ما هو الاختراق الأخلاقي

أين يقع الفرق بالضبط بين المخترق الأخلاقي والمهاجم؟

ليس في أي من المواضع التي يخمّنها الناس عادة. لا في الأدوات فهي واحدة. ولا في المعرفة فهي ذاتها. ولا حتى في العمل المنفَّذ، لأن خطوات اختبار الاختراق تشبه عمدا خطوات هجوم حقيقي، وقيمتها في هذا الشبه بالذات.

الاختراق الأخلاقي هو العمل نفسه، بإذن أُخذ قبل بدئه وكُتب، وبالتزام بإبلاغ مالك النظام بكل ما وُجد. هذا كل شيء. والدليل التقني للمعهد الأمريكي للمعايير يسمي هذه الوثيقة «قواعد التعامل»، ويعطي في معجمه تعريفا يحسم النقاش كله في جملة: قواعد التعامل تُوضع قبل بدء اختبار الأمن وتمنح فريق الاختبار «صلاحية تنفيذ أنشطة محددة دون حاجة إلى أذون إضافية». فالذي يملكه المخترق الأخلاقي ولا يملكه المهاجم صلاحية منحها له أحد.

وهذا ما يبقي كفتي الميزان في أعلى هذه الصفحة متعادلتين. فكل ما تضعه في كفة موجود في الأخرى: المسح نفسه، والتحليل نفسه، والسعي نفسه لإثبات ضعف. والذي يفصل بينهما ليس في أي من الكفتين أصلا.

وتخرج من هذا التعريف نتيجة مزعجة يفضّل كثيرون ألا يسمعوها. المهارة لا تجعلك أخلاقيا وحسن النية كذلك. فمن يزور موقع شركة بلا إذن كي «يساعدهم» يكون قد فعل، بحسب التعريف وبحسب القانون، ما يفعله المهاجم، ولو راسلهم بعدها ولم يطلب شيئا. والإذن شيء لا يعطيه إلا مالك النظام ولا معنى له إلا قبل العمل؛ أما بعده فهو تفسير لا إذن.

كيف يبدو اختبار الاختراق في الواقع؟

الصورة الشائعة شخص أمام شاشة سوداء. والصورة الحقيقية أكثرها أوراق. ودليل SP 800-115 الصادر عن المعهد الأمريكي للمعايير يعرّف اختبار الاختراق بأنه «اختبار أمني يحاكي فيه المقيّمون هجمات العالم الحقيقي لتحديد طرائق الالتفاف على الخصائص الأمنية لتطبيق أو نظام أو شبكة»، ويقسمه إلى أربع مراحل: التخطيط، والاستكشاف، والهجوم، والتقرير.

والمرحلة الأولى هي التي يقفز عنها الجميع. والوثيقة نفسها تقول صراحة إنه في مرحلة التخطيط «لا يجري أي اختبار فعلي»: تُحدَّد القواعد، وتُستكمل موافقة الإدارة وتُوثَّق، وتُحدَّد أهداف الاختبار. أي أنه قبل تنفيذ أمر واحد يجب أن يكون معلوما ما الذي يدخل في النطاق وما الذي لا يدخل، وأي الساعات مسموح بها، ومن يُوقَظ إن انكسر شيء.

والمرحلة الأخيرة لا تُرى بالقدر نفسه وهي في الحقيقة المنتج. فالذي يشتريه العميل ليس اقتحاما بل تقريرا: ماذا وُجد، وما مدى خطورته، وكيف يُعاد إنتاجه، وما الذي يجب تغييره. والفريق الذي دخل ولم يقدّم تقريرا صالحا للاستعمال لم يؤدِّ عمله.

وثمة تفريق يُباع كثيرا ولا ينبغي أن يُباع. والوثيقة نفسها تقوله بوضوح: ماسح الثغرات يفحص «إمكان وجود» ضعف فحسب، بينما مرحلة الهجوم في اختبار الاختراق تستعمل ذلك الضعف لتأكيد وجوده. فمخرجات ماسح آلي، مهما كانت ملونة وطويلة، ليست اختبار اختراق؛ بل قائمة احتمالات جزء كبير منها إنذار كاذب. ومن يبيعك مخرجات أداة باسم اختبار الاختراق فهو يحذف المرحلة الصعبة فعلا.

ونحن أنفسنا نحمل الاثنين على هذا الموقع بالذات ونفصل بينهما عمدا: فحص مجاني لا يقرأ إلا الصفحة العامة وترويسات الموقع، واختبار اختراق تصفه صفحة خدماتنا بعبارة أنه لا يُجرى دون إذن مكتوب من المالك.

القبعة البيضاء والسوداء والرمادية، بلا رومانسية

ثلاثة مصطلحات سمعها الجميع ويقلّ ذكر معناها الدقيق. القبعة البيضاء من يعمل بإذن ويسلّم ما يجده لمالك النظام. والقبعة السوداء من يدخل بلا إذن ويستعمل ما يجده لمصلحته. والقبعة الرمادية هو من يدخل بلا إذن لكن لا ينوي الاستغلال، وغالبا يخبر بعدها.

وعند الثالث ينبغي أن نكون صريحين. القبعة الرمادية ليست موقفا أخلاقيا وسطا بل موقف قانوني واضح: ما فعله كان بلا إذن وله في أكثر النظم القانونية التعريف نفسه الذي لفعل القبعة السوداء. وأن تراسلهم بعدها ولا تطلب شيئا قد يؤثر فيما يُقرَّر بشأنك، لكنه لا يغيّر التعريف. ومن يظنون أن حسن النية درع هم عادة من لم تصل أقدامهم إلى تلك المرحلة قط.

والطريق الصحيح لفعل الشيء نفسه موجود وليس معقّدا: كثير من الشركات لديها برامج مكافآت على الثغرات، أي أنها أعلنت مسبقا وعلنا ما الذي يدخل في النطاق وما المسموح وأين تُرسل التقارير. وذلك الإعلان العلني هو الإذن المسبق. وبرنامج المكافآت لدى غوغل مثال ينشر قواعده على صفحته الخاصة.

ولهذا وجه آخر لكل من يملك موقعا. فإن لم تكتب في مكان ما إلى أين يبلّغ من يجد ثغرة، فذلك الشخص إما يذهب إلى نموذج التواصل العام الذي قد لا يقرأه أحد، وإما لا يبلّغ أصلا. ومعيار RFC 9116 وُضع لهذا بالذات: ملف نصي بسيط على الموقع يقول إلى أين تُرسل التقارير الأمنية. ونحن أنفسنا لا نملك مثل هذا الملف بعد، ونقول ذلك صراحة في آخر هذا الدرس.

ماذا يقول القانون، ولماذا لا يكون حسن النية دفاعا؟

الدخول بلا إذن إلى نظام ليس لك جريمة عمليا في كل النظم القانونية، وإيران ليست استثناء. فقانون الجرائم الحاسوبية المصادق عليه في مايو ٢٠٠٩ يقول هذا بعينه في مادته الأولى، التي صارت المادة ٧٢٩ بعد إلحاقها بالكتاب الخامس من قانون العقوبات الإسلامي: من نال بلا إذن وصولا إلى بيانات أو أنظمة حاسوبية أو اتصالية محمية بتدابير أمنية يُحكم عليه بالحبس من واحد وتسعين يوما إلى سنة، أو بغرامة، أو بهما معا.

وعبارتان في تلك الجملة تؤديان العمل كله وتستحقان قراءة بطيئة. إحداهما «بلا إذن»، وهي المفهوم الذي يقوم عليه هذا الدرس كله. والأخرى «محمية بتدابير أمنية»، أي أن وجود قفل، مهما كان بسيطا، جزء من تعريف الجريمة. أما مبالغ الغرامة فقد عُدّلت مرة بقرار من مجلس الوزراء في مارس ٢٠٢١، فأي رقم تقرؤه في مكان قد لا يكون محدّثا ويجب أخذه من النص النافذ.

وإيران ليست وحدها في هذا ورؤية مثال ثانٍ تساعد. فقانون إساءة استعمال الحاسوب البريطاني لسنة ١٩٩٠ يسمي جريمته الأولى «الوصول غير المصرّح به إلى مواد حاسوبية». والنمط واحد في كل مكان: الكلمة المحورية هي الإذن، لا الضرر، ولا المهارة، ولا ما فعلته لاحقا بما وجدته.

فالإذن الحقيقي له ثلاثة شروط وكلها لازمة. أن يكون قبل العمل لا بعده. وأن يكون مكتوبا، فالحديث الشفهي لا قيمة له يوم تسوء الأمور. وأن يكون ممن يملك فعلا صلاحية منحه؛ فموظف المبيعات في شركة لا يستطيع أن يأذن لك باختبار خوادمها، ومالك الموقع لا يستطيع أن يأذن لك باختبار بنية شركة استضافته، لأن تلك البنية ليست له.

ولنكن صريحين في من نحن: نحن فريق ويب لا محامون. وما سبق وصف لنص قانون وليس مشورة قانونية. وإن اقترب عملك من هذا الحد فتحدث إلى من مهنته القانون قبل أن تفعل، لا بعده.

من أين يبدأ الطريق الحقيقي للتعلم؟

من أنظمة بناها أحد عمدا لتتمرن عليها. تبدو هذه الجملة بسيطة وهي في الحقيقة الجواب كله: ففي مختبر التمرين أُعطي الإذن مسبقا وكُتب في الخدمة نفسها، فصار الشيء الذي هو جريمة في الخارج تمرينا هنا.

وثلاثة مواضع تحمل الأسماء المعروفة في هذا. OverTheWire مجموعة ألعاب تُلعب بالدخول عن بعد إلى خوادمها، وأولى مجموعاتها لمن بدأ للتو؛ ولا تسجيل فيها ولا دفع. وTryHackMe وHack The Box يقدّمان مسارات تعلم ومختبرات تفاعلية، جزء من المحتوى مجاني وجزء باشتراك. وتلزم هنا ملاحظة صادقة: لم نتحقق من كيفية التسجيل والدفع في هذين من إيران، ونحن لا نكتب ما لم نتحقق منه؛ فانظر شروط كل منهما على صفحته.

ومسابقات التقاط العلم تجري على المنطق نفسه وهي صورته التنافسية: مسائل بناها أحد ونشرها لتُحل. وهي لأكثر الناس أمتع من القراءة وأثبت أيضا، لأن التعثر ثم الفهم يحدث فيها فعلا.

ثم الشهادات. ثلاث تتكرر في إعلانات الوظائف في هذا المجال: OSCP وتُنال بامتحان عملي يمتد ساعات، وCEH وامتحانها أكثر نظرية، وPenTest+ من CompTIA. وموقفنا منها واضح: الشهادة مرشّح توظيف لا برهان مهارة. فمن عمل شهورا في المختبرات بلا شهادة يتقدم عمليا على من درس للامتحان وحده، لكن سيرته قد لا تُقرأ أصلا. وإن كان هدفك التوظيف فأنت تحتاج الاثنين، والترتيب هكذا: المهارة أولا ثم الورقة.

وآخر ما نقوله في هذا، لأنه ما بدأ به هذا الدرس: لا تحتاج في هذا الطريق كله، في أي موضع، أن تمس نظاما ليس لك. وإن قال لك أحد إن التعلم يقتضي «التمرن على هدف حقيقي» فالنقاش ينتهي عند تلك الجملة.