Bootstrapping Mutual Attestation with Kleene's Second Recursion Theorem
تحل هذه الورقة مشكلة التراجع اللانهائي في التصديق المتبادل عبر تطبيق نظرية كليين الثانية في التكرار لبناء عقد يمكنها إعادة بناء والتحقق من الكود المصدري الدقيق لبعضها البعض من البيانات المدمجة وحدها، مما يلغي الحاجة إلى أطراف ثالثة موثوقة أو قيم مرجعية خارجية عبر مختلف البنى الحوسبية.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في عالم الحوسبة الآمنة، هناك حاجة أساسية لإثبات أن برنامج الكمبيوتر هو بالضبط ما يدعي أنه هو. هذه العملية، المعروفة باسم "التحقق عن بُعد" (remote attestation)، هي المعادل الرقمي لعمل حارس أمن يتحقق من رخصة قيادة قبل السماح لشخص ما بالدخول إلى مبنى محظور. يقوم الحارس بمقارنة الصورة والتفاصيل الموجودة في الرخصة مقابل قاعدة بيانات موثوقة لما يجب أن تبدو عليه الرخصة الصالحة. إذا تطابقت التفاصيل، يُسمح للشخص بالدخول. في المجال الرقمي، يولد برنامج الكمبيوتر بصمة فريدة، تسمى "القياس" (measurement)، والتي تُقارن بقيمة مرجعية — وهي بصمة متوقعة ومعروفة — يحتفظ بها الطرف المتحقق. يعمل هذا النظام بشكل مثالي عندما يقوم طرف واحد بفحص طرف آخر، لكنه يصطدم بحائط منطقي عندما يحتاج جهازان أو أكثر من أجهزة الكمبيوتر إلى فحص بعضهم البعض في وقت واحد. فإذا كان على الكمبيوتر (أ) معرفة بصمة الكمبيوتر (ب) للتحقق منه، وكان على الكمبيوتر (ب) معرفة بصمة الكمبيوتر (أ) للتحقق منه، فلن يتمكن أي منهما من بدء العملية دون امتلاك الإجابة مسبقًا. هذا يخلق تبعية دائرية حيث ينتظر كل جهاز الآخر لتقديم الإثبات الذي يحتاجه لبدء العملية.
لقد وجد الباحثون في شركة "Acompany Co., Ltd" في ناغويا، اليابان، طريقة لكسر هذه الدائرة دون الاعتماد على سلطة مركزية أو قائمة مسبقة من الأكواد الموثوقة. لقد تناولوا المشكلة ليس كأحجية أمنية، بل كسؤال حول المنطق والارتباط بالذات. ومن خلال تطبيق مبدأ رياضي يُعرف باسم "مبرهنة كليين الثانية للتكرار" (Kleene's second recursion theorem)، أثبتوا أنه يمكن برمجة مجموعة من أجهزة الكمبيوتر لاحتواء الكود المصدري الدقيق لكل عضو آخر داخل ذاكرتها الخاصة. وهذا يسمح لكل آلة بإعادة بناء كود أقرانها من الصفر، وحساب البصمة الصحيحة آنيًا، والتحقق من هوية الآخر دون الحاجة أبدًا إلى سؤال طرف خارجي عن الإجابة. وقد بنى الفريق نماذج أولية عاملة لإثبات هذا المفهوم، مظهرين أن جهازي كمبيوتر آمنين يمكنهما بنجاح التحقق من سلامة بعضهما البعض باستخدام البيانات التي يحملانها معهما فقط.
يكمن جوهر المشكلة في طبيعة بيئات الحوسبة الآمنة الحديثة، مثل "بيئات التنفيذ الموثوقة" (Trusted Execution Environments)، وهي مساحات معزولة حيث يمكن معالجة البيانات الحساسة دون خوف من رؤيتها أو التلاعب بها. في الإعداد النموذجي، يثبت جهاز كمبيوتر واحد موثوقيته لخادم. يحتفظ الخادم بقائمة من بصمات الأكواد المعتمدة ويتحقق من تقرير الكمبيوتر مقابل تلك القائمة. ومع ذلك، في الشبكة اللامركزية حيث يجب أن تتعاون عدة أجهزة كمبيوتر في مهام سرية، يعمل كل جهاز كفاحص ومُفحَص في آن واحد. فإذا حاولوا برمجة البصمات المتوقعة لشركائهم داخل برمجياتهم، فسيقعون في حلقة مفرغة. لمعرفة بصمة الشريك (ب)، يجب على الكمبيوتر (أ) معرفة كود الشريك (ب). لكن كود الشريك (ب) يحتوي على بصمة الكمبيوتر (أ)، والتي تتطلب معرفة كود الكمبيوتر (أ)، والذي يحتوي بدوره على بصمة الشريك (ب)، وهكذا إلى ما لا نهاية. تضمنت الحلول السابقة لهذه المعضلة الاستعانة بطرف ثالث موثوق لتوزيع البصمات، أو الاعتماد على ميزات عتادية محددة لحقن القيم عند بدء التشغيل. تعمل هذه الأساليب، لكنها تعيد تقديم نقطة ثقة مركزية أو تربط الحل بنوع معين من العتاد، مما يحد من مكان وكيفية استخدامها.
اقترح الباحثون مسارًا مختلفًا عبر التعامل مع مجموعة أجهزة الكمبيوتر كنظام واحد مترابط. لقد أدركوا أنه يمكن حل التبعية الدائرية إذا استطاع كل كمبيوتر توليد كود أقرانه من مجموعة تعليمات مشتركة. وباستخدام مفهوم من علوم الحاسوب يسمح للبرنامج بالإشارة إلى كوده المصدري الخاص، صمموا طريقة يتم فيها تحويل مجموعة من البرامج إلى وحدات مستقلة بذاتها. تحمل كل وحدة وصفًا كاملاً لعائلة البرامج بأكملها بداخلها. وعندما يبدأ جهاز الكمبيوتر بالعمل، فإنه يقرأ هذا الوصف الداخلي، ويعيد بناء الكود المصدري الدقيق لشريكه، ثم يحسب بصمة الشريك. ولأن عملية إعادة البناء تتم من الداخل، فإن الكمبيوتر لا يحتاج إلى الوثوق بقائمة خارجية؛ بل يقوم ببساطة بحساب الإجابة بناءً على البيانات التي يمتلكها بالفعل. هذا النهج يلغي الحاجة إلى سلطة مركزية ويعمل عبر أنواع مختلفة من العتاد الآمن دون الحاجة إلى تغييرات في أدوات الأمان الأساسية.
لإثبات هذه النظرية، أنشأ الفريق عرضين توضيحيين عمليين. ركز الأول على الأنظمة التي تقيس الكود مباشرة أثناء تشغيله، مثل أنظمة لينكس القياسية. لقد بنوا أداة تسمى "PyReflect"، والتي تأخذ قالبًا من الكود وتولد تلقائيًا البرامج ذاتية المرجعية. وفي اختبارهم، نجح جهازا كمبيوتر افتراضيان مدعومان بوحدة أمان برمجية في تبادل تقارير التحقق. أعاد كل جهاز إعادة بناء كود الآخر، وحسب البصمة المتوقعة، وأكد أن النظير يعمل بالبرمجيات الصحيحة. أما العرض التوضيحي الثاني فقد تناول الأنظمة التي تقيس نتاج بناء مجمع (compiled build artifact)، مثل "AWS Nitro Enclaves"، وهي حاويات آمنة متخصصة. في هذه الحالة، تكون العملية أكثر تعقيدًا لأن الكمبيوتر يجب ألا يعيد بناء الكود المصدري فحسب، بل يجب أيضًا إعادة بناء الملف التنفيذي النهائي تمامًا كما تم إنشاؤه. وقد طوروا أداة تسمى "NixReflect" للتعامل مع ذلك. وفي تجربتهم، تم إطلاق جهازي "enclaves" آمنين، وقام كل منهما بشكل مستقل بإعادة بناء صورة (image) الآخر بالكامل من البيانات المخزنة داخل ذاكرته الخاصة. ثم قاما بحساب بصمة الصورة المعاد بناؤها ومقارنتها بالبصمة التي أبلغ عنها النظير. تطابقت النتائج تمامًا، مما أثبت أن الآلات يمكنها اشتقاق القيم المرجعية الصحيحة من بياناتها الداخلية وحدها.
كما قام الباحثون بقياس تكلفة هذا النهج. في حالة الـ "enclaves" الآمنة، استغرقت عملية إعادة بناء صورة النظير وقتًا أطول بكثير من مجرد حساب "hash" للكود. وفي حالة الاختبار المحددة لديهم، استغرقت عملية إعادة البناء والتشييد حوالي 6.8 ثانية، بينما استغرق حساب "hash" بسيط أقل من 0.1 ثانية. ومن المتوقع أن يزداد هذا الفرق بالنسبة للتطبيقات الأكثر تعقيدًا، حيث يجب على الكمبيوتر تتبع سلسلة التبعيات بأكملها لإعادة بناء البرنامج. وبالرغم من تكلفة الوقت هذه، أكدت التجربة أن الطريقة قابلة للتطبيق ولا تتطلب أي عتاد جديد أو طرف ثالث موثوق. وأشار الفريق إلى أنه بالنسبة للأنظمة الأكثر تعقيدًا، قد يكون من الممكن نقل عملية إعادة البناء إلى بيئة بناء آمنة قبل النشر، مما سيقلل من تكلفة وقت التشغيل، رغم أن هذا سيقدم مجموعة مختلفة من افتراضات الثقة فيما يتعلق ببيئة البناء نفسها.
تكمن أهمية هذا العمل في قدرته على حل مأزق منطقي أعاق طويلاً الحوسبة الآمنة اللامركزية بالكامل. فمن خلال إظهار إمكانية تحقيق التحقق المتبادل عبر إعادة البناء المستقل بذاته، قدم الباحثون مسارًا للمستقبل للشبكات من نوع (peer-to-peer) حيث لا يوجد كيان واحد موثوق به من قبل جميع المشاركين. هذا الحل مستقل عن البنية التحتية (architecture-independent)، مما يعني أنه يمكن تطبيقه على أنواع مختلفة من العتاد الآمن دون الحاجة إلى تعديلات مخصصة للعتاد. فهو يعتمد على الخصائص الأساسية للحوسبة بدلاً من ميزات عتادية محددة، مما يجعله أداة متعددة الاستخدامات لمستقبل الحوسبة السرية. وبينما تعتبر النماذج الأولية الحالية مجرد نماذج إثبات مفهوم، إلا أنها تثبت أن مشكلة "تمهيد القيم المرجعية" (reference-value bootstrapping) يمكن حلها دون طرف ثالث موثوق، مما يفتح الباب أمام شبكات أكثر قوة واستقلالية.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.