ما تسريب البيانات فعلا

ما الذي يخرج فعلا من تسريب

الصورة الشائعة عن تسريب البيانات أن كلمات المرور تتدفق نصا مقروءا. وليس هذا ما يحدث عادة، والحقيقة ليست أكثر طمأنة.

ما يخرج دائما تقريبا ثلاثة أشياء: عنوان البريد، واسم المستخدم، وبصمة كلمة المرور. والبصمة سلسلة تبدو بلا معنى تُبنى من كلمة المرور ولا طريق مباشرا للعودة منها؛ فالخدمة لا تخزن كلمة مرورك بل تخزن تلك السلسلة كي تقارن في المرة التالية. ويأتي مع هذه الثلاثة كل ما احتفظت به الخدمة أيضا: رقم الهاتف، والعنوان، وتاريخ الميلاد، وسجل الطلبات، وعنوان IP، وأحيانا نصوص الرسائل.

وامتلاك البصمة يعني أن المهاجم لا يملك كلمة مرورك. يعني أنه لا يملكها بعد. فإن كانت كلمة المرور قصيرة أو شائعة، فتخمين سلسلة تنتج البصمة نفسها مسألة ثوان، وإن كانت الخدمة قد استعملت طريقة قديمة لبناء بصماتها، فحتى كلمات المرور الأفضل لا تصمد.

وثمة جزء ثان يقال أقل: بيانات تسريب واحد تُدمج ببيانات تسريبات أخرى. البريد من واحد، ورقم الهاتف من آخر، والعنوان من ثالث. ولا يهم أي منها وحده، وهي مجتمعة ملف، وذلك الملف هو ما يحول رسالة احتيال من نص عام إلى رسالة تعرف اسمك ورقم طلبيتك.

لماذا لا تزال كلمة مرور تسربت قبل ثلاث سنوات خطرة

لا ينتهي التسريب حين يُنشر. بل عندها يبدأ، وما يأتي بعده لا يصنع خبرا أبدا.

وأهم ما يُفعل بتلك البيانات له اسم: حشو بيانات الاعتماد. تُؤخذ أزواج البريد وكلمة المرور وتُجرَّب آليا على عشرات الخدمات الأخرى. ولا شيء يُخمَّن ولا حاجة إلى ثغرة؛ فإن كنت قد استعملت كلمة المرور نفسها في مكان آخر، انفتح ذلك الحساب أيضا. ولاحظ أن الخدمة الثانية لم تفعل شيئا خاطئا. فالجسر الذي يصل الاثنين هو تكرار كلمة المرور لا غير.

والأمر الثاني أبطأ وواقعي بالقدر نفسه: البصمات تُكسر من جديد مع مرور الوقت. فالعتاد يزداد رخصا وسرعة كل سنة، وكلمة المرور التي كان كسرها مكلفا عام ٢٠١٥ لم يعد كسرها مكلفا اليوم. ومعنى ذلك أن بيانات تسريب قديم تصير أثمن مع الوقت لا أرخص.

والثالث هو ما وصفه القسم السابق: تُدمج البيانات وتتحول إلى تصيد موجَّه. فالرسالة التي تعرف من أي متجر اشتريت وكم دفعت أقوى من أي تحذير عام من الاحتيال.

فالسؤال الصحيح بعد سماع خبر تسريب ليس كم أساءت تلك الشركة التصرف. بل أين تعيش كلمة المرور نفسها أيضا.

كيف تعرف أن كلمة مرورك تسربت دون إرسالها إلى أي مكان

ثمة خدمة اسمها Have I Been Pwned جمعت كمّا من البيانات المسربة وتتيح لك أن تسأل إن كان بريدك أو كلمة مرورك فيها. وأول ما يقوله أي عاقل عن نصفها الثاني أن كتابة كلمة مرورك في موقع لتعرف إن كانت قد تسربت جنون. وهذا صحيح تماما، وليس هذا ما يحدث.

وإليك كيف تعمل. تُحوَّل كلمة المرور إلى بصمة على جهازك أنت؛ ولم يخرج بعد شيء من حاسوبك. ثم تُرسل الأحرف الخمسة الأولى من تلك البصمة فقط. وترد الخدمة بكل بصمة مسربة تبدأ بتلك الأحرف الخمسة، وتتم المطابقة النهائية على جهازك.

وفي ٧ سبتمبر ٢٠٢٦ نفذنا ذلك بالضبط. فلواحدة من أشيع كلمات المرور في العالم أعادت الخدمة ١٩٧٨ سطرا. ومعنى ذلك أن من يراقب ذلك الطلب لا يعرف إلا أن كلمة المرور المقصودة واحدة من تلك الـ١٩٧٨ ولا يعرف أيها؛ وكلمة المرور نفسها لم تغادر الجهاز قط.

والجواب الذي عاد لها رقم يستحق النظر. فالسلسلة password ظهرت ٥٢٬٣٧٢٬٤٢٧ مرة في مجموعة كلمات المرور المسربة. والسلسلة 123456 ظهرت ٢١٠٬٤٦١٬٢٠٨ مرات. وهذه ليست أعداد أشخاص بل أعداد مرات ظهور تلك الكلمة عبر التسريبات المجموعة، وهي تكفي لفهم أمر واحد: كل قائمة تخمين يستعملها مهاجم تبدأ من هنا.

وملاحظة عن الجواب السلبي. إن لم تُوجد كلمة مرور، فمعناه أنها ليست في البيانات التي تملكها هذه الخدمة. ولا يعني أنها كلمة مرور جيدة، ولا يعني أنها لم تتسرب قط؛ فالتسريب الذي لم يصر علنيا بعد ليس في أي قائمة.

ماذا تفعل بعد تسريب، بهذا الترتيب

يتفاعل معظم الناس بتغيير كلمة مرور الخدمة التي تسربت. وهذا ضروري وغير كاف، والأهم أنه أسهل الخطوات، فيكون عادة الخطوة الوحيدة التي يخطوها أحد.

والترتيب الذي ينفع فعلا أربع خطوات.

الخطوة الأولى هي تلك: غيّر كلمة مرور الخدمة المسربة. والثانية هي العمل الحقيقي وتأخذ أكثر الوقت: غيّرها في كل مكان آخر استعملت فيه كلمة المرور نفسها أو قريبة منها. وهنا يصير الحساب الواحد عشرة حسابات، وهنا يتعب معظم الناس ويتوقفون.

والخطوة الثالثة هي التحقق بخطوتين، وتبدأ بحساب البريد لا بالحساب المصرفي. والسبب أن البريد هو المفتاح الرئيسي: فزر «نسيت كلمة المرور» في كل خدمة أخرى يصل إلى ذلك الصندوق نفسه، ومن يملك بريدك يستعيد الباقي دون أن يحتاج إلى معرفة كلمات مرورها.

والخطوة الرابعة صبر. راقب بضعة أسابيع الرسائل التي تفتتح بمعلومات صحيحة ثم تطلب شيئا؛ وهو بالضبط ما وصف القسم الأول أن البيانات المدموجة تنتجه.

وأمر لا تفعله، لأنه شائع وعديم الفائدة: تغيير كلمة المرور إلى صيغة من الكلمة نفسها. فكلمة مرور أُضيف إلى آخرها رقم واحد لا تبني أي حماية أمام القائمة نفسها للأزواج نفسها؛ فتلك القوائم تجرب هذا النمط أيضا.

لماذا تحول كلمة مرور فريدة الكارثة إلى إزعاج

كل ما سبق يصل إلى نتيجة واحدة، والنتيجة جملة واحدة: إن كانت كلمة مرور كل خدمة ملكا لتلك الخدمة وحدها، فتسريب تلك الخدمة يفتح حسابا واحدا بالضبط وعملك تغيير كلمة مرور واحدة. أما إن تكررت كلمات المرور، فالتسريب نفسه يفتح من الحسابات بعدد ما حمل تلك الكلمة.

والفرق بين الحالتين هو الفرق بين عشر دقائق وعشرة أيام، ولا علاقة له بقوة كلمة المرور. فكلمة مرور قوية جدا مكررة في ثلاث خدمات تؤدي، حين تتسرب واحدة من الثلاث، أسوأ من كلمة ضعيفة فريدة.

والآن الموقف، لأن هنا يتعثر الناس: نعم، الاحتفاظ بكلمات مرور فريدة بلا مدير كلمات مرور غير ممكن واقعيا، ونعم، مدير كلمات المرور يعني كل البيض في سلة واحدة. وهذا اعتراض حقيقي ولا ننكره. لكن انظر إلى المقايضة كاملة: الجانب الآخر منها هو تكرار كلمة المرور، وهو أيضا كل البيض في سلة واحدة، إلا أن أيا من عشر شركات مختلفة قادر على كسرها. والخزنة المشفَّرة التي تُفتح بكلمة مرور رئيسية واحدة وعامل ثان هي المكان الأأمن، ونقول هذا موقفا لا حقيقة محايدة.

والمرحلة التالية من هذا النقاش هي بناء كلمة مرور تستحق أن تكون فريدة وتفعيل ذلك العامل الثاني؛ وكلاهما مشمول في دروس أخرى من مسار الأمن.

وإن كنت تدير موقعا، فلهذا الدرس نصف آخر. فتسريب البيانات ليس شيئا يحدث للخدمات الأخرى فحسب؛ فقاعدة بياناتك أنت تحمل صفوف البريد والبصمات نفسها وتساوي القدر نفسه. وتحصين ذلك الجانب هو ما ننفذه تحت عنوان أمن الموقع.