صَقْر

٠١الثغرةُ التي لا يحرسها أحد

المنشآتُ الحيويّةُ تحرسها الكاميرات، ومنظومةُ الأمن كلُّها تفترض — بلا أن تقول — أنّ الكاميرا صادقة. هي العقدةُ الوحيدةُ في السلسلة التي تُمنَح الثقةَ ابتداءً ولا يتحقّق منها أحد.

فإن ملك المهاجمُ الكاميرا، فلا حاجةَ به أن يكسر الحارسَ ولا البوّابةَ ولا المشغّل؛ يكفيه أن يتحكّم فيما يرونه ثلاثتُهم. وكلُّ قرارٍ بعد ذلك — إرسالُ دوريّة، فتحُ باب، إغلاقُ تحقيق — مبنيٌّ على دليلٍ اختاره المهاجم.

٩

٠٢الشرطُ الذي ألزمتُ نفسي به

رفضتُ أن أبني كاشفًا يرفع إنذارًا فحسب. الإنذارُ نصيحة، والمشغّل يقدر أن يتجاهلها — وكثيرًا ما يفعل، لأنّ الإنذارات تخطئ غالبًا.

فصار الشرطُ أضيق: الكاميرا التي تفقد الثقةَ يجب أن تعجز عن التأثير في القرار أصلًا. لا أن تُوسَم — بل أن تُستبعَد. وهذا التحويلُ من الكشف إلى الاحتواء أصعبُ بناءً بكثير.

١

٠٣القرارات

الثقةُ تُكتسب لحظةً بلحظة لا تُمنَح عند التركيب. لكلّ كاميرا درجةُ ثقةٍ حيّةٌ مشتقّةٌ من اتّساق قياساتها هي، لا من هويّتها ولا من شهادتها.

القياسُ موقَّعٌ ومحصَّنٌ ضدّ الإعادة. كلُّ قياسٍ يحمل توقيعَ HMAC وnonce، فالبثُّ المسجَّلُ المُعادُ يسقط عند البابِ لا بعد التفكير فيه.

فصلُ مستوى التحكّم عن مستوى البيانات. قناةُ WebSocket تحمل حالةَ الثقة والأوامر، موثَّقةً بـJWT ومقيَّدةً بالصلاحيّات حسب الدور، فلا يُصدر عارضٌ مخترَقٌ أمرًا.

سجلُّ التدقيق مسلسلٌ يكشف العبث. القيودُ مترابطة، فمن بلغ السجلَّ استطاع إتلافَه ولم يستطع تعديلَه خفيةً — والإتلافُ نفسُه مكشوف.

٧٨

٠٤كيف تحقّقتُ منه

بنيتُ توأمًا رقميًّا للمنشأة وأجريتُ عليه ٢٬٤٠٠ تشغيل: خمسةُ سيناريوهاتِ هجوم — إعادةُ البثّ، وقيادةُ شبكة البوتات، والتشويشُ اللاسلكيّ، والعبثُ الماديّ، والتلفيق — ومعها سيناريو سليمٌ للمقارنة، ١٠٠ تشغيلٍ لكلٍّ منها، على صقر وثلاثة أنظمةٍ مرجعيّة.

وفي هذا المسح: كُشف كلُّ هجوم، ولم يُصنَّف حدثٌ سليمٌ هجومًا قطّ، وحفظ ٩٨٪ من الأدلّة ضمانَ سلامتها من الطرف إلى الطرف.

وخارج المحاكاة: ٧٣ اختبارًا آليًّا على الشيفرة (وحداتٌ وتكاملٌ وخصومة)، و١٩ من ١٩ فحصَ DAST (اختبارُ أمنٍ ديناميكيٌّ للتطبيق على الخدمة وهي تعمل) ناجحةً، وبلا ملاحظةٍ من bandit على ١٬٩٠٤ أسطر، ولا ثغرةٍ معروفةٍ في ٥٧ مكتبةً بحسب pip-audit.

وخارج التوأم، على كاميرا حقيقيّة: في تمرينٍ حيّ عُزلت كاميرا أُعيد بثُّ تسجيلها بعد نحو ستّ ثوانٍ.

وإنّما سُرِدت أربعةُ أنواعٍ من الأدلّة لأنّ كلَّ نوعٍ أعمى عن عطبٍ يراه غيرُه: الاختباراتُ تفوتها الحالةُ وقتَ التشغيل، وDAST يفوته المنطق، والتحليلُ الساكن تفوته الاعتماديّات، والمحاكاةُ يفوتها كلُّ ما لم يُنمذَج.

٤

٠٥ما لا يزال عاجزًا عنه

التوأمُ الرقميُّ نموذج، والنموذجُ حجّةٌ لا برهان. وصنفُ هجومٍ فيزيائيٍّ لم يخطر لي أن أُنمذجه هو صنفٌ يردُّ عنه التوأمُ صفرًا — وصفرُ السؤالِ الذي لم يُسأل يشبه تمامًا صفرَ الموضعِ المحروس.

وشُغِّل على كاميرا حقيقيّةٍ واحدة في تمرين، لا في موقعٍ حقيقيّ. وحتّى يكون، فالادّعاءُ الصادقُ هو: التصميمُ صمد في كلّ حالٍ استطعتُ تخيّلَه وبناءه.