فأرتك تُثبّت برمجيات بمفردها: التثبيت التلقائي لتعريفات الأجهزة ثغرة سلسلة التوريد التي لا يراجعها أحد
بمجرد توصيل أي طرفية بجهاز يعمل بنظام ويندوز، يجلب النظام كود الشركة المصنّعة ويشغّله بصلاحيات مرتفعة، دون مراجعة ودون أي سجل يوثّق ما جرى. مفتاح الإيقاف القابل للتطبيق موجود في مسار محدد ضمن سياسة المجموعة، لكن معظم الأساطيل التقنية لم تُفعّله قط، لأن لا فريق يملك هذه الفئة من الأجهزة.
اسأل داخل أي مؤسسة عن الجهة المسؤولة عن الأجهزة الطرفية بصفتها فئة برمجية، وراقب كيف تتقاذف الإجابة بين الأقسام. فريق نقاط النهاية يقول إن الفأرة والشاشة من اختصاص المشتريات. المشتريات تُدرجها ضمن القرطاسية. وبين هاتين الإجابتين تكمن حقيقة مزعجة: التثبيت التلقائي لتعريفات الأجهزة يجعل من كل طرفية على أسطولك التقني علاقة حية لتوريد الكود البرمجي، يتولى فيها نظام التشغيل دور الوسيط، بينما تصبح الشركة المصنّعة مورّد برمجيات لم تُقيّمه أي جهة قط. وصّل أي جهاز بحاسوب يعمل بنظام ويندوز، وسيقرأ النظام معرّف العتاد الخاص به، ثم يبحث عنه، ثم يجلب كل ما سجّلته الشركة المصنّعة تحت بند «البرمجيات الداعمة»، بصلاحيات مرتفعة، دون مراجعة ودون أي سجل يُوثّق ما جرى. مراجعة سلسلة التوريد البرمجية لديك تغطي برامج التثبيت ومديري الحزم ومتاجر التطبيقات. سجل العتاد لديك يغطي بطاقات الأصول والإهلاك. أما لحظة توصيل الجهاز نفسها، فهي تنتمي إلى كلا السجلّين، ولا تُدقَّق في أيٍّ منهما.
ماذا يحدث فعلياً عند توصيل جهاز USB؟
كل جهاز USB يُعلن عن نفسه عبر معرّف خاص به. يقارن ويندوز هذا المعرّف بكتالوج من الحزم التي زوّدته بها الشركات المصنّعة، ويثبّت ما يجده: حزمة تعريف تُسلَّم عبر خدمة Windows Update، وغالباً ما يرافقها «تطبيق دعم عتاد» يجلبه متجر مايكروسوفت نيابة عن الجهاز. جزء من هذا الكود يحتاجه الجهاز فعلاً. أما الباقي فهو ما اختارت الشركة المصنّعة إرفاقه: لوحات تحكم، أدوات تحديث، مطالبات لإنشاء حساب، خدمات تعمل في الخلفية. نظام التشغيل لا يرسم خطاً فاصلاً واضحاً بين الاثنين، والمستخدم لا يرى نقطة قرار من الأساس. المستخدم الذي لن يقبل أبداً تنزيل وتشغيل ملف تنفيذي مجهول المصدر، سيقبل دون تردد أي شيء يثبّته النظام من تلقاء نفسه. هذه القناة تصل موثوقة سلفاً لأن المستخدمين يفترضون أن وساطة نظام التشغيل تعني مراجعته، وهذه الثقة المفترَضة هي بالضبط ما يُشرعن كل ما يصل مع الحزمة.
هذا الافتراض قابل للتحقق، لأن متطلبات النشر معلنة للجميع. لإقران تطبيق من متجر مايكروسوفت بتعريف جهاز، ترسل الشركة المصنّعة إلى فريق مراجعة تطبيقات دعم العتاد في مايكروسوفت استبياناً موجزاً عبر البريد الإلكتروني: ما الموارد التي يحتاجها التطبيق، وهل تغادر بيانات الأحداث الجهاز باتجاه الشريك، وهل تتضمن معرّفات شخصية. تأتي الموافقة على هيئة سلسلة صلاحية محددة، ثم توقّع مايكروسوفت وصفاً يُخوّل تطبيقات مسمّاة باستخدام تلك الصلاحية. اطّلع على الخطوات التي تنشرها مايكروسوفت لمطوّري التعريفات ولاحظ طبيعة هذه العملية: إنها مراجعة صلاحيات وصول، تجري عبر البريد الإلكتروني، لِما يحق للتطبيق الوصول إليه. إنها ليست تدقيقاً لكل ما تشحنه الشركة المصنّعة في الحزمة الموقّعة نفسها. أداة التحديث، والقياس عن بُعد، والعرض الترويجي المرفق، كلها تصل عبر باب رُوجعت صلاحياته لسؤال مختلف تماماً.
حين تكون الحزمة هشة، تتحول لحظة التوصيل نفسها إلى ثغرة قابلة للاستغلال. في أغسطس 2021 أثبت أحد الباحثين الأمنيين أن مجرد توصيل فأرة من Razer بحاسوب يعمل بنظام ويندوز 10 يجعل النظام يجلب برنامج تثبيت Razer Synapse ويشغّله بصلاحيات SYSTEM الكاملة. كان بالإمكان فتح نافذة PowerShell من خلال أداة اختيار المجلدات في معالج التثبيت، فورثت تلك النافذة صلاحيات SYSTEM. أي مستخدم عادي يملك موصّل Razer رخيصاً، أو هاتفاً ينتحل معرّف عتاد Razer، كان بإمكانه الخروج بالسيطرة الكاملة على الجهاز. وخلال أيام قليلة، أُبلغ عن الثغرة نفسها في برمجيات SteelSeries المرفقة. لم تكن الأجهزة نفسها هي المشكلة يوماً. المشكلة كانت في برامج التثبيت التي تستدعيها معرّفات عتادها.
وحين يُخطئ الوسيط نفسه، يُخطئ على مستوى الأسطول التقني بأكمله. في ديسمبر 2023، بدأت أجهزة ويندوز بإعادة تسمية كل طابعة مثبَّتة إلى «HP LaserJet M101-M106» وجلب تطبيق HP Smart من متجر مايكروسوفت، حتى على أجهزة لا تحتوي على أي عتاد من HP، بعدما أقنعت بيانات تعريف خاطئة نظامَ ويندوز بأن تلك الطابعات من صنع HP. الحل الذي طرحته مايكروسوفت في يناير 2024 كان أداة إزالة مخصصة، أداة استكشاف أخطاء بيانات تعريف الطابعات من مايكروسوفت وإصلاحها: أداة مهمتها الوحيدة هي إزالة برمجيات ثبّتها نظام التشغيل من تلقاء نفسه. هذا هو المسار وهو يعمل تماماً كما صُمم له، لكن موجّهاً نحو بيانات تعريف خاطئة.
هل يمكن إيقاف التثبيت التلقائي لتعريفات الأجهزة في ويندوز؟
جزئياً، وشكل هذا «الجزئياً» مهم. كل إصدار من ويندوز، بما فيه Home، يحمل مفتاحاً استهلاكياً مدفوناً في الإعدادات (خصائص النظام، ثم العتاد، ثم إعدادات تثبيت الأجهزة) يطلب من ويندوز عدم تنزيل تطبيقات الشركات المصنّعة وأيقوناتها المخصصة، لكنه يغطي الإضافات الشكلية فقط، لا الآلية نفسها. أما الضوابط القابلة للتطبيق فعلياً فتقيم في سياسة المجموعة (Group Policy)، تحت المسار: Computer Configuration، ثم Administrative Templates، ثم System، ثم Device Installation، وهي متاحة في إصدارات Professional وEnterprise وEducation، لا في إصدار Home. سياسة «Prevent device metadata retrieval from the internet» توقف جلب ويندوز الصامت لقوائم حزم الشركات المصنّعة. وضمن مجلد Device Installation Restrictions التابع لها، تعمل سياسة «Allow installation of devices that match any of these device IDs» مع سياسة «Prevent installation of devices not described by other policy settings» على قلب الإعداد الافتراضي رأساً على عقب: قائمة بيضاء بالعتاد المعتمد فقط، وحظر كل ما عداه، وهو إغلاق محكم توثّقه مايكروسوفت بالتفصيل.
فلماذا تبقى هذه القائمة البيضاء معطّلة في أغلب الأحيان؟ لأنها تحوّل إعداداً افتراضياً صامتاً إلى عمل تشغيلي ظاهر للعيان، ولم تُخصَّص له ميزانية أصلاً. تخيّل عملية التفعيل: من اليوم الأول، تتحول كل طرازات العتاد غير المدرجة بعد في القائمة إلى تذكرة دعم فني. محطات الإرساء عند مكاتب العمل المشترك، كاميرا غرفة الاجتماعات، لوحة المفاتيح التي أحضرها أحد المديرين من منزله. تُتوقَّع طفرة في التذاكر خلال الأسابيع الأولى وذيل مستمر مع كل تحديث للعتاد، وتحتاج القائمة نفسها إلى مالك دائم لا يتوقف عمله أبداً. لا نعلم بوجود مسح ميداني منشور لممارسات الأساطيل التقنية، لذا فلنعامل هذه الملاحظة كخبرة ميدانية موثّقة لا كقياس رسمي: في المؤسسات التي نطّلع عليها، تبقى هذه السياسات معطّلة، ليس لأن أحداً قارن تكلفة التذاكر بحجم التعرض للخطر، بل لأن لا أحد يملك القرار من الأساس. هذا هو إخفاق الحوكمة في أبسط صوره. الضابط موجود، موثّق ومجاني، والناقص هو اسم مسؤول أمامه.
الفأرة بصفتها مسؤول نظام
لماذا تتحول برامج التثبيت المرافقة، مرة تلو الأخرى، إلى ثغرات تصعيد صلاحيات؟ لأن أي برنامج يُثبَّت عند توصيل الجهاز يعمل بصلاحيات مرتفعة، إذ يتطلب تثبيت التعريفات ذلك أصلاً. هذا يجعل من كل برنامج تثبيت من هذا النوع سطح هجوم قائماً بذاته، ولا سبب يدعو إلى توقع أن يُكتب معالج لوحة تحكم أحد الموردين بمعيار الجودة نفسه الذي كُتبت به النواة (kernel) التي يجاورها. لم تكن ثغرة Razer استغلالاً غريباً معقّداً، بل كانت مجرد نافذة اختيار ملفات فُتحت للمستخدم الخطأ بالصلاحية الخطأ. لذلك ينقلب نموذج التهديد رأساً على عقب. الجهاز الطرفي لا يحتاج إلى برمجية ثابتة خبيثة أو زرعة مخفية ليكون خطيراً. يكفيه معرّف عتاد يستدعي برنامج تثبيت هش. توصيل الجهاز نفسه يصبح المرحلة الأولى من هجوم، ينفّذه الضحية بنفسه، ويشجّعه المنصة.
الأثر من الدرجة الثانية يقع على عاتق المشتريات. إذا كانت الشركة المصنّعة للعتاد الطرفي في جوهرها مورّد برمجيات، فاشترِ منها كما تشتري البرمجيات: اسأل ماذا تفعل الحزمة المرافقة، وإلى أين ترسل بياناتها، وكيف تُحدَّث، وماذا يتعطل إن رفضتها. هذه الأسئلة لا تكلّف شيئاً وتغيّر سلوك المورّد أسرع من أي مفتاح في سياسة، لأنها تخاطب الحافز لا الآلية. في أسواق تندفع فيها برامج التحوّل الرقمي الحكومية، من رؤية السعودية 2030 إلى استراتيجية الإمارات للذكاء الاصطناعي، بالتوازي مع تشريعات حماية بيانات ناضجة مثل نظام حماية البيانات الشخصية السعودي (PDPL) وأطر حماية البيانات الإماراتية، يصبح سؤال «إلى أين ترسل هذه الحزمة بياناتها» سؤال امتثال قبل أن يكون سؤال أمن. هذا هو الشق غير البرّاق من الاستراتيجية التقنية: رسم خريطة للمواضع الفعلية التي يدخل منها الكود إلى أسطولك التقني، بدلاً من المواضع التي يفترضها الهيكل التنظيمي. والنمط يتكرر أيضاً في سياقات أخرى. أي قناة تُنفّذ كوداً من طرف ثالث بصلاحية مفوَّضة ودون مراجعة هي مشكلة حوكمة مطابقة وإن اختلف الشكل الظاهري، وهو الحجة نفسها التي نطرحها بشأن الأنظمة العاملة بالوكالة التي تتصرف داخل بنيتك التحتية. الثقة في الوسيط ليست تدقيقاً للحمولة.
ما يجب فعله موجز. تحقق مما إذا كانت سياسات Device Installation Restrictions على أسطولك مُفعّلة فعلياً؛ وإن كانت الإجابة «لا أحد يعلم»، فقد تعلّمت للتو شيئاً مهماً. امنح هذه الفئة مالكاً وميزانية تذاكر دعم. سجّل أحداث توصيل الأجهزة بالاهتمام نفسه الذي توليه لأي عملية تشغيل برنامج تثبيت. وحين يخبرك أحدهم أن الشاشة مجرد شاشة، اسأله عن الشيء الذي ثبّتته بنفسها.
أسئلة شائعة
هل يقوم ويندوز بتثبيت برمجيات تلقائياً عند توصيل جهاز USB؟
نعم. يحدد ويندوز معرّف عتاد الجهاز ويثبّت حزمة التعريف المطابقة له، والتي قد تتضمن أي برمجية مرافقة سجّلتها الشركة المصنّعة إلى جانبها، تُسلَّم عبر خدمة Windows Update أو متجر مايكروسوفت. التعريف نفسه ضروري، أما الباقي فهو خيار المورّد، ولم تراجع أي جهة في مؤسستك أياً منهما قبل أن يعمل.
كيف تمنع الشركات تثبيت تطبيقات الشركات المصنّعة مع تعريفات العتاد؟
في الإصدارات التي تدعم سياسة المجموعة (Professional وEnterprise وEducation) تقيم الضوابط تحت المسار: Computer Configuration، ثم Administrative Templates، ثم System، ثم Device Installation. سياسة «Prevent device metadata retrieval from the internet» توقف الجلب التلقائي لحزم الشركات المصنّعة، وضمن Device Installation Restrictions تحوّل سياستا «Allow installation of devices that match any of these device IDs» و«Prevent installation of devices not described by other policy settings» الإعداد الافتراضي المفتوح إلى قائمة بيضاء. خصّص ميزانية لذيل تذاكر الدعم الفني: كل طراز عتاد غير مدرج بعد في القائمة يتحول إلى تذكرة إلى أن تنضج القائمة، ولهذا تحتاج السياسة إلى مالك مسمّى. أما الأجهزة التي تعمل بإصدار Home أو غير الخاضعة للإدارة المركزية، فلا يمكنها سوى التخفيف من الخطر، عبر مفتاح إعدادات تثبيت الأجهزة، وحسابات المستخدم القياسية، وضوابط التحكم في التطبيقات.
هل الأجهزة الطرفية الرخيصة أو مجهولة العلامة التجارية أكثر خطورة عند توصيلها بحاسوب العمل؟
السعر والعلامة التجارية إشارتان ضعيفتان في الاتجاهين: ثغرة برنامج التثبيت التي وصلت إلى صلاحيات SYSTEM عام 2021 جاءت مع Razer، وهي علامة تجارية راقية، بينما وصل التثبيت التلقائي لتطبيق HP Smart عام 2023 إلى أجهزة لا تحتوي على أي عتاد من HP أصلاً. الخطر الحقيقي يكمن في البرمجية التي يستدعيها معرّف عتاد الجهاز، لذا فإن معرّفاً مجهولاً يستدعي برنامج تثبيت مجهولاً بصلاحيات مرتفعة هو أسوأ سيناريو ممكن بغض النظر عن السعر. القاعدة العملية: اشترِ الأجهزة الطرفية بالأسئلة نفسها التي توجّهها إلى مورّد برمجيات، لأن هذا بالضبط ما تصبح عليه الشركة المصنّعة لحظة توصيل جهازها.
مواضيع ذات صلة
- في أوبونتو 26.04 LTS، حزمة coreutils التي تعتمد عليها بنيتكم التقنية لم تعد GNU
- علاوة السيادة: لماذا تكسب حلول الذكاء الاصطناعي السيادي للمؤسسات الرهان على حرية الوصول لا على السرعة
- قضايا الأسرار التجارية تُحسم قبل سنوات من استقالة أي موظف. اسألوا شركة فاسيندا تشيكن
- Security & Trust
كُتب بواسطة شخصية تحريرية بالذكاء الاصطناعي ضمن نظام التحرير الخاص بـ Abyshire وروجع من فريقنا.