اختبار اختراق إنترنت الأشياء: أسطح الهجوم للأجهزة المتصلة

نادرًا ما يكون المنتج المتصل موضوع فحص منفردًا. إذ ينبغي النظر في العتاد (واجهات التصحيح والذاكرة، وتركيب المكونات)، والبرنامج الثابت (سلسلة الإقلاع، ونظام الملفات، والأسرار المخزّنة)، والواجهات اللاسلكية (ومنها Wi-Fi وBluetooth Low Energy وZigbee وThread وLoRaWAN والاتصالات الخلوية وبروتوكولات Sub-GHz الخاصة)، والواجهة الخلفية السحابية وواجهاتها البرمجية (APIs)، إضافة إلى تطبيق الهاتف أو الويب المرافق. وهذا التقسيم تحديدًا ينعكس في فئات المتطلبات الخمس في OWASP ISVS – IoT Ecosystem وUser Space Application وSoftware Platform وCommunication وHardware Platform. ويغفل الفحص المعزول لكل مستوى على حدة عادةً نقاط الانتقال، مثل ربط الجهاز بحساب مستخدم.

يبدأ تحليل العتاد بتحديد المكونات ونقاط الاختبار على اللوحة الإلكترونية. وتكشف وحدات التحكم التسلسلية (UART) عمليًا في كثير من الأحيان سجلات الإقلاع، أو الوصول إلى محمّل الإقلاع، أو واجهة أوامر غير محمية بشكل كافٍ؛ وتتيح واجهات التصحيح مثل JTAG أو SWD، بحسب حالة قفل المتحكم، إيقاف المعالج والقراءة من الذاكرة والكتابة فيها. ويمكن في حالات كثيرة قراءة شرائح الفلاش الخارجية المتصلة عبر SPI أو I2C وهي مركّبة أو بعد فكّ لحامها. لذلك لا يُفحص فقط وجود هذه المداخل، بل أيضًا ما إذا كانت منافذ التصحيح معطّلة أو محمية بمصادقة في بيئة الإنتاج، وما إذا كان Secure Boot فعّالًا، وما إذا كانت المعاملات الحساسة مشفّرة أو مخزّنة في عنصر محمي.

يُحصل على البرنامج الثابت عبر تنزيلات الشركة المصنِّعة، أو التقاط عمليات التحديث، أو تفريغ الذاكرة، ثم يُفك ضغطه. ويبحث التحليل الثابت عن بيانات اعتماد مدمجة بشكل ثابت، ومفاتيح خاصة وشهادات، وإعدادات غير آمنة، ومكونات قديمة تُقارَن عبر قائمة مكونات البرمجيات (SBOM) بالثغرات الأمنية المعروفة. ويُستكمل ذلك بالتحليل الديناميكي على النظام العامل أو المُحاكى. وتصف OWASP Firmware Security Testing Methodology (FSTM) هذا النهج في تسع مراحل، من جمع المعلومات مرورًا بالاستخراج والمحاكاة حتى التحقق من النتائج. ويبقى سؤال الفحص المحوري قابلية التحديث: هل يُتحقق فعلًا من توقيع التحديث، وهل يمكن منع الرجوع إلى إصدار أقدم قابل للاختراق؟

تتوفر قوائم مفتوحة للمتطلبات وتنفيذ الاختبارات. يجمع OWASP ISVS متطلبات الأمن لمنظومات إنترنت الأشياء في خمس فئات، وهو متاح للعموم بصفته إصدارًا مرشحًا 1.0RC؛ ويضيف OWASP ISTG منذ إصداره 1.0 في 1 مارس 2024 منهجية لاختبار الاختراق تتضمن نموذجًا للجهاز ونموذجًا للمهاجم، إضافة إلى قائمة بحالات الاختبار تغطي، من بين أمور أخرى، الواجهات اللاسلكية، ووحدات المعالجة، وذاكرة الجهاز، والواجهات الداخلية والمادية، والبرنامج الثابت وآلية التحديث. وعلى مستوى المنتج يحدد ETSI EN 303 645 في إصداره V3.1.3 (⁦2024-09⁩) خط أساس لإنترنت الأشياء الاستهلاكي يشمل 13 مجالًا – من إلغاء كلمات المرور الافتراضية العامة، مرورًا بمعالجة بلاغات الثغرات الأمنية الواردة، حتى التخزين الآمن للمعاملات ذات الصلة بالأمن – مع فصل إضافي عن أحكام حماية البيانات. ويقدم ETSI TS 103 701 (V2.1.1، ⁦2025-05⁩) منهجية التقييم المرتبطة به مع حالات اختبار لكل بند؛ ويعتمد BSI كلتا الوثيقتين أساسًا لعلامة أمن تقنية المعلومات للأجهزة الاستهلاكية الذكية. ويمكن إجراء تقييم ذاتي أولي وفق ISVS عبر أداة التقييم الذاتي المجانية على isvs.vamisec.com.

تجعل اللائحة المفوَّضة (EU) 2022/30 متطلبات الأمن السيبراني الواردة في المادة 3 الفقرة 3 البنود d وe وf من توجيه المعدات الراديوية 2014/53/EU واجبة التطبيق على فئات معينة من المعدات الراديوية – على الأجهزة المتصلة بالإنترنت، والأجهزة التي تعالج بيانات شخصية (ومنها منتجات رعاية الأطفال، والألعاب، والأجهزة القابلة للارتداء)، والأجهزة التي تعالج قيمًا افتراضية أو أموالًا؛ وتُستثنى المنتجات الخاضعة لتنظيم قطاعي خاص مثل الأجهزة الطبية ومعدات الطيران والمركبات. وتسري المتطلبات منذ 1 أغسطس 2025، بعد أن أجّلت اللائحة المفوَّضة (EU) 2023/2444 الموعد الأصلي اثني عشر شهرًا. وأُدرجت المعايير EN ⁦18031-1⁩ و-2 و-3 في الجريدة الرسمية بوصفها معايير مُنسَّقة (القرار التنفيذي (EU) 2025/138 الصادر في 28 يناير 2025) – ولكن مع قيود، منها الحالات التي يمكن فيها للمستخدمين الاستغناء عن تعيين كلمة مرور؛ وفي هذه النقاط تسقط قرينة المطابقة. وبالتوازي يسري قانون المرونة السيبرانية (اللائحة (EU) 2024/2847): تسري التزامات الإبلاغ عن الثغرات الأمنية المستغَلة فعليًا والحوادث الجسيمة اعتبارًا من 11 سبتمبر 2026، وبقية الالتزامات اعتبارًا من 11 ديسمبر 2027؛ وفي هذا التاريخ قررت المفوضية إلغاء اللائحة المفوَّضة (EU) 2022/30 تجنبًا للازدواج التنظيمي.

يبدأ اختبار اختراق إنترنت الأشياء بتحديد النطاق: تُحدَّد مواضيع الفحص، ونموذج الجهاز والمهاجم (الوصول المادي ومستوى الصلاحيات)، وعدد العينات ومخاطر عدم إمكانية إعادة التركيب، مع نمذجة مشتركة للتهديدات. ثم يلي ذلك جمع المعلومات، وتحليل العتاد والواجهات، واستخراج البرنامج الثابت مع التحليل الثابت، وفحص البروتوكولات اللاسلكية والشبكية، وكذلك الواجهة البرمجية السحابية وعملية الربط والتطبيق – مع التحقق من النتائج في كل مرة على الجهاز العامل. والنتيجة تقرير يتضمن أدلة قابلة لإعادة الإنتاج، وتقييمًا مفهومًا للمخاطر، وقائمة إجراءات مرتبة حسب الجهد والأثر؛ وتثبت إعادة الاختبار فاعلية المعالجة. وتمثل هذه الوثائق للشركات المصنِّعة في الوقت ذاته مادة إثبات: إذ يشترط الملحق I الجزء II من قانون المرونة السيبرانية إجراء اختبارات ومراجعات فعالة ومنتظمة لأمن المنتج، وتحديد الثغرات الأمنية والمكونات وتوثيقها، بما في ذلك قائمة مكونات قابلة للقراءة آليًا.