شرح الهوية الرقمية ما هي رموز الجلسات، ورموز التحديث، وملفات تعريف الارتباط، ومفاتيح API، ومفاتيح المحافظ فعليًا، ولماذا يستهدفها المهاجمون، وكيف يحميها محرك السلوك النواة الخاص بـ Cyber Crucible دون قراءتها إطلاقًا؟ هل تجمعون أي بيانات هوية؟ الإجابة المختصرة هي لا، نحن لا نفعل ذلك. الإجابة الأطول هي، لا، نحن لا نفعل ذلك، ولكن بطريقتين مختلفتين: أولاً، نحن لا نقوم أبداً بنقل كلمات المرور، أو ملفات تعريف الارتباط (cookies)، أو رموز oauth، أو أي شيء آخر يمكن اعتباره بيانات هوية إلى خوادم Cyber Crucible. وهذا صحيح سواء كان الخادم مستضافاً من قبل العميل، أو مستضافاً من قبل Cyber Crucible. ثانياً، تعلّمنا كيفية إجراء التحليل السلوكي لمعلومات الهوية، دون معالجة معلومات الهوية فعلياً. وهذا يعني أن تحليلاتنا لا تقوم فعلياً بمعالجة أو كشف بيانات حساسة مثل كلمات المرور الفعلية، أو رموز الجلسات، وما إلى ذلك. كيف يختلف هذا عن المراقبة التقليدية للهوية؟ تتميز قدرة Cyber Crucible في مكافحة سرقة الهوية الرقمية بأنها استباقية ووقائية. فهي تمنع الوصول إلى المعلومات اللازمة لتنفيذ عمليات الابتزاز، والتهديد، وسرقة الهوية الحديثة. تتعامل الحماية التقليدية من سرقة الهوية مع كلمات المرور والبيانات الأخرى التي تقع في أيدي المحتالين، وتراقب أمورًا مثل الاستخدام الاحتيالي لبطاقات الائتمان، أو الحصول على قروض احتيالية، أو اكتشاف كلمات المرور لاحقًا في خروقات البيانات. وهذا أسلوب تفاعلي بدرجة كبيرة، ويصعب على العملاء إدارته في حياتهم اليومية. كما أنه يفتح المجال، وهو ما لاحظته Cyber Crucible، لابتزاز الأفراد، بل وحتى إجبار الموظفين والمدراء التنفيذيين على مساعدة المهاجمين في مهاجمة أصحاب عملهم. هناك جهد منسق من قبل المهاجمين لاستهداف ملفات تعريف الارتباط (cookies)، وبيانات تسجيل الدخول، ومنصات المراسلة، وغيرها من أشكال المصادقة والبيانات الخاصة لتمكين هجماتهم. تمنع تحليلات Cyber Crucible المتخصصة في سرقة الهوية ذلك، بطريقة توفر اتخاذ قرارات سلوكية موثوقة دون الحاجة إلى تدخل المستخدم، في مواجهة أساليب الابتزاز الحديثة وهجمات مجرمي الإنترنت التي لا تعتمد على الملفات (fileless). ما هي بيانات الهوية التي تتم حمايتها؟ نظام تشغيل Windows الأساسي NTDS (Active Directory) ميزة قيد التطوير وسيستمر تحسينها بيانات اعتماد عميل VPN أسماء المستخدمين كلمات المرور المصادقة القائمة على المفاتيح متصفحات الويب ملفات تعريف الارتباط (cookies) رموز التحديث (رموز مصادقة "تذكرني") رموز oAuth (رموز الجلسة، رموز الوصول) كلمات المرور أسماء المستخدمين سجل التصفح تطبيقات التعاون والمراسلة جهات الاتصال أسماء المستخدمين سجلات المحادثات محتويات المحادثات المحفوظة مرفقات المحادثات المحفوظة مفاتيح تشفير الرسائل الخاصة كلمات المرور رموز oauth (رموز الجلسة، رموز الوصول، رموز التحديث) محافظ العملات المشفرة محتويات المحفظة سجلات المعاملات كلمات المرور مفاتيح التشفير الألعاب: قيد التطوير - حاليًا Steam فقط كلمات المرور المشتريات بيانات الاعتماد أسماء المستخدمين رموز oAuth (رموز الجلسة، رموز الوصول، رموز التحديث) مشاركة الملفات: قيد التطوير - حاليًا FileZilla فقط كلمات المرور المشتريات بيانات الاعتماد أسماء المستخدمين المصادقة القائمة على المفاتيح الخوادم وإعدادات الخوادم كيف تتم حماية بيانات الهوية؟ إجابة موجزة: تحدّد Cyber Crucible المواقع التي تُخزَّن فيها بيانات الهوية وتحمي تلك المواقع على مستوى النواة (kernel). عندما يحاول أحد البرامج الوصول إلى إحداها، يُتتبَّع وصوله ويُحلَّل — دون الوصول إلى كلمات المرور أو الرموز المميزة (tokens) أو مفاتيح التشفير نفسها أو جمعها على الإطلاق . وبناءً على هذا التحليل، يُسمح للبرنامج بالوصول، أو يُعطى بيانات مزيفة، أو يُرفض، أو يُعلَّق. حماية الوصول، لا حماية السر نفسه تعمل معظم حلول حماية الهوية على السر نفسه: تشفيره، أو تخزينه في خزنة، أو مراقبة ظهوره في تسريب بيانات. أما Cyber Crucible فتعمل على فعل السعي للوصول إليه . الهجمات الآلية يمكن التنبؤ بها بطريقة محددة واحدة — إذ يجب أن تذهب إلى مواقع معروفة للعثور على بيانات الاعتماد. فمخازن ملفات تعريف الارتباط الخاصة بالمتصفح، ومسارات بيانات اعتماد VPN، ومخزن بيانات الاعتماد في Windows، وملفات المحافظ، وبيانات Active Directory، جميعها موجودة في أماكن يعرفها المهاجمون مسبقاً. وهذا القابلية للتنبؤ هي الفرصة الدفاعية. تحدّد Cyber Crucible مخازن بيانات الهوية تلك ثم تحميها. ويُقيَّم أي برنامج يلمس أحدها، إلى جانب العمليات الأصلية والفرعية له والمكتبات التي حمّلها. لا يتم قراءة الأسرار مطلقاً هذا قيد تصميمي متعمد وليس أثراً جانبياً: يُتتبَّع الوصول ويُحلَّل دون الوصول إلى بيانات الاعتماد نفسها. لا تقوم Cyber Crucible بقراءة كلمات المرور أو رموز الجلسات أو ملفات تعريف الارتباط أو مفاتيح التشفير أو معالجتها أو جمعها أو نقلها — إلى أي خادم، سواء كان مستضافاً من قِبل Cyber Crucible أو من قِبل العميل. اتضح أن التحليل السلوكي للوصول إلى الهوية لا يتطلب بيانات الهوية نفسها. فما يهم هو أي برنامج يصل إلى أين، وفي أي سياق، وماذا فعل قبل ذلك — ولا شيء من هذا يتطلب فتح السر. والنتيجة هي أن آلية الحماية نفسها لا يمكن أن تصبح مصدر الاختراق، ولا يوجد مخزن مركزي لبيانات اعتمادك يمكن استدعاؤه قضائياً أو تسريبه أو فقدانه. ما الذي يقيّمه المحرك السلوكي القرار ليس "هل هذا البرنامج مدرج في قائمة؟" — بل "ماذا يفعل هذا الكود فعلياً الآن؟" وتشمل الإشارات: حالة الذاكرة وسلوكها — تُتبَّع عبر دورة حياة البرنامج بأكملها، بما في ذلك التغييرات في الذاكرة التي لا تصل أبداً إلى القرص. هذه هي طبقة الاستشعار الأساسية للمنصة، وهي مشتركة مع حماية البيانات و FortressAI وليست خاصة بالهوية فقط. نسب العمليات (Process lineage) — ما الذي أطلق هذه العملية، وما الذي أطلقته هي بدورها. نمط الوصول — هل هذا تطبيق عادي يقرأ بيانات اعتماده الخاصة، أم عملية مسح واسعة عبر مواقع هوية متعددة في آن واحد؟ نشاط المكتبات والحقن (Injection) — هل تم حقن شيء في هذه العملية الموثوقة أو تغييرها في الذاكرة؟ الاستجابة متدرجة، لا ثنائية ليس كل برنامج يسعى للوصول إلى بيانات الهوية مهاجماً، لذا تعتمد الاستجابة على طبيعة البرنامج وسلوكه: الحالة الاستجابة تطبيق معروف، غير مُستغَل، يصل إلى ما يحتاجه فعلياً مسموح تطبيق معروف، غير مُستغَل، لكنه يتجاوز نطاق وصوله المناسب يُعطى بيانات مزيفة، أو يُرفض الوصول — وفقاً لقواعد الخصوصية السلوكية تطبيق غير معروف يُرفض أو يُعلَّق ، وفقاً للمحرك السلوكي وإعداداتك تطبيق مُخترَق — تم استغلال عملياته أو مكتباته يُرفض أو يُعلَّق ، وفقاً للمحرك السلوكي وإعداداتك الحالة الوسطى أهم مما تبدو للوهلة الأولى. فالكثير من البرمجيات المشروعة تصل إلى مخازن الهوية بشكل أعمق مما تحتاجه فعلياً. وتعليق هذه البرمجيات سيعطل عمل المستخدم دون أي فائدة أمنية — لكن منحها بيانات اعتماد حقيقية يمثل تعرّضاً غير ضروري. وإرجاع بيانات مزيفة يُرضي البرنامج بينما يبقى السر الحقيقي في مكانه. التمييز الذي يقوم به المحرك هو بين برنامج موثوق يتجاوز حدوده وبرنامج غير معروف أو تم الاستيلاء عليه . فقط الحالة الأخيرة تُعامَل كهجوم. لماذا يحدث هذا على الجهاز الطرفي (endpoint) يمكن لأداة سرقة معلومات آلية أن تتسلل وتجمع البيانات وتحذف أدواتها الخاصة العاملة في الذاكرة خلال ثوانٍ. وإرسال بيانات القياس إلى خدمة سحابية وانتظار حكم منها لا يمكن أن يواكب هذه السرعة. لذا تعمل حلقة الكشف-القرار-الاستجابة (detect-decide-respond) الكاملة محلياً في النواة، وهذا أيضاً هو سبب عملها دون أي اتصال بالشبكة على الإطلاق. راجع أيضاً: "هل تجمعون أياً من بيانات الهوية؟" ، و*"ما بيانات الهوية المحمية؟" ، و "ماذا يحدث عندما يحاول برنامج الوصول إلى بيانات هوية لا ينبغي له الوصول إليها؟"* ما هي محافظ العملات المشفرة المحمية؟ Coinomi Armory ("Bitcoin Armory") Electrum Exodus Guarda ماذا يحدث عندما يحاول برنامج الوصول إلى بيانات هوية لا يحق له الوصول إليها؟ الإجابة المختصرة: يعتمد الأمر على ما إذا كان البرنامج موثوقًا وما إذا كان قد تم اختراقه. يُعطى التطبيق الشرعي الذي يتجاوز صلاحياته ببساطة بيانات مزيفة أو يُرفض طلبه بهدوء. أما التطبيق غير المعروف أو المخترق فيُرفض أو يُعلَّق. ولا يُسلَّم بيانات الاعتماد الحقيقية في أي من هذه الحالات. لماذا تكون الاستجابة الواحدة خاطئة التصميم البديهي هو "حظر أي شيء يلامس مخزن بيانات الاعتماد." لكن هذا يفشل فورًا في الواقع العملي، لأن البرمجيات الشرعية تلامس هذه المخازن باستمرار — فالمتصفحات، ومديرو كلمات المرور، وعملاء الشبكات الافتراضية الخاصة (VPN)، وأدوات المزامنة، وعملاء النسخ الاحتياطي، كلها لديها أسباب حقيقية للوصول إليها. حظر كل شيء يعطل الجهاز. والسماح لكل شيء موثوق يعني أن متصفحًا مخترقًا سيحصل على كل ما يطلبه. السؤال المفيد هنا أضيق نطاقًا: هل يتصرف هذا البرنامج بالطريقة التي يجب أن يتصرف بها؟ النتائج الأربع 1. مسموح. تطبيق معروف وغير مخترق يصل إلى ما يحتاجه فعليًا وبشكل شرعي. لا يتغير شيء. 2. إعادة بيانات مزيفة. تطبيق معروف وغير مخترق يتجاوز نطاق الوصول المناسب له. هنا تُطبَّق قواعد السلوك الخاصة بالخصوصية: يتلقى البرنامج بيانات معقولة لكنها مزيفة. ويستمر في العمل بشكل طبيعي، ولا تغادر بيانات الاعتماد الحقيقية مكان تخزينها أبدًا. ومن منظور البرنامج، لم يفشل شيء — وهذا بالضبط ما يجعل هذا الأسلوب يعمل دون تعطيل سير العمل. 3. رفض الوصول. الحالة نفسها، لكن حين لا يكون إرجاع بيانات مزيفة مناسبًا. يُرفض الطلب، بينما يستمر التطبيق في العمل. 4. الرفض أو التعليق. البرنامج غير معروف، أو أنه برنامج معروف لكن تظهر على عملياته أو مكتباته علامات استغلال. القلق هنا ليس التجاوز، بل أن البرنامج لم يعد يتصرف كذاته الحقيقية. ويعتمد قرار الرفض أو التعليق على تقييم محرك السلوك وعلى الإعدادات التي قمت بتكوينها. لماذا الخداع بدلًا من الحظر إعادة بيانات مزيفة خيار متعمد. فالطلب المحظور يُنبّه المهاجم إلى أنه قد اكتُشف، مما يدفعه لتجربة طريق آخر. أما البيانات المزيفة التي تبدو حقيقية فلا تفعل ذلك — إذ تستمر الأدوات في العمل ببيانات اعتماد لا تفتح شيئًا، وقد لا يدرك المُشغِّل وجود خلل لفترة من الوقت. هذا هو نفس المبدأ الكامن وراء "الملفات الفخّية" (canary files) في الدفاع ضد برامج الفدية: امنح المهاجم شيئًا مقنعًا يستولي عليه دون أن يكلفك ذلك شيئًا. قابلية التهيئة الحد الفاصل بين الرفض والتعليق قابل للضبط. فالبيئات ذات التحمل المنخفض للانقطاعات — كالأنظمة السريرية وخطوط الإنتاج — يمكن أن تميل نحو الرفض والبيانات المزيفة بدلًا من التعليق، بينما يمكن للبيئات ذات الأمان العالي أن تتبنى نهجًا أكثر صرامة. ما هو رمز الجلسة، ولماذا تُعد سرقته أسوأ من سرقة كلمة المرور؟ إجابة موجزة: رمز الجلسة هو بيانات الاعتماد التي يحتفظ بها متصفحك أو تطبيقك بعد تسجيل الدخول، وتثبت أنك موثّق بالفعل. غالبًا ما تكون سرقة هذا الرمز أسوأ من سرقة كلمة المرور لأنها تتجاوز عادةً كلًا من كلمة المرور والمصادقة متعددة العوامل — إذ يستأنف المهاجم ببساطة جلستك القائمة. لماذا يوجد إعادة إدخال كلمة المرور مع كل طلب أمر غير عملي، لذا بعد تسجيل الدخول بنجاح، تُصدر الخدمة رمزًا. ويحمل كل طلب لاحق هذا الرمز بدلاً من بيانات اعتمادك. وتثق الخدمة به كدليل على أنك قد صادقت بالفعل. لماذا يفضّله المهاجمون يتجاوز المصادقة متعددة العوامل. تُفحص المصادقة متعددة العوامل عند تسجيل الدخول. أما الرمز الصادر بعد هذا الفحص فيمثّل مصادقة تم اجتيازها بالفعل، لذا فإن إعادة استخدامه عادةً لا يستدعي العامل الثاني مجددًا. يبدو مشروعًا. بالنسبة للخدمة، الرمز الصالح يعني مستخدمًا صالحًا. لا توجد إشارة فشل تسجيل دخول ولا شيء غير اعتيادي يستدعي التنبيه. قابل للنقل. تعمل العديد من الرموز من جهاز أو شبكة أو بلد مختلف. لماذا غيّر هذا سلوك المهاجمين يتجنب المهاجمون بشكل متزايد البقاء لفترة طويلة داخل الشبكة. فالبقاء المقيم يزيد من احتمالية الكشف عنهم. بدلاً من ذلك، يأخذون مواد الهوية ويغادرون — ثم يعودون متى شاؤوا كمستخدم موثّق. الرمز هو باب خلفي يبدو مشروعًا أصدره نظام المصادقة نفسه. كيف تتعامل Cyber Crucible مع ذلك يتم إيقاف سرقة الرموز في لحظة الوصول ذاتها. فعندما يحاول أحد البرامج الوصول إلى مساحة تخزين المتصفح أو التطبيق حيث تُحفظ الرموز، يُقيَّم وصوله في أقل من 200 ميلي ثانية. فإذا كان البرنامج مشروعًا لكنه يتجاوز صلاحياته، يُمنح بيانات وهمية أو يُرفض؛ وإذا كان مجهولًا أو مخترقًا، يُرفض أو يُعلَّق. وفي الحالتين، لا يُسلَّم الرمز الحقيقي أبدًا. ما هو رمز التحديث (refresh token)، ولماذا يُعد فقدانه ضارًا بشكل خاص؟ إجابة موجزة: رمز التحديث (refresh token) هو بيانات اعتماد طويلة الأمد تُستخدم للحصول بصمت على رموز وصول جديدة دون الحاجة إلى تسجيل دخول المستخدم مرة أخرى. وهو ما تعتمد عليه ميزة "تذكرني". ونظرًا لقدرته على سك وصول جديد إلى ما لا نهاية، فإن سرقة رمز تحديث يمكن أن تمنح المهاجم وصولًا دائمًا لفترة طويلة بعد انتهاء جلستك. رمز الوصول مقابل رمز التحديث رمز الوصول (رمز الجلسة): قصير الأمد، يُستخدم في كل طلب، وتنتهي صلاحيته خلال دقائق أو ساعات. رمز التحديث: طويل الأمد، يُستخدم فقط لطلب رموز وصول جديدة. وقد يظل صالحًا أحيانًا لأسابيع أو أشهر. رمز الوصول المسروق ستنتهي صلاحيته في نهاية المطاف. أما رمز التحديث المسروق فيمكن استخدامه لتوليد رموز وصول جديدة بشكل متكرر — مما يحول عملية سرقة لمرة واحدة إلى وصول مستمر. لماذا تُعد "تذكرني" مقايضة يتطلب البقاء مسجّلًا للدخول تخزين شيء دائم على الجهاز. وهذه الراحة هي بالضبط ما يجعل الرمز المخزّن ذا قيمة للمهاجم. تُعد مخازن بيانات الاعتماد في المتصفحات والتطبيقات مواقع قياسية ويمكن التنبؤ بها، لذا تتجه الأدوات الآلية إليها مباشرة. تقليل الضرر يؤدي إبطال رمز التحديث إلى إبطال صلاحية الوصول الذي يمكنه سكّه — وهذا هو سبب أهمية خيار "تسجيل الخروج من جميع الأجهزة" وإبطال الرموز بعد أي اشتباه في الاختراق. لكن الإبطال هو استجابة تأتي بعد السرقة. يتمثل نهج Cyber Crucible في منع عملية القراءة من الأساس. يُعامل مخزن بيانات الاعتماد كموقع محمي: فالبرنامج الشرعي الذي يتجاوز صلاحياته هناك يتلقى بيانات وهمية أو يُرفض طلبه، بينما يُرفض البرنامج غير المعروف أو المخترَق أو يُعلَّق. ولا يُسلَّم رمز التحديث نفسه أبدًا. ما هي ملفات تعريف الارتباط الخاصة بالمتصفح، وكيف يسيء المهاجمون استخدامها؟ إجابة موجزة: ملفات تعريف الارتباط هي أجزاء صغيرة من البيانات يخزّنها موقع الويب في متصفحك، وبعضها عبارة عن ملفات تعريف ارتباط للمصادقة تُبقيك مسجّلاً للدخول. سرقة هذه الملفات تُعادل من الناحية الوظيفية سرقة جلسة نشطة — إذ يمكن للمهاجم تحميلها في متصفحه الخاص ليظهر بمظهرك أنت. ليست كل ملفات تعريف الارتباط متساوية في الأهمية ملفات تعريف ارتباط التفضيلات — اللغة، السمة، التخطيط. قيمة منخفضة. ملفات تعريف ارتباط التحليلات — قياس الاستخدام. قيمة منخفضة. ملفات تعريف ارتباط المصادقة / الجلسة — تثبت أنك مسجّل الدخول. قيمة عالية. يهتم المهاجمون بشكل شبه حصري بالفئة الثالثة. لماذا تكون سرقة ملفات تعريف الارتباط فعّالة عادةً ما لا تؤدي سرقة ملف تعريف ارتباط للمصادقة إلى تشغيل حدث تسجيل دخول، أو طلب كلمة مرور، أو تحدي مصادقة متعددة العوامل (MFA). الجلسة موجودة بالفعل؛ كل ما يفعله المهاجم هو تقديم إثبات عليها. ومن منظور التطبيق، يبدو هذا وكأنه نشاط اعتيادي مستمر. تخزّن المتصفحات ملفات تعريف الارتباط في مواقع ملفات معروفة ويمكن التنبؤ بها على كل نظام تشغيل، مما يتيح للأدوات الآلية تحديد موقعها دون معرفة أي شيء عن الجهاز المحدد. لماذا يُعد المتصفح نقطة محورية يحتفظ المتصفح بملفات تعريف الارتباط، وكلمات المرور المحفوظة، ورموز OAuth، والسجل في مكان واحد، مما يجعله الهدف الأغنى من نوعه فيما يتعلق بالهوية على معظم نقاط النهاية. وقد لاحظت Cyber Crucible ذلك مباشرةً: ابتداءً من الربع الرابع من عام 2023، ارتفعت الاستجابات الآلية ضد نشاط Chrome وEdge وChromium من الصفر إلى الآلاف، مع نشر ثغرات CVE ذات صلة لاحقًا من قبل Google وMicrosoft. الحماية يُعد تخزين بيانات اعتماد المتصفح أحد مواقع الهوية المحمية. تُقيَّم العملية التي تحاول قراءته وفق السياق — إذ تُعامل حالة المتصفح المُستغَل بشكل مختلف تمامًا عن حالته السليمة، وفي كلتا الحالتين لا يحصل الطلب المتجاوز لصلاحياته على ملف تعريف الارتباط الحقيقي. ما هو مفتاح API، وماذا يحدث في حال سرقته؟ إجابة موجزة: مفتاح API هو سلسلة نصية سرّية تُعرِّف وتُخوِّل برنامجًا — وليس شخصًا — عند اتصاله بخدمة ما. سرقة هذا المفتاح تتيح لمهاجم إجراء طلبات باسم تطبيقك، غالبًا دون أي تفاعل من المستخدم، ودون مصادقة متعددة العوامل، ودون أي إشارة واضحة إلى وجود خلل. لماذا تُعد أهدافًا جذابة لا يوجد عنصر بشري في الحلقة. المفاتيح مصمَّمة للاستخدام الآلي وغير المراقب، لذا لا توجد مطالبة بالمصادقة المتعددة العوامل لتعطيل العملية. غالبًا ما تكون واسعة النطاق. كثيرًا ما تُصدَر المفاتيح بصلاحيات أكبر مما تتطلبه المهمة. طويلة الأمد. لا يتم تدوير الكثير منها أبدًا، لذا قد يظل المفتاح المسروق اليوم صالحًا للعمل بعد أشهر. تُخزَّن في أماكن يمكن توقعها. ملفات الإعدادات، ومتغيرات البيئة، ومخازن بيانات الاعتماد — وجميعها مواقع يمكن للأتمتة تعدادها. العواقب النمطية اعتمادًا على ما يُخوِّله المفتاح: قراءة بيانات العملاء أو تصديرها، أو إرسال رسائل باسم مؤسستك، أو إنفاق أموال على حساب سحابي، أو الانتقال إلى أنظمة أخرى متصلة. ونظرًا لأن الطلبات مُصادَق عليها بشكل صحيح، فإنها عادةً تظهر في السجلات كأنها حركة تطبيق عادية. وغالبًا ما يحدث الاكتشاف بعد وقوع الحادثة بوقت طويل، عبر فاتورة أو عملية تدقيق. تقليل التعرّض قم بتحديد نطاق المفاتيح بدقة، وتدويرها بانتظام، وإبقائها بعيدة عن نظام التحكم في المصادر. هذه ممارسات سليمة، لكنها تحدّ من نطاق الضرر بدلًا من منع السرقة. تستهدف Cyber Crucible عملية السرقة نفسها. تُحمى مواقع بيانات الاعتماد والإعدادات، ويتم تقييم أي برنامج يقرأها في سياقه: بيانات وهمية أو رفض في حال التجاوز غير المشروع للصلاحيات، ورفض أو تعليق في حال كانت العملية مجهولة أو مُخترَقة. وفي الحالتين، لا يُسلَّم المفتاح. أين يخزّن نظام ويندوز كلمات المرور وبيانات الاعتماد؟ إجابة موجزة: في عدة مواقع يمكن التنبؤ بها — مدير بيانات اعتماد ويندوز (Windows Credential Manager)، ومخازن كلمات المرور في المتصفحات، وإعدادات عميل الشبكة الافتراضية الخاصة (VPN)، وعلى وحدات التحكم بالمجال (Domain Controllers) قاعدة بيانات Active Directory (NTDS). و"قابلية التنبؤ" هي الكلمة المفتاحية هنا: فالهجمات الآلية تعتمد على أن تكون هذه المواقع نفسها موجودة في كل جهاز. المخازن الرئيسية مدير بيانات اعتماد ويندوز (Windows Credential Manager) — بيانات تسجيل الدخول المحفوظة لموارد الشبكة والتطبيقات. مخازن كلمات المرور في المتصفحات — يحتفظ كل من Chrome وEdge وFirefox ببيانات الاعتماد المحفوظة في مسارات ملفات تعريف معروفة. بيانات اعتماد عميل VPN — أسماء المستخدمين وكلمات المرور ومواد المصادقة القائمة على المفاتيح. NTDS (Active Directory) — على وحدة التحكم بالمجال، توجد بيانات الاعتماد الخاصة بالمجال بأكمله. وهي الهدف الأعلى قيمة على الشبكة. مخازن خاصة بالتطبيقات — تحتفظ أدوات المراسلة والتعاون، وعملاء نقل الملفات، ومنصات الألعاب كل منها بمخازنها الخاصة. لماذا تُعد قابلية التنبؤ هي بيت القصيد لا يعرف المهاجمون شيئًا عن بيئتك المحددة. فأدواتهم الآلية مكتوبة استنادًا إلى مسارات موجودة في كل مكان — مثل C:\Users\[Username] ، ومجلدات بيانات التطبيقات القياسية، وأحرف محركات الأقراص القياسية. فالبرنامج النصي لا يحتاج إلى فهم شبكتك؛ بل يكتفي بالمرور عبر المسارات المعروفة. وهذه نقطة ضعف في أسلوبهم. فإذا كانت هذه المواقع بالذات هي التي تخضع للمراقبة، فإن اعتماد المهاجم نفسه على الموثوقية يصبح هو الشرك الذي يوقعه. ما تفعله Cyber Crucible حيال ذلك تُعد هذه المخازن نقاط الدخول المراقَبة لسرقة الهوية. فأي برنامج يقرأ منها يخضع لتقييم نيته في أقل من 200 ميلي ثانية — ويُعلَّق إذا كانت تلك النية خبيثة، قبل أن تُسرق أي بيانات اعتماد. ما هي مفاتيح محفظة العملات المشفرة، ولماذا تُعد سرقتها لا رجعة فيها؟ إجابة موجزة: مفتاح المحفظة هو المفتاح التشفيري الخاص الذي يُخوّل الإنفاق من عنوان عملة مشفرة. من يمتلكه يتحكم في الأموال. تُعد السرقة لا رجعة فيها فعليًا لأن معاملات سلسلة الكتل (blockchain) لا يمكن عكسها، ولا توجد جهة يمكن التظلم إليها. لماذا يختلف هذا عن البنك يمكن الطعن في رسوم بطاقة احتيالية وعكسها من قِبل الجهة المُصدرة. أما معاملة العملة المشفرة الموقّعة بمفتاحك الخاص فهي صالحة بحكم التعريف — إذ لا يمكن للشبكة التمييز بين سرقة وتحويل مشروع، ولا توجد سلطة مركزية لإلغائها. هذا ما يجعل مفاتيح المحفظة هدفًا جذابًا بشكل استثنائي: المكسب فوري ونهائي ويصعب تتبعه. ما يبحث عنه المهاجمون المفاتيح الخاصة وعبارات الاسترداد (seed phrases) المخزّنة في ملفات تطبيق المحفظة محتويات المحفظة وسجلات المعاملات المفيدة لاستهداف الضحايا الأعلى قيمة كلمات المرور التي تحمي المحفظة ، والتي غالبًا ما يُعاد استخدامها في أماكن أخرى يخزّن برنامج المحفظة على سطح المكتب هذه المواد في مواقع بيانات التطبيق المتوقعة — وهو النمط ذاته الذي يجعل كل مخزن اعتماد آخر قابلًا للوصول إليه بواسطة الأتمتة. الحماية تُعد ملفات المحفظة من بين مواقع الهوية التي تراقبها Cyber Crucible. ولأن الاستجابة تتمثل في التعليق الفوري لحظة الوصول الضار، تُمنع السرقة بدلاً من اكتشافها لاحقًا — وهذا الأمر أكثر أهمية هنا منه في أي مكان آخر تقريبًا، إذ لا يوجد مسار لاسترداد الأموال بمجرد تحريكها. راجع أيضًا: "ما هي محافظ العملات المشفرة المحمية؟" للاطلاع على التطبيقات المحددة المشمولة حاليًا. ما هو التوثيق القائم على المفاتيح، ولماذا تمنح المفاتيح المسروقة وصولًا دائمًا؟ إجابة موجزة: يثبت التوثيق القائم على المفاتيح الهوية باستخدام مفتاح خاص تشفيري بدلاً من كلمة المرور — وهو أسلوب تستخدمه SSH، والعديد من شبكات VPN، وعملاء نقل الملفات. يمنح المفتاح الخاص المسروق إمكانية الوصول دون الحاجة إلى أي كلمة مرور أو طلب مصادقة متعددة العوامل (MFA)، ونظرًا لأن المفاتيح نادرًا ما يتم تدويرها، يمكن أن يستمر هذا الوصول لفترة طويلة جدًا. كيف يعمل الأمر أنت تحتفظ بمفتاح خاص؛ والخادم يحتفظ بالمفتاح العام المطابق له. عند الاتصال، يصدر الخادم تحديًا لا يمكن الإجابة عليه إلا بواسطة المفتاح الخاص. المفتاح نفسه لا يعبر الشبكة أبدًا. هذا الأسلوب أقوى بالفعل من كلمات المرور — فهو يقاوم التخمين والتصيد الاحتيالي وإعادة الاستخدام. لكن نقطة ضعفه مختلفة: كل شيء يعتمد على بقاء ملف المفتاح الخاص سريًا. لماذا يكون المفتاح المسروق دائمًا إلى هذا الحد لا يوجد طلب لكلمة مرور. المفتاح هو بيانات الاعتماد. غالبًا لا يوجد مصادقة متعددة العوامل (MFA). غالبًا ما يكون التوثيق بالمفتاح قائمًا بذاته، خصوصًا في الأنظمة الآلية. نادرًا ما يتم تدويره. تنتهي صلاحية كلمات المرور وفق جدول زمني، بينما تبقى المفاتيح صالحة لسنوات في الغالب. تخزين يمكن التنبؤ به. في أدلة قياسية ومسارات إعدادات عملاء VPN. المفتاح المسروق هو باب خلفي هادئ ودائم، لا ينتج عنه أي محاولات دخول فاشلة، ويبدو شرعيًا تمامًا. الحماية تُعد مواد المصادقة الخاصة بشبكات VPN والتوثيق القائم على المفاتيح من بين فئات الهوية المحمية صراحةً. يتم تقييم الوصول على مستوى النواة (kernel)، بحيث يتم إيقاف أي برنامج يحاول جمع ملفات المفاتيح — إما برفضه أو تزويده ببيانات مزيفة إذا كان برنامجًا موثوقًا يتجاوز صلاحياته، أو رفضه أو تعليقه إذا كان غير معروف أو مخترقًا — قبل أن يغادر المفتاح الجهاز. لماذا تتطلب حماية بيانات الهوية وصولاً على مستوى النواة؟ إجابة موجزة: لأن السرقة تحدث في المساحة الفاصلة بين طلب أحد البرامج لبيانات بيانات الاعتماد وتسليم نظام التشغيل لها. فقط دفاعٌ يعمل على مستوى النواة — أسفل التطبيقات والمكتبات التي يمكن للمهاجم التلاعب بها — يستطيع رؤية ذلك الطلب، والحكم على نيته، وإيقافه في الوقت المناسب. المتطلبات الثلاثة 1. رؤية عملية الوصول أثناء حدوثها. سرقة الهوية ليست ملفًا يظهر على القرص؛ بل هي عملية قراءة. أدوات الفحص التي تبحث عن ملفات ضارة لا ترى شيئًا، لأنه في برمجيات سرقة المعلومات الحديثة لا يُكتب أي شيء. الحدث الذي يجب رصده هو محاولة الوصول نفسها. 2. اتخاذ القرار بسرعة كافية. يمكن للأدوات الآلية التسلل وجمع البيانات وحذف نفسها ذاتيًا في غضون ثوانٍ. أي بنية تُرسل بيانات القياس عن بُعد إلى خدمة سحابية وتنتظر حكمًا تكون قد خسرت السباق بالفعل. يجب أن يُتخذ القرار محليًا، خلال أجزاء من الثانية. 3. عدم الاعتماد على ما يتحكم فيه المهاجم. يمكن إعمى أدوات الأمان التي تعتمد على مكتبات نظام التشغيل عندما يخترق المهاجم تلك المكتبات في الذاكرة — إذ يستمر الوكيل في العمل دون أن يبلّغ عن أي شيء. صُمم Cyber Crucible عمدًا لينفصل عن مكتبات Windows حتى لا يتمكن نظام تشغيل مخترق من إسكاته. النتيجة العمل على مستوى النواة هو ما يتيح تحقيق الأمور الثلاثة في آنٍ واحد: الرؤية الكاملة لمحاولة الوصول، واتخاذ قرار محلي في أقل من 200 ميلي ثانية، والاستقلالية عن نظام تشغيل قد يكون مخترقًا. وهذا أيضًا ما يجعل الحماية تعمل دون أي اتصال — سواء في بيئات معزولة عن الشبكة، أو غير متصلة بالإنترنت، أو في البحر — إذ لا حاجة لخروج أي بيانات من الجهاز لاتخاذ القرار.