تحلیل‌های جدید روی پلتفرم ایمیل و VPN کره شمالی موسوم به Hangro، از استقرار یک سلسله‌مراتب جدید گواهنامه (Certificate Hierarchy) پرده برداشته است که مدیریت مشترک سیستم‌ها در پیونگ‌یانگ و شرق روسیه را نشان می‌دهد.
افشای آدرس‌های داخلی از طریق SAN
در بررسی فیلد Subject Alternative Name (SAN) در گواهنامه‌های جدید، علاوه بر سرورهای عمومی، یک آدرس Carrier-Grade NAT (CGNAT) مشاهده شده است. این آدرس (100.100.100.170) که در محدوده RFC 6598 قرار دارد و در اینترنت عمومی قابل مسیریابی نیست، احتمالاً یک نقطه مدیریت داخلی (Management Endpoint) است که به دلیل اشتباه در پیکربندی گواهنامه، برای دید عمومی افشا شده است.
جزئیات فنی زیرساخت جدید
- پورت عملیاتی: TCP 6006
- الگوریتم رمزنگاری: RSA-4096 با SHA-256
- مرجع صدور: یک Root CA داخلی با نام “KEVIN ROOT CA”
- پروتکل: استفاده از TLS 1.3 و احراز هویت متقابل (Mutual TLS) برای کلاینت‌ها
ارتباطات جغرافیایی و عملیاتی
گواهنامه‌های مدیریت مذکور بر روی IPهای کره شمالی (مانند 175.45.176.21) و سیستم‌های روسیه (مانند 188.43.136.115) مشاهده شده‌اند. این سیستم‌های روسی در محدوده شبکه TransTeleCom در شهر Khabarovsk قرار دارند. یکسانی اثر انگشت (Fingerprint) گواهنامه‌ها و رفتار سرویس‌ها در هر دو منطقه، تایید می‌کند که این سرورها تحت یک مدل مدیریتی واحد اداره می‌شوند و سرورهای روسیه صرفاً Relayهای غیرفعال نیستند.
مقایسه با زیرساخت‌های قدیمی
زیرساخت جدید (مدل ۲۰۲۶) تفاوت‌های چشمگیری با مدل ۲۰۲۴ دارد. در نسخه قدیمی، خطاهای بحرانی در Handshake گواهنامه‌ها (مانند tls_process_key_exchange: bad signature) مشاهده می‌شد که نشان‌دهنده عدم تطابق کلیدهای خصوصی و عمومی بود. اما در پورت 6006، فرآیند تایید گواهنامه با موفقیت انجام شده و از TLS_AES_256_GCM_SHA384 استفاده می‌کند.
نتیجه‌گیری معماری
شواهد نشان می‌دهد Hangro از یک معماری لایه‌ای استفاده می‌کند: یک لایه قدیمی مبتنی بر زیرساخت‌های چین (مرتبط با Silibank) برای توزیع کلاینت‌ها و یک لایه عملیاتی جدیدتر که پیونگ‌یانگ را مستقیماً به سیستم‌های میزبانی شده در روسیه متصل می‌کند. این مدل مدیریتی یکپارچه، قوی‌ترین نشانه از همکاری زیرساختی میان این دو منطقه است.
