو ما يعنيه الناس فعلاً بكلمة آمن: ليس وعداً أقوى من شركة أكبر، بل غرباء أقلّ يقفون بينهم وبين ما لا يمكن تعويضه.

توفر Everkeep حفظاً دون اتصال للأقراص المشفرة التي تملكها وتشفرها بنفسك. نرقّمها ونختمها ونصورها ونخزنها — نسختان في موقعين منفصلين — ولا نرى ما بداخلها أبداً. 199 دولاراً سنوياً لكل مساحة جهاز.