Securing Filesystems for Confidential Computing

في العصر الرقمي الحديث، اعتدنا على فكرة أن بياناتنا آمنة في السحابة. نحن نثق بأنه عندما نحفظ ملفاً أو نحدث قاعدة بيانات، فإنه يظل تماماً كما تركناه، محمياً من الأعين المتطفلة أو الفقدان العرضي. ومع ذلك، فقد وجدت فجوة جوهرية في هذه الثقة. فبينما ظهرت تقنيات جديدة تسمى "الحوسبة السرية" (confidential computing) لإغلاق الذاكرة التي يفكر فيها الكمبيوتر بنشاط، إلا أنها تترك القرص الصلب عرضة للاختراق. تخيل خزنة داخلها صندوق حديدي لا يمكن اختراقه، ولكن الممر المؤدي إليه يسيطر عليه شخص غريب يمكنه استبدال مستنداتك، أو إعادة كتابة التاريخ، أو استبدال نسختك الحالية بنسخة قديمة دون أن تعلم بذلك أبداً. هذا هو الواقع للتطبيقات التي تعمل في البيئات الآمنة اليوم: حساباتها محمية، لكن التخزين الذي تعتمد عليه يمكن التلاعب به من قبل مزود سحابي خبيث أو مسؤول نظام مخترق.

التحدي إذن، يكمن في بناء نظام يحمي البيانات الموجودة على القرص بنفس الشراسة التي تحمي بها البيانات في الذاكرة، دون إبطاء الكمبيوتر أو إجبار المبرمجين على إعادة كتابة برامجهم. لقد تصدى فريق من الباحثين من "مايكروسوفت أزور" (Microsoft Azure)، وكلية إمبريال لندن، ومؤسسات أخرى لهذا المشكل عبر ابتكار طريقة جديدة لإدارة تخزين الملفات. لقد طوروا نظاماً يسمى SHIELDFS، يعمل كحارس للبيانات المستمرة، مما يضمن أن ما يُقرأ من القرص هو بالضبط ما كُتب، وأنه لم يقم أحد سراً بإعادة الزمن إلى حالة سابقة. إن عملهم، الذي تم تنفيذه كنسخة محددة من نظام ملفات مفتوح المصدر واسع الانتشار يسمى ZFS، يثبت أنه من الممكن تأمين التخزين حتى ضد أقوى المهاجمين مع الحفاظ على سرعات مطابقة تقريباً للأنظمة القياسية غير المؤمنة.

يكمن جوهر المشكلة في كيفية تعامل الحواسيب مع البيانات بمرور الوقت. عندما يحفظ تطبيق ما معلومات، فإنه يكتبها في قرص. في البيئة الآمنة، تكون ذاكرة الكمبيوتر مغلقة، ولكن غالباً ما يتم إدارة القرص من قبل مزود الخدمة السحابية. يمكن لمزود غير أمين نظرياً أن يسجل حالة القرص في لحظة معينة، ولاحقاً، إذا حاول التطبيق تحديث تلك البيانات، يمكن للمزود ببساطة استبدال النسخة الجديدة بالنسخة القديمة المسجلة. يُعرف هذا باسم "هجوم التراجع" (rollback attack). سيقرأ التطبيق البيانات القديمة، معتقداً أنها هي الحالية، مما يؤدي إلى أخطاء، أو فقدان معاملات، أو تلف قواعد البيانات. الحلول الموجودة إما كانت تتطلب أن يكون التخزين نفسه موثوقاً (وهذا يلغي الغرض من أمن السحابة)، أو فرضت عقوبات كبيرة على الأداء جعلت الأنظمة بطيئة جداً بحيث لا يمكن الاستفادة منها، أو أجبرت المطورين على بناء ضوابط أمنية مخصصة في كل تطبيق على حدة، وهي عملية مملة وعرضة للخطأ.

لحل هذه المشكلة، صمم الباحثون نظاماً يعامل نظام الملفات نفسه كسلسلة من الأحداث المتحقق منها. فبدلاً من مجرد تخزين الملفات، ينشئ النظام "بصمة" تشفيرية لكل تغيير يتم إجراؤه على البيانات. عندما تُكتب قطعة من البيانات، يحسب النظام رمزاً فريداً بناءً على تلك البيانات وتاريخ التغييرات التي سبقتها. ثم يتم تخزين هذا الرمز بجانب البيانات. والأهم من ذلك، يحتفظ النظام بسجل صغير جداً وآمن لأحدث "بصمة" صالحة في موقع منفصل وموثوق لا يمكن للمهاجم الوصول إليه. يعمل هذا الموقع الموثوق كنقطة تفتيش. وكلما أعاد الكمبيوتر التشغيل أو حاول قراءة البيانات، فإنه يتحقق من البصمة الموجودة على القرص مقابل البصمة الموجودة في نقطة التفتيش الموثوقة. إذا قام المهاجم باستبدال القرص بنسخة قديمة أو عدل البيانات، فلن تتطابق البصمات، وسيعرف النظام على الفور أن خطأ ما قد حدث، وسيرفض تحميل البيانات التالفة.

قام الباحثون ببناء نسخة عاملة من هذا النظام، أطلقوا عليها اسم SHIELDZFS، من خلال توسيع نظام ملفات موجود ومستخدم على نطاق واسع يسمى ZFS. لم يحتاجوا إلى تغيير الطريقة الأساسية التي ينظم بها نظام الملفات البيانات على القرص؛ بدلاً من ذلك، أضافوا طبقة تحقق تعمل داخل الذاكرة الآمنة للكمبيوتر. تضمن هذه الطبقة أنه في كل مرة تُكتب فيها البيانات، يتم إضافة رابط جديد غير قابل للكسر إلى سلسلة التاريخ. كما أنشأوا خدمة خفيفة الوزن، يطلقون عليها اسم "السجل" (registry)، تعمل في بيئتها الآمنة الخاصة لتخزين أحدث البصمات الصالحة للعديد من أنظمة الملفات في آن واحد. تم تصميم هذا السجل ليكون سريعاً وموثوقاً، وقادراً على التعامل مع آلاف الطلبات في الثانية مع تأخير يقل عن ميلي ثانية واحدة، مما يضمن عدم تحول ضوابط الأمن إلى عائق للسرعة.

لاختبار ابتكارهم، أجرى الفريق سلسلة من التجارب الصارمة باستخدام معايير قياسية وتطبيقات واقعية، مثل خوادم قواعد البيانات وخوادم الملفات. وقارنوا نظامهم الآمن بأنظمة الملفات القياسية وأدوات أمنية أخرى. أظهرت النتائج أن SHIELDZFS نجح في اكتشاف كل نوع من أنواع التلاعب التي قاموا بمحاكاتها، بما في ذلك محاولات التراجع عن البيانات، أو إعادة تشغيل النسخ القديمة، أو إنشاء نسخ متضاربة من نظام الملفات. ومن حيث السرعة، كان النظام الآمن يعمل بشكل جيد للغاية. فبالنسبة لمعظم المهام، كان سريعاً تقريباً مثل النسخة القياسية غير المؤمنة من نظام الملفات. وفي السيناريوهات الأكثر تطلباً، حيث يجب كتابة البيانات وتأكيدها فوراً، كان أبطأ بنحو 1.7 مرة فقط من النسخة القياسية، وهو مقايضة قد تجدها المؤسسات المهتمة بالأمن مقبولة. في المقابل، كانت طرق الأمن الأخرى التي اختبروها أبطأ بكثير، حيث وصلت أحياناً إلى خمسة أضعاف البطء، مما يجعلها غير عملية للاحتياجات عالية الأداء.

كما استكشف الباحثون كيف يمكن لهذا النظام أن يعمل جنباً إلى جنب مع البرمجيات الموجودة التي تمتلك بالفعل بعض الميزات الأمنية. ووجدوا أنه من خلال استخدام نظامهم الآمن فقط للأجزاء الأكثر أهمية من قاعدة البيانات — وهي السجلات التي تسجل التغييرات — واستخدام نظام ملفات قياسي وأسرع لبقية البيانات، يمكنهم تحقيق أفضل ما في العالمين. سمح لهم هذا النهج الهجين بالحفاظ على أمن عالٍ للبيانات الأكثر أهمية مع الحفاظ على سرعة واستجابة النظام الإجمالية. تؤكد الدراسة أنه من الممكن بناء نظام ملفات مرن ضد مزود سحابي خبيث دون الحاجة إلى تغيير شامل للبرنامج الذي يستخدمه. ومن خلال تحويل نظام الملفات إلى هيكل ذاتي التحقق وربطه بنقطة تفتيش خارجية موثوقة، قدم الباحثون مساراً عملياً لتأمين البيانات في السحابة، مما يضمن أن ما يتم حفظه هو بالضبط ما يتم استرجاعه، بغض النظر عمن يتحكم في الأجهزة.