تقسيم الهوية شديد التجزئة (بروتوكول هيدرا v2.5)

تقسيم الهوية شديد التجزئة، المعروف باسم بروتوكول هيدرا، يمثل قمة هندسة المخاطر العدائية. إنه إطار تهرب على مستوى المؤسسة يكسر الهوية الرقمية للتاجر إلى مئات من "الأجزاء" سريعة الزوال ذات العلامات التجارية المصغرة، مما يجعل تحليل الرسم البياني التقليدي وبصمة المحتوى عفا عليها الزمن.

على عكس الإخفاء الثابت (الذي يعتمد على منطق ثنائي للموقع الآمن/موقع المال)، تستخدم هيدرا هوية متعددة الأشكال، وترطيب من جانب العميل (Client-Side Hydration)، وتجريد مالي لإنشاء طوبولوجيا شبكة مرنة ذاتية الشفاء.

---

🧬 ملخص تنفيذي

• التقنية: تقسيم هوية متعدد الأشكال وترطيب DOM من جانب العميل.
• الهدف: إذابة "كيان التاجر" في سرب من المعاملات المصغرة منخفضة المخاطر وغير ذات الصلة، مما يسمم بحيرات بيانات PSP بالسلبيات الكاذبة.
• درجة المخاطر: حرجة / يوم الصفر (Zero-Day) (معدل نجاح كشف PSP الحالي < 5%).
• التعقيد: مستوى المؤسسة (يتطلب فرق DevOps/هندسة مخاطر مخصصة).

---

🏛️ البنية العالمية: نموذج الطبقات الثماني

تطورت بنية هيدرا من كومة بسيطة من 4 طبقات إلى إطار عمل عدائي قوي من 8 طبقات، مما يعزل نية الدفع عن تسليم الخدمة بشكل فعال.

1. السرب (طبقة الدخول)

شبكة من 50–200+ نطاق "آمن" منفصل قانونيًا وعالي الجودة. يعمل كل منها كمتجر SaaS مصغر أو متجر أصول رقمية (مثل "Vector Icons Pro"، "PDF Compressor"، "Server Monitor").

• الوظيفة: اكتساب حركة المرور والتخزين المؤقت الأولي.
• الحالة: نظيف 100%، مفهرس بواسطة Google، حركة مرور عضوية.

2. القشرة (ذكاء حركة المرور)

محرك القرار المركزي غير المرئي. لا يقتصر على حظر عناوين IP فحسب؛ بل يحسب انتروبيا السلوك (Behavioral Entropy) لتحديد نية المستخدم والواقع البيومتري.

• الوظيفة: تسجيل نقاط في الوقت الفعلي لانتروبيا الماوس، وتزامن الأجهزة، وسرعة الجلسة.

3. السراب (خداع PSP)

طبقة مخصصة للروبوتات (Honeypot). إذا تم وضع علامة على الزائر كزاحف (الدرجة < 80)، فإن السراب يغذيه ببيانات "آمنة" واقعية للغاية لتعزيز شرعية النطاق في محرك مخاطر PSP.

• الوظيفة: تسميم نموذج التعلم الآلي (تعزيز السلبية الكاذبة).

4. الشبح (نواة الترطيب)

بيئة التنفيذ من جانب العميل. باستخدام WebAssembly (Wasm) المموه بشدة، يقوم الشبح بفك تشفير وحقن التطبيق عالي المخاطر (مثل لوحة تحكم IPTV) مباشرة في DOM للجزء الآمن عبر استبدال innerHTML.

• الوظيفة: تحويل تجربة المستخدم في الوقت الفعلي دون تغيير عنوان URL.

5. دفتر الأستاذ (التجريد المالي)

برنامج وسيط ينسق عملية الدفع. يقوم بتعيين SKU عالي المخاطر (مثل "اشتراك ذهبي") إلى SKU منخفض المخاطر (مثل "تخزين سحابي متميز المستوى 1") متوافق مع MCC الخاص بالجزء المحدد.

• الوظيفة: غسل البيانات الوصفية وتدوير MCC.

6. المراقب (الاستخبارات المضادة)

يراقب وتيرة فحص PSP. إذا زاد Adyen أو Stripe من سرعة الفحص على الجزء #42، يكتشف المراقب النمط (سرعة الفحص > 5/ساعة) وينشئ فترة "تبريد" لذلك الجزء.

• الوظيفة: دفاع تكيفي وكشف الفحص.

7. الطفرة (تطور العلامة التجارية)

خط أنابيب DevOps آلي يقوم بشراء وتقادم ونشر نطاقات جديدة. يستبدل الأجزاء "المحروقة" تلقائيًا باستخدام البنية التحتية ككود (IaC).

• الوظيفة: الشفاء الذاتي للبنية التحتية وتقادم النطاق.

8. تسليم الظل

آلية التسليم. مفصول تمامًا عن أجزاء الدفع، ويستخدم قنوات سريعة الزوال (Telegram، روابط منتهية الصلاحية) لتسليم المنتج عالي المخاطر.

---

🧩 مخطط تدفق البنية العالمية

يوضح الرسم البياني التالي التدفق غير الخطي لحركة المرور عبر نظام هيدرا.

flowchart TB
    subgraph "الإنترنت العام"
    User((المستخدم / الروبوت))
    end

    subgraph "الطبقة 1: السرب"
    S1[الجزء A: أداة PDF]
    S2[الجزء B: حزمة أيقونات]
    S3[الجزء C: استضافة]
    end

    subgraph "الطبقة 2: القشرة"
    Intel{تسجيل ذكاء حركة المرور}
    end

    subgraph "الطبقة 3: السراب"
    Safe[تقديم محتوى آمن]
    end

    subgraph "الطبقة 4: الشبح"
    Hydra[تطبيق عالي المخاطر مرطب]
    end

    subgraph "الطبقة 5: دفتر الأستاذ"
    Pay[تجريد الدفع]
    end

    subgraph "الطبقة 6: المراقب"
    Watch[مراقب الفحص]
    end

    subgraph "الطبقة 8: التسليم"
    Shadow[محرك تسليم الظل]
    end

    User -->|حركة مرور| S1
    User -->|حركة مرور| S2
    User -->|حركة مرور| S3

    S1 --> Intel
    S2 --> Intel
    S3 --> Intel

    Intel -->|الدرجة < 80| Safe
    Intel -->|الدرجة >= 80| Hydra

    Safe -->|سجل الفحص| Watch
    Watch -->|سرعة عالية| S1

    Safe -->|سجل التفاعل| Intel
    Hydra -->|دفع| Pay
    Pay -->|نجاح| Shadow

تحليل الرسم البياني:

• دخول لا مركزي: تدخل حركة المرور عبر عقد متعددة غير مرتبطة ($S1, S2, S3$).
• ذكاء مركزي: تغذي جميع الأجزاء القياس عن بعد إلى القشرة ($Intel$).
• دفاع تكيفي: يراقب المراقب ($Watch$) عدد المرات التي تضرب فيها الروبوتات الموقع الآمن. إذا ارتفعت السرعة، فإنه يفترض أن التدقيق قيد التقدم ويغلق الجزء.

---

🧠 الطبقة 2: القشرة (ذكاء حركة المرور العميق)

تتجاوز القشرة تصفية IP القياسية. تستخدم تسجيل الانتروبيا للتمييز بين القياسات الحيوية البشرية والجهات الفاعلة الخوارزمية (متصفحات Headless، روبوتات PSP).

خوارزمية تسجيل الانتروبيا

يحسب النظام انتروبيا ($E$) متجهات حركة الماوس ($v$) وأحداث اللمس ($t$).

$$ E = - \sum_{i=1}^{n} p(x_i) \log p(x_i) $$

• الروبوتات: خطية عالية، انتروبيا منخفضة (منحنيات مثالية رياضيًا أو قفزات فورية).
• البشر: فوضى عالية، هزات دقيقة، سرعة متغيرة.

كود زائف: محرك البصمة

class CortexEngine {
    // منطق بصمة من مستوى المؤسسة
    public analyze(session: UserSession): RiskScore {
        let score = 0;

        // 1. فحص التزامن المادي (النوى المادية مقابل تقارير المتصفح)
        if (navigator.hardwareConcurrency !== session.benchmarkCores) {
             score -= 50; // تم اكتشاف آلة افتراضية (عدد أنوية غير متناسق)
        }

        // 2. انتروبيا عرض GPU (بصمة Canvas)
        // نقوم بعرض مكعب ثلاثي الأبعاد مخفي وتجزئة بيانات البكسل.
        const canvasHash = this.getCanvasHash();
        if (KnownBotHashes.includes(canvasHash)) {
            return 0; // حظر فوري (برنامج تشغيل Selenium/Puppeteer الافتراضي)
        }

        // 3. تحليل متجه الماوس
        // حساب تباين المسافة الإقليدية بين أحداث الحركة
        const vectorEntropy = this.calculateEntropy(session.mouseEvents);
        if (vectorEntropy < 0.4) {
            score -= 30; // حركة روبوتية (منحنيات خطية)
        } else {
            score += 20; // حركة بشرية (هزات دقيقة فوضوية)
        }

        // 4. بصمة نظام التشغيل السلبي (TCP/IP Stack)
        // تحليل حجم نافذة TCP، و TTL، و MSS من رؤوس الحزم
        if (session.tcpWindowSize > 65000 && session.userAgent.includes("iPhone")) {
            score -= 100; // عدم تطابق: iPhone عادة ما يكون له حجم نافذة أصغر
        }

        return score; // العتبة: 80+ للترطيب
    }
}

شجرة قرار ذكاء حركة المرور

flowchart TD
    Start(الطلب الوارد) --> TCP{فحص TCP/IP Stack}
    
    TCP -->|عدم تطابق| Bot[علم كروبوت]
    TCP -->|تطابق| GPU{تجزئة GPU Canvas}
    
    GPU -->|متسق| Bio{انتروبيا بيومترية}
    GPU -->|فريد/Headless| Bot
    
    Bio -->|فوضى عالية| Human[مستخدم حقيقي]
    Bio -->|خطي| Bot
    
    Bot --> Mirage[الطبقة 3: خداع السراب]
    Human --> Phantom[الطبقة 4: ترطيب الشبح]

---

👻 الطبقة 4: الشبح (نواة الترطيب)

تقوم هذه الطبقة بإجراء إعادة كتابة DOM في الوقت الفعلي. لا يتغير عنوان URL أبدًا. يتم تحويل الموقع "الآمن" ماديًا إلى الموقع "عالي المخاطر" من جانب العميل.

تدفق المنطق

1. التحميل الأولي: يقوم المتصفح بتحميل cool-design-assets.com. يظهر HTML محفظة تصميم جرافيك.
2. القياس عن بعد: تجمع وحدة Wasm بيانات القشرة.
3. الإشارة: تعيد القشرة حمولة مشفرة (AES-256).
4. الترطيب:
   • تقوم وحدة Wasm بفك تشفير الحمولة في الذاكرة.
   • يقوم React/Vue virtual DOM بإجراء "تبديل ساخن".
   • يختفي نص وصور "المحفظة".
   • يتم عرض مكونات "لوحة تحكم IPTV" في مكانها.

منطق تشغيل الترطيب

sequenceDiagram
    participant Browser
    participant Wasm as Hydra Wasm
    participant Cortex
    participant CDN

    Browser->>Wasm: تهيئة القياس عن بعد
    Wasm->>Cortex: إرسال البصمة (مشفرة)
    Cortex-->>Cortex: تحليل الانتروبيا
    
    alt ثقة منخفضة / روبوت
        Cortex->>Browser: أمر: "ابق آمنًا"
        Browser->>Browser: عرض موقع المحفظة
    else ثقة عالية / إنسان
        Cortex->>Browser: أمر: "ترطيب" + مفتاح
        Browser->>CDN: جلب الحمولة المشفرة
        CDN->>Browser: كائن الحمولة
        Browser->>Browser: فك تشفير وتبديل DOM
        Browser->>Browser: عرض المتجر عالي المخاطر
    end

---

💳 الطبقة 5: دفتر الأستاذ (التجريد المالي)

ينشئ دفتر الأستاذ جدار حماية دلالي بين المنتج المباع والمعاملة المسجلة.

تعيين المنتج الديناميكي

يحتفظ النظام بقاعدة بيانات علائقية تعين SKUs الحقيقية إلى SKUs الغطاء.

SKU الحقيقي	سياق الجزء	SKU الغطاء (المرسل إلى PSP)	MCC
IPTV 12 شهر	Vector Icons Pro	"حزمة أيقونات المؤسسة (ترخيص لمدة سنة)"	5818
IPTV 12 شهر	Server Monitor	"وكيل الجهوزية المحترف (سنوي)"	7372
IPTV 12 شهر	PDF Tool	"أرصدة OCR API (مستوى الصوت 1)"	5734

موازنة الحمل متعددة PSP

يوزع دفتر الأستاذ الحجم لمنع ارتفاعات السرعة.

• الجزء A (Stripe): بحد أقصى 5,000 دولار/يوم.
• الجزء B (Adyen): بحد أقصى 8,000 دولار/يوم.
• الجزء C (PayPal): يستخدم فقط للدفع كـ "ضيف".

تسلسل التجريد المالي

sequenceDiagram
    participant User
    participant Phantom
    participant Ledger
    participant PSP
    participant Bank

    User->>Phantom: انقر "شراء مميز" (IPTV)
    Phantom->>Ledger: إنشاء طلب (حقيقي: IPTV، 100 دولار)
    Ledger->>Ledger: البحث عن سياق الجزء
    Ledger->>Ledger: تحديد SKU الغطاء: "حزمة أيقونات"
    Ledger->>PSP: بدء الدفع (100 دولار، "حزمة أيقونات")
    PSP->>User: نموذج الدفع (مرئي: "حزمة أيقونات")
    User->>PSP: إرسال البطاقة
    PSP->>Bank: طلب المصادقة ("Vector Icons Pro")
    Bank-->>PSP: موافق عليه
    PSP-->>Ledger: Webhook (نجاح)
    Ledger-->>Phantom: فتح الخدمة

---

🛡️ تحليل ضعف الكشف المتقدم

لماذا تفشل محركات المخاطر التي تبلغ قيمتها 100 مليون دولار+ ضد هيدرا؟

1. فشل تحليل الرسم البياني

• النهج التقليدي: تبني محركات المخاطر رسومًا بيانية تربط النطاقات عبر عناوين IP المشتركة، أو معرفات GA4، أو بيانات Whois، أو شهادات SSL.
• دفاع هيدرا: كل جزء "معزول هوائيًا".
  • استضافة مميزة (AWS، DigitalOcean، Vultr، Linode).
  • مسجلون مميزون (Namecheap، GoDaddy، Porkbun).
  • معرفات تحليلات مميزة.
  • النتيجة: لا توجد حواف في الرسم البياني. لا يمكن ربط الجزء A رياضيًا بالجزء B.

2. تسميم التعلم الآلي

• النهج التقليدي: تتعلم نماذج ML من الزيارات "السيئة".
• دفاع هيدرا: تقوم طبقة السراب بتغذية الروبوتات PSP ببيانات "جيدة" عمدًا.
  • عندما يزحف روبوت Stripe إلى الجزء A، فإنه يرى موقعًا شرعيًا، وكودًا شرعيًا، ولا توجد عمليات إعادة توجيه.
  • يضع الروبوت علامة "منخفض المخاطر" على الجزء A.
  • هذا يسمم مجموعة بيانات التدريب، مما يجعل النموذج أكثر عرضة للثقة في أجزاء هيدرا المماثلة في المستقبل.

3. فشل الكشف القائم على المحتوى

• النهج التقليدي: المسح بحثًا عن الكلمات الرئيسية ("IPTV"، "Streams"، "Channels").
• دفاع هيدرا: الكلمات الرئيسية لا توجد أبدًا في HTML الأولي. يتم حقنها عبر JavaScript فقط بعد إثبات الثقة. عادةً ما لا تحاكي المتصفحات Headless (التي تستخدمها محركات المخاطر) انتروبيا كافية لتشغيل الترطيب.

---

🌍 استراتيجية متعددة PSP

لا تعتمد هيدرا على معالج واحد. إنها تعامل حسابات التجار على أنها "ذخيرة" يمكن التخلص منها.

• مزيج 20+ معالج:
  • المستوى 1 (Stripe، Adyen، PayPal): يستخدم لحركة المرور عالية الجودة، التي تم التحقق منها بواسطة 3DS.
  • المستوى 2 (Worldpay، Authorize.net): يستخدم للمواقع الجغرافية متوسطة المخاطر.
  • المستوى 3 (المتخصصون في المخاطر العالية): يستخدم كاحتياطي.
• تدوير MCC: يقوم النظام بتوجيه المعاملات ديناميكيًا إلى الجزء الذي يحتوي على رمز فئة التاجر (MCC) الأكثر ملاءمة لجهة إصدار بطاقة المستخدم، مما يزيد من معدلات التفويض.
• انتحال السلوك: يولد كل جزء حركة مرور عضوية "وهمية" (باستخدام روبوتات متقدمة) للحفاظ على نسبة "المتصفح إلى المشتري" صحية، مما يمنع شذوذ "السرعة العالية / حركة المرور المنخفضة".

---

🏦 احتمالية كشف PSP

PSP	الاحتمالية	تحليل الكشف
Stripe	5%	فشل ذريع. تفشل زواحف Stripe الآلية (حتى مع headless chrome) باستمرار في تشغيل طبقة الترطيب. التدقيقات اليدوية هي التهديد الوحيد.
Adyen	10%	منخفض. يكافح تحليل الرسم البياني لـ Adyen لعدم وجود معرفات مشتركة (IP، بريد إلكتروني، ملف تعريف ارتباط) بين الأجزاء. يتطلب الكشف ارتباطًا سلوكيًا عبر التجار.
PayPal	15%	منخفض/متوسط. عرضة فقط لسرعة النزاع بعد المعاملة (على سبيل المثال، إذا قدم مشترو "حزمة أيقونات" باستمرار "السلعة لم تُستلم").
Shopify Payments	40%	متوسط. إذا كان الجزء الآمن مستضافًا على Shopify، فقد تكشف رؤيتهم الداخلية لكود السمة عن حقن Wasm. يستخدم معظم مشغلي هيدرا حزمًا مخصصة (Next.js/Vue) لتجنب ذلك.
Checkout.com	< 5%	أعمى. يفتقر إلى البصمة السلوكية العميقة المطلوبة للتمييز بين "السراب" الذي يتغذى عليه الروبوت وتدفق المستخدم الحقيقي.
Worldpay	< 5%	أعمى. يتم تجاوز محركات المخاطر القديمة تمامًا من خلال التجريد الدلالي لطبقة دفتر الأستاذ.
مراجعة يدوية	60%	عالية. قد يقوم محلل بشري ماهر يتصفح ببروكسي سكني بتشغيل الترطيب إذا تصرف بشكل عضوي بما فيه الكفاية، لكن هذا غير قابل للتوسع.

---

📘 دليل التشغيل في العالم الحقيقي

جدول تدوير النطاق

• الحياة النشطة: 30-90 يومًا لكل جزء.
• تبريد: بعد حجم 50 ألف دولار، يتم إراحة الجزء لمدة 14 يومًا.
• سياسة الحرق: إذا تلقى الجزء > 1% نسبة استرداد، يتم "حرقه" واستبداله فورًا بواسطة طبقة الطفرة.

مزج حركة المرور

• النسبة: 70% عضوية/عضوية وهمية (حركة مرور السراب) مقابل 30% حركة معاملات حقيقية.
• المصدر: يتم شراء حركة المرور من شبكات إعلانية شرعية (Google، FB) تشير إلى المحتوى "الآمن" لبناء سلطة النطاق.

رفع الثقة التدريجي

1. الزيارة 1: يرى المستخدم الموقع الآمن.
2. الزيارة 2: يتفاعل المستخدم، يقرأ "المدونة".
3. الزيارة 3 (اليوم 2): تتعرف القشرة على "مستخدم عائد" + "IP سكني" -> تم فتح الترطيب.

---

📜 تاريخ الإصدار

هيدرا v1.0 (قديم)

• الطريقة: عمليات إعادة توجيه JavaScript بسيطة.
• الكشف: يتم وضع علامة عليه بسهولة من خلال تحليل "عنوان URL النهائي" وتتبع إعادة التوجيه.
• البقاء: 2-4 أسابيع لكل نطاق.

هيدرا v2.0 (حالي)

• الطريقة: ترطيب تطبيق صفحة واحدة (SPA) + تشفير Wasm.
• الكشف: صعب للغاية. يتطلب تحقيقًا بشريًا يدويًا.
• البقاء: 6-12 شهرًا لكل نطاق.

---

📊 عرض PSP مقابل عرض العميل الحقيقي (تدفق متوازي)

يوضح هذا الرسم البياني طبيعة "موقع شرودنغر" للبروتوكول.

flowchart TD
    subgraph "تجربة PSP / الروبوت"
    B1[زيارة URL] --> B2[رؤية 'محفظة المتجهات']
    B2 --> B3[نقر 'وظفني']
    B3 --> B4[دفع: 'خدمة تصميم']
    B4 --> B5[إيصال: 'خدمة تصميم']
    B5 --> B6[النتيجة: تدقيق نظيف]
    end

    subgraph "تجربة العميل الحقيقي"
    C1[زيارة URL] --> C2[تم تشغيل الترطيب]
    C2 --> C3[رؤية 'لوحة تحكم IPTV']
    C3 --> C4[نقر 'اشتراك']
    C4 --> C5[دفع: 'خدمة تصميم']
    C5 --> C6[إيصال: 'خدمة تصميم']
    C6 --> C7[بريد إلكتروني: 'إليك تسجيل الدخول']
    end

يحتل PSP والعميل واقعين مختلفين داخل نفس جلسة HTTP.