برای بسیاری از کاربران حرفه‌ای، یک آیین آشنا وجود دارد: ورود به پنل مدیریت روتر (Router Admin Panel)، دیدن اعلان جدیدترین نسخه فریم‌ور (Firmware)، کلیک روی گزینه به‌روزرسانی و احساس امنیت از اینکه محیط شبکه تازه و مدرن است. اما نگاهی به زیر پوست این دستگاه‌ها نشان می‌دهد که رابط گرافیکی یا پوسته برندساز ممکن است کاملاً جدید به نظر برسد، ولی فهرست مواد نرم‌افزاری (Software Bill of Materials) از یک هسته لینوکس (Linux Kernel) وصله‌نشده و کتابخانه‌های متن‌باز قدیمی نزدیک به نیم دهه حکایت دارد.
سازندگان روترهای مصرفی، نگهداری فریم‌ور را مانند یک فکر بعدی می‌بینند. حتی روی دستگاهی که تازه خریداری یا به‌روزرسانی شده است، زیربنای متن‌باز اغلب به‌طور تکان‌دهنده‌ای قدیمی است و شبکه را در برابر اکسپلویت‌های سیستمی که در دید عادی پنهان‌اند آسیب‌پذیر می‌کند. خوشبختانه می‌توان با فلش کردن فریم‌ورهای متن‌باز، یک لایه امنیتی و آرامش خاطر بیشتر اضافه کرد.
چرا نرم‌افزار روترها همیشه به‌روز نیست؟
بسیاری از فروشندگان روتر بسیار عقب‌تر از استانداردها حرکت می‌کنند و دلیل آن به زنجیره تأمین نرم‌افزاری شکسته در سخت‌افزار شبکه مصرفی برمی‌گردد. نخستین مشکل، گلوگاه سازنده چیپست (Chipset Vendor) است. تولیدکنندگان روتر، از جمله Netgear، TP-Link، D-Link و بسیاری دیگر، درایورهای بی‌سیم را از صفر نمی‌نویسند.
آن‌ها معمولاً به باینری‌های بسته (Closed-Source Binary Blobs) و بسته‌های پشتیبانی برد (Board Support Packages یا BSPs) وابسته‌اند که غول‌های سیلیکونی مانند Broadcom، Qualcomm یا MediaTek در بالادست ارائه می‌کنند. این یعنی خود سازندگان روتر این به‌روزرسانی‌های فریم‌ور را تولید نمی‌کنند و همین می‌تواند شکاف‌های امنیتی عظیمی ایجاد کند.
وقتی یک سازنده سیلیکون، درایوری را برای نسخه‌ای قدیمی از هسته لینوکس (برای مثال شاخه 4.x یا اوایل 5.x) تحویل می‌دهد، سازنده روتر همان بیلد را قفل می‌کند. آن‌ها به‌ندرت ساعت‌های مهندسی لازم را سرمایه‌گذاری می‌کنند تا آن باینری‌های اختصاصی را به هسته‌های مدرن منتقل کنند؛ همین موضوع معماری نرم‌افزاری هسته روتر را در زمان منجمد می‌کند.
میراث نرم‌افزاری خطرناک در روترهای میان‌رده
چه اجزای متن‌باز قدیمی‌ای معمولاً یک روتر مصرفی را می‌سازند؟ نخست، هسته لینوکس فسیل‌شده. بسیاری از روترهای Wi-Fi 6 کنونی هنوز با هسته‌هایی عرضه می‌شوند که سال‌ها پیش پشتیبانی جریان اصلی را از دست داده‌اند و بنابراین از مکانیزم‌های مدرن ایمنی حافظه (Memory-Safety Mitigations) و بهبودهای کارایی بی‌بهره‌اند.
روی این مجموعه، ابزارهای کاربری باستانی قرار می‌گیرند: نسخه‌های قدیمی dnsmasq، BusyBox و iptables، به‌همراه OpenSSL که با فلگ‌های منسوخ، آثار کامپایل استاتیک و آسیب‌پذیری‌های وصله‌نشده در لبه‌ها دست‌وپنجه نرم می‌کند و کاملاً به پورت‌های عقب‌گرد (Backports) سازنده وابسته است.
این وضعیت هزینه‌های امنیتی و کارایی قابل‌توجهی ایجاد می‌کند. برای نمونه، وقتی یک آسیب‌پذیری حیاتی در کتابخانه‌ای رایج در شبکه مانند تجزیه‌کننده DNS (DNS Parser) یا روتین رمزنگاری (Crypto Routine) ظاهر می‌شود، سازندگان مصرفی ممکن است ماه‌ها طول بکشد تا آن را وصله کنند؛ آن هم فقط اگر زحمت وصله کردن آن مدل را به خود بدهند. تا زمانی که منتظر ارسال وصله هستید، در موقعیت بسیار آسیب‌پذیری قرار دارید.
همچنین ممکن است سخت‌افزار شما به‌صورت عمدی منسوخ شود. فروشندگان آگاهانه پشتیبانی نرم‌افزاری را متوقف می‌کنند تا ارتقای سخت‌افزار را تحمیل کنند و سیلیکون شبکه‌ای کاملاً توانمند را تنها به این دلیل که خطوط لوله به‌روزرسانی‌شان بیش از حد کند است، به زباله الکترونیکی تبدیل کنند.
سخت‌افزار فعلی خود را ممیزی کنید
خوشبختانه می‌توانید کنترل پشته نرم‌افزاری روتر خود را به دست بگیرید. با ممیزی سخت‌افزار فعلی شروع کنید. بررسی کنید که سیستم‌عامل زیربنایی روتر، نسخه هسته و صفحه افشای مجوز متن‌باز آن خیلی قدیمی نباشند. اگر اجزا قدیمی هستند، شاید زمان بازنگری فرا رسیده باشد.
پشتیبانی OpenWRT یا پروژه‌های شخص ثالث را بررسی کنید. تحقیق کنید که آیا مدل سخت‌افزار شما توسط پروژه‌های فریم‌ور متن‌باز متمرکز بر بالادست مانند OpenWRT یا Asus WRT-Merlin پشتیبانی می‌شود. اگر به‌روزرسانی پشتیبانی‌شده‌ای یافتید، زمان فلش کردن است.
می‌توانید نرم‌افزار راکد سازنده را با یک توزیع پاک و فعالانه نگهداری‌شده جایگزین کنید که مدیریت بسته واقعی و وصله‌های امنیتی مدرن هسته لینوکس را ارائه می‌دهد. البته چون به نرم‌افزار متن‌باز تکیه می‌کنید، همه مدل‌ها و برندهای روتر پشتیبانی نمی‌شوند. اگر برای روتر خاص خود فلشی پیدا نکردید، ممکن است زمان سرمایه‌گذاری روی سخت‌افزار متفاوتی باشد؛ به‌ویژه اگر دستگاه شما قدیمی است و دیگر وصله‌های امنیتی پایه را دریافت نمی‌کند.
به‌روزرسانی‌های سازنده همیشه امن‌ترین نیستند
کلیک روی گزینه «به‌روزرسانی» در یک روتر مصرفی پیش‌فرض، اغلب فقط یک لایه رنگ تازه روی بنیانی در حال فروریختن است. امنیت واقعی شبکه به چرخه‌های عمر نرم‌افزاری مدرن و شفاف نیاز دارد. از منوهای بازاریابی براق رابط گرافیکی روتر فراتر بروید. ممیزی کنید که واقعاً چه چیزی در زیر آن اجرا می‌شود و به انتقال به یک زیربنای مسیریابی متن‌باز فکر کنید که به‌روز باقی می‌ماند و امنیت و کارایی بهتری ارائه می‌دهد.