حول رسائل التصيّد المنتحلة لصفة RIPE NCC — الخوف والسلطة والدور الحقيقي لهيئات التسجيل
لماذا يمكن لرسالة بريد إلكتروني مزيفة أن تهدد شركة، وماذا يكشف ذلك عن جهة التسجيل؟
يمكن لرسالة مزوّرة أن تستعير الخوف المرتبط بمؤسسة. ويتساءل هذا المقال عن سبب النظر إلى جهة تمسك السجلات باعتبارها سلطة على الشبكة بأكملها.
تلقى مؤخرًا كثير من أعضاء RIPE NCC رسالة بريد إلكتروني بعنوان «مراجعة التنزيل»، تطالبهم بتأكيد المعلومات خلال 48 ساعة. لم تكن الرسالة صادرة عن RIPE NCC. بل كانت محاولة تصيّد تستغل الخوف، وتحديدًا الخوف من السلطة التي يُتصوَّر أن RIPE NCC يملكها.
تكشف هذه الواقعة مشكلة بنيوية أعمق.
RIPE NCC كيان خاص قائم على العضوية، يتولى صيانة قاعدة بيانات للتسجيل. ومع ذلك، يعامله كثير من الأعضاء، من دون وعي منهم، بوصفه جهة تنظيمية ذات سلطة سيادية، قادرة على إغلاق أعمالهم بأكملها بين ليلة وضحاها. وهذا الخوف هو بالضبط ما استغله المحتالون. وهو موجود لسبب واحد: بموجب سياسات هيئات سجلات الإنترنت الإقليمية (RIRs) الحالية، فإن الأعضاء لا يملكون حقًا عناوين IP التي تعتمد عليها أعمالهم.
إذا كان بوسع هيئة تسجيل، نظريًا، إنهاء اتفاقية خدمة وتعديل التسجيلات، بدا الخطر وجوديًا. فلا ينبغي مطلقًا أن تكون شركة اتصالات وطنية، أو مزوّد خدمات إنترنت يخدم الملايين، معتمدة بنيويًا على السلطة التقديرية لشركة خاصة تعمل بموجب قانون أجنبي. فليس هذا أساسًا سليمًا لبنية تحتية حيوية.
الحل الحقيقي هو إصلاح السياسات. فلا بد من الاعتراف بملكية موارد ترقيم الإنترنت. وحين يملك الأعضاء عناوين IP الخاصة بهم حقًا، لا تعود رسالة بريد إلكتروني، حقيقية كانت أو مزوّرة، قادرة على تهديد بقاء أعمالهم. ويزول الخوف لحظة زوال التبعية. فهيئات RIRs مؤسسات تنبع قراراتها من القاعدة ويقودها المجتمع. وإذا أراد المجتمع الملكية، استطاع تحقيقها بالمشاركة والتصويت وتغيير السياسات.
وفي الوقت نفسه، ينبغي للأعضاء أن يفهموا الواقع كما هو اليوم. فـRIPE NCC ليس حكومة. وليس شرطة الإنترنت. إنه كيان خاص تربطه بأعضائه علاقة تعاقدية. ولو تصرف على نحو غير معقول، بإنهاء الاتفاقيات وإلحاق ضرر غير متناسب، لتحمّل المسؤولية القانونية. فالمحاكم موجودة تحديدًا لمنع مثل هذه التجاوزات، والتاريخ يبيّن أن هيئات التسجيل نفسها ليست بمنأى عن الأوامر القضائية أو إجراءات التجميد أو الإعسار حين تتجاوز حدودها.
في الممارسة، تخضع الإجراءات الفعلية لدى RIPE NCC لقواعد إجرائية معقولة. فعلى سبيل المثال، تهدف عمليات التحقق من السجل بمساعدة RIPE NCC إلى الحفاظ على دقة البيانات، لكنها تعاونية، وتُجدول في وقت يناسب العضو، ويُنص صراحة على أنها غير عدائية. ولا يطالب أي إجراء مشروع لدى RIPE باتخاذ إجراء خلال 48 ساعة تحت التهديد. وينبغي لمثل هذه الرسائل أن تثير الشك فورًا.
تذكّرنا هذه الواقعة بضرورة تصحيح منظورنا. فهيئات التسجيل جهات تمسك الدفاتر. وكما قال أحد مؤسسي RIPE: إنها موجودة للحفاظ على دقة الدفتر. لا أكثر. فهي لا تأمر الشبكات، ولا تراقب السلوك بوصفها شرطة، ولا تمارس سلطة سيادية.
الحل طويل الأمد هو العمل الجماعي: الانخراط في عمليات صنع السياسات، والدفع نحو ملكية حقيقية لعناوين IP، وإزالة الخوف البنيوي الذي يجعل هجمات التصيّد هذه فعّالة أصلًا. فبمجرد اتضاح ملكية عناوين IP، تختفي هذه الفئة من التهديدات بأكملها.
وإلى أن يتحقق ذلك، تعاملوا مع مراسلات هيئات التسجيل كما تتعاملون مع مراسلات أي مورّد: بهدوء، وعلى أساس تعاقدي، ومن دون خوف.