BIS RESEARCH PAPER · ورقة بحثية تحليلية

Governance of IDN Homograph Attack Risks: From Visual Deception to Building Digital Trust

إطار تقني–مؤسسي لحوكمة مخاطر IDN Homograph وبناء الثقة الرقمية متعددة الأطراف.

د. محمد عيدروس باروم
باحث مستقل في الحوكمة المؤسسية والقيادة الاستراتيجية
Baroom Institutional Systems (BIS)

الوظيفة المعرفية: تفسير الخطر وبناء إطار حوكمةنوع الدراسة: تحليلية–مفاهيمية

المقدمة

منذ أن أتاح بروتوكول تدويل أسماء النطاقات (IDN) تمثيل اللغات غير اللاتينية داخل بنية نظام أسماء النطاقات (DNS)، انتقلت شبكة الإنترنت من فضاء أحادي اللغة إلى فضاء متعدد اللغات والرسوم الكتابية. غير أن هذا التوسع اللغوي حمل معه أثرًا جانبيًا لم يكن متوقعًا بالقدر ذاته من الوضوح: إمكانية استغلال التشابه البصري بين محارف تنتمي إلى أنظمة كتابة مختلفة (لاتينية، سيريلية، يونانية، عربية... إلخ) لتسجيل نطاقات تُخادع المستخدم بصريًا وإن اختلفت جذريًا من حيث ترميزها الحاسوبي. عُرفت هذه الظاهرة لاحقًا باسم "هجوم المحارف المتشابهة" أو IDN Homograph Attack.

لم تكن هذه المشكلة افتراضية؛ فقد أثبت الباحثان Gabrilovich وGontmakher من معهد Technion الإسرائيلي، في ورقة نُشرت عام 2002 في دورية Communications of the ACM، إمكانية تسجيل نسخة من نطاق Microsoft.com باستخدام حرفين سيريليين يُشبهان بصريًا نظيريهما اللاتينيين، وهو ما فتح الباب أمام أشكال جديدة من التصيد الاحتيالي وانتحال الهوية الرقمية. ورغم أن هذه الورقة اعتُبرت لعقد كامل تقريبًا دراسة نظرية أو إثباتًا للمفهوم فحسب، فإن الانتشار الفعلي لأسماء النطاقات الدولية -إذ بلغت نحو 7.5 مليون نطاق مسجل بحلول نهاية عام 2017- حوّل الخطر من افتراض أكاديمي إلى تهديد تشغيلي فعلي طال المتصفحات الحديثة وأنظمة إدارة الثقة الرقمية بعد أن تطورت قدرة المتصفحات على معالجة أسماء النطاقات الدولية وازداد عدد التسجيلات بشكل ملحوظ.

بلغ هذا التهديد ذروة تحول إلى وعي عام حين أثبت الباحث Xudong Zheng عام 2017 إمكانية تسجيل نطاق يُحاكي بصريًا "apple.com" بالكامل باستخدام محارف سيريلية، بحيث اجتاز شهادة TLS الصادرة له بصورة نظامية سليمة، وظهر في المتصفحات بلا أي تحذير مرئي. أظهرت هذه الحادثة إشكالية جوهرية تشكل محور هذه الدراسة: أن آليات الثقة التقنية (كشهادات TLS) تثبت سلامة قناة الاتصال، لا هوية الجهة التي يتحدث معها المستخدم فعليًا. وبذلك انتقلت المشكلة من كونها ثغرة ترميزية ضيقة إلى كونها إشكالية حوكمة ممتدة عبر جهات متعددة: من يضع معيار المحارف المسموحة؟ من يفحص طلب التسجيل؟ من يراقب الانتحال؟ ومن يتحمل مسؤولية الاستجابة حين يقع الضرر؟

تسعى هذه الورقة إلى معالجة هذه الإشكالية من زاويتين متكاملتين: الأولى تقنية تفسر الفجوة بين التمثيل الترميزي (Unicode code points) والتمثيل البصري الذي يدركه المستخدم، والثانية مؤسسية تحلل توزع المسؤوليات بين الجهات الفاعلة في منظومة أسماء النطاقات، وتقترح إطارًا لحوكمة هذا النوع من المخاطر.

الإطار النظري والدراسات السابقة

الجذر الأكاديمي للمشكلة. يُعد بحث Gabrilovich وGontmakher (2002) المرجع التأسيسي لهذا الحقل؛ إذ صاغ المصطلح ووضع الإطار المفاهيمي الأول لتفسير كيف تتحول مرونة الترميز اللغوي إلى أداة خداع بصري. أعقبته دراسات متعددة وسّعت نطاق التحليل من الإثبات النظري إلى القياس التجريبي. فقد قدّم Hu وJan وWang وWang (2021) في أعمال الدورة الثلاثين لمؤتمر USENIX Security دراسة قياسية تجريبية لتقييم فاعلية الدفاعات المعتمدة على مستوى المتصفح ضد التصيد القائم على أسماء النطاقات الدولية، بينما طوّر Suzuki وChiba وYoneya وMori وGoto (2019)، في أعمال مؤتمر ACM Internet Measurement Conference، إطار "ShamFinder" بوصفه منظومة آلية للكشف عن المحارف المتشابهة على نطاق واسع عبر الويب، مستندين إلى أن التهديد أصبح واقعيًا فعليًا نتيجة تزايد تسجيلات أسماء النطاقات الدولية وتطور قدرة المتصفحات على معالجتها. كما قدّم Thao وزملاؤه (2019) تصنيفًا قابلًا للتوسع لرصد انتحال العلامات التجارية عبر هجمات المحارف المتشابهة، في حين اتجهت أبحاث لاحقة نحو الاستفادة من نماذج تعلم الآلة لتصنيف النطاقات المشبوهة استنادًا إلى بيانات ضعيفة التوسيم.

الإطار المعياري والتنظيمي. على المستوى المعياري، شكّلت وثيقة RFC 3492، التي وضعها Costello ونشرتها IETF عام 2003، الأساس التقني لترميز Punycode بوصفه آلية تحويل نصوص Unicode إلى تمثيل ASCII متوافق مع بنية DNS القديمة، تلتها سلسلة معايير IDNA2008 التي وضعها Klensin (2010) ابتداءً من RFC 5890 حتى RFC 5894، والتي أعادت صياغة القواعد المعمارية للنطاقات الدولية. وعلى المستوى المؤسسي، أصدرت ICANN "إرشادات تنفيذ أسماء النطاقات الدولية"، التي تُلزم سجلات نطاقات المستوى الأعلى بالامتثال الصارم لمتطلبات بروتوكول IETF الخاص بأسماء النطاقات الدولية، وبنشر قوائم نقاط Unicode المسموح بتسجيلها لكل نطاق مع تحديد اللغة أو الرسم الكتابي الذي تخدمه كل قائمة. كما طوّرت ICANN قواعد توليد التسميات (Label Generation Rules – LGR) التي تغطي حاليًا ما لا يقل عن 28 رسمًا كتابيًا تمثل عشرات اللغات، بهدف تحديد المتغيرات المتشابهة بين الرسوم الكتابية والحد من ظاهرة "التشابه الشامل للرسم" (whole-script homograph). وقد أضافت اللجنة الاستشارية للأمن والاستقرار (SSAC) التابعة لـICANN منذ عام 2005 سلسلة من التقارير والإرشادات المتخصصة في هذا الشأن.

الفجوة البحثية. يُلاحظ من مراجعة هذا الجسم المعرفي أن الأدبيات انقسمت إلى مسارين متوازيين نادرًا ما التقيا: مسار تقني بحت يركّز على خوارزميات الكشف (تحليل Unicode، البصمة الهيكلية، التعلم الآلي)، ومسار معياري-مؤسسي يركّز على السياسات والإرشادات دون ربطها بمنظومة متكاملة لحوكمة المخاطر تُحدد الأدوار وتُوزع المسؤوليات وتُقيّم الأداء عبر دورة حياة التهديد كاملة. هذه الفجوة هي التي تسعى هذه الدراسة إلى معالجتها.

مشكلة الدراسة

لا تقتصر مشكلة هجمات المحارف المتشابهة على وجود محارف متقاربة بصريًا، بل تشمل أيضًا تشتت المسؤولية بين الجهات التي تدير دورة حياة اسم النطاق. فالجهة التي تضع المعيار ليست بالضرورة هي التي تسجل النطاق أو تعرضه أو تراقب إساءة استخدامه أو تستجيب للبلاغات المرتبطة به. تؤدي هذه البنية الموزعة إلى فجوات في الحوكمة، من أبرزها:

• تفاوت سياسات قبول المحارف بين نطاقات المستوى الأعلى.
• اختلاف سياسات عرض النطاقات الدولية بين التطبيقات.
• عدم توحيد معايير تصنيف النطاق المتشابه باعتباره خطرًا.
• غموض المسؤولية عن الرصد المبكر والإيقاف والاستجابة.
• بطء مشاركة مؤشرات التهديد بين الجهات المعنية.
• عدم وجود مؤشرات موحدة لقياس فاعلية سياسات الحماية.
• احتمال تعارض القيود الأمنية مع التعدد اللغوي والشمول الرقمي.

وعليه، تتمثل الفجوة البحثية في غياب إطار متكامل يربط الاكتشاف التقني بالحوكمة المؤسسية، ويوزع الأدوار والمسؤوليات عبر دورة المخاطر كاملة.

أسئلة الدراسة

1. كيف تنشأ الفجوة بين الهوية الترميزية والهوية البصرية في أسماء النطاقات الدولية؟
2. ما حدود الدفاعات المعتمدة على Punycode ومنع خلط أنظمة الكتابة؟
3. كيف يؤثر تشتت المسؤولية بين الجهات الفاعلة في فاعلية مكافحة الهجمات؟
4. ما الأدوار التي ينبغي أن تتحملها ICANN والسجلات والمسجلون والمتصفحات والمؤسسات؟
5. كيف يمكن بناء إطار حوكمة يوازن بين الأمن والتعدد اللغوي والشمول الرقمي؟
6. ما المؤشرات المناسبة لقياس نضج حوكمة مخاطر أسماء النطاقات المتشابهة؟
7. كيف ينبغي أن يتعامل الوكلاء الرقميون والأنظمة الآلية مع الروابط المتشابهة قبل تنفيذ إجراءات عالية الخطورة؟

أهداف الدراسة وأهميتها

الأهداف:

• تحليل الأساس التقني للفجوة بين التمثيل الترميزي والتمثيل البصري في أسماء النطاقات الدولية.
• تقييم حدود الاستجابات التقنية القائمة (Punycode، تقييد أنظمة الكتابة، خوارزميات الكشف) بوصفها حلولًا منفردة.
• بناء إطار حوكمة متعدد الأطراف يوزع الأدوار عبر دورة المخاطر: الوقاية، الكشف، الاستجابة، التعافي، المساءلة.
• اقتراح نموذج أولي لمؤشر قياسي لتقييم نضج هذه الحوكمة على مستوى المؤسسة أو منظومة التسجيل.
• تحديد بوابة تحقق لحظية لاستخدام الروابط بواسطة الوكلاء الرقميين، مع تدخل بشري للقرارات عالية الخطورة.

الأهمية: تنبع أهمية الدراسة من التحول الذي طرأ على طبيعة التهديد؛ إذ لم يعد هجوم المحارف المتشابهة إثباتًا نظريًا للمفهوم كما كان عند نشر بحث Gabrilovich وGontmakher عام 2002، بل أصبح -بعد حادثة Apple.com عام 2017 وتوسع تسجيلات أسماء النطاقات الدولية إلى ملايين الحالات- تهديدًا تشغيليًا يطال القطاعات المالية والحكومية والصحية، ويتطلب استجابة مؤسسية منظمة لا تقنية فردية معزولة.

منهجية الدراسة

تعتمد الدراسة منهجًا تحليليًا مفاهيميًا (Conceptual-Analytical) يجمع بين ثلاثة مستويات من التحليل:

1. التحليل التقني الوصفي: يستند إلى تحليل معياري لبنية Unicode، وبروتوكول IDNA (بنسختيه 2003 و2008)، وترميز Punycode وفق RFC 3492، وآليات اكتشاف المحارف القابلة للالتباس (Confusables Detection) استنادًا إلى تقارير Unicode التقنية رقم 36 و39.

1. التحليل المؤسسي لمنظومة الحوكمة: يستند إلى مراجعة وثائق السياسة الصادرة عن ICANN (إرشادات تنفيذ IDN، قواعد توليد التسميات LGR، تقارير اللجنة الاستشارية للأمن SSAC)، بهدف رسم خريطة توزيع المسؤوليات بين الجهات الفاعلة.

1. البناء التركيبي والإيضاح التطبيقي: يُوظّف أسلوب التوليف المفاهيمي (Conceptual Synthesis) لدمج المستويين التقني والمؤسسي في إطار حوكمة موحد، ثم إجراء تحليل سيناريو بأثر رجعي لحالة Apple.com وتحليل حساسية أولي لأوزان مؤشر النضج. ولا يمثل ذلك تحققًا تجريبيًا، بل اختبار اتساق وتوضيحًا لقابلية التشغيل.

بروتوكول اختيار الأدبيات

اعتمدت الدراسة معايير الإدراج التالية عند اختيار الأدبيات التقنية والمؤسسية:

• مصدر تأسيسي: كل ورقة تُعد نقطة انطلاق معترفًا بها في الحقل (مثل Gabrilovich & Gontmakher 2002).
• الحداثة النسبية للقياس التجريبي: إعطاء أولوية للدراسات المنشورة في مؤتمرات محكّمة من الدرجة الأولى (USENIX Security، ACM IMC، IEEE S&P) خلال العقد الأخير، لضمان اتساق النتائج مع واقع تبنّي IDN الحالي.
• الوثائق المعيارية الرسمية: الاقتصار على وثائق IETF وICANN وUnicode Consortium الصادرة عن الهيئة نفسها لا عن تلخيصات ثانوية.
• استبعاد المصادر غير المحكّمة إلا في حالات التوثيق التاريخي للحوادث (كحادثة Zheng 2017)، حيث لا يوجد بديل أكاديمي محكّم موازٍ.

هذا البروتوكول وصفي وليس منهجية مراجعة منتظمة (Systematic Review) بمعايير PRISMA أو ما يعادلها؛ وهذه الفجوة مُدرجة صراحة ضمن حدود الدراسة أدناه.

جدول ربط أسئلة الدراسة بمصادر التحليل

لا تعتمد الدراسة على جمع بيانات ميدانية أولية، بل على التحليل النقدي المركّب للأدبيات التقنية والمؤسسية القائمة، بما يتسق مع طبيعة الإشكالية التي تتطلب ربط حقلين معرفيين متباعدين (علوم الحاسوب وحوكمة الإنترنت) أكثر مما تتطلب قياسًا كميًا جديدًا.

الإطار المفاهيمي التقني: من نقطة الترميز إلى الشكل البصري

1. الفجوة الترميزية-البصرية

يُخزّن نظام Unicode كل محرف كنقطة ترميز رقمية (Code Point) مستقلة عن شكله البصري النهائي. المشكلة أن محارف تنتمي إلى جداول ترميز مختلفة تمامًا (اللاتينية "a"، والسيريلية "а"، واليونانية "α" في بعض الخطوط) قد تُعرض بأشكال متطابقة أو شبه متطابقة على الشاشة، رغم اختلافها الكامل من منظور المعالجة الحاسوبية. هذه الفجوة بين الهوية الترميزية (ما "يراه" النظام) والهوية البصرية (ما "يراه" المستخدم) هي الجذر التقني لكل هجمات المحارف المتشابهة.

2. Punycode: حل جزئي لا حل نهائي

يحوّل ترميز Punycode، الذي وضعه Costello (2003) في RFC 3492، التسلسل النصي بلغة Unicode إلى تمثيل مكافئ بحروف ASCII يبدأ بالبادئة "xn--"، وهو ما يتيح لبنية DNS التقليدية معالجة النطاقات الدولية دون تعديل جذري. لكن هذا الحل يعالج مشكلة التوافق التقني فقط؛ فحين يعرض المتصفح النطاق بصيغته الأصلية (Unicode) بدلًا من صيغة Punycode الخام، تعود مشكلة الخداع البصري كاملة، لأن قرار "متى نعرض Punycode ومتى نعرض الشكل الأصلي" مسألة سياسة عرض تختلف من متصفح لآخر، لا معيارًا تقنيًا موحدًا.

3. حدود قواعد منع خلط أنظمة الكتابة

تحد سياسات منع خلط أنظمة الكتابة داخل التسمية الواحدة من الهجمات التي تستبدل محرفًا لاتينيًا بمحرف سيريلي أو يوناني داخل سلسلة لاتينية. إلا أنها لا تمنع التشابه داخل نظام الكتابة الواحد، ولا التشابه الكامل الذي تُكتب فيه التسمية الاحتيالية كلها بنظام كتابة واحد مختلف. كما تسمح إرشادات ICANN باستثناءات محدودة للغات التي تقتضي قواعدها الإملائية خلط أنظمة معينة، شريطة ضبط المحارف القابلة للالتباس. لذلك تمثل قاعدة منع الخلط ضابطًا وقائيًا مهمًا، لكنها لا تغطي جميع فئات التشابه البصري.

الإطار المقترح: حوكمة مخاطر المحارف المتشابهة

الحوكمة بوصفها جزءًا من الحل الأمني

لا يمكن معالجة هجمات المحارف المتشابهة من خلال أداة تقنية واحدة؛ لأن اسم النطاق يمر بمنظومة متعددة الأطراف تبدأ بوضع المعايير، ثم اعتماد جداول المحارف، والتسجيل، والعرض في التطبيقات، والمراقبة، والاستجابة للانتهاكات. لذلك تُعرّف حوكمة هذه المخاطر بأنها:

مجموعة السياسات والأدوار والضوابط وآليات المساءلة التي تنظم الوقاية من إساءة استخدام المحارف المتشابهة، واكتشافها، والاستجابة لها، مع المحافظة على الاستخدام المشروع لأسماء النطاقات الدولية.

أصحاب المصلحة ومسؤولياتهم

مبادئ الحوكمة المقترحة

• المسؤولية المشتركة: لا تتحمل جهة واحدة دورة المخاطر كاملة.
• الأمن منذ التصميم: تُطبق ضوابط التشابه قبل تسجيل النطاق، لا بعد وقوع الضرر فقط.
• التناسب: تتشدد الضوابط عندما يستهدف النطاق قطاعًا ماليًا أو صحيًا أو حكوميًا.
• قابلية التفسير: يجب أن يوضح التحذير سبب الاشتباه والمحرف المتسبب فيه.
• المساءلة: ينبغي توثيق القرارات المتعلقة بالقبول والتعليق والرفض وإتاحة الاعتراض.
• التعدد اللغوي: لا تتحول الحماية إلى حظر غير متناسب للغات غير اللاتينية.
• التحسين المستمر: تُراجع جداول المحارف وقواعد التشابه استنادًا إلى الحوادث الفعلية.
• الخصوصية: لا تُستخدم الحماية مبررًا لجمع بيانات تتجاوز الحد الضروري.

مراحل إطار الحوكمة

المرحلة الأولى - الوقاية: اعتماد جداول محارف موثقة لكل نطاق مستوى أعلى؛ منع التركيبات عالية الخطورة بين أنظمة الكتابة؛ مقارنة طلب التسجيل بقائمة النطاقات والعلامات الحساسة؛ تطبيق تحقق إضافي عند بلوغ درجة خطر محددة؛ حجز المتغيرات الكتابية شديدة التشابه عند الحاجة.

المرحلة الثانية - الكشف: تحليل نقاط Unicode وأنظمة الكتابة؛ حساب البصمة الهيكلية للنطاق؛ قياس التشابه البصري عبر خطوط وأحجام مختلفة؛ دمج عمر النطاق وسمعته وسياق ظهوره؛ مشاركة مؤشرات النطاقات المشبوهة بين الجهات المعنية.

المرحلة الثالثة - الاستجابة: إنشاء قناة موحدة وعاجلة للإبلاغ؛ تصنيف البلاغ وفق خطورة القطاع وحجم الضرر؛ حفظ الأدلة قبل تعليق النطاق؛ إخطار المسجل ومالك العلامة والجهات المتضررة؛ تطبيق التعليق المؤقت عند وجود خطر وشيك ومثبت؛ إتاحة آلية اعتراض ومراجعة لمنع التعليق التعسفي.

المرحلة الرابعة - التعافي: إزالة المحتوى الضار أو تعطيل النطاق وفق الإجراءات المعتمدة؛ إخطار المستخدمين المتأثرين؛ إعادة تعيين بيانات الدخول أو إبطال الجلسات المسروقة؛ تحديث قوائم الحظر ومحركات الكشف؛ تحليل السبب الجذري للحادث.

المرحلة الخامسة - التقييم والمساءلة: قياس زمن اكتشاف النطاق المشبوه؛ قياس زمن الاستجابة للبلاغ؛ حساب معدلات الإنذارات الكاذبة؛ تقييم دقة الكشف عبر اللغات المختلفة؛ نشر تقارير دورية عن الحوادث والإجراءات؛ مراجعة السياسات وجداول المحارف بصورة منتظمة.

مصفوفة المسؤوليات

مؤشر نضج حوكمة مخاطر المحارف المتشابهة (HGMI)

يقترح البحث مؤشر HGMI (Homograph Governance Maturity Index) لتحويل أبعاد الحوكمة الخمسة إلى قيمة قابلة للمقارنة من 0 إلى 100. ويظل المؤشر نموذجًا أوليًا استكشافيًا؛ لذلك لا تُعرض أوزانه بوصفها نتائج تجريبية، بل فرضيات تصميمية قابلة للاختبار والمعايرة.

الصيغة العامة:

$$HGMI = \alpha P + \beta D + \gamma R + \delta A + \epsilon I$$

بحيث:

$$\alpha + \beta + \gamma + \delta + \epsilon = 1, \qquad P, D, R, A, I \in [0,100]$$

التعريف التشغيلي للمكونات:

• P — الوقاية: تغطية فحص التشابه قبل التسجيل، وجود جداول محارف ومتغيرات موثقة، وتطبيق تحقق معزز للطلبات عالية الخطورة.
• D — الكشف: دقة الكشف، التغطية اللغوية، وزمن الاكتشاف، مع عكس معدل الإنذارات الكاذبة عند التطبيع.
• R — الاستجابة والتعافي: زمن الفرز والاحتواء، اكتمال حفظ الأدلة، وإجراءات استعادة الحسابات وإخطار المتضررين.
• A — المساءلة والشفافية: توثيق القرارات، وجود الاعتراض والمراجعة، ونشر مؤشرات الأداء دون كشف بيانات حساسة.
• I — التكامل وتبادل المعلومات: الربط بين السجل والمسجل والمتصفح والمؤسسة ومركز الاستجابة، وجودة مؤشرات التهديد المتبادلة وتوقيتها.

معايرة أولية للأوزان حسب القطاع

تتبنى النسخة الاستكشافية خط أساس عام قدره: 25% للوقاية، 25% للكشف، 20% للاستجابة والتعافي، 15% للمساءلة، و15% للتكامل. وقد رُجّحت الوقاية والكشف لأنهما يحدّان من وصول النطاق الخادع إلى المستخدم، مع الإبقاء على وزن جوهري للمساءلة والتكامل حتى لا تتحول الكفاءة التقنية إلى قرارات غير قابلة للمراجعة.

بروتوكول القياس وتحليل الحساسية

1. تُحوّل مؤشرات كل بُعد إلى مقياس موحد من 0 إلى 100، مع نشر قواعد التطبيع والبيانات المفقودة.
2. تُحسب الدرجة بخط الأساس العام، ثم بالترجيح القطاعي المناسب.
3. يُجرى تحليل حساسية بتغيير وزن كل بُعد بمقدار ±5 نقاط مئوية، مع إعادة توزيع الفرق تناسبيًا على بقية الأبعاد.
4. إذا تغيّر تصنيف النضج نتيجة تعديل محدود للأوزان، تُوصف النتيجة بأنها غير مستقرة ولا تُستخدم للمفاضلة الحاسمة.
5. يُبلغ عن الدرجة الكلية مع الدرجات الخمس منفصلة؛ لأن درجتين كليتين متساويتين قد تخفيان مواطن ضعف مختلفة جذريًا.

التفسير الاستكشافي للنتائج: 0–39 ناشئ، 40–59 أساسي، 60–74 مُدار، 75–89 متقدم، 90–100 متكيف. وهذه الحدود إرشادية تحتاج هي الأخرى إلى تحقق تجريبي.

محاكاة رقمية توضيحية لثبات التصنيف

لاختبار قابلية البروتوكول للتطبيق، تفترض المحاكاة مؤسسةً بدرجات: P=75، D=68، R=60، A=82، I=70. هذه قيم اصطناعية لا تمثل مؤسسة فعلية، والغرض منها فحص سلوك المعادلة لا إثبات صلاحيتها الخارجية.

وعند تغيير وزن كل بُعد منفردًا بمقدار ±5 نقاط مئوية وإعادة توزيع الفرق تناسبيًا على بقية الأبعاد، تراوحت النتيجة بين 69.88 و71.22، وظل التصنيف «مُدارًا» في جميع الحالات. يدل ذلك على ثبات حسابي داخل هذا المثال فقط، ولا يثبت ثبات المؤشر عبر مؤسسات أو قطاعات مختلفة.

تطبيق رجعي استكشافي: حالة Apple.com لعام 2017

تُستخدم حالة Xudong Zheng بوصفها دراسة حالة توضيحية بأثر رجعي لا تجربة سببية ولا حادثة اختراق مكتملة. فقد أظهر الباحث أن نطاقًا مؤلفًا من محارف سيريلية يمكن أن يحاكي بصريًا apple.com، وأن شهادة TLS الصالحة لا تثبت انتماء النطاق إلى العلامة التجارية المقصودة.

تشير القراءة المضادة للواقع إلى أن الإطار لم يكن سيضمن منع التسجيل قطعًا، لكنه كان سيخلق نقاط تدخل متتابعة قبل التسجيل وعند العرض وبعد البلاغ. وهذه هي القيمة الحوكمية الأساسية: تقليل الاعتماد على نقطة دفاع واحدة.

الدفاعات الحية والوكلاء الرقميون

تتسع المشكلة مع الوكلاء البرمجيين وأنظمة الذكاء الاصطناعي التي قد تفتح الروابط أو تلخص محتواها أو تنفذ إجراءات نيابة عن المستخدم. فالوكيل لا يتعرض للخداع البصري بالطريقة البشرية ذاتها، لكنه قد يثق في النص المعروض أو في شهادة TLS أو في نتيجة بحث دون إجراء تطبيع ترميزي مستقل. لذلك ينبغي أن تعمل الحماية في طبقة تنفيذ الأداة، لا في التعليمات اللغوية للنموذج وحدها.

• التطبيع قبل التنفيذ: تسجيل التمثيلين Unicode وPunycode، ومنع المقارنة على النص المرئي وحده.
• سياسة أقل صلاحية: لا يُسمح للوكيل بإرسال بيانات دخول أو مدفوعات أو رموز جلسة إلى نطاق جديد أو متشابه دون موافقة بشرية صريحة.
• تفسير القرار: يجب أن يوضح التحذير المحرف أو الرسم الكتابي واسم النطاق المرجعي الذي أدى إلى الاشتباه.
• عدم الاكتفاء بالتشابه: درجة التشابه إشارة خطر وليست حكمًا على النية؛ تُدمج مع السمعة والسياق والقطاع المستهدف.
• التسجيل والمراجعة: تُسجل قرارات السماح والمنع والتجاوز، مع حماية الخصوصية، لتغذية التحسين والتحقيق اللاحق.

زمن التحقق وميزانية الأداء

تضيف سلسلة التحقق اللحظي تكلفة زمنية قد تؤثر في التطبيقات التفاعلية، ولا سيما عند استدعاء خدمات السمعة أو المراجعة البشرية. لذلك ينبغي تصميمها وفق مستوى الخطر، لا تطبيق جميع الفحوص بالعمق نفسه على كل رابط.

• مسار سريع منخفض الخطورة: تطبيع IDNA، فحص الرسم الكتابي والبصمة، ومقارنة قائمة النطاقات الموثوقة محليًا.
• مسار معزز مرتفع الخطورة: إضافة سمعة النطاق وعمره وسياق العلامة وطلب موافقة بشرية قبل بيانات الاعتماد أو المدفوعات.
• التنفيذ المتوازي: تشغيل الفحوص المستقلة بالتوازي، مع تخزين مؤقت محدود زمنيًا للنتائج غير الحساسة وتحديثها عند تغير مؤشرات التهديد.
• الإخفاق الآمن: عند انتهاء المهلة في عملية حرجة، يتوقف الإجراء أو يُحال للمراجعة؛ ولا يُعامل غياب النتيجة على أنه إثبات للسلامة.

يُقاس الأداء بجانب معدل الكشف والإنذارات الكاذبة؛ لأن خفض زمن الاستجابة لا يُعد تحسينًا إذا تحقق بإلغاء تحويل IDNA أو فحص المحارف المتشابهة.

وبذلك يمتد HGMI من حوكمة تسجيل النطاق وعرضه إلى حوكمة استخدامه الآلي، مع إضافة مؤشرات مثل: نسبة الروابط التي خضعت لتحويل IDNA قبل التنفيذ، ونسبة الإجراءات عالية الخطورة التي توقفت للمراجعة البشرية، ومتوسط زمن تحديث قوائم العلامات الحساسة.

الاستنتاجات التحليلية والقضايا النظرية

بالنظر إلى أن الدراسة تحليلية-مفاهيمية لا تجريبية، تُصاغ نتائجها بوصفها قضايا بحثية (Propositions) قابلة للاختبار مستقبلًا، لا نتائج مثبتة تجريبيًا:

• القضية الأولى: تزداد مخاطر الانتحال كلما اتسعت الفجوة بين الهوية الترميزية والهوية البصرية للنطاق.
• القضية الثانية: لا تحقق الدفاعات التقنية المنفردة حماية فعالة دون تكاملها مع مسار مؤسسي للاستجابة والمساءلة.
• القضية الثالثة: يرتبط انخفاض زمن احتواء نطاقات الانتحال بوضوح المسؤوليات وقابلية التشغيل البيني بين الجهات.
• القضية الرابعة: تزيد التحذيرات القابلة للتفسير من قابلية اتخاذ قرار أمني صحيح مقارنة بالتحذيرات العامة.
• القضية الخامسة: تحقق الحوكمة المتناسبة توازنًا أفضل بين الحد من الانتحال والمحافظة على التعدد اللغوي.

كل قضية من هذه القضايا تستدعي تحققًا لاحقًا عبر دراسة حالة أو استطلاع خبراء، كما هو مفصّل في قسم حدود الدراسة أدناه.

المناقشة

يُظهر التحليل أن الكفاءة التقنية لا تكفي عندما تكون المسؤوليات المؤسسية غير محددة. فقد تنجح خوارزمية في اكتشاف نطاق شديد التشابه، لكن فائدتها تظل محدودة إذا لم توجد قناة لإبلاغ المسجل، أو معيار لتقدير الخطورة، أو مدة زمنية ملزمة للمراجعة، أو آلية قانونية وفنية للتعليق.

في المقابل، قد تؤدي الحوكمة المفرطة إلى نتائج سلبية، مثل تعطيل نطاقات مشروعة أو تقييد مجتمعات لغوية كاملة. ولذلك يجب ألا تعتمد قرارات المنع على مجرد استخدام محارف غير لاتينية. ينبغي أن تستند إلى تقييم مركب يشمل التشابه، والسياق، والنية المحتملة، والقطاع المستهدف، والقرائن التشغيلية.

كما يجب التفريق بين الاشتباه التقني والحكم الإداري. فالخوارزمية تنتج مؤشر خطر، بينما يتطلب تعليق النطاق سياسة موثقة، وأدلة، وصلاحية محددة، وآلية مراجعة واعتراض. وتتقاطع هذه النتيجة مع ما خلصت إليه دراسات الكشف الآلي (كإطار ShamFinder لعام 2019 ودراسة Hu وزملائه التجريبية لعام 2021) من أن الدقة التقنية العالية للخوارزمية لا تُترجم تلقائيًا إلى حماية فعلية للمستخدم النهائي ما لم تُدمج ضمن مسار حوكمي مكتمل يربط الكشف بالإخطار والتعليق والمساءلة.

التوصيات

• اعتماد دليل موحد لتصنيف خطورة النطاقات المتشابهة يجمع بين درجة التشابه البصري والقطاع المستهدف وسمعة النطاق، ليكون مرجعًا مشتركًا للمسجلين والمتصفحات.
• إلزام سجلات نطاقات المستوى الأعلى بنشر جداول محارف موثقة علنًا والامتناع عن قبول تركيبات محارف عالية الخطورة دون تحقق معزز، تماشيًا مع توجه ICANN في قواعد توليد التسميات.
• تطوير قناة إبلاغ موحدة عابرة للجهات (سجل، مسجل، متصفح، مؤسسة متضررة) تختصر زمن الاستجابة وتوحّد معايير التوثيق.
• تفعيل آلية اعتراض ومراجعة إلزامية لكل قرار تعليق نطاق، ضمانًا لعدم تحول الحماية الأمنية إلى أداة حظر تعسفي بحق مستخدمي اللغات غير اللاتينية.
• تبني المؤسسات، خصوصًا في القطاعات الحساسة (المالية، الصحية، الحكومية)، لبرنامج مراقبة استباقية للنطاقات المشابهة لأسمائها وعلاماتها التجارية، بدلًا من الاكتفاء بردة الفعل بعد وقوع الحادثة.
• تطبيق HGMI تجريبيًا على مؤسسة أو سجل نطاقات، ثم معايرة الأوزان بدراسة دلفاي أو AHP وتحليل ثبات التصنيف.
• إلزام الوكلاء الرقميين بتحويل IDNA وفحص المحارف المتشابهة قبل فتح نطاق جديد، وطلب موافقة بشرية قبل إرسال بيانات الاعتماد أو المدفوعات.

حدود الدراسة وسبل التحقق المستقبلية

يقرّ هذا العمل بالحدود التالية، تجنبًا لأي التباس حول طبيعة الادعاءات المقدَّمة:

• الطابع التوليفي للإطار: بُني إطار الحوكمة والمصفوفة والمؤشر عبر توليف مفاهيمي من الأدبيات التقنية والمؤسسية، لا عبر منهجية مراجعة منتظمة (Systematic Literature Review) بمعايير PRISMA أو ما يعادلها. وهذا يحد من إمكانية إعادة إنتاج عملية الاختيار بدقة.
• غياب التحقق التجريبي: القضايا الخمس المطروحة ومكونات HGMI وأوزانه لم تُختبر بعد على بيانات مؤسسات أو عبر استطلاع خبراء منظم؛ أما تطبيق Apple.com فهو تحليل رجعي توضيحي لا يثبت أثرًا سببيًا، كما تعتمد محاكاة الحساسية على درجات اصطناعية ولا تمثل تحققًا ميدانيًا.
• مسارات التحقق المقترحة للعمل اللاحق:

(أ) دراسة حالة تطبيقية على سجل أو مؤسسة واحدة لقياس HGMI فعليًا ومقارنته بمؤشرات الحوادث المسجلة لديها؛ (ب) استطلاع دلفاي مع خبراء من ICANN وSSAC ومراكز الاستجابة لمعايرة الأوزان؛ (ج) مراجعة منتظمة للأدبيات وفق بروتوكول موثّق لتوسيع قاعدة المصادر إلى ما بعد العينة الحالية؛ (د) اختبار أداء سلسلة التحقق بقياس الوسيط وP95 ومعدل الإحالة البشرية في بيئة تشغيلية.

الخاتمة

تكشف هجمات المحارف المتشابهة أن الثقة الرقمية ليست مسألة تقنية أو سلوكية منفردة، بل نتيجة لمنظومة حوكمة تتوزع فيها المسؤوليات بين جهات متعددة. ولا يكفي اكتشاف اختلاف نقاط Unicode إذا لم يُترجم هذا الاكتشاف إلى سياسات تسجيل وتحذير واستجابة ومساءلة.

تقترح الدراسة نقل نموذج الحماية من الاعتماد على يقظة المستخدم إلى نموذج حوكمة متعدد الطبقات يبدأ قبل تسجيل النطاق، ويستمر خلال عرضه واستخدامه والاستجابة لإساءة توظيفه. ويجمع هذا النموذج بين التحليل الترميزي والتشابه البصري وسياق العلامة التجارية وسمعة النطاق، إلى جانب تحديد المسؤوليات ومؤشرات الأداء وآليات الاعتراض. ويبقى هذا النموذج، بما يتضمنه من قضايا نظرية ومؤشر HGMI، إطارًا أوليًا يتطلب تحققًا تجريبيًا لاحقًا، لا نتيجة نهائية مثبتة.

وعليه، ينبغي النظر إلى مكافحة هجمات المحارف المتشابهة بوصفها جزءًا من حوكمة الهوية الرقمية. فالهدف ليس تقييد التعدد اللغوي، وإنما ضمان ألا تتحول مرونة التمثيل اللغوي إلى وسيلة لانتحال الهوية وتقويض الثقة في الخدمات الرقمية.

قائمة المراجع

• Costello, A. M. (2003). Punycode: A Bootstring encoding of Unicode for Internationalized Domain Names in Applications. RFC 3492. https://doi.org/10.17487/RFC3492
• Gabrilovich, E., & Gontmakher, A. (2002). The homograph attack. Communications of the ACM, 45(2), 128. https://doi.org/10.1145/503124.503156
• Hu, H., Jan, S. T. K., Wang, Y., & Wang, G. (2021). Assessing browser-level defense against IDN-based phishing. In Proceedings of the 30th USENIX Security Symposium (pp. 3739–3756). USENIX Association.
• Internet Corporation for Assigned Names and Numbers. (2022). Guidelines for the Implementation of Internationalized Domain Names, Version 4.1.
• Internet Corporation for Assigned Names and Numbers. Second-Level Reference Label Generation Rules (LGR).
• Internet Corporation for Assigned Names and Numbers. (2025). Internationalized Domain Name (IDN) Report, IDN-UA Program.
• Internet Corporation for Assigned Names and Numbers, Security and Stability Advisory Committee (SSAC). (2018). IDN Homographs. ICANN63 presentation.
• Klensin, J. (2010). Internationalized Domain Names for Applications: Definitions and document framework. RFC 5890. https://doi.org/10.17487/RFC5890
• Suzuki, H., Chiba, D., Yoneya, Y., Mori, T., & Goto, S. (2019). ShamFinder: An automated framework for detecting IDN homographs. In Proceedings of the Internet Measurement Conference (IMC '19) (pp. 449–462). ACM. https://doi.org/10.1145/3355369.3355587
• Thao, T. P., Sawaya, Y., Nguyen-Son, H., Yamada, A., Omote, K., & Kubota, A. (2019). Hunting brand domain forgery: A scalable classification for homograph attack. In ICT Systems Security and Privacy Protection (IFIP SEC '19). Springer.
• Unicode Consortium. Unicode Technical Report #36: Unicode Security Considerations.
• Unicode Consortium. (2025). Unicode Security Mechanisms. Unicode Technical Standard #39. https://www.unicode.org/reports/tr39/
• Zheng, X. (2017). Phishing with Unicode domains. https://www.xudongz.com/blog/2017/idn-phishing/

الاستشهاد المقترح:
باروم، محمد عيدروس. (2026). «حوكمة مخاطر هجمات المحارف المتشابهة في أسماء النطاقات الدولية: من الخداع البصري إلى بناء الثقة الرقمية». منصة محمد باروم للأبحاث المؤسسية، Baroom Institutional Systems (BIS).