يتضمن اكتشاف مفاتيح التشفير المتشددين في تطبيقات مثل Deepseek مزيجًا من الفحص اليدوي والأدوات الآلية. فيما يلي نهج مفصل لتحديد مثل هذه الثغرات الأمنية:
التفتيش اليدوي
1. مراجعة الكود: يجب على المطورين مراجعة قاعدة الكود الخاصة بهم بانتظام لأي قيم متشددين ، خاصة خلال مراحل تصحيح الأخطاء. يتضمن ذلك فحص تعليقات التعليمات البرمجية والوثائق للحصول على معلومات حساسة قد تكون قد تركت في قاعدة الشفرة.
2. مراجعات الأقران: يمكن أن يساعد تنفيذ مراجعات الأقران في التقاط الأسرار المتشددة في وقت مبكر من دورة التطوير. تتضمن هذه العملية جعل المطورين الآخرين يفحصون رمز المخاطر الأمنية المحتملة.
الكشف الآلي
1. يمكن أن تكتشف هذه الأدوات تلقائيًا الأسرار المتشددين عبر أنواع مختلفة من الملفات والتنسيقات.
2. أدوات التحليل الثنائي: يمكن لأدوات مثل Black Duck Binary Analysis (BDBA) فحص منتجات الشحن النهائية أو محتويات الحاويات للعثور على أسرار في الثنائيات والمحفوظات. هذا مفيد بشكل خاص للكشف عن المفاتيح المتشددين في التطبيقات المترجمة.
3. أدوات مفتوحة المصدر: أدوات الرافعة المالية مثل FRIDA للأجهزة الديناميكية وتحليل وظائف التطبيق في وقت التشغيل. يمكن استخدام FRIDA لربط وظائف التشفير والتحقق مما إذا كانت مفاتيح التشفير متشددين.
4. الماسحات الضوئية السرية: استخدم أدوات مثل Trufflehog لمسح قواعد الكود للأسرار المتشددين. تم تصميم هذه الأدوات لتحديد الأنماط التي تتطابق مع أنواع سرية مشتركة ، مثل مفاتيح API أو مفاتيح التشفير.
تقنيات محددة لـ Deepseek
بالنظر إلى نقاط الضعف المحددة المحددة في Deepseek ، مثل استخدام خوارزميات التشفير المتماثلة غير الآمنة (3DES) والمفاتيح المتشددين ، يمكن تطبيق التقنيات التالية:
- الهندسة العكسية: استخدم أدوات مثل RADARE2 لعكس APPINER وتحديد معلمات التشفير ، بما في ذلك المفاتيح المتشددين ومتجهات التهيئة.
- التحليل الديناميكي: استخدم FRIDA لربط وظائف التشفير التطبيق والتحقق من وجود مفاتيح متشددين. يتضمن ذلك تتبع مكالمات CCCrypt لتحديد البيانات التي يتم تشفيرها وفك تشفيرها.
من خلال الجمع بين هذه الأساليب ، يمكن للمطورين والباحثين الأمنيين اكتشاف مفاتيح التشفير المتشددين بشكل فعال في تطبيقات مثل Deepseek ، وضمان ممارسات الأمان الأفضل وحماية بيانات المستخدم.
الاستشهادات:
[1] https://www.nowsecure.com/blog/2025/02/06/nowsecure-uncovers-multiple-security-and-privacy-flaws-
[2] https://www.blackduck.com/blog/finding-hard-coded-secrets-before-you-suffer-a-breach.html
[3] https://www.bardeen.ai/answers/deepseek-data-privacy-and-security
[4] https://trufflesecurity.com/blog/research-finds-12-000-live-api-keys-passwords-
[5] https://blog.ostorlab.co/hardcoded-secrets.html
[6]
[7]
[8] https://blog.codacy.com/hard-coded-secrets
[9] https://www.bankinfosecurity.com/security-researchers-warn-new-new-ne-deepeek-ai-app-a-27486