‏قناة التوقيت الخفية

قناة التوقيت الخفية هي فئة فرعية من القناة الخفية، تنتقل فيها المعلومات لا في قيم مخزّنة بل في الزمن نفسه. تتشارك عمليتان، مُرسِل ومُستقبِل، موردًا يمكن ملاحظة استخدامه، كاتصال شبكي أو قرص أو معالج. يُرمِّز المُرسِل الرسالة بتغيير توقيت وقوع الأحداث أو مدة بقائها، ويراقب المُستقبِل تدفّق الأحداث ويقيس الفواصل ويفكّ الرسالة. لا يُكتب أي بايت في مكان تقرؤه عملية أخرى، فالإشارة موجودة فقط في نمط التوقيتات.

يتبع المفهوم التاريخ العام للقنوات الخفية. أثبتت الأبحاث حول مشكلة الاحتواء في أوائل السبعينيات أن العملية قد تسرّب معلومات حتى حين يُمنع رسميًا من التواصل. ثم جعلت معايير الأنظمة الموثوقة، مثل المعيار الأمريكي TCSEC، تحليل القنوات الخفية، بما فيها قنوات التوقيت، جزءًا إلزاميًا من تقييم الأنظمة عالية الضمان. ولا تشترط التقييمات الرسمية عادةً إزالة قنوات التوقيت، بل تحديدها وتقدير سعتها وتقليص قدرتها حيث يهم ذلك.

تميّز هذه الفئة خاصيتان. الأولى أن الطرفين يملكان عادةً وصولًا مشروعًا إلى المورد المشترك، لذا لا يستطيع التحكم المعتاد في الوصول إغلاق القناة، فالمورد يواصل أداء وظيفته وهو يحمل الإشارة الخفية. والثانية أن الضوضاء تُضعف الإشارة، فأي تأخير عشوائي بين المُرسِل والمُستقبِل، كتذبذب الشبكة أو مقاطعات الجدولة أو الحمل المتزامن، قد يُفسد بتًّا. ولهذا تكون قنوات التوقيت أبطأ بكثير من قنوات التخزين، ويضحي المُرسِلون بالسرعة مقابل التكرار.

يتفق المُرسِل والمُستقبِل مسبقًا على مخطط ترميز، ثم يستخدمان تدفّق أحداث مشتركًا كحامل. أشهر أنواع الترميز:

أي تدفّق أحداث قابل للملاحظة يستطيع طرفان التأثير فيه وقياسه يمكن أن يصبح قناة توقيت. أشهر هذه الفئات:

• حركة الشبكة: تأخيرات مُعدَّلة بين حزم TCP/IP، أو وتيرة استعلامات DNS، أو دفعات ping. ولا يخفي التشفير هذا الإيقاع، لأن البيانات الخفية تكمن في التوقيت لا في المحتوى.
• أجهزة التخزين: تُبقي عملية رأس القرص فوق مسار محدد، بينما تقيس عملية أخرى زمن البحث. وهذا المثال الكلاسيكي في الأدبيات البحثية.
• المعالج والذاكرة: تُبطئ العمليات المتشاركة بعضها بعضًا بطرق قابلة للقياس، وعلى ذلك تقوم عدة هجمات معمارية دقيقة حديثة.
• التدفقات التفاعلية: فواصل ضغطات المفاتيح وأحداث الفأرة وتوقيت طابور الطباعة. وأي تدفق بطوابع زمنية يستطيع طرف خارجي ملاحظته يمكن تعديله.

تترك قناة التخزين الخفية أدلة يمكن فحصها: حقل ترويسة بقيمة غريبة، أو حزمة ذات طول غير معتاد، أو خاصية ملف تتغير. أما قناة التوقيت فلا تترك أي قيمة. الإشارة موجودة فقط في الفروق بين أزمنة الأحداث، وفحص المحتوى لا يراها، لأن المحتوى نفسه طبيعي تمامًا.

الأنظمة العادية مليئة أصلًا بالتباين الزمني: تذبذب الشبكة، والازدحام، والتوقفات البشرية. تختبئ قناة التوقيت داخل هذه الضوضاء، لذا يجب أن يكون الكشف إحصائيًا: بناء خط أساس لتوزيع الفواصل بين الأحداث، ووسم الانتظام المريب والأنماط غير المحتملة. ويصعب جدًا إثبات غياب قناة توقيت، والهدف الواقعي هو إبقاء سعتها منخفضة وأنماطها ظاهرة بما يكفي كي تفقد فائدتها.

المفاضلة الحاسمة هي بين السعة والتخفّي. فالقناة التي تدفع البِتّات بسرعة تُنتج إيقاعًا غير طبيعي يلفت الانتباه مقابل سلوك البشر والتطبيقات. والمُرسِل الصبور المقيّد ببضعة بِتّات في الدقيقة يندمج مع تباين الخلفية، لكنه يحتاج أيامًا لنقل ملف ذي قيمة. ويستغل المدافعون المفاضلة نفسها: فحدود المعدل والضوضاء المضافة تُجبر المُرسِل على البطء، بينما ترفع خطوط الأساس وكشف الشذوذ كلفة السرعة.

لأن الحامل نشاط مشروع، تجمع التدابير المضادة بين المراقبة الإحصائية وإجراءات تُضعف القناة نفسها:

• التحليل الإحصائي لحركة المرور: يرصد انتظامًا يشبه المترونوم لا ينتجه المستخدمون الحقيقيون.
• كشف الشذوذ السلوكي: خطوط أساس لكل مستخدم تلتقط الانحرافات المستمرة للنقل البطيء.
• تحديد المعدل: يحد من تكرار الأحداث، فتصبح عمليات النقل الكبيرة بطيئة بشكل غير عملي.
• ضوابط الضوضاء والجدولة: تعيق الجدولة العشوائية على المستقبِل قراءة إشارة المُرسِل.
• تقليل المسارات المشتركة: القوائم البيضاء وتصفية الخروج تزيل الموارد التي تحتاجها القناة.

تعمل القواعد الإحصائية في ميزة اكتشاف التهديدات الداخلية على النوع نفسه من الأحداث المسجَّلة. ويمكن لوحة المسؤول تجميع حزم الشبكة المُرسَلة في فترات تتراوح من ثانية واحدة إلى عشر دقائق، فتتميز الدفعة القصيرة عن خط أساس هادئ.

ابدأ بالقنوات التي قد تحمل إيقاعًا خفيًا: تدفقات الشبكة والتخزين والتدفقات التفاعلية. تحتاج خطوط الأساس إلى فترة من النشاط الطبيعي تتعلم منها، لذلك اضبطها قبل وقوع الحادث لا بعده.

يكون الفاعل عادةً تهديدًا داخليًا يملك وصولًا مشروعًا، ولهذا يجب أن تغطي المراقبة القنوات التي يستخدمها الناس فعلًا.

للمزيد من القراءة: التسرب التقني للمعلومات: ما هو وكيف تحمي نفسك؟.