یک حمله خودکار ثبت‌نام و آنچه برای جلوگیری از وقوع دوباره‌اش ساختیم
لرالینک، نوامبر ۲۰۲۶
شرح رخداد
اوایل نوامبر، در یکی از نصب‌های لرالینک متوجه چیزی غیرمعمول شدیم. حساب‌های کاربری تازه یکی پس از دیگری ایجاد می‌شدند و هرکدام نشانی ایمیل متفاوتی داشتند. هرکدام نشانی خود را تأیید می‌کردند، وارد می‌شدند و بی‌درنگ شروع به حاشیه‌نویسی بر قطعه‌های منتشرشده می‌کردند. سرعت و الگو روشن می‌کرد که این یا یک اسکریپت خودکار است، و یا یک خرابکار متعهد و نه خواننده واقعی.
این حساب‌ها تنها مجوزهای یک خواننده تازه را می‌گرفتند و دسترسی آنان بیشتر از این نبود. می‌توانستند در حاشیه بخوانند و حاشیه بنویسند. به هیچ بخش مدیریتی یا حساب هیچ‌کس دیگری دسترسی ایجاد نمی‌شد.
پاسخ نخست ما
برای متوقف کردن این حمله، کل پلتفرم لرالینک را برای مدتی در حالت فقط‌خواندنی قرار دادیم. این کار اگر چه مؤثر بود، هزینه هم داشت: در آن مدت هیچ‌کس نمی‌توانست چیزی بنویسد، از جمله نویسندگان و خوانندگان واقعی پلتفرم.
این تجربه برای ما چه داشت؟
با بازنگری این حادثه، سه خلأ مهم در توسعه لرالینک را پیدا کردیم و اولویت دادیم.
- کلید اضطراری محدودی وجود نداشت. تنها راه متوقف کردن حمله، متوقف کردن کل پلتفرم بود. نمی‌توانستیم فقط ثبت‌نام‌های تازه یا فقط یادداشت‌های حاشیه‌ای تازه را متوقف کنیم.
- ابزارهای ویرایش یا اقدام گروهی نداشتیم. حساب‌ها تنها می‌توانستند یکی‌یکی مسدود یا ناشناس‌سازی شوند، هم در سطح پلتفرم و هم در مدیریت هر نصب. در برابر صدها حساب، این گزینه واقعی نیست و ساعت‌ها وقت می‌برد.
- حساب‌های تازه می‌توانستند بدون هیچ محدودیتی شروع به نوشتن کنند. حسابی که چند ثانیه پیش ایجاد شده بود، دقیقاً همان آزادی عمل خواننده‌ای را داشت که مدتی‌است در پلتفرم حضور دارد. سازوکار مدیریت انجمن باید ثبت می‌شد.
چه چیزی ساختیم؟
ما تلاش کردیم کاری اصولی انجام بدهیم: یک عضو حقیقی نباید متوجه هیچ‌یک از این موارد شود. هر بررسی تازه‌ای تنها برای نشانی‌های ایمیلی اعمال می‌شود که برای یک نصب تازه هستند. اگر از پیش عضو هستید، هیچ‌چیز درباره ورود، خواندن یا نوشتن برای شما تغییر نکرده است.
محافظت خودکار
- بررسی هنگام ثبت‌نام. نشانی‌های سرویس‌های شناخته‌شده ایمیل یک‌بارمصرف پذیرفته نمی‌شوند؛ همچنین دامنه‌هایی که اساساً نمی‌توانند ایمیل دریافت کنند، حذف می‌شوند. نشانی‌هایی که متفاوت به نظر می‌رسند اما به یک صندوق ورودی تحویل داده می‌شوند، یکی از این موارد به‌شمار می‌آیند.
- یک قطع‌کننده مدار خودکار. اگر در مدت کوتاهی شمار غیرمعمولی حساب (به ویژه از یک دامنه مشخص ناشناخته) در یک نصب ایجاد شود، تنظیمات آن نصب خودبه‌خود به «تأیید پیش از نوشتن» تغییر می‌کند. حساب‌هایی که در طول این افزایش ناگهانی ایجاد شده‌اند تا زمانی که کسی آن‌ها را تأیید کند، نگه داشته می‌شوند. بقیه سایت به‌طور عادی می‌تواند به کار خود ادامه دهد.
- یک هشدار فوری. وقتی قطع‌کننده فعال می‌شود، برای مدیریت لرالینک و مدیران آن نصب ویژه ایمیل فرستاده می‌شود. این مورد در صفحه عملیات پلتفرم گلوبال نیز نمایش داده می‌شود تا دست‌اندرکاران امنیت ببینند.
- یک دوره آغازین برای اعضای تازه. در روزهای نخست، اعضای تازه می‌توانند در هر ساعت شمار معقول و محدودی یادداشت بنویسند. این عدد نسبی است. منطق آن این است که یک خواننده واقعی هرگز به آن حد از حاشیه‌نویسی نمی‌رسد. این باعث می‌شود که یک اسکریپت خرابکارانه در آن آستانه دیگر نتواند ادامه بدهد.
- یک بررسی اختیاری انسانی. یک نصب می‌تواند بررسی نامحسوس کلادفلر را فعال کند تا مشخص شود کسی که در حال پر کردن فرم ثبت‌نام است، یک انسان است. این بررسی فقط به افرادی نشان داده می‌شود که برای نخستین بار ثبت‌نام می‌کنند و فقط زمانی نشان داده می‌شود که لازم باشد.
برای کسانی که یک نصب را اداره می‌کنند (ادمین‌ها)
مدیران نصب صفحه تازه‌ای با عنوان محافظت از ثبت‌نام دارند که در آن می‌توانند اقدام‌های زیر را انجام دهند:
- انتخاب کنید افراد چگونه عضو شوند. باز، تأیید پیش از نوشتن، یا فقط با دعوتنامه. هیچ‌یک از این تنظیمات بر اعضای فعلی نصب اثر نمی‌گذارند.
- حاشیه‌نویسی را متوقف کنید. یادداشت‌ها و قدردانی‌های خوانندگان را می‌توان برای مدتی متوقف کرد. نویسندگان و استودیو به کار خود ادامه می‌دهند.
- ببینید چه کسانی به‌تازگی عضو شده‌اند. حساب‌های تازه هنگامی که دامنهٔ ایمیل، شبکه یا مرورگر مشترکی دارند، گروه‌بندی می‌شوند تا بتوان کل یک موج را با یک کلیک انتخاب و متوقف کرد.
- به‌صورت گروهی مسدود کنید. در یک مرحله از توقف حمله گروهی، حساب‌های انتخاب‌شده از حساب خود بیرون انداخته می‌شوند، عضویتشان تعلیق می‌شود، یادداشت‌ها و قدردانی‌هایشان از همه پنهان می‌شود و نمی‌توانند با همان نشانی دوباره بازگردند.
- مسدودسازی را کاملاً لغو کنید. اگر کسی به اشتباه مسدود شده باشد، برداشتن مسدودسازی همه‌چیز را دقیقاً به حالت پیشین بازمی‌گرداند.
- به‌صورت گروهی تأیید کنید. اعضای واقعی که در انتظار تأیید نگه داشته شده‌اند را می‌توان با یک کلیک تأیید کرد.
اعضای تیم و مدیران هرگز در این اقدامات گروهی قابل انتخاب نیستند؛ بنابراین، اشتباه در یک فیلتر نمی‌تواند کسی را از دسترسی به نصب خود محروم کند.
برای پلتفرم
- دو کلید اضطراری که محدودتر از حالت فقط‌خواندنی هستند. این‌ها برای کل پلتفرم یا برای یک نصب واحد کار می‌کنند: «توقف نام‌نویسی‌های تازه» و «توقف نوشتن در حاشیه». اعضا همچنان وارد می‌شوند و نویسندگان همچنان می‌نویسند.
- یک نما از هر نصب. این نما حالت نام‌نویسی هر نصب، شمار افرادی که اخیراً پیوسته‌اند، و هر نصبی را که قطع‌کننده در آن فعال شده است نشان می‌دهد.
- مسدودسازی‌های سراسری پلتفرم. این‌ها شامل چسباندن فهرستی از نشانی‌ها برای مسدود سازی هستند. همچنین فهرستی از دامنه‌های ایمیل مسدودشده وجود دارد که برای هر نصب و فرم تماس اعمال می‌شود.
- حذف دائمی حساب‌های جعلی. این کار از همان فرایندی استفاده می‌کند که وقتی فردی حساب خود را حذف می‌کند به کار می‌رود. پس از حذف حساب، نشانی آن هیچ‌جا نگه‌داری نمی‌شود، اما همچنان رد می‌شود.
- ابزارهای پاک‌سازی که در حالت فقط‌خواندنی کار می‌کنند. اگر ناچار شویم دوباره پلتفرم را متوقف کنیم، می‌توانیم هم‌زمان پاک‌سازی نیز انجام دهیم.
هر جا ورود با کلید عبور الزامی باشد، اقدام‌های حساس از شما می‌خواهند دوباره با کلید عبورتان تأیید کنید. تک‌تک این اقدام‌ها در گزارش ممیزی ثبت می‌شوند.
چه چیزی برای خوانندگان تغییر می‌کند؟
تقریباً هیچ‌چیز. اگر عضو هستید، ورود، خواندن و نوشتن دقیقاً مثل قبل کار می‌کنند. اگر برای نخستین بار می‌پیوندید، ممکن است گاهی یکی از دو پیام را ببینید: نام‌نویسی فعلاً بسته است، یا نوشتن در حاشیه پس از تأیید عضویت شما توسط تیم باز می‌شود. اما همیشه می‌توانید فوراً خواندن را آغاز کنید.
گام‌های بعدی
- فعال‌کردن بررسی انسانی برای هر نصب، پس از راه‌اندازی دامنه‌های آن در کلادفلر.
- افزودن لایه‌ای دیگر از محدودسازی نرخ در لبهٔ کلادفلر، پیش از آنکه درخواست‌ها اصلاً به لرالینک برسند.
- پایش رفتار قطع‌کننده در هفته‌های آینده و تنظیم آن بر اساس الگوهای واقعی نام‌نویسی.
از همهٔ کسانی که هنگام توقف پلتفرم شکیبا بودند سپاسگزاریم. ما ایمنی جایی که در آن می‌خوانیم و می‌نویسیم و تولید دانش می‌کنیم را همواره جدی می‌گیریم.