پیش‌نویس:نشان وب (Mark of the Web)

این مقاله در حال ترجمه از ویکی انگلیسی است.

لطفاً حذف نشود.

نشان وب (Mark of the Web یا MoTW) یک شناسه فراداده‌ای است که توسط مایکروسافت ویندوز برای علامت‌گذاری فایل‌های دانلودشده از اینترنت به عنوان فایل‌های بالقوه ناامن استفاده می‌شود.Lawrence, Eric (2016-04-04). "Downloads and the Mark-of-the-Web". text/plain. Retrieved 2024-01-09.Abrams, Lawrence (10 November 2022). "Microsoft fixes Windows zero-day bug exploited to push malware". BleepingComputer. با وجود آنکه نام این فناوری به‌طور خاص به وب اشاره دارد، گاهی به فایل‌هایی از منابع دیگری که پرخطر تلقی می‌شوند نیز افزوده می‌شود؛ از جمله فایل‌هایی که از درایوهای خارجی با سامانه فایل NTFS کپی شده‌اند و خود در گذشته از اینترنت دریافت شده‌اند.

این قابلیت با استفاده از ویژگی «جریان داده جایگزین» (Alternate Data Stream یا ADS) در سامانه فایل پیش‌فرض NTFS مایکروسافت پیاده‌سازی شده است.Russinovich, Mark E.; Solomon, David A.; Ionescu, Alex (2009). "File Systems". Windows Internals (5th ed.). Microsoft Press. p. 921. ISBN 978-0-7356-2530-3. One component in Windows that uses multiple data streams is the Attachment Execution Service [...] depending on which zone the file was downloaded from [...] Windows Explorer might warn the user. از آنجا که این قابلیت به ویژگی‌های انحصاری NTFS متکی است، انتقال فایل به یک پارتیشن با سامانه فایل دیگر یا از آن، مانند FAT32 یا Ext3، موجب حذف جریان‌های داده جایگزین فایل و در نتیجه حذف این نشان می‌شود. این جریان‌های جایگزین به گونه‌ای طراحی شده‌اند که شفاف باشند (یعنی از دید بیشتر کاربران پنهان بمانند) و به‌طور پیش‌فرض از طریق هیچ‌یک از رابط‌های کاربری گرافیکی موجود در ویندوز برای کاربران نمایش داده نمی‌شوند و قابل ویرایش نیستند.

نوع دوم نشان وب ممکن است هنگام ذخیره یک صفحه وب به صورت یک سند HTML ایجاد شود، زیرا بیشتر مرورگرها در هنگام انجام این فرایند، یک توضیح (Comment) از نوع HTML را همراه با نشانی اینترنتی صفحه‌ای که سند از آن ذخیره شده است درج می‌کنند.kexugit (2011-03-23). "Understanding Local Machine Zone Lockdown". Microsoft Learn. Retrieved 2024-01-09. این نوع نشان تفاوت قابل توجهی با نوع دیگر دارد، زیرا به‌وضوح برای کاربران قابل دسترسی است و به جای آنکه در فراداده ADS ذخیره شود، درون خود فایل قرار می‌گیرد؛ در نتیجه شناسایی و حذف دستی آن آسان است.

این نشان در تمامی نسخه‌های Internet Explorer که توسط ویندوز ۷ و نسخه‌های بعدی پشتیبانی می‌شوند، افزوده شده است. تمامی مرورگرهای مبتنی بر Chromium (مانند Google Chrome) و مرورگرهای مبتنی بر Firefox نیز جریان مربوط به این نشان را در فایل‌های دانلودشده ثبت می‌کنند. علاوه بر این، تمامی این مرورگرها نوع دوم نشان را نیز به شکل نشانی اینترنتی منبع صفحات وب دانلودشده و به صورت یک توضیح HTML در ابتدای فایل اضافه می‌کنند. نشان‌های ایجادشده توسط مرورگرهای مبتنی بر Chromium و Firefox شامل نام دامنه و نشانی دقیق محل اصلی دانلود فایل از اینترنت هستند که می‌تواند روشی بسیار غیرمعمول برای ردیابی تاریخچه مرور وب فراهم کند و در نتیجه مخاطراتی برای حریم خصوصی به همراه داشته باشد.Wilson, Craig (October 8, 2021). "Forensic Analysis of the Zone.Identifier Stream". Digital Detective.

 اثرات 
ویندوز به کاربرانی که تلاش می‌کنند یک فایل دارای نشان وب را باز کنند هشدار می‌دهد که این فایل از اینترنت دانلود شده است و ممکن است زیان‌آور باشد؛ کاربر می‌تواند اجرای فایل را ادامه دهد یا آن را لغو کند. اگر فایل قابل اجرا باشد و کاربر هشدار را نادیده بگیرد، نشان از فایل حذف می‌شود تا این هشدار در دفعات بعدی مجدداً نمایش داده نشود. مگر آنکه کاربر به‌صورت دستی این محدودیت را نادیده بگیرد، این نشان از اجرای ماکروها در فایل‌های Microsoft Office جلوگیری می‌کند."Macro Security for Microsoft Office". National Cyber Security Center (NCSC). 3.0. 11 October 2023 [21 February 2019].nicholasswhite (2023-12-14). "Macros from the internet are blocked by default in Office - Deploy Office". Microsoft Learn. Retrieved 2024-01-09. همچنین پروژه‌های Visual Studio که با فایل‌های دارای نشان وب ایجاد شده‌اند، قابل ساخت (Build) یا اجرا نیستند.Nagel, Eric (2019-08-26). "Remove the Mark of the Web: Visual Studio 2019 Build Error". Eric Nagel. Retrieved 2024-01-09.

برخی نرم‌افزارهای بایگانی و فشرده‌سازی، نشان وب را از خود بایگانی به فایل‌های استخراج‌شده از آن منتقل می‌کنند و بدین ترتیب مانع از آن می‌شوند که بدافزارهای توزیع‌شده درون یک بایگانی با دور زدن این سازوکار امنیتی اجرا شوند.Wixey, Matt (12 October 2022). "Are threat actors turning to archives and disk images as macro usage dwindles?". Sophos News. Retrieved 28 February 2024.Boyd, Christopher (21 June 2022). "7-Zip gets Mark of the Web feature, increases protection for users".Malwarebytes.

اگر فایل دانلودشده یک فایل قابل اجرا (برای مثال یک نصب‌کننده) باشد، جریان مربوط به این نشان می‌تواند برای بازتاب (Reflection) مورد استفاده قرار گیرد و به برنامه امکان دهد تشخیص دهد که فایل از چه محلی دانلود شده است. از این قابلیت گاهی برای اهداف تله‌متری و/یا امنیتی استفاده می‌شود. یک برنامه می‌تواند تلاش کند بررسی کند که آیا از یک منبع رسمی دانلود شده است یا خیر (با فرض اینکه جریان مربوطه حذف یا جعل نشده باشد) و سپس این اطلاعات را از طریق اینترنت ارسال کند. نصب‌کننده BiglyBT نمونه‌ای از این کاربرد است.

 پیاده سازی 
ADS نوعی انشعاب (Fork) است که امکان می‌دهد بیش از یک جریان داده با یک نام فایل و با استفاده از قالب filename:streamname مرتبط شود.

در مورد این نشان، ADS با نام Zone.Identifier نام‌گذاری شده است. از ویندوز ۱۰ به بعد، محتوای جریان Zone.Identifier به‌صورت یک فایل INI (یعنی یک مخزن کلید-مقدار) ساختاربندی شده است که شامل کلیدهای HostIpAddress، HostUrl و ReferrerUrl می‌شود."About URL Security Zones (Windows)". learn.microsoft.com. August 15, 2017. این فیلدها تا حدودی وابسته به پیاده‌سازی هستند، اما معمولاً شامل نام دامنه و نشانی اینترنتی دقیق محل اصلی دانلود فایل از اینترنت هستند.

 ملاحظات امنیتی 
پایگاه داده ملی آسیب‌پذیری‌ها (National Vulnerability Database) چهار آسیب‌پذیری امنیتی مرتبط با نشان وب را فهرست کرده است که تمامی آن‌ها برطرف شده‌اند:

 CVE-2022-41091 (۸ نوامبر ۲۰۲۲) – عوامل مخرب می‌توانستند از علامت‌گذاری فایل‌های دانلودشده از اینترنت جلوگیری کنند."CVE-2022-41091". National Vulnerability Database. Retrieved 2024-01-09."Windows Mark of the Web Security Feature Bypass Vulnerability". Microsoft MSRC. 2022-11-08. Retrieved 2024-01-09.
 CVE-2022-44698 (۱۳ دسامبر ۲۰۲۲)"CVE-2022-44698". National Vulnerability Database. Retrieved 2024-01-09. و CVE-2023-36584 (۱۰ اکتبر ۲۰۲۳)"CVE-2023-36584". National Vulnerability Database. 2023-10-10. Retrieved 2024-06-18. – عوامل مخرب می‌توانستند بدون حذف نشان، محدودیت‌های آن را دور بزنند.
 CVE-2024-38217 (سپتامبر ۲۰۲۴) – عوامل مخرب می‌توانستند این نشان را حذف کنند."CVE-2024-38217". NIST National Vulnerability Database. Retrieved 2025-10-01.Kolsek, Mitja. "Micropatches for "LNK Stomping" Windows Mark of the Web Security Feature Bypass (CVE-2024-38217)".

همچنین یک مهاجم می‌تواند با استفاده از مهندسی اجتماعی، کاربر هدف را متقاعد کند که با کلیک راست روی فایل و تغییر ویژگی‌های آن، فایل را از حالت مسدود خارج کند.Hegt, Stan (2020-03-30). "Mark-of-the-Web from a Red Team's Perspective". Outflank. Retrieved 2024-06-19.

 در سایر پلتفرم‌ها 
در macOS 10.5 قابلیتی مشابه با نام «صفت قرنطینه» (quarantine attribute) معرفی شد که به فایل‌های دانلودشده از اینترنت اعمال می‌شود.

 منابع