تدقيق أمن شبكات الواي فاي

التدقيق اللاسلكي ليس أداة تُشغَّل على الشبكة ثم يصدر عنها تقرير؛ إنه أربع قياسات متتابعة، لكل واحدة مخرج مختلف ووقت تنفيذ مختلف. التمريرات الثلاثة الأولى قراءة فقط ويمكن أخذها في ساعات العمل في معظم المواقع، أما الرابعة فتغيّر سلوك الأجهزة وتحتاج نافذة زمنية متفقاً عليها ومهندساً على الطرف الآخر من الهاتف.

التمريرة الأولى جرد. نمشي في الموقع ونسجّل كل BSSID في المدى، شبكاتك وشبكات الجيران وطابعة في مستودع وراديو في قاعة اجتماعات لم يدخلها أحد منذ آخر انتقال للمكاتب، ثم نطابق قائمة المشاهدة مع قائمة نقاط الوصول التي تعتقد أنك تملكها. المطابقة هي النتيجة، لا المسح: مكتب فيه 120 موظفاً و28 نقطة وصول معتمدة ينتهي عادةً إلى 34 راديو يبثّ باسمه، ولكل راديو زائد مالك وكابل وقرار شراء خلفه.

التمريرة الثانية المصادقة لكل SSID. نسجّل الطريقة التي تفاوض عليها كل صنف من العملاء فعلياً، لا الطريقة المضبوطة على وحدة التحكم، لأن السجلين يختلفان أكثر مما يتفقان: شبكة مؤسسية مضبوطة على WPA3 في الوضع الانتقالي لا تزال تفاوض WPA2 مع ماسح في المستودع، وشبكة 802.1X لا تتحقق فيها الأجهزة من شهادة الخادم تجمع بيانات دخول لأي شخص يبثّ الاسم نفسه.

التمريرة الثالثة الوصول. من كل SSID نختبر ما يستطيع جهاز مرتبط أن يصل إليه، من المضيفين الداخليين والمنافذ وشبكة الطابعات وشبكة الإدارة وشبكة الضيوف في الاتجاه المعاكس، ونعرض النتيجة كمصفوفة أهداف ومنافذ مقيسة لا كصفة. والتمريرة الرابعة سلوك العميل: أي جهاز مُدار يلتحم تلقائياً بشبكة محفوظة تبثّها نقطة وصول أخرى، وأي هذه الأجهزة يحذّر مستخدمه قبل أن يفعل.

التفويض هو أول مخرج في المهمة، وليس ورقة تأتي بعد الفاتورة. قبل أن يُضبط أي راديو نحمل نطاقاً مكتوباً يحدد الكيان القانوني المالك للشبكة، والمواقع والطوابق المشمولة، وأسماء SSID وBSSID المصرح بها بالاسم لا بالمبنى، ونافذة الاختبار، والشخص الذي يستطيع إيقاف الاختبار، وقواعد التعامل مع أي بيانات تُلتقط. والموقّع يجب أن يكون قادراً على التصريح بالشبكة: مزود خدمة مُدار يستطيع أن يطلب تقييماً لشبكة عميل فقط بموافقة العميل المكتوبة، لذلك نطلب تلك الرسالة بدل قبول أمر شراء كدليل على التفويض.

العمل السلبي يأتي أولاً: الاستماع لا يحتاج بيانات دخول ولا ارتباطاً ولا يقطع خدمة، فيمكن أخذ الجرد والمسح الراديوي في ساعات العمل دون أن يلاحظ أحد. أما العمل النشط، من الارتباط كعميل إلى اختبار مفتاح مشترك مقابل مادة ملتقطة إلى اختبار الوصول وأي حقن إطارات، فيُنفَّذ داخل النافذة المتفق عليها، ويفضل خارج ساعات الدوام، لأن أساليب إلغاء المصادقة تُسقط أجهزة حقيقية من أرضية إنتاج، وماسح مستودع يفقد اتصاله في منتصف عملية فرز هو توقف عمل لا اختبار.

نتفق على شروط التوقف كتابةً أيضاً: نظام حرج للسلامة يجب أن يبقى مرتبطاً، وصنف أجهزة طبية لا يُلمس، وطابق مستأجر خارج النطاق. المهندس الذي ينفذ الاختبار يحمل تلك القائمة معه، والتقرير يسجّل كل إجراء مقابل الساعة، حتى يمكن نسبة أي انقطاع غير متوقع عند العميل إلى الاختبار أو نفيه عنه بدليل.

كل نتيجة في التقرير تسمّي القياس الذي أنتجها، والموقع الذي قيست منه، والأثر الذي يثبتها. فنتيجة مفتاح مشترك ليست سطراً يقول إن كلمة المرور ضعيفة، بل طريقة الالتقاط، وكلفة اشتقاق المفتاح، ومساحة احتمالات صنف العبارة، والحساب الذي يبيّن زمن المسح الكامل عند معدل تخمين معلن. هذا الفرق مهم تجارياً: مفتاح يقاوم 232 سنة من زمن المعالجة الرسومية ليس هو النتيجة، والنتيجة أن سراً واحداً مشتركاً يحمله كل من التحق بالشبكة منذ 2019 ولا يمكن تدويره دون لمس كل جهاز.

ونتيجة التقسيم سطر في مصفوفة لا ادعاء: من شبكة الضيوف أجابت ثلاثة من ثلاثة طابعات مختبرة على الشبكة المؤسسية، أي أن عزل الضيوف سياسة مكتوبة وليس ضابطاً منفذاً. ونتيجة نقطة وصول دخيلة تسمّي منفذ السويتش، وسحب الطاقة عبر الإيثرنت، وبادئة OUI التي تربط الراديو بالسلك، لأن بثّاً تسمعه ولا تستطيع تحديد موقعه صورة وليس نتيجة. ونتيجة سلوك العميل تسمّي صنف الجهاز وإصدار نظام التشغيل والإعداد الذي سمح له بالالتحام بشبكة شبيهة.

وكل نتيجة تحمل أيضاً مالكاً وإصلاحاً قابلاً للتحقق من خارج الشبكة. إزالة نقطة وصول غير مصرح بها تُتحقق بمسح ثانٍ. ودفع ملف تعريف للتحقق من الشهادة يُتحقق بقراءة إعداد المُوصِّل على الجهاز، لا بالثقة بأن الملف طُبّق. وتدوير مفتاح مشترك يُتحقق بالتأكد أن المفتاح القديم لم يعد يرتبط. وإذا كان الإصلاح لا يمكن فحصه بهذه الطريقة، نقول ذلك ونقترح الفحص قبل قبول العمل.

العمل اللاسلكي يُقدَّر بعدد المواقع، وعدد نقاط الوصول، وما إذا كانت المهمة تشمل اختباراً نشطاً داخل نافذة تغيير. ولا نضع رقماً ثابتاً على هذه الصفحة، لأن الرقم يفقد صلاحيته أسرع من النص، ولأن السعر يعتمد على سوق التنفيذ وكلفة السفر والعمل خارج ساعات الدوام، وكلها تتغير دون أن يتغير المنهج.

ما يمكن التعبير عنه بثبات هو الجهد. موقع واحد بخمس نقاط وصول أو أقل وبشبكتين إلى ثلاث شبكات يحتاج يوماً إلى يومين من عمل مختبِر واحد. ومكتب متعدد الطوابق بست إلى عشرين نقطة وصول مع مصادقة مؤسسية وعزل للضيوف يحتاج ثلاثة إلى خمسة أيام. وحرم من عدة مبانٍ مع إنترنت أشياء وتقنية تشغيلية يُجدول وفق نوافذ التغيير بدل الوعد بعدد أيام ثابت. والعمل خارج ساعات الدوام والسفر يضيفان جهداً، وإعادة الاختبار بعد المعالجة تُقدَّر منفصلة، حتى يكون لاختبار القبول سعر معلوم قبل أول مسح.

وإعادة الاختبار ليست بنداً اختيارياً في العقد بقدر ما هي تعريف للانتهاء: المهمة تنتهي عندما يصبح كل إصلاح مقيساً مرة أخرى، لا عندما يُسلَّم التقرير.

التقييم الراديوي لا يستطيع أن يخبرك بما لم يسمعه. فإذا شُغّلت نقطة وصول دخيلة ساعتين يوم أحد ثم أُزيلت، فلن يجدها مسح يوم الثلاثاء؛ هذه الفجوة تُغلق بسجل كشف الدخلاء في وحدة التحكم وبالمراقبة المستمرة، وهي شراء مختلف. التقييم عيّنة من الفضاء الراديوي في لحظة، والتقرير يقول ذلك بدل أن يوحي بضمان مستمر.

ولا يستطيع التقييم أن يرى خلف تشفير حديث. فإذا كانت الشبكة تعمل بـ WPA3 مع إطارات إدارة محمية وشهادات لكل جهاز، فلا يوجد هجوم غير متصل على الالتقاط، وأي ادعاء بفك تشفير حركة العملاء على شبكة مضبوطة بهذا الشكل هو إما وصف خاطئ أو دليل على أن الإعداد لم يكن كما ذكرت وحدة التحكم. وما يمكن إثباته على شبكة كهذه هو الوصول وسلوك العملاء ونظافة بيانات الدخول والجرد، وهي عادةً الموضع الذي توجد فيه النتائج الحقيقية.

وثلاثة استثناءات أخرى تُكتب في التقرير لا في محادثة البيع: الجانب السلكي بعد ربط نقطة الوصول، والأمن المادي والوصول إلى الكابلات، وسلسلة التوريد خلف نقاط الوصول نفسها، من مصدر البرنامج الثابت إلى حساب وحدة التحكم السحابية إلى بيانات الدخول الافتراضية للمصنّع. ووحدة التحكم السحابية تستحق الذكر صراحةً، لأن حساب وحدة تحكم لاسلكية أصبح اليوم دخولاً إدارياً مكشوفاً على الإنترنت يستطيع دفع إعداد إلى كل راديو في الموقع، واصطياد ذلك الحساب أسرع طريق إلى SSID دخيل من أي أسلوب راديوي في هذه الصفحة.

العمل اللاسلكي أقرب إلى الخط القانوني من معظم أعمال الأمن، لأن المحيط الراديوي يمتد إلى مساحة لا تملكها. وكل مهمة هنا محدودة بشبكات يملكها العميل أو مصرح له كتابةً باختبارها، والتفويض يسمّي SSID وBSSID بالاسم لا المبنى فقط. وتقييم شبكة جار، أو شبكة إدارة مبنى مشترك، أو واي فاي قاعة مؤتمرات خارج النطاق مهما كانت الإشارة مثيرة، والمسح الذي يرى تلك الشبكات يسجّل المشاهدة ولا شيء غيرها.

والقاعدة نفسها تحدد ما يمكن أن يكون عليه العمل السكني. فشبكة منزل يمكن تقييمها عندما يكون من يطلب التقييم مالك الاتصال والراوتر، كأب يراجع أمن شبكة منزله أو صاحب عمل صغير يعمل من مرآب محوَّل. ولا يمكن تنفيذها على شبكة شريك أو مستأجر أو فرد بالغ من الأسرة دون موافقته الشخصية، ولن يُعرض تقييم جهاز لا تملكه أياً كانت صيغة الطلب.

وحيث يعمل العميل في قطاع منظم، يُكتب التقرير بحيث يُسلَّم إلى مدقق دون دراما حجب: النتائج مفصولة عن المادة الخام، وبيانات الدخول والمواد الملتقطة تُوصف ولا تُنسخ، وأي بيانات شخصية تظهر في سجلات الارتباط تُقلَّل عند الجمع بحسب مقتضيات الغرض في نظام حماية البيانات الشخصية، فلا يُجمع من السجلات أكثر مما يحتاجه السؤال. وإذا كان معيار أو شركة تأمين يطلب مسحاً ربع سنوي، فالمهمة المتكررة مسح جرد وكشف دخائل وليست تقييماً كاملاً، وسنقول أياً من الاثنين تشتري.