أمان شبكة الإضاءة: لا تحقّق من الهوية في Art-Net و sACN

للوصول إلى كابل DMX عليك دخول المبنى. أما للوصول إلى Art-Net فيكفي دخول الشبكة. وحين انتقل التحكم بالإضاءة من النحاس إلى الإيثرنت جاء معه ما لا يتحدث عنه أحد: لا يوجد في أيٍّ من هذه البروتوكولات تحقّق من الهوية. فأيًّا كان مُرسِل الحزمة، تنفّذها العقدة.

نموذج الأمان في هذه البروتوكولات: لا يوجد

صُمّم Art-Net و sACN في أواخر التسعينيات ومطلع الألفينيات على افتراض شبكة مغلقة موثوقة. ولم يعد هذا الافتراض قائمًا؛ فالسويتش نفسه يحمل اليوم واي فاي الضيوف ولوحة النتائج والكاميرات والإضاءة. أما البروتوكولات فلم تتغيّر.

البروتوكول	المنفذ	النقل	التحقق من الهوية	الخطر العملي
Art-Net	UDP 6454	بثّ / أحادي	لا يوجد	أي أحد على الشبكة يمكنه إرسال بيانات إضاءة
sACN (E1.31)	UDP 5568	بثّ متعدد	لا يوجد (حقل أولوية فقط)	من يرسل أولوية أعلى يستولي على العرض
RDM	خط DMX	ثنائي الاتجاه	لا يوجد	يمكن تغيير العنوان والوضع بل وإعادة ضبط المصنع
واجهة ويب العقدة	TCP 80	HTTP	غالبًا بلا كلمة مرور	الإعدادات مكشوفة تمامًا

ما الذي قد يحدث فعلًا

• الاكتشاف. يستطيع أي منضمّ إلى الشبكة سرد كل العقد بطُرزها وعناوينها بحزمة ArtPoll واحدة. وهذا ليس هجومًا بل عمل البروتوكول كما صُمّم.
• الاستيلاء. تتراوح أولوية sACN بين 0 و200 وافتراضها 100. فحاسوب محمول يبثّ بأولوية 200 يتفوّق على الكونسول.
• التخريب الصامت. يستطيع RDM إعادة كتابة عنوان بدء عشرات الوحدات. فتضيء الأنوار لكن لا شيء في مكانه، ولا أحد يفهم السبب.
• تغيير الإعدادات. واجهات ويب العقد غالبًا بلا كلمة مرور؛ فخريطة العوالم أو العنوان نفسه على بُعد نقرتين من الخراب.

الفصل: أنجع إجراء منفرد

تسعون بالمئة من الأمان هنا تأتي من قرار واحد: شبكة الإضاءة منفصلة. والسويتش المادي المنفصل أنظف الحلول؛ وإن تعذّر فالـVLAN المنفصلة إلزامية. ويجب ألّا يكون في هذه الشبكة اتصال بالإنترنت ولا DHCP قادم من الخارج، وأن يكون كل جهاز موصول معروفًا.

  [ واي فاي الضيوف ]  [ شبكة المكتب ]  [ الكاميرات ]
          \               |              /
           ----- سويتش مشترك -----     <-- خطأ
                      |
                 عقد الإضاءة

  [ كونسول ]--[ سويتش الإضاءة ]--[ العقد ]   <-- صحيح
        شبكة VLAN منفصلة / شبكة منفصلة، بلا إنترنت

• أبقِ الإضاءة خارج مقطع لوحة النتائج والصوت والتذاكر والكاميرات والمكاتب.
• لا منفذ إلى الإنترنت على شبكة التحكم؛ وإن لزم التحديث فليكن مؤقتًا وتحت الإشراف.
• استخدم خطة عناوين IP ثابتة ودوّنها؛ وإن استخدمت DHCP فبالحجوزات.
• احتفظ بقائمة بكل جهاز في الشبكة. وما ليس في القائمة لا يُوصَل.

ما يُفعل عند السويتش

• تفعيل IGMP snooping. فـ sACN بثّ متعدد؛ ومع تعطيله يغرق المرور كل المنافذ. وهذه مشكلة أداء ووضوح معًا.
• عطّل المنافذ غير المستخدمة. فمقبس RJ45 الفارغ باب مفتوح.
• أمان المنفذ / قفل MAC. فلا يستخدم منفذ العقدة إلا تلك العقدة.
• غيّر كلمة مرور الإدارة. فمعظم السويتشات التي نجدها في الميدان ما زالت ببيانات المصنع.
• ضع الإدارة على VLAN خاصة. فلا تجلس واجهة السويتش نفسها داخل مرور الإضاءة.

إن كان الوصول عن بُعد ضروريًا فعلًا

في الأعمال المعمارية لا مفرّ من طلب «أن نغيّر المشهد عن بُعد». والسبيل الصحيح الوحيد لذلك هو VPN. أما كشف Art-Net أو واجهة عقدة مباشرةً على الإنترنت فمعناه تسليم التحكم للجميع.

الجانب اللاسلكي

• اقفل الاقتران في DMX اللاسلكي (CRMX وما شابه)؛ فالمستقبل المتروك مفتوحًا قد يرتبط بمرسل خاطئ.
• إن استخدمت جسر واي فاي للإضاءة فامنحه SSID خاصًا واستعمل WPA2/WPA3 واعزله عن شبكة الضيوف.
• لا تضع الواي فاي في المسار الحرج؛ فنطاق 2.4 غيغاهرتز غير موثوق في قاعة مزدحمة.
• احمِ بكلمات مرور واجهات إعداد الأجهزة اللاسلكية أيضًا.

الاحتياط جزء من الأمان

• افصل المصدر الرئيسي عن الاحتياطي بـأولوية sACN؛ وهذا يجعل أي مصدر غير مصرّح به ملحوظًا.
• اضبط سلوك «لا إشارة» في العقد بوعي — فأنت من يقرّر ما تفعله الإضاءة عند انقطاع البيانات.
• ضع الكونسول ومعدات الشبكة على UPS.
• اترك مسارًا يدويًا قادرًا على إضاءة المكان حتى مع فقدان منظومة التحكم بالكامل.

قائمة تحقّق

1. هل شبكة الإضاءة على VLAN خاصة أو سويتش خاص؟
2. هل أُغلق منفذ الإنترنت على شبكة التحكم؟
3. هل غُيّرت كلمة مرور المصنع للسويتش؟
4. هل IGMP snooping مفعّل؟
5. هل عُطّلت المنافذ غير المستخدمة؟
6. هل لواجهات ويب العقد كلمات مرور؟
7. هل الوصول عن بُعد عبر VPN؟
8. هل خريطة العناوين والعوالم مطبوعة وموجودة في اللوحة؟

مقالات ذات صلة

• ما هو Art-Net؟ نقل DMX عبر الشبكة
• ما هو sACN (E1.31)؟ الفروق عن Art-Net
• التحوّل إلى DMX في إضاءة الملاعب: من الكشاف إلى العرض الضوئي