على مدى العام الماضي، حث الباحثون الأمنيون صناعة الشحن العالمية على دعم دفاعاتهم السيبرانية بعد سلسلة من سرقات البضائع التي تم ربطها بالقراصنة. يقول الباحثون إنهم شاهدوا عمليات اختراق متقنة تستهدف شركات الخدمات اللوجستية لاختطاف وإعادة توجيه كميات كبيرة من منتجات عملائها إلى أيدي المجرمين، فيما أصبح تواطؤًا مثيرًا للقلق بين المتسللين وعصابات الجريمة المنظمة الواقعية.
شاحنة توصيل للسجائر الإلكترونية المسروقة هنا، ويشتبه في سرقة جراد البحر هناك.
أمضت إحدى شركات تكنولوجيا الشحن الأمريكية غير المعروفة والحاسمة الأشهر القليلة الماضية في تصحيح أنظمتها الخاصة بعد اكتشاف مجموعة كبيرة من نقاط الضعف البسيطة، والتي تركت عن غير قصد أبواب منصة الشحن الخاصة بها مفتوحة على مصراعيها لأي شخص على الإنترنت.
الشركة هي Bluspark Global، وهي شركة مقرها نيويورك، وتسمح منصتها للشحن وسلسلة التوريد، Bluvoyix، لمئات الشركات الكبرى بنقل منتجاتها وتتبع حمولتها أثناء سفرها حول العالم. على الرغم من أن Bluspark قد لا يكون اسمًا مألوفًا، إلا أن الشركة تساعد في تشغيل شريحة كبيرة من شحنات الشحن العالمية، بما في ذلك عمالقة البيع بالتجزئة، ومحلات البقالة، وصانعي الأثاث، والمزيد. يتم استخدام برنامج الشركة أيضًا من قبل العديد من الشركات الأخرى التابعة لشركة Bluspark.
أخبر Bluspark موقع TechCrunch هذا الأسبوع أنه تم الآن حل مشكلاته الأمنية. أصلحت الشركة خمسة عيوب في منصتها، بما في ذلك استخدام كلمات مرور نصية عادية من قبل الموظفين والعملاء، والقدرة على الوصول إلى برنامج الشحن الخاص بـ Bluvoyix والتفاعل معه عن بعد. وكشفت العيوب عن إمكانية الوصول إلى جميع بيانات العميل، بما في ذلك سجلات الشحن الخاصة به، والتي يعود تاريخها إلى عقود مضت.
لكن بالنسبة للباحث الأمني إيتون زفير، الذي اكتشف الثغرات الأمنية في أنظمة Bluspark في أكتوبر، فإن تنبيه الشركة بالعيوب الأمنية استغرق وقتًا أطول من اكتشاف الأخطاء نفسها – حيث لم يكن لدى Bluspark طريقة واضحة للاتصال بها.
وفي منشور مدونة تم نشره الآن، قال Zveare إنه قدم تفاصيل العيوب الخمسة في منصة Bluspark إلى Maritime Hacking Village، وهي منظمة غير ربحية تعمل على تأمين الفضاء البحري، وكما هو الحال في هذه الحالة، تساعد الباحثين على إخطار الشركات العاملة في الصناعة البحرية بالعيوب الأمنية النشطة.
وبعد أسابيع، وبعد عدة رسائل بريد إلكتروني ورسائل بريد صوتي ورسائل LinkedIn، لم ترد الشركة على Zveare. وفي الوقت نفسه، لا يزال من الممكن استغلال العيوب من قبل أي شخص على الإنترنت.
كملاذ أخير، اتصل Zveare بـ TechCrunch في محاولة لوضع علامة على المشكلات.
أرسلت TechCrunch رسائل بريد إلكتروني إلى الرئيس التنفيذي لشركة Bluspark Ken O’Brien والقيادة العليا للشركة تنبههم إلى وجود ثغرة أمنية، لكنها لم تتلق أي رد. قامت TechCrunch لاحقًا بإرسال بريد إلكتروني إلى أحد عملاء Bluspark، وهي شركة تجزئة أمريكية مساهمة عامة، لتنبيههم بالثغرة الأمنية في المنبع، لكننا لم نتلق أي رد أيضًا.
في المرة الثالثة التي أرسل فيها TechCrunch بريدًا إلكترونيًا إلى الرئيس التنفيذي لشركة Bluspark، قمنا بتضمين نسخة جزئية من كلمة المرور الخاصة به لإثبات خطورة الثغرة الأمنية.
وبعد بضع ساعات، تلقت TechCrunch ردًا – من مكتب محاماة يمثل Bluspark.
كلمات مرور نص عادي وواجهة برمجة تطبيقات لم تتم مصادقتها
في منشور مدونته، أوضح Zveare أنه اكتشف الثغرات الأمنية في البداية بعد زيارة الموقع الإلكتروني لأحد عملاء Bluspark.
كتب Zveare أن موقع الويب الخاص بالعميل يحتوي على نموذج اتصال يسمح للعملاء المحتملين بإجراء استفسارات. من خلال عرض الكود المصدري لصفحة الويب باستخدام الأدوات المدمجة في متصفحه، لاحظ Zveare أن النموذج سيرسل رسالة العميل عبر خوادم Bluspark عبر واجهة برمجة التطبيقات (API) الخاصة به. (تسمح واجهة برمجة التطبيقات (API) لنظامين متصلين أو أكثر بالتواصل مع بعضهما البعض عبر الإنترنت؛ في هذه الحالة، نموذج الاتصال بموقع الويب وصندوق الوارد الخاص بعميل Bluspark.)
نظرًا لأن رمز إرسال البريد الإلكتروني تم تضمينه في صفحة الويب نفسها، فهذا يعني أنه من الممكن لأي شخص تعديل الكود وإساءة استخدام هذا النموذج لإرسال رسائل بريد إلكتروني ضارة، مثل إغراءات التصيد الاحتيالي، التي تنشأ من عميل Bluspark الحقيقي.
قام Zveare بلصق عنوان الويب الخاص بواجهة برمجة التطبيقات في متصفحه، والذي قام بتحميل صفحة تحتوي على وثائق واجهة برمجة التطبيقات التي تم إنشاؤها تلقائيًا. كانت صفحة الويب هذه عبارة عن قائمة رئيسية بجميع الإجراءات التي يمكن تنفيذها باستخدام واجهة برمجة التطبيقات الخاصة بالشركة، مثل طلب قائمة بالمستخدمين الذين لديهم حق الوصول إلى منصات Bluspark، بالإضافة إلى إنشاء حسابات مستخدمين جديدة.
تحتوي صفحة وثائق واجهة برمجة التطبيقات (API) أيضًا على ميزة تتيح لأي شخص القدرة على “اختبار” واجهة برمجة التطبيقات (API) عن طريق إرسال أوامر لاسترداد البيانات من خوادم Bluspark كمستخدم مسجل الدخول.
وجدت Zveare أن واجهة برمجة التطبيقات، على الرغم من ادعاء الصفحة أنها تتطلب مصادقة للاستخدام، لم تكن بحاجة إلى كلمة مرور أو أي بيانات اعتماد لإرجاع معلومات حساسة من خوادم Bluspark.
باستخدام قائمة أوامر واجهة برمجة التطبيقات (API) فقط، تمكن Zveare من استرداد مجموعة كبيرة من سجلات حسابات المستخدمين للموظفين والعملاء الذين يستخدمون منصة Bluspark، دون مصادقتها تمامًا. وتضمن ذلك أسماء المستخدمين وكلمات المرور، التي كانت مرئية بنص عادي وغير مشفرة، بما في ذلك الحساب المرتبط بمسؤول النظام الأساسي.
مع وجود اسم المستخدم وكلمة المرور الخاصين بالمسؤول في متناول اليد، كان من الممكن أن يقوم أحد المهاجمين بتسجيل الدخول إلى هذا الحساب والتسبب في حالة من الفوضى. بصفته باحثًا أمنيًا حسن النية، لم يتمكن Zveare من استخدام بيانات الاعتماد، لأن استخدام كلمة مرور شخص آخر دون إذنه يعد أمرًا غير قانوني.
نظرًا لأن وثائق واجهة برمجة التطبيقات (API) أدرجت أمرًا يسمح لأي شخص بإنشاء مستخدم جديد يتمتع بوصول المسؤول، فقد مضت Zveare قدمًا وفعلت ذلك، وحصلت على وصول غير مقيد إلى منصة سلسلة التوريد Bluvoyix الخاصة بها. قال Zveare إن مستوى وصول المسؤول سمح بعرض بيانات العملاء منذ عام 2007.
اكتشف Zveare أنه بمجرد تسجيل الدخول باستخدام هذا المستخدم الذي تم إنشاؤه حديثًا، يتم تغليف كل طلب واجهة برمجة التطبيقات (API) برمز مميز خاص بالمستخدم، وهو ما كان يهدف إلى ضمان السماح للمستخدم بالفعل بالوصول إلى صفحة البوابة في كل مرة ينقر فيها على رابط. لكن الرمز المميز لم يكن ضروريًا لإكمال الأمر، مما سمح لـ Zveare بإرسال الطلبات بدون الرمز المميز تمامًا، مما يؤكد أيضًا أن واجهة برمجة التطبيقات (API) لم تتم مصادقتها.
تم إصلاح الأخطاء، وتخطط الشركة لسياسة أمنية جديدة
بعد إجراء اتصال مع مكتب محاماة Bluspark، أعطى Zveare الإذن لـ TechCrunch بمشاركة نسخة من تقرير الضعف الخاص به مع ممثليه.
وبعد أيام، قالت شركة المحاماة إن Bluspark عالجت معظم العيوب وكانت تعمل على الاستعانة بشركة خارجية لإجراء تقييم مستقل.
تسلط جهود Zveare للكشف عن الأخطاء الضوء على مشكلة شائعة في عالم الأمن السيبراني. في كثير من الأحيان، لا توفر الشركات طريقة، مثل عنوان بريد إلكتروني مدرج بشكل عام، لتنبيهها بشأن الثغرات الأمنية. على هذا النحو، قد يجعل هذا من الصعب على الباحثين الأمنيين الكشف علنًا عن العيوب الأمنية التي لا تزال نشطة، بسبب المخاوف من أن الكشف عن التفاصيل قد يعرض بيانات المستخدمين للخطر.
قال مينغ لي، المحامي الذي يمثل Bluspark، لـ TechCrunch يوم الثلاثاء إن الشركة “واثقة في الخطوات المتخذة للتخفيف من المخاطر المحتملة الناشئة عن النتائج التي توصل إليها الباحث”، لكنها لن تعلق على تفاصيل نقاط الضعف أو إصلاحاتها؛ تحديد شركة تقييم الطرف الثالث التي تم التعاقد معها، إن وجدت؛ أو التعليق على ممارساتها الأمنية المحددة.
عندما سألتها TechCrunch، لم تذكر Bluspark ما إذا كانت قادرة على التأكد مما إذا كان قد تم التلاعب بأي من شحنات عملائها من قبل شخص يستغل الأخطاء بشكل ضار. وقال لي إنه “لا يوجد ما يشير إلى تأثير العملاء أو النشاط الضار الذي يعزى إلى المشكلات التي حددها الباحث”. ولم تذكر شركة Bluspark ما هي الأدلة التي توصلت إليها للوصول إلى هذا الاستنتاج.
وقال لي إن شركة Bluspark كانت تخطط لتقديم برنامج كشف يسمح للباحثين الأمنيين الخارجيين بإبلاغ الشركة عن الأخطاء والعيوب، لكن مناقشاتها لا تزال جارية.
الرئيس التنفيذي لشركة Bluspark، كين أوبراين، لم يقدم تعليقًا على هذا المقال.
للتواصل بشكل آمن مع هذا المراسل، يمكنك التواصل معه باستخدام تطبيق Signal عبر اسم المستخدم: zackwhittaker.1337
