حمله Replay یا حمله تکرار یکی از حملات رایج در امنیت شبکه است که در آن مهاجم یک پیام معتبر را شنود، ذخیره و دوباره برای سیستم هدف ارسال می‌کند تا بدون داشتن اعتبار واقعی، وارد سیستم شود یا عملیات مهمی را تکرار کند. سادگی اجرای این حمله و گستردگی سیستم‌هایی که در برابر آن آسیب‌پذیرند، باعث شده Replay به یکی از خطرناک‌ترین روش‌های دور زدن احراز هویت تبدیل شود.

حمله Replay چیست؟

حمله Replay زمانی رخ می‌دهد که مهاجم بتواند پیام‌های معتبر یک کاربر یا سیستم را شنود و ضبط کند و در زمان دیگری همان پیام‌ها را مجدداً ارسال کند. در این روش، مهاجم نیاز به دانستن رمز عبور یا کلید ندارد؛ کافی است پیام درست را در لحظه مناسب دوباره برای سرور بفرستد تا عملیات‌ موردنظر تکرار شود. همین ویژگی باعث می‌شود این حمله برای دور زدن احراز هویت و جعل درخواست‌ها بسیار خطرناک باشد.

این حمله در بسیاری از محیط‌ها دیده می‌شود: ورود به سیستم‌های آنلاین، تراکنش‌های بانکی، RFID، کارت‌های هوشمند، APIها و حتی شبکه‌های وای‌فای. ضعف اصلی این سیستم‌ها آن است که پیام‌های دریافتی را از پیام‌های تکراری، قدیمی یا جعلی تشخیص نمی‌دهند. اگر یک درخواست بدون Nonce، Timestamp یا Token منحصربه‌فرد ارسال شود، مهاجم می‌تواند پس از ضبط آن، عملیات را بارها تکرار کند.

حمله Replay چگونه کار می‌کند؟

۱. شنود یا ضبط پیام

در مرحله اول مهاجم یک پیام معتبر را هنگام انتقال بین کاربر و سرور شنود و ضبط می‌کند. این پیام معمولاً شامل اطلاعات احراز هویت یا درخواست حساس است. ابزارهایی مثل Wireshark، Scapy یا ابزارهای شنود وای‌فای برای این مرحله استفاده می‌شوند.

۲. ذخیره‌سازی پیام برای استفاده بعدی

پس از ضبط مهاجم پیام را ذخیره می‌کند تا در زمان مناسب از آن استفاده کند. این پیام‌ها معمولاً بدون رمزگذاری یا بدون اطلاعات زمان‌دار هستند، بنابراین مهاجم می‌تواند بارها آن‌ها را نگه دارد و مجدداً ارسال کند.

۳. ارسال دوباره پیام (Replay)

در این مرحله پیام قبلاً شنود‌شده، بدون تغییر یا با تغییرات جزئی، دوباره به سمت سرور ارسال می‌شود. از نظر سرور، پیام معتبر و از طرف کاربر اصلی است، چون حاوی داده واقعی و صحیح است؛ بنابراین اگر مکانیزم ضد Replay وجود نداشته باشد، سیستم فریب می‌خورد.

۴. دور زدن اعتبارسنجی و انجام عملیات جعلی

در نهایت سرور پیام را معتبر تلقی می‌کند و عملیاتی مانند ورود کاربر، انتقال وجه، ثبت سفارش یا دسترسی به یک سرویس را انجام می‌دهد. این همان نقطه‌ای است که مهاجم از سیستم سوءاستفاده می‌کند و حمله Replay کامل می‌شود.

انواع حملات Replay

Replay در شبکه‌های سنتی (Traditional Networks)

در شبکه‌های قدیمی که احراز هویت ساده و بدون Nonce یا Timestamp انجام می‌شد، مهاجم می‌توانست درخواست‌های ورود، بسته‌های احراز هویت یا پیام‌های حساس را شنود و همان بسته را دوباره برای سرور ارسال کند. این مدل در پروتکل‌های بدون مکانیزم ضدتکرار، مانند برخی نسخه‌های قدیمی TCP یا سیستم‌های داخلی سازمان‌ها، بسیار رایج بود.

Replay در وای‌فای و پروتکل‌های 802.11

در شبکه‌های وای‌فای نیز مهاجم می‌تواند بسته‌های رمزنگاری‌شده را ضبط کرده و با ارسال دوباره همان بسته، عملیات مدنظر را تکرار کند. این حمله خصوصاً در WPA/WPA2 هنگام دست‌دادن چهارمرحله‌ای (4‑Way Handshake) اهمیت دارد، زیرا مهاجم می‌تواند از بسته‌های قدیمی برای دسترسی یا ایجاد اختلال استفاده کند، اگرچه رمزنگاری وجود دارد.

Replay در API و سرویس‌های وب

در APIهایی که از Nonce، Token زمان‌دار یا HMAC استفاده نمی‌کنند، مهاجم می‌تواند یک درخواست معتبر مثل ایجاد سفارش، برداشت وجه یا تغییر اطلاعات کاربری را ضبط و در زمان دیگری دوباره ارسال کند. این حمله در APIهای قدیمی REST یا سیستم‌هایی که فقط روی HTTPS تکیه دارند و اعتبارسنجی درخواست را انجام نمی‌دهند، بسیار رایج است.

Replay در سیستم‌های مالی و بانکی

در سیستم‌های بانکی، مهاجم می‌تواند با ضبط یک تراکنش معتبر مانند انتقال پول یا تأیید پرداخت، همان تراکنش را تکرار کند و باعث انجام عملیاتی تکراری شود. این مشکل در سیستم‌هایی رخ می‌دهد که پیام تراکنش دارای شناسه یکتا یا زمان معتبر نیست و سرور نمی‌تواند درخواست جدید را از درخواست تکراری تشخیص دهد.

Replay در RFID و کارت‌های هوشمند

انواع کارت‌های RFID مانند کارت‌های حمل‌ونقل عمومی، کارت‌های دسترسی یا کارت‌های درب‌های هوشمند اگر رمزنگاری یا چالش-پاسخ نداشته باشند، در برابر Replay آسیب‌پذیرند. مهاجم با یک اسنیفر RFID پیام کارت را ضبط کرده و با ارسال دوباره آن می‌تواند درب را باز کند یا اجازه عبور غیرمجاز دریافت کند، بدون اینکه نیاز به دانستن اطلاعات واقعی کارت باشد.

تفاوت حمله Replay با MITM

حمله Replay و حمله Man-in-the-Middle (MITM) هر دو بر پایه شنود و سوءاستفاده از داده‌ها انجام می‌شوند، اما در ماهیت و هدف تفاوت اساسی دارند. در حمله Replay مهاجم صرفاً پیام معتبر را ضبط کرده و بدون نیاز به تغییر محتوا، دوباره آن را برای سیستم ارسال می‌کند. یعنی مهاجم لزوماً ارتباط زنده بین کاربر و سرور را کنترل نمی‌کند؛ فقط از یک پیام معتبر استفاده مجدد می‌کند تا عملیات حساس تکرار شود.

اما در حمله MITM مهاجم دقیقاً در مسیر ارتباط قرار می‌گیرد و می‌تواند پیام‌ها را شنود، دستکاری و جایگزین کند. در MITM ارتباط کاربر و سرور عملاً زیر کنترل مهاجم قرار دارد و او می‌تواند کل جریان داده را تغییر دهد. بنابراین Replay یک حمله «ارسال دوباره» است؛ اما MITM یک حمله «کنترل کامل ارتباط» محسوب می‌شود.