RASP على Android: كشف الروت وFrida والمحاكيات بشكل صحيح

أصبحت الحماية أثناء التشغيل، أو RASP، أمرًا متوقعًا في التطبيقات المصرفية وغيرها من التطبيقات المالية. فالبنوك الشريكة والمدققون وفرق مكافحة الاحتيال يطلبون كشف الروت، وكشف الاعتراض، وفحوص منع العبث.

الجزء الصعب ليس كشف التهديدات، بل كشفها دون حجب العملاء الحقيقيين. فالفحص الذي يحجب مستخدمًا حقيقيًا على جهاز غير مألوف يعني تذكرة دعم، وتقييمًا سيئًا، وأحيانًا خسارة عميل.

في هذا المقال نستعرض كيف بنينا الحماية أثناء التشغيل لتطبيق Android تابع لبنك تجزئة وتحققنا منها، وخيارات التصميم التي أبقت الإنذارات الكاذبة في أدنى مستوى.

ما الذي كان على التطبيق أن يكشفه

أطر الاعتراض مثل Frida، التي تستطيع تغيير سلوك التطبيق أثناء التشغيل.
الأجهزة المُروَّتة (rooted)، التي لم تعد فيها حماية نظام التشغيل قائمة.
المحاكيات، التي تُستخدم غالبًا في الاستغلال الآلي على نطاق واسع.
التطبيقات المعاد تغليفها، التي تُعدَّل ويُعاد توزيعها خارج المتجر الرسمي.
إساءة استخدام التراكب (overlay) وخدمات إمكانية الوصول، وهي تقنية شائعة لدى البرمجيات الخبيثة المصرفية.

📌 فكرة أساسية:

لكل كاشف نمطان من الإخفاق: تفويت هجوم، والإبلاغ عن مستخدم نزيه. ومعظم النقاشات حول RASP لا تتحدث إلا عن النمط الأول.

خيارات تصميمية أبقت الإنذارات الكاذبة منخفضة

1. قيم دقيقة بدلًا من الاستدلالات الفضفاضة

تبحث كثير من فحوص المحاكيات في خصائص الجهاز عن كلمات مريبة. وهذا يلتقط أيضًا عتادًا حقيقيًا يحمل أسماء غير مألوفة. لذلك انتقلنا إلى كشف المحاكيات بالقيم الدقيقة، المغطّى بـ35 اختبارًا، وتحققنا من عدم وجود أي إنذارات كاذبة على أجهزة Chromebook، التي تشغّل تطبيقات Android وكثيرًا ما تُطلق الفحوص الساذجة.

2. مصنِّفات مُختبَرة على تطبيقات حقيقية

لكشف أدوات النقر التلقائي، بنينا مصنِّفًا واختبرناه على تطبيقات حقيقية، لا على عينات المختبر فقط. فالسلوك على البرمجيات الحقيقية هو المحك الذي إما أن يكسب فيه المصنِّف الثقة، وإما أن يبدأ بحجب المستخدمين النزهاء.

3. فحوص هوية لا تعتمد على الجهاز

يستخدم منع إعادة التغليف فحصًا لشهادة التوقيع وفحصًا لمصدر التثبيت. وكلاهما ينظر إلى التطبيق نفسه، لذا يتصرفان بالطريقة نفسها على كل هاتف.

4. مفتاح إيقاف لكل كاشف

يعمل الكشف أثناء التشغيل خلف مفتاح إيقاف عن بُعد. فإذا بدأ طراز هاتف جديد يُطلق أحد الفحوص، لا يضطر الفريق إلى انتظار إصدار جديد في المتجر ليتوقف عن حجب الناس.

كيف تحققنا من ذلك

شغّلت مصفوفة التحقق كل سيناريو على نسخ اختبارية:

السيناريو	النتيجة المتوقعة
ربط Frida بالتطبيق	ظهور شاشة الحظر خلال 5 ثوانٍ
تشغيل التطبيق على محاكٍ	محظور
تشغيل التطبيق على هاتف حقيقي	يعمل بشكل طبيعي

اختبار صفوف «يجب أن يمرّ» لا يقل أهمية عن اختبار صفوف «يجب أن يُحظر». فهناك تُلتقط الإنذارات الكاذبة قبل أن يكتشفها العملاء.

ما الذي لا تفعله RASP

لا تجعل التطبيق عصيًّا على الاختراق. فالمهاجم المصمم يستطيع تجاوز الفحوص على جهة العميل إذا امتلك وقتًا كافيًا.
لا تحلّ محل آليات الحماية على الخادم، مثل التحقق من الجلسة وتقييم مخاطر الاحتيال.
لا تغطي المتطلبات الخاصة بكل قطاع، مثل تحديد الموقع الجغرافي المعتمد لتطبيقات المقامرة.

ما تجيده هو رفع تكلفة الهجمات الشائعة، وإيقاف الأدوات الجاهزة والاستغلال الآلي، ومنح الخادم إشارات يمكنه التصرف بناءً عليها.

كيف تساعدك Mobian

في Mobian، كانت آليات الحماية أثناء التشغيل هذه جزءًا من معالجة أمنية لبنك تجزئة بدأت من درجة MobSF بلغت 48/100 وأسفرت عن 124 إصلاحًا مُتتبَّعًا. نحن نصمم الكشف للمستخدمين الذين لديك، لا للمهاجمين الذين تخشاهم فقط، مع اختبارات للطرفين، وطريقة لإيقاف أي فحص إذا أساء التصرف.

الخلاصة

تُقاس جودة RASP من جانبين: مدى سرعتها في إيقاف أداة اعتراض، ومدى ندرة إزعاجها لعميل حقيقي. إن الفحوص بالقيم الدقيقة، والمصنِّفات المُختبَرة على تطبيقات مشروعة، وفحوص الهوية المستقلة عن الجهاز، ومفتاح الإيقاف عن بُعد، تجعل من الممكن حظر Frida خلال ثوانٍ بينما لا يلاحظ العميل الذي يستخدم Chromebook أي شيء على الإطلاق.

الأسئلة الشائعة

ما هي حماية RASP في تطبيقات الجوال؟

الحماية الذاتية للتطبيق أثناء التشغيل (Runtime Application Self-Protection أو RASP) مجموعة من الفحوص يجريها التطبيق على نفسه أثناء استخدامه: كشف الروت (root)، وأدوات الاعتراض (hooking) مثل Frida، والمحاكيات، وأدوات التصحيح، والنسخ المعاد تغليفها من التطبيق. وحين ينطلق أحد الفحوص، يستطيع التطبيق أن يحظر الاستخدام أو يقيّد الميزات أو يُبلغ الخادم.

لماذا تتسبب فحوص RASP في إنذارات كاذبة؟

تعتمد كثير من آليات الكشف على أساليب استدلالية فضفاضة، مثل البحث في خصائص الجهاز عن كلمات مرتبطة بالمحاكيات. وقد تطابق أجهزة حقيقية هذه الأنماط، ومنها أجهزة Chromebook التي تشغّل تطبيقات Android. والإنذار الكاذب يحجب عميلًا يدفع المال عن حسابه الخاص.

ما هو مفتاح الإيقاف (kill-switch) في RASP؟

إعداد عن بُعد يتيح للفريق تعطيل كاشف معيّن أو تخفيف صرامته دون إصدار نسخة جديدة من التطبيق. فإذا بدأ أحد الفحوص يحجب مستخدمين حقيقيين على جهاز بعينه، يستطيع الفريق إيقافه خلال دقائق ريثما يُجهَّز الإصلاح.

هل تستطيع RASP إيقاف مهاجم مصمم؟

لا. يستطيع المهاجم الماهر الذي يملك وقتًا كافيًا تجاوز الفحوص التي تعمل على جهة العميل. ترفع RASP تكلفة الهجمات، وتوقف الأدوات الشائعة والاستغلال الآلي، وتمنح الخادم إشارات يمكنه التصرف بناءً عليها. إنها تكمّل التصميم الآمن وآليات الحماية على الخادم ولا تحلّ محلها.

هل RASP مفيدة خارج القطاع المصرفي؟

نعم. مزارع المحاكيات وأدوات النقر التلقائي والتطبيقات المعاد تغليفها هي ما يقف وراء استغلال المكافآت في الألعاب والاحتيال في تطبيقات العملات المشفّرة. وتنطبق آليات الكشف نفسها، وإن كان لكل قطاع أيضًا متطلبات خاصة، مثل تحديد الموقع الجغرافي المعتمد، لا تغطيها RASP.

حماية RASP لا تحجب العملاء الحقيقيين