كارنيفور

اصنع كارنيفور بنفسك

عند الحديث عن كارنيفور في الصحافة العامة، فإنه يتم تصوير النظام على أنه ذلك التقدم المخيف في عالم التجسس على الاتصالات الإلكترونية، لكن الواقع هو أن كارنيفور ينتمي إلى المدرسة القديمة في عالم معدات التصنت، حيث أنه يعتمد على المعدات والأجهزة، في حين أن معظم أدوات التصنت اليوم هي من البرمجيات التي يتم زرعها على الأجهزة المزودة. وفي حين تعتمد البرمجيات الحديثة تقنيات الذكاء الاصطناعي مثلا للبحث في نص الرسائل المتبادلة بين الأجهزة، فإن كارنيفور ذا فعالية محدودة، حيث يمكنه فقط كما سبق وأن قلنا، التصنت على عناوين الحزم فقط دونما اهتمام للمحتوى، كما أنه معرض لفقد بعض الحزم المتداولة. وإضافة إلى ذلك فإن هنالك العديد من البرمجيات المتوفرة مجانا والتي يمكنها التصنت على عناوين معينة مثل برنامج TCPDUMP وهو متوفر لويندوز ويونيكس، ويمكن تنزيل إصدار لويندوز من الموقع :
نت غروب هو وشيفرته المصدرية.
والأكثر من ذلك هو أن بإمكانك صنع برنامج كارنيفور الخاص بك باستخدام برنامج الجدار الناري الشخصي Black ICE Defender (يمكن شراؤه وتنزيله من الموقع http://www.networkice.com/sales/home_office_sales.html )، واستعمال ميزة تسجيل الحزم المتداولة Packet Logging بحيث تقوم بمراقبة حركة البيانات الواردة إلى جهازك وإنشاء سجل بهذه التحركات، وحفظ السجل على قرص بشكل مباشر تماما مثل كارنيفور.

كيف يعمل كارنيفور

لفهم الكيفية التي يعمل بها كارنيفور يجب فهم الكيفية التي يعمل بها بروتوكول بروتوكول إرسال البريد البسيط المستخدم في تداول الرسائل الإلكترونية، كالبريد الإلكتروني. وعند إرسال البريد فإن ما يحدث هو أن مزود البريد الإلكتروني المرسل يقوم بالاتصال بمزود البريد المستقبل لإرسال البريد إليه, وفي هذه الحالة، وإذا كانت عناوين البريد الإلكتروني أو حزم IP المتداولة مطابقة لما هو محدد في فلتر كارنيفور فإنه يبدأ بالتصنت في الخفاء. ويقوم المزود الذي فتح قناة الاتصال بإرسال مغلف يحتوي على حقول MAIL FROM و RCPT TO والتي تحدد المرسل والمستقبِل، ثم يرسل الرسالة، التي تنتهي بسطر فارغ ونقطة.
ويعمل كارنيفور عادة حسب ما تحدده وكالة المباحث، وأمر المحكمة، فهو إما يقوم فقط بتسجيل المعلومات الأساسية مثل عنوان المرسل والمستقبل، أو تسجيل كافة محتويات البريد الإلكتروني، أو بالأحرى كافة الحزم التي تشكّل هذا البريد.
أما في حالة تعقب الاتصالات التي تتم من خلال المودم، وهي الحالات التي لا يُعين فيها للمستخدم عنوان IP ثابت، فإن كارنيفور يقوم بتعقب حزم RADIUS لتسجيل الدخول والتحقق من الهوية، وذلك لاكتشاف عنوان IP المستخدم. وهذه الميزة تعمل حقا على تمييز كارنيفور، حيث أنه من البرامج القليلة التي يمكنها تعقب اتصالات إنترنت التي تتم من خلال أجهزة المودم.
كما يعمل كارنيفور على تعقب جميع الاتصالات التي يقوم بها المشتبه بهم بموقع ويب معين، وذلك من خلال تطبيق فلاتر محددة على منفذ 8080 الخاص بالمستخدم (والذي يقوم بتداول بروتوكول بروتوكول نقل النص الفائق ) وتسجيل جميع عناوين IP التي ينفذ إليها المستخدم. وعمل ذلك للمتصلين من خلال أجهزة المودم أكثر تعقيدا بالطبع حيث أنه لا يوجد عنوان IP ثابت للمستخدم. ومن ناحية أخرى يمكن تثبيت صندوق كارنيفور إلى جانب مزود الويب الذي يقوم بخدمة صفحة معينة وتعقب جميع الاتصالات التي تتم مع صفحة معينة، وهو أسلوب يمكن استخدامه لمراقبة ملفات FTP معينة. كما يمكن استخدام كارنيفور لمراقبة المجموعات الإخبارية، والتي يعتمد عليها المجرمون الرقميون لتبادل المعلومات عادة. وأخيرا، ورغم الإشاعات بأنه يمكن استخدام كارنيفور لمراقبة غرف التراسل عبر إنترنت و IRC فإن ذلك عديم الفائدة، حيث أن محتوى غرف التراسل عام ويمكن استخدام مجموعة واسعة من البرمجيات المجانية لتسجيل ما يجري في غرف الحوار دون الحاجة إلى كارنيفور.

تجنّب كارنيفور

ليس لدينا الكثير لنقوله هنا، ولكن تشفير رسائل البريد الإلكتروني هو الوسيلة الأولى والأنجع لعمل ذلك. كنا يمكن استخدام مواقع البريد الإلكتروني المُغفَل anonymizing services لعمل ذلك (وهي للأسف خدمات يقاطعها معظم مزودي إنترنت في الخليج). وأخيرا يمكنك تزوير عنوان البريد الإلكتروني الذي تقوم بإرسال الرسائل منه، وهو أمر تتيحه معظم برمجيات البريد الإلكتروني اليوم من قائمة الخيارات، والحسابات. أما الهكرة المحترفون، والذين يستخدمون خطوط الهاتف للاتصال بإنترنت، فيمكنهم تزوير حزم RADIUS لإيهام المتصنتين بأن شخصا آخر يستخدم عنوان IP مما سيوقف عمليات التصنت. وأخيرا يمكن مهاجمة كارنيفور بشكل مباشر بإرسال رسائل بريد إلكتروني كبيرة الحجم، وبشكل يفوق قدرة كارنيفور على المعالجة، مما سيؤدي إلى وقفه عن العمل، وهو أسلوب مشابه للأسلوب المتبع في هجمات الحرمان من الخدمات denial of service attack، والتي يمكن استخدامها أيضا لتعطيل كارنيفور.

نظائر كارنيفور

كارنيفور هو البرنامج الذي تستخدمه وكالة المباحث الفيدرالية الأمريكية للتصنت على الاتصالات الإلكترونية للأفراد المشتبه بهم. ورغم الأساطير التي انطلقت عنه (خصوصا وأنه يحمل الجنسية الأمريكية مما يجعله متفوقا في نظر الكثيرين) فإن هنالك نظما مشابهة له من حيث المبدأ، وربما تكون أكثر تقدما، تستخدمها الدول الغربية المتقدمة.
ففي بريطانيا أصدر مجلس العموم البريطاني قانونا يحمل اسم RIP، سيُفرض بموجبه على كافة الشركات المزودة لخدمات إنترنت أن تقوم بالتعاون مع السلطات في التحقيقات الأمنية بتثبيت جهاز (صندوق أسود) مشابه لكارنيفور بجانب أجهزتها المزودة. أما في روسيا، فإن وكالة الاستخبارات الروسية FSB والتي خلفت الكي جي بي، فهنالك قانون SORM والذي يفرض على كافة الشركات المزودة لخدمات إنترنت أن تقوم بتحويل كافة البيانات المتداولة إلى أجهزة FSB المزودة لفلترتها، ويمكن لرجال القانون استخدام هذه المعلومات دون أمر من المحكمة، كما أن استخدام تقنيات التشفير وبعثرة البيانات ممنوع. أما في اليابان، فيُفرض على جميع الشركات المزودة للخدمات أن تقوم بحفظ سجل إلكتروني بكافة البيانات المتداولة، والتي يمكن للسلطات استخدامها في أي وقت بعد إصدار مذكرة من المحكمة. وفي جميع الحالات، فإن هذه الدول تقوم باستخدام نظم لفلترة وتصفية ومراقبة حزم البيانات شبيهة بكارنيفور، وربما أكثر تقدما منه.