💻 computer science

Filament: Denning-Style Information Flow Control for Rust

تُعد Filament مكتبة للتحكم في تدفق المعلومات الساكنة بلغة Rust بأسلوب Denning، حيث تحقق إنفاذًا أمنيًا دقيقًا دون تعديلات في المترجم عبر الاستفادة من استنتاج النوع للتدفقات الصريحة، وبنية `pc_block!` خفيفة الوزن للتدفقات الضمنية، وماكرو متخصصات للتوافق السلس مع المكتبات، كل ذلك مع تقديم نموذج برمجي أكثر سماحية من الحلول الحالية مثل Cocoon.

المؤلفون الأصليون: Jeffrey C. Ching, Quan Zhou, Danfeng Zhang

نُشر 2026-04-17

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Jeffrey C. Ching, Quan Zhou, Danfeng Zhang

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تدير بنكاً عالي الأمن. لديك نوعان من الأموال: النقود العامة (يمكن للجميع رؤيتها ولمسها) والذهب السري (لا يمكن إلا لمدير الخزنة التعامل معه).

في عالم برمجة الحاسوب، يسمى هذا التحكم في تدفق المعلومات (IFC). والهدف هو التأكد من أن "الذهب السري" لا يتسرب بالخطأ إلى سجل "النقود العامة"، ومنع أي شخص من استخدام الذهب السري للتأثير على القرارات العامة بطريقة مخادعة.

لفترة طويلة، كان بناء نظام للقيام بذلك في لغات البرمجة الحديثة (مثل Rust) يشبه محاولة بناء خزنة بنك جديدة داخل قطار متحرك. كان عليك إما:

إيقاف القطار وإعادة بناء المحرك (تعديل المترجم/Compiler)، وهو أمر مكلف وبطيء.
وضع الذهب في صندوق صغير وصلب لا يمكنك فتحه إلا في غرف محددة (نهج "مستوى الكتلة" أو block-level)، مما يجعل مهام العمل المصرفي العادية محبطة للغاية ومقيدة.

Filament هي أداة جديدة تحل هذه المشكلة دون الحاجة لإيقاف القطار أو بناء صندوق صلب. إنها تشبه إعطاء كل عملة معدنية "علامة سحرية غير مرئية" يمكن لنظام أمن البنك قراءتها فوراً، دون الحاجة لإعادة بناء البنك بأكمله.

إليك كيف يعمل Filament، باستخدام تشبيهات من الحياة اليومية:

1. المشكلة في الطريقة القديمة (Cocoon)

قبل Filament، كانت هناك أداة تسمى Cocoon. تخيل أن Cocoon تشبه سياسة "الغرفة السرية".

إذا أردت لمس الذهب السري، يجب عليك الدخول إلى غرفة سرية.
داخل الغرفة، لا يمكنك التحدث مع أي شخص خارجها، ولا يمكنك تغيير الأثاث (الآثار الجانبية/side effects)، ولا يمكنك إلا إخراج ما جلبته معك.
الإزعاج: إذا كنت تريد فقط إجراء عملية حسابية بسيطة بالذهب، كان عليك حمله إلى الغرفة، وإجراء الحساب، ثم حمله للخارج. إذا أردت استخدام أداة من الردهة العامة (مكتبة خارجية)، كان عليك تجريد الذهب من علامة "السري"، واستخدام الأداة، ثم الأمل في أن تتذكر إعادة العلامة إليه. إذا نسيت، تسرب الذهب!

2. حل Filament: "العلامات الذكية"

غير Filament قواعد اللعبة. بدلاً من وضع الذهب في غرفة، وضعت علامة ذكية وغير مرئية على كل قطعة من البيانات.

"الملصق" (العلامة): كل قطعة من البيانات في برنامجك لها مستوى أمني (عام، سري، سري للغاية).
"التدفق" (قواعد المرور): يتحقق النظام تلقائياً: "هل يمكن لهذا الذهب السري أن يتدفق إلى هذا المنصب العام؟" إذا كانت الإجابة لا، يرفض البرنامج التشغيل.
السحر: يفعل النظام ذلك باستخدام استنتاج النوع (Type Inference). فكر في الأمر كأنه مساعد ذكي يعرف القواعد جيداً لدرجة أنك لست بحاجة لكتابتها لكل خطوة. أنت فقط تقول: "هذا سري"، والنظام يستنتج الباقي.

3. ثلاث حيل رائعة يستخدمها Filament

أ. "كتلة PC" (إشارة المرور)

أحياناً، يعتمد قرار ما على شيء سري.

مثال: "إذا كان مبلغ الذهب السري أكثر من 1000 دولار، أشعل الضوء الأحمر".
في الطريقة القديمة، كان يجب أن تكون الغرفة بأكملها "غرفة سرية" لأن القرار كان سرياً.
حيلة Filament: تستخدم بنية خاصة تسمى pc_block!. إنها تشبه إشارة المرور التي يتغير لونها بناءً على السر.
- إذا كان الضوء أحمر (سري)، يقول النظام: "حسناً، أي شيء تفعله الآن يجب أن يكون سرياً أيضاً".
- بمجرد اتخاذ القرار وتحول الضوء إلى الأخضر (عام)، يخفف النظام القيود. أنت لا تحتاج إلى غرفة كاملة؛ بل تحتاج فقط لأن تكون حذراً في اللحظة التي يكون فيها الضوء أحمر. هذا يوفر قدراً هائلاً من العناء.

ب. "الغلاف السحري" (`fcall!` و `mcall!`)

غالباً ما يستخدم المبرمجون أدوات بناها آخرون (مثل تطبيق حاسبة أو قاعدة بيانات). هذه الأدوات لا تعرف شيئاً عن الذهب السري؛ هي تعرف فقط الأرقام العادية.

الطريقة القديمة: كان عليك تجريد الذهب السري من علامته، وإعطاء الرقم للأداة، ثم تحاول يائساً تذكر إعادة العلامة إليه. إذا نسيت، ضاع الذهب.
حيلة Filament: تستخدم ماكرو fcall! و mcall!. فكر في هذه كـ قفازات سحرية.
- تضع الذهب السري داخل القفاز.
- تسلم القفاز للأداة.
- تقوم الأداة بعملها.
- عندما تنتهي الأدا، تقوم القفازات السحرية تلقائياً بإعادة علامة الذهب السري إلى النتيجة. لن تضطر أبداً للقلق بشأن نسيان إعادة الملصق.

ج. وعد "عدم الحاجة للمترجم"

أكبر فوز هو أن Filament يعمل مع لغة Rust القياسية. لست بحاجة لتوظيف فريق من المهندسين لإعادة بناء المترجم الخاص بك. إنها مكتبة تضيفها فقط إلى مشروعك، مثل إضافة ملحق (plugin) إلى لعبة فيديو.

4. لماذا هذا مهم؟

اختبرت الورقة البحثية Filament على تطبيقات واقعية (مثل لعبة Battleship، وعميل Spotify، ونظام بريد إلكتروني آمن).

جهد أقل: كتب المبرمجون "ملاحظات أمنية" (annotations) أقل مقارنة بالطريقة القديمة.
حرية أكبر: لم تجبرهم على استخدام "مخارج طوارئ" (حيل) لإنجاز مهامهم.
السرعة: لم تؤدِ إلى إبطاء الكمبيوتر. في الواقع، كانت سريعة تقريباً مثل كتابة كود بدون أي فحوصات أمنية على الإطلاق.

الخلاصة

Filament يشبه ترقية أمن البنك من "إغلاق المبنى بأكمله" إلى "إعطاء كل موظف شارة ذكية".

الشارة تعرف بالضبط أين يُسمح لك بالذهاب.
لا تمنعك من أداء عملك.
لا تتطلب إعادة بناء البنك.
والأهم من ذلك، تضمن بقاء الذهب السري سرياً، حتى عندما تستخدم أدوات من الردهة العامة.

إنها تجلب أمن المستوى العسكري إلى البرمجة اليومية، مما يجعلها عملية، سهلة الاستخدام، وآمنة.

1. بيان المشكلة

تعد مراقبة تدفق المعلومات (IFC) أمراً ضرورياً لمنع تسريب البيانات غير المصرح به وضمان السرية والنزاهة. ومع ذلك، تواجه أدوات مراقبة تدفق المعلومات الحالية مقايضة جوهرية:

أنظمة أسلوب دنينج (Denning-style): توفر تتبعاً دقيقاً للغاية لكل من التدفقات الصريحة (إسناد البيانات) والضمنية (تدفق التحكم) باستخدام تسمية عداد البرنامج ($pc$). ومع ذلك، فهي تتطلب عادةً تعديلات في المترجم (فاحصات أنواع مخصصة)، مما يجعل اعتمادها صعباً للغات واسعة الانتشار مثل Rust.
الأنظمة القائمة على المكتبات/ذات التدرج الخشن: تتجنب النهج الحديثة مثل Cocoon (لـ Rust) تغييرات المترجم باستخدام نموذج IFC قائم على "المستوى الكتلي" (block-level). تقوم هذه الأنظمة بتغليف البيانات الحساسة داخل ماكرو secret_block!. ورغم كونها عملية، إلا أنها مقيدة:
- تتطلب "مخارج طوارئ" متكررة (مثل unchecked_operation أو declassify) لتجاوز الضوابك الأمنية من أجل الآثار الجانبية المشروعة أو استدعاءات المكتبات الخارجية.
- تجبر جميع الحسابات التي تتضمن أسراراً على الحدوث داخل كتلة واحدة، مما يؤدي إلى "تضخم التسميات" (label creep) أو الحاجة غير الضرورية لإزالة التصنيف (declassification).
- تفتقر إلى القدرة على تتبع التدفقات الضمنية على مستوى التعبير دون تغليف كتل برمجية كاملة.

التحدي الجوهري: كيف يمكن تنفيذ نظام مراقبة تدفق معلومات (IFC) دقيق بأسلوب دنينج في لغة رئيسية مثل Rust دون تعديل المترجم، مع تقليل عبء التوصيف وتجنب النموذج البرمجي المقيد للمستويات الكتلية.

2. المنهجية: نهج Filament

Filament هو مكتبة ثابتة لمراقبة تدفق المعلومات (IFC) لـ Rust تحقق أمن أسلوب دنينج من خلال البرمجة المترية (metaprogramming/macros) ونظام أنواع Rust (السمات/traits، والأنواع العامة/generics، والاستنتاج)، وهي لا تتطلب أي تعديلات في المترجم.

المكونات التصميمية الرئيسية:

البيانات المسمّاة عبر الأنواع الشبحية (Phantom Types):
- يتم تغليف البيانات الحساسة في هيكل عام Labeled<T, L>، حيث $T$ هي القيمة و $L$ هي التسمية الأمنية (مثل Public أو A أو B).
- يتم تشفير التسميات الأمنية كأنواع ذات حجم صفري باستخدام الأنواع الشبحية (phantom types)، مما يضمن عدم وجود عبء تشغيلي (runtime overhead).
- تحدد سمة FlowsTo ترتيب الشبكة ( $\ell_1 \sqsubseteq \ell_2$ )، وتقوم سمة Join بحساب الحد الأعلى الأصغر (join) للتسميات في وقت التجميع (compile time).
التحكم في التدفق الصريح (على مستوى المتغير):
- ماكرو relabel!: لتعيين قيمة ذات تسمية أمنية أقل لمتغير ذي تسمية أعلى (مثلاً: من Public إلى Secret)، يستخدم Filament الماكرو relabel!(expr, Target). يقوم هذا الماكرو بإجراء فحص في وقت التجميع باستخدام سمة FlowsTo لضمان أن التدفق آمن.
- استنتاج النوع (Type Inference): بالنسبة للعمليات التي تجمع بين القيم المسمّاة (مثل x + y)، يستفيد Filament من استنتاج النوع في Rust لحساب التسمية الناتجة تلقائياً كناتج لعملية الـ join بين تسميات المعاملات، مما يقلل من الحاجة للتوصيف اليدوي.
التحكم في التدفق الضمني (على مستوى تدفق التحكم):
- ماكرو pc_block!: هذا هو الابتكار الأساسي للتعامل مع التدفقات الضمنية بدون مترجم.
  - يقوم بتهيئة تسمية عداد البرنامج ($pc$) المحلية بناءً على حساسية شرط التفرع.
  - يعيد كتابة عمليات الإسناد داخل الكتلة للتحقق من أن تسمية المتغير المستهدف هي على الأقل بنفس درجة تقييد الـ $pc$ الحالي.
  - يتتبع الفروع المتداخلة، ويقوم بتحديث تسمية الـ $pc$ ديناميكياً داخل توسيع الماكرو.
- على عكس Cocoon، الذي يتطلب أن تكون كل الأكواد التي تتعامل مع الأسرار داخل كتلة، يتطلب Filament استخدام pc_block! فقط عندما يعتمد شرط تدفق التحكم نفسه على بيانات حساسة.
التوافق مع المكتبات القياسية/الطرف الثالث:
- ماكرو fcall! و mcall! هي دوال ووسائل (methods) في Rust "محايدة أمنياً" (تتوقع أنواعاً خام وليس Labeled<T, L>).
  - يقوم fcall! تلقائياً بفك تغليف الوسائط المسمّاة، واستدعاء الدالة، ثم إعادة تغليف النتيجة باستخدام الـ join لجميع تسميات المدخلات.
  - يحافظ mcall! على تسمية الكائن المستلم عند استدعاء الطرق (methods) أو الوصول إلى الحقول.
- هذا يلغي الحاجة إلى دورات الـ wrap/unwrap اليدوية ويمنع المخاطر الأمنية المرتبطة بإزالة التصنيف اليدوي.

3. المساهمات الرئيسية

أول نظام IFC بأسلوب دنينج لـ Rust بدون تغييرات في المترجم: يعد Filament أول نظام يجلب مراقبة تدفق معلومات دقيقة تعتمد على الـ $pc$ إلى لغة أمرية رئيسية باستخدام تقنيات على مستوى المكتبة فقط.
بناءات مبتكرة للتحكم الدقيق:
- تقديم pc_block! لفرض قيود التدفق الضمني على مستوى التعبير.
- تقديم fcall! و mcall! للتكامل بسلاسة مع بيئة Rust.
تقليل عبء التوصيف: من خلال الاستفادة من استنتاج النوع في Rust، يقلل Filament من الحاجة إلى توصيفات الأنواع الصريحة، مما يجعل الكود يبدو أقرب إلى كود Rust القياسي.
نموذج برمجي أكثر سماحية: يلغي Filament الحاجة إلى "الكتل السرية" التي تقيد الآثار الجانبية، مما يسمح للمطورين بكتابة كود أكثر طبيعية مع الحفاظ على الضمانات الأمنية.

4. نتائج التقييم

قام المؤلفون بتقييم Filament من خلال إعادة تنفيذ خمسة تطبيقات (Calendar، وBattleship، وSpotify TUI، وServo، وJPMail) والتي كُتبت في الأصل لـ Cocoon أو Jif.

عبء التوصيف (Annotation Overhead):
- تطلب Filament أسطر كود أقل واستدعاءات API أقل من Cocoon في معظم الحالات.
- بينما يتطلب Filament المزيد من توصيفات التسميات (بسبب التتبع الدقيق)، إلا أنه يقلل بشكل كبير من استدعاءات الـ API (على سبيل المثال: لا حاجة لـ secret_block! أو wrap_secret أو unwrap_secret).
- مثال: في لعبة Battleship، تطلب Filament استدعاءين لـ API مقابل 23 استدعاءً لـ Cocoon.
السماحية (مخارج الطوارئ):
- قلل Filament بشكل كبير من الحاجة إلى مخارج الطوارئ.
- تطلب Cocoon عدد 12 عملية declassify غير ضرورية وعدد 2 من استدعاءات unchecked_operation عبر مجموعة الاختبارات لتجاوز قواعدها المعتمدة على المستوى الكتلي المقيد.
- تطلب Filament صفر من استدعاءات unchecked_operation وعمليات declassify مقصودة فقط حيث تطلبت المنطق ذلك.
عبء التجميع (Compilation Overhead):
- قدم Filament عبئاً ضئيلاً في وقت التجميع (على سبيل المثال: +0.45% لـ Spotify TUI، و -2.32% لـ Servo بسبب تأثيرات التخزين المؤقت).
- يتناسب العبء مع نسبة تجميع مكتبة IFC إلى إجمالي وقت البناء، مما يعني أنه يصبح أقل أهمية مع نمو قواعد الأكواد.

5. الأهمية

الاعتماد العملي: من خلال إزالة الحاجة إلى تعديلات المترجم، يجعل Filament تقنيات الـ IFC المتقدمة متاحة لنظام Rust البيئي الواسع، بما في ذلك المشاريع الكبيرة الحالية.
دقة أمنية: يحل مشكلة "تضخم التسميات" المتأصلة في الأنظمة ذات التدرج الخشن عن طريق إعادة ضبط تسمية الـ $pc$ بعد الفروع الحساسة، مما يسمح بمخرجات عامة آمنة من الحسابات الحساسة.
تجربة المطور: يسد الفجوة بين النماذج الأمنية النظرية والهندسة العملية. يمكن للمطورين كتابة كود يشبه Rust القياسي مع الحصول على ضمانات سرية قوية وقابلة للإثبات.
الاتجاه المستقبلي: يضع سابقة لتنفيذ أدوات التحليل الثابت المعقدة (مثل IFC) في اللغات الحديثة باستخدام أنظمة الماكرو واستنتاج النوع، مما قد يلهم أعمالاً مماثلة في لغات أخرى.

باختالاختصار، يثبت Filament بنجاح أن مراقبة تدفق المعلومات (IFC) الدقيقة بأسلوب دنينج يمكن تحقيقها في Rust دون حيل في المترجم، مما يوفر توازناً متفوقاً بين الأمن، والأداء، وسهولة استخدام المطور مقارنة بالنهج السابقة القائمة على المستويات الكتلية.