هل AnyDesk آمن؟ التشفير، والحادثة الأمنية 2024، وعمليات الاحتيال

الإجابة السريعة: نعم، يُعدّ AnyDesk منتجًا تجاريًا مشروعًا للتحكم عن بُعد بسطح المكتب، وهو آمن بشكل عام لمن يستخدمه عن قصد. المخاطر التي تستحق الفهم ليست أن AnyDesk برمجية خبيثة - فهو ليس كذلك - بل أنه مغلق المصدر، ويعتمد على وساطة سحابية بشكل افتراضي، وقد تعرّض لحادثة أمنية ملحوظة في عام 2024، وهو أحد الأدوات التي يفضّل المحتالون استغلالها. وفيما يلي الصورة الكاملة، الموضوعية والموثقة بالمصادر.

الإجابة المختصرة

يُؤمّن AnyDesk جلساته بتشفير قياسي ومعتمد على نطاق واسع، ويوفر إجراءات حماية الحساب التي قد تتوقعها. يُستخدم يوميًا من قِبل مكاتب الدعم الفني والمؤسسات دون وقوع حوادث. وهناك تحفظان مهمان لقرارك: أولًا، أنت تضع ثقتك في عميل خاص (مغلق المصدر)، وبشكل افتراضي في سحابة AnyDesk التي تتوسط الاتصالات، وبالتالي لا يمكنك تدقيق الشيفرة، وأنت ترث الأمان التشغيلي للمزوّد - وهي نقطة لم تعد نظرية بعد عام 2024. ثانيًا، والأكثر احتمالًا للتأثير على المستخدم العادي، أن AnyDesk أداة مفضلة في عمليات احتيال الوصول عن بُعد. لا يجعل أي منهما تثبيته غير آمن؛ لكن كلاهما يحدّد كيف ينبغي أن تستخدمه.

كيف يؤمّن AnyDesk جلساتك

وفقًا لـ التوثيق الأمني الرسمي لـ AnyDesk، تُحمى الجلسات باستخدام TLS 1.2 مع AEAD، وتبادل مفاتيح غير متماثل من نوع RSA-2048 للتحقق من نقاط النهاية والحماية من هجمات الوسيط (man-in-the-middle)، وتشفير نقل بمعيار AES بطول 256 بت، مع خاصية السرية التامة الأمامية الناتجة عن تبادل مفاتيح مؤقت. أما على صعيد الحساب، فيدعم AnyDesk المصادقة الثنائية (TOTP) للوصول غير المراقَب، وقائمة تحكم بالوصول / قائمة سماح لتقييد من يمكنه الاتصال، وتجزئة كلمات المرور المملّحة. (تشير بعض مواد AnyDesk إلى إصدارات أحدث من TLS؛ يُنصح باعتماد الصفحة الحالية كمرجع موثوق والتحقق من التفاصيل هناك.)

هذه حماية قوية وبمعايير الصناعة القياسية - مماثلة من حيث النوع لما يستخدمه كل منافس جاد. وعلى مستوى طبقة النقل، لا يوجد هنا ما يثير القلق. أما الأسئلة المثيرة للاهتمام فتتعلق بـنموذج الثقة والسلوك البشري، لا بمجموعات التشفير.

الحادثة الأمنية لـ AnyDesk في 2024: ما الذي حدث فعليًا

في أوائل عام 2024، كشفت AnyDesk علنًا عن حادثة أمنية أثرت على أنظمة الإنتاج الخاصة بها. وبحسب مجلة Infosecurity ومحللي الأمن في Akamai، تمكّن المهاجمون من الوصول إلى البنية التحتية الداخلية والحصول على الشيفرة المصدرية ومواد توقيع الشيفرة. وشملت استجابة AnyDesk، بحسب روايتها الخاصة، الاستعانة بخبراء تحليل جنائي رقمي خارجيين، وإلغاء الشهادات المتعلقة بالأمان واستبدالها، وإصدار نسخة عميل موقّعة من جديد، وإعادة تعيين كلمات مرور بوابة الويب كإجراء احترازي.

وإنصافًا لـ AnyDesk، فقد أفادت بأنه لم يتأثر أي جهاز من أجهزة المستخدمين النهائيين، وأن أنظمتها مصممة بحيث لا تخزّن المفاتيح الخاصة أو الرموز أو كلمات المرور التي قد تتيح لمهاجم الاتصال بأجهزة العملاء. وقد وردت التواريخ والأرقام الدقيقة بروايات متفاوتة في حينه، لذا يُنصح بالتحقق من التفاصيل عبر النشرات الرسمية لـ AnyDesk والتغطيات الإعلامية المحايدة بدلًا من الاعتماد على أي ملخص واحد، بما في ذلك هذا الملخص.

الخلاصة الصادقة ليست أن «AnyDesk غير آمن بشكل استثنائي». فكل مزوّد رئيسي للوصول عن بُعد لديه تاريخ من الحوادث. أما الخلاصة الحقيقية فتتعلق بـمخاطر التركّز لدى مزوّد واحد: فعندما يشغّل طرف ثالث البنية التحتية التي تتوسط جلساتك وتحتفظ ببيانات حسابك، يكون أي اختراق هناك اختراقًا لم تخترْه أنت ولم تكن قادرًا على منعه.

الخطر الأكبر ليس ثغرة برمجية - بل عمليات الاحتيال

بالنسبة لمعظم الأفراد، فإن أكبر خطر متعلق بـ AnyDesk لا علاقة له بثغرة أمنية معروفة (CVE). إنه الهندسة الاجتماعية. وقد حذّر مكتب التحقيقات الفدرالي (FBI) من أن محتالي الدعم الفني يوجّهون الضحايا بشكل روتيني لتثبيت برمجيات التحكم عن بُعد، ثم يستخدمون تلك الصلاحية لتفريغ الحسابات المالية. ويظهر AnyDesk باستمرار في هذه المخططات، وتنشر AnyDesk نفسها إرشادات لمنع إساءة الاستخدام تحديدًا لأنه يُستغل بشكل شائع كسلاح.

لماذا AnyDesk تحديدًا؟ لأنه مجاني للتنزيل، ويُثبَّت في ثوانٍ، والأهم من ذلك أن الشخص الذي يتم التحكم بجهازه لا يحتاج إلى إنشاء حساب. هذه السهولة الفائقة ميزة بالنسبة للدعم الفني المشروع، وهدية بالنسبة للمحتالين الذين يتصلون بالهدف أو يراسلونه عبر البريد الإلكتروني، ويختلقون «مشكلة» عاجلة، ثم يرشدونه خطوة بخطوة نحو منحهم التحكم الكامل عن بُعد.

وهذه هي النقطة المنصفة التي تضيع وسط العناوين المخيفة: هذا خطر ناتج عن سوء الاستخدام، وليس ثغرة في AnyDesk. الحيلة ذاتها تنجح تمامًا مع TeamViewer أو Chrome Remote Desktop أو RustDesk. ولا يمكن لأي قدر من تشفير AES أن يحميك إذا سلّمت المفاتيح طواعيةً لغريب على الهاتف. وإذا كنت تريد دليلًا دفاعيًا عمليًا، فقد كتبناه بشكل منفصل في كيفية تجنب عمليات احتيال سطح المكتب البعيد، وينطبق المنطق ذاته على ما إذا كان Chrome Remote Desktop آمنًا.

مغلق المصدر ووساطة سحابية: مسألة الثقة

هنا يفترق نموذج AnyDesk عن نموذج RustDesk - ليس في مدى جودة التشفير، بل في ما الذي يتوجب عليك تصديقه دون دليل.

AnyDesk برنامج خاص (مغلق المصدر). لا يمكنك قراءة الشيفرة المصدرية للعميل، أو بناءها بنفسك، أو التحقق من عملها بشكل مستقل؛ فأنت تثق بـ AnyDesk في أن الملف التنفيذي يعمل كما هو معلَن عنه. وبشكل افتراضي، تتم وساطة جلساتك عبر سحابة AnyDesk، لذا فإن توفّر تلك البنية التحتية وأمانها هما من مسؤولية المزوّد لإدارتهما - كما أظهر عام 2024. وتقدّم فئات AnyDesk الأعلى سعرًا جهازًا محليًا (on-premises appliance)، ما يقلّص هذه الفجوة لمن يشترون هذا الخيار.

ينطلق RustDesk من الجهة المقابلة لكلا هذين الرهانين. فلأنه مفتوح المصدر بموجب رخصة AGPL، يكون العميل قابلًا للتدقيق والبناء، وبالتالي لا تضع ثقتك في ملف تنفيذي خاص (مغلق المصدر) دون دليل. ولأنه بإمكانك الاستضافة الذاتية لخوادم التعريف/الالتقاء (ID/rendezvous) والترحيل (relay)، تكون البنية التحتية التي تتوسط جلساتك ملكًا لك بدلًا من طرف ثالث - وهو خطر التركّز لدى مزوّد واحد الذي جسّده عام 2024 بشكل ملموس. ويمكن أن يدعم ذلك أيضًا تصميمًا يراعي سيادة البيانات، وإن كان لا يزال من الضروري تقييم مواقع نقاط النهاية، ومدة الاحتفاظ بالبيانات، والالتزامات القانونية.

وتوخّيًا للإنصاف بالقدر ذاته: هذا ينقل الثقة بدلًا من أن يزيلها. فلأن الشيفرة مفتوحة، تكون عيوب RustDesk نفسها معلَنة للعموم أيضًا، لذا تابِع أحدث الإصدارات وسجلات الثغرات. كما أن البنية التحتية القابلة للتدقيق والمُستضافة ذاتيًا هي نقطة انطلاق لا ضمانة: فالجلسات لا تزال تُوجَّه مباشرةً بين نقاط النهاية، وأنت المسؤول عن تحديث الخادم.

إذًا، هل AnyDesk آمن؟

للاستخدام المتعمَّد والمشروع: نعم - فهو منتج ناضج بتشفير بمعايير قياسية وضوابط حساب معقولة، ويُستخدم بأمان وعلى نطاق واسع كل يوم. ويمكن اعتباره آمنًا بشكل معقول، لأن هذا ما يدعمه السجل الفعلي.

والتحفظات هي الجزء الصادق من الصورة. فنموذجه الافتراضي القائم على الوساطة السحابية والمصدر المغلق يعني أنك تضع ثقتك في الأمان التشغيلي لـ AnyDesk، والذي تعرّض لضربة حقيقية في عام 2024. كما أن أكثر الأضرار الواقعية شيوعًا تأتي من محتالين يستغلون مدى سهولة تثبيته - وهي مشكلة بشرية، لا مشكلة تشفيرية. وإذا لم تكن هذه المقايضات مناسبة لك، فإن البديل مفتوح المصدر والمُستضاف ذاتيًا يُغيّر أساس الثقة: شيفرة قابلة للتدقيق ووساطة تتحكم بها أنت، مقابل تكلفة تشغيل الخادم بنفسك.

وأيًا كانت الأداة التي تختارها، فإن القاعدة التي تمنع أكبر قدر من الضرر هي الأرخص على الإطلاق: لا تُثبّت أبدًا برمجية وصول عن بُعد لمجرد أن شخصًا تواصل معك أنت طلب منك ذلك.