Cloudflare تعزز عزل Workers بعد إعادة تقييم هجمات Spectre عن بُعد
أعادت Cloudflare خلال 2024 وبدايات 2025 تقييم قابلية تنفيذ هجمات Spectre عن بُعد ضد بيئة Workers الإنتاجية، وتمكن باحثوها من إثبات تسريب بيانات بين Workers متجاورة على البنية نفسها بسرعة تصل إلى 12 بت/ثانية ودقة تتجاوز 99% في بيئة مضبوطة. تقول الشركة إن الهجوم أصبح مُخففاً بالفعل عبر تحسينات في DyPrIs وV8 Sandbox والعزل داخل العملية باستخدام MPK، ولم ترصد مؤشرات على استغلال نشط خلال السنوات الثلاث الماضية.
أبرز النقاط
- أثبتت Cloudflare هجوماً تجريبياً لتسريب بيانات بين Workers متجاورة في بيئة الإنتاج الخاضعة لسيطرتها.
- بلغ معدل التسريب في التجربة حتى 12 بت/ثانية مع دقة تتجاوز 99%.
- قيود التوقيت المحلية في Workers لم تمنع الهجوم؛ إذ استُخدم WebSocket كمؤقت بعيد مع تقنيات لتضخيم إشارات الـ cache.
- كشف البحث أن DyPrIs كان يعزل السلوك المشبوه بعد انتهاء الاستدعاء، وهو وقت متأخر أمام تنفيذ طويل الأمد.
- أضافت Cloudflare V8 Sandbox وعزل MPK داخل العملية، وحسّنت DyPrIs للتعامل مع التنفيذ طويل الأمد وI/O الكثيف.
- تقول الشركة إن الهجوم مُخفف في الإنتاج حالياً ولم ترصد دلائل على استغلال نشط خلال ثلاث سنوات.
نشرت Cloudflare تفاصيل إعادة تقييمها لهجمات Spectre عن بُعد على Cloudflare Workers، بعد ظهور تقنيات أحدث تجعل هذا النوع من هجمات القنوات الجانبية أكثر استقراراً. والنتيجة الأبرز أن الباحثين أثبتوا، في بيئة Workers الإنتاجية وضد Workers يسيطرون عليها، إمكانية تسريب بيانات من Worker ضحية متجاور على الخادم نفسه بمعدل يصل إلى 12 بت/ثانية ودقة تزيد على 99%.
Spectre تستغل التنفيذ التخميني في المعالج: قد ينفذ CPU مساراً متوقعاً مؤقتاً قبل التأكد من صحته، ثم يتراجع عن نتائجه المنطقية إذا كان التوقع خاطئاً. لكن آثار هذا التنفيذ قد تبقى في حالة الـ cache، ما يسمح باستنتاج أجزاء من بيانات الذاكرة عبر فروق زمن الوصول إليها.
يعتمد نموذج Workers على V8 isolates، حيث يمكن لعشرات الآلاف من المستأجرين مشاركة عملية نظام تشغيل واحدة، مع JavaScript heap منفصل لكل Worker. هذا التصميم مفيد للكفاءة وزمن البدء، لكنه يجعل أي قراءة ذاكرة عابرة للحدود داخل العملية خطراً محتملاً لتسرب البيانات بين المستأجرين.
كانت المنصة تقيد أدوات التوقيت المحلية، فلا يوفر Date.now() أو performance.now() ساعة عالية الدقة تتقدم باستمرار أثناء تنفيذ CPU فقط، كما لا تسمح بالـ multithreading أو SharedArrayBuffer. لكن الفريق البحثي استخدم مؤقتاً بعيداً عبر WebSocket، إلى جانب تضخيم إشارات الـ cache، للتفريق بين البتات رغم ضجيج الشبكة وبيئة الإنتاج.
كما وجد الباحثون أن ضمان وجود الـ Worker المهاجم والـ Worker المستهدف في العملية والخادم نفسيهما يمكن تحقيقه في سيناريوهات محددة عبر استدعاء Worker الضحية من Worker المهاجم. واستُخدمت Durable Objects للحفاظ على سياق تنفيذ طويل الأمد، بما يسمح بتجاوز حدود التنفيذ القصيرة المعتادة على مستوى الطلب الواحد.
الضعف الذي كشفه البحث لم يكن مجرد ثغرة في Spectre نفسها، بل شمل قيداً في آلية Dynamic Process Isolation أو DyPrIs. كانت الآلية تعزل السكربتات ذات السلوك المشبوه في عملية منفصلة، لكنها تتخذ هذا الإجراء بعد انتهاء الاستدعاء. وتمكن التنفيذ طويل الأمد عبر WebSocket وDurable Objects من إكمال التسريب قبل وصول العزل. كذلك، جعل نمط I/O الكثيف للهجوم سلوكه أقل وضوحاً لإشارات الرصد المستخدمة آنذاك.
رداً على ذلك، حسّنت Cloudflare آلية DyPrIs لتتعامل مع التنفيذ طويل الأمد وأحمال I/O الكثيفة كحالات أمنية أساسية، وتبحث إضافة سلوك التوقيت البعيد إلى مؤشرات الكشف. وأدمجت الشركة أيضاً V8 Sandbox، الذي يقلل وجود مؤشرات 64-bit الخام في أجزاء واسعة من JavaScript heap، ما يصعّب إعادة استخدام gadget محدد استُخدم في البحث.
وفي سبتمبر 2025، نشرت Cloudflare عزلًا داخل العملية يعتمد على Memory Protection Keys أو MPK. يقسم MPK الذاكرة إلى نطاقات حماية ويمنع وصول isolate إلى heap خاص بـ isolate آخر عند غياب مفتاح الحماية الصحيح. لا تصفه Cloudflare كحل كامل ضد Spectre، لكنه يمنع مسار القراءة المباشر بين isolates الذي اعتمد عليه هذا البحث ويقلص مساحة التسريب.
تؤكد Cloudflare أن إجراءات التخفيف مطبقة بالفعل في نظام الإنتاج، وأنها لم تجد مؤشرات على استغلال نشط خلال الأعوام الثلاثة الماضية. والورقة المنشورة توثق البحث الذي أُنجز في 2024 وبدايات 2025.
لماذا يهم؟
لمن يبنون خدمات على Workers، يوضح البحث أن عزل V8 isolates ليس بديلاً مطلقاً عن حدود الذاكرة المدعومة عتادياً عندما يتعلق الأمر بهجمات Spectre. الأهم عملياً أن Cloudflare طبقت طبقات دفاع إضافية تمنع مسار التسريب المعروض، لكن القصة تبرز أيضاً أن مراقبة السلوك الأمني يجب أن تشمل التنفيذ طويل الأمد وأنماط I/O، لا أن تعتمد فقط على ما يحدث بعد انتهاء الطلب.