برمجيات الفدية لا تبالي بأن هذه صور أطفالك

بعد ظهر الجمعة، 12 مايو 2017، شاهد موظفو الاستقبال في مستشفيات عبر إنجلترا شاشات حواسيبهم تتحول إلى الأحمر. ظهرت نافذة: ملفاتكم مشفّرة؛ أرسلوا 300 دولار بالبيتكوين؛ وسيتضاعف السعر بعد ثلاثة أيام. أُلغيت عمليات جراحية. وحُوّلت سيارات الإسعاف إلى مستشفيات أخرى.

سُمّي الهجوم WannaCry. وخلال يوم واحد وصل إلى نحو 200,000 حاسوب في 150 بلداً. وعلّم درساً ما زال قطاع الأمن يكرّره منذ ذلك الحين، لأن أحداً لا يريد سماعه: بالنسبة إلى برمجيات الفدية، بياناتك ليست ثمينة. إنها مخزون.

عند التشفير، كلّ شيء مجرّد بايتات

هذا أول ما يجب فهمه، وهو ما يجعل برمجيات الفدية مختلفة عن كل صنوف الجريمة الحاسوبية التي سبقتها. اللص يسرق ما له قيمة ويترك الباقي. أما برمجيات الفدية فتشفّر بلا تمييز — صور الأطفال، والإقرارات الضريبية، وفيديوهات الأعراس، وقوائم شحن شركة — لأن التشفير لا يحتاج إلى معرفة ماهية أيّ شيء. إنه يمشي عبر نظام الملفات، ويجد الملفات بامتداداتها، ويخلطها بتشفير من عيار عسكري لن يكسره أحد.

القسوة هنا بنيوية، لا شخصية. لم يستهدف أحدٌ المستشفى؛ شُفّرتَ لأنك كنت قابلاً للوصول — جهاز غير مُصحَّح على شبكة، يُشغّل نسخة ضعيفة من بروتوكول مشاركة الملفات SMB. انتشرت WannaCry مستخدمةً ثغرة EternalBlue، التي طوّرتها وكالة الأمن القومي الأمريكية وسرّبتها مجموعة تُدعى Shadow Brokers قبل ذلك بشهر. كانت ذكرياتك أضراراً جانبية في برنامج أسلحة يخصّ غيرك.

وبعد ستة أسابيع جاء NotPetya — متنكّراً في هيئة برنامج فدية، ومصمّماً كماسحٍ للبيانات — دخل عبر تحديث مخترَق لبرنامج M.E.Doc، وهو برنامج محاسبة ضريبية أوكراني، ثم تحرّك أفقياً عبر شبكات الشركات بالثغرات المسروقة نفسها، مشفّراً سجلات الإقلاع الرئيسية بحيث لم تستطع الأجهزة حتى أن تبدأ. لم يكن مهماً ما هي الملفات. كان المهمّ أنها موجودة.

«صورة طفل» كلّفت 300 مليون دولار

كانت الضحية الأكثر تعليماً في قصة NotPetya هي Maersk، عملاق الشحن الدنماركي — الشركة التي تنقل نحو خُمس الشحن البحري العالمي. في صباح 27 يونيو 2017، شاهد موظفو Maersk شاشاتهم تسودّ، واحدة تلو الأخرى، عبر مكاتب في أنحاء العالم. فُصلت الهواتف. وتعطّلت أنظمة الحجز التي تُجدول سفن الحاويات. وعلى مدى عشرة أيام، أدارت الشركة جزءاً معتبراً من عمليتها العالمية بالورق وواتساب وتعليمات تُنادى بأعلى الصوت.

وكانت عملية التعافي واحدة من أكبر عمليات إعادة بناء تقنية المعلومات التي نُفّذت تحت النار: نحو 4,000 خادم، و45,000 حاسوب، و2,500 تطبيق أُعيد تثبيتها من الصفر. وقُدّرت الفاتورة النهائية بما يتراوح بين 200 و300 مليون دولار. وخسرت ذراع FedEx الأوروبية، TNT Express، نحو 300 مليون دولار في الهجوم نفسه. وخسرت شركة الأدوية Merck نحو 670 مليوناً.

وإليك التفصيل الذي يهمّ هذه القصة: نجت Maersk، جزئياً، بالحظّ وبالانفصال. وحدة تحكّم نطاقٍ واحدة في غانا — غير متصلة في اللحظة الحرجة بسبب انقطاع محلي للكهرباء — نجت حين شُفّرت كلّ آلة متصلة. وذلك الخادم الوحيد المتعذّر الوصول إليه صار البذرة التي أُعيد بناء هوية شبكة الشركة بأكملها منها. النسخة التي عاشت كانت النسخة التي لم يستطع المهاجمون لمسها — ليست أفخر أنظمة النسخ الاحتياطي، بل ببساطة الوحيدة التي حدث أنها كانت مفصولة عن المقبس.

نسختك الاحتياطية على القائمة أيضاً

استراتيجية النسخ الاحتياطي لدى معظم الناس، إن وُجدت، تبدو هكذا: قرص خارجي موصول بالحاسوب، أو مجلّد يتزامن مع السحابة. وكلاهما قابل للوصول. وقابلية الوصول هي بالضبط ما تصطاده برمجيات الفدية.

برمجيات الفدية الحديثة لا تكتفي بتشفير مستنداتك. إنها تُحصي مشاركات الشبكة. وتشفّر قرص USB الجالس على مكتبك. وتحذف "نسخ الظل" في ويندوز — نقاط الاستعادة الخاصة بالنظام نفسه — قبل أن تتمكن من استخدامها. وبعض الأنواع يجلس بهدوء لأسابيع، يشفّر ببطء المجلّدات المتزامنة سحابياً، بحيث تنتشر النسخ الفاسدة إلى كل جهاز وتسمّم سجلّ الإصدارات. نسختك الاحتياطية، ومزامنتك، وقولك "لا بأس، إنها في السحابة" — كلّها على الشبكة نفسها، وخلف بيانات الاعتماد نفسها، وعلى بُعد حركة أفقية واحدة.

لهذا السبب يرسم أهل الأمن خطاً صارماً بين النسخة الاحتياطية والنسخة الاحتياطية المعزولة هوائياً. النسخة الاحتياطية نسخة. أما المعزولة هوائياً فهي نسخة لا يمكن الوصول إليها — لا من قِبلك في لحظة راحة، ولا من قِبل مهاجم في لحظة فرصة. الإزعاج هو الحماية بعينها. وكل اختصار يجعل النسخة الاحتياطية أسهل وصولاً يجعلها أسهل تدميراً.

فيزياء «لا طريق من هنا إلى هناك»

هناك سبب في أن المعيار الذهبي لهذا القطاع في التعافي من برمجيات الفدية بالكاد تغيّر خلال ثلاثين عاماً: نسخة دون اتصال، في موقع منفصل، مُختبَرة بالاسترجاع. مكتبات أشرطة. أقراص صلبة منفصلة. وسائط تُكتب مرة واحدة. التقنية غير برّاقة عمداً، لأن البريق سطحُ هجوم.

تأمّل ما سيكون على المهاجم فعله لتدمير نسخة معزولة هوائياً كما ينبغي. لا يستطيع الوصول إليها عبر الشبكة، لأنها ليست على شبكة. ولا يستطيع تشفيرها ببيانات اعتماد مسروقة، لأن لا بيانات اعتماد تفتح قرصاً جالساً في كيس مختوم على رفّ. سيكون عليه أن يجد المبنى مادياً، وأن يتجاوز الباب، وأن يضع يديه على الوسيط. وهذا يحوّل هجوماً برمجياً قابلاً للتوسّع — ثغرة واحدة، و200,000 ضحية — إلى عملية سطو. وعمليات السطو لا تتوسّع. وهذه هي اللعبة كلّها: برمجيات الفدية اقتصادُ حَجم، والفجوة الهوائية تكسر الاقتصاد.

كان لدى إبيقور كلمة للحالة التي ينتجها كل هذا: الأتاراكسيا، وتُترجم عادةً بالطمأنينة — الهدوء الذي يأتي لا من الاعتقاد بأن شيئاً سيئاً لن يحدث، بل من ترتيب الأمور بحيث لا يستطيع الشيء السيئ، إذا حدث، أن يصل إلى ما يهمّ. تبيعك معظم منتجات الأمن النوع الأول من الهدوء: ثق بنا، نحن نراقب. وتبيعك النسخة غير المتصلة النوع الثاني: لا يهمّ من يراقب، لأنه لا يوجد ما يمكن رؤيته أصلاً.

الانضباط غير البرّاق

لا شيء من هذا جديد. فقاعدة 3-2-1 — ثلاث نسخ، ونوعا وسائط، ونسخة واحدة خارج الموقع ودون اتصال — تسبق WannaCry بعقود. ما غيّرته حقبة برمجيات الفدية هو كلفة تخطّي الخطوة الأخيرة. ففي 2010، كان تخطّي نسختك غير المتصلة يعني المخاطرة بحريق منزل أو بقرص ميت. وفي 2017 وما بعدها، صار يعني المخاطرة بخصمٍ يصطاد نسخك بنشاط.

والخطوة الأخيرة ما تزال هي التي لا يقوم بها أحد، لأنها الوحيدة التي تقاوم الأتمتة. لا يمكنك أن تعزل هوائياً بوضع علامة في مربّع اختيار. لا بدّ أن يفصل أحدهم القرص، ويأخذه إلى مكان ما، ويفحص ختمه مرتين في السنة، ويصوّره ويسجّله، ويعيده إلى موضعه — وألا يُشغَّل القرص للتحقق من البيانات إلا حين يطلب مالكه ذلك كتابةً. إنه عمل من أعمال الصيانة اليومية — ترقيم، وختم، وتسجيل، وفحص — يُنجَز وفق جدول، إلى الأبد.

وهذا بالضبط سببُ فشله كعادة شخصية ونجاحه كمهنة. فأفضل من يقومون به هم من لا يكون بالنسبة إليهم عبئاً محشوراً بين الأعباء، بل الوظيفة بأكملها: استلام الوسيط، وختمه بشريط مرقّم، وتصوير الختم، وتخزين النسخ في مكانين، وفحص الأختام في مواعيدها، والتسجيل، والتكرار — وتشغيل القرص للتحقق منه فقط حين يطلب مالكه ذلك، كتابةً. عمل مملّ، وموثَّق، و— حين تتحوّل الشاشات إلى الأحمر بعد ظهر يوم جمعة — هو الفرق بين انقطاعٍ ونهاية.

صور أطفالك ليست أكثر أماناً لأن لبرمجيات الفدية قلباً. إنها أكثر أماناً حين لا يوجد ببساطة أيّ طريق من المهاجم إلى القرص. لا طريق، لا فدية. هذا ليس خطاباً تسويقياً لمنتج. هذه فيزياء.

توفر Everkeep حفظاً دون اتصال للأقراص المشفّرة التي تملكها وتشفّرها بنفسك: أختام مرقّمة، وسجلات مصوَّرة، ونسختان في موقعين منفصلين، وفحوص أختام وفق جدول — والتحقق بالتشغيل فقط بناءً على طلبك الكتابي. 199 دولاراً سنوياً لكل مساحة جهاز.