الأمن التقني

شرح مصور.. مخاطر الكوكيز

المجد –

في ظل التطور التقني المتزايد, أصبح الحفاظ على المعلومة في الشبكة العنكبوتيّة من التطفّل والسرقة أمراَ ليس بالسهل. فمستخدم الشبكة العنكبوتيّة يواجه خطورة سرقة معلوماته الشخصيّة واستخدامها لارتكاب الجرائم الإلكترونيّة بدون علمه. لهذا السبب أصبح من الضروري تثقيف المستخدم بهذه المخاطر وتوعيته بأساليب الحماية أو الوسائل التي تقلّل من سرقة المعلومات وانتهاك الخصوصيّة.

عملية الطلب والإستجابة بإستخدام بروتوكول نقل النصّ التشعبي

في هذا الموضوع سنسلط الضوء على إحدى الوسائل التي تستخدم بشكل خاطئ في  انتهاك خصوصية المستخدم. سنقدّم نبذه بسيطة عن ماهية الكوكيز, محتوياتها, أنواعها, آلية عملها, مخاطرها وكيفيّة الحماية منها.

1.     الكوكيز:

عبارة عن ملف نصّي وخادم صفحة الويب بتخزينه على القرص الصلب لجهاز المستخدم عن طريق المتصفّح عند زيارة المستخدم لصفحة الويب. يتمّ تبادل ملفات الكوكيز بين الخادم وصفحة الويب عن طريق بروتوكول نقل النص التشعبي (HTTP).تحتوي ملفّات الكوكيز على معلومات يستفيد منها الخادم في تعريف وتحديد هوّية المستخدم عند زيارتة لصفحةا لويب مرة أخرى.

ملفات الكوكيز خاصة بصفحة الويب التي قامت بتخزينها على القرص الصلب, بمعنى أنّه يتمّ قراءة واسترجاع المعلومات المخزّنة في ملفّات الكوكيز فقط من قِبل صفحة الويب التي قامت بتخزينها ولا يمكن لصفحات الويب الأخرى الإطلاع على محتويات هذه الملفات.

 2. محتويات الكوكيز:

تختلف محتويات الكوكيز تبعاً لصفحة الويب التي قامت بتخزينها, ولكن هناك محتويات أساسيّة يجب أن تكون متواجدة في أيّ ملف كوكيز مخزّن على جهاز المستخدم. هذه المحتويات تشمل:

1- اسم الملف.

2-  مُحتوى الملف.

3- عنوان صفحة الويب التي قامت بتخزين الملف.

4- امتداد الملف.

5- نوع اتصال الإنترنت.

6-  تاريخ انتهاء مفعول الملف.

محتويات الكوكيز

 

3. أنواع الكوكيز:

1-  ملفّات الكوكيز المؤقّتة (Session cookies):

هي ملفات يتمّ تخزينها بشكل مؤقت في ذاكرة جهاز المستخدم أثناء زيارته لصفحة الويب ويتمّ التخلّص منها بعد إغلاق المتصفّح مباشرة. الغرض منها هو التعرّف على المستخدم أثناء انتقاله من صفحه إلى أُخرى.

2-   ملفّات الكوكيز الدائمة (Persistent cookies):

هذه الملفّات تبقى مُخزّنة بشكل دائم حتّى بعد إغلاق المستخدم للمتصفح ولا يتمّ التخلّص منها إلاّ بإزالتها يدوّياً أو عند انتهاء وقت مفعولها.يستخدم هذا النوع لحفظ تفضيلات المستخدم (طريقة عرض الصفحة, الألوان, اللغة وغيرها) لتطبيقها عند زيارته لصفحة الويب لاحقاً.

 4. آلية عملها:

عند زيارة المستخدم لصفحة الويب لأوّل مرّة, يقوم الخادم بإرسال ملف نصيّ إلى المتصفّح عن طريق بروتوكول نقل النصّ التشعبي (HTTP), ومن ثمّ يقوم المتصفّح بتخزين هذا الملف على القرص الصلب لجهاز المستخدم. عندما يزور المستخدم صفحة الويب مرّة أخرى يقوم الخادم بإرسال طلب إلى المتصفّح بواسطة بروتوكول (HTTP) لقراءة واسترجاع معلومات المستخدم للتعرّف علية.يتمّ تشفير محتويات ملف الكوكيز أثناء عملية نقلها بين المتصفّح والخادم للحفاظ عليها من التطفّل والسرقة. المعلومات المخزنة في ملفّات الكوكيز هي معلومات سبق وأن قام المستخدم باستعمالها في صفحة الويب, لأن الكوكيز لا تستطيع معرفة وتخزين معلومات لم يسبق للمستخدم استعمالها في صفحات الويب.

5.  استخدامات الكوكيز:

1- من أهمّ استخدامات الكوكيز هي التعرّف على المستخدم وتسهيل عملية دخوله لصفحة الويب. فإذا كان الأمر يتطلب إدخال اسم المستخدم وكلمة المرور للدخول إلى صفحة الويب, فبإمكان المستخدم توفير الوقت و الدخول مباشرة عن طريق السماح لصفحة الويب بتخزين ملفات الكوكيز على القرص الصلب واسترجاعها عند دخوله مرة أخرى ليتمّ التعرّف علية مباشرة دون الحاجة لإدخال اسم المستخدم وكلمة المرور.

2-  تُمّكن المستخدم من اختيار تفصيلاته, فبعض صفحات الويب تسمح للمستخدم اختيار لغة و طريقة عرض صفحة الويب المناسبة له, ومن ثمّ حفظها وإعادة تطبيقها عند دخوله لاحقاً مُحققّة بذلك ما يسمّى بـالتخصيص (personalization).

3-  تُستخدم تقنية الكوكيز في مواقع التجارة الإلكترونيّة عن طريق حفظ تفضيلات ومشتريات المستخدم على المدى البعيد و من ثمّ اقتراح وعرض الصفحات المُلائمة لتفضيلاتة.

4-  تستخدم المواقع الإعلانيّة والتسويقيّة تقنية الكوكيز لجمع معلومات عن المستخدم ومراقبة تصرّفاته في الشبكة العنكبوتيّة بهدف عرض الإعلانات المناسبة لرغباته بناءً على تلك المعلومات.

 6.    مخاطر الكوكيز:

قد يستخدم البعض ملفات الكوكيز بطريقة خاطئة قد تؤدّي إلى خرق الخصوصيّة وتسبب مخاطر لمستخدم الشبكة العنكبوتيّة. سنستعرض هنا بعض هذه المخاطر:

1-    خطف الكوكيز (Cookie hijacking):

في هذه الحالة يقوم المتطفّل باعتراض وسرقة محتويات ملف الكوكيز أثناء انتقاله بين المتصفّح و خادم الويب(شكل3) عن طريق تقنية شمّ الحزمة (packet sniffing). تزداد خطورة هذه العملّية عندما تكون محتويات ملف الكوكيز غير مشفّره. يمكن التقليل من احتمال حدوث هذه المشكلة عن طريق تشفير محتويات ملف الكوكيز ونقلها في قنوات ذات حماية عالية.

خطف الكوكيز

 

2-    التلاعب بمحتويات الكوكيز (Cookie poisoning):

ذكرنا سابقاً أنّه لا يتمّ قراءة وتعديل محتويات ملف الكوكيز إلاّ من قبل صفحة الويب التي قامت بتخزين الملف. ولكن في هذه العملية يواجه كل من المستخدم وصفحة الويب خطر تغيير محتويات الملف من قبل طرف خارجي. يقوم المتطفّل بتغيير محتويات الملف قبل إرساله إلى خادم الويب(شكل4). تعتبر هذه العملية خطرة جدّاً بالنسبة لمواقع التجارة الإلكترونيّة, حيث يتمّ تغيير بيانات وسعر الشراء قبل وصولها إلى الخادم مما قد يتسبب بخسائر مادّية كبيرة لهذه المواقع. و تكمن خطورة العملية بالنسبة للمستخدم في عمليّة انتحال الشخصيّة وسرقة الهوّية, حيث يصبح المتطفّل قادراً على تغيير محتوى الملف وإعادة إرساله مرة أخرى للخادم باستخدام بيانات شخص آخر.

من الحلول الممكنة لهذه المشكلة هي تخزين رقم مميز لجلسة المستخدم (user session identifier) في ملف الكوكيز وتخزين بقيّة المعلومات على خادم الويب, بهذه الطريقة يصبح المتطفّل غير قادر على الوصول إلى معلومات الكوكيز.

 

 التلاعب بمحتويات الكوكيز

التلاعب بمحتويات الكوكيز

3-    سرقة الكوكيز (Cookie theft):

في عملية سرقة ملفات الكوكيز, يقوم المتطفّل بخداع المتصفّح ليرسل له الملف مباشرة بدلاً من الخادم(شكل5), وعلى الرغم من أنّ هذه العملية مشابهه لعملية اختطاف الكوكيز إلاّ أنّهُ لا يمكن تفاديها بواسطة تشفير محتويات الملف.

سرقة الكوكيز 

سرقة الكوكيز

 

4-  مشاركة الكوكيز بين المواقع (Cross-site cooking):

من المعروف أنّه لكل موقع ملف كوكيز خاصّ به, ولكن بسبب وجود ثغرات أمنيّه في بعض متصفحات الويب تمكنّت بعض المواقع من الإطلاع على ملفات الكوكيز الموجودة على جهاز المستخدم لمواقع أخرى والتعديل عليها.

 

5-   التعقّب والتجسّس(Tracking&Spying):

قد تستخدم الكوكيز لغرض التجسس على المستخدم, وتعقّب جميع تحرّكاته ومراقبة تصرّفاته في الشبكة العنكبوتيّة. هذا الأمر يعتبر انتهاكا لخصوصيّة و حريّة المستخدم.

 

6-  نقل الكوكيز بدون تشفير (Transferring Cookies as Plain-text):

ذكرنا سابقاً أنه يتمّ تبادل ملفات الكوكيز بين المتصفّح و خادم الويب عن طريق بروتوكول نقل النص التشعبي (HTTP). يقوم هذا البرتوكول بنقل المعلومات بدون تشفير, ممّا يزيد من احتمالية الإطلاع عليها من قبل طرف خارجي.

يمكن التقليل من احتمالية حدوث هذا الأمر عن طريق تشفير محتويات الملف أو استخداما المتغيّر (secure) عند إنشاء ملف الكوكيز.

 

7-   التقاط الكوكيز (Cookie Catching):

عند استعراض المستخدم لصفحات الويب, يتمّ تخزين الصفحات والصور وغيرها في ذاكرة مؤقتة تدعى (caching proxy server) وذلك لاسترجاعها مباشرة من الذاكرة بدون الحاجة إلى إرسال طلب إلى خادم الويب عند زيارة المستخدم لهذه الصفحات لاحقاً مما يعمل على تخفيف الضغط على خادم الويب بالإضافة إلى توفير الوقت بالنسبة للمستخدم. هذه العملية قد تشكّل خطورة للمستخدم, إذ أنه يمكن إلتقاط وتخزين الكوكيز في الذاكرة المؤقتة أثناء انتقالها,وهذا الأمر يجعها أكثر عرضه للسرقة.

 

انتظرونا في الموضوع القادم (طرق التقليل من مخاطر الكوكيز)

نقلاً بتصرف عن/ مركز التمييز لأمن المعلومات

 

مقالات ذات صلة

زر الذهاب إلى الأعلى