ثلاث حالات، وواحدة منها لا تبيعها هذه الصناعة
تُوصف البيانات بأنها في واحدة من ثلاث حالات، وهذا التمييز هو جوهر هذه الصفحة كلها. الساكنة قرص لا يقرؤه أحد. أثناء النقل حزمة بيانات على سلك. قيد الاستخدام عملية تحتفظ بالنص الصريح في الذاكرة كي تستطيع فعل شيء به.
الأولى والثانية محلولتان ويبيعهما كل مزوّد. السلك هو TLS، والأقراص الفعلية تحتك شبه مؤكد أنها مشفَّرة. أما الثالثة فلا يُقال عنها إلا القليل، لأنها بالضبط حيث يقف المزوّد: فالخادم العامل وحدة تخزينه مفكوكة القفل، ومفتاحه مقيم في الذاكرة، وبياناته ظاهرة بلا تشفير. وهذا ليس عيبًا في التشفير. هذا هو معنى أن يكون الجهاز يعمل.
ماذا يعني “مشفَّر في حالة السكون” حين يقوله مضيف
تشفير البيانات الساكنة من جهة المزوّد حقيقي ويستحق أن تحصل عليه. ويعني أن القرص أو المصفوفة أو مخزن اللقطات مشفَّر بمفتاح يديره المزوّد، بحيث يصبح القرص الذي يغادر المبنى — بعد أن تعطّل، أو استُبدل، أو أُعيد بيعه، أو سُرق — كتلة معدنية عديمة الفائدة لا نسخة من قاعدة بياناتك. تفعل كل منصة جادة هذا، ولا يكلّفك شيئًا.
ما لا يستطيعه هو استبعاد المزوّد، لأن المزوّد يحتفظ بالمفتاح بحكم التعريف. إنه ضابط ضد رصيف التحميل، لا ضد المشغّل. والمضيف الذي يجيب عن سؤال يخص وصوله الخاص بوصف تشفير البيانات الساكنة إنما أجاب عن سؤال آخر، وهو يعرف ذلك غالبًا.
النسخة التي تستبعد المزوّد فعلًا هي تلك التي لا يصل فيها المفتاح إليه إطلاقًا. وهذه المقايضة مدوَّنة في الدليل التشغيلي الخاص بها: اللقطات هنا تُخزَّن مشفَّرة، وهذه المنظومة لا تملك مفتاحًا لمحتويات قرص شفّرته أنت بنفسك، وبالتالي لا يمكنها إنقاذ ذلك القرص لك أيضًا. وشطرا هذه الجملة حقيقة واحدة، والمضيف الذي يعرض الشطر الأول فقط يحتفظ بمفتاح.
ثلاثة أجهزة، ثلاث إجابات مختلفة
“هل يستطيع مضيفي قراءة قرصي” سؤال تختلف إجابته على نسخة مشتركة، وعلى جهاز كامل، وفي خزانة تستأجرها بالوحدة. وهذه الفروق تستحق التوضيح، لأنها عادةً تُباع بوصفها المنتج نفسه، مع أرقام مختلفة فقط لا غير.
| ما الذي تستأجره | ما الذي يستطيع المشغّل بلوغه أثناء التشغيل | ما الذي يعنيه ذلك بالنسبة لك |
|---|---|---|
| VPS مشترك | المُراقب الافتراضي يحتفظ بذاكرة ضيفك. يمكن تفريغ RAM الضيف بالكامل، والترحيل الحي ينسخها إلى مضيف آخر بحكم التصميم. | أي مفتاح في RAM جهازك في متناول اليد. فالتشفير يحمي وحدة التخزين المخزَّنة، لا الضيف أثناء تشغيله. |
| خادم مخصص | لا مُراقب افتراضي فوقك. أما وحدة التحكم الإدارية — IPMI، أو BMC، أو أيًا كان الاسم الذي يطلقه عليها المورِّد — فهي حاسوب ثانٍ على اللوحة يبقى بعد زوال نظام تشغيلك. | سطح هجوم أصغر بكثير، وليس سطحًا معدومًا. فوحدة التحكم الإدارية تلك تستطيع تركيب وسائط ومراقبة الطرفية. |
| Colocation | عتادك، وبرمجياتك الثابتة، وأقراصك. باب شخص آخر، وكهرباؤه، وأيدٍ يوفّرها هو. | ما يتبقى سؤال مادي، وهو النوع الوحيد الذي يمكنك الإجابة عنه بقفل. |
لا يشكّل أي من هذه الصفوف حجة ضد المنتج الذي فوقه. إنها حجة لصالح معرفة أي تهديد تشتري الحماية منه. فمشغّل المُراقب الافتراضي يستطيع قراءة ذاكرة أي ضيف يعمل عليه، والمزوّد الذي يدّعي خلاف ذلك يكون قد أساء فهم بنيته الخاصة. وما يقرؤه إما بياناتك وإما مجرد ضوضاء، وقد تقرر أيّ الاثنين قبل ذلك بأشهر، حين اخترت أين تضع المفتاح.
طقس تسليم المفتاح هو الضمانة بأكملها
كل ما سبق يختزل إلى سؤال تشغيلي واحد: في لحظة إقلاع الجهاز، من أين يأتي المفتاح؟ ثمة ثلاث إجابات مستخدَمة، وهي متفاوتة القوة تفاوتًا كبيرًا.
- مخزَّن على الجهاز نفسه. ملف مفتاح على وحدة التخزين نفسها، أو عبارة مرور مدمَجة في نص تهيئة برمجي، كي يستطيع الخادم الإقلاع دون تدخل. هذا تشفير بمنطق خانة الاختيار: من يستطيع قراءة القرص يستطيع قراءة المفتاح المُلقى بجواره.
- يحتفظ به المزوّد. ترتيب مريح وقابل للاسترداد، وهو بالضبط الترتيب الذي يستطيع أمر قضائي أن يتصرف بموجبه. المفتاح موجود، وثمة من يحتفظ به، والاحتفاظ به أمر تستطيع محكمة تسميته في أداة قانونية.
- تزوّده أنت في كل إقلاع. يبدأ الجهاز داخل initramfs ولا يفعل شيئًا على الإطلاق إلى أن تتصل به وتسلّمه عبارة المرور. المفتاح موجود في ذاكرة ذلك الجهاز فقط أثناء عمله، ولا يوجد في أي مكان آخر على وجه الأرض.
الترتيب الثالث وحده هو من ينقل السؤال خارج السجل القانوني. فالأمر القضائي يستطيع إلزام مزوّد بتسليم ما يحتفظ به؛ ولا يستطيع إلزامه بتسليم مفتاح لم يُعطَ له قط. وهذا فارق في النوع لا في الدرجة، ولهذا يحمل warrant canary الموقَّع هنا ادّعاءً منفصلًا عن الإكراه على إضعاف حماية تشفيرية. فالوعد بسلوك معيّن وحقيقة حسابية أداتان مختلفتان تمامًا، ولا يبقى بعد صاحبه إلا واحدة منهما.
ما الذي يتركه التشفير الكامل للقرص ظاهرًا بلا تشفير
نظام الملفات الجذري المشفَّر ليس صندوقًا معتمًا. فثمة أشياء عدة تقع خارجه بحكم بنيته، ومعرفة أيّها هو الفارق بين نموذج تهديد حقيقي ومجرد شعور.
- سلسلة الإقلاع. تُقرأ
/bootوالـinitramfs قبل أن يصبح فك أي تشفير ممكنًا، لذا فهما غير مشفَّرين، وعلى عتاد مستأجر لا يمكنك التصديق على سلامة برمجياته الثابتة، غير مُتحقَّق منهما. من يستطيع الكتابة هناك يستطيع كتابة شيء يستولي على عبارة مرورك. - الـswap والإسبات. الـswap غير المشفَّر سيحتفظ بصفحات من الذاكرة المفكوكة التشفير دون أي اعتراض. شفّره أو عطّله؛ فلا يوجد خيار ثالث آمن.
- هيئة الجهاز الخارجية. أحجام الأقسام، وترويسة LUKS، ومقدار ما هو مُستخدَم من وحدة التخزين، وحقيقة أنه مشفَّر أصلًا.
- كل ما تحتفظ به العملية أثناء تشغيلها. قاعدة البيانات في ذاكرة التخزين المؤقت للصفحات، ومفتاح TLS الخاص الذي حمّله خادم الويب عند بدء التشغيل، ومتغيرات البيئة، والمقابس المفتوحة. هذه أكبر فئة في القائمة، وتشفير البيانات الساكنة لا يمسّ أيًا منها.
- حركة بياناتك. مع من تتواصل، ومتى، وبأي قدر، تمامًا كما كان الحال من قبل. وهذا موضوع دليل الاستضافة بلا سجلات لا هذا الدليل.
سلسلة الإقلاع هي العنصر الذي يقلّل الناس من شأنه. فإن كان الـinitramfs هو المكان الذي تكتب فيه عبارة المرور، فإن الـinitramfs يصبح الآن مطالبة بإدخال بيانات اعتماد على جهاز لا تتحكم فيه ماديًا — لذا فإن بصمة مفتاح مضيف SSH الخاص به تهم بقدر ما تهم عبارة المرور نفسها. إنه مفتاح مختلف عن ذلك الذي يعرضه النظام أثناء تشغيله، ولهذا بالضبط يُمرَّر تغيّر البصمة عند الإقلاع دون أن يُلتفَت إليه. سجّلها أول مرة وتحقّق منها كل مرة بعد ذلك. المطالبة التي تبدو صحيحة وهي ليست كذلك هي الهجوم بأكمله.
ما الذي يوقفه، وما الذي لا يوقفه
| التهديد | هل يفيد تشفير القرص؟ | لماذا |
|---|---|---|
| قرص يغادر المبنى | نعم، تمامًا | سواء تعطّلت، أو استُبدلت، أو أُعيد بيعها، أو سُرقت، فإن وحدة التخزين المُطفأة نص مشفَّر لا أكثر. |
| مصادرة جهاز مُطفأ | نعم | ما يُؤخَذ هو الحالة التي كانت عليها وحدة التخزين لحظة انقطاع الطاقة. ومع غياب أي مفتاح في المبنى، تلك الحالة ضوضاء لا أكثر. |
| مصادرة أثناء التشغيل | لا | المفتاح موجود في RAM، ونظام الملفات مُحمَّل (mounted). هذه هي الحالة التي لا يصفها التسويق أبدًا. |
| أمر يُبلَّغ به المزوّد | ليس مباشرة، وهذا بالضبط هو المغزى | يُجاب عن الأمر القضائي بما هو موجود فعلًا. فالمفتاح الذي لم يُعطَ قط لا يمكن تسليمه، مهما قالت الأداة القانونية. |
| قراءة المزوّد لملفاتك | فقط في الترتيب الثالث أعلاه | مفتاح يديره المزوّد يعني وصول المزوّد إليه. ومفتاحك الخاص يعني وصولك أنت وحدك، ولا أحد سواك. |
| اختراق الخادم أثناء عمله | لا | المهاجم الذي يملك صلاحيات root على جهاز وحدة تخزينه مُحمَّلة (mounted) يقف داخل حدود التشفير، لا خارجها. |
| أخطاؤك أنت | لا | عبارة مرور تُلصَق في تذكرة دعم، أو تُكتب عند مطالبة غير موثَّقة، تُنهي الضمانة بقدر ما كانت ستنتهي لو لم تكن هناك ضمانة من الأساس. |
اقرأ العمود الأوسط من الأعلى إلى الأسفل. التشفير حاسم بالضبط في الحالات التي يكون فيها الجهاز مُطفأً أو لم يُسلَّم المفتاح قط، وغير ذي صلة في كل حالة يكون فيها الجهاز يعمل وشخص ما موجود بالفعل داخله. وهذا ليس ضعفًا يمكن الالتفاف عليه هندسيًا. إنه طبيعة التشفير ذاتها، وأي صفحة توحي بغير ذلك إنما تبيع شيئًا.
التكلفة، مذكورة قبل أن تلتزم بها
هذا هو القسم الذي لا تملكه الصفحات التي تروّج لـ“استضافة مشفَّرة”، والسبب أن كل عنصر فيه إزعاج حقيقي ستواجهه خلال شهر واحد.
- لا إعادة تشغيل دون تدخل. تحديث للنواة، أو عارض كهربائي، أو ترحيل إلى مضيف آخر، كل ذلك يترك الجهاز واقفًا عند مطالبة بعبارة المرور إلى أن يصل إليه إنسان. صار التوافر الآن دالّة في جدول نومك.
- لا إنقاذ. المزوّد الذي لا يستطيع قراءة وحدة التخزين لا يستطيع إصلاحها. فحوصات نظام الملفات، واستعادة البيانات، وحتى “هل يمكنك فقط نسخ الإعداد منه” تصبح كلها مسؤوليتك وحدك.
- النسخ الاحتياطية نص مشفَّر. وهذا صحيح، ويعني أن الاستعادة تحتاج إلى المفتاح أيضًا. والنسخة الاحتياطية التي لا يمكنك فتحها ليست نسخة احتياطية.
- تلف الترويسة قاتل. تحتفظ ترويسة LUKS بالمفتاح الرئيسي المُغلَّف في منطقة صغيرة عند بداية وحدة التخزين. انسخها خارج الجهاز منذ اليوم الأول؛ فمن دونها، لن تفتح عبارة مرور صحيحة أي شيء على الإطلاق.
- بعض العبء الإضافي. حقيقي، ويظهر في اختبار الأداء، ونادرًا ما يكون القيد الفعلي على حِمل العمل — فكل معالج حديث ينفّذ AES في العتاد. قِسه على الجهاز الذي استأجرته بدلًا من الجدل حوله.
إعداده على نحو يجعله يستحق العناء
الأوامر موجودة في قاعدة المعرفة. أما ما يلي فهو الترتيب الذي تُنفَّذ به، وهو الجزء الذي لا يكون أمرًا (command) بحد ذاته.
- رتِّب الوصول إلى وحدة التحكم قبل أن تبدأ لا بعده. فأول خطأ يقع عند مطالبة الإقلاع، وSSH هو بالضبط ما لا يكون متاحًا هناك.
- شفّر وحدة تخزين ثانية أولًا. فالبيانات على قرص مشفَّر منفصل تمنحك معظم الفائدة بجزء يسير من المخاطرة التشغيلية، وتعلّمك أنماط الفشل على جهاز لا يزال يُقلع من تلقاء نفسه.
- لا تضع نظام الملفات الجذري خلفه إلا بعد أن يصبح ذلك روتينًا معتادًا، مستخدمًا خادم SSH صغيرًا داخل initramfs لتلقّي عبارة المرور عند الإقلاع.
- سجِّل بصمة مفتاح مضيف الـinitramfs عند أول عملية فك قفل، وتحقّق منها في كل مرة بعد ذلك. فهو ليس المفتاح نفسه الذي يعرضه النظام أثناء تشغيله، والتعامل مع أي تغيّر فيه على أنه أمر طبيعي هو بالضبط كيف تُجمَع عبارات المرور.
- احفظ نسخة احتياطية من ترويسة LUKS في مكان غير ذلك الجهاز، ثم تحقّق فعليًا من أن النسخة الاحتياطية تفتح وحدة التخزين بدل افتراض ذلك.
- شفّر الـswap أو عطّله، ثم تحقّق مما بنيته فعليًا: يُظهر لك
lsblk -o NAME,FSTYPE,MOUNTPOINTما يقف خلف المُخطِّط (mapper) وما لا يقف خلفه بصمت. - أعد تشغيله مرة واحدة، عن قصد، قبل أن يكون عليه أي شيء قد تفتقده. فأول إعادة تشغيل دون تدخل عند الثالثة فجرًا ليست اللحظة المناسبة لتعلّم الإجراء.
كيف تتحقق من ادّعاء المضيف بشأن التشفير خلال عشر دقائق
الاختبار نفسه المُطبَّق في كل مكان آخر على هذا الرف: لكل سؤال أدناه وثيقة تجيب عنه، أو لا توجد له وثيقة على الإطلاق.
- هل الشيء الذي يُشفَّر هو المنصة، أم وحدة التخزين، أم الضيف — وأيٌّ من هذه هو ما كنت تسأل عنه؟
- من يُنشئ المفتاح، وأين يقيم، وما الإجراء حين يفقده عميل؟ فمسار الاستعادة هو مفتاح ثانٍ، والمفتاح الثاني شيء ثانٍ يمكن أن يُؤمر بتسليمه.
- هل تستطيع إحضار مفتاحك الخاص ورفض مشاركته؟ إن كانت الإجابة نعم، فاسأل ما الذي سيتعطّل. وإن لم يتعطّل شيء، فإن التشفير لم يكن يفعل شيئًا أصلًا.
- هل توجد وحدة تحكم تعمل حين يرفض الجهاز الإقلاع، وهل هي مُدرَجة أم تُفوتَر بالساعة؟
- ما الذي يقول المزوّد إنه لم يعد قادرًا على فعله بمجرد أن تشفّر بياناتك؟ فالمضيف الذي يدّعي خصوصية كاملة ودعمًا كاملًا في آن واحد إما لم يُفكّر في الأمر بعمق، وإما يصف مفتاحًا يحتفظ به.
الإجابة الأخيرة هي الدليل الفاصل. فكل إجابة صادقة في هذا المجال تكلّف المزوّد شيئًا، وأي ادّعاء لا يكلّف شيئًا إنما يصف منتجًا لا ضمانة. وما ستفعله هذه المنظومة وما لن تفعله موضّح في دليل جهات إنفاذ القانون، ومُحصًى في تقرير الشفافية.
الأسئلة التي يطرحها الناس فعليًا
هل يستطيع مزوّد استضافتي قراءة ملفاتي؟
على وحدة تخزين غير مشفَّرة، نعم — عند أي مزوّد، وفي أي بلد، مهما قال عن التسجيل أو الاختصاص القضائي. وهذا نتيجة تشغيل العتاد لا نتيجة خيار سياسي. أما مع التشفير الكامل للقرص الذي تزوّد مفتاحه بنفسك في كل إقلاع، فتصبح الإجابة لا ما دام الجهاز مُطفأً، وتبقى لا حتى بعد مصادرته، لأنه لا شيء في تلك المنشأة يستطيع فك تشفيره.
هل يوقف تشفير قرصي أمرًا قضائيًا؟
لا، ويستحق هذا التمييز أن يُحفَظ. الأمر القضائي يُلزم المزوّد بتسليم ما يملكه. أما استحضار مفتاح لم يُعطَ له قط فأمر لا يقدر عليه، فما يُنتجه الأمر إذًا نص مشفَّر. وينتقل السؤال من سجل قانوني إلى سجل رياضي، والجواب الرياضي لا يتغيّر باختلاف المحكمة.
هل خادم VPS مشفَّر من مزوّد هو الشيء نفسه؟
عادةً لا. فهذه العبارة تعني في الغالب الأعم تشفير المنصة للبيانات الساكنة بمفتاح يديره المزوّد، وهو ما يحمي قرصًا يغادر المبنى ولا يستبعد المزوّد. إنه يستحق أن تحصل عليه، لكنه ليس ما يشتريه معظم الناس من أجله. اسأل من يحتفظ بالمفتاح بينما الجهاز مُشغَّل.
ماذا يحدث حين يعيد خادم مشفَّر تشغيل نفسه؟
يتوقف وينتظرك. تلك هي تكلفة هذا الترتيب، ولا توجد نسخة منه بلا هذه التكلفة، لأن الجهاز القادر على فك قفل نفسه هو جهاز يحتفظ بمفتاحه الخاص. خطِّط لأن يعني تحديث النواة عملية فك قفل مجدولة، واحتفظ بوصول إلى وحدة التحكم من أجل الإقلاع الذي يسوء.
هل يُبطئ التشفير الكامل للقرص الخادم؟
بشكل ملحوظ في اختبار الأداء، ونادرًا في حِمل العمل الفعلي. فكل معالج حديث ينفّذ AES في العتاد، ويبقى عنق الزجاجة المعتاد حيث كان دائمًا. تشغيل cryptsetup benchmark على الجهاز الذي استأجرته فعليًا يجيب عن هذا أفضل من أي رقم مطبوع على صفحة.
هل يكفي تشفير وحدة تخزين ثانية؟
بالنسبة لمعظم الناس، هذه هي الخطوة الأولى المعقولة، وغالبًا الأخيرة أيضًا: ضع البيانات على وحدة التخزين المشفَّرة، ويبقى نظام التشغيل قابلًا للقراءة، بما يُبقي إعادة التشغيل دون تدخل وأدوات الإنقاذ تعمل. أما ما لا يغطّيه هذا فهو ما كتبه النظام في أماكن أخرى — السجلات، والـswap، والملفات المؤقتة، وذاكرة التخزين المؤقت للصفحات. قرّر ذلك عن قصد لا بحكم الإعداد الافتراضي.
هل يمكنني فعل هذا على خادم مخصص أيضًا؟
نعم، وأمام سطح أصغر مما هو عليه في نسخة مشتركة، لأنه لا يوجد فوقك مُراقب افتراضي يحتفظ بذاكرتك. وتبقى وحدة التحكم الإدارية قائمة، وتستمر بعد زوال نظام تشغيلك، لذا تستحق سلسلة الإقلاع الحذر نفسه. وعلى عتاد تملكه في خزانة تستأجرها، ما يتبقى سؤال مادي.
ماذا عن الذاكرة المشفَّرة، أو الحوسبة السرية (confidential computing)؟
هذا حقيقي وهو الهدف الصحيح: يشفّر AMD SEV-SNP وIntel TDX ذاكرة الضيف في مواجهة المُراقب الافتراضي، وهذه بالضبط هي الثغرة التي تصفها هذه الصفحة كلها. أما ما يمنح ذلك معنى فعليًا فهو التصديق عن بُعد (remote attestation) — إثبات، موجَّه إليك أنت، بأن الجهاز الذي تتحدث معه يشغّل فعلًا ما تظن أنه يشغّله، وبالنمط الذي تظنه. والمزوّد الذي يعرض “RAM مشفَّرة” دون تصديق يمكنك التحقق منه إنما يعرض ادّعاءً لا ضابطًا فعليًا.
كل سعر في هذا الكيان منشور بالكامل، في مكان واحد. اطّلع على الكتالوج بالكامل