الخصوصية والأمان في Suveria
هذه الصفحة لمن يريدون معرفة كيف يُراد حماية الخصوصية في Suveria قبل إيداع محادثاتهم فيها. وهي تتعمق في صفحة ما هي Suveria وتؤدي عند كل جزء إلى الورقة البيضاء.
ينظم الكل مبدأ واحد: لا يمكن أن تستند الخصوصية إلى الثقة بحسن نية المؤسسة أو مديري الخوادم، بل إلى تدابير يمكن التحقق من عملها بصورة مستقلة. ويصوغ البيان ذلك هكذا: «وكل وعد بالأمان يجب أن يجد دليلًا في الشيفرة والسيليكون، لا في كلماتنا وحدها». ومن المقرر أن تكون أجهزتك الخاصة المكان الأساسي لتخزين المحادثات، ولا ننشئ سبل وصول خفية إلى المحتويات الخاصة.
Suveria اليوم تصميم. وكل ما يلي يصف كيف يُراد لها أن تعمل؛ ولم نجر بعد أيًا من التجارب التي يُراد لها تأكيد ذلك.
للمزيد: البيان، البند 2.2 والبند 3.1.
ممن يُراد حمايتك وممن لا تحمي#
نحمي محتوى المحادثات والملفات والسجل وذاكرة المساعد والمفاتيح (أي سلاسل محارف سرية تفتح البيانات المشفرة) وبيانات التسويات المالية والبيانات الوصفية، أي معلومات عن الاتصال نفسه: وقته وعنوان الشبكة وحجم الطلب.
البيئة السرية جزء من الخادم معزول على مستوى العتاد لا يستطيع حتى مديره الاطلاع عليه. ومن المقرر أن يؤكد ذلك التصديق، أي شهادة موقعة من العتاد بالبرمجيات العاملة على الخادم ووضع الحماية الذي تعمل فيه. وواجهة API سرية هي بيئة كهذه لدى مزود خارجي يتصل بها تطبيقنا (API وصلة بين البرامج). يصف الجدول العمل المقصود الذي لم يُختبر بعد في تجربة:
| ممن يُراد أن تحمي | نموذج على جهازك | بيئة سرية على الخوادم | واجهة API سرية لمزود خارجي |
|---|---|---|---|
| مدير المزود | لا ينطبق: المعالجة على الجهاز | يُراد أن تحمي: عزل على مستوى العتاد | تصريح من المزود يحتاج إلى تحقق |
| مراقب الشبكة | لا ينطبق دون شبكة؛ تحتاج حركة التكاملات إلى تقييم | حماية جزئية: المحتوى مشفر، والبيانات الوصفية تحتاج إلى تدابير منفصلة | حماية جزئية إذا كان مفتاح الاتصال مرتبطًا بالتصديق |
| شخص له وصول مادي إلى الخادم | لا ينطبق؛ المهم الوصول إلى الجهاز | لا تحمي: للمزود وصول في مركز بيانات الغير؛ وعلى العتاد الخاص رقابة مادية ظاهرة | لا تحمي: للمزود وصول |
| المؤسسة | لا ينطبق: المؤسسة لا تشارك في المعالجة | يُراد أن تحمي: يشملنا العزل أيضًا، ومفاتيح الحفظ لديك | يُراد أن تحمي المحتوى: البوابة، أي جزؤنا الذي يحاسب على الطلبات، دون اطلاع على المحتوى؛ وسنبين قبل التجربة الأولية أين ينتهي التشفير |
المفتاح: «يُراد أن تحمي» تعني الحماية المقصودة، و«حماية جزئية» تحمي المحتوى لا كل ما يحيط به، و«لا تحمي» تصرح بالحد، و«تصريح من المزود يحتاج إلى تحقق» تعني أننا لا نؤكد الحماية قبل التحقق منها بأنفسنا. مدير المزود هو من يدير الخوادم التي يعمل عليها النموذج؛ ويرى مراقب الشبكة الحركة بين جهازك والخادم، لكن المحتوى مشفر في الطريق؛ ويمكن لمن له وصول مادي فتح هيكل الخادم؛ والمؤسسة هي نحن مشغلي الخدمة.
تجدر معرفة ثلاثة حدود منذ البداية. لا تصلح الحوسبة السرية هاتفًا أو حاسوبًا مصابًا. ولا تحمي من كل من يملك وصولًا ماديًا إلى الخادم: ففي 2025 بنى باحثون، بأقل من ألف دولار، جهازًا يسمح بتزوير شهادة العتاد عند الوصول المادي إلى الخادم. وتستند الحماية على الخوادم أيضًا إلى مفاتيح مصنع المعالج، الذي يجب أن يكون نزيهًا.
للمزيد: الورقة البيضاء الخاصة بـSuveria، الفصل 2 والبند 2.3.
كيف تمر الرسالة بالنظام#
من المقرر أن تتكون Suveria من تطبيق على جهازك، وبوابة (جزؤنا من النظام الذي يحاسب على الطلبات ويراعي سقف الإنفاق)، وبيئة سرية بالنموذج، وتخزين نسخ مشفرة، ووسيط اختياري يخفي عنوانك.
في الخيار المستهدف، من المقرر أن تسلك الرسالة الواحدة هذا المسار:
- يجلب التطبيق وصف الإصدار المعتمد ويتحقق من تصديق الخادم.
- يقارن هذه الشهادة بالسياسة المعلنة. ويجب أن يكون المفتاح الذي يشفر به الرسالة مرتبطًا بها.
- لا ينشئ اتصالًا مشفرًا إلا بعد تحقق ناجح. ويوقف الاختلاف إرسال البيانات؛ ويتطلب الانتقال إلى خيار آخر اختيارك الواعي.
- تعالج البيئة الطلب بوصول محدود إلى الشبكة والأدوات، وتعيد النتيجة وتحذف البيانات المؤقتة وفق السياسة المنشورة.
- لا تُحفظ المحادثة أو الذاكرة إلا ضمن النطاق الذي تختاره.
يساعد التصديق على تحديد ما شُغل، لكنه لا يثبت وحده أن الشيفرة آمنة؛ وتلزم مراجعات الشيفرة وإمكان التحقق المستقل. وسنبين قبل التجربة الأولية في التطبيق أين ينتهي التشفير الذي يتحكم فيه جهازك وما إذا كانت البوابة ترى المحتوى.
نتوخى حذرًا خاصًا حين تصل مصادر تتضمن رسائل من آخرين، كصندوق بريد. فقد تحتوي رسالة الغير على تعليمات خفية تحاول حمل النموذج على كشف الذاكرة الخاصة. ولذلك لا يستطيع المساعد إرسال الرسائل أو فتح عناوين الشبكة أو تغيير المرجع الشخصي (مجموعة مبادئك وقيمك) من تلقاء نفسه دون تأكيد الإنسان.
سننشر عند إطلاق الخدمة قائمة بجميع أنواع البيانات التي نجمعها عن عمل الخدمة، مع غرضها ومدة حفظها. ولا نجمع بيانات خارج القائمة.
للمزيد: الورقة البيضاء الخاصة بـSuveria، الفصل 3.
مفاتيحك#
تبقى مفاتيح الحاويات الخاصة، أي مجموعات البيانات المشفرة، تحت سيطرتك. ولا تخزن المؤسسة المفاتيح أو أجزاءها، فلا تستطيع استعادة الوصول نيابة عنك ولا تسليم بياناتك. ولا تفتح استعادة الحساب لدى المشغل المحتوى.
قد يعني فقدان كل نسخ المفتاح فقدان البيانات نهائيًا. ولذلك ندرس طرق استعادة يمكن الجمع بينها: جهازًا ثانيًا يملك الوصول، أو مفتاحًا محفوظًا على الورق أو في مدير كلمات مرور، أو مفتاح عتاد، أو تقسيم المفتاح بين عدة أشخاص موثوقين لا يستطيع أي منهم قراءة البيانات منفردًا. ونوصي في البداية بجهاز ثان ومفتاح محفوظ على الورق. ونتحقق من كل آلية بتجربة استعادة البيانات.
للمزيد: الورقة البيضاء الخاصة بـSuveria، البند 2.2.
ما لا يُرى لكنه يكشف: إيقاع النقل#
تصل إليك الإجابة في حزم، أي أجزاء من البيانات. يخفي التشفير محتواها، لا طولها ولا إيقاعها. وهذه قناة جانبية: تتسرب المعلومات من طريقة النقل لا من المحتوى. وأظهرت أبحاث 2024–2025 أن مراقب الشبكة يستطيع استعادة موضوع المحادثة وأحيانًا محتواها من ذلك. لذلك نريد في الوضع السري إرسال الإجابة في أجزاء بحجم ثابت وإيقاع ثابت؛ ويكلف ذلك بعض التأخير وسعة النقل.
للمزيد: الورقة البيضاء الخاصة بـSuveria، الفصل 3.
إصدارات يمكن التحقق منها#
من المقرر ألا تعتمد الثقة بالبرمجيات على شخص واحد ولا على المؤسسة وحدها. ويمكن للجميع بناء التطبيق بأنفسهم من الشيفرة المنشورة والتحقق من مطابقة الناتج للنسخة التي يثبتونها على أجهزتهم. ومن المقرر أن تعيد جهتان مستقلتان على الأقل من خارج المؤسسة إنتاج الإصدار وتؤكدا المطابقة علنًا؛ وحتى نجدهما نوسم الإصدار بأنه غير مؤكد من أطراف ثالثة.
نصمم الحماية الكاملة للتطبيق المثبت. أما في المتصفح، فيقدم المشغل في كل مرة الشيفرة التي تتحقق من الخادم، ولذلك ستصف نسخة المتصفح بوضوح مستوى حمايتها الأدنى.
للمزيد: الورقة البيضاء الخاصة بـSuveria، الفصل 3.
بطاقات رسومية متعددة#
لا يتسع النموذج الذي نريد تشغيله على بطاقة رسومية واحدة، ولذلك تتدفق البيانات أيضًا بين البطاقات. ويجب التحقق من حماية البطاقات نفسها والوصلات بينها؛ ولا يحل الوسم التجاري «secure» محل ذلك. ولا نقارن عرض المزود إلا بعد تجربة بتطبيقنا.
للمزيد: الورقة البيضاء الخاصة بـSuveria، الفصل 5.
كيف سنتحقق من نجاح ذلك#
التجربة الأهم: يحاول فريق بصلاحيات المشغل خارج البيئة السرية (البوابة والأقراص والشبكة والسجلات) قراءة محادثات حسابات اختبار أُخفيت فيها سلاسل محارف سرية. وإذا استخرجها أي شخص، بما في ذلك نحن، فقد فشلت التجربة.
قبل تسمية أي إصدار سريًا، سنوثق، ضمن أمور أخرى، صحة التصديق ورفض إرسال البيانات بعد استبدال الشيفرة أو المفتاح وخلو السجلات من المحتوى والحذف والاستعادة. وتدخل النتائج، بما فيها غير الناجحة، في سجل النتائج. والحالة في 29 أكتوبر 2026: لم نجر بعد أيًا من التجارب الموصوفة.
نريد إجراء التجارب علنًا. إذا كنت تعمل في الأمان أو التشفير أو البنية التحتية أو التطبيقات، أو تريد النظر إلى التصميم بعين ناقدة، فاكتب إلى salve@novusignis.org بعنوان «[Dołącz] Próby Suverii».
للمزيد: الورقة البيضاء الخاصة بـSuveria، الفصل 9.
اقرأ وأخبرنا برأيك#
تجد المقارنة الكاملة للخيارات والتهديدات وتدابير حماية التطبيق وقائمة المسائل التي تحتاج إلى حسم في الورقة البيضاء الخاصة بـSuveria. وإذا أثار شيء تساؤلك أو بدا خاطئًا، فحدد المقطع في الوثيقة واستخدم زر «لدي ملاحظة»، أو اكتب إلى salve@novusignis.org.