Improving the Security of Containerized Workloads using Transparency and Traceability Services

تخيل الإنترنت كمدينة ضخمة ومزدحمة، حيث البرمجيات هي الطعام الذي يتناوله الجميع. ولإيصال هذا الطعام إلى الناس، يستخدم الطهاة (المطورون) خطوط تجميع مؤتمتة تسمى "أنابيب CI/CD" لطهي أطباق رقمية تُعرف باسم "أعباء العمل المعبأة في حاويات" (containerized workloads). يتم تعبئة هذه الأطباق في صناديق رقمية تسمى "الصور" (images)، وتُخزن في مخازن رقمية ضخمة تسمى "السجلات" (registries)، ثم تُشحن إلى مطاعم في جميع أنحاء العالم، من المطابخ السحابية العملاقة إلى عربات الطعام الصغيرة على جانب الطريق (بيئات الحافة/edge environments). المشكلة هي أنه إذا تسلل مخرب إلى خط التجميع، يمكنه استبدال وجبة صحية بأخرى مسمومة، ولأن خط التجميع سريع ومؤتمت للغاية، سيتم شحن السم إلى آلاف الزبائن قبل أن يلاحظ أحد ذلك. هذا هو عالم أمن سلسلة التوريد البرمجية: لعبة عالية المخاطر للحفاظ على سلامة الطعام الرقمي من التلاعب والسرقة والجهات السيئة.

لفهم كيفية إيقاف ذلك، نحتاج إلى أداتين رئيسيتين. أولاً، نحتاج إلى النزاهة (integrity)، وهي تشبه الختم الذي يمنع العبث بمرطبان المربى؛ فإذا كُسر الختم أو تم استبدال المربى بالداخل، ستعرف ذلك فوراً. ثانياً، نحتاج إلى الشفافية (transparency)، وهي تشبه مذكرات عامة غير قابلة للمحو حيث يُكتب في كل مرة يتم فيها ختم مرطبان، ويُسجل الحدث بحبر لا يمكن شطبه. إذا حاول شخص ما ختم مرطبان مسموم، فستظهر المذكرات ذلك، ويمكن للجمهور التحقق من المذكرات للتأكد من أن الختم يطابق المدخل. بدون هاتين الأداتين، يمكن لمخترق سرق مفتاح طاهٍ أن يختم مرطباناً مسموماً بختم "صالح"، ولن يعرف أحد الفرق حتى يفوت الأوان.

تقدم هذه الورقة نظاماً جديداً وذكياً لحل هذه المشكلة تحديداً. يقترح المؤلفون، وهم فريق من الباحثين الأمنيين، "خدمة شفافية" تعمل ككاتب عدل (موثق) آلي فائق الأمان لصناديق الطعام الرقمية هذه. بدلاً من ترك خط التجميع يحتفظ بمفتاح رئيسي دائم (والذي يمثل كارثة إذا سُرق)، يقوم النظام بتوليد مفتاح جديد تماماً للاستخدام لمرة واحدة فقط لكل طبق يطهوه. ثم يقوم فوراً بختم الطبق، ويكتب الحدث في مذكرات عامة غير قابلة للمحو (سجل الشفافية)، ثم يتخلص من المفتاح. عندما يصل الطبق إلى المطعم، لا يتحقق المدير من الختم فحسب؛ بل يتحقق أيضاً من المذكرات العامة ليتأكد من أن الختم قد سُجل بالفعل وأن الطاهي الذي وقعه مسموح له بالقيام بذلك.

لقد بنى الباحثون نموذجاً أولياً يعمل لهذا النظام، وربطوه بأدوات برمجة شهيرة مثل GitHub Actions وGitLab. لقد اختبروه ضد سيناريوهات واقعية حيث يحاول المخترقون سرقة المفاتيح أو تسلل كود برمي سيء. تُظهر محاكاتهم أن هذا النهج يمنع فعلياً نشر البرمجيات الخبيثة في كثير من الحالات، مثل محاولتهم استخدام بيانات اعتماد مسروقة من مستخدم غير مصرح له. ومع ذلك، إذا نجح مخترق في سرقة بيانات اعتماد مطور مصرح له، فقد يسمح النظام في البداية للملفات البرمجية الخبيثة بالمرور لأن التوقيع والهوية يبدوان صالحين. في هذا السيناريو المحدد، تكمن قوة النظام في قدرته على اكتشاف سوء الاستخدام بسرعة. نظرًا لأن كل عملية توقيع مسجلة في المذكرات العامة، يمكن لـ "مراقب" رصد النشاط المشبوه وتنبيه المؤسسة. وهذا يسمح لهم بحظر البرمجيات الخالمة وإلغاء بيانات الاعتماد المخترقة قبل وقوع ضرر واسع النطاق، وإن كان سرعة هذا الاكتشاف تعتمد على مدى تكرار فحص المذكرات.

قصة المطبخ الرقمي

دعونا نتعمق في كيفية عمل ذلك، باستخدام تشبيه المطبخ عالي التقنية والمؤتمت.

المشكلة: فخ المفتاح الرئيسي
في الأيام الخوالي، تخيل سلسلة مطاعم حيث يمتلك كل طاهٍ مفتاحاً رئيسياً متيناً ودائماً للباب الأمامي. إذا سرق لص ذلك المفتاح، يمكنه الدخول وطهي حساء مسموم ووضعه في القائمة. ولأن المفتاح كان "حقيقياً"، فإن حارس الأمن عند الباب سيسمح بمرور الحساء. في العالم الرقمي، هذا ما يحدث عندما يسرق مخترق كلمة مرور مطور أو مفتاحاً سرياً لخادم. يمكنهم استخدام ذلك المفتاح المسروق لتوقيع تحديث برمجي خبيث، ولأن التوقيع يبدو صالحاً، يتم تثبيت البرنامج على ملايين الحواسيب.

الحل: التذكرة لمرة واحدة
يقول مؤلفو هذه الورقة: "لا مزيد من المفاتيح الرئيسية!" بدلاً من ذلك، يقترحون نظاماً لا يمتلك فيه الطاهي مفتاحاً على الإطلاق. إليكم العملية الجديدة:

1. الطلب: يريد طاهٍ (مطور) طهي طبق جديد (بناء صورة حاوية). يرسلون الوصفة إلى "آلة توثيق" خاصة وفائقة الأمان (خدمة الشفافية).
2. المفتاح لمرة واحدة: تتحقق "آلة التوثيق" من هوية الطاهي. إذا كان مسموحاً له بالطهي، تقوم الآلة فوراً بإنشاء مفتاح جديد تماماً للاستخدام لمرة واحدة فقط لهذا الطبق المحدد. توقع الطبق بهذا المفتاح ثم تدمره فوراً. بوف! اختفى.
3. المذكرات العامة: تكتب "آلة التوثيق" ملاحظة في مذكرات ضخمة وعامة وغير قابلة للمحو (سجل الشفافية). تقول الملاحظة: "في الساعة 2:00 مساءً، وقعت الشيف أليس الطبق رقم 123 بالمفتاح X". المذكرات تشبه "البلوكشين" أو السجل العام؛ بمجرد كتابة صفحة، لا يمكن تمزيقها أو تغييرها.
4. الإيصال: تعطي الآلة الطاهي إيصالاً يتضمن التوقيع، واسم الطاهي، و"إثبات الإدراج" (Proof of Inclusion). هذا الإثبات يشبه إيصالاً رياضياً يقول: "نعم، يمكنني إثبات أن هذا المدخل موجود بالفعل في المذكرات".

نقطة التفتيش: حارس الأمن
الآن يصل الطبق إلى المطعم (موقع النشر، مثل خادم سحابي). لا يكتفي حارس الأمن (محرك السياسات) بالنظر إلى التوقيع فحسب، بل يقوم بفحص ثلاث خطوات:

1. هل الختم حقيقي؟ يتحقق مما إذا كان التوقيع يطابق الطبق.
2. هل الطاهي مسموح له؟ يتحقق من اسم الطاهي مقابل قائمة الموظفين المصرح لهم.
3. هل هو في المذكرات؟ هذا هو الجزء السحري. يأخذ "إثبات الإدراج" ويتحقق من المذكرات العامة ليتأكد من أن الحدث قد وقع بالفعل. إذا لم يكن الطبق في المذكرات، أو إذا لم يتطابق مدخل المذكرات مع الطبق، فإن الحارس يرفضه.

لماذا يعد هذا تغييراً جذرياً؟
تُظهر الورقة أن هذا النظام يصعب كسره للغاية. حتى لو سرق مخترق كلمة مرور طاهٍ وحاول خداع "آلة التوثيق" لتوقيع طبق مسموم، فإن النظام لديه شبكتي أمان:

• المفتاح لمرة واحدة: بما أنه يتم تدمير المفتاح فوراً، فلا يمكن للمخترق استخدامه مرة أخرى لتوقيع المزيد من السموم.
• المذكرات العامة: إذا نجح المخترق في الحصول على توقيع صالح (على سبيل المثال، عن طريق سرقة تسجيل دخول طاهٍ مصرح له)، فإن الحدث يُسجل في المذكرات العامة. هناك "مراقب" (مثل الكلب الحارس) يراقب المذكرات على مدار الساعة طوال الأسبوع. إذا رأى مدخلاً مشبوهاً — مثل طاهٍ يوقع طبقاً لا ينبغي له توقيعه — يمكنه تنبيه المطعم. يمكن للمطعم بعد ذلك حظر هذا الطبق المحدد قبل أن يصل إلى الزبائن. ومع ذلك، فإن سرعة هذا التنبيه تعتمد على مدى تكرار فحص المراقب للمذكرات؛ حيث يوجد تأخير بين حدث التوقيع والاكتشاف، وقد يتراوح هذا التأخير من بضع دقائق إلى فترة المراقبة الكاملة.

المقايضة: انتظار جفاف الحبر
تشير الورقة أيضاً إلى عقبة صغيرة. نظرًا لأن المذكرات العامة آمنة للغاية، فإن كتابة مدخل جديد تستغرق بعض الوقت. في العالم الحقيقي، قد يستغرق ظهور مدخل جديد في المذكرات حوالي 12 دقيقة. هذا يعني وجود نافذة زمنية صغيرة حيث يمكن توقيع الطبق ولكن لا يظهر بعد في المذكرات. يقترح المؤلفون أن المطاعم يمكنها وضع "فترة تهدئة" — الانتظار لبضع دقائق بعد إنشاء التوقيع قبل السماح بدخول الطبق. هذا يضمن أن مدخل المذكرات أصبح راسخاً قبل تقديم الطعام.

الخلاصة
هذه الورقة لا تقترح مجرد نظرية؛ بل بنوا نسخة عاملة منها واختبروها. وجدوا أنه من خلال الجمع بين المفاتيح لمرة واحدة، والمذكرات العامة، والقواعد الصارمة، يمكنهم إيقاف معظم الطرق الشائعة التي يحاول بها المخترقون تسميم سلسلة التوريد البرمجية. إنه يشبه تحويل المطبخ الرقمي إلى حصن حيث يتم تتبع كل وجبة، والتحقق من كل طاهٍ، وتسجيل كل محاولة تلاعب في كتاب يمكن للجميع قراءته. وبينما يضيف ذلك قدراً ضئيلاً من التعقيد ووقت انتظار قصير، فإن راحة البال الناتجة عن معرفة أن طعامك الرقمي آمن تستحق ذلك.