الدرس العاشر:آلية عمل الكوكيز

حتى يتضح آلية سير هجوم Man in The Middle،سأحاول أن أشرح كيف تعمل الكعكات أو ما يعرف لدى العام و الخاص بالكوكيز،حتى تعرف ما الذي عليك فعله أثناء قيامك بهذا النوع من الهجوم.في الحقيقة كان من المفروض أن اعرفكم بها و بآلية عملها من البداية و لكن ﻻ بأس بالقيام بذلك الآن.سنركز اهمامنا بنوع واحد من من الكوكيز و هو Authentication Cookies.

الكوكيز عامة هي ملفات تحوي معلومات يحتاجها الموقع الذي تقوم بزيارته،لتفهم ذلك علينا أن نأخذ مثاﻻ لنشرح عليه،ليكن مثلا موقع فايسبوك...

عندما تقوم بالتسجيل في موقع فايسبوك،هنا الموقع سيرسل كوكيز لتقوم بالتعرف على جهازك و نوع المتصفح الذي تستخدمه للدخول إلى حسابك،بل حتى معلومات عن جهازك،تستخدم هته الطريقة بكثرة في البنوك الإلكترونية مثل باي بال و بايونير،فمثلا لو قمت بتسجيل دخولك من جهاز آخر غير جهازك خصوصا عندما تدخل معلومات دخول خاطئة فسيتم تجميد حسابك و إرسال رسالة إلى بريدك اﻹلكتروني تعلمك بأن هنالك عملية تسجيل دخول مريبة إلى حسابك،دعونا من هذا اﻵن و لنتحدث عن النوع الثاني و هو الـ Authentication Cookies.

عندما تقوم بتسجيل الدخول إلى حسابك في فايسبوك فإن متصفح يرسل طلبا إلى سيرفر الموقع بحيث يقوم السيرفر بالتأكد من صحة معلومات الدخول بعمل مقارنة ما بين المعلومات التي أرسلتها و بين سجلات اﻷعضاء في قاعدة البيانات،بعدها يقوم السيرفر بارسال الكوكيز و التي سيتم حفظها في جهازك و التي تحوي على معلومات دخولك و لكنها مشفرة بطريقة معينة،فكل موقع يقوم بتشفير تلك المعلومات بالطريقة التي يراها مناسبة.

بعد أن يتم حفظ البيانات في جهازك،لن تحتاج في المرة المقبلة إلى إدخال معلومات تسجيل الدخول في كل مرة تريد فيها ذلك،كيف ذلك؟

ببساطة عندما تتصفح موقع فايسبوك مرة أخرى فإنه لن يطلب منك إدخال المعلومات(إن كنت تستخدم كروم) أو ستظهر معلومات الدخول في أماكنها المحددة و يكفي أن تقوم بطلب الدخول فقط،سنفصل قليلا في الحالة الأولى...

عندما تعاود زيارة الموقع فإن متصفح كروم سيبحث و بشكل تلقائي على الكوكيز المحفوظة في الجهاز و يبحث بالتحديد عن الـ Auth Cookie و التي تحمل كما قلنا معلومات الدخول،و بالتالي فإن المتصفح لن يرسل معلومات الدخول و إنما سيرسل هذه الكوكي إلى سيرفر الموقع و الذي بدوره سيقوم بفك تشفيرها و مقارنتها بما لديه و إن كان المعلومات التي تحويها صحيحة فإنه يمنحك السماح بالدخول إلى الحساب.

لقد حاولت فقط تبيان آلية العمل حتى ﻻ تختلط عليكم الأمور فيما بعد،في الحقيقة ﻻ أعتقد أني سأضيف دروسا عن هذا النوع من الهجوم و لننتقل إلى ثغرات تطبيقات الويب فهي أكثر الأمور تشويقا في أمن المعلومات.

سألني البعض لماذا لم تبين طريقة التنصت على الشبكة من أجل أن نقوم بتطبيق هجوم Man in The Middle ،التنصت على الشبكة سيكون بحول الله في دروس إختبار إختراق الشبكات...تقبلوا تحياتي،سلام.